Integrar o Google Threat Intelligence ao Google SecOps

Este documento explica como integrar o Google Threat Intelligence ao Google Security Operations.

Antes de começar

Para usar essa integração, você precisa de uma chave de API. Para mais informações, consulte Chaves de API do Google Threat Intelligence.

Parâmetros de integração

A integração do Google Threat Intelligence requer os seguintes parâmetros:

Parâmetro	Descrição
API Root	Obrigatório. A raiz da API da instância do Google Threat Intelligence. O valor padrão é https://www.virustotal.com.
API Key	Obrigatório. A chave de API do Google Threat Intelligence.
ASM Project Name	Opcional. O nome do projeto do Mandiant Attack Surface Management (ASM) a ser usado na integração. Esse parâmetro é obrigatório para executar as ações Pesquisar entidades do ASM, Pesquisar problemas do ASM e Atualizar problema do ASM. Se nenhum valor for definido, somente os alertas de coleções no projeto principal serão retornados.
Active Group	Opcional. O identificador do grupo ativo (contexto da organização) para ambientes multilocatários. Isso é necessário se os projetos do ASM estiverem em uma organização diferente da principal.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google Threat Intelligence. Ativado por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Adicionar observação sobre o problema do ASM

Use a ação Adicionar nota de problema do ASM para anexar uma nota técnica a um problema do gerenciamento de superfícies de ataque (ASM) no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar nota de problema do ASM requer os seguintes parâmetros:

Parâmetro	Descrição
Alert ID	Obrigatório. O ID do alerta a ser atualizado.
Text	Obrigatório. O conteúdo da análise ou nota a ser anexado ao alerta.

Saídas da ação

A ação Adicionar observação ao problema do ASM fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar observação de problema do ASM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar nota de problema do ASM:

Nome do resultado do script	Valor
is_success	true ou false

Adicionar comentário à entidade

Use a ação Adicionar comentário à entidade para adicionar comentários às entidades do Google SecOps no Google Threat Intelligence.

Essa ação só é compatível com hashes MD5, SHA-1 e SHA-256.

Essa ação é executada nas seguintes entidades do Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entradas da ação

A ação Adicionar comentário à entidade requer os seguintes parâmetros:

Parâmetro	Descrição
Comment	Obrigatório. Um comentário para adicionar a todas as entidades compatíveis.

Saídas da ação

A ação Adicionar comentário à entidade fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Adicionar comentário à entidade:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Mensagens de saída

A ação Adicionar comentário à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID. The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID. No comments were added to the provided entities in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Add Comment To Entity". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar comentário à entidade:

Nome do resultado do script	Valor
is_success	True ou False

Adicionar tag ao alerta do DTM

Use a ferramenta Adicionar tag ao alerta do DTM para adicionar tags a um alerta do Digital Threat Monitoring (DTM) no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar tag ao alerta de DTM requer os seguintes parâmetros:

Parâmetro	Descrição
Alert ID	Obrigatório. O identificador exclusivo do alerta a ser atualizado.
Mode	Opcional. A lógica operacional para a atualização da tag. Os valores possíveis são os seguintes: Append: adiciona as tags especificadas à lista de tags existente do alerta. Set: substitui todas as tags de alerta atuais pelas tags fornecidas em Tags. O valor padrão é Append.
Tags	Obrigatório. Uma lista separada por vírgulas de tags para aplicar ao alerta.

Saídas da ação

A ação Adicionar tag ao alerta de DTM fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar tag ao alerta de DTM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar tag ao alerta de DTM:

Nome do resultado do script	Valor
is_success	true ou false

Adicionar voto à entidade

Use a ação Adicionar comentário à entidade para adicionar votos a entidades do Google SecOps no Google Threat Intelligence.

Essa ação só é compatível com hashes MD5, SHA-1 e SHA-256.

Essa ação é executada nas seguintes entidades do Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• URL

Entradas da ação

A ação Adicionar voto à entidade requer os seguintes parâmetros:

Parâmetro	Descrição
Vote	Obrigatório. Um voto para adicionar a todas as entidades compatíveis. Os valores possíveis são os seguintes: Harmless Malicious O valor padrão é Malicious.

Saídas da ação

A ação Adicionar voto à entidade fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Adicionar voto à entidade:

{
   "Status": "Done"
}

{
   "Status": "Not done"
}

Mensagens de saída

A ação Adicionar voto à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID. Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID. No votes were added to the provided entities in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar voto à entidade:

Nome do resultado do script	Valor
is_success	True ou False

Perguntar ao agente de inteligência contra ameaças

Use a ação Perguntar ao agente de inteligência contra ameaças para executar consultas em linguagem natural e conversar com o agente do Google Threat Intelligence para recuperar análises de ameaças, contexto de agentes, triagem de malware e recomendações de detecção geradas por IA.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Perguntar ao agente de inteligência contra ameaças requer os seguintes parâmetros:

Parâmetro	Descrição
Prompt	Obrigatório. O comando em linguagem natural ou a consulta de investigação a ser enviada ao Agente do Google Threat Intelligence.
Session ID	Opcional. Um ID de sessão atual usado para continuar uma conversa em andamento com o agente. Se nenhum valor for fornecido, a ação vai criar uma nova sessão.
File Paths	Opcional. Uma lista separada por vírgulas de caminhos de arquivos locais para anexar ao comando.
Delete Session After Completion	Opcional. Se selecionada, a ação exclui automaticamente a sessão do agente depois de recuperar a resposta.

Saídas da ação

A ação Perguntar ao agente de inteligência contra ameaças fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Perguntar ao agente de inteligência contra ameaças:

{
  "session_id": "cdc04504-0e13-4e53-901b-3a3c3a8b2211",
  "title": "Threat Investigation",
  "response_text": "### 1. Overview & Reputation\n\nThe IP address 8.8.8.8 is safe and benign..."
}

Mensagens de saída

A ação Perguntar ao agente de inteligência contra ameaças pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully executed prompt in Google Threat Intelligence.	A ação foi bem-sucedida e retornou uma resposta de texto do agente.
Google Threat Intelligence Agent didn't return a text response for session SESSION_ID.	A sessão foi concluída, mas a resposta do agente não continha texto.
Error executing action "Ask Threat Intelligence Agent". Reason: Failed to connect to the Google Threat Intelligence server! Please check the provided credentials. Error executing action "Ask Threat Intelligence Agent". Reason: Google Threat Intelligence Agent didn't return a final response for session SESSION_ID. Error executing action "Ask Threat Intelligence Agent". Reason: The following paths are directories, not files: PATHS. Error executing action "Ask Threat Intelligence Agent". Reason: The following files are empty: PATHS. Error executing action "Ask Threat Intelligence Agent". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, suas credenciais de API, o Session ID e todos os caminhos locais especificados em File Paths.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Perguntar ao agente de inteligência contra ameaças:

Nome do resultado do script	Valor
is_success	true ou false

Baixar o arquivo

Use a ação Fazer download do arquivo para baixar um arquivo do Google Threat Intelligence.

Essa ação é executada na entidade Hash do Google SecOps.

Essa ação só é compatível com hashes MD5, SHA-1 e SHA-256.

Entradas da ação

A ação Fazer download do arquivo requer os seguintes parâmetros:

Parâmetro	Descrição
Download Folder Path	Obrigatório. O caminho para a pasta em que os arquivos baixados serão armazenados.
Overwrite	Obrigatório. Se selecionada, a ação vai substituir um arquivo atual pelo novo se os nomes de arquivo forem idênticos. Ativado por padrão.

Saídas da ação

A ação Fazer download do arquivo fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Fazer download do arquivo:

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}

Mensagens de saída

A ação Fazer o download do arquivo pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related files were found for the provided entities in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Download File". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Enriquecer entidades

Use a ação Enriquecer entidades para enriquecer entidades com informações do Google Threat Intelligence.

Essa ação é compatível com os hashes MD5, SHA-1 e SHA-256.

Essa ação é executada nas seguintes entidades do Google SecOps:

• CVE
• Domain
• Hash (incluindo CHILDHASH e PARENTHASH)
• Hostname
• IP Address
• Threat Actor
• URL

Entradas da ação

A ação Enriquecer entidades requer os seguintes parâmetros:

Parâmetro	Descrição
GTI Score	Opcional. A pontuação mínima do Google Threat Intelligence necessária para marcar uma entidade do Google SecOps como suspeita. Essa condição é validada junto com as informações de veredito do Google Threat Intelligence. Esse parâmetro só é compatível com as entidades IP Address, URL, Hostname, Domain e Hash. Se nenhum valor for fornecido, a ação vai ignorar os valores de pontuação do Google Threat Intelligence. O valor padrão é 60.
Engine Threshold	Opcional. O número mínimo de mecanismos de segurança que precisam marcar uma entidade como maliciosa ou suspeita para que o Google SecOps a rotule como suspeita. Essa condição é validada junto com as informações de veredito do Google Threat Intelligence. Esse parâmetro só é compatível com as entidades IP Address, URL, Hostname, Domain e Hash. Se Engine Allowlist tiver valores, a ação vai contar apenas os resultados desses mecanismos específicos. Se nenhum valor for fornecido, a ação vai ignorar os cálculos do mecanismo.
Engine Percentage Threshold	Opcional. A porcentagem mínima de mecanismos de segurança que precisam marcar uma entidade como maliciosa ou suspeita para que o Google SecOps a rotule como suspeita. Esse parâmetro só é compatível com as entidades IP Address, URL, Hostname, Domain e Hash. Se Engine Allowlist tiver valores, a ação vai calcular apenas a porcentagem desses mecanismos específicos. Se Engine Threshold e Engine Percentage Threshold forem fornecidos, Engine Threshold terá precedência. Se nenhum valor for fornecido, a ação vai ignorar os cálculos do mecanismo. O valor máximo é 100. O valor mínimo é 0.
Engine Allowlist	Opcional. Uma lista separada por vírgulas de mecanismos de segurança usados para recuperar informações de mal-intencionados (por exemplo, AlienVault,Kaspersky). Se nenhum valor for fornecido, a ação vai recuperar resultados de todos os mecanismos disponíveis. Os mecanismos que não retornam informações sobre uma entidade são excluídos dos cálculos de Engine Threshold e Engine Percentage Threshold.
Resubmit Entity	Opcional. Se selecionada, a ação reenvia entidades para análise em vez de usar as informações de entidade da execução da ação anterior. Esse parâmetro só é compatível com as entidades URL e Hash. Não selecionada por padrão.
Resubmit After (Days)	Opcional. O número de dias que a ação deve esperar antes de enviar a entidade novamente. Para usar esse parâmetro, selecione o parâmetro Resubmit Entity. O valor padrão é 30. Esse parâmetro só é compatível com as entidades URL e Hash.
Sandbox	Opcional. Uma lista separada por vírgulas de nomes de sandbox para analisar, como VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO. Esse parâmetro só é compatível com a entidade Hash. Se você não definir esse parâmetro, a ação vai usar o sandbox padrão, que é VirusTotal Jujubox.
Retrieve Sandbox Analysis	Opcional. Se selecionada, a ação recupera a análise de sandbox da entidade e cria uma seção separada para cada sandbox no resultado JSON. A ação retorna dados para sandboxes que você configurou no parâmetro Sandbox. Esse parâmetro só aceita a entidade Hash. Não selecionada por padrão.
Fetch MITRE Details	Opcional. Se selecionada, a ação retorna informações sobre as técnicas e táticas relacionadas do MITRE. Esse parâmetro só é compatível com a entidade Hash. Não selecionada por padrão.
Lowest MITRE Technique Severity	Opcional. A menor gravidade da técnica MITRE a ser retornada. A ação trata a gravidade Unknown como Info. Esse parâmetro só é compatível com a entidade Hash. Os valores possíveis são os seguintes: High Medium Low Info O valor padrão é Medium.
Retrieve Comments	Opcional. Se selecionada, a ação recupera comentários sobre a entidade. Esse parâmetro é compatível com as seguintes entidades: Domain Hash Hostname IP Address URL
Widget Theme	Opcional. O estilo visual aplicado ao widget aumentado de IOC. Os valores possíveis são os seguintes: Dark Dark Blue Light O valor padrão é Dark Blue.
Max Comments To Return	Opcional. O número máximo de comentários a serem retornados para cada execução de ação. O valor padrão é 10.

Saídas da ação

A ação Enriquecer entidades fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Disponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento de entidades	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Link do Painel de Casos

A ação Enrich Entities pode retornar os seguintes links:

• IOC: https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

• Agente de ameaça: https://www.virustotal.com/gui/collection/threat-actor--ID

• Vulnerabilidade: https://www.virustotal.com/gui/collection/vulnerability--ID

Tabela de enriquecimento de entidades

1. A ação Enriquecer entidades é compatível com o seguinte enriquecimento de entidade para endereços IP:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_id	id	Quando disponível no resultado JSON.
GTI_owner	as_owner	Quando disponível no resultado JSON.
GTI_asn	asn	Quando disponível no resultado JSON.
GTI_continent	continent	Quando disponível no resultado JSON.
GTI_country	country	Quando disponível no resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Quando disponível no resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Quando disponível no resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Quando disponível no resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Quando disponível no resultado JSON.
GTI_certificate_valid_not_after	validity/not_after	Quando disponível no resultado JSON.
GTI_certificate_valid_not_before	validity/not_before	Quando disponível no resultado JSON.
GTI_reputation	reputation	Quando disponível no resultado JSON.
GTI_tags	Comma-separated list of tags	Quando disponível no resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Quando disponível no resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Quando disponível no resultado JSON.
GTI_report_link	report_link	Quando disponível no resultado JSON.
GTI_widget_link	widget_url	Quando disponível no resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Quando disponível no resultado JSON.
GTI_severity	gti_assessment.severity.value	Quando disponível no resultado JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Quando disponível no resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Quando disponível no resultado JSON.
GTI_description	gti_assessment.description	Quando disponível no resultado JSON.

2. A ação Enriquecer entidades oferece suporte ao seguinte enriquecimento de entidade para URL:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_id	id	Quando disponível no resultado JSON.
GTI_title	title	Quando disponível no resultado JSON.
GTI_last_http_response_code	last_http_response_code	Quando disponível no resultado JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Quando disponível no resultado JSON.
GTI_threat_names	Comma-separated list of threat_names	Quando disponível no resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Quando disponível no resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Quando disponível no resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Quando disponível no resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Quando disponível no resultado JSON.
GTI_reputation	reputation	Quando disponível no resultado JSON.
GTI_tags	Comma-separated list of tags	Quando disponível no resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Quando disponível no resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Quando disponível no resultado JSON.
GTI_report_link	report_link	Quando disponível no resultado JSON.
GTI_widget_link	widget_url	Quando disponível no resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Quando disponível no resultado JSON.
GTI_severity	gti_assessment.severity.value	Quando disponível no resultado JSON.
GTI_normalised_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Quando disponível no resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Quando disponível no resultado JSON.
GTI_description	gti_assessment.description	Quando disponível no resultado JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Quando disponível no resultado JSON.

3. A ação Enrich Entities é compatível com o seguinte enriquecimento de entidade para Hash:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_id	id	Quando disponível no resultado JSON.
GTI_magic	magic	Quando disponível no resultado JSON.
GTI_md5	md5	Quando disponível no resultado JSON.
GTI_sha1	sha1	Quando disponível no resultado JSON.
GTI_sha256	sha256	Quando disponível no resultado JSON.
GTI_ssdeep	ssdeep	Quando disponível no resultado JSON.
GTI_tlsh	tlsh	Quando disponível no resultado JSON.
GTI_vhash	vhash	Quando disponível no resultado JSON.
GTI_meaningful_name	meaningful_name	Quando disponível no resultado JSON.
GTI_magic	Comma-separated list of names	Quando disponível no resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Quando disponível no resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Quando disponível no resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Quando disponível no resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Quando disponível no resultado JSON.
GTI_reputation	reputation	Quando disponível no resultado JSON.
GTI_tags	Comma-separated list of tags	Quando disponível no resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Quando disponível no resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Quando disponível no resultado JSON.
GTI_report_link	report_link	Quando disponível no resultado JSON.
GTI_widget_link	widget_url	Quando disponível no resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Quando disponível no resultado JSON.
GTI_severity	gti_assessment.severity.value	Quando disponível no resultado JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Quando disponível no resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Quando disponível no resultado JSON.
GTI_description	gti_assessment.description	Quando disponível no resultado JSON.
GTI_exiftool_{json_key}	GTI_exiftool_{json_key.value}

4. A ação Enriquecer entidades é compatível com o seguinte enriquecimento de entidade para Domínio/Nome do host:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_id	id	Quando disponível no resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Quando disponível no resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Quando disponível no resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Quando disponível no resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Quando disponível no resultado JSON.
GTI_reputation	reputation	Quando disponível no resultado JSON.
GTI_tags	Comma-separated list of tags	Quando disponível no resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Quando disponível no resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Quando disponível no resultado JSON.
GTI_report_link	report_link	Quando disponível no resultado JSON.
GTI_widget_link	widget_url	Quando disponível no resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Quando disponível no resultado JSON.
GTI_severity	gti_assessment.severity.value	Quando disponível no resultado JSON.
GTI_normalized_categories	CSV of gti_assessment.contributing_factors.normalised_categories	Quando disponível no resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Quando disponível no resultado JSON.
GTI_description	gti_assessment.description	Quando disponível no resultado JSON.
GGTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Quando disponível no resultado JSON.

5. A ação Enriquecer entidades é compatível com o seguinte enriquecimento de entidade para Elemento de ameaça:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_motivations	Csv of motivations/name	Quando disponível no resultado JSON.
GTI_aliases	Csv of alt_names_details/value	Quando disponível no resultado JSON.
GTI_industries	Csv of targeted_industries/value	Quando disponível no resultado JSON.
GTI_malware	Csv of malware/name	Quando disponível no resultado JSON.
GTI_source_region	CSV of source_regions_hierarchy/country	Quando disponível no resultado JSON.
GTI_target_region	Csv of targeted_regions_hierarchy/country	Quando disponível no resultado JSON.
GTI_origin	origin	Quando disponível no resultado JSON.
GTI_description	description	Quando disponível no resultado JSON.
GTI_last_activity_time	last_activity_time	Quando disponível no resultado JSON.
GTI_report_link	We craft it.	Quando disponível no resultado JSON.

6. A ação Enriquecer entidades é compatível com o seguinte enriquecimento de entidade para Vulnerabilidade:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_sources	Csv of source_name	Quando disponível no resultado JSON.
GTI_exploitation_state	exploitation_state	Quando disponível no resultado JSON.
GTI_date_of_disclosure	date_of_disclosure	Quando disponível no resultado JSON.
GTI_vendor_fix_references	vendor_fix_references/url	Quando disponível no resultado JSON.
GTI_exploitation_vectors	Csv of exploitation_vectors	Quando disponível no resultado JSON.
GTI_description	description	Quando disponível no resultado JSON.
GTI_risk_rating	risk_rating	Quando disponível no resultado JSON.
GTI_available_mitigation	CSV of available_mitigation	Quando disponível no resultado JSON.
GTI_exploitation_consequence	exploitation_consequence	Quando disponível no resultado JSON.
GTI_report_link	We craft it.	Quando disponível no resultado JSON.

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON para IOCs (entidades IP, Hash, URL, Domain e Hostname) recebidas ao usar a ação Enriquecer entidades:

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

O exemplo a seguir mostra a saída do resultado JSON para vulnerabilidades recebidas ao usar a ação Enriquecer entidades:

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

O exemplo a seguir mostra a saída do resultado JSON para os autores de ameaças recebidos ao usar a ação Enriquecer entidades:

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}

Mensagens de saída

A ação Enrich Entities pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID The action didn't enrich any of the provided entities.	A ação foi concluída.
Error executing action "Enrich Entities". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Enriquecer entidades:

Nome do resultado do script	Valor
is_success	True ou False

Enriquecer IOCs

Use a ação Enrich IOCs para enriquecer os indicadores de comprometimento (IoCs) com informações do Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Enriquecer IOCs requer os seguintes parâmetros:

Parâmetro	Descrição
IOC Type	Opcional. O tipo de IOC a ser enriquecido. Os valores possíveis são os seguintes: Filehash URL Domain IP Address O valor padrão é Filehash.
IOCs	Obrigatório. Uma lista separada por vírgulas de IOCs para ingerir dados.
Widget Theme	Opcional. O estilo visual aplicado ao widget aumentado de IOC. Os valores possíveis são os seguintes: Dark Dark Blue Light O valor padrão é Dark Blue.

Saídas da ação

A ação Enrich IOCs fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Disponível
Tabela do painel de casos	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Link do Painel de Casos

A ação Enriquecer IOCs pode fornecer o seguinte link para cada entidade enriquecida:

Nome: Link do relatório

Valor: URL

Tabela do painel de casos

A ação Enriquecer IOCs pode fornecer a seguinte tabela para cada entidade enriquecida:

Nome da tabela: IOC_ID

Colunas da tabela:

• Nome
• Categoria
• Método
• Result

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Enriquecer IOCs:

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}

Mensagens de saída

A ação Enrich IOCs pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST No information found for the following IOCs using Google Threat Intelligence: IOC_LIST No information about IOCs was found.	A ação foi concluída.
Error executing action "Enrich IOC". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Enriquecer IOCs:

Nome do resultado do script	Valor
is_success	True ou False

Executar pesquisa de IOC

Use a ação Executar pesquisa de IOC para executar a pesquisa de IOC no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Executar pesquisa de IOC requer os seguintes parâmetros:

Parâmetro	Descrição
Search Query	Obrigatório. Uma consulta de pesquisa a ser executada, como crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+.
Max Results To Return	Opcional. O número máximo de resultados a serem retornados para cada execução de ação. O valor máximo é 200. O valor padrão é 50.

Saídas da ação

A ação Executar pesquisa de IOC fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Executar pesquisa de IOC:

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}

Mensagens de saída

A ação Executar pesquisa de IOC pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully found results for the provided query in Google Threat Intelligence. No results were found for the provided query in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Execute IOC Search". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Executar pesquisa de IOC:

Nome do resultado do script	Valor
is_success	True ou False

Receber detalhes da entidade do ASM

Use a ação Receber detalhes da entidade do ASM para receber informações sobre uma entidade do ASM no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get ASM Entity Details requer os seguintes parâmetros:

Parâmetro	Descrição
Entity ID	Obrigatório. Uma lista separada por vírgulas de IDs de entidade para receber detalhes.

Saídas da ação

A ação Get ASM Entity Details fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get ASM Entity Details:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED >
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}

Mensagens de saída

A ação Get ASM Entity Details pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID	A ação foi concluída.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get ASM Entity Details:

Nome do resultado do script	Valor
is_success	True ou False

Ver detalhes do gráfico

Use a ação Receber detalhes do gráfico para receber informações detalhadas sobre gráficos no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Graph Details requer os seguintes parâmetros:

Parâmetro	Descrição
Graph ID	Obrigatório. Uma lista separada por vírgulas de IDs de gráficos para recuperar detalhes.
Max Links To Return	Obrigatório. O número máximo de links a serem retornados para cada gráfico. O valor padrão é 50.

Saídas da ação

A ação Get Graph Details fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Tabela do painel de casos

A ação Receber detalhes do gráfico pode fornecer a seguinte tabela para cada entidade enriquecida:

Nome da tabela: Links do gráfico GRAPH_ID

Colunas da tabela:

• Origem
• Objetivo
• Tipo de conexão

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get Graph Details:

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}

Mensagens de saída

A ação Get Graph Details pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS No information about the provided graphs was found.	A ação foi concluída.
Error executing action "Get Graph Details". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Graph Details:

Nome do resultado do script	Valor
is_success	True ou False

Receber associações relacionadas

Use a ação Receber associações relacionadas para receber informações sobre associações (relatórios, campanhas, coleções, famílias de malware, kits de ferramentas de software, vulnerabilidades, agentes de ameaças) relacionadas a entidades no Google Threat Intelligence.

Essa ação é executada nas seguintes entidades do Google SecOps:

• IP address
• URL
• File hash
• Hostname
• Domain

Observação: essa ação só é compatível com hashes MD5, SHA-1 e SHA-256.

Entradas da ação

A ação Get Related Associations requer os seguintes parâmetros:

Parâmetro	Descrição
Association Types	Opcional. Uma lista separada por vírgulas de associações a serem retornadas. Os relatórios são processados depois que todas as outras associações são concluídas. Os valores possíveis são os seguintes: Report Campaign Collection Malware Family Vulnerability Threat Actor Se nenhum valor for fornecido, a ação vai retornar todas as associações.
Create Entity	Opcional. Se selecionada, a ação cria uma entidade para agentes de ameaças, vulnerabilidades e exposições comuns (CVEs) e campanhas relacionadas, vinculando-a à entidade original. Somente as entidades CVE, Agente de ameaças e Campanha são criadas.
Max Associations To Return	Opcional. O número máximo de IoCs a serem retornados para cada entidade. O valor máximo é 100. O valor padrão é 50.

Saídas da ação

A ação Get Related Associations fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get Related Associations:

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}

Mensagens de saída

A ação Get Related Associations pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID. No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID. No related associations were found for the provided entities in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Get Related Associations". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Related Associations:

Nome do resultado do script	Valor
is_success	True ou False

Receber IOCs relacionados

Use a ação Receber IOCs relacionados para receber informações sobre IOCs relacionados a entidades usando informações do Google Threat Intelligence.

Essa ação só é compatível com hashes MD5, SHA-1 e SHA-256.

Essa ação é executada nas seguintes entidades do Google SecOps:

• IP address
• URL
• Hostname
• Domain
• Hash
• Threat Actor

Entradas da ação

A ação Get Related IOCs requer os seguintes parâmetros:

Parâmetro	Descrição
IOC Types	Obrigatório. Uma lista separada por vírgulas de IOCs a serem extraídos. Os valores possíveis são: IP, Hash, URL, Domain.
Max IOCs To Return	Obrigatório. O número máximo de IOCs a serem retornados para os tipos de IOC selecionados para cada entidade. O valor padrão é 40.

Saídas da ação

A ação Get Related IOCs fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Receber IOCs relacionados:

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}

Mensagens de saída

A ação Receber IOCs relacionados pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY. No related IOCs were found for the provided entities.	A ação foi concluída.
Error executing action "Get Related IOCs". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Receber IOCs relacionados:

Nome do resultado do script	Valor
is_success	True ou False

Ping

Use a ação Ping para testar a conectividade com o Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Mensagens de saída

A ação Ping pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully connected to the Google Threat Intelligence server with the provided connection parameters!	A ação foi concluída.
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script	Valor
is_success	True ou False

URL de envio particular

Use a ação Enviar URL particular para enviar um URL para uma verificação particular no Google Threat Intelligence.

Essa ação é executada na seguinte entidade do Google SecOps:

• URL

Observação: para uma verificação regular e enriquecimento de entidades, use a ação Enriquecer entidades.

Entradas da ação

A ação Enviar URL particular requer os seguintes parâmetros:

Parâmetro	Descrição
URL	Opcional. Uma lista de URLs separados por vírgulas para verificação. O sistema processa os valores inseridos com as entidades de URL que a operação descobre.
Check Existing Submissions First	Opcional. Se selecionada, essa ação verifica se o URL tem informações de envio públicas ou privadas. Se encontradas, a ação retorna imediatamente as informações, ignorando o fluxo de envio. Essa configuração está desativada por padrão.
Resubmit After (Days)	Opcional. O número mínimo de dias que precisam passar após a última data de análise pública do URL para que ele possa ser reenviado. Observação: para usar esse parâmetro, é necessário ativar Check Existing Submissions First. O valor padrão é 30.

Saídas da ação

A ação Enviar URL particular fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Disponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Disponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Link do Painel de Casos

A ação URL de envio particular pode retornar o seguinte link:

Link do relatório URL: URL to the GTI UI displaying the submission details.

Tabela de enriquecimento de entidades

A ação URL de envio particular é compatível com o seguinte enriquecimento de entidade para entidades de URL quando os dados são recuperados de um envio público:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_id	id	Quando disponível no resultado JSON.
GTI_title	title	Quando disponível no resultado JSON.
GTI_last_http_response_code	last_http_response_code	Quando disponível no resultado JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Quando disponível no resultado JSON.
GTI_threat_names	Lista separada por vírgulas de threat_names	Quando disponível no resultado JSON.
GTI_harmless_count	last_analysis_stats/harmless	Quando disponível no resultado JSON.
GTI_malicious_count	last_analysis_stats/malicious	Quando disponível no resultado JSON.
GTI_suspicious_count	last_analysis_stats/suspicious	Quando disponível no resultado JSON.
GTI_undetected_count	last_analysis_stats/undetected	Quando disponível no resultado JSON.
GTI_reputation	reputation	Quando disponível no resultado JSON.
GTI_tags	Lista separada por vírgulas de tags	Quando disponível no resultado JSON.
GTI_malicious_vote_count	total_votes/malicious	Quando disponível no resultado JSON.
GTI_harmless_vote_count	total_votes/harmless	Quando disponível no resultado JSON.
GTI_report_link	report link	Quando disponível no resultado JSON.
GTI_widget_link	widget_url	Quando disponível no resultado JSON.
GTI_threat_score	gti_assessment.threat_score.value	Quando disponível no resultado JSON.
GTI_severity	gti_assessment.severity.value	Quando disponível no resultado JSON.
GTI_normalised_categories	CSV de gti_assessment.contributing_factors.normalised_categories	Quando disponível no resultado JSON.
GTI_verdict	gti_assessment.verdict.value	Quando disponível no resultado JSON.
GTI_description	gti_assessment.description	Quando disponível no resultado JSON.
GTI_category_{attributes/categories/json key}	{attributes/categories/json key value}	Quando disponível no resultado JSON.

A ação URL de envio particular é compatível com o seguinte enriquecimento de entidade para entidades de URL quando os dados são recuperados de um envio particular:

Campo de enriquecimento	Origem (chave JSON)	Aplicabilidade
GTI_id	id	Quando disponível no resultado JSON.
GTI_title	title	Quando disponível no resultado JSON.
GTI_last_http_response_code	last_http_response_code	Quando disponível no resultado JSON.
GTI_last_http_response_content_length	last_http_response_content_length	Quando disponível no resultado JSON.
GTI_tags	Lista separada por vírgulas de tags	Quando disponível no resultado JSON.
GTI_report_link	report link	Quando disponível no resultado JSON.
GTI_widget_link	widget_url	Quando disponível no resultado JSON.

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação URL de envio particular:

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}

Mensagens de saída

A ação URL de envio particular pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned information about the following URLs in Google Threat Intelligence: URLS. Action couldn't find information about the following URLs in Google Threat Intelligence: URLS. None of the provided URLs were processed in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Private Submit URL". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação URL de envio particular:

Nome do resultado do script	Valor
is_success	true ou false

Pesquisar entidades do ASM

Use a ação Pesquisar entidades do ASM para procurar entidades do ASM no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pesquisar entidades do ASM requer os seguintes parâmetros:

Parâmetro	Descrição
Project Name	Opcional. O nome do projeto do ASM. Se você não definir um valor, a ação vai usar o valor configurado para o parâmetro de integração ASM Project Name.
Entity Name	Opcional. Uma lista separada por vírgulas de nomes de entidades para encontrar entidades. A ação trata nomes de entidade que contêm barras / como valores inválidos.
Minimum Vulnerabilities Count	Opcional. O número mínimo de vulnerabilidades necessárias para que a ação retorne a entidade.
Minimum Issues Count	Opcional. O número mínimo de problemas necessários para que a ação retorne a entidade.
Tags	Opcional. Uma lista separada por vírgulas de nomes de tags para usar ao pesquisar entidades.
Max Entities To Return	Opcional. O número de entidades que serão retornadas. O valor máximo é 200. O valor padrão é 50.
Critical or High Issue	Opcional. Se selecionada, a ação só vai retornar problemas com gravidade High e Critical. Não selecionado por padrão.

Saídas da ação

A ação Pesquisar entidades do ASM fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Pesquisar entidades do ASM:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}

Mensagens de saída

A ação Pesquisar entidades do ASM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned entities based on the provided criteria in Google Threat Intelligence. No entities were found based on the provided criteria in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Search ASM Entities". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pesquisar entidades do ASM:

Nome do resultado do script	Valor
is_success	True ou False

Pesquisar problemas do ASM

Use a ação Pesquisar problemas de ASM para procurar problemas de ASM no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pesquisar problemas do ASM requer os seguintes parâmetros:

Parâmetro	Descrição
Project Name	Opcional. O nome do projeto do ASM. Se você não definir um valor, a ação vai usar o valor configurado para o parâmetro de integração ASM Project Name.
Issue ID	Opcional. Uma lista separada por vírgulas de IDs de problemas para retornar os detalhes.
Entity ID	Opcional. Uma lista separada por vírgulas de IDs de entidade para encontrar problemas relacionados.
Entity Name	Opcional. Uma lista separada por vírgulas de nomes de entidades para encontrar problemas relacionados. A ação trata nomes de entidade que contêm barras / como valores inválidos.
Time Parameter	Opcional. Uma opção de filtro para definir o horário do problema. Os valores possíveis são First Seen e Last Seen. O valor padrão é First Seen.
Time Frame	Opcional. Um período para filtrar problemas. Se você selecionar Custom, configure o parâmetro Start Time. Os valores possíveis são os seguintes: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom O valor padrão é Last Hour.
Start Time	Opcional. O horário de início dos resultados. Se você selecionou Custom para o parâmetro Time Frame, esse parâmetro é obrigatório. Configure o valor no formato ISO 8601.
End Time	Opcional. O horário de término dos resultados. Se você selecionou Custom para o parâmetro Time Frame e não definiu o horário de término, esse parâmetro usa o horário atual como horário de término. Configure o valor no formato ISO 8601.
Lowest Severity To Return	Opcional. A menor gravidade dos problemas a serem retornados. Os valores possíveis são os seguintes: Select One Critical High Medium Low Informational O valor padrão é Select One. Se você selecionar Select One, esse filtro não será aplicado à pesquisa.
Status	Opcional. O filtro de status da pesquisa. Os valores possíveis são Open, Closed e Select One. O valor padrão é Select One. Se você selecionar Select One, esse filtro não será aplicado à pesquisa.
Tags	Opcional. Uma lista separada por vírgulas de nomes de tags para usar ao pesquisar problemas.
Max Issues To Return	Obrigatório. O número de problemas que serão retornados. O valor máximo é 200. O valor padrão é 50.

Saídas da ação

A ação Pesquisar problemas do ASM fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Disponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Pesquisar problemas do ASM:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}

Mensagens de saída

A ação Pesquisar problemas do ASM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned issues based on the provided criteria in Google Threat Intelligence. No issues were found based on the provided criteria in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Search ASM Issues". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pesquisar problemas do ASM:

Nome do resultado do script	Valor
is_success	True ou False

Pesquisar gráficos de entidades

Use a ação Pesquisar gráficos de entidades para pesquisar gráficos baseados em entidades do Google SecOps no Google Threat Intelligence.

Essa ação só é compatível com hashes MD5, SHA-1 e SHA-256.

Essa ação é executada nas seguintes entidades do Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• Threat Actor
• URL
• User

Entradas da ação

A ação Pesquisar gráficos de entidade requer os seguintes parâmetros:

Parâmetro	Descrição
Sort Field	Opcional. O valor do campo para ordenar os resultados. Os valores possíveis são os seguintes: Owner Creation Date Last Modified Date Views Count Comments Count O valor padrão é Owner.
Max Graphs To Return	Opcional. O número máximo de gráficos a serem retornados para cada execução de ação. O valor padrão é 10.

Saídas da ação

A ação Pesquisar gráficos de entidades fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Pesquisar gráficos de entidades:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Mensagens de saída

A ação Pesquisar gráficos de entidades pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned graphs based on the provided entities in Google Threat Intelligence. Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON. No graphs were found for the provided entities.	A ação foi concluída.
Error executing action "Search Entity Graphs". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Pesquisar gráficos

Use a ação Pesquisar gráficos para pesquisar gráficos com base em filtros personalizados no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pesquisar gráficos requer os seguintes parâmetros:

Parâmetro	Descrição
Query	Obrigatório. O filtro de consulta do gráfico. Por exemplo, para pesquisar gráficos no período selecionado, formate a consulta da seguinte maneira: creation_date:2018-11-1+creation_date:2018-11-12 Para mais informações sobre consultas, consulte Como criar consultas, Modificadores relacionados a gráficos e Modificadores relacionados a nós.
Sort Field	Opcional. O valor do campo para classificar os gráficos do VirusTotal. Os valores possíveis são os seguintes: Comments Count Creation Date Last Modified Date Owner Views Count O valor padrão é Owner.
Max Graphs To Return	Opcional. O número máximo de gráficos a serem retornados para cada execução de ação. O valor padrão é 10.

Como criar consultas

Para refinar os resultados da pesquisa de gráficos, crie consultas que contenham modificadores relacionados a gráficos. Para melhorar a pesquisa, combine modificadores com os operadores AND, OR e NOT.

Os campos de data e numéricos são compatíveis com os sufixos de adição + e subtração -. Um sufixo de adição corresponde a valores maiores que o valor fornecido. Um sufixo de subtração corresponde a valores menores que o valor fornecido. Sem um sufixo, a consulta retorna correspondências exatas.

Para definir intervalos, use o mesmo modificador várias vezes em uma consulta. Por exemplo, para pesquisar gráficos criados entre 15/11/2018 e 20/11/2018, use a seguinte consulta:

creation_date:2018-11-15+ creation_date:2018-11-20-

Para datas ou meses que começam com 0, remova o caractere 0 na consulta. Por exemplo, formate a data de 2018-11-01 como 2018-11-1.

Modificadores relacionados a gráficos

A tabela a seguir lista os modificadores relacionados a gráficos que podem ser usados para criar a consulta de pesquisa:

Nome do modificador	Descrição	Exemplo
id	Filtra por identificador de gráfico.	id:g675a2fd4c8834e288af
name	Filtra pelo nome do gráfico.	name:Example-name
owner	Filtra por gráficos que pertencem ao usuário.	owner:example_user
group	Filtra por gráficos que pertencem a um grupo.	group:example
visible_to_user	Filtra por gráficos visíveis para o usuário.	visible_to_user:example_user
visible_to_group	Filtra por gráficos visíveis para o grupo.	visible_to_group:example
private	Filtra por gráficos particulares.	private:true, private:false
creation_date	Filtra pela data de criação do gráfico.	creation_date:2018-11-15
last_modified_date	Filtra pela data da última modificação do gráfico.	last_modified_date:2018-11-20
total_nodes	Filtra por gráficos que contêm um número específico de nós.	total_nodes:100
comments_count	Filtra pelo número de comentários no gráfico.	comments_count:10+
views_count	Filtra pelo número de visualizações de gráfico.	views_count:1000+

Modificadores relacionados a nós

A tabela a seguir lista os modificadores relacionados a gráficos que podem ser usados para criar a consulta de pesquisa:

Nome do modificador	Descrição	Exemplo
label	Filtra por gráficos que contêm nós com um rótulo específico.	label:Kill switch
file	Filtra por gráficos que contêm o arquivo específico.	file:131f95c51cc819465fa17
domain	Filtra por gráficos que contêm o domínio específico.	domain:example.com
ip_address	Filtra por gráficos que contêm o endereço IP específico.	ip_address:203.0.113.1
url	Filtra por gráficos que contêm o URL específico.	url:https://example.com/example/
actor	Filtra por gráficos que contêm o ator específico.	actor:example actor
victim	Filtra por gráficos que contêm a vítima específica.	victim:example_user
email	Filtra por gráficos que contêm o endereço de e-mail específico.	email:[e-mail]
department	Filtra por gráficos que contêm o departamento específico.	department:engineers

Saídas da ação

A ação Pesquisar gráficos fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Pesquisar gráficos:

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}

Mensagens de saída

A ação Pesquisar gráficos pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned graphs for the provided query in Google Threat Intelligence. No graphs were found for the provided query.	A ação foi concluída.
Error executing action "Search Graphs". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pesquisar gráficos:

Nome do resultado do script	Valor
is_success	True ou False

Definir análise de alertas de DTM

Use a ação Definir análise de alerta de DTM para definir uma análise de um alerta do Digital Threat Monitoring (DTM) no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Definir análise de alerta de DTM requer os seguintes parâmetros:

Parâmetro	Descrição
Alert ID	Obrigatório. O ID do alerta ao qual a análise será adicionada.
Text	Obrigatório. A análise a ser adicionada ao alerta.
Attachment File Paths	Opcional. Uma lista separada por vírgulas de caminhos de arquivo para anexar ao alerta. É possível incluir até 10 anexos.

Saídas da ação

A ação Definir análise de alertas de DTM fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Mensagens de saída

A ação Definir análise de alerta de DTM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Definir análise de alerta de DTM:

Nome do resultado do script	Valor
is_success	True ou False

Enviar arquivo

Use a ação Enviar arquivo para enviar um arquivo e retornar resultados do Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Essa ação é assíncrona. Ajuste o valor do tempo limite do script no ambiente de desenvolvimento integrado (IDE) do Google SecOps para a ação, conforme necessário.

Entradas da ação

A ação Enviar arquivo requer os seguintes parâmetros:

Parâmetro	Descrição
GTI Score	Opcional. A pontuação do Google Threat Intelligence usada para definir a propriedade is_risky como true no resultado JSON. Essa condição é validada junto com as informações de veredito do Google Threat Intelligence. Se nenhum valor for fornecido, a ação vai ignorar a pontuação do Google Threat Intelligence. O valor padrão é 60.
Engine Threshold	Opcional. O número mínimo de mecanismos de segurança que precisam marcar uma entidade como maliciosa ou suspeita para definir a propriedade is_risky como true. Essa condição é validada junto com as informações de veredito do Google Threat Intelligence. Se Engine Allowlist tiver valores, somente os resultados desses mecanismos específicos serão contados. Se nenhum valor for fornecido, a ação vai ignorar os cálculos de contagem de mecanismos.
Engine Percentage Threshold	Opcional. A porcentagem mínima de mecanismos de segurança que precisam marcar uma entidade como maliciosa ou suspeita para definir a propriedade is_risky como true (0 e 100). Se Engine Allowlist tiver valores, a porcentagem será calculada apenas com base nesses mecanismos específicos. Se Engine Threshold e Engine Percentage Threshold forem fornecidos, Engine Threshold terá precedência. Se nenhum valor for fornecido, a ação vai ignorar os cálculos de porcentagem.
Engine Allowlist	Opcional. Uma lista separada por vírgulas de mecanismos de segurança a serem usados ao determinar a maliciosidade (por exemplo, AlienVault,Kaspersky). Os mecanismos que não retornam informações sobre uma entidade são excluídos dos cálculos de Engine Threshold e Engine Percentage Threshold. Se nenhum valor for fornecido, a ação vai recuperar resultados de todos os mecanismos disponíveis.
External URLs	Opcional. Uma lista separada por vírgulas de URLs públicos para os arquivos a serem enviados. Se os campos "URL externo" e "Caminhos de arquivo" forem preenchidos, a ação vai coletar arquivos de ambas as entradas.
File Paths	Opcional. Uma lista separada por vírgulas de caminhos de arquivo absolutos. Se você configurar o parâmetro **Endereço do servidor Linux**, a ação vai tentar recuperar o arquivo de um servidor remoto. Se os campos "URL externo" e "Caminhos de arquivo" forem preenchidos, a ação vai coletar arquivos de ambas as entradas.
Check Hash First	Opcional. Padrão: desativado. Se ativada, a ação vai calcular primeiro os hashes dos arquivos e pesquisar se há alguma informação disponível para eles. Se estiver disponível, as informações serão retornadas sem o fluxo de envio.
Resubmit After (Days)	Opcional. O número de dias que a ação deve esperar antes de reenviar o arquivo (mesmo que o hash esteja disponível para o arquivo no banco de dados do GTI). É necessário ativar Check Hash First para usar esse parâmetro. O valor padrão é 30.
Fetch MITRE Details	Opcional. Se selecionada, a ação retorna as informações sobre as técnicas e táticas relacionadas do MITRE. Não selecionada por padrão.
Lowest MITRE Technique Severity	Opcional. A menor gravidade da técnica MITRE a ser retornada. A ação trata a gravidade Unknown como Info. Esse parâmetro só é compatível com a entidade Hash. O valor padrão é Low.
Private Submission	Opcional. Se selecionada, a ação envia o arquivo em um modo particular. Para enviar arquivos de forma particular, é necessário ter a API VirusTotal Premium.
Retrieve Comments	Opcional. Se selecionada, a ação recupera comentários sobre o arquivo enviado.
Max Comments To Return	Opcional. O número máximo de comentários a serem retornados em cada execução de ação.
Linux Server Address	Opcional. O endereço IP do servidor Linux remoto em que o arquivo está localizado.
Linux Username	Opcional. O nome de usuário do servidor Linux remoto em que o arquivo está localizado.
Linux Password	Opcional. A senha do servidor Linux remoto em que o arquivo está localizado.
ZIP Password	Opcional. Uma senha para a pasta compactada que contém os arquivos a serem enviados.

Saídas da ação

A ação Enviar arquivo fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Disponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script.	Disponível

Link do Painel de Casos

A ação Enviar arquivo pode retornar o seguinte link:

Link do relatório PATH: URL

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Enviar arquivo:

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}

Mensagens de saída

A ação Enviar arquivo pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned details about the following files using Google Threat Intelligence:PATHS. The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS. The action wasn't able to find the following files: PATHS. The action didn't retrieve any details about the files or none of the files were found. The action is waiting for results for the following files: PATHS. The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.	A ação foi concluída.
Error executing action "Submit File". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Error executing action "Submit File". Reason: ERROR_REASON	Não há valores de "Caminhos de arquivo" ou "URLs externos" Pelo menos um dos parâmetros "Caminhos de arquivo" ou "URLs externos" precisa ter um valor.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Enviar arquivo:

Nome do resultado do script	Valor
is_success	True ou False

Atualizar problema do ASM

Use a ação Atualizar problema do ASM para atualizar um problema do ASM no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atualizar problema do ASM requer os seguintes parâmetros:

Parâmetro	Descrição
Issue ID	Obrigatório. O ID do problema a ser atualizado.
Status	Obrigatório. O novo status a ser definido para o problema. Os valores possíveis são os seguintes: Select One New Triaged In Progress Resolved Duplicate Out Of Scope Not A Security Issue (Benign) Risk Accepted False Positive Unable To Reproduce Tracked Externally Mitigated O valor padrão é Select One. Se você usar o valor padrão, a ação vai falhar.

Saídas da ação

A ação Atualizar problema do ASM fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Atualizar problema do ASM:

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}

Mensagens de saída

A ação Atualizar problema do ASM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence.	A ação foi concluída.
Error executing action "Update ASM Issue". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Atualizar problema do ASM:

Nome do resultado do script	Valor
is_success	True ou False

Atualizar alerta de DTM

Use a ação Atualizar alerta de DTM para atualizar um alerta do Digital Threat Monitoring da Mandiant no Google Threat Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atualizar alerta de DTM requer os seguintes parâmetros:

Parâmetros	Descrição
Alert ID	Obrigatório. O ID do alerta a ser atualizado.
Status	Opcional. O novo status a ser definido para o alerta. Os valores possíveis são os seguintes: Select One New Read Resolved Escalated In Progress No Action Required Duplicate Not Relevant Tracked Externally O valor padrão é Select One. Se você usar o valor padrão, a ação vai falhar.

Saídas da ação

A ação Atualizar alerta de DTM fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Atualizar alerta de DTM:

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}

Mensagens de saída

A ação Atualizar alerta de DTM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring.	Ação concluída.
Error executing action "Update DTM Alert". Reason: ERROR_REASON	Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Atualizar alerta de DTM:

Nome do resultado do script	Valor
is_success	True ou False

Conectores

Para saber como configurar conectores no Google SecOps, consulte Ingerir seus dados (conectores).

Observação: para evitar a perda de dados, os conectores usam a nivelamento de eventos. Se um alerta bruto contiver uma lista de entidades (como vários endereços de e-mail, nomes de host ou endereços IP), os conectores vão nivelá-las automaticamente em eventos separados e exclusivos.

Por exemplo, um único alerta bruto com três endereços de e-mail diferentes é ingerido como três eventos separados, cada um com um endereço de e-mail distinto.

Esse processo garante que cada entidade seja indexada corretamente como um recurso exclusivo, tornando-a totalmente pesquisável e acionável em playbooks.

Google Threat Intelligence: conector de alertas de DTM

Use o Google Threat Intelligence - Conector de Alertas do DTM para recuperar alertas do Google Threat Intelligence. Para trabalhar com uma lista dinâmica, use o parâmetro alert_type.

Entradas do conector

O Google Threat Intelligence - Conector de alertas de DTM requer os seguintes parâmetros:

Parâmetro	Descrição
Product Field Name	Obrigatório. O nome do campo em que o nome do produto é armazenado. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão é resolvido para um valor substituto que é referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão. O valor padrão é Product Name.
Event Field Name	Obrigatório. O nome do campo que determina o nome do evento (subtipo). O valor padrão é event_type.
Environment Field Name	Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão. O valor padrão é "".
Environment Regex Pattern	Opcional. Um padrão de expressão regular para executar no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Script Timeout	Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é 180.
API Root	Obrigatório. A raiz da API da instância do Google Threat Intelligence. O valor padrão é https://www.virustotal.com.
API Key	Obrigatório. A chave de API do Google Threat Intelligence.
Lowest Severity To Fetch	Opcional. A menor gravidade dos alertas a serem recuperados. Se você não configurar esse parâmetro, o conector vai ingerir alertas com todos os níveis de gravidade. Os valores possíveis são os seguintes: Low Medium High
Monitor ID Filter	Opcional. Uma lista separada por vírgulas de IDs de monitor para recuperar os alertas.
Monitor Name Filter	Opcional. Uma lista separada por vírgulas de nomes de monitores para recuperar alertas. Se vários monitores tiverem o mesmo nome, o conector vai fazer a ingestão de todos eles. Esse parâmetro é avaliado junto com os valores de ID do monitor usando a lógica OR.
Event Type Filter	Opcional. Uma lista separada por vírgulas de tipos de eventos a serem retornados. A entrada não diferencia maiúsculas de minúsculas. Se nenhum valor for fornecido, o conector vai processar todos os tipos de evento. Para excluir um tipo específico, use um ponto de exclamação como prefixo (por exemplo, !event_type).
Disable Overflow	Opcional. Se selecionado, o conector ignora o mecanismo de overflow do Google SecOps. Ativado por padrão.
Max Hours Backwards	Obrigatório. O número de horas anteriores ao momento atual para recuperar alertas. Esse parâmetro pode ser aplicado à iteração inicial do conector depois que você o ativa pela primeira vez ou ao valor substituto de um carimbo de data/hora expirado do conector. O valor padrão é 1.
Max Alerts To Fetch	Obrigatório. O número de alertas a serem processados em cada iteração do conector. O valor máximo é 25. O valor padrão é 25.
Use dynamic list as a blocklist	Obrigatório. Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio. Não selecionada por padrão.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google Threat Intelligence. Ativado por padrão.
Proxy Server Address	Opcional. O endereço do servidor proxy a ser usado.
Proxy Username	Opcional. O nome de usuário do proxy para autenticação.
Proxy Password	Opcional. A senha do proxy para autenticação.
Anonymize Passwords	Opcional. Se selecionado, o conector anonimiza os campos de senha nos dados de alerta, substituindo os caracteres por asteriscos e deixando visíveis apenas o primeiro e o último caractere.

Regras do conector

O Google Threat Intelligence - Conector de alertas de DTM é compatível com proxies.

Eventos do conector

Há dois tipos de eventos para o conector de alertas do Google Threat Intelligence - DTM: um evento baseado no alerta principal e um evento baseado em um tópico.

Veja um exemplo do evento do conector com base no alerta principal:

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "[e-mail]",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "[e-mail]",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

Confira um exemplo do evento do conector com base em um tópico:

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence: conector de alertas do GTI

Use o Google Threat Intelligence - Conector de alertas do GTI para recuperar alertas, descobertas, documentos e entidades associadas da dark web do Google Threat Intelligence.

Esse conector usa a lista dinâmica para filtrar os valores de detailType.

Caso de uso

O conector de alertas do Google Threat Intelligence (GTI) ajuda as equipes de operações de segurança a automatizar a ingestão e a triagem de inteligência da dark web (DWI, na sigla em inglês) e alertas de ameaças no Google SecOps. Para cada alerta ingerido, o conector mapeia o alerta principal, as descobertas relacionadas, os documentos da dark web e os indicadores de comprometimento (IOCs) de vários valores em eventos discretos do Google SecOps para investigação e resposta automatizadas.

Entradas do conector

Configure esse conector usando os seguintes parâmetros:

Parâmetro	Descrição
DeviceProductField	Obrigatório. O nome do campo que determina o produto do dispositivo. O valor padrão é Product Name.
EventClassId	Obrigatório. O nome do campo que determina o nome do evento (subtipo). O valor padrão é eventType.
PythonProcessTimeout	Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é 180.
Environment Field Name	Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão.
Environment Regex Pattern	Opcional. Um padrão de expressão regular para executar no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
API Root	Obrigatório. A raiz da API da instância do Google Threat Intelligence, incluindo o caminho do projeto Google Cloud (por exemplo, https://threatintelligence.googleapis.com/v1beta/projects/YOUR_PROJECT_ID). O valor padrão é https://threatintelligence.googleapis.com.
API Key	Obrigatório. A chave de API do Google Threat Intelligence.
Lowest Severity To Fetch	Opcional. A menor gravidade dos alertas a serem recuperados. Se você não configurar esse parâmetro, o conector vai ingerir alertas com todos os níveis de gravidade. Os valores possíveis são os seguintes: Critical High Medium Low Informational
Alert Type Filter	Opcional. Uma lista separada por vírgulas de valores detailType de alerta da dark web a serem buscados (por exemplo, data_leak, insider_threat, initial_access_broker, target_technology).
Max Hours Backwards	Obrigatório. O número de horas antes da iteração inicial do conector para recuperar alertas. O valor padrão é 1.
Max Alerts To Fetch	Obrigatório. O número máximo de alertas a serem processados por iteração do conector. O valor máximo é 100. O valor padrão é 25.
Use dynamic list as a blocklist	Obrigatório. Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio.
Verify SSL	Obrigatório. Se selecionado, o conector verifica se o certificado SSL para se conectar ao Google Threat Intelligence é válido. Ativado por padrão.
Disable Overflow	Opcional. Se selecionado, o conector ignora o mecanismo de overflow do Google SecOps. Ativado por padrão.
Proxy Server Address	Opcional. O endereço do servidor proxy a ser usado.
Proxy Username	Opcional. O nome de usuário do proxy para autenticação.
Proxy Password	Opcional. A senha do proxy para autenticação.

Suporte a proxy

O conector é compatível com proxies.

Eventos do conector

O exemplo a seguir mostra um evento personalizado gerado pelo Google Threat Intelligence - Conector de alertas do GTI:

{
  "name": "projects/gti-project/alerts/alert-123",
  "displayName": "Leaked Credentials Alert",
  "detail_detailType": "leaked_credentials",
  "detail_leakedCredentials_severity": "HIGH",
  "severityAnalysis_severityLevel": "SEVERITY_LEVEL_HIGH",
  "priorityAnalysis_priorityLevel": "PRIORITY_LEVEL_HIGH",
  "aiSummary": "Leaked credentials detected for Cymbal Bank.",
  "audit_createTime": "2026-09-15T10:00:00Z",
  "audit_updateTime": "2026-09-15T10:00:00Z",
  "eventType": "Alert",
  "id": "projects/gti-project/alerts/alert-123",
  "title": "Leaked Credentials Alert",
  "alert_type": "leaked_credentials",
  "severity": "HIGH",
  "priority": "HIGH",
  "ai_summary": "Leaked credentials detected for Cymbal Bank.",
  "created_at": "2026-09-15T10:00:00Z"
}

Google Threat Intelligence: conector de problemas do ASM

Use o conector de problemas do ASM do Google Threat Intelligence para recuperar informações sobre os problemas do ASM do Google Threat Intelligence. Para trabalhar com o filtro de lista dinâmica, use o parâmetro category.

Entradas do conector

O conector de problemas do ASM do Google Threat Intelligence exige os seguintes parâmetros:

Parâmetro	Descrição
Product Field Name	Obrigatório. O nome do campo em que o nome do produto é armazenado. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão é resolvido para um valor substituto que é referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão. O valor padrão é Product Name.
Event Field Name	Obrigatório. O nome do campo que determina o nome do evento (subtipo). O valor padrão é entity_type.
Environment Field Name	Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão. O valor padrão é "".
Environment Regex Pattern	Opcional. Um padrão de expressão regular para executar no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Script Timeout	Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é 180.
API Root	Obrigatório. A raiz da API da instância do Google Threat Intelligence. O valor padrão é https://www.virustotal.com.
API Key	Obrigatório. A chave de API do Google Threat Intelligence.
Project Name	Opcional. O nome do projeto do ASM. Se você não definir um valor, somente os alertas de coleções no projeto principal serão retornados.
Active Group	Opcional. O identificador do grupo ativo (contexto da organização) para ambientes multilocatários. Isso é necessário se os projetos do ASM estiverem em uma organização diferente da principal.
Lowest Severity To Fetch	Opcional. A menor gravidade dos alertas a serem recuperados. Se você não configurar esse parâmetro, o conector vai ingerir alertas com todos os níveis de gravidade. Os valores possíveis são os seguintes: Critical High Medium Low Informational
Issue Name Filter	Opcional. Uma lista separada por vírgulas de problemas a serem ingeridos. A entrada diferencia maiúsculas de minúsculas. Se os nomes forem listados diretamente, o conector vai usar um filtro de inclusão, ingerindo apenas os problemas correspondentes. Para excluir problemas específicos, prefixe o nome com um ponto de exclamação (como !issue_name). Se nenhum valor for fornecido, o filtro não será aplicado e todos os problemas serão ingeridos.
Status Filter	Opcional. Uma lista separada por vírgulas de status de problemas para ingestão. Se nenhum valor for fornecido, o conector vai processar apenas os problemas em aberto. Os valores possíveis são os seguintes: Open Closed O valor padrão é Open.
Event Type Filter	Opcional. Uma lista separada por vírgulas de tipos de eventos a serem retornados. A entrada não diferencia maiúsculas de minúsculas. Se nenhum valor for fornecido, o conector vai processar todos os tipos de evento. Para excluir um tipo específico, use um ponto de exclamação como prefixo (por exemplo, !event_type).
Max Hours Backwards	Obrigatório. O número de horas anteriores ao momento atual para recuperar alertas. Esse parâmetro pode ser aplicado à iteração inicial do conector depois que você o ativa pela primeira vez ou ao valor substituto de um carimbo de data/hora expirado do conector. O valor padrão é 1.
Max Issues To Fetch	Obrigatório. O número de problemas a serem processados em cada iteração do conector. O valor máximo é 100. O valor padrão é 10.
Disable Overflow	Opcional. Se selecionado, o conector ignora o mecanismo de overflow do Google SecOps. Ativado por padrão.
Use dynamic list as a blocklist	Obrigatório. Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio. Não selecionada por padrão.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google Threat Intelligence. Ativado por padrão.
Proxy Server Address	Opcional. O endereço do servidor proxy a ser usado.
Proxy Username	Opcional. O nome de usuário do proxy para autenticação.
Proxy Password	Opcional. A senha do proxy para autenticação.

Eventos do conector

O exemplo do evento Google Threat Intelligence - ASM Issues Connector é o seguinte:

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence: conector do Livehunt

Use o Google Threat Intelligence - Conector do Livehunt para recuperar informações sobre as notificações do Livehunt e os arquivos relacionados do Google Threat Intelligence. Para trabalhar com a lista dinâmica, use o parâmetro rule_name.

Entradas do conector

O Google Threat Intelligence - Conector do Livehunt exige os seguintes parâmetros:

Parâmetro	Descrição
Product Field Name	Obrigatório. O nome do campo em que o nome do produto é armazenado. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão é resolvido para um valor substituto que é referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão. O valor padrão é Product Name.
Event Field Name	Obrigatório. O nome do campo que determina o nome do evento (subtipo). O valor padrão é type.
Environment Field Name	Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão. O valor padrão é "".
Environment Regex Pattern	Opcional. Um padrão de expressão regular para executar no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Script Timeout	Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é 180.
API Root	Obrigatório. A raiz da API da instância do Google Threat Intelligence. O valor padrão é https://www.virustotal.com.
API Key	Obrigatório. A chave de API do Google Threat Intelligence.
Entity Type Filter	Opcional. Uma lista separada por vírgulas de tipos de entidade para filtrar notificações (por exemplo: file, url, domain, ip_address). Se deixada em branco, todos os tipos de entidade serão ingeridos. O valor padrão é file.
Max Hours Backwards	Obrigatório. O número de horas anteriores ao momento atual para recuperar alertas. Esse parâmetro pode ser aplicado à iteração inicial do conector depois que você o ativa pela primeira vez ou ao valor substituto de um carimbo de data/hora expirado do conector. O valor padrão é 1.
Max Notifications To Fetch	Obrigatório. O número de notificações a serem processadas em cada iteração do conector. O valor padrão é 40.
Disable Overflow	Opcional. Se selecionado, o conector ignora o mecanismo de overflow do Google SecOps. Ativado por padrão.
Use dynamic list as a blocklist	Obrigatório. Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio. Não selecionada por padrão.
Verify SSL	Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google Threat Intelligence. Ativado por padrão.
Proxy Server Address	Opcional. O endereço do servidor proxy a ser usado.
Proxy Username	Opcional. O nome de usuário do proxy para autenticação.
Proxy Password	Opcional. A senha do proxy para autenticação.

Regras do conector

O conector do Google Threat Intelligence - Livehunt é compatível com proxies.

Eventos do conector

O exemplo do evento Google Threat Intelligence - Livehunt Connector é o seguinte:

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED >
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.