Intezer

このドキュメントでは、Intezer を Google Security Operations の SOAR モジュールと統合する方法について説明します。

統合バージョン: 7.0

Intezer を Google SecOps と統合する

統合には次のパラメータが必要です。

パラメータ 説明
API Root 必須

Intezer サービスの API ルート。
API Key 必須

Intezer サービスの API キー。
Verify SSL Optional

選択すると、Google SecOps は Intezer サーバーへの接続用の SSL 証明書が有効であることを確認します。

デフォルトでは選択されていません。

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

操作

ファイルを爆発させる

Intezer を使用してファイルを分析します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
File Path 必須

分析するファイルのパス。

/tmp/example1.eml,/tmp/example2.eml などのカンマ区切り文字列で複数のパスを指定できます。
Related Alert ID Optional

ファイルに関連するアラート ID。

アクションの出力

次の表に、[Detonate File] アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[Detonate File] アクションを使用した場合に受信する JSON 結果の出力を示しています。

[
   {
      "analysis_id":"6cd3347b-f5b2-4c98-a0bc-039a6386dc34",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"/tmp/example.eml"
   }
]
出力メッセージ

[Detonate File] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully fetched the analysis ids for the following file paths: PATH in Intezer アクションが成功しました。
Action wasn't able to fetch the analysis ids for the following file paths: PATH in Intezer

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Detonate File] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題

ハッシュを爆発させる

Intezer Analyze でファイル ハッシュ（SHA-1、SHA-256、MD5）を分析します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
File Hash 必須

分析するレポートのハッシュ。

複数のハッシュをカンマ区切り文字列で指定できます。

アクションの出力

次の表に、[Detonate File] アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、ハッシュの爆発アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、ハッシュの爆発アクションを使用した場合に受信する JSON 結果の出力を示しています。

[
   {
      "analysis_id":"7bbbec69-5764-479e-bb1c-c3686e992fbb",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"6be971118951786bc7be55ef5656149504008a3e"
   },
   {
      "analysis_id":"33ee6661-7435-4e0a-a606-0b7d1a644859",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"5b97c39d87ad627c53023bfebb0ea1b5227c3f4e86e3bf06b23f3e4b0d6726e2"
   }
]
出力メッセージ

Detonate Hash アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully fetched the analysis ids for the following hashes: HASH_LIST アクションが成功しました。
Action wasn't able to fetch the analysis ids for the following hashes: HASH_LIST

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

URL の爆発

Intezer で不審な URL を分析します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
Url Optional

分析する URL（https://www.example.com/ など）。

複数の URL をカンマ区切りの文字列で指定できます。

アクションの出力

次の表に、URL の爆発アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、URL の爆発アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、[URL を爆発させる] アクションを使用した場合に受信する JSON 結果の出力を示しています。

[
   {
      "analysis_id":"d99b7317-02a3-4282-81e9-d27528a575c0",
      "analysis_status":"created",
      "analysis_type":"url",
      "identifier":"www.example.com"
   },
   {
      "analysis_id":"ee8d2e7e-950b-43f2-b0b7-cbfc3c20dfc5",
      "analysis_status":"created",
      "analysis_type":"url",
      "identifier":"https://www.example.com/"
   }
]
出力メッセージ

[URL を爆発させる] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully fetched the analysis ids for the following urls: URL_LIST in Intezer アクションが成功しました。
Action wasn't able to fetch the analysis ids for the following urls: URL_LIST in Intezer

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

アラートを取得する

アラート ID を使用して、取り込まれたアラートのトリアージとレスポンス情報を取得します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
Alert ID 必須

クエリするアラート ID。
Wait For Completion Optional

選択すると、アクションは分析が完了するまで待機します。

アクションの出力

次の表に、Get Alert アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Get Alert アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、Get Alert アクションを使用した場合に受信する JSON 結果の出力について説明しています。

{
   "result":{
      "alert_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
      "source":"cs",
      "sender":"cs",
      "raw_alert":{
         "cid":"27fe4e476ca3490b8476b2b6650e5a74",
         "alert_type":"identify",
         "created_timestamp":"2023-11-09T00:03:10.116556016Z",
         "detection_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "evidences":[
            {
               "evidence_type":"domain",
               "evidence_value":"domain"
            }
         ],
         "device":{
            "device_id":"6a1c5ef609ac479ba77f8ca5879c82fc",
            "cid":"67fe4e476ca3490b8476b2b6650e5a74",
            "agent_load_flags":"0",
            "agent_local_time":"2023-10-18T23:01:49.681Z",
            "agent_version":"7.03.15805.0",
            "bios_manufacturer":"Example Technologies LTD",
            "bios_version":"6.00",
            "config_id_base":"65994753",
            "config_id_build":"15805",
            "config_id_platform":"8",
            "external_ip":"35.246.203.0",
            "hostname":"example-hostname",
            "first_seen":"2023-06-14T10:50:40Z",
            "last_seen":"2023-11-09T00:01:56Z",
            "local_ip":"198.51.100.1",
            "mac_address":"02-42-48-a3-7f-29",
            "major_version":"3",
            "minor_version":"10",
            "os_version":"CentOS 7.9",
            "platform_id":"3",
            "platform_name":"Linux",
            "product_type_desc":"Server",
            "status":"normal",
            "system_manufacturer":"Example, Inc.",
            "system_product_name":"Example Virtual Platform",
            "groups":[
               "9489d65c343244169627d4a728389039"
            ],
            "modified_timestamp":"2023-11-09T00:02:06Z"
         },
         "behaviors":[
            {
               "device_id":"6a1c5ef609ac479ba77f8ca5879c82fc",
               "timestamp":"2023-11-09T00:03:02Z",
               "template_instance_id":"1359",
               "behavior_id":"10304",
               "filename":"bash",
               "filepath":"/usr/bin/bash",
               "alleged_filetype":"",
               "cmdline":"bash crowdstrike_test_high",
               "scenario":"suspicious_activity",
               "objective":"Falcon Detection Method",
               "tactic":"Falcon Overwatch",
               "tactic_id":"CSTA0006",
               "technique":"Malicious Activity",
               "technique_id":"CST0002",
               "display_name":"TestTriggerHigh",
               "description":"A high level detection was triggered on this process for testing purposes.",
               "severity":70,
               "confidence":100,
               "ioc_type":"",
               "ioc_value":"",
               "ioc_source":"",
               "ioc_description":"",
               "user_name":"root",
               "user_id":"0",
               "control_graph_id":"ctg:6a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
               "triggering_process_graph_id":"pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565404531105",
               "sha256":"00f8cbc5b3a6640af5ac18d01bc5a666f6f583b1379b9491e0bcc28ba78c92e9",
               "md5":"cfd65bed18a1fae631091c3a4c4dd533",
               "parent_details":{
                  "parent_sha256":"00f8cbc5b3a6640af5ac18d01bc5a666f6f583b1379b9491e0bcc28ba78c92e9",
                  "parent_md5":"cfd65bed18a1fae631091c3a4c4dd533",
                  "parent_cmdline":"/bin/sh -c ./alert.sh",
                  "parent_process_graph_id":"pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565400489930"
               },
               "pattern_disposition":0,
               "pattern_disposition_details":{
                  "indicator":false,
                  "detect":false,
                  "inddet_mask":false,
                  "sensor_only":false,
                  "rooting":false,
                  "kill_process":false,
                  "kill_subprocess":false,
                  "quarantine_machine":false,
                  "quarantine_file":false,
                  "policy_disabled":false,
                  "kill_parent":false,
                  "operation_blocked":false,
                  "process_blocked":false,
                  "registry_operation_blocked":false,
                  "critical_process_disabled":false,
                  "bootup_safeguard_enabled":false,
                  "fs_operation_blocked":false,
                  "handle_operation_downgraded":false,
                  "kill_action_failed":false,
                  "blocking_unsupported_or_disabled":false,
                  "suspend_process":false,
                  "suspend_parent":false
               }
            }
         ],
         "email_sent":false,
         "first_behavior":"2023-11-09T00:03:02Z",
         "last_behavior":"2023-11-09T00:03:02Z",
         "max_confidence":100,
         "max_severity":70,
         "max_severity_displayname":"High",
         "show_in_ui":true,
         "status":"new",
         "hostinfo":{
            "domain":""
         },
         "seconds_to_triaged":0,
         "seconds_to_resolved":0,
         "behaviors_processed":[
            "pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565404531105:10304"
         ],
         "date_updated":"2023-11-12T00:06:14Z"
      },
      "alert_sub_types":[

      ],
      "alert":{
         "alert_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "alert_url":null,
         "creation_time":"2023-11-12T00:06:14",
         "alert_title":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "device":{

         },
         "creation_time_display":"12 Nov 23 | 00:06 UTC"
      },
      "triage_result":{
         "alert_verdict":"audited",
         "risk_category":"audited",
         "risk_level":"informational",
         "risk_score":60,
         "risk_level_display":"Informational",
         "risk_category_display":"Audited",
         "alert_verdict_display":"Audited"
      },
      "response":{
         "status":"no_action_needed",
         "automated_response_actions":[

         ],
         "user_recommended_actions":[

         ],
         "user_recommended_actions_display":"",
         "status_display":"No Action Needed"
      },
      "note":"\ud83d\udfe6 Intezer Automated Triage\n===================================\nAudited - No Action Needed\n===================================\n\n- Title: ldt:alert-ID\n- Source: CrowdStrike\n- Creation time: 12 Nov 23 | 00:06 UTC\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/ldt:alert_ID",
      "source_display":"CrowdStrike",
      "source_type":"edr",
      "intezer_alert_url":"https://analyze.intezer.com/alerts/ldt:alert-ID"
   },
   "status":"succeeded"
}
出力メッセージ

Get Alert アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully fetched the alert details for the following alert id: ALERT_ID in Intezer アクションが成功しました。
Action wasn't able to fetch the alert detail for the following alert: ERROR_REASON in Intezer

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

ファイル レポートを取得する

分析 ID またはファイル ハッシュに基づいてファイル分析レポートを取得します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
Analysis ID Optional

アクションを実行するファイル分析 ID のカンマ区切りのリスト。このパラメータでは大文字と小文字が区別されます。分析 ID パラメータとファイル ハッシュ パラメータの両方が指定されている場合、ファイル ハッシュ値が優先されます。
File Hash Optional

アクションを実行するファイル ハッシュのカンマ区切りリスト。このパラメータでは大文字と小文字が区別されます。分析 ID パラメータとファイル ハッシュ パラメータの両方が指定されている場合、ファイル ハッシュの値が優先されます。
Private Only Optional

選択すると、アクションは非公開レポートのみを表示します（ハッシュにのみ関連します）。
Wait For Completion Optional

選択した場合、アクションは分析が完了するまで待機してからレポートを返します。

アクションの出力

次の表に、レポート取得アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Get Report アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、レポートを取得アクションを使用した場合に受信する JSON 結果の出力を示しています。

[
   {
      "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
      "analysis_type":"file",
      "analysis_status":"succeeded",
      "analysis_content":{
         "analysis":{
            "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
            "analysis_time":"Fri, 16 Feb 2024 08:16:20 GMT",
            "analysis_url":"https://analyze.intezer.com/analyses/analysis-id",
            "file_name":"file_name",
            "is_private":true,
            "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
            "sub_verdict":"inconclusive",
            "tags":[
               "non_executable"
            ],
            "verdict":"unknown"
         },
         "iocs":{
            "files":[
               {
                  "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
                  "family":null,
                  "path":"file_name",
                  "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
                  "type":"main_file",
                  "verdict":"unknown"
               }
            ],
            "network":[
               {
                  "classification":"suspicious",
                  "ioc":"198.51.100.161",
                  "source":[
                     "Network communication"
                  ],
                  "type":"ip"
               }
            ]
         },
         "ttps":[
            {
               "data":[
                  {
                     "cid":2793,
                     "pid":1996,
                     "type":"call"
                  },
                  {
                     "cid":5365,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5366,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5373,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5375,
                     "pid":1340,
                     "type":"call"
                  }
               ],
               "description":"Guard pages use detected - possible anti-debugging.",
               "name":"antidebug_guardpages",
               "severity":2,
               "ttps":[
                  {
                     "name":"Native API",
                     "ttp":"Execution::Native API [T1106]"
                  }
               ]
            }
         ],
         "metadata":{
            "file_type":"non executable",
            "indicators":[
               {
                  "classification":"informative",
                  "name":"non_executable"
               }
            ],
            "md5":"a01073d047bd9bb151b8509570ea44d6",
            "sha1":"610742629fe7d7188042c8c427fc68723d53cd42",
            "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
            "size_in_bytes":21,
            "ssdeep":"3:H0shRFCZ:HlS"
         },
         "root-code-reuse":null
      }
   }
]
出力メッセージ

Get File Report アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully fetched the file analysis for the following items: ANALYSIS_ID_OR_HASH_LIST in Intezer アクションが成功しました。
No file analysis were found for the provided items

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

URL レポートを取得する

URL 分析 ID に基づいて URL 分析レポートを取得します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
Analysis ID 必須

アクションを実行するファイル分析 ID のカンマ区切りのリスト。このパラメータでは大文字と小文字が区別されます。

分析 ID は、分析のために URL を送信したときに返されます。
Wait For Completion Optional

選択すると、アクションは分析が完了するまで待機します。

アクションの出力

次の表に、Get URL Report アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Get URL Report アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、Get URL Report アクションを使用した場合に受信する JSON 結果の出力を示しています。

[
   {
      "analysis_id":"Aef96e22-e0b1-45de-b7fa-2b9596ecb922",
      "analysis_type":"url",
      "analysis_status":"succeeded",
      "analysis_content":{
         "analysis":{
            "analysis_id":"aef96e22-e0b1-45de-b7fa-2b9596ecb922",
            "analysis_time":"Wed, 07 Feb 2024 06:16:42 GMT",
            "analysis_url":"https://analyze.intezer.com/url/aef96e22-e0b1-45de-b7fa-2b9596ecb922",
            "api_void_risk_score":0,
            "certificate":{
               "issuer":"Example Secure Certificate Authority",
               "protocol":"TLS 1.3",
               "subject_name":"analyze.intezer.com",
               "valid_from":"2023-07-25 19:50:53.000000",
               "valid_to":"2024-08-25 19:50:53.000000"
            },
            "domain_info":{
               "creation_date":"2015-08-28 04:24:45.000000",
               "domain_name":"intezer.com",
               "registrar":"Example, LLC"
            },
            "indicators":[
               {
                  "classification":"informative",
                  "indicator_info":"text/html",
                  "indicator_type":"content_type",
                  "text":"Content type: text/html"
               },
               {
                  "classification":"informative",
                  "indicator_type":"valid_https",
                  "text":"Valid https"
               },
               {
                  "classification":"informative",
                  "indicator_type":"url_accessible",
                  "text":"URL is accessible"
               },
               {
                  "classification":"suspicious",
                  "indicator_type":"empty_page_title",
                  "text":"Has empty page title"
               },
               {
                  "classification":"informative",
                  "indicator_type":"domain_ipv4_assigned",
                  "text":"Assigned IPv4 domain"
               },
               {
                  "classification":"informative",
                  "indicator_type":"domain_ipv4_valid",
                  "text":"Valid IPv4 domain"
               },
               {
                  "classification":"informative",
                  "indicator_type":"uses_cloudflare",
                  "text":"Uses Cloudflare"
               }
            ],
            "ip":"203.0.113.201",
            "redirect_chain":[
               {
                  "response_status":200,
                  "url":"https://example.com/"
               }
            ],
            "scanned_url":"https://example.com/",
            "submitted_url":"https://example.com",
            "summary":{
               "description":"No suspicious activity was detected for this URL",
               "main_connection_gene_count":0,
               "main_connection_gene_percentage":0.0,
               "title":"No Threats",
               "verdict_name":"no_threats",
               "verdict_type":"no_threats"
            }
         }
      }
   }
]
出力メッセージ

Get URL Report アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully fetched the url analysis for the following analysis ids: ANALYSIS_ID in Intezer アクションが成功しました。
No url analysis were found for the provided analysis ids

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

インデックス ファイル

ファイル遺伝子を組織のデータベースにインデックス登録します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
Index As 必須

信頼できるか悪意のあるものとしてインデックスに登録します。
SHA256 Optional

インデックスを作成する SHA-256 ハッシュ。

複数のハッシュをカンマ区切りの文字列で指定できます。
Family Name Optional

インデックスで使用する姓。

Index As パラメータの値が malicious の場合、このパラメータは必須です。

アクションの出力

次の表に、インデックス ファイル アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Index File アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、Index File アクションを使用した場合に受信する JSON 結果の出力を示しています。

[
   {
      "index_id":"091ed5aa-a94f-48d9-9b90-89ff434947b2",
      "status":"succeeded"
   }
]
出力メッセージ

Index File アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Waiting for results for the following hashes: HASH_LIST アクションはまだ進行中です。

Successfully indexed the following file hashes: HASH_LIST in Intezer

Action wasn't able to index the following file hashes: HASH_LIST

 アクションが成功しました。
None of the file hash got indexed

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

Ping

Intezer への接続性をテストします。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

なし

アクションの出力

次の表に、Ping アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題

アラートを送信

未加工のアラート情報を含む新しいアラートを Intezer に送信して処理します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
Source 必須

アラートのソース。
Raw Alert 必須

JSON 形式のアラートの元データ。
Alert Mapping 必須

JSON 形式のアラートに使用するマッピング。

アクションの出力

次の表に、Submit Alert アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Submit Alert アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、Submit Alert アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
   "alert_id":"ccdt:2a1c5ef609ac479ba77f8ca5879c82fc:958686237274"
}
出力メッセージ

Submit Alert アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully submitted details about the following alert: ALERT_ID アクションが成功しました。
Error executing action "Submit Alert". Reason: Invalid parameter "Alert Mapping". The JSON structure is invalid. Wrong value provided: ALERT_ID

操作を実行できませんでした。

[アラート マッピング] パラメータの値を確認します。

ファイルの送信

分析用にファイルを送信します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
File Paths 必須

分析するファイルのパス。

アクションの出力

次の表に、[Submit File] アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
スクリプトの結果

次の表に、Submit File アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題
JSON の結果

次の例は、Submit File アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
    "C:\\\\Users\\\\User1\\\\Downloads\\test_file.exe":
      {
        "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356":
                {
                  "family_name": "Example",
                  "analysis_id": "548e6b8b-20b1-445c-9922-af6b52a8abc3",
                  "sub_verdict": "known_malicious",
                  "analysis_url": "https://analyze.intezer.com/#/analyses/analysis-ID",
                  "verdict": "malicious",
                  "sha256": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356",
                  "is_private": true,
                  "analysis_time": "Thu, 14 Feb 2019 08:58:27 GMT"
                }
       }
}

ハッシュを送信する

分析用にハッシュを Intezer に送信します。

このアクションは FileHash エンティティに対して実行されます。

アクション入力

なし

アクションの出力

次の表に、Submit Hash アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用不可
スクリプトの結果 利用可能
エンティティ拡充

次の表に、ハッシュ送信アクションに関連付けられたエンティティの拡充ロジックを示します。

拡充フィールド ロジック
family_name JSON の結果に存在する場合に返す
analysis_id JSON の結果に存在する場合に返す
sub_verdict JSON の結果に存在する場合に返す
analysis_url JSON の結果に存在する場合に返す
verdict JSON の結果に存在する場合に返す
sha256 JSON の結果に存在する場合に返す
is_private JSON の結果に存在する場合に返す
analysis_time JSON の結果に存在する場合に返す
JSON の結果

次の例は、Submit Hash アクションの使用時に受信した JSON 結果の出力について説明しています。

[{
    "EntityResult":
      {
        "family_name": "Example",
        "analysis_id": "548e6b8b-20b1-445c-9922-af6b52a8abc3",
        "sub_verdict": "known_malicious",
        "analysis_url": "https://analyze.intezer.com/#/analyses/analysis-ID",
        "verdict": "malicious",
        "sha256": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356",
        "is_private": true,
        "analysis_time": "Thu, 14 Feb 2019 08:58:27 GMT"
      },
   "Entity": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356"
}]
スクリプトの結果

次の表に、Submit Hash アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題

不審なメールを送信する

疑わしいフィッシング メールを未加工形式（.msg または .eml）で Intezer に送信して処理します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
Email File Path 必須

メールファイルのパス。

アクションの出力

次の表に、[Submit Suspicious Email] アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[Submit Suspicious Email] アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
   "alert_id":"3385f4f9aec655dfac9d59d54e8ff1f12343501ebc62bf1a91ad1954bb6ae0b9"
}
出力メッセージ

[Submit Suspicious Email] アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Successfully submitted suspicious email EMAIL_FILE_PATH in Intezer アクションが成功しました。
Error executing action "Intezer". Reason: No such file or directory: EMAIL_FILE_PATH

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Submit Suspicious Email] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題

インデックス ファイルの設定を解除する

インデックスからファイルを削除します。

このアクションはすべてのエンティティに対して実行されます。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ 説明
SHA256 Optional

インデックスから削除する SHA-256 ハッシュ。

複数のファイルをカンマ区切りの文字列で指定できます。

アクションの出力

次の表に、インデックス ファイルの未設定アクションに関連付けられている出力タイプを示します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Unset Index File アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Successfully unset file index for the following hashes: HASH_LIST in Intezer

Action wasn't able to unset file index for the following hashes: HASH_LIST

 アクションが成功しました。
Action wasn't able to unset file index for the following hashes: HASH_LIST

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、インデックス ファイルの設定解除アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success 正誤問題

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。