此页面由 Cloud Translation API 翻译。

Intezer

本文档提供了有关如何将 Intezer 与 Google Security Operations 的 SOAR 模块集成的指南。

集成版本：7.0

将 Intezer 与 Google SecOps 集成

集成需要以下参数：

参数说明

参数	说明
`API Root`	必需 Intezer 服务的 API 根。
`API Key`	必需 Intezer 服务的 API 密钥。
`Verify SSL`	可选如果选择此选项，Google SecOps 会验证与 Intezer 服务器的连接所用的 SSL 证书是否有效。默认情况下未选中。

API Root

必需

Intezer 服务的 API 根。

API Key

必需

Intezer 服务的 API 密钥。

Verify SSL

可选

如果选择此选项，Google SecOps 会验证与 Intezer 服务器的连接所用的 SSL 证书是否有效。

默认情况下未选中。

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

操作

引爆文件

使用 Intezer 分析文件。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数说明

参数	说明
`File Path`	必需您要分析的文件的路径。您可以在以英文逗号分隔的字符串中提供多个路径，例如 `/tmp/example1.eml,/tmp/example2.eml`。
`Related Alert ID`	可选与文件相关的提醒 ID。

File Path

必需

您要分析的文件的路径。

您可以在以英文逗号分隔的字符串中提供多个路径，例如 /tmp/example1.eml,/tmp/example2.eml。

Related Alert ID

可选

与文件相关的提醒 ID。

操作输出

下表介绍了与“引爆文件”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例介绍了使用“引爆文件”操作时收到的 JSON 结果输出：

[
   {
      "analysis_id":"6cd3347b-f5b2-4c98-a0bc-039a6386dc34",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"/tmp/example.eml"
   }
]

输出消息

“引爆文件”操作会提供以下输出消息：

输出消息消息说明

Successfully fetched the analysis ids for the following file paths: PATH in Intezer 操作成功。

输出消息	消息说明
`Successfully fetched the analysis ids for the following file paths: PATH in Intezer`	操作成功。
`Action wasn't able to fetch the analysis ids for the following file paths: PATH in Intezer`	操作失败。检查与服务器的连接、输入参数或凭据。

Action wasn't able to fetch the analysis ids for the following
      file paths: PATH in Intezer

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用“引爆文件”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

引爆哈希

在 Intezer Analyze 中分析文件哈希（SHA-1、SHA-256 或 MD5）。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数说明

参数	说明
`File Hash`	必需要分析的报告的哈希值。您可以在逗号分隔的字符串中提供多个哈希值。

File Hash

必需

要分析的报告的哈希值。

您可以在逗号分隔的字符串中提供多个哈希值。

操作输出

下表介绍了与“引爆文件”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“引爆哈希”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例介绍了使用“引爆哈希”操作时收到的 JSON 结果输出：

[
   {
      "analysis_id":"7bbbec69-5764-479e-bb1c-c3686e992fbb",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"6be971118951786bc7be55ef5656149504008a3e"
   },
   {
      "analysis_id":"33ee6661-7435-4e0a-a606-0b7d1a644859",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"5b97c39d87ad627c53023bfebb0ea1b5227c3f4e86e3bf06b23f3e4b0d6726e2"
   }
]

输出消息

“引爆哈希”操作提供以下输出消息：

输出消息消息说明

Successfully fetched the analysis ids for the following hashes: HASH_LIST 操作成功。

输出消息	消息说明
`Successfully fetched the analysis ids for the following hashes: HASH_LIST`	操作成功。
`Action wasn't able to fetch the analysis ids for the following hashes: HASH_LIST`	操作失败。检查与服务器的连接、输入参数或凭据。

Action wasn't able to fetch the analysis ids for the following
      hashes: HASH_LIST

操作失败。

检查与服务器的连接、输入参数或凭据。

引爆网址

使用 Intezer 分析可疑网址。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数说明

参数	说明
`Url`	可选您要分析的网址，例如 `https://www.example.com/`。您可以在逗号分隔的字符串中提供多个网址。

Url

可选

您要分析的网址，例如 https://www.example.com/。

您可以在逗号分隔的字符串中提供多个网址。

操作输出

下表介绍了与“引爆网址”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“引爆网址”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例介绍了使用“引爆网址”操作时收到的 JSON 结果输出：

[
   {
      "analysis_id":"d99b7317-02a3-4282-81e9-d27528a575c0",
      "analysis_status":"created",
      "analysis_type":"url",
      "identifier":"www.example.com"
   },
   {
      "analysis_id":"ee8d2e7e-950b-43f2-b0b7-cbfc3c20dfc5",
      "analysis_status":"created",
      "analysis_type":"url",
      "identifier":"https://www.example.com/"
   }
]

输出消息

“引爆网址”操作提供以下输出消息：

输出消息消息说明

Successfully fetched the analysis ids for the following urls: URL_LIST in Intezer 操作成功。

输出消息	消息说明
`Successfully fetched the analysis ids for the following urls: URL_LIST in Intezer`	操作成功。
`Action wasn't able to fetch the analysis ids for the following urls: URL_LIST in Intezer`	操作失败。检查与服务器的连接、输入参数或凭据。

Action wasn't able to fetch the analysis ids for the following
      urls: URL_LIST in Intezer

操作失败。

检查与服务器的连接、输入参数或凭据。

获取提醒

使用提醒 ID 获取已提取的提醒分诊和响应信息。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数	说明
`Alert ID`	必需要查询的提醒 ID。
`Wait For Completion`	可选如果选择此项，操作会等待分析完成。

操作输出

下表介绍了与“获取提醒”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“获取提醒”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例介绍了使用“获取提醒”操作时收到的 JSON 结果输出：

{
   "result":{
      "alert_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
      "source":"cs",
      "sender":"cs",
      "raw_alert":{
         "cid":"27fe4e476ca3490b8476b2b6650e5a74",
         "alert_type":"identify",
         "created_timestamp":"2023-11-09T00:03:10.116556016Z",
         "detection_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "evidences":[
            {
               "evidence_type":"domain",
               "evidence_value":"domain"
            }
         ],
         "device":{
            "device_id":"6a1c5ef609ac479ba77f8ca5879c82fc",
            "cid":"67fe4e476ca3490b8476b2b6650e5a74",
            "agent_load_flags":"0",
            "agent_local_time":"2023-10-18T23:01:49.681Z",
            "agent_version":"7.03.15805.0",
            "bios_manufacturer":"Example Technologies LTD",
            "bios_version":"6.00",
            "config_id_base":"65994753",
            "config_id_build":"15805",
            "config_id_platform":"8",
            "external_ip":"35.246.203.0",
            "hostname":"example-hostname",
            "first_seen":"2023-06-14T10:50:40Z",
            "last_seen":"2023-11-09T00:01:56Z",
            "local_ip":"198.51.100.1",
            "mac_address":"02-42-48-a3-7f-29",
            "major_version":"3",
            "minor_version":"10",
            "os_version":"CentOS 7.9",
            "platform_id":"3",
            "platform_name":"Linux",
            "product_type_desc":"Server",
            "status":"normal",
            "system_manufacturer":"Example, Inc.",
            "system_product_name":"Example Virtual Platform",
            "groups":[
               "9489d65c343244169627d4a728389039"
            ],
            "modified_timestamp":"2023-11-09T00:02:06Z"
         },
         "behaviors":[
            {
               "device_id":"6a1c5ef609ac479ba77f8ca5879c82fc",
               "timestamp":"2023-11-09T00:03:02Z",
               "template_instance_id":"1359",
               "behavior_id":"10304",
               "filename":"bash",
               "filepath":"/usr/bin/bash",
               "alleged_filetype":"",
               "cmdline":"bash crowdstrike_test_high",
               "scenario":"suspicious_activity",
               "objective":"Falcon Detection Method",
               "tactic":"Falcon Overwatch",
               "tactic_id":"CSTA0006",
               "technique":"Malicious Activity",
               "technique_id":"CST0002",
               "display_name":"TestTriggerHigh",
               "description":"A high level detection was triggered on this process for testing purposes.",
               "severity":70,
               "confidence":100,
               "ioc_type":"",
               "ioc_value":"",
               "ioc_source":"",
               "ioc_description":"",
               "user_name":"root",
               "user_id":"0",
               "control_graph_id":"ctg:6a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
               "triggering_process_graph_id":"pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565404531105",
               "sha256":"00f8cbc5b3a6640af5ac18d01bc5a666f6f583b1379b9491e0bcc28ba78c92e9",
               "md5":"cfd65bed18a1fae631091c3a4c4dd533",
               "parent_details":{
                  "parent_sha256":"00f8cbc5b3a6640af5ac18d01bc5a666f6f583b1379b9491e0bcc28ba78c92e9",
                  "parent_md5":"cfd65bed18a1fae631091c3a4c4dd533",
                  "parent_cmdline":"/bin/sh -c ./alert.sh",
                  "parent_process_graph_id":"pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565400489930"
               },
               "pattern_disposition":0,
               "pattern_disposition_details":{
                  "indicator":false,
                  "detect":false,
                  "inddet_mask":false,
                  "sensor_only":false,
                  "rooting":false,
                  "kill_process":false,
                  "kill_subprocess":false,
                  "quarantine_machine":false,
                  "quarantine_file":false,
                  "policy_disabled":false,
                  "kill_parent":false,
                  "operation_blocked":false,
                  "process_blocked":false,
                  "registry_operation_blocked":false,
                  "critical_process_disabled":false,
                  "bootup_safeguard_enabled":false,
                  "fs_operation_blocked":false,
                  "handle_operation_downgraded":false,
                  "kill_action_failed":false,
                  "blocking_unsupported_or_disabled":false,
                  "suspend_process":false,
                  "suspend_parent":false
               }
            }
         ],
         "email_sent":false,
         "first_behavior":"2023-11-09T00:03:02Z",
         "last_behavior":"2023-11-09T00:03:02Z",
         "max_confidence":100,
         "max_severity":70,
         "max_severity_displayname":"High",
         "show_in_ui":true,
         "status":"new",
         "hostinfo":{
            "domain":""
         },
         "seconds_to_triaged":0,
         "seconds_to_resolved":0,
         "behaviors_processed":[
            "pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565404531105:10304"
         ],
         "date_updated":"2023-11-12T00:06:14Z"
      },
      "alert_sub_types":[

      ],
      "alert":{
         "alert_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "alert_url":null,
         "creation_time":"2023-11-12T00:06:14",
         "alert_title":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "device":{

         },
         "creation_time_display":"12 Nov 23 | 00:06 UTC"
      },
      "triage_result":{
         "alert_verdict":"audited",
         "risk_category":"audited",
         "risk_level":"informational",
         "risk_score":60,
         "risk_level_display":"Informational",
         "risk_category_display":"Audited",
         "alert_verdict_display":"Audited"
      },
      "response":{
         "status":"no_action_needed",
         "automated_response_actions":[

         ],
         "user_recommended_actions":[

         ],
         "user_recommended_actions_display":"",
         "status_display":"No Action Needed"
      },
      "note":"\ud83d\udfe6 Intezer Automated Triage\n===================================\nAudited - No Action Needed\n===================================\n\n- Title: ldt:alert-ID\n- Source: CrowdStrike\n- Creation time: 12 Nov 23 | 00:06 UTC\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/ldt:alert_ID",
      "source_display":"CrowdStrike",
      "source_type":"edr",
      "intezer_alert_url":"https://analyze.intezer.com/alerts/ldt:alert-ID"
   },
   "status":"succeeded"
}

输出消息

“获取提醒”操作提供以下输出消息：

输出消息消息说明

Successfully fetched the alert details for the following alert id: ALERT_ID in Intezer 操作成功。

输出消息	消息说明
`Successfully fetched the alert details for the following alert id: ALERT_ID in Intezer`	操作成功。
`Action wasn't able to fetch the alert detail for the following alert: ERROR_REASON in Intezer`	操作失败。检查与服务器的连接、输入参数或凭据。

Action wasn't able to fetch the alert detail for the following
      alert: ERROR_REASON in Intezer

操作失败。

检查与服务器的连接、输入参数或凭据。

获取文件报告

根据分析 ID 或文件哈希值获取文件分析报告。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数	说明
`Analysis ID`	可选要对其运行操作的文件分析 ID 的逗号分隔列表。此参数区分大小写。如果同时提供了分析 ID 和文件哈希参数，则文件哈希值具有优先权。
`File Hash`	可选要对其运行操作的文件哈希值的逗号分隔列表。此参数区分大小写。如果同时提供了分析 ID 和文件哈希参数，则文件哈希值优先。
`Private Only`	可选如果选中，则该操作仅显示私密报告（仅与哈希相关）。
`Wait For Completion`	可选如果选择此项，操作会等待分析完成后再返回报告。

操作输出

下表介绍了与“获取报告”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“获取报告”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例描述了使用“获取报告”操作时收到的 JSON 结果输出：

[
   {
      "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
      "analysis_type":"file",
      "analysis_status":"succeeded",
      "analysis_content":{
         "analysis":{
            "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
            "analysis_time":"Fri, 16 Feb 2024 08:16:20 GMT",
            "analysis_url":"https://analyze.intezer.com/analyses/analysis-id",
            "file_name":"file_name",
            "is_private":true,
            "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
            "sub_verdict":"inconclusive",
            "tags":[
               "non_executable"
            ],
            "verdict":"unknown"
         },
         "iocs":{
            "files":[
               {
                  "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
                  "family":null,
                  "path":"file_name",
                  "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
                  "type":"main_file",
                  "verdict":"unknown"
               }
            ],
            "network":[
               {
                  "classification":"suspicious",
                  "ioc":"198.51.100.161",
                  "source":[
                     "Network communication"
                  ],
                  "type":"ip"
               }
            ]
         },
         "ttps":[
            {
               "data":[
                  {
                     "cid":2793,
                     "pid":1996,
                     "type":"call"
                  },
                  {
                     "cid":5365,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5366,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5373,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5375,
                     "pid":1340,
                     "type":"call"
                  }
               ],
               "description":"Guard pages use detected - possible anti-debugging.",
               "name":"antidebug_guardpages",
               "severity":2,
               "ttps":[
                  {
                     "name":"Native API",
                     "ttp":"Execution::Native API [T1106]"
                  }
               ]
            }
         ],
         "metadata":{
            "file_type":"non executable",
            "indicators":[
               {
                  "classification":"informative",
                  "name":"non_executable"
               }
            ],
            "md5":"a01073d047bd9bb151b8509570ea44d6",
            "sha1":"610742629fe7d7188042c8c427fc68723d53cd42",
            "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
            "size_in_bytes":21,
            "ssdeep":"3:H0shRFCZ:HlS"
         },
         "root-code-reuse":null
      }
   }
]

输出消息

“获取文件报告”操作提供以下输出消息：

输出消息消息说明

Successfully fetched the file analysis for the following items: ANALYSIS_ID_OR_HASH_LIST in Intezer 操作成功。

输出消息	消息说明
`Successfully fetched the file analysis for the following items: ANALYSIS_ID_OR_HASH_LIST in Intezer`	操作成功。
`No file analysis were found for the provided items`	操作失败。检查与服务器的连接、输入参数或凭据。

No file analysis were found for the provided items

操作失败。

检查与服务器的连接、输入参数或凭据。

获取网址报告

根据网址分析 ID 获取网址分析报告。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数说明

参数	说明
`Analysis ID`	必需要对其运行操作的文件分析 ID 的逗号分隔列表。此参数区分大小写。提交网址以进行分析时，系统会返回分析 ID。
`Wait For Completion`	可选如果选择此项，操作会等待分析完成。

Analysis ID

必需

要对其运行操作的文件分析 ID 的逗号分隔列表。此参数区分大小写。

提交网址以进行分析时，系统会返回分析 ID。

Wait For Completion

可选

如果选择此项，操作会等待分析完成。

操作输出

下表介绍了与“获取网址报告”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“获取网址报告”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例描述了使用“获取网址报告”操作时收到的 JSON 结果输出：

[
   {
      "analysis_id":"Aef96e22-e0b1-45de-b7fa-2b9596ecb922",
      "analysis_type":"url",
      "analysis_status":"succeeded",
      "analysis_content":{
         "analysis":{
            "analysis_id":"aef96e22-e0b1-45de-b7fa-2b9596ecb922",
            "analysis_time":"Wed, 07 Feb 2024 06:16:42 GMT",
            "analysis_url":"https://analyze.intezer.com/url/aef96e22-e0b1-45de-b7fa-2b9596ecb922",
            "api_void_risk_score":0,
            "certificate":{
               "issuer":"Example Secure Certificate Authority",
               "protocol":"TLS 1.3",
               "subject_name":"analyze.intezer.com",
               "valid_from":"2023-07-25 19:50:53.000000",
               "valid_to":"2024-08-25 19:50:53.000000"
            },
            "domain_info":{
               "creation_date":"2015-08-28 04:24:45.000000",
               "domain_name":"intezer.com",
               "registrar":"Example, LLC"
            },
            "indicators":[
               {
                  "classification":"informative",
                  "indicator_info":"text/html",
                  "indicator_type":"content_type",
                  "text":"Content type: text/html"
               },
               {
                  "classification":"informative",
                  "indicator_type":"valid_https",
                  "text":"Valid https"
               },
               {
                  "classification":"informative",
                  "indicator_type":"url_accessible",
                  "text":"URL is accessible"
               },
               {
                  "classification":"suspicious",
                  "indicator_type":"empty_page_title",
                  "text":"Has empty page title"
               },
               {
                  "classification":"informative",
                  "indicator_type":"domain_ipv4_assigned",
                  "text":"Assigned IPv4 domain"
               },
               {
                  "classification":"informative",
                  "indicator_type":"domain_ipv4_valid",
                  "text":"Valid IPv4 domain"
               },
               {
                  "classification":"informative",
                  "indicator_type":"uses_cloudflare",
                  "text":"Uses Cloudflare"
               }
            ],
            "ip":"203.0.113.201",
            "redirect_chain":[
               {
                  "response_status":200,
                  "url":"https://example.com/"
               }
            ],
            "scanned_url":"https://example.com/",
            "submitted_url":"https://example.com",
            "summary":{
               "description":"No suspicious activity was detected for this URL",
               "main_connection_gene_count":0,
               "main_connection_gene_percentage":0.0,
               "title":"No Threats",
               "verdict_name":"no_threats",
               "verdict_type":"no_threats"
            }
         }
      }
   }
]

输出消息

“获取网址报告”操作提供以下输出消息：

输出消息消息说明

Successfully fetched the url analysis for the following analysis ids: ANALYSIS_ID in Intezer 操作成功。

输出消息	消息说明
`Successfully fetched the url analysis for the following analysis ids: ANALYSIS_ID in Intezer`	操作成功。
`No url analysis were found for the provided analysis ids`	操作失败。检查与服务器的连接、输入参数或凭据。

No url analysis were found for the provided analysis ids

操作失败。

检查与服务器的连接、输入参数或凭据。

索引文件

将文件基因编入组织数据库的索引。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数说明

参数	说明
`Index As`	必需将索引标记为可信或恶意。
`SHA256`	可选要编入索引的 SHA-256 哈希值。您可以在逗号分隔的字符串中提供多个哈希值。
`Family Name`	可选要在索引中使用的姓氏。如果 Index As 参数值为 `malicious`，则此参数是必需的。

Index As

必需

将索引标记为可信或恶意。

SHA256

可选

要编入索引的 SHA-256 哈希值。

您可以在逗号分隔的字符串中提供多个哈希值。

Family Name

可选

要在索引中使用的姓氏。

如果 Index As 参数值为 malicious，则此参数是必需的。

操作输出

下表介绍了与“索引文件”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“索引文件”操作时，脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例介绍了使用“索引文件”操作时收到的 JSON 结果输出：

[
   {
      "index_id":"091ed5aa-a94f-48d9-9b90-89ff434947b2",
      "status":"succeeded"
   }
]

输出消息

“索引文件”操作会提供以下输出消息：

输出消息消息说明

Waiting for results for the following hashes: HASH_LIST 操作仍在进行中。

输出消息	消息说明
`Waiting for results for the following hashes: HASH_LIST`	操作仍在进行中。
`Successfully indexed the following file hashes: HASH_LIST in Intezer` `Action wasn't able to index the following file hashes: HASH_LIST`	操作成功。
`None of the file hash got indexed`	操作失败。检查与服务器的连接、输入参数或凭据。

Successfully indexed the following file hashes: HASH_LIST in Intezer

Action wasn't able to index the following file hashes: HASH_LIST

操作成功。

None of the file hash got indexed

操作失败。

检查与服务器的连接、输入参数或凭据。

Ping

测试与 Intezer 的连接。

此操作会在所有实体上运行。

操作输入

无。

操作输出

下表介绍了与 Ping 操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

提交提醒

提交包含原始提醒信息的新提醒，以供 Intezer 处理。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数	说明
`Source`	必需提醒的来源。
`Raw Alert`	必需 JSON 格式的提醒原始数据。
`Alert Mapping`	必需用于提醒的映射（采用 JSON 格式）。

操作输出

下表介绍了与“提交提醒”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“提交提醒”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例介绍了使用“提交提醒”操作时收到的 JSON 结果输出：

{
   "alert_id":"ccdt:2a1c5ef609ac479ba77f8ca5879c82fc:958686237274"
}

输出消息

“提交提醒”操作提供以下输出消息：

输出消息消息说明

Successfully submitted details about the following alert: ALERT_ID 操作成功。

输出消息	消息说明
`Successfully submitted details about the following alert: ALERT_ID`	操作成功。
`Error executing action "Submit Alert". Reason: Invalid parameter "Alert Mapping". The JSON structure is invalid. Wrong value provided: ALERT_ID`	操作失败。检查提醒映射参数值。

Error executing action "Submit Alert". Reason: Invalid parameter
      "Alert Mapping". The JSON structure is invalid. Wrong value provided:
      ALERT_ID

操作失败。

检查提醒映射参数值。

提交文件

提交文件以供分析。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数	说明
`File Paths`	必需要分析的文件的路径。

操作输出

下表介绍了与“提交文件”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

脚本结果

下表介绍了使用“提交文件”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

JSON 结果

以下示例介绍了使用“提交文件”操作时收到的 JSON 结果输出：

{
    "C:\\\\Users\\\\User1\\\\Downloads\\test_file.exe":
      {
        "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356":
                {
                  "family_name": "Example",
                  "analysis_id": "548e6b8b-20b1-445c-9922-af6b52a8abc3",
                  "sub_verdict": "known_malicious",
                  "analysis_url": "https://analyze.intezer.com/#/analyses/analysis-ID",
                  "verdict": "malicious",
                  "sha256": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356",
                  "is_private": true,
                  "analysis_time": "Thu, 14 Feb 2019 08:58:27 GMT"
                }
       }
}

提交哈希

向 Intezer 提交哈希以供分析。

此操作在 FileHash 实体上运行。

操作输入

无。

操作输出

下表介绍了与“提交哈希”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
实体丰富化表	可用
JSON 结果	可用
输出消息	不可用
脚本结果	可用

实体丰富化

下表介绍了与“提交哈希”操作关联的实体丰富逻辑：

扩充项字段	逻辑
`family_name`	返回 JSON 结果中是否存在相应键
`analysis_id`	返回 JSON 结果中是否存在相应值
`sub_verdict`	返回 JSON 结果中是否存在相应值
`analysis_url`	返回 JSON 结果中是否存在相应值
`verdict`	返回 JSON 结果中是否存在相应值
`sha256`	返回 JSON 结果中是否存在相应值
`is_private`	返回 JSON 结果中是否存在相应值
`analysis_time`	返回 JSON 结果中是否存在相应值

JSON 结果

以下示例介绍了使用“提交哈希”操作时收到的 JSON 结果输出：

[{
    "EntityResult":
      {
        "family_name": "Example",
        "analysis_id": "548e6b8b-20b1-445c-9922-af6b52a8abc3",
        "sub_verdict": "known_malicious",
        "analysis_url": "https://analyze.intezer.com/#/analyses/analysis-ID",
        "verdict": "malicious",
        "sha256": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356",
        "is_private": true,
        "analysis_time": "Thu, 14 Feb 2019 08:58:27 GMT"
      },
   "Entity": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356"
}]

脚本结果

下表介绍了使用“提交哈希”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

提交可疑电子邮件

以原始格式（.msg 或 .eml）向 Intezer 提交可疑的网络钓鱼电子邮件以供处理。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数	说明
`Email File Path`	必需电子邮件文件的路径。

操作输出

下表介绍了与“提交可疑电子邮件”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例介绍了使用“提交可疑电子邮件”操作时收到的 JSON 结果输出：

{
   "alert_id":"3385f4f9aec655dfac9d59d54e8ff1f12343501ebc62bf1a91ad1954bb6ae0b9"
}

输出消息

“提交可疑电子邮件”操作会提供以下输出消息：

输出消息消息说明

Successfully submitted suspicious email EMAIL_FILE_PATH in Intezer 操作成功。

输出消息	消息说明
`Successfully submitted suspicious email EMAIL_FILE_PATH in Intezer`	操作成功。
`Error executing action "Intezer". Reason: No such file or directory: EMAIL_FILE_PATH`	操作失败。检查与服务器的连接、输入参数或凭据。

Error executing action "Intezer". Reason: No such file or
      directory: EMAIL_FILE_PATH

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用“提交可疑电子邮件”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

取消设置索引文件

从索引中移除文件。

此操作会在所有实体上运行。

操作输入

如需配置操作，请使用以下参数：

参数说明

参数	说明
`SHA256`	可选要从索引中移除的 SHA-256 哈希值。您可以在逗号分隔的字符串中提供多个文件。

SHA256

可选

要从索引中移除的 SHA-256 哈希值。

您可以在逗号分隔的字符串中提供多个文件。

操作输出

下表介绍了与“取消设置索引文件”操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

“取消设置索引文件”操作提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully unset file index for the following hashes: HASH_LIST in Intezer` `Action wasn't able to unset file index for the following hashes: HASH_LIST`	操作成功。
`Action wasn't able to unset file index for the following hashes: HASH_LIST`	操作失败。检查与服务器的连接、输入参数或凭据。

Successfully unset file index for the following hashes: HASH_LIST in Intezer

Action wasn't able to unset file index for the following hashes: HASH_LIST

操作成功。

Action wasn't able to unset file index for the following hashes:
      HASH_LIST

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用“取消设置索引文件”操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False