Google 위협 인텔리전스를 Google 보안 운영(SecOps)과 통합하세요

이 문서에서는 Google 위협 인텔리전스를 Google 보안 운영과 통합하는 방법을 설명합니다.

시작하기 전에

이 연동 기능을 사용하려면 API 키가 필요합니다. 자세한 내용은 Google 위협 인텔리전스 API 키를 참조하세요.

통합 매개변수

Google 위협 인텔리전스 통합에는 다음 매개변수가 필요합니다.

매개변수	설명
API Root	필수 항목입니다. Google 위협 인텔리전스 인스턴스의 API 루트입니다. 기본값은 https://www.virustotal.com입니다.
API Key	필수 항목입니다. Google 위협 인텔리전스 API 키입니다.
ASM Project Name	선택사항입니다. 통합에 사용할 Mandiant 공격 표면 관리 (ASM) 프로젝트 이름입니다. 이 매개변수는 ASM 엔티티 검색, ASM 이슈 검색 및 ASM 이슈 업데이트 작업을 실행하는 데 필요합니다. 값이 설정되지 않은 경우 기본 프로젝트의 컬렉션에서 발생하는 알림만 반환됩니다.
Active Group	선택사항입니다. 다중 테넌트 환경에 대한 활성 그룹 (조직 컨텍스트) 식별자입니다. 이는 ASM 프로젝트가 기본 조직과 다른 조직에 있는 경우에 필요합니다.
Verify SSL	필수 항목입니다. 이 옵션을 선택하면 Google 위협 인텔리전스 서버에 연결할 때 SSL 인증서의 유효성을 검사합니다. 기본적으로 사용 설정됩니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참고하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 관한 자세한 내용은 여러 인스턴스 지원을 참고하세요.

작업

작업에 대한 자세한 내용은 Workdesk에서 대기 중인 작업에 응답 및 직접 조치 실행을 참고하세요.

ASM 문제 추가 참고 사항

Google 위협 인텔리전스의 공격 표면 관리 (ASM) 문제에 기술 노트를 추가하려면 ASM 문제 노트 추가 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

ASM 이슈 노트 추가 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Alert ID	필수 항목입니다. 업데이트할 알림의 ID입니다.
Text	필수 항목입니다. 분석 내용 또는 알림에 추가할 메모입니다.

작업 출력

ASM 이슈 노트 추가 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 불가
출력 메시지	사용 가능
스크립트 결과	사용 가능

출력 메시지

ASM 이슈 노트 추가 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 Add ASM Issue Note 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	true 또는 false

엔티티에 댓글 추가

Google 위협 인텔리전스에서 Google SecOps 엔티티에 댓글을 추가하려면 엔티티에 댓글 추가 작업을 사용하세요.

이 작업은 MD5, SHA-1 및 SHA-256 해시만 지원합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

• Domain
• File Hash
• Hostname
• IP Address
• URL

작업 입력

엔티티에 댓글 추가 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Comment	필수 항목입니다. 지원되는 모든 항목에 추가할 설명입니다.

작업 출력

엔티티에 댓글 추가 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예시는 엔티티에 댓글 추가 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

출력 메시지

엔티티에 댓글 추가 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 엔티티에 댓글 추가 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

DTM 알림에 태그 추가

Google 위협 인텔리전스의 디지털 위협 모니터링(DTM) 알림에 태그를 추가하려면 DTM 알림에 태그 추가를 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

DTM 알림에 태그 추가 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Alert ID	필수 항목입니다. 업데이트할 알림의 고유 식별자입니다.
Mode	선택사항입니다. 태그 업데이트에 대한 운영 로직입니다. 가능한 값은 다음과 같습니다. Append: 지정된 태그를 알림의 기존 태그 목록에 추가합니다. Set: 기존의 모든 알림 태그를 Tags에 제공된 태그로 덮어씁니다. 기본값은 Append입니다.
Tags	필수 항목입니다. 알림에 적용할 태그 목록을 쉼표로 구분하여 입력하세요.

작업 출력

DTM 알림에 태그 추가 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 불가
출력 메시지	사용 가능
스크립트 결과	사용 가능

출력 메시지

DTM 알림에 태그 추가 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 DTM 알림에 태그 추가 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	true 또는 false

엔티티에 투표 추가

Google 위협 인텔리전스에서 Google SecOps 엔티티에 투표를 추가하려면 엔티티에 댓글 추가 작업을 사용하세요.

이 작업은 MD5, SHA-1, SHA-256 해시만 지원합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

• Domain
• File Hash
• Hostname
• IP Address
• URL

작업 입력

엔티티에 투표 추가 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Vote	필수 항목입니다. 지원되는 모든 엔티티에 추가하는 것에 대한 투표입니다. 가능한 값은 다음과 같습니다. Harmless Malicious 기본값은 Malicious입니다.

작업 출력

엔티티에 투표 추가 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예시는 엔티티에 투표 추가 액션을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

출력 메시지

Add Vote To Entity 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표에는 엔티티에 투표 추가 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름	값
is_success	True 또는 False

파일 다운로드

파일 다운로드 작업을 사용하여 Google Threat Intelligence에서 파일을 다운로드합니다.

이 작업은 Google SecOps Hash 항목에서 실행됩니다.

이 작업은 MD5, SHA-1, SHA-256 해시만 지원합니다.

작업 입력

파일 다운로드 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Download Folder Path	필수 항목입니다. 다운로드한 파일을 저장할 폴더의 경로입니다.
Overwrite	필수 항목입니다. 선택하면 파일 이름이 동일한 경우 작업에서 기존 파일을 새 파일로 덮어씁니다. 기본적으로 사용 설정됩니다.

작업 출력

파일 다운로드 작업은 다음 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예시는 파일 다운로드 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

출력 메시지

파일 다운로드 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Download File". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

항목 보강

항목 보강 작업을 사용하여 Google Threat Intelligence의 정보로 항목을 보강합니다.

이 기능은 MD5, SHA-1 및 SHA-256 해시를 지원합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

• CVE
• Domain
• Hash (CHILDHASH 및 PARENTHASH 포함)
• Hostname
• IP Address
• Threat Actor
• URL

작업 입력

Enrich Entities 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
GTI Score	선택사항입니다. Google 보안 운영 주체를 의심스러운 것으로 표시하기 위해 필요한 최소 Google 위협 인텔리전스 점수입니다. 이 조건은 Google 위협 인텔리전스 판정 정보와 함께 검증됩니다. 이 매개변수는 IP Address, URL, Hostname, Domain 및 Hash 엔티티만 지원합니다. 값이 제공되지 않으면 Google 위협 인텔리전스 점수 값은 무시됩니다. 기본값은 60입니다.
Engine Threshold	선택사항입니다. Google SecOps에서 특정 개체를 악성 또는 의심스러운 것으로 분류하기 위해 필요한 최소 보안 엔진 수입니다. 이 조건은 Google 위협 인텔리전스 판정 정보와 함께 검증됩니다. 이 매개변수는 IP Address, URL, Hostname, Domain 및 Hash 엔티티만 지원합니다. Engine Allowlist에 값이 포함되어 있으면 해당 작업은 특정 엔진의 결과만 계산합니다. 값이 제공되지 않으면 엔진 계산은 무시됩니다.
Engine Percentage Threshold	선택사항입니다. Google SecOps에서 특정 개체를 악성 또는 의심스러운 것으로 분류하기 위해 보안 엔진이 최소한 몇 퍼센트 이상 해당 개체를 악성 또는 의심스러운 것으로 표시해야 하는지를 나타냅니다. 이 매개변수는 IP Address, URL, Hostname, Domain 및 Hash 엔티티만 지원합니다. Engine Allowlist에 값이 포함되어 있으면 해당 작업은 해당 엔진의 백분율만 계산합니다. Engine Threshold과 Engine Percentage Threshold이 모두 제공된 경우 Engine Threshold이 우선합니다. 값이 제공되지 않으면 엔진 계산은 무시됩니다. 최댓값은 100입니다. 최솟값은 0입니다.
Engine Allowlist	선택사항입니다. 악성 정보 검색에 사용되는 보안 엔진의 쉼표로 구분된 목록입니다 (예: AlienVault,Kaspersky). 값이 제공되지 않으면 작업에서 사용 가능한 모든 엔진의 결과를 가져옵니다. 엔티티에 관한 정보를 반환하지 않는 엔진은 Engine Threshold 및 Engine Percentage Threshold 계산에서 제외됩니다.
Resubmit Entity	선택사항입니다. 선택하면 이전 작업 실행의 항목 정보를 사용하는 대신 분석을 위해 항목을 다시 제출합니다. 이 파라미터는 URL 및 Hash 항목만 지원합니다. 기본적으로 선택되지 않습니다.
Resubmit After (Days)	선택사항입니다. 작업이 엔티티를 다시 제출하기 전에 대기하는 일수입니다. 이 매개변수를 사용하려면 Resubmit Entity 매개변수를 선택하세요. 기본값은 30입니다. 이 파라미터는 URL 및 Hash 항목만 지원합니다.
Sandbox	선택사항입니다. 분석할 샌드박스 이름의 쉼표로 구분된 목록입니다(예: VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO). 이 파라미터는 Hash 항목만 지원합니다. 이 매개변수를 설정하지 않으면 작업에서 기본 샌드박스인 VirusTotal Jujubox을 사용합니다.
Retrieve Sandbox Analysis	선택사항입니다. 선택하면 이 작업은 엔티티의 샌드박스 분석을 가져오고 JSON 결과에 각 샌드박스에 대한 별도의 섹션을 만듭니다. 이 작업은 Sandbox 매개변수에서 구성한 샌드박스의 데이터를 반환합니다. 이 파라미터는 Hash 항목만 지원합니다. 기본적으로 선택되지 않습니다.
Fetch MITRE Details	선택사항입니다. 선택하면 이 작업은 관련 MITRE 기법 및 전략에 관한 정보를 반환합니다. 이 파라미터는 Hash 항목만 지원합니다. 기본적으로 선택되지 않습니다.
Lowest MITRE Technique Severity	선택사항입니다. 반환할 가장 낮은 MITRE 기법 심각도입니다. 이 조치는 Unknown 심각도를 Info로 처리합니다. 이 매개변수는 Hash 엔티티만 지원합니다. 가능한 값은 다음과 같습니다. High Medium Low Info 기본값은 Medium입니다.
Retrieve Comments	선택사항입니다. 이 옵션을 선택하면 해당 엔티티에 대한 댓글이 검색됩니다. 이 매개변수는 다음 엔티티를 지원합니다. Domain Hash Hostname IP Address URL
Widget Theme	선택사항입니다. IOC 증강 위젯에 적용된 시각적 스타일입니다. 가능한 값은 다음과 같습니다. Dark Dark Blue Light 기본값은 Dark Blue입니다.
Max Comments To Return	선택사항입니다. 실행된 각 작업에 대해 반환할 최대 댓글 수입니다. 기본값은 10입니다.

작업 출력

엔티티 보강 작업은 다음 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 가능
케이스 월 테이블	사용 불가
항목 보강 표	사용 가능
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과입니다.	사용 가능

케이스 월 링크

엔티티 강화 작업은 다음 링크를 반환할 수 있습니다.

• IOC: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• 위협 행위자: https://www.virustotal.com/gui/collection/threat-actor--ID

• 취약점: https://www.virustotal.com/gui/collection/vulnerability--ID

항목 보강 표

1. 엔티티 강화 작업은 IP 주소에 대해 다음과 같은 엔티티 강화 기능을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_id	id	JSON 결과에서 사용할 수 있는 경우
GTI_owner	as_owner	JSON 결과에서 사용할 수 있는 경우
GTI_asn	asn	JSON 결과에서 사용할 수 있는 경우
GTI_continent	continent	JSON 결과에서 사용할 수 있는 경우
GTI_country	country	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_count	last_analysis_stats/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_count	last_analysis_stats/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_suspicious_count	last_analysis_stats/suspicious	JSON 결과에서 사용할 수 있는 경우
GTI_undetected_count	last_analysis_stats/undetected	JSON 결과에서 사용할 수 있는 경우
GTI_certificate_valid_not_after	validity/not_after	JSON 결과에서 사용할 수 있는 경우
GTI_certificate_valid_not_before	validity/not_before	JSON 결과에서 사용할 수 있는 경우
GTI_reputation	reputation	JSON 결과에서 사용할 수 있는 경우
GTI_tags	Comma-separated list of tags	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_vote_count	total_votes/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_vote_count	total_votes/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	report_link	JSON 결과에서 사용할 수 있는 경우
GTI_widget_link	widget_url	JSON 결과에서 사용할 수 있는 경우
GTI_threat_score	gti_assessment.threat_score.value	JSON 결과에서 사용할 수 있는 경우
GTI_severity	gti_assessment.severity.value	JSON 결과에서 사용할 수 있는 경우
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	JSON 결과에서 사용할 수 있는 경우
GTI_verdict	gti_assessment.verdict.value	JSON 결과에서 사용할 수 있는 경우
GTI_description	gti_assessment.description	JSON 결과에서 사용할 수 있는 경우

2. Enrich Entities 액션은 URL에 대해 다음과 같은 엔티티 보강 기능을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_id	id	JSON 결과에서 사용할 수 있는 경우
GTI_title	title	JSON 결과에서 사용할 수 있는 경우
GTI_last_http_response_code	last_http_response_code	JSON 결과에서 사용할 수 있는 경우
GTI_last_http_response_content_length	last_http_response_content_length	JSON 결과에서 사용할 수 있는 경우
GTI_threat_names	Comma-separated list of threat_names	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_count	last_analysis_stats/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_count	last_analysis_stats/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_suspicious_count	last_analysis_stats/suspicious	JSON 결과에서 사용할 수 있는 경우
GTI_undetected_count	last_analysis_stats/undetected	JSON 결과에서 사용할 수 있는 경우
GTI_reputation	reputation	JSON 결과에서 사용할 수 있는 경우
GTI_tags	Comma-separated list of tags	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_vote_count	total_votes/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_vote_count	total_votes/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	report_link	JSON 결과에서 사용할 수 있는 경우
GTI_widget_link	widget_url	JSON 결과에서 사용할 수 있는 경우
GTI_threat_score	gti_assessment.threat_score.value	JSON 결과에서 사용할 수 있는 경우
GTI_severity	gti_assessment.severity.value	JSON 결과에서 사용할 수 있는 경우
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	JSON 결과에서 사용할 수 있는 경우
GTI_verdict	gti_assessment.verdict.value	JSON 결과에서 사용할 수 있는 경우
GTI_description	gti_assessment.description	JSON 결과에서 사용할 수 있는 경우
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	JSON 결과에서 사용할 수 있는 경우

3. Enrich Entities 액션은 Hash에 대해 다음과 같은 엔티티 보강 기능을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_id	id	JSON 결과에서 사용할 수 있는 경우
GTI_magic	magic	JSON 결과에서 사용할 수 있는 경우
GTI_md5	md5	JSON 결과에서 사용할 수 있는 경우
GTI_sha1	sha1	JSON 결과에서 사용할 수 있는 경우
GTI_sha256	sha256	JSON 결과에서 사용할 수 있는 경우
GTI_ssdeep	ssdeep	JSON 결과에서 사용할 수 있는 경우
GTI_tlsh	tlsh	JSON 결과에서 사용할 수 있는 경우
GTI_vhash	vhash	JSON 결과에서 사용할 수 있는 경우
GTI_meaningful_name	meaningful_name	JSON 결과에서 사용할 수 있는 경우
GTI_magic	Comma-separated list of names	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_count	last_analysis_stats/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_count	last_analysis_stats/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_suspicious_count	last_analysis_stats/suspicious	JSON 결과에서 사용할 수 있는 경우
GTI_undetected_count	last_analysis_stats/undetected	JSON 결과에서 사용할 수 있는 경우
GTI_reputation	reputation	JSON 결과에서 사용할 수 있는 경우
GTI_tags	Comma-separated list of tags	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_vote_count	total_votes/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_vote_count	total_votes/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	report_link	JSON 결과에서 사용할 수 있는 경우
GTI_widget_link	widget_url	JSON 결과에서 사용할 수 있는 경우
GTI_threat_score	gti_assessment.threat_score.value	JSON 결과에서 사용할 수 있는 경우
GTI_severity	gti_assessment.severity.value	JSON 결과에서 사용할 수 있는 경우
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	JSON 결과에서 사용할 수 있는 경우
GTI_verdict	gti_assessment.verdict.value	JSON 결과에서 사용할 수 있는 경우
GTI_description	gti_assessment.description	JSON 결과에서 사용할 수 있는 경우
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. Enrich Entities 액션은 Domain/Hostname에 대해 다음과 같은 엔티티 보강 기능을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_id	id	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_count	last_analysis_stats/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_count	last_analysis_stats/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_suspicious_count	last_analysis_stats/suspicious	JSON 결과에서 사용할 수 있는 경우
GTI_undetected_count	last_analysis_stats/undetected	JSON 결과에서 사용할 수 있는 경우
GTI_reputation	reputation	JSON 결과에서 사용할 수 있는 경우
GTI_tags	Comma-separated list of tags	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_vote_count	total_votes/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_vote_count	total_votes/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	report_link	JSON 결과에서 사용할 수 있는 경우
GTI_widget_link	widget_url	JSON 결과에서 사용할 수 있는 경우
GTI_threat_score	gti_assessment.threat_score.value	JSON 결과에서 사용할 수 있는 경우
GTI_severity	gti_assessment.severity.value	JSON 결과에서 사용할 수 있는 경우
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	JSON 결과에서 사용할 수 있는 경우
GTI_verdict	gti_assessment.verdict.value	JSON 결과에서 사용할 수 있는 경우
GTI_description	gti_assessment.description	JSON 결과에서 사용할 수 있는 경우
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	JSON 결과에서 사용할 수 있는 경우

5. Enrich Entities 액션은 Threat Actor에 대해 다음과 같은 엔티티 보강 기능을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_motivations	Csv of motivations/name	JSON 결과에서 사용할 수 있는 경우
GTI_aliases	Csv of alt_names_details/value	JSON 결과에서 사용할 수 있는 경우
GTI_industries	Csv of targeted_industries/value	JSON 결과에서 사용할 수 있는 경우
GTI_malware	Csv of malware/name	JSON 결과에서 사용할 수 있는 경우
GTI_source_region	CSV of source_regions_hierarchy/country	JSON 결과에서 사용할 수 있는 경우
GTI_target_region	Csv of targeted_regions_hierarchy/country	JSON 결과에서 사용할 수 있는 경우
GTI_origin	origin	JSON 결과에서 사용할 수 있는 경우
GTI_description	description	JSON 결과에서 사용할 수 있는 경우
GTI_last_activity_time	last_activity_time	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	We craft it.	JSON 결과에서 사용할 수 있는 경우

6. Enrich Entities 액션은 Vulnerability에 대해 다음과 같은 엔티티 보강 기능을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_sources	Csv of source_name	JSON 결과에서 사용할 수 있는 경우
GTI_exploitation_state	exploitation_state	JSON 결과에서 사용할 수 있는 경우
GTI_date_of_disclosure	date_of_disclosure	JSON 결과에서 사용할 수 있는 경우
GTI_vendor_fix_references	vendor_fix_references/url	JSON 결과에서 사용할 수 있는 경우
GTI_exploitation_vectors	Csv of exploitation_vectors	JSON 결과에서 사용할 수 있는 경우
GTI_description	description	JSON 결과에서 사용할 수 있는 경우
GTI_risk_rating	risk_rating	JSON 결과에서 사용할 수 있는 경우
GTI_available_mitigation	CSV of available_mitigation	JSON 결과에서 사용할 수 있는 경우
GTI_exploitation_consequence	exploitation_consequence	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	We craft it.	JSON 결과에서 사용할 수 있는 경우

JSON 결과

다음 예는 Enrich Entities 작업을 사용할 때 수신된 IOC (IP, Hash, URL, Domain 및 Hostname 엔티티)에 대한 JSON 결과 출력을 보여줍니다.

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

다음 예는 Enrich Entities 액션을 사용할 때 수신된 취약점에 대한 JSON 결과 출력을 보여줍니다.

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

다음 예는 Enrich Entities 작업을 사용할 때 수신되는 위협 행위자에 대한 JSON 결과 출력을 보여줍니다.

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

출력 메시지

Enrich Entities 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	작업이 완료되었습니다.
Error executing action "Enrich Entities". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표에는 엔티티 보강 작업을 사용할 때 스크립트 결과 출력의 값이 나와 있습니다.

스크립트 결과 이름	값
is_success	True 또는 False

IOC를 강화하세요

Google 위협 인텔리전스의 정보를 사용하여 침해 지표 (IoC)를 보강하려면 IOC 보강 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

Enrich IOCs 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
IOC Type	선택사항입니다. IOC의 유형을 강화합니다. 가능한 값은 다음과 같습니다. Filehash URL Domain IP Address 기본값은 Filehash입니다.
IOCs	필수 항목입니다. 데이터를 수집할 IOC 목록을 쉼표로 구분하여 입력합니다.
Widget Theme	선택사항입니다. IOC 증강 위젯에 적용된 시각적 스타일입니다. 가능한 값은 다음과 같습니다. Dark Dark Blue Light 기본값은 Dark Blue입니다.

작업 출력

Enrich IOCs 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 가능
케이스 월 테이블	사용 가능
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

케이스 월 링크

Enrich IOCs 작업은 강화된 모든 엔티티에 대해 다음 링크를 제공할 수 있습니다.

이름: 보고서 링크

값: URL

케이스 월 테이블

Enrich IOCs 작업은 강화된 모든 엔티티에 대해 다음 표를 제공할 수 있습니다.

표 이름: IOC_ID

표 열:

• 이름
• 카테고리
• 메서드
• 결과

JSON 결과

다음 예시는 Enrich IOCs 액션을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

출력 메시지

Enrich IOCs 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	작업이 완료되었습니다.
Error executing action "Enrich IOC". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 Enrich IOCs 액션을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

IOC 검색 실행

Google 위협 인텔리전스에서 IOC 검색을 실행하려면 IOC 검색 실행 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

IOC 검색 실행 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Search Query	필수 항목입니다. 실행할 검색 쿼리(예: crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+).
Max Results To Return	선택사항입니다. 각 작업 실행 시 반환할 최대 결과 개수입니다. 최댓값은 200입니다. 기본값은 50입니다.

작업 출력

IOC 검색 실행 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예시는 IOC 검색 실행 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

출력 메시지

IOC 검색 실행 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 IOC 검색 실행 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

ASM 엔티티 세부 정보 가져오기

Google 위협 인텔리전스에서 ASM 엔티티에 대한 정보를 얻으려면 ASM 엔티티 세부 정보 가져오기 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

ASM 엔티티 세부 정보 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Entity ID	필수 항목입니다. 세부 정보를 얻기 위한 엔티티 ID 목록을 쉼표로 구분하여 입력하십시오.

작업 출력

ASM 엔티티 세부 정보 가져오기 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예는 ASM 엔티티 세부 정보 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED —>
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

출력 메시지

ASM 엔티티 세부 정보 가져오기 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	작업이 완료되었습니다.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 ASM 엔티티 세부 정보 가져오기 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

그래프 세부 정보 보기

Google 위협 인텔리전스에서 그래프에 대한 자세한 정보를 얻으려면 그래프 세부 정보 가져오기 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

그래프 세부 정보 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Graph ID	필수 항목입니다. 그래프 ID를 쉼표로 구분하여 나열한 후 세부 정보를 불러오세요.
Max Links To Return	필수 항목입니다. 각 그래프에 대해 반환할 최대 링크 수입니다. 기본값은 50입니다.

작업 출력

그래프 세부 정보 가져오기 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 가능
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

케이스 월 테이블

그래프 세부 정보 가져오기 작업은 모든 보강된 엔티티에 대해 다음 표를 제공할 수 있습니다.

테이블 이름: 그래프 GRAPH_ID 링크

표 열:

• 소스
• 대상
• 연결 유형

JSON 결과

다음 예시는 그래프 세부 정보 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

출력 메시지

그래프 세부 정보 가져오기 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	작업이 완료되었습니다.
Error executing action "Get Graph Details". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 그래프 세부 정보 가져오기 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

관련 연결 가져오기

관련 연결 가져오기 작업을 사용하여 Google 위협 인텔리전스의 엔티티와 관련된 연결 (보고서, 캠페인, 컬렉션, 맬웨어 제품군, 소프트웨어 툴킷, 취약점, 위협 행위자)에 대한 정보를 가져올 수 있습니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

• IP address
• URL
• File hash
• Hostname
• Domain

참고: 이 작업은 MD5, SHA-1 및 SHA-256 해시만 지원합니다.

작업 입력

관련 연결 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Association Types	선택사항입니다. 반환할 연관 관계 목록을 쉼표로 구분하여 입력합니다. 보고서는 다른 모든 관련 절차가 완료된 후에 처리됩니다. 가능한 값은 다음과 같습니다. Report Campaign Collection Malware Family Vulnerability Threat Actor 값이 제공되지 않으면 모든 연관 관계를 반환합니다.
Create Entity	선택사항입니다. 이 옵션을 선택하면 관련 위협 행위자, 일반적인 취약점 및 노출 (CVE), 캠페인에 대한 엔티티가 생성되어 원래 엔티티에 연결됩니다. CVE, 위협 행위자 및 캠페인 엔티티만 생성됩니다.
Max Associations To Return	선택사항입니다. 각 엔티티에 대해 반환할 최대 IoC 개수입니다. 최댓값은 100입니다. 기본값은 50입니다.

작업 출력

관련 연관 관계 가져오기 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과입니다.	사용 가능

JSON 결과

다음 예는 관련 연결 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

출력 메시지

관련 연결 가져오기 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Get Related Associations". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 관련 연결 가져오기 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

관련 IOC 보기

Google 위협 인텔리전스의 정보를 사용하여 엔티티와 관련된 IOC에 대한 정보를 얻으려면 관련 IOC 가져오기 작업을 사용하세요.

이 작업은 MD5, SHA-1, SHA-256 해시만 지원합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

작업 입력

관련 IOC 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
IOC Types	필수 항목입니다. 추출할 IOC 목록을 쉼표로 구분하여 입력합니다. 가능한 값은 다음과 같습니다: IP, Hash, URL, Domain.
Max IOCs To Return	필수 항목입니다. 각 엔티티에 대해 선택된 IOC 유형에 대해 반환할 최대 IOC 수입니다. 기본값은 40입니다.

작업 출력

관련 IOC 가져오기 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 불가
출력 메시지	사용 가능
스크립트 결과입니다.	사용 가능

JSON 결과

다음 예는 관련 IOC 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

출력 메시지

관련 IOC 가져오기 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	작업이 완료되었습니다.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표에는 관련 IOC 가져오기 작업을 사용할 때 스크립트 결과 출력의 값이 나와 있습니다.

스크립트 결과 이름	값
is_success	True 또는 False

핑

Ping 작업을 사용하여 Google 위협 인텔리전스와의 연결을 테스트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

없음

작업 출력

Ping 작업은 다음 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 불가
출력 메시지	사용 가능
스크립트 결과입니다.	사용 가능

출력 메시지

Ping 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	작업이 완료되었습니다.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표에는 Ping 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름	값
is_success	True 또는 False

비공개 제출 URL

비공개 제출 URL 작업을 사용하여 Google 위협 인텔리전스 내에서 비공개 스캔을 위해 URL을 제출합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

• URL

참고: 일반 검사와 항목 보강의 경우 항목 보강 작업을 대신 사용하세요.

작업 입력

비공개 제출 URL 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
URL	선택사항입니다. 스캔할 URL 목록을 쉼표로 구분하여 입력하세요. 이 시스템은 입력된 값과 해당 작업에서 발견된 모든 URL 엔티티를 함께 처리합니다.
Check Existing Submissions First	선택사항입니다. 이 옵션을 선택하면 해당 URL에서 기존 공개 또는 비공개 제출 정보가 있는지 확인합니다. 만약 해당 항목이 발견되면, 제출 과정을 건너뛰고 즉시 정보가 반환됩니다. 기본적으로 사용 중지됩니다.
Resubmit After (Days)	선택사항입니다. URL이 재제출 자격을 얻으려면 해당 URL의 마지막 공개 분석일 이후 최소 며칠이 경과해야 합니다. 참고: 이 매개변수를 사용하려면 Check Existing Submissions First을 활성화해야 합니다. 기본값은 30입니다.

작업 출력

비공개 제출 URL 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 가능
케이스 월 테이블	사용 불가
보강 테이블	사용 가능
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과입니다.	사용 가능

케이스 월 링크

비공개 제출 URL 작업은 다음 링크를 반환할 수 있습니다.

보고서 링크URL :URL to the GTI UI displaying the submission details.

항목 보강 표

비공개 제출 URL 액션은 공개 제출에서 데이터를 검색할 때 URL 엔티티에 대해 다음과 같은 엔티티 보강을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_id	id	JSON 결과에서 사용할 수 있는 경우
GTI_title	title	JSON 결과에서 사용할 수 있는 경우
GTI_last_http_response_code	last_http_response_code	JSON 결과에서 사용할 수 있는 경우
GTI_last_http_response_content_length	last_http_response_content_length	JSON 결과에서 사용할 수 있는 경우
GTI_threat_names	쉼표로 구분된 threat_names 목록	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_count	last_analysis_stats/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_count	last_analysis_stats/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_suspicious_count	last_analysis_stats/suspicious	JSON 결과에서 사용할 수 있는 경우
GTI_undetected_count	last_analysis_stats/undetected	JSON 결과에서 사용할 수 있는 경우
GTI_reputation	reputation	JSON 결과에서 사용할 수 있는 경우
GTI_tags	쉼표로 구분된 tags 목록	JSON 결과에서 사용할 수 있는 경우
GTI_malicious_vote_count	total_votes/malicious	JSON 결과에서 사용할 수 있는 경우
GTI_harmless_vote_count	total_votes/harmless	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	report link	JSON 결과에서 사용할 수 있는 경우
GTI_widget_link	widget_url	JSON 결과에서 사용할 수 있는 경우
GTI_threat_score	gti_assessment.threat_score.value	JSON 결과에서 사용할 수 있는 경우
GTI_severity	gti_assessment.severity.value	JSON 결과에서 사용할 수 있는 경우
GTI_normalised_categories	gti_assessment.contributing_factors.normalised_categories의 CSV	JSON 결과에서 사용할 수 있는 경우
GTI_verdict	gti_assessment.verdict.value	JSON 결과에서 사용할 수 있는 경우
GTI_description	gti_assessment.description	JSON 결과에서 사용할 수 있는 경우
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	JSON 결과에서 사용할 수 있는 경우

비공개 제출 URL 액션은 비공개 제출에서 데이터를 검색할 때 URL 엔티티에 대해 다음과 같은 엔티티 보강을 지원합니다.

보강 필드	소스 (JSON 키)	적용 범위
GTI_id	id	JSON 결과에서 사용할 수 있는 경우
GTI_title	title	JSON 결과에서 사용할 수 있는 경우
GTI_last_http_response_code	last_http_response_code	JSON 결과에서 사용할 수 있는 경우
GTI_last_http_response_content_length	last_http_response_content_length	JSON 결과에서 사용할 수 있는 경우
GTI_tags	쉼표로 구분된 tags 목록	JSON 결과에서 사용할 수 있는 경우
GTI_report_link	report link	JSON 결과에서 사용할 수 있는 경우
GTI_widget_link	widget_url	JSON 결과에서 사용할 수 있는 경우

JSON 결과

다음 예시는 비공개 제출 URL 액션을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

출력 메시지

비공개 제출 URL 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Private Submit URL". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 비공개 제출 URL 액션을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	true 또는 false

ASM 엔티티 검색

Google 위협 인텔리전스에서 ASM 엔티티를 검색하려면 ASM 엔티티 검색 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

ASM 엔티티 검색 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Project Name	선택사항입니다. ASM 프로젝트의 이름입니다. 값을 설정하지 않으면 해당 작업은 ASM Project Name 통합 매개변수에 대해 구성한 값을 사용합니다.
Entity Name	선택사항입니다. 엔티티를 찾기 위한 엔티티 이름 목록을 쉼표로 구분하여 입력합니다. 이 작업은 다음을 포함하는 엔티티 이름을 처리합니다./ 슬래시(/)는 유효하지 않은 값입니다.
Minimum Vulnerabilities Count	선택사항입니다. 작업에서 항목을 반환하는 데 필요한 최소 취약점 수입니다.
Minimum Issues Count	선택사항입니다. 작업에서 항목을 반환하는 데 필요한 최소 문제 수입니다.
Tags	선택사항입니다. 엔티티를 검색할 때 사용할 태그 이름을 쉼표로 구분한 목록입니다.
Max Entities To Return	선택사항입니다. 반환할 항목 수입니다. 최댓값은 200입니다. 기본값은 50입니다.
Critical or High Issue	선택사항입니다. 선택하면 작업은 High 및 Critical 심각도가 있는 문제만 반환합니다. 기본적으로 선택되지 않습니다.

작업 출력

ASM 엔티티 검색 작업은 다음 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예는 ASM 엔티티 검색 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

출력 메시지

ASM 엔티티 검색 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표에는 ASM 엔티티 검색 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름	값
is_success	True 또는 False

ASM 문제 검색

ASM 문제 검색 작업을 사용하여 Google 위협 인텔리전스에서 ASM 문제를 검색합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

ASM 문제 검색 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Project Name	선택사항입니다. ASM 프로젝트의 이름입니다. 값을 설정하지 않으면 해당 작업은 ASM Project Name 통합 매개변수에 대해 구성한 값을 사용합니다.
Issue ID	선택사항입니다. 세부 정보를 반환할 이슈 ID 목록을 쉼표로 구분하여 입력하십시오.
Entity ID	선택사항입니다. 관련 이슈를 찾기 위한 엔티티 ID의 쉼표로 구분된 목록입니다.
Entity Name	선택사항입니다. 관련 이슈를 찾기 위한 엔티티 이름 목록(쉼표로 구분). 이 작업은 다음을 포함하는 엔티티 이름을 처리합니다./ 슬래시(/)는 유효하지 않은 값입니다.
Time Parameter	선택사항입니다. 발행 시간을 설정하는 필터 옵션입니다. 가능한 값은 First Seen과 Last Seen입니다. 기본값은 First Seen입니다.
Time Frame	선택사항입니다. 문제를 걸러내는 기간. Custom을 선택한 경우 Start Time 매개변수를 구성하십시오. 가능한 값은 다음과 같습니다. Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom 기본값은 Last Hour입니다.
Start Time	선택사항입니다. 결과 발표 시작 시간. Time Frame 매개변수에 Custom을 선택한 경우, 이 매개변수는 필수입니다. ISO 8601 형식으로 값을 구성하십시오.
End Time	선택사항입니다. 결과 발표 마감 시간. Time Frame 매개변수에 Custom을 선택하고 종료 시간을 설정하지 않은 경우, 이 매개변수는 현재 시간을 종료 시간으로 사용합니다. ISO 8601 형식으로 값을 구성하십시오.
Lowest Severity To Return	선택사항입니다. 반환되는 문제의 심각도가 가장 낮습니다. 가능한 값은 다음과 같습니다. Select One Critical High Medium Low Informational 기본값은 Select One입니다. Select One을 선택하면 이 필터는 검색에 적용되지 않습니다.
Status	선택사항입니다. 검색에 사용할 상태 필터입니다. 가능한 값은 Open, Closed, Select One입니다. 기본값은 Select One입니다. Select One을 선택하면 이 필터는 검색에 적용되지 않습니다.
Tags	선택사항입니다. 이슈 검색 시 사용할 태그 이름들을 쉼표로 구분하여 나열합니다.
Max Issues To Return	필수 항목입니다. 반납해야 할 이슈의 수. 최댓값은 200입니다. 기본값은 50입니다.

작업 출력

ASM 문제 검색 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 가능
JSON 결과	사용 불가
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예는 ASM 문제 검색 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

출력 메시지

ASM 문제 검색 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 ASM 문제 검색 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

검색 엔티티 그래프

Google 위협 인텔리전스에서 Google SecOps 엔티티를 기반으로 하는 그래프를 검색하려면 엔티티 그래프 검색 작업을 사용하세요.

이 작업은 MD5, SHA-1 및 SHA-256 해시만 지원합니다.

이 작업은 다음 Google SecOps 항목에서 실행됩니다.

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

작업 입력

엔티티 그래프 검색 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Sort Field	선택사항입니다. 결과를 정렬할 필드 값입니다. 가능한 값은 다음과 같습니다. Owner Creation Date Last Modified Date Views Count Comments Count 기본값은 Owner입니다.
Max Graphs To Return	선택사항입니다. 각 액션 실행 시 반환할 그래프의 최대 개수입니다. 기본값은 10입니다.

작업 출력

엔티티 그래프 검색 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예시는 엔티티 그래프 검색 액션을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

출력 메시지

엔티티 그래프 검색 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	작업이 완료되었습니다.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

검색 그래프

Google 위협 인텔리전스에서 사용자 지정 필터를 기반으로 그래프를 검색하려면 그래프 검색 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

그래프 검색 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Query	필수 항목입니다. 그래프에 대한 쿼리 필터입니다. 예를 들어, 선택한 기간의 그래프를 검색하려면 다음과 같이 쿼리 형식을 지정하세요: creation_date:2018-11-1+creation_date:2018-11-12 쿼리에 대한 자세한 내용은 쿼리 생성 방법, 그래프 관련 수정자 및 노드 관련 수정자를 참조하세요.
Sort Field	선택사항입니다. VirusTotal 그래프를 정렬하는 데 사용할 필드 값입니다. 가능한 값은 다음과 같습니다. Comments Count Creation Date Last Modified Date Owner Views Count 기본값은 Owner입니다.
Max Graphs To Return	선택사항입니다. 각 액션 실행 시 반환할 그래프의 최대 개수입니다. 기본값은 10입니다.

쿼리를 만드는 방법

그래프에서 검색 결과를 세분화하려면 그래프 관련 수정자를 포함하는 쿼리를 생성하세요. 검색 성능을 향상시키려면 수정자를 AND, OR, NOT 연산자와 조합할 수 있습니다.

날짜 및 숫자 필드는 + 플러스 및 - 마이너스 접미사를 지원합니다. 플러스 접미사는 제공된 값보다 큰 값과 일치합니다. 마이너스 접미사는 제공된 값보다 작은 값과 일치합니다. 접미사 없이 검색하면 정확히 일치하는 결과가 반환됩니다.

범위를 정의하려면 쿼리에서 동일한 수정자를 여러 번 사용할 수 있습니다. 예를 들어, 2018년 11월 15일과 2018년 11월 20일 사이에 생성된 그래프를 검색하려면 다음 쿼리를 사용하십시오.

creation_date:2018-11-15+ creation_date:2018-11-20-

0으로 시작하는 날짜 또는 월의 경우 쿼리에서 0 문자를 제거하십시오. 예를 들어, 2018-11-01 날짜를 2018-11-1 형식으로 지정하세요.

그래프 관련 수정자

다음 표는 검색 쿼리를 구성하는 데 사용할 수 있는 그래프 관련 수정자를 나열합니다.

수정자 이름	설명	예
id	그래프 식별자로 필터링합니다.	id:g675a2fd4c8834e288af
name	그래프 이름으로 필터링합니다.	name:Example-name
owner	사용자가 소유한 그래프를 기준으로 필터링합니다.	owner:example_user
group	그룹이 소유한 그래프로 필터링합니다.	group:example
visible_to_user	사용자가 볼 수 있는 그래프를 기준으로 필터링합니다.	visible_to_user:example_user
visible_to_group	그룹에 표시되는 그래프를 기준으로 필터링합니다.	visible_to_group:example
private	비공개 그래프를 기준으로 필터링합니다.	private:true, private:false
creation_date	그래프 생성 날짜로 필터링합니다.	creation_date:2018-11-15
last_modified_date	그래프 수정일이 가장 최근인 기준으로 필터링합니다.	last_modified_date:2018-11-20
total_nodes	특정 개수의 노드를 포함하는 그래프로 필터링합니다.	total_nodes:100
comments_count	그래프에 달린 댓글 수를 기준으로 필터링합니다.	comments_count:10+
views_count	그래프 조회수에 따라 필터링합니다.	views_count:1000+

노드 관련 수정자

다음 표는 검색 쿼리를 구성하는 데 사용할 수 있는 그래프 관련 수정자를 나열합니다.

수정자 이름	설명	예
label	특정 레이블이 있는 노드를 포함하는 그래프로 필터링합니다.	label:Kill switch
file	특정 파일을 포함하는 그래프로 필터링합니다.	file:131f95c51cc819465fa17
domain	특정 도메인을 포함하는 그래프로 필터링합니다.	domain:example.com
ip_address	특정 IP 주소가 포함된 그래프로 필터링합니다.	ip_address:203.0.113.1
url	특정 URL이 포함된 그래프로 필터링합니다.	url:https://example.com/example/
actor	특정 행위자가 포함된 그래프로 필터링합니다.	actor:example actor
victim	특정 피해자가 포함된 그래프로 필터링합니다.	victim:example_user
email	특정 이메일 주소가 포함된 그래프로 필터링합니다.	email:[e-mail]
department	특정 부서를 포함하는 그래프로 필터링합니다.	department:engineers

작업 출력

그래프 검색 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예시는 그래프 검색 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

출력 메시지

그래프 검색 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	작업이 완료되었습니다.
Error executing action "Search Graphs". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 그래프 검색 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

DTM 알림 분석 설정

Google 위협 인텔리전스에서 디지털 위협 모니터링 (DTM) 경고에 대한 분석을 정의하려면 DTM 경고 분석 설정 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

DTM 경고 분석 설정 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Alert ID	필수 항목입니다. 분석을 추가할 알림의 ID입니다.
Text	필수 항목입니다. 경고에 추가할 분석 내용입니다.
Attachment File Paths	선택사항입니다. 알림에 첨부할 파일 경로를 쉼표로 구분하여 입력하세요. 최대 10개의 첨부 파일을 지원합니다.

작업 출력

DTM 경고 분석 설정 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 불가
출력 메시지	사용 가능
스크립트 결과입니다.	사용 가능

출력 메시지

DTM 경고 분석 설정 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 Set DTM Alert Analysis 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

파일 제출

파일 제출 작업을 사용하여 파일을 제출하고 Google 위협 인텔리전스에서 결과를 반환하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

이 작업은 비동기식입니다. 필요에 따라 작업의 Google SecOps 통합 개발 환경 (IDE)에서 스크립트 제한 시간 값을 조정합니다.

작업 입력

파일 제출 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
GTI Score	선택사항입니다. Google 위협 인텔리전스 점수는 JSON 결과에서 is_risky 속성을 true로 설정하는 데 사용됩니다. 이 조건은 Google 위협 인텔리전스 판정 정보와 함께 검증됩니다. 값이 제공되지 않으면 Google 위협 인텔리전스 점수는 무시됩니다. 기본값은 60입니다.
Engine Threshold	선택사항입니다. is_risky 속성을 true로 설정하기 위해 엔티티를 악성 또는 의심스러운 것으로 표시해야 하는 최소 보안 엔진 수입니다. 이 조건은 Google 위협 인텔리전스 판정 정보와 함께 검증됩니다. Engine Allowlist에 값이 포함되어 있으면 해당 특정 엔진의 결과만 계산됩니다. 값이 제공되지 않으면 엔진 개수 계산은 무시됩니다.
Engine Percentage Threshold	선택사항입니다. is_risky 속성을 true로 설정하기 위해 엔티티를 악성 또는 의심스러운 것으로 표시해야 하는 최소 보안 엔진 비율 (0 및 100). Engine Allowlist에 값이 포함되어 있으면 해당 엔진에 대해서만 백분율이 계산됩니다. Engine Threshold과 Engine Percentage Threshold이 모두 제공된 경우 Engine Threshold이 우선합니다. 값이 제공되지 않으면 백분율 계산은 무시됩니다.
Engine Allowlist	선택사항입니다. 악성 여부를 판단할 때 사용할 보안 엔진 목록을 쉼표로 구분하여 입력합니다 (예: AlienVault,Kaspersky). 엔티티에 관한 정보를 반환하지 않는 엔진은 Engine Threshold 및 Engine Percentage Threshold 계산에서 제외됩니다. 값이 제공되지 않으면 작업에서 사용 가능한 모든 엔진의 결과를 가져옵니다.
External URLs	선택사항입니다. 제출할 파일의 공개 URL 목록을 쉼표로 구분하여 입력하세요. "외부 URL"과 "파일 경로"가 모두 제공되면 해당 작업은 두 입력값에서 파일을 수집합니다.
File Paths	선택사항입니다. 쉼표로 구분된 절대 파일 경로 목록입니다. **리눅스 서버 주소** 매개변수를 구성하면 해당 작업은 원격 서버에서 파일을 가져오려고 시도합니다. "외부 URL"과 "파일 경로"가 모두 제공되면 해당 작업은 두 입력값에서 파일을 수집합니다.
Check Hash First	선택사항입니다. 기본값: 비활성화됨. 이 기능이 활성화된 경우, 해당 작업은 먼저 파일의 해시값을 계산하고, 해시값에 대한 사용 가능한 정보가 있는지 검색합니다. 가능한 경우, 제출 절차 없이 정보가 반환됩니다.
Resubmit After (Days)	선택사항입니다. GTI 데이터베이스에 파일의 해시값이 있더라도 파일을 다시 제출하기 전에 해당 작업이 대기해야 하는 일수입니다. 이 매개변수를 사용하려면 Check Hash First을 활성화해야 합니다. 기본값은 30입니다.
Fetch MITRE Details	선택사항입니다. 이 옵션을 선택하면 관련 MITRE 기법 및 전술에 대한 정보가 반환됩니다. 기본적으로 선택되지 않습니다.
Lowest MITRE Technique Severity	선택사항입니다. 반환할 가장 낮은 MITRE 기법 심각도입니다. 이 조치는 Unknown 심각도를 Info로 처리합니다. 이 매개변수는 Hash 엔티티만 지원합니다. 기본값은 Low입니다.
Private Submission	선택사항입니다. 이 옵션을 선택하면 파일이 비공개 모드로 제출됩니다. 파일을 비공개로 제출하려면 VirusTotal Premium API가 필요합니다.
Retrieve Comments	선택사항입니다. 선택하면 작업이 제출된 파일에 관한 의견을 가져옵니다.
Max Comments To Return	선택사항입니다. 각 작업 실행에서 반환할 최대 댓글 수입니다.
Linux Server Address	선택사항입니다. 파일이 있는 원격 Linux 서버의 IP 주소입니다.
Linux Username	선택사항입니다. 파일이 있는 원격 Linux 서버의 사용자 이름입니다.
Linux Password	선택사항입니다. 파일이 있는 원격 Linux 서버의 비밀번호입니다.
ZIP Password	선택사항입니다. 제출할 파일이 포함된 압축 폴더의 비밀번호입니다.

작업 출력

파일 제출 작업은 다음 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 가능
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과입니다.	사용 가능

케이스 월 링크

파일 제출 작업은 다음 링크를 반환할 수 있습니다.

신고 링크 PATH: URL

JSON 결과

다음 예시는 파일 제출 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

출력 메시지

파일 제출 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	작업이 완료되었습니다.
Error executing action "Submit File". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
Error executing action "Submit File". Reason: ERROR_REASON	'파일 경로' 또는 '외부 URL' 값이 없음 '파일 경로' 또는 '외부 URL' 매개변수 중 하나 이상에 값이 있어야 합니다.

스크립트 결과

다음 표에는 파일 제출 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름	값
is_success	True 또는 False

ASM 문제 업데이트

Google 위협 인텔리전스에서 ASM 문제를 업데이트하려면 ASM 문제 업데이트 작업을 사용하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

ASM 문제 업데이트 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Issue ID	필수 항목입니다. 업데이트할 이슈의 ID입니다.
Status	필수 항목입니다. 이슈에 설정할 새로운 상태입니다. 가능한 값은 다음과 같습니다. Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated 기본값은 Select One입니다. 기본값을 사용하면 작업이 실패합니다.

작업 출력

ASM 문제 업데이트 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예는 ASM 문제 업데이트 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

출력 메시지

ASM 문제 업데이트 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	작업이 완료되었습니다.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 ASM 문제 업데이트 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

DTM 알림 업데이트

DTM 알림 업데이트 작업을 사용하여 Google 위협 인텔리전스에서 Mandiant 디지털 위협 모니터링 알림을 업데이트하세요.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

DTM 알림 업데이트 작업에는 다음 매개변수가 필요합니다.

매개변수	설명
Alert ID	필수 항목입니다. 업데이트할 알림의 ID입니다.
Status	선택사항입니다. 알림에 설정할 새로운 상태입니다. 가능한 값은 다음과 같습니다. Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally 기본값은 Select One입니다. 기본값을 사용하면 작업이 실패합니다.

작업 출력

DTM 알림 업데이트 작업은 다음과 같은 출력을 제공합니다.

작업 출력 유형	가용성
케이스 월 연결	사용 불가
케이스 월 링크	사용 불가
케이스 월 테이블	사용 불가
보강 테이블	사용 불가
JSON 결과	사용 가능
출력 메시지	사용 가능
스크립트 결과	사용 가능

JSON 결과

다음 예시는 DTM 알림 업데이트 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

출력 메시지

DTM 알림 업데이트 작업은 다음과 같은 출력 메시지를 반환할 수 있습니다.

출력 메시지	메시지 설명
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	작업이 완료되었습니다.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	작업이 실패했습니다. 서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.

스크립트 결과

다음 표는 DTM 알림 업데이트 작업을 사용할 때 스크립트 결과 출력 값을 나열합니다.

스크립트 결과 이름	값
is_success	True 또는 False

커넥터

Google SecOps에서 커넥터를 구성하는 방법을 자세히 알아보려면 데이터 수집 (커넥터)을 참고하세요.

참고: 커넥터는 데이터 손실을 방지하기 위해 이벤트 평면화를 사용합니다. 원시 알림에 엔티티 목록 (예: 여러 이메일 주소, 호스트 이름 또는 IP 주소)이 포함된 경우 커넥터는 이를 별도의 고유한 이벤트로 자동 평면화합니다.

예를 들어 서로 다른 이메일 주소 3개가 포함된 단일 원시 알림은 각각 고유한 이메일 주소 하나를 포함하는 별도의 이벤트 3개로 수집됩니다.

이 프로세스를 통해 모든 항목이 고유한 애셋으로 올바르게 색인화되므로 플레이북에서 완전히 검색 가능하고 실행 가능합니다.

Google 위협 인텔리전스 - DTM 알림 커넥터

Google 위협 인텔리전스에서 경고를 검색하려면 Google 위협 인텔리전스 - DTM 경고 커넥터를 사용하세요. 동적 목록을 사용하려면 alert_type 매개변수를 사용하십시오.

커넥터 입력

Google 위협 인텔리전스 - DTM 알림 커넥터에는 다음 매개변수가 필요합니다.

매개변수	설명
Product Field Name	필수 항목입니다. 제품 이름이 저장된 필드의 이름입니다. 제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수의 잘못된 입력은 기본적으로 대체 값으로 처리됩니다. 기본값은 Product Name입니다.
Event Field Name	필수 항목입니다. 이벤트 이름 (하위 유형)을 결정하는 필드의 이름입니다. 기본값은 event_type입니다.
Environment Field Name	선택사항입니다. 환경 이름이 저장된 필드의 이름입니다. 환경 필드가 누락된 경우 커넥터는 기본값을 사용합니다. 기본값은 ""입니다.
Environment Regex Pattern	선택사항입니다. Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다. 이 매개변수를 사용하면 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있습니다. 기본값 .*를 사용하여 필요한 원시 Environment Field Name 값을 가져옵니다. 정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
Script Timeout	필수 항목입니다. 현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도(초)입니다. 기본값은 180입니다.
API Root	필수 항목입니다. Google 위협 인텔리전스 인스턴스의 API 루트입니다. 기본값은 https://www.virustotal.com입니다.
API Key	필수 항목입니다. Google 위협 인텔리전스 API 키입니다.
Lowest Severity To Fetch	선택사항입니다. 가져올 알림의 가장 낮은 심각도입니다. 이 매개변수를 구성하지 않으면 커넥터가 모든 심각도 수준의 알림을 수집합니다. 가능한 값은 다음과 같습니다. Low Medium High
Monitor ID Filter	선택사항입니다. 알림을 가져올 모니터 ID의 쉼표로 구분된 목록입니다.
Monitor Name Filter	선택사항입니다. 알림을 가져올 모니터 이름을 쉼표로 구분한 목록입니다. 여러 모니터의 이름이 동일한 경우 커넥터는 모든 모니터에서 데이터를 수집합니다. 이 파라미터는 OR 로직을 사용하여 모니터 ID 값과 함께 평가됩니다.
Event Type Filter	선택사항입니다. 반환할 이벤트 유형을 쉼표로 구분한 목록입니다. 입력은 대소문자를 구분하지 않습니다. 값을 제공하지 않으면 커넥터가 모든 이벤트 유형을 처리합니다. 특정 유형을 제외하려면 느낌표 (예: !event_type)를 앞에 붙입니다.
Disable Overflow	선택사항입니다. 선택하면 커넥터가 Google SecOps 오버플로 메커니즘을 무시합니다. 기본적으로 사용 설정됩니다.
Max Hours Backwards	필수 항목입니다. 현재 시간으로부터 몇 시간 전의 알림을 가져올지 나타냅니다. 이 매개변수는 커넥터를 처음 사용 설정한 후의 초기 커넥터 반복 또는 만료된 커넥터 타임스탬프의 대체 값에 적용될 수 있습니다. 기본값은 1입니다.
Max Alerts To Fetch	필수 항목입니다. 커넥터 반복마다 처리할 알림 수입니다. 최댓값은 25입니다. 기본값은 25입니다.
Use dynamic list as a blocklist	필수 항목입니다. 선택하면 커넥터가 동적 목록을 차단 목록으로 사용합니다. 기본적으로 선택되지 않습니다.
Verify SSL	필수 항목입니다. 이 옵션을 선택하면 Google 위협 인텔리전스 서버에 연결할 때 SSL 인증서의 유효성을 검사합니다. 기본적으로 사용 설정됩니다.
Proxy Server Address	선택사항입니다. 사용할 프록시 서버의 주소입니다.
Proxy Username	선택사항입니다. 인증할 프록시 사용자 이름입니다.
Proxy Password	선택사항입니다. 인증할 프록시 비밀번호입니다.

커넥터 규칙

Google 위협 인텔리전스 - DTM 알림 커넥터는 프록시를 지원합니다.

커넥터 이벤트

Google Threat Intelligence - DTM Alerts Connector에는 두 가지 유형의 이벤트가 있습니다. 하나는 기본 경고를 기반으로 하는 이벤트이고 다른 하나는 주제를 기반으로 하는 이벤트입니다.

메인 알림을 기반으로 하는 커넥터 이벤트의 예는 다음과 같습니다.

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

토픽 기반 커넥터 이벤트의 예는 다음과 같습니다.

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google 위협 인텔리전스 - ASM 문제 커넥터

Google 위협 인텔리전스에서 ASM 문제에 대한 정보를 검색하려면 Google 위협 인텔리전스 - ASM 문제 커넥터를 사용하십시오. 동적 목록 필터를 사용하려면 category 매개변수를 사용하십시오.

커넥터 입력

Google 위협 인텔리전스 - ASM 문제 커넥터에는 다음 매개변수가 필요합니다.

매개변수	설명
Product Field Name	필수 항목입니다. 제품 이름이 저장된 필드의 이름입니다. 제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수의 잘못된 입력은 기본적으로 대체 값으로 처리됩니다. 기본값은 Product Name입니다.
Event Field Name	필수 항목입니다. 이벤트 이름 (하위 유형)을 결정하는 필드의 이름입니다. 기본값은 entity_type입니다.
Environment Field Name	선택사항입니다. 환경 이름이 저장된 필드의 이름입니다. 환경 필드가 누락된 경우 커넥터는 기본값을 사용합니다. 기본값은 ""입니다.
Environment Regex Pattern	선택사항입니다. Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다. 이 매개변수를 사용하면 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있습니다. 기본값 .*를 사용하여 필요한 원시 Environment Field Name 값을 가져옵니다. 정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
Script Timeout	필수 항목입니다. 현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도(초)입니다. 기본값은 180입니다.
API Root	필수 항목입니다. Google 위협 인텔리전스 인스턴스의 API 루트입니다. 기본값은 https://www.virustotal.com입니다.
API Key	필수 항목입니다. Google 위협 인텔리전스 API 키입니다.
Project Name	선택사항입니다. ASM 프로젝트의 이름입니다. 값을 설정하지 않으면 기본 프로젝트의 컬렉션에서 발생하는 알림만 반환됩니다.
Active Group	선택사항입니다. 다중 테넌트 환경에 대한 활성 그룹 (조직 컨텍스트) 식별자입니다. 이는 ASM 프로젝트가 기본 조직과 다른 조직에 있는 경우에 필요합니다.
Lowest Severity To Fetch	선택사항입니다. 가져올 알림의 가장 낮은 심각도입니다. 이 매개변수를 구성하지 않으면 커넥터가 모든 심각도 수준의 알림을 수집합니다. 가능한 값은 다음과 같습니다. Critical High Medium Low Informational
Issue Name Filter	선택사항입니다. 수집할 이슈 목록을 쉼표로 구분하여 작성하십시오. 입력값은 대소문자를 구분합니다. 이름이 직접 나열된 경우 커넥터는 포함 필터를 사용하여 일치하는 문제만 수집합니다. 특정 문제를 제외하려면 이름 앞에 느낌표(!)를 붙이세요(예: !issue_name). 값이 제공되지 않으면 필터가 적용되지 않고 모든 문제가 수집됩니다.
Status Filter	선택사항입니다. 입력할 이슈 상태 목록을 쉼표로 구분하여 입력합니다. 값이 제공되지 않으면 커넥터는 미해결 문제만 처리합니다. 가능한 값은 다음과 같습니다. Open Closed 기본값은 Open입니다.
Event Type Filter	선택사항입니다. 반환할 이벤트 유형을 쉼표로 구분한 목록입니다. 입력은 대소문자를 구분하지 않습니다. 값을 제공하지 않으면 커넥터가 모든 이벤트 유형을 처리합니다. 특정 유형을 제외하려면 해당 유형 앞에 느낌표(!)를 붙이세요(예: !event_type).
Max Hours Backwards	필수 항목입니다. 현재 시간으로부터 몇 시간 전의 알림을 가져올지 나타냅니다. 이 매개변수는 커넥터를 처음 사용 설정한 후의 초기 커넥터 반복 또는 만료된 커넥터 타임스탬프의 대체 값에 적용될 수 있습니다. 기본값은 1입니다.
Max Issues To Fetch	필수 항목입니다. 커넥터 반복 작업마다 처리해야 하는 문제의 수입니다. 최댓값은 100입니다. 기본값은 10입니다.
Disable Overflow	선택사항입니다. 선택하면 커넥터가 Google SecOps 오버플로 메커니즘을 무시합니다. 기본적으로 사용 설정됩니다.
Use dynamic list as a blocklist	필수 항목입니다. 선택하면 커넥터가 동적 목록을 차단 목록으로 사용합니다. 기본적으로 선택되지 않습니다.
Verify SSL	필수 항목입니다. 이 옵션을 선택하면 Google 위협 인텔리전스 서버에 연결할 때 SSL 인증서의 유효성을 검사합니다. 기본적으로 사용 설정됩니다.
Proxy Server Address	선택사항입니다. 사용할 프록시 서버의 주소입니다.
Proxy Username	선택사항입니다. 인증할 프록시 사용자 이름입니다.
Proxy Password	선택사항입니다. 인증할 프록시 비밀번호입니다.

커넥터 이벤트

Google 위협 인텔리전스 - ASM 문제 커넥터 이벤트의 예는 다음과 같습니다.

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google 위협 인텔리전스 - Livehunt 커넥터

Google 위협 인텔리전스 - Livehunt 커넥터를 사용하여 Google 위협 인텔리전스에서 Livehunt 알림 및 관련 파일에 대한 정보를 검색합니다. 동적 목록을 사용하려면 rule_name 매개변수를 사용하십시오.

커넥터 입력

Google 위협 인텔리전스 - Livehunt 커넥터에는 다음 매개변수가 필요합니다.

매개변수	설명
Product Field Name	필수 항목입니다. 제품 이름이 저장된 필드의 이름입니다. 제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수의 잘못된 입력은 기본적으로 대체 값으로 처리됩니다. 기본값은 Product Name입니다.
Event Field Name	필수 항목입니다. 이벤트 이름 (하위 유형)을 결정하는 필드의 이름입니다. 기본값은 type입니다.
Environment Field Name	선택사항입니다. 환경 이름이 저장된 필드의 이름입니다. 환경 필드가 누락된 경우 커넥터는 기본값을 사용합니다. 기본값은 ""입니다.
Environment Regex Pattern	선택사항입니다. Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다. 이 매개변수를 사용하면 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있습니다. 기본값 .*를 사용하여 필요한 원시 Environment Field Name 값을 가져옵니다. 정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
Script Timeout	필수 항목입니다. 현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도(초)입니다. 기본값은 180입니다.
API Root	필수 항목입니다. Google 위협 인텔리전스 인스턴스의 API 루트입니다. 기본값은 https://www.virustotal.com입니다.
API Key	필수 항목입니다. Google 위협 인텔리전스 API 키입니다.
Entity Type Filter	선택사항입니다. 알림을 필터링할 엔티티 유형을 쉼표로 구분한 목록으로 지정합니다 (예: file, url, domain, ip_address). 비워두면 모든 엔티티 유형이 수집됩니다. 기본값은 file입니다.
Max Hours Backwards	필수 항목입니다. 현재 시간으로부터 몇 시간 전의 알림을 가져올지 나타냅니다. 이 매개변수는 커넥터를 처음 사용 설정한 후의 초기 커넥터 반복 또는 만료된 커넥터 타임스탬프의 대체 값에 적용될 수 있습니다. 기본값은 1입니다.
Max Notifications To Fetch	필수 항목입니다. 커넥터 반복마다 처리해야 하는 알림 수입니다. 기본값은 40입니다.
Disable Overflow	선택사항입니다. 선택하면 커넥터가 Google SecOps 오버플로 메커니즘을 무시합니다. 기본적으로 사용 설정됩니다.
Use dynamic list as a blocklist	필수 항목입니다. 선택하면 커넥터가 동적 목록을 차단 목록으로 사용합니다. 기본적으로 선택되지 않습니다.
Verify SSL	필수 항목입니다. 이 옵션을 선택하면 Google 위협 인텔리전스 서버에 연결할 때 SSL 인증서의 유효성을 검사합니다. 기본적으로 사용 설정됩니다.
Proxy Server Address	선택사항입니다. 사용할 프록시 서버의 주소입니다.
Proxy Username	선택사항입니다. 인증할 프록시 사용자 이름입니다.
Proxy Password	선택사항입니다. 인증할 프록시 비밀번호입니다.

커넥터 규칙

Google 위협 인텔리전스 - Livehunt 커넥터는 프록시를 지원합니다.

커넥터 이벤트

Google 위협 인텔리전스 - Livehunt 커넥터 이벤트의 예는 다음과 같습니다.

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED —>
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.