Mengintegrasikan Google Threat Intelligence dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan Google Threat Intelligence dengan Google Security Operations.

Sebelum memulai

Untuk menggunakan integrasi ini, Anda memerlukan kunci API. Untuk mengetahui informasi selengkapnya, lihat Kunci API Google Threat Intelligence.

Parameter integrasi

Integrasi Google Threat Intelligence memerlukan parameter berikut:

Parameter Deskripsi
API Root

Wajib.

Root API instance Google Threat Intelligence.

Nilai defaultnya adalah https://www.virustotal.com.
API Key

Wajib.

Kunci API Google Threat Intelligence.
ASM Project Name

Opsional.

Nama project Mandiant Attack Surface Management (ASM) yang akan digunakan dalam integrasi. Parameter ini diperlukan untuk menjalankan tindakan Search ASM Entities, Search ASM Issues, dan Update ASM Issue.

Jika tidak ada nilai yang ditetapkan, hanya pemberitahuan dari koleksi di project utama yang akan ditampilkan.
Active Group

Opsional.

ID Grup Aktif (Konteks Organisasi) untuk lingkungan multi-tenant. Hal ini diperlukan jika project ASM Anda berada di organisasi yang berbeda dengan organisasi utama Anda.
Verify SSL

Wajib.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google Threat Intelligence.

Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Tambahkan Catatan Masalah ASM

Gunakan tindakan Add ASM Issue Note untuk menambahkan catatan teknis ke masalah Pengelolaan Permukaan Serangan (ASM) di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Add ASM Issue Note memerlukan parameter berikut:

Parameter Deskripsi
Alert ID

Wajib.

ID pemberitahuan yang akan diperbarui.
Text

Wajib.

Konten analisis atau catatan yang akan ditambahkan ke pemberitahuan.

Output tindakan

Tindakan Add ASM Issue Note memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Add ASM Issue Note dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Add ASM Issue Note:

Nama hasil skrip Nilai
is_success true atau false

Menambahkan Komentar ke Entity

Gunakan tindakan Add Comment To Entity untuk menambahkan komentar ke entity Google SecOps di Google Threat Intelligence.

Tindakan ini hanya mendukung hash MD5, SHA-1, dan SHA-256.

Tindakan ini berjalan di entity Google SecOps berikut:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • URL

Input tindakan

Tindakan Add Comment To Entity memerlukan parameter berikut:

Parameter Deskripsi
Comment

Wajib.

Komentar yang akan ditambahkan ke semua entitas yang didukung.

Output tindakan

Tindakan Add Comment To Entity memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Add Comment To Entity:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}
Pesan output

Tindakan Add Comment To Entity dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID.

The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID.

No comments were added to the provided entities in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Add Comment To Entity:

Nama hasil skrip Nilai
is_success True atau False

Tambahkan Tag ke Pemberitahuan DTM

Gunakan Add Tag To DTM Alert untuk menambahkan tag ke pemberitahuan Digital Threat Monitoring (DTM) di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Add Tag To DTM Alert memerlukan parameter berikut:

Parameter Deskripsi
Alert ID

Wajib.

ID unik pemberitahuan yang akan diperbarui.
Mode

Opsional.

Logika operasional untuk pembaruan tag.

Kemungkinan nilainya adalah sebagai berikut:

  • Append: Menambahkan tag yang ditentukan ke daftar tag yang ada pada pemberitahuan.
  • Set: Menimpa semua tag pemberitahuan yang ada dengan tag yang disediakan di Tags.

Nilai defaultnya adalah Append.
Tags

Wajib.

Daftar tag yang dipisahkan koma untuk diterapkan ke pemberitahuan.

Output tindakan

Tindakan Add Tag To DTM Alert memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Add Tag To DTM Alert dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Tag ke Pemberitahuan DTM:

Nama hasil skrip Nilai
is_success true atau false

Menambahkan Vote ke Entity

Gunakan tindakan Add Comment To Entity untuk menambahkan suara ke entity Google SecOps di Google Threat Intelligence.

Tindakan ini hanya mendukung hash MD5, SHA-1, dan SHA-256.

Tindakan ini berjalan di entity Google SecOps berikut:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • URL

Input tindakan

Tindakan Add Vote To Entity memerlukan parameter berikut:

Parameter Deskripsi
Vote

Wajib.

Suara untuk ditambahkan ke semua entitas yang didukung.

Kemungkinan nilainya adalah sebagai berikut:

  • Harmless
  • Malicious

Nilai defaultnya adalah Malicious.

Output tindakan

Tindakan Add Vote To Entity memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Add Vote To Entity:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}
Pesan output

Tindakan Add Vote To Entity dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID.

Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID.

No votes were added to the provided entities in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Add Vote To Entity:

Nama hasil skrip Nilai
is_success True atau False

Download File

Gunakan tindakan Download File untuk mendownload file dari Google Threat Intelligence.

Tindakan ini berjalan di entity Hash Google SecOps.

Tindakan ini hanya mendukung hash MD5, SHA-1, dan SHA-256.

Input tindakan

Tindakan Download File memerlukan parameter berikut:

Parameter Deskripsi
Download Folder Path

Wajib.

Jalur ke folder untuk menyimpan file yang didownload.
Overwrite

Wajib.

Jika dipilih, tindakan ini akan menimpa file yang ada dengan file baru jika nama filenya sama.

Diaktifkan secara default.

Output tindakan

Tindakan Download File memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Download File:

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}
Pesan output

Tindakan Download File dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID.

No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID.

No related files were found for the provided entities in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Download File". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Memperkaya Entity

Gunakan tindakan Enrich Entities untuk memperkaya entitas dengan informasi dari Google Threat Intelligence.

Tindakan ini mendukung hash MD5, SHA-1, dan SHA-256.

Tindakan ini berjalan di entity Google SecOps berikut:

  • CVE
  • Domain
  • Hash (termasuk CHILDHASH dan PARENTHASH)
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Input tindakan

Tindakan Enrich Entities memerlukan parameter berikut:

Parameter Deskripsi
GTI Score

Opsional.

Skor Google Threat Intelligence minimum yang diperlukan untuk menandai entitas Google SecOps sebagai mencurigakan. Kondisi ini divalidasi bersama dengan informasi putusan Google Threat Intelligence.

Parameter ini hanya mendukung entity IP Address, URL, Hostname, Domain, dan Hash.

Jika tidak ada nilai yang diberikan, tindakan akan mengabaikan nilai skor Google Threat Intelligence.

Nilai defaultnya adalah 60.
Engine Threshold

Opsional.

Jumlah minimum mesin keamanan yang harus menandai entity sebagai berbahaya atau mencurigakan agar Google SecOps dapat melabelinya sebagai mencurigakan. Kondisi ini divalidasi bersama dengan informasi putusan Google Threat Intelligence.

Parameter ini hanya mendukung entity IP Address, URL, Hostname, Domain, dan Hash.

Jika Engine Allowlist berisi nilai, tindakan hanya akan menghitung hasil dari mesin telusur tertentu tersebut.

Jika tidak ada nilai yang diberikan, tindakan akan mengabaikan penghitungan mesin.
Engine Percentage Threshold

Opsional.

Persentase minimum mesin keamanan yang harus menandai entity sebagai berbahaya atau mencurigakan agar Google SecOps melabelinya sebagai mencurigakan.

Parameter ini hanya mendukung entity IP Address, URL, Hostname, Domain, dan Hash.

Jika Engine Allowlist berisi nilai, tindakan hanya akan menghitung persentase dari mesin tertentu tersebut.

Jika Engine Threshold dan Engine Percentage Threshold disediakan, Engine Threshold akan diprioritaskan.

Jika tidak ada nilai yang diberikan, tindakan akan mengabaikan penghitungan mesin.

Nilai maksimumnya adalah 100.

Nilai minimum adalah 0.
Engine Allowlist

Opsional.

Daftar mesin keamanan yang dipisahkan koma yang digunakan untuk mengambil informasi berbahaya (misalnya, AlienVault,Kaspersky).

Jika tidak ada nilai yang diberikan, tindakan akan mengambil hasil dari setiap mesin yang tersedia.

Mesin yang tidak menampilkan informasi tentang entity akan dikecualikan dari penghitungan Engine Threshold dan Engine Percentage Threshold.
Resubmit Entity

Opsional.

Jika dipilih, tindakan akan mengirim ulang entity untuk analisis, bukan menggunakan informasi entity dari operasi tindakan sebelumnya.

Parameter ini hanya mendukung entity URL dan Hash.

Tidak dipilih secara default.
Resubmit After (Days)

Opsional.

Jumlah hari yang harus ditunggu tindakan sebelum mengirimkan kembali entitas. Untuk menggunakan parameter ini, pilih parameter Resubmit Entity.

Nilai defaultnya adalah 30.

Parameter ini hanya mendukung entity URL dan Hash.
Sandbox

Opsional.

Daftar nama sandbox yang dipisahkan koma untuk dianalisis, seperti VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO.

Parameter ini hanya mendukung entity Hash.

Jika Anda tidak menetapkan parameter ini, tindakan akan menggunakan sandbox default, yaitu VirusTotal Jujubox.
Retrieve Sandbox Analysis

Opsional.

Jika dipilih, tindakan ini akan mengambil analisis sandbox untuk entity dan membuat bagian terpisah untuk setiap sandbox dalam hasil JSON.

Tindakan ini menampilkan data untuk sandbox yang Anda konfigurasi dalam parameter Sandbox.

Parameter ini hanya mendukung entity Hash.

Tidak dipilih secara default.
Fetch MITRE Details

Opsional.

Jika dipilih, tindakan ini akan menampilkan informasi tentang teknik dan taktik MITRE terkait.

Parameter ini hanya mendukung entity Hash.

Tidak dipilih secara default.
Lowest MITRE Technique Severity

Opsional.

Tingkat keparahan teknik MITRE terendah yang akan ditampilkan.

Tindakan ini memperlakukan tingkat keparahan Unknown sebagai Info.

Parameter ini hanya mendukung entity Hash.

Kemungkinan nilainya adalah sebagai berikut:

  • High
  • Medium
  • Low
  • Info

Nilai defaultnya adalah Medium.

Retrieve Comments

Opsional.

Jika dipilih, tindakan akan mengambil komentar tentang entity.

Parameter ini mendukung entitas berikut:

  • Domain
  • Hash
  • Hostname
  • IP Address
  • URL
Widget Theme

Opsional.

Gaya visual yang diterapkan ke widget IOC yang ditingkatkan.

Kemungkinan nilainya adalah sebagai berikut:

  • Dark
  • Dark Blue
  • Light

Nilai defaultnya adalah Dark Blue.
Max Comments To Return

Opsional.

Jumlah maksimum komentar yang akan ditampilkan untuk setiap eksekusi tindakan.

Nilai defaultnya adalah 10.

Output tindakan

Tindakan Enrich Entities memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip. Tersedia

Tindakan Enrich Entities dapat menampilkan link berikut:

  • IOC: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

  • Pelaku ancaman: https://www.virustotal.com/gui/collection/threat-actor--ID

  • Kerentanan: https://www.virustotal.com/gui/collection/vulnerability--ID

Tabel pengayaan entitas
  1. Tindakan Enrich Entities mendukung pengayaan entity berikut untuk alamat IP:
    2. Kolom pengayaan Sumber (kunci JSON) Penerapan
    GTI_id id Jika tersedia dalam hasil JSON.
    GTI_owner as_owner Jika tersedia dalam hasil JSON.
    GTI_asn asn Jika tersedia dalam hasil JSON.
    GTI_continent continent Jika tersedia dalam hasil JSON.
    GTI_country country Jika tersedia dalam hasil JSON.
    GTI_harmless_count last_analysis_stats/harmless Jika tersedia dalam hasil JSON.
    GTI_malicious_count last_analysis_stats/malicious Jika tersedia dalam hasil JSON.
    GTI_suspicious_count last_analysis_stats/suspicious Jika tersedia dalam hasil JSON.
    GTI_undetected_count last_analysis_stats/undetected Jika tersedia dalam hasil JSON.
    GTI_certificate_valid_not_after validity/not_after Jika tersedia dalam hasil JSON.
    GTI_certificate_valid_not_before validity/not_before Jika tersedia dalam hasil JSON.
    GTI_reputation reputation Jika tersedia dalam hasil JSON.
    GTI_tags Comma-separated list of tags Jika tersedia dalam hasil JSON.
    GTI_malicious_vote_count total_votes/malicious Jika tersedia dalam hasil JSON.
    GTI_harmless_vote_count total_votes/harmless Jika tersedia dalam hasil JSON.
    GTI_report_link report_link Jika tersedia dalam hasil JSON.
    GTI_widget_link widget_url Jika tersedia dalam hasil JSON.
    GTI_threat_score gti_assessment.threat_score.value Jika tersedia dalam hasil JSON.
    GTI_severity gti_assessment.severity.value Jika tersedia dalam hasil JSON.
    GTI_normalised_categories CSV of gti_assessment.contributing_factors.normalised_categories Jika tersedia dalam hasil JSON.
    GTI_verdict gti_assessment.verdict.value Jika tersedia dalam hasil JSON.
    GTI_description gti_assessment.description Jika tersedia dalam hasil JSON.
  2. Tindakan Enrich Entities mendukung pengayaan entity berikut untuk URL:
    3. Kolom pengayaan Sumber (kunci JSON) Penerapan
    GTI_id id Jika tersedia dalam hasil JSON.
    GTI_title title Jika tersedia dalam hasil JSON.
    GTI_last_http_response_code last_http_response_code Jika tersedia dalam hasil JSON.
    GTI_last_http_response_content_length last_http_response_content_length Jika tersedia dalam hasil JSON.
    GTI_threat_names Comma-separated list of threat_names Jika tersedia dalam hasil JSON.
    GTI_harmless_count last_analysis_stats/harmless Jika tersedia dalam hasil JSON.
    GTI_malicious_count last_analysis_stats/malicious Jika tersedia dalam hasil JSON.
    GTI_suspicious_count last_analysis_stats/suspicious Jika tersedia dalam hasil JSON.
    GTI_undetected_count last_analysis_stats/undetected Jika tersedia dalam hasil JSON.
    GTI_reputation reputation Jika tersedia dalam hasil JSON.
    GTI_tags Comma-separated list of tags Jika tersedia dalam hasil JSON.
    GTI_malicious_vote_count total_votes/malicious Jika tersedia dalam hasil JSON.
    GTI_harmless_vote_count total_votes/harmless Jika tersedia dalam hasil JSON.
    GTI_report_link report_link Jika tersedia dalam hasil JSON.
    GTI_widget_link widget_url Jika tersedia dalam hasil JSON.
    GTI_threat_score gti_assessment.threat_score.value Jika tersedia dalam hasil JSON.
    GTI_severity gti_assessment.severity.value Jika tersedia dalam hasil JSON.
    GTI_normalised_categories CSV of gti_assessment.contributing_factors.normalised_categories Jika tersedia dalam hasil JSON.
    GTI_verdict gti_assessment.verdict.value Jika tersedia dalam hasil JSON.
    GTI_description gti_assessment.description Jika tersedia dalam hasil JSON.
    GTI_category_{attributes/categories/json key} {attributes/categories/json key value} Jika tersedia dalam hasil JSON.
  3. Tindakan Enrich Entities mendukung pengayaan entity berikut untuk Hash:
    4. Kolom pengayaan Sumber (kunci JSON) Penerapan
    GTI_id id Jika tersedia dalam hasil JSON.
    GTI_magic magic Jika tersedia dalam hasil JSON.
    GTI_md5 md5 Jika tersedia dalam hasil JSON.
    GTI_sha1 sha1 Jika tersedia dalam hasil JSON.
    GTI_sha256 sha256 Jika tersedia dalam hasil JSON.
    GTI_ssdeep ssdeep Jika tersedia dalam hasil JSON.
    GTI_tlsh tlsh Jika tersedia dalam hasil JSON.
    GTI_vhash vhash Jika tersedia dalam hasil JSON.
    GTI_meaningful_name meaningful_name Jika tersedia dalam hasil JSON.
    GTI_magic Comma-separated list of names Jika tersedia dalam hasil JSON.
    GTI_harmless_count last_analysis_stats/harmless Jika tersedia dalam hasil JSON.
    GTI_malicious_count last_analysis_stats/malicious Jika tersedia dalam hasil JSON.
    GTI_suspicious_count last_analysis_stats/suspicious Jika tersedia dalam hasil JSON.
    GTI_undetected_count last_analysis_stats/undetected Jika tersedia dalam hasil JSON.
    GTI_reputation reputation Jika tersedia dalam hasil JSON.
    GTI_tags Comma-separated list of tags Jika tersedia dalam hasil JSON.
    GTI_malicious_vote_count total_votes/malicious Jika tersedia dalam hasil JSON.
    GTI_harmless_vote_count total_votes/harmless Jika tersedia dalam hasil JSON.
    GTI_report_link report_link Jika tersedia dalam hasil JSON.
    GTI_widget_link widget_url Jika tersedia dalam hasil JSON.
    GTI_threat_score gti_assessment.threat_score.value Jika tersedia dalam hasil JSON.
    GTI_severity gti_assessment.severity.value Jika tersedia dalam hasil JSON.
    GTI_normalized_categories CSV of gti_assessment.contributing_factors.normalised_categories Jika tersedia dalam hasil JSON.
    GTI_verdict gti_assessment.verdict.value Jika tersedia dalam hasil JSON.
    GTI_description gti_assessment.description Jika tersedia dalam hasil JSON.
    GTI_exiftool_{json_key} GTI_exiftool_{json_key.value}
  4. Tindakan Enrich Entities mendukung pengayaan entity berikut untuk Domain/Hostname:
    5. Kolom pengayaan Sumber (kunci JSON) Penerapan
    GTI_id id Jika tersedia dalam hasil JSON.
    GTI_harmless_count last_analysis_stats/harmless Jika tersedia dalam hasil JSON.
    GTI_malicious_count last_analysis_stats/malicious Jika tersedia dalam hasil JSON.
    GTI_suspicious_count last_analysis_stats/suspicious Jika tersedia dalam hasil JSON.
    GTI_undetected_count last_analysis_stats/undetected Jika tersedia dalam hasil JSON.
    GTI_reputation reputation Jika tersedia dalam hasil JSON.
    GTI_tags Comma-separated list of tags Jika tersedia dalam hasil JSON.
    GTI_malicious_vote_count total_votes/malicious Jika tersedia dalam hasil JSON.
    GTI_harmless_vote_count total_votes/harmless Jika tersedia dalam hasil JSON.
    GTI_report_link report_link Jika tersedia dalam hasil JSON.
    GTI_widget_link widget_url Jika tersedia dalam hasil JSON.
    GTI_threat_score gti_assessment.threat_score.value Jika tersedia dalam hasil JSON.
    GTI_severity gti_assessment.severity.value Jika tersedia dalam hasil JSON.
    GTI_normalized_categories CSV of gti_assessment.contributing_factors.normalised_categories Jika tersedia dalam hasil JSON.
    GTI_verdict gti_assessment.verdict.value Jika tersedia dalam hasil JSON.
    GTI_description gti_assessment.description Jika tersedia dalam hasil JSON.
    GGTI_category_{attributes/categories/json key} {attributes/categories/json key value} Jika tersedia dalam hasil JSON.
  5. Tindakan Enrich Entities mendukung pengayaan entity berikut untuk Threat Actor:
    6. Kolom pengayaan Sumber (kunci JSON) Penerapan
    GTI_motivations Csv of motivations/name Jika tersedia dalam hasil JSON.
    GTI_aliases Csv of alt_names_details/value Jika tersedia dalam hasil JSON.
    GTI_industries Csv of targeted_industries/value Jika tersedia dalam hasil JSON.
    GTI_malware Csv of malware/name Jika tersedia dalam hasil JSON.
    GTI_source_region CSV of source_regions_hierarchy/country Jika tersedia dalam hasil JSON.
    GTI_target_region Csv of targeted_regions_hierarchy/country Jika tersedia dalam hasil JSON.
    GTI_origin origin Jika tersedia dalam hasil JSON.
    GTI_description description Jika tersedia dalam hasil JSON.
    GTI_last_activity_time last_activity_time Jika tersedia dalam hasil JSON.
    GTI_report_link We craft it. Jika tersedia dalam hasil JSON.
  6. Tindakan Enrich Entities mendukung pengayaan entity berikut untuk Vulnerability:
    7. Kolom pengayaan Sumber (kunci JSON) Penerapan
    GTI_sources Csv of source_name Jika tersedia dalam hasil JSON.
    GTI_exploitation_state exploitation_state Jika tersedia dalam hasil JSON.
    GTI_date_of_disclosure date_of_disclosure Jika tersedia dalam hasil JSON.
    GTI_vendor_fix_references vendor_fix_references/url Jika tersedia dalam hasil JSON.
    GTI_exploitation_vectors Csv of exploitation_vectors Jika tersedia dalam hasil JSON.
    GTI_description description Jika tersedia dalam hasil JSON.
    GTI_risk_rating risk_rating Jika tersedia dalam hasil JSON.
    GTI_available_mitigation CSV of available_mitigation Jika tersedia dalam hasil JSON.
    GTI_exploitation_consequence exploitation_consequence Jika tersedia dalam hasil JSON.
    GTI_report_link We craft it. Jika tersedia dalam hasil JSON.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON untuk IOC (entity IP, Hash, URL, Domain, dan Hostname) yang diterima saat menggunakan tindakan Enrich Entities:

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

Contoh berikut menunjukkan output hasil JSON untuk Kerentanan yang diterima saat menggunakan tindakan Enrich Entities:

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

Contoh berikut menunjukkan output hasil JSON untuk Pelaku Ancaman yang diterima saat menggunakan tindakan Enrich Entities:

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}
Pesan output

Tindakan Enrich Entities dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID

The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID

The action didn't enrich any of the provided entities.

Tindakan berhasil.
Error executing action "Enrich Entities". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Enrich Entities:

Nama hasil skrip Nilai
is_success True atau False

Memperkaya IOC

Gunakan tindakan Enrich IOCs untuk memperkaya indikator penyusupan (IoC) menggunakan informasi dari Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Enrich IOCs memerlukan parameter berikut:

Parameter Deskripsi
IOC Type

Opsional.

Jenis IOC yang akan diperkaya.

Kemungkinan nilainya adalah sebagai berikut:

  • Filehash
  • URL
  • Domain
  • IP Address

Nilai defaultnya adalah Filehash.
IOCs

Wajib.

Daftar IOC yang dipisahkan koma untuk menyerap data.
Widget Theme

Opsional.

Gaya visual yang diterapkan ke widget IOC yang ditingkatkan.

Kemungkinan nilainya adalah sebagai berikut:

  • Dark
  • Dark Blue
  • Light

Nilai defaultnya adalah Dark Blue.

Output tindakan

Tindakan Enrich IOCs memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tersedia
Tabel repositori kasus Tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia

Tindakan Enrich IOCs dapat memberikan link berikut untuk setiap entitas yang diperkaya:

Nama: Link Laporan

Nilai: URL

Tabel repositori kasus

Tindakan Enrich IOCs dapat memberikan tabel berikut untuk setiap entitas yang diperkaya:

Nama tabel: IOC_ID

Kolom tabel:

  • Nama
  • Kategori
  • Metode
  • Hasil
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Enrich IOCs:

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}
Pesan output

Tindakan Enrich IOCs dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST

No information found for the following IOCs using Google Threat Intelligence: IOC_LIST

No information about IOCs was found.

 Tindakan berhasil.
Error executing action "Enrich IOC". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Enrich IOCs:

Nama hasil skrip Nilai
is_success True atau False

Gunakan tindakan Execute IOC Search untuk menjalankan penelusuran IOC di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Execute IOC Search memerlukan parameter berikut:

Parameter Deskripsi
Search Query

Wajib.

Kueri penelusuran yang akan dijalankan, seperti crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return

Opsional.

Jumlah hasil maksimum yang akan ditampilkan untuk setiap eksekusi tindakan.

Nilai maksimumnya adalah 200.

Nilai defaultnya adalah 50.

Output tindakan

Tindakan Execute IOC Search memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Execute IOC Search:

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}
Pesan output

Tindakan Execute IOC Search dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully found results for the provided query in Google Threat Intelligence.

No results were found for the provided query in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Execute IOC Search". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Execute IOC Search:

Nama hasil skrip Nilai
is_success True atau False

Mendapatkan Detail Entity ASM

Gunakan tindakan Get ASM Entity Details untuk mendapatkan informasi tentang entity ASM di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get ASM Entity Details memerlukan parameter berikut:

Parameter Deskripsi
Entity ID

Wajib.

Daftar ID entitas yang dipisahkan koma untuk mendapatkan detail.

Output tindakan

Tindakan Get ASM Entity Details memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get ASM Entity Details:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED >
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}
Pesan output

Tindakan Get ASM Entity Details dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID

The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID

 Tindakan berhasil.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get ASM Entity Details:

Nama hasil skrip Nilai
is_success True atau False

Mendapatkan Detail Grafik

Gunakan tindakan Get Graph Details untuk mendapatkan informasi mendetail tentang grafik di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Graph Details memerlukan parameter berikut:

Parameter Deskripsi
Graph ID

Wajib.

Daftar ID grafik yang dipisahkan koma untuk mengambil detail.
Max Links To Return

Wajib.

Jumlah maksimum link yang akan ditampilkan untuk setiap grafik.

Nilai defaultnya adalah 50.

Output tindakan

Tindakan Get Graph Details memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Tabel repositori kasus

Tindakan Get Graph Details dapat memberikan tabel berikut untuk setiap entity yang diperkaya:

Nama tabel: Link GRAPH_ID Grafik

Kolom tabel:

  • Source
  • Target
  • Jenis Koneksi
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Graph Details:

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}
Pesan output

Tindakan Get Graph Details dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS

Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS

No information about the provided graphs was found.

 Tindakan berhasil.
Error executing action "Get Graph Details". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Graph Details:

Nama hasil skrip Nilai
is_success True atau False

Gunakan tindakan Get Related Associations untuk mendapatkan informasi tentang asosiasi (laporan, kampanye, koleksi, jenis malware, toolkit software, kerentanan, pelaku ancaman) yang terkait dengan entitas di Google Threat Intelligence.

Tindakan ini berjalan di entity Google SecOps berikut:

  • IP address
  • URL
  • File hash
  • Hostname
  • Domain

Input tindakan

Tindakan Get Related Associations memerlukan parameter berikut:

Parameter Deskripsi
Association Types

Opsional.

Daftar pengaitan yang dipisahkan koma yang akan ditampilkan.

Laporan diproses setelah semua pengaitan lainnya selesai.

Kemungkinan nilainya adalah sebagai berikut:

  • Report
  • Campaign
  • Collection
  • Malware Family
  • Vulnerability
  • Threat Actor

Jika tidak ada nilai yang diberikan, tindakan akan menampilkan semua pengaitan.
Create Entity

Opsional.

Jika dipilih, tindakan ini akan membuat entity untuk Pelaku Ancaman, Kerentanan dan Paparan Umum (CVE), serta Kampanye terkait, yang menautkannya ke entity asli.

Hanya entitas CVE, Pelaku Ancaman, dan Kampanye yang dibuat.
Max Associations To Return

Opsional.

Jumlah maksimum IoC yang akan ditampilkan untuk setiap entity.

Nilai maksimumnya adalah 100.

Nilai defaultnya adalah 50.

Output tindakan

Tindakan Get Related Associations memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip. Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Related Associations:

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}
Pesan output

Tindakan Get Related Associations dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID.

No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID.

No related associations were found for the provided entities in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Get Related Associations". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Related Associations:

Nama hasil skrip Nilai
is_success True atau False

Gunakan tindakan Get Related IOCs untuk mendapatkan informasi tentang IOC yang terkait dengan entity menggunakan informasi dari Google Threat Intelligence.

Tindakan ini hanya mendukung hash MD5, SHA-1, dan SHA-256.

Tindakan ini berjalan di entity Google SecOps berikut:

  • IP address
  • URL
  • Hostname
  • Domain
  • Hash
  • Threat Actor

Input tindakan

Tindakan Get Related IOCs memerlukan parameter berikut:

Parameter Deskripsi
IOC Types

Wajib.

Daftar IOC yang dipisahkan koma untuk diekstrak.

Nilai yang mungkin adalah sebagai berikut: IP, Hash, URL, Domain.
Max IOCs To Return

Wajib.

Jumlah maksimum IOC yang akan ditampilkan untuk jenis IOC yang dipilih untuk setiap entity.

Nilai defaultnya adalah 40.

Output tindakan

Tindakan Get Related IOCs memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip. Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Related IOCs:

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}
Pesan output

Tindakan Get Related IOCs dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY

No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY.

No related IOCs were found for the provided entities.

 Tindakan berhasil.
Error executing action "Get Related IOCs". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Related IOCs:

Nama hasil skrip Nilai
is_success True atau False

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip. Tersedia
Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully connected to the Google Threat Intelligence server with the provided connection parameters!

 Tindakan berhasil.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip Nilai
is_success True atau False

URL Pengiriman Pribadi

Gunakan tindakan Private Submit URL untuk mengirimkan URL untuk pemindaian pribadi dalam Google Threat Intelligence.

Tindakan ini berjalan di entity Google SecOps berikut:

  • URL

Input tindakan

Tindakan Private Submit URL memerlukan parameter berikut:

Parameter Deskripsi
URL

Opsional.

Daftar URL yang dipisahkan koma untuk dipindai.

Sistem akan memproses nilai yang dimasukkan bersama dengan entity URL yang ditemukan oleh operasi.

Check Existing Submissions First

Opsional.

Jika dipilih, tindakan ini akan memeriksa URL untuk mengetahui informasi pengiriman publik atau pribadi yang ada. Jika ditemukan, tindakan akan segera menampilkan informasi, melewati alur pengiriman.

Dinonaktifkan secara default.
Resubmit After (Days)

Opsional.

Jumlah hari minimum yang harus berlalu setelah tanggal analisis publik terakhir URL agar URL memenuhi syarat untuk dikirim ulang.

Nilai defaultnya adalah 30.

Output tindakan

Tindakan Private Submit URL memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip. Tersedia

Tindakan Private Submit URL dapat menampilkan link berikut:

Link Laporan URL: URL to the GTI UI displaying the submission details.

Tabel pengayaan entitas

Tindakan Private Submit URL mendukung pengayaan entity berikut untuk entity URL saat data diambil dari pengiriman publik:

Kolom pengayaan Sumber (kunci JSON) Penerapan
GTI_id id Jika tersedia dalam hasil JSON.
GTI_title title Jika tersedia dalam hasil JSON.
GTI_last_http_response_code last_http_response_code Jika tersedia dalam hasil JSON.
GTI_last_http_response_content_length last_http_response_content_length Jika tersedia dalam hasil JSON.
GTI_threat_names Daftar threat_names yang dipisahkan koma Jika tersedia dalam hasil JSON.
GTI_harmless_count last_analysis_stats/harmless Jika tersedia dalam hasil JSON.
GTI_malicious_count last_analysis_stats/malicious Jika tersedia dalam hasil JSON.
GTI_suspicious_count last_analysis_stats/suspicious Jika tersedia dalam hasil JSON.
GTI_undetected_count last_analysis_stats/undetected Jika tersedia dalam hasil JSON.
GTI_reputation reputation Jika tersedia dalam hasil JSON.
GTI_tags Daftar tags yang dipisahkan koma Jika tersedia dalam hasil JSON.
GTI_malicious_vote_count total_votes/malicious Jika tersedia dalam hasil JSON.
GTI_harmless_vote_count total_votes/harmless Jika tersedia dalam hasil JSON.
GTI_report_link report link Jika tersedia dalam hasil JSON.
GTI_widget_link widget_url Jika tersedia dalam hasil JSON.
GTI_threat_score gti_assessment.threat_score.value Jika tersedia dalam hasil JSON.
GTI_severity gti_assessment.severity.value Jika tersedia dalam hasil JSON.
GTI_normalised_categories CSV gti_assessment.contributing_factors.normalised_categories Jika tersedia dalam hasil JSON.
GTI_verdict gti_assessment.verdict.value Jika tersedia dalam hasil JSON.
GTI_description gti_assessment.description Jika tersedia dalam hasil JSON.
GTI_category_{attributes/categories/json key} {attributes/categories/json key value} Jika tersedia dalam hasil JSON.

Tindakan Private Submit URL mendukung pengayaan entity berikut untuk entity URL saat data diambil dari pengiriman pribadi:

Kolom pengayaan Sumber (kunci JSON) Penerapan
GTI_id id Jika tersedia dalam hasil JSON.
GTI_title title Jika tersedia dalam hasil JSON.
GTI_last_http_response_code last_http_response_code Jika tersedia dalam hasil JSON.
GTI_last_http_response_content_length last_http_response_content_length Jika tersedia dalam hasil JSON.
GTI_tags Daftar tags yang dipisahkan koma Jika tersedia dalam hasil JSON.
GTI_report_link report link Jika tersedia dalam hasil JSON.
GTI_widget_link widget_url Jika tersedia dalam hasil JSON.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Private Submit URL:

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}
Pesan output

Tindakan Private Submit URL dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned information about the following URLs in Google Threat Intelligence: URLS.

Action couldn't find information about the following URLs in Google Threat Intelligence: URLS.

None of the provided URLs were processed in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Private Submit URL". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Private Submit URL:

Nama hasil skrip Nilai
is_success true atau false

Menelusuri Entity ASM

Gunakan tindakan Search ASM Entities untuk menelusuri entity ASM di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Search ASM Entities memerlukan parameter berikut:

Parameter Deskripsi
Project Name

Opsional.

Nama project ASM.

Jika Anda tidak menetapkan nilai, tindakan akan menggunakan nilai yang Anda konfigurasi untuk parameter integrasi ASM Project Name.
Entity Name

Opsional.

Daftar nama entity yang dipisahkan koma untuk menemukan entity.

Tindakan ini memperlakukan nama entity yang berisi / garis miring sebagai nilai yang tidak valid.
Minimum Vulnerabilities Count

Opsional.

Jumlah minimum kerentanan yang diperlukan agar tindakan menampilkan entity.
Minimum Issues Count

Opsional.

Jumlah minimum masalah yang diperlukan agar tindakan menampilkan entity.
Tags

Opsional.

Daftar nama tag yang dipisahkan koma untuk digunakan saat menelusuri entity.
Max Entities To Return

Opsional.

Jumlah entity yang akan ditampilkan.

Nilai maksimumnya adalah 200. Nilai defaultnya adalah 50.
Critical or High Issue

Opsional.

Jika dipilih, tindakan hanya akan menampilkan masalah dengan tingkat keparahan High dan Critical.

Tidak dipilih secara default.

Output tindakan

Tindakan Search ASM Entities memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Search ASM Entities:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}
Pesan output

Tindakan Search ASM Entities dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned entities based on the provided criteria in Google Threat Intelligence.

No entities were found based on the provided criteria in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Search ASM Entities". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Search ASM Entities:

Nama hasil skrip Nilai
is_success True atau False

Menelusuri Masalah ASM

Gunakan tindakan Search ASM Issues untuk menelusuri masalah ASM di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Search ASM Issues memerlukan parameter berikut:

Parameter Deskripsi
Project Name

Opsional.

Nama project ASM.

Jika Anda tidak menetapkan nilai, tindakan akan menggunakan nilai yang Anda konfigurasi untuk parameter integrasi ASM Project Name.
Issue ID

Opsional.

Daftar ID masalah yang dipisahkan koma untuk menampilkan detailnya.
Entity ID

Opsional.

Comma separated list berisi ID entitas untuk menemukan masalah terkait.
Entity Name

Opsional.

Daftar nama entity yang dipisahkan koma untuk menemukan masalah terkait.

Tindakan ini memperlakukan nama entity yang berisi / garis miring sebagai nilai yang tidak valid.
Time Parameter

Opsional.

Opsi filter untuk menetapkan waktu masalah.

Nilai yang mungkin adalah First Seen dan Last Seen.

Nilai defaultnya adalah First Seen.
Time Frame

Opsional.

Periode untuk memfilter masalah. Jika Anda memilih Custom, konfigurasikan parameter Start Time.

Kemungkinan nilainya adalah sebagai berikut:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

Nilai defaultnya adalah Last Hour.
Start Time

Opsional.

Waktu mulai untuk hasil.

Jika Anda memilih Custom untuk parameter Time Frame, parameter ini wajib diisi.

Konfigurasikan nilai dalam format ISO 8601.
End Time

Opsional.

Waktu berakhir untuk hasil.

Jika Anda memilih Custom untuk parameter Time Frame dan tidak menetapkan waktu akhir, parameter ini akan menggunakan waktu saat ini sebagai waktu akhir.

Konfigurasikan nilai dalam format ISO 8601.
Lowest Severity To Return

Opsional.

Tingkat keparahan terendah dari masalah yang akan ditampilkan.

Kemungkinan nilainya adalah sebagai berikut:

  • Select One
  • Critical
  • High
  • Medium
  • Low
  • Informational

Nilai defaultnya adalah Select One.

Jika Anda memilih Select One, filter ini tidak berlaku untuk penelusuran.
Status

Opsional.

Filter status untuk penelusuran.

Nilai yang mungkin adalah Open, Closed, dan Select One.

Nilai defaultnya adalah Select One.

Jika Anda memilih Select One, filter ini tidak berlaku untuk penelusuran.
Tags

Opsional.

Daftar nama tag yang dipisahkan koma untuk digunakan saat menelusuri masalah.
Max Issues To Return

Wajib.

Jumlah masalah yang akan ditampilkan.

Nilai maksimumnya adalah 200. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Search ASM Issues memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Search ASM Issues:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}
Pesan output

Tindakan Search ASM Issues dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned issues based on the provided criteria in Google Threat Intelligence.

No issues were found based on the provided criteria in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Search ASM Issues". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Search ASM Issues:

Nama hasil skrip Nilai
is_success True atau False

Menelusuri Grafik Entity

Gunakan tindakan Search Entity Graphs untuk menelusuri grafik yang didasarkan pada entitas Google SecOps di Google Threat Intelligence.

Tindakan ini hanya mendukung hash MD5, SHA-1, dan SHA-256.

Tindakan ini berjalan di entity Google SecOps berikut:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL
  • User

Input tindakan

Tindakan Search Entity Graphs memerlukan parameter berikut:

Parameter Deskripsi
Sort Field

Opsional.

Nilai kolom untuk mengurutkan hasil.

Kemungkinan nilainya adalah sebagai berikut:

  • Owner
  • Creation Date
  • Last Modified Date
  • Views Count
  • Comments Count

Nilai defaultnya adalah Owner.
Max Graphs To Return

Opsional.

Jumlah maksimum grafik yang akan ditampilkan untuk setiap eksekusi tindakan.

Nilai defaultnya adalah 10.

Output tindakan

Tindakan Search Entity Graphs memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Search Entity Graphs:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}
Pesan output

Tindakan Search Entity Graphs dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned graphs based on the provided entities in Google Threat Intelligence.

Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON.

No graphs were found for the provided entities.

 Tindakan berhasil.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Grafik Penelusuran

Gunakan tindakan Search Graphs untuk menelusuri grafik berdasarkan filter kustom di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Search Graphs memerlukan parameter berikut:

Parameter Deskripsi
Query

Wajib.

Filter kueri untuk grafik.

Misalnya, untuk menelusuri grafik dalam periode yang dipilih, format kueri sebagai berikut: creation_date:2018-11-1+creation_date:2018-11-12

Untuk mengetahui informasi selengkapnya tentang kueri, lihat Cara membuat kueri, Pengubah terkait grafik, dan Pengubah terkait node.
Sort Field

Opsional.

Nilai kolom untuk mengurutkan grafik VirusTotal.

Kemungkinan nilainya adalah sebagai berikut:

  • Comments Count
  • Creation Date
  • Last Modified Date
  • Owner
  • Views Count

Nilai defaultnya adalah Owner.
Max Graphs To Return

Opsional.

Jumlah maksimum grafik yang akan ditampilkan untuk setiap eksekusi tindakan.

Nilai defaultnya adalah 10.

Cara membuat kueri

Untuk menyaring hasil penelusuran dari grafik, buat kueri yang berisi pengubah terkait grafik. Untuk meningkatkan kualitas penelusuran, Anda dapat menggabungkan pengubah dengan operator AND, OR, dan NOT.

Kolom tanggal dan numerik mendukung akhiran plus + dan minus -. Akhiran plus cocok dengan nilai yang lebih besar dari nilai yang diberikan. Akhiran minus cocok dengan nilai yang lebih kecil dari nilai yang diberikan. Tanpa akhiran, kueri akan menampilkan kecocokan persis.

Untuk menentukan rentang, Anda dapat menggunakan pengubah yang sama beberapa kali dalam kueri. Misalnya, untuk menelusuri grafik yang dibuat antara 15-11-2018 dan 20-11-2018, gunakan kueri berikut:

creation_date:2018-11-15+ creation_date:2018-11-20-

Untuk tanggal atau bulan yang diawali dengan 0, hapus karakter 0 dalam kueri. Misalnya, format tanggal 2018-11-01 sebagai 2018-11-1.

Tabel berikut mencantumkan pengubah terkait grafik yang dapat Anda gunakan untuk membuat kueri penelusuran:

Nama pengubah Deskripsi Contoh
id Memfilter menurut ID grafik. id:g675a2fd4c8834e288af
name Memfilter menurut nama grafik. name:Example-name
owner Memfilter menurut grafik yang dimiliki oleh pengguna. owner:example_user
group Memfilter menurut grafik yang dimiliki oleh grup. group:example
visible_to_user Memfilter menurut grafik yang dapat dilihat oleh pengguna. visible_to_user:example_user
visible_to_group Memfilter menurut grafik yang terlihat oleh grup. visible_to_group:example
private Memfilter menurut grafik pribadi. private:true, private:false
creation_date Memfilter menurut tanggal pembuatan grafik. creation_date:2018-11-15
last_modified_date Memfilter menurut tanggal modifikasi grafik terbaru. last_modified_date:2018-11-20
total_nodes Memfilter menurut grafik yang berisi jumlah node tertentu. total_nodes:100
comments_count Memfilter berdasarkan jumlah komentar dalam grafik. comments_count:10+
views_count Memfilter berdasarkan jumlah tampilan grafik. views_count:1000+

Tabel berikut mencantumkan pengubah terkait grafik yang dapat Anda gunakan untuk membuat kueri penelusuran:

Nama pengubah Deskripsi Contoh
label Memfilter menurut grafik yang berisi node dengan label tertentu. label:Kill switch
file Memfilter menurut grafik yang berisi file tertentu. file:131f95c51cc819465fa17
domain Memfilter menurut grafik yang berisi domain tertentu. domain:example.com
ip_address Memfilter menurut grafik yang berisi alamat IP tertentu. ip_address:203.0.113.1
url Memfilter menurut grafik yang berisi URL tertentu. url:https://example.com/example/
actor Memfilter menurut grafik yang berisi aktor tertentu. actor:example actor
victim Memfilter menurut grafik yang berisi korban tertentu. victim:example_user
email Memfilter menurut grafik yang berisi alamat email tertentu. email:user@example.com
department Memfilter menurut grafik yang berisi departemen tertentu. department:engineers

Output tindakan

Tindakan Search Graphs memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Search Graphs:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}
Pesan output

Tindakan Search Graphs dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned graphs for the provided query in Google Threat Intelligence.

No graphs were found for the provided query.

 Tindakan berhasil.
Error executing action "Search Graphs". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Search Graphs:

Nama hasil skrip Nilai
is_success True atau False

Menetapkan Analisis Pemberitahuan DTM

Gunakan tindakan Set DTM Alert Analysis untuk menentukan analisis untuk pemberitahuan Digital Threat Monitoring (DTM) di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Set DTM Alert Analysis memerlukan parameter berikut:

Parameter Deskripsi
Alert ID

Wajib.

ID pemberitahuan yang akan ditambahkan analisis.
Text

Wajib.

Analisis yang akan ditambahkan ke pemberitahuan.
Attachment File Paths

Opsional.

Daftar jalur file yang dipisahkan koma untuk dilampirkan ke pemberitahuan.

Maksimum 10 lampiran yang didukung.

Output tindakan

Tindakan Set DTM Alert Analysis memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip. Tersedia
Pesan output

Tindakan Set DTM Alert Analysis dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 Tindakan berhasil.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Set DTM Alert Analysis:

Nama hasil skrip Nilai
is_success True atau False

Mengirim File

Gunakan tindakan Submit File untuk mengirim file dan menampilkan hasil dari Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Tindakan ini bersifat asinkron. Sesuaikan nilai waktu tunggu skrip di lingkungan pengembangan terintegrasi (IDE) Google SecOps untuk tindakan sesuai kebutuhan.

Input tindakan

Tindakan Kirim File memerlukan parameter berikut:

Parameter Deskripsi
GTI Score

Opsional.

Skor Google Threat Intelligence yang digunakan untuk menetapkan properti is_risky ke true dalam hasil JSON. Kondisi ini divalidasi bersama dengan informasi putusan Google Threat Intelligence.

Jika tidak ada nilai yang diberikan, tindakan akan mengabaikan skor Google Threat Intelligence.

Nilai defaultnya adalah 60.
Engine Threshold

Opsional.

Jumlah minimum mesin keamanan yang harus menandai entitas sebagai berbahaya atau mencurigakan untuk menetapkan properti is_risky ke true. Kondisi ini divalidasi bersama dengan informasi putusan Google Threat Intelligence.

Jika Engine Allowlist berisi nilai, hanya hasil dari mesin tertentu yang dihitung.

Jika tidak ada nilai yang diberikan, tindakan akan mengabaikan penghitungan jumlah mesin.
Engine Percentage Threshold

Opsional.

Persentase minimum mesin keamanan yang harus menandai entitas sebagai berbahaya atau mencurigakan untuk menetapkan properti is_risky ke true (0 dan 100).

Jika Engine Allowlist berisi nilai, persentase akan dihitung hanya dari mesin tertentu tersebut.

Jika Engine Threshold dan Engine Percentage Threshold disediakan, Engine Threshold akan diprioritaskan.

Jika tidak ada nilai yang diberikan, tindakan akan mengabaikan penghitungan persentase.
Engine Allowlist

Opsional.

Daftar mesin keamanan yang dipisahkan koma untuk digunakan saat menentukan bahaya (misalnya, AlienVault,Kaspersky).

Mesin yang tidak menampilkan informasi tentang entity akan dikecualikan dari penghitungan Engine Threshold dan Engine Percentage Threshold.

Jika tidak ada nilai yang diberikan, tindakan akan mengambil hasil dari setiap mesin yang tersedia.
External URLs

Opsional.

Comma separated list berisi URL publik untuk file yang akan dikirimkan. Jika "URL Eksternal" dan "Jalur File" disediakan, tindakan akan mengumpulkan file dari kedua input.
File Paths

Opsional.

Daftar jalur file absolut yang dipisahkan koma. Jika Anda mengonfigurasi parameter **Linux Server Address**, tindakan akan mencoba mengambil file dari server jarak jauh. Jika "URL Eksternal" dan "Jalur File" disediakan, tindakan akan mengumpulkan file dari kedua input.
Check Hash First

Opsional. Default: Dinonaktifkan.

Jika diaktifkan, tindakan akan menghitung hash untuk file dan penelusuran terlebih dahulu, jika ada informasi yang tersedia untuk file tersebut. Jika tersedia, informasi tersebut akan ditampilkan tanpa alur pengiriman.
Resubmit After (Days)

Opsional.

Jumlah hari yang harus ditunggu sebelum tindakan mengirim ulang file (meskipun hash tersedia untuk file dalam database GTI).

Anda harus mengaktifkan Check Hash First untuk menggunakan parameter ini.

Nilai defaultnya adalah 30.
Fetch MITRE Details

Opsional.

Jika dipilih, tindakan akan menampilkan informasi tentang teknik dan taktik MITRE terkait.

Tidak dipilih secara default.
Lowest MITRE Technique Severity

Opsional.

Tingkat keparahan teknik MITRE terendah yang akan ditampilkan.

Tindakan ini memperlakukan tingkat keparahan Unknown sebagai Info.

Parameter ini hanya mendukung entitas Hash.

Nilai defaultnya adalah Low.
Private Submission

Opsional.

Jika dipilih, tindakan akan mengirimkan file dalam mode pribadi.

Untuk mengirimkan file secara pribadi, diperlukan VirusTotal Premium API.
Retrieve Comments

Opsional.

Jika dipilih, tindakan akan mengambil komentar tentang file yang dikirimkan.
Max Comments To Return

Opsional.

Jumlah maksimum komentar yang akan ditampilkan dalam setiap eksekusi tindakan.
Linux Server Address

Opsional.

Alamat IP server Linux jarak jauh tempat file berada.
Linux Username

Opsional.

Nama pengguna server Linux jarak jauh tempat file berada.
Linux Password

Opsional.

Sandi server Linux jarak jauh tempat file berada.
ZIP Password

Opsional.

Sandi untuk folder ZIP yang berisi file yang akan dikirimkan.

Output tindakan

Tindakan Submit File memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip. Tersedia

Tindakan Kirim File dapat menampilkan link berikut:

Link Laporan PATH: URL

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Submit File:

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}
Pesan output

Tindakan Kirim File dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned details about the following files using Google Threat Intelligence:PATHS.

The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS.

The action wasn't able to find the following files: PATHS.

The action didn't retrieve any details about the files or none of the files were found.

The action is waiting for results for the following files: PATHS.

The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.

 Tindakan berhasil.
Error executing action "Submit File". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Submit File". Reason: ERROR_REASON

Tidak ada nilai "File Paths" atau "External URLs"

Setidaknya salah satu parameter "File Paths" atau "External URLs" harus memiliki nilai.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Kirim File:

Nama hasil skrip Nilai
is_success True atau False

Memperbarui Masalah ASM

Gunakan tindakan Update ASM Issue untuk memperbarui masalah ASM di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Update ASM Issue memerlukan parameter berikut:

Parameter Deskripsi
Issue ID

Wajib.

ID masalah yang akan diperbarui.
Status

Wajib.

Status baru yang akan ditetapkan untuk masalah.

Kemungkinan nilainya adalah sebagai berikut:

  • Select One
  • New
  • Triaged
  • In Progress
  • Resolved
  • Duplicate
  • Out Of Scope
  • Not A Security Issue (Benign)
  • Risk Accepted
  • False Positive
  • Unable To Reproduce
  • Tracked Externally
  • Mitigated

Nilai defaultnya adalah Select One. Jika Anda menggunakan nilai default, tindakan akan gagal.

Output tindakan

Tindakan Update ASM Issue memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Update ASM Issue:

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}
Pesan output

Tindakan Update ASM Issue dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence. Tindakan berhasil.
Error executing action "Update ASM Issue". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Update ASM Issue:

Nama hasil skrip Nilai
is_success True atau False

Memperbarui Pemberitahuan DTM

Gunakan tindakan Update DTM Alert untuk memperbarui pemberitahuan Mandiant Digital Threat Monitoring di Google Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Update DTM Alert memerlukan parameter berikut:

Parameter Deskripsi
Alert ID

Wajib.

ID pemberitahuan yang akan diperbarui.
Status

Opsional.

Status baru yang akan ditetapkan untuk pemberitahuan.

Kemungkinan nilainya adalah sebagai berikut:

  • Select One
  • New
  • Read
  • Resolved
  • Escalated
  • In Progress
  • No Action Required
  • Duplicate
  • Not Relevant
  • Tracked Externally

Nilai defaultnya adalah Select One. Jika Anda menggunakan nilai default, tindakan akan gagal.

Output tindakan

Tindakan Update DTM Alert memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Update DTM Alert:

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}
Pesan output

Tindakan Update DTM Alert dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring. Tindakan berhasil.
Error executing action "Update DTM Alert". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Update DTM Alert:

Nama hasil skrip Nilai
is_success True atau False

Konektor

Untuk mempelajari lebih lanjut cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data (konektor).

Google Threat Intelligence - Konektor Pemberitahuan DTM

Gunakan Google Threat Intelligence - DTM Alerts Connector untuk mengambil pemberitahuan dari Google Threat Intelligence. Untuk menggunakan daftar dinamis, gunakan parameter alert_type.

Input konektor

Google Threat Intelligence - DTM Alerts Connector memerlukan parameter berikut:

Parameter Deskripsi
Product Field Name

Wajib.

Nama kolom tempat nama produk disimpan.

Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default.

Nilai defaultnya adalah Product Name.
Event Field Name

Wajib.

Nama kolom yang menentukan nama peristiwa (subjenis).

Nilai defaultnya adalah event_type.
Environment Field Name

Opsional.

Nama kolom tempat nama lingkungan disimpan.

Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default.

Nilai defaultnya adalah "".
Environment Regex Pattern

Opsional.

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler.

Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout

Wajib.

Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini.

Nilai defaultnya adalah 180.
API Root

Wajib.

Root API instance Google Threat Intelligence.

Nilai defaultnya adalah https://www.virustotal.com.
API Key

Wajib.

Kunci API Google Threat Intelligence.
Lowest Severity To Fetch

Opsional.

Tingkat keparahan terendah dari pemberitahuan yang akan diambil.

Jika Anda tidak mengonfigurasi parameter ini, konektor akan menyerap pemberitahuan dengan semua tingkat keparahan.

Kemungkinan nilainya adalah sebagai berikut:

  • Low
  • Medium
  • High
Monitor ID Filter

Opsional.

Daftar ID monitor yang dipisahkan koma untuk mengambil pemberitahuan.
Monitor Name Filter

Opsional.

Daftar nama monitor yang dipisahkan koma untuk mengambil pemberitahuan.

Jika beberapa monitor memiliki nama yang sama, konektor akan menyerap dari semua monitor tersebut.

Parameter ini dievaluasi bersama nilai ID Monitor menggunakan logika OR.
Event Type Filter

Opsional.

Daftar jenis peristiwa yang dipisahkan koma untuk ditampilkan.

Input tidak peka huruf besar/kecil. Jika tidak ada nilai yang diberikan, konektor akan memproses semua jenis peristiwa.

Untuk mengecualikan jenis tertentu, awali dengan tanda seru (seperti, !event_type).
Disable Overflow

Opsional.

Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps.

Diaktifkan secara default.
Max Hours Backwards

Wajib.

Jumlah jam sebelum waktu saat ini untuk mengambil pemberitahuan.

Parameter ini dapat berlaku untuk iterasi konektor awal setelah Anda mengaktifkan konektor untuk pertama kalinya, atau nilai pengganti untuk stempel waktu konektor yang sudah tidak berlaku.

Nilai defaultnya adalah 1.
Max Alerts To Fetch

Wajib.

Jumlah pemberitahuan yang akan diproses dalam setiap iterasi konektor.

Nilai maksimumnya adalah 25. Nilai defaultnya adalah 25.
Use dynamic list as a blocklist

Wajib.

Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar yang tidak diizinkan.

Tidak dipilih secara default.
Verify SSL

Wajib.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google Threat Intelligence.

Diaktifkan secara default.
Proxy Server Address

Opsional.

Alamat server proxy yang akan digunakan.
Proxy Username

Opsional.

Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password

Opsional.

Sandi proxy untuk melakukan autentikasi.
Anonymize Passwords

Opsional.

Jika dipilih, konektor akan menganonimkan kolom sandi dalam data pemberitahuan dengan mengganti karakter dengan tanda bintang, sehingga hanya karakter pertama dan terakhir yang terlihat.

Aturan konektor

Google Threat Intelligence - DTM Alerts Connector mendukung proxy.

Peristiwa konektor

Ada dua jenis peristiwa untuk Google Threat Intelligence - DTM Alerts Connector: peristiwa yang didasarkan pada pemberitahuan utama dan peristiwa yang didasarkan pada topik.

Contoh peristiwa konektor berdasarkan pemberitahuan utama adalah sebagai berikut:

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "user@example.com",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "user@example.com",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

Contoh peristiwa konektor berdasarkan topik adalah sebagai berikut:

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence - GTI Alerts Connector

Gunakan Google Threat Intelligence - GTI Alerts Connector untuk mengambil notifikasi, temuan, dokumen, dan entitas terkait dark web intelligence Google Threat Intelligence dari Google Threat Intelligence.

Konektor ini menggunakan daftar dinamis untuk memfilter nilai detailType.

Kasus penggunaan

Google Threat Intelligence - GTI Alerts Connector membantu tim operasi keamanan mengotomatiskan penyerapan dan triase Dark Web Intelligence (DWI) serta pemberitahuan ancaman ke Google SecOps. Untuk setiap pemberitahuan yang diserap, konektor memetakan pemberitahuan utama, temuan terkait, dokumen dark web, dan indikator penyusupan (IOC) multi-nilai ke dalam peristiwa Google SecOps terpisah untuk investigasi dan respons otomatis.

Input konektor

Konfigurasikan konektor ini menggunakan parameter berikut:

Parameter Deskripsi
DeviceProductField

Wajib.

Nama kolom yang menentukan produk perangkat.

Nilai defaultnya adalah Product Name.
EventClassId

Wajib.

Nama kolom yang menentukan nama peristiwa (subjenis).

Nilai defaultnya adalah eventType.
PythonProcessTimeout

Wajib.

Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini.

Nilai defaultnya adalah 180.
Environment Field Name

Opsional.

Nama kolom tempat nama lingkungan disimpan.

Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default.
Environment Regex Pattern

Opsional.

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler.

Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
API Root

Wajib.

Root API instance Google Threat Intelligence, termasuk jalur project Google Cloud (misalnya, https://threatintelligence.googleapis.com/v1beta/projects/YOUR_PROJECT_ID).

Nilai defaultnya adalah https://threatintelligence.googleapis.com.
API Key

Wajib.

Kunci API Google Threat Intelligence.
Lowest Severity To Fetch

Opsional.

Tingkat keparahan terendah dari pemberitahuan yang akan diambil.

Jika Anda tidak mengonfigurasi parameter ini, konektor akan menyerap pemberitahuan dengan semua tingkat keparahan.

Kemungkinan nilainya adalah sebagai berikut:

  • Critical
  • High
  • Medium
  • Low
  • Informational
Alert Type Filter

Opsional.

Daftar nilai detailType pemberitahuan dark web yang dipisahkan koma untuk diambil (misalnya, data_leak, insider_threat, initial_access_broker, target_technology).
Max Hours Backwards

Wajib.

Jumlah jam sebelum iterasi konektor awal untuk mengambil pemberitahuan.

Nilai defaultnya adalah 1.
Max Alerts To Fetch

Wajib.

Jumlah maksimum pemberitahuan yang akan diproses per iterasi konektor.

Nilai maksimumnya adalah 100.

Nilai defaultnya adalah 25.
Use dynamic list as a blocklist

Wajib.

Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar yang tidak diizinkan.
Verify SSL

Wajib.

Jika dipilih, konektor akan memverifikasi bahwa sertifikat SSL untuk terhubung ke Google Threat Intelligence valid.

Diaktifkan secara default.
Disable Overflow

Opsional.

Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps.

Diaktifkan secara default.
Proxy Server Address

Opsional.

Alamat server proxy yang akan digunakan.
Proxy Username

Opsional.

Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password

Opsional.

Sandi proxy untuk melakukan autentikasi.

Dukungan proxy

Konektor mendukung proxy.

Peristiwa konektor

Contoh berikut menunjukkan peristiwa kustom yang dihasilkan oleh Google Threat Intelligence - GTI Alerts Connector:

{
  "name": "projects/gti-project/alerts/alert-123",
  "displayName": "Leaked Credentials Alert",
  "detail_detailType": "leaked_credentials",
  "detail_leakedCredentials_severity": "HIGH",
  "severityAnalysis_severityLevel": "SEVERITY_LEVEL_HIGH",
  "priorityAnalysis_priorityLevel": "PRIORITY_LEVEL_HIGH",
  "aiSummary": "Leaked credentials detected for Cymbal Bank.",
  "audit_createTime": "2026-09-15T10:00:00Z",
  "audit_updateTime": "2026-09-15T10:00:00Z",
  "eventType": "Alert",
  "id": "projects/gti-project/alerts/alert-123",
  "title": "Leaked Credentials Alert",
  "alert_type": "leaked_credentials",
  "severity": "HIGH",
  "priority": "HIGH",
  "ai_summary": "Leaked credentials detected for Cymbal Bank.",
  "created_at": "2026-09-15T10:00:00Z"
}

Google Threat Intelligence - ASM Issues Connector

Gunakan Google Threat Intelligence - ASM Issues Connector untuk mengambil informasi tentang masalah ASM dari Google Threat Intelligence. Untuk menggunakan filter daftar dinamis, gunakan parameter category.

Input konektor

Google Threat Intelligence - ASM Issues Connector memerlukan parameter berikut:

Parameter Deskripsi
Product Field Name

Wajib.

Nama kolom tempat nama produk disimpan.

Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default.

Nilai defaultnya adalah Product Name.
Event Field Name

Wajib.

Nama kolom yang menentukan nama peristiwa (subjenis).

Nilai defaultnya adalah entity_type.
Environment Field Name

Opsional.

Nama kolom tempat nama lingkungan disimpan.

Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default.

Nilai defaultnya adalah "".
Environment Regex Pattern

Opsional.

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler.

Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout

Wajib.

Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini.

Nilai defaultnya adalah 180.
API Root

Wajib.

Root API instance Google Threat Intelligence.

Nilai defaultnya adalah https://www.virustotal.com.
API Key

Wajib.

Kunci API Google Threat Intelligence.
Project Name

Opsional.

Nama project ASM.

Jika Anda tidak menetapkan nilai, hanya pemberitahuan dari koleksi di project utama yang akan ditampilkan.
Active Group

Opsional.

ID Grup Aktif (Konteks Organisasi) untuk lingkungan multi-tenant. Hal ini diperlukan jika project ASM Anda berada di organisasi yang berbeda dengan organisasi utama Anda.
Lowest Severity To Fetch

Opsional.

Tingkat keparahan terendah dari pemberitahuan yang akan diambil.

Jika Anda tidak mengonfigurasi parameter ini, konektor akan menyerap pemberitahuan dengan semua tingkat keparahan.

Kemungkinan nilainya adalah sebagai berikut:

  • Critical
  • High
  • Medium
  • Low
  • Informational
Issue Name Filter

Opsional.

Daftar masalah yang dipisahkan koma untuk diserap.

Input peka huruf besar/kecil. Jika nama dicantumkan secara langsung, konektor akan menggunakan filter penyertaan, yang hanya menyerap masalah yang cocok.

Untuk mengecualikan masalah tertentu, awali nama dengan tanda seru (seperti, !issue_name).

Jika tidak ada nilai yang diberikan, filter tidak akan diterapkan, dan semua masalah akan diserap.
Status Filter

Opsional.

Daftar status masalah yang dipisahkan koma untuk diserap.

Jika tidak ada nilai yang diberikan, konektor hanya akan memproses masalah yang terbuka.

Kemungkinan nilainya adalah sebagai berikut:

  • Open
  • Closed

Nilai defaultnya adalah Open.
Event Type Filter

Opsional.

Daftar jenis peristiwa yang dipisahkan koma untuk ditampilkan.

Input tidak peka huruf besar/kecil. Jika tidak ada nilai yang diberikan, konektor akan memproses semua jenis peristiwa.

Untuk mengecualikan jenis tertentu, awali dengan tanda seru (seperti, !event_type).
Max Hours Backwards

Wajib.

Jumlah jam sebelum waktu saat ini untuk mengambil pemberitahuan.

Parameter ini dapat berlaku untuk iterasi konektor awal setelah Anda mengaktifkan konektor untuk pertama kalinya, atau nilai pengganti untuk stempel waktu konektor yang sudah tidak berlaku.

Nilai defaultnya adalah 1.
Max Issues To Fetch

Wajib.

Jumlah masalah yang akan diproses dalam setiap iterasi konektor.

Nilai maksimumnya adalah 100. Nilai defaultnya adalah 10.
Disable Overflow

Opsional.

Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps.

Diaktifkan secara default.
Use dynamic list as a blocklist

Wajib.

Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar yang tidak diizinkan.

Tidak dipilih secara default.
Verify SSL

Wajib.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google Threat Intelligence.

Diaktifkan secara default.
Proxy Server Address

Opsional.

Alamat server proxy yang akan digunakan.
Proxy Username

Opsional.

Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password

Opsional.

Sandi proxy untuk melakukan autentikasi.

Peristiwa konektor

Contoh peristiwa Google Threat Intelligence - ASM Issues Connector adalah sebagai berikut:

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence - Livehunt Connector

Gunakan Google Threat Intelligence - Livehunt Connector untuk mengambil informasi tentang notifikasi Livehunt dan file terkaitnya dari Google Threat Intelligence. Untuk menggunakan daftar dinamis, gunakan parameter rule_name.

Input konektor

Google Threat Intelligence - Livehunt Connector memerlukan parameter berikut:

Parameter Deskripsi
Product Field Name

Wajib.

Nama kolom tempat nama produk disimpan.

Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default.

Nilai defaultnya adalah Product Name.
Event Field Name

Wajib.

Nama kolom yang menentukan nama peristiwa (subjenis).

Nilai defaultnya adalah type.
Environment Field Name

Opsional.

Nama kolom tempat nama lingkungan disimpan.

Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default.

Nilai defaultnya adalah "".
Environment Regex Pattern

Opsional.

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler.

Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout

Wajib.

Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini.

Nilai defaultnya adalah 180.
API Root

Wajib.

Root API instance Google Threat Intelligence.

Nilai defaultnya adalah https://www.virustotal.com.
API Key

Wajib.

Kunci API Google Threat Intelligence.
Entity Type Filter

Opsional.

Daftar jenis entity yang dipisahkan koma untuk memfilter notifikasi (misalnya: file, url, domain, ip_address). Jika dibiarkan kosong, semua jenis entity akan diserap.

Nilai defaultnya adalah file.
Max Hours Backwards

Wajib.

Jumlah jam sebelum waktu saat ini untuk mengambil pemberitahuan.

Parameter ini dapat berlaku untuk iterasi konektor awal setelah Anda mengaktifkan konektor untuk pertama kalinya, atau nilai pengganti untuk stempel waktu konektor yang sudah tidak berlaku.

Nilai defaultnya adalah 1.
Max Notifications To Fetch

Wajib.

Jumlah notifikasi yang akan diproses dalam setiap iterasi konektor.

Nilai defaultnya adalah 40.
Disable Overflow

Opsional.

Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps.

Diaktifkan secara default.
Use dynamic list as a blocklist

Wajib.

Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar yang tidak diizinkan.

Tidak dipilih secara default.
Verify SSL

Wajib.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google Threat Intelligence.

Diaktifkan secara default.
Proxy Server Address

Opsional.

Alamat server proxy yang akan digunakan.
Proxy Username

Opsional.

Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password

Opsional.

Sandi proxy untuk melakukan autentikasi.

Aturan konektor

Google Threat Intelligence - Livehunt Connector mendukung proxy.

Peristiwa konektor

Contoh peristiwa Google Threat Intelligence - Livehunt Connector adalah sebagai berikut:

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED >
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.