Intezer

本文提供相關指引，說明如何將 Intezer 與 Google Security Operations 的 SOAR 模組整合。

整合版本：7.0

整合 Intezer 與 Google SecOps

整合作業需要下列參數：

參數	說明
API Root	必要 Intezer 服務的 API 根目錄。
API Key	必要 Intezer 服務的 API 金鑰。
Verify SSL	選用 選取後，Google SecOps 會驗證連至 Intezer 伺服器的連線 SSL 憑證是否有效。 預設為未選取。

如需在 Google SecOps 中設定整合功能的詳細操作說明，請參閱「設定整合功能」。

動作

引爆檔案

使用 Intezer 分析檔案。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
File Path	必要 要分析的檔案路徑。 您可以在以半形逗號分隔的字串中提供多個路徑，例如 /tmp/example1.eml,/tmp/example2.eml。
Related Alert ID	選用 與檔案相關的警示 ID。

動作輸出內容

下表說明與「引爆檔案」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

JSON 結果

以下範例說明使用「引爆檔案」動作時收到的 JSON 結果輸出內容：

[
   {
      "analysis_id":"6cd3347b-f5b2-4c98-a0bc-039a6386dc34",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"/tmp/example.eml"
   }
]

輸出訊息

「引爆檔案」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully fetched the analysis ids for the following file paths: PATH in Intezer	動作成功。
Action wasn't able to fetch the analysis ids for the following file paths: PATH in Intezer	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表說明使用「引爆檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

引爆雜湊

在 Intezer Analyze 中分析檔案雜湊 (SHA-1、SHA-256 或 MD5)。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
File Hash	必要 要分析的報表雜湊值。 您可以在以半形逗號分隔的字串中提供多個雜湊值。

動作輸出內容

下表說明與「引爆檔案」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「引爆雜湊」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「引爆雜湊」動作時收到的 JSON 結果輸出內容：

[
   {
      "analysis_id":"7bbbec69-5764-479e-bb1c-c3686e992fbb",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"6be971118951786bc7be55ef5656149504008a3e"
   },
   {
      "analysis_id":"33ee6661-7435-4e0a-a606-0b7d1a644859",
      "analysis_status":"created",
      "analysis_type":"file",
      "identifier":"5b97c39d87ad627c53023bfebb0ea1b5227c3f4e86e3bf06b23f3e4b0d6726e2"
   }
]

輸出訊息

「引爆雜湊」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully fetched the analysis ids for the following hashes: HASH_LIST	動作成功。
Action wasn't able to fetch the analysis ids for the following hashes: HASH_LIST	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

引爆網址

使用 Intezer 分析可疑網址。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
Url	選用 要分析的網址，例如 https://www.example.com/。 您可以在以半形逗號分隔的字串中提供多個網址。

動作輸出內容

下表說明與「引爆網址」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「引爆網址」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「引爆網址」動作時收到的 JSON 結果輸出內容：

[
   {
      "analysis_id":"d99b7317-02a3-4282-81e9-d27528a575c0",
      "analysis_status":"created",
      "analysis_type":"url",
      "identifier":"www.example.com"
   },
   {
      "analysis_id":"ee8d2e7e-950b-43f2-b0b7-cbfc3c20dfc5",
      "analysis_status":"created",
      "analysis_type":"url",
      "identifier":"https://www.example.com/"
   }
]

輸出訊息

「Detonate URL」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully fetched the analysis ids for the following urls: URL_LIST in Intezer	動作成功。
Action wasn't able to fetch the analysis ids for the following urls: URL_LIST in Intezer	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

取得快訊

使用警報 ID 取得擷取的警報分流和回應資訊。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
Alert ID	必要 要查詢的警示 ID。
Wait For Completion	選用 如果選取這個選項，動作會等待分析完成。

動作輸出內容

下表說明與「取得快訊」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「取得快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「取得快訊」動作時收到的 JSON 結果輸出內容：

{
   "result":{
      "alert_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
      "source":"cs",
      "sender":"cs",
      "raw_alert":{
         "cid":"27fe4e476ca3490b8476b2b6650e5a74",
         "alert_type":"identify",
         "created_timestamp":"2023-11-09T00:03:10.116556016Z",
         "detection_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "evidences":[
            {
               "evidence_type":"domain",
               "evidence_value":"domain"
            }
         ],
         "device":{
            "device_id":"6a1c5ef609ac479ba77f8ca5879c82fc",
            "cid":"67fe4e476ca3490b8476b2b6650e5a74",
            "agent_load_flags":"0",
            "agent_local_time":"2023-10-18T23:01:49.681Z",
            "agent_version":"7.03.15805.0",
            "bios_manufacturer":"Example Technologies LTD",
            "bios_version":"6.00",
            "config_id_base":"65994753",
            "config_id_build":"15805",
            "config_id_platform":"8",
            "external_ip":"35.246.203.0",
            "hostname":"example-hostname",
            "first_seen":"2023-06-14T10:50:40Z",
            "last_seen":"2023-11-09T00:01:56Z",
            "local_ip":"198.51.100.1",
            "mac_address":"02-42-48-a3-7f-29",
            "major_version":"3",
            "minor_version":"10",
            "os_version":"CentOS 7.9",
            "platform_id":"3",
            "platform_name":"Linux",
            "product_type_desc":"Server",
            "status":"normal",
            "system_manufacturer":"Example, Inc.",
            "system_product_name":"Example Virtual Platform",
            "groups":[
               "9489d65c343244169627d4a728389039"
            ],
            "modified_timestamp":"2023-11-09T00:02:06Z"
         },
         "behaviors":[
            {
               "device_id":"6a1c5ef609ac479ba77f8ca5879c82fc",
               "timestamp":"2023-11-09T00:03:02Z",
               "template_instance_id":"1359",
               "behavior_id":"10304",
               "filename":"bash",
               "filepath":"/usr/bin/bash",
               "alleged_filetype":"",
               "cmdline":"bash crowdstrike_test_high",
               "scenario":"suspicious_activity",
               "objective":"Falcon Detection Method",
               "tactic":"Falcon Overwatch",
               "tactic_id":"CSTA0006",
               "technique":"Malicious Activity",
               "technique_id":"CST0002",
               "display_name":"TestTriggerHigh",
               "description":"A high level detection was triggered on this process for testing purposes.",
               "severity":70,
               "confidence":100,
               "ioc_type":"",
               "ioc_value":"",
               "ioc_source":"",
               "ioc_description":"",
               "user_name":"root",
               "user_id":"0",
               "control_graph_id":"ctg:6a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
               "triggering_process_graph_id":"pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565404531105",
               "sha256":"00f8cbc5b3a6640af5ac18d01bc5a666f6f583b1379b9491e0bcc28ba78c92e9",
               "md5":"cfd65bed18a1fae631091c3a4c4dd533",
               "parent_details":{
                  "parent_sha256":"00f8cbc5b3a6640af5ac18d01bc5a666f6f583b1379b9491e0bcc28ba78c92e9",
                  "parent_md5":"cfd65bed18a1fae631091c3a4c4dd533",
                  "parent_cmdline":"/bin/sh -c ./alert.sh",
                  "parent_process_graph_id":"pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565400489930"
               },
               "pattern_disposition":0,
               "pattern_disposition_details":{
                  "indicator":false,
                  "detect":false,
                  "inddet_mask":false,
                  "sensor_only":false,
                  "rooting":false,
                  "kill_process":false,
                  "kill_subprocess":false,
                  "quarantine_machine":false,
                  "quarantine_file":false,
                  "policy_disabled":false,
                  "kill_parent":false,
                  "operation_blocked":false,
                  "process_blocked":false,
                  "registry_operation_blocked":false,
                  "critical_process_disabled":false,
                  "bootup_safeguard_enabled":false,
                  "fs_operation_blocked":false,
                  "handle_operation_downgraded":false,
                  "kill_action_failed":false,
                  "blocking_unsupported_or_disabled":false,
                  "suspend_process":false,
                  "suspend_parent":false
               }
            }
         ],
         "email_sent":false,
         "first_behavior":"2023-11-09T00:03:02Z",
         "last_behavior":"2023-11-09T00:03:02Z",
         "max_confidence":100,
         "max_severity":70,
         "max_severity_displayname":"High",
         "show_in_ui":true,
         "status":"new",
         "hostinfo":{
            "domain":""
         },
         "seconds_to_triaged":0,
         "seconds_to_resolved":0,
         "behaviors_processed":[
            "pid:6a1c5ef609ac479ba77f8ca5879c82fc:46565404531105:10304"
         ],
         "date_updated":"2023-11-12T00:06:14Z"
      },
      "alert_sub_types":[

      ],
      "alert":{
         "alert_id":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "alert_url":null,
         "creation_time":"2023-11-12T00:06:14",
         "alert_title":"ldt:91a1c5ef609ac479ba77f8ca5879c82fc:958686237274",
         "device":{

         },
         "creation_time_display":"12 Nov 23 | 00:06 UTC"
      },
      "triage_result":{
         "alert_verdict":"audited",
         "risk_category":"audited",
         "risk_level":"informational",
         "risk_score":60,
         "risk_level_display":"Informational",
         "risk_category_display":"Audited",
         "alert_verdict_display":"Audited"
      },
      "response":{
         "status":"no_action_needed",
         "automated_response_actions":[

         ],
         "user_recommended_actions":[

         ],
         "user_recommended_actions_display":"",
         "status_display":"No Action Needed"
      },
      "note":"\ud83d\udfe6 Intezer Automated Triage\n===================================\nAudited - No Action Needed\n===================================\n\n- Title: ldt:alert-ID\n- Source: CrowdStrike\n- Creation time: 12 Nov 23 | 00:06 UTC\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/ldt:alert_ID",
      "source_display":"CrowdStrike",
      "source_type":"edr",
      "intezer_alert_url":"https://analyze.intezer.com/alerts/ldt:alert-ID"
   },
   "status":"succeeded"
}

輸出訊息

「取得快訊」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully fetched the alert details for the following alert id: ALERT_ID in Intezer	動作成功。
Action wasn't able to fetch the alert detail for the following alert: ERROR_REASON in Intezer	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

取得檔案報告

根據分析 ID 或檔案雜湊取得檔案分析報告。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
Analysis ID	選用 以半形逗號分隔的檔案分析 ID 清單，用於執行動作。這個參數會區分大小寫。如果同時提供「分析 ID」和「檔案雜湊」參數，系統會優先使用「檔案雜湊」值。
File Hash	選用 以半形逗號分隔的檔案雜湊清單，可對這些檔案執行動作。這個參數會區分大小寫。如果同時提供「分析 ID」和「檔案雜湊」參數，系統會優先採用「檔案雜湊」值。
Private Only	選用 如果選取這個選項，動作只會顯示私人報表 (僅適用於雜湊)。
Wait For Completion	選用 如果選取這個選項，動作會等待分析完成，再傳回報表。

動作輸出內容

下表說明與「取得報表」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「取得報表」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「取得報表」動作時收到的 JSON 結果輸出內容：

[
   {
      "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
      "analysis_type":"file",
      "analysis_status":"succeeded",
      "analysis_content":{
         "analysis":{
            "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
            "analysis_time":"Fri, 16 Feb 2024 08:16:20 GMT",
            "analysis_url":"https://analyze.intezer.com/analyses/analysis-id",
            "file_name":"file_name",
            "is_private":true,
            "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
            "sub_verdict":"inconclusive",
            "tags":[
               "non_executable"
            ],
            "verdict":"unknown"
         },
         "iocs":{
            "files":[
               {
                  "analysis_id":"fdc18702-e308-43e5-9476-554501fb2009",
                  "family":null,
                  "path":"file_name",
                  "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
                  "type":"main_file",
                  "verdict":"unknown"
               }
            ],
            "network":[
               {
                  "classification":"suspicious",
                  "ioc":"198.51.100.161",
                  "source":[
                     "Network communication"
                  ],
                  "type":"ip"
               }
            ]
         },
         "ttps":[
            {
               "data":[
                  {
                     "cid":2793,
                     "pid":1996,
                     "type":"call"
                  },
                  {
                     "cid":5365,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5366,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5373,
                     "pid":1340,
                     "type":"call"
                  },
                  {
                     "cid":5375,
                     "pid":1340,
                     "type":"call"
                  }
               ],
               "description":"Guard pages use detected - possible anti-debugging.",
               "name":"antidebug_guardpages",
               "severity":2,
               "ttps":[
                  {
                     "name":"Native API",
                     "ttp":"Execution::Native API [T1106]"
                  }
               ]
            }
         ],
         "metadata":{
            "file_type":"non executable",
            "indicators":[
               {
                  "classification":"informative",
                  "name":"non_executable"
               }
            ],
            "md5":"a01073d047bd9bb151b8509570ea44d6",
            "sha1":"610742629fe7d7188042c8c427fc68723d53cd42",
            "sha256":"9baf8bb61b9ab2e28d9a2599bc8f524489845782097464edd20ad7d0353c3b6d",
            "size_in_bytes":21,
            "ssdeep":"3:H0shRFCZ:HlS"
         },
         "root-code-reuse":null
      }
   }
]

輸出訊息

「取得檔案報表」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully fetched the file analysis for the following items: ANALYSIS_ID_OR_HASH_LIST in Intezer	動作成功。
No file analysis were found for the provided items	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

取得網址報表

根據網址分析 ID 取得網址分析報告。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
Analysis ID	必要 以半形逗號分隔的檔案分析 ID 清單，用於執行動作。這個參數會區分大小寫。 提交網址進行分析時，系統會傳回分析 ID。
Wait For Completion	選用 如果選取這個選項，動作會等待分析完成。

動作輸出內容

下表說明與「取得網址報表」動作相關聯的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「取得網址報表」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「取得網址報表」動作時收到的 JSON 結果輸出內容：

[
   {
      "analysis_id":"Aef96e22-e0b1-45de-b7fa-2b9596ecb922",
      "analysis_type":"url",
      "analysis_status":"succeeded",
      "analysis_content":{
         "analysis":{
            "analysis_id":"aef96e22-e0b1-45de-b7fa-2b9596ecb922",
            "analysis_time":"Wed, 07 Feb 2024 06:16:42 GMT",
            "analysis_url":"https://analyze.intezer.com/url/aef96e22-e0b1-45de-b7fa-2b9596ecb922",
            "api_void_risk_score":0,
            "certificate":{
               "issuer":"Example Secure Certificate Authority",
               "protocol":"TLS 1.3",
               "subject_name":"analyze.intezer.com",
               "valid_from":"2023-07-25 19:50:53.000000",
               "valid_to":"2024-08-25 19:50:53.000000"
            },
            "domain_info":{
               "creation_date":"2015-08-28 04:24:45.000000",
               "domain_name":"intezer.com",
               "registrar":"Example, LLC"
            },
            "indicators":[
               {
                  "classification":"informative",
                  "indicator_info":"text/html",
                  "indicator_type":"content_type",
                  "text":"Content type: text/html"
               },
               {
                  "classification":"informative",
                  "indicator_type":"valid_https",
                  "text":"Valid https"
               },
               {
                  "classification":"informative",
                  "indicator_type":"url_accessible",
                  "text":"URL is accessible"
               },
               {
                  "classification":"suspicious",
                  "indicator_type":"empty_page_title",
                  "text":"Has empty page title"
               },
               {
                  "classification":"informative",
                  "indicator_type":"domain_ipv4_assigned",
                  "text":"Assigned IPv4 domain"
               },
               {
                  "classification":"informative",
                  "indicator_type":"domain_ipv4_valid",
                  "text":"Valid IPv4 domain"
               },
               {
                  "classification":"informative",
                  "indicator_type":"uses_cloudflare",
                  "text":"Uses Cloudflare"
               }
            ],
            "ip":"203.0.113.201",
            "redirect_chain":[
               {
                  "response_status":200,
                  "url":"https://example.com/"
               }
            ],
            "scanned_url":"https://example.com/",
            "submitted_url":"https://example.com",
            "summary":{
               "description":"No suspicious activity was detected for this URL",
               "main_connection_gene_count":0,
               "main_connection_gene_percentage":0.0,
               "title":"No Threats",
               "verdict_name":"no_threats",
               "verdict_type":"no_threats"
            }
         }
      }
   }
]

輸出訊息

「取得網址報表」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully fetched the url analysis for the following analysis ids: ANALYSIS_ID in Intezer	動作成功。
No url analysis were found for the provided analysis ids	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

索引檔案

將檔案基因編入機構資料庫的索引。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
Index As	必要 將其編入索引，標示為可信任或惡意。
SHA256	選用 要建立索引的 SHA-256 雜湊。 您可以在以半形逗號分隔的字串中提供多個雜湊值。
Family Name	選用 索引中使用的姓氏。 如果「Index As」(索引做為) 參數值為 malicious，則必須使用這項參數。

動作輸出內容

下表說明與「索引檔案」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「索引檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「索引檔案」動作時收到的 JSON 結果輸出內容：

[
   {
      "index_id":"091ed5aa-a94f-48d9-9b90-89ff434947b2",
      "status":"succeeded"
   }
]

輸出訊息

「索引檔案」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Waiting for results for the following hashes: HASH_LIST	作業仍在進行中。
Successfully indexed the following file hashes: HASH_LIST in Intezer Action wasn't able to index the following file hashes: HASH_LIST	動作成功。
None of the file hash got indexed	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

乒乓

測試與 Intezer 的連線。

這項操作會對所有實體執行。

動作輸入內容

無

動作輸出內容

下表說明與 Ping 動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	無法使用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

提交快訊

向 Intezer 提交新的快訊，其中包含原始快訊資訊，以供處理。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
Source	必要 快訊來源。
Raw Alert	必要 JSON 格式的快訊原始資料。
Alert Mapping	必要 以 JSON 格式表示要用於快訊的對應。

動作輸出內容

下表說明與「提交快訊」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「提交快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「提交快訊」動作時收到的 JSON 結果輸出內容：

{
   "alert_id":"ccdt:2a1c5ef609ac479ba77f8ca5879c82fc:958686237274"
}

輸出訊息

「提交快訊」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully submitted details about the following alert: ALERT_ID	動作成功。
Error executing action "Submit Alert". Reason: Invalid parameter "Alert Mapping". The JSON structure is invalid. Wrong value provided: ALERT_ID	動作失敗。 檢查「Alert Mapping」參數值。

提交檔案

提交檔案以供分析。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
File Paths	必要 要分析的檔案路徑。

動作輸出內容

下表說明與「提交檔案」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

指令碼結果

下表說明使用「提交檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

JSON 結果

以下範例說明使用「提交檔案」動作時收到的 JSON 結果輸出內容：

{
    "C:\\\\Users\\\\User1\\\\Downloads\\test_file.exe":
      {
        "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356":
                {
                  "family_name": "Example",
                  "analysis_id": "548e6b8b-20b1-445c-9922-af6b52a8abc3",
                  "sub_verdict": "known_malicious",
                  "analysis_url": "https://analyze.intezer.com/#/analyses/analysis-ID",
                  "verdict": "malicious",
                  "sha256": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356",
                  "is_private": true,
                  "analysis_time": "Thu, 14 Feb 2019 08:58:27 GMT"
                }
       }
}

提交雜湊

將雜湊提交給 Intezer 進行分析。

這項動作會在 FileHash 實體上執行。

動作輸入內容

無

動作輸出內容

下表說明與「提交雜湊」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
實體擴充資料表	可用
JSON 結果	可用
輸出訊息	無法使用
指令碼結果	可用

實體充實

下表說明與「提交雜湊」動作相關的實體擴充邏輯：

補充資料欄位	邏輯
family_name	如果 JSON 結果中存在該值，則傳回該值
analysis_id	如果 JSON 結果中存在該值，則傳回該值
sub_verdict	如果 JSON 結果中存在該值，則傳回該值
analysis_url	如果 JSON 結果中存在該值，則傳回該值
verdict	如果 JSON 結果中存在該值，則傳回該值
sha256	如果 JSON 結果中存在該值，則傳回該值
is_private	如果 JSON 結果中存在該值，則傳回該值
analysis_time	如果 JSON 結果中存在該值，則傳回該值

JSON 結果

以下範例說明使用「提交雜湊」動作時收到的 JSON 結果輸出內容：

[{
    "EntityResult":
      {
        "family_name": "Example",
        "analysis_id": "548e6b8b-20b1-445c-9922-af6b52a8abc3",
        "sub_verdict": "known_malicious",
        "analysis_url": "https://analyze.intezer.com/#/analyses/analysis-ID",
        "verdict": "malicious",
        "sha256": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356",
        "is_private": true,
        "analysis_time": "Thu, 14 Feb 2019 08:58:27 GMT"
      },
   "Entity": "4e553bce90f0b39cd71ba633da5990259e185979c2859ec2e04dd8efcdafe356"
}]

指令碼結果

下表說明使用「提交雜湊」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

提交可疑電子郵件

以原始格式 (.msg 或 .eml) 將可疑的網路釣魚電子郵件提交給 Intezer 處理。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
Email File Path	必要 電子郵件檔案的路徑。

動作輸出內容

下表說明與「提交可疑電子郵件」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

JSON 結果

以下範例說明使用「提交可疑電子郵件」動作時收到的 JSON 結果輸出：

{
   "alert_id":"3385f4f9aec655dfac9d59d54e8ff1f12343501ebc62bf1a91ad1954bb6ae0b9"
}

輸出訊息

「提交可疑電子郵件」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully submitted suspicious email EMAIL_FILE_PATH in Intezer	動作成功。
Error executing action "Intezer". Reason: No such file or directory: EMAIL_FILE_PATH	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表說明使用「提交可疑電子郵件」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

取消設定索引檔案

從索引中移除檔案。

這項操作會對所有實體執行。

動作輸入內容

如要設定動作，請使用下列參數：

參數	說明
SHA256	選用 要從索引中移除的 SHA-256 雜湊值。 您可以在以半形逗號分隔的字串中提供多個檔案。

動作輸出內容

下表說明與「取消設定索引檔案」動作相關的輸出類型：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	無法使用
輸出訊息	可用
指令碼結果	可用

輸出訊息

「取消設定索引檔案」動作會提供下列輸出訊息：

輸出訊息	訊息說明
Successfully unset file index for the following hashes: HASH_LIST in Intezer Action wasn't able to unset file index for the following hashes: HASH_LIST	動作成功。
Action wasn't able to unset file index for the following hashes: HASH_LIST	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表說明使用「取消設定索引檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True 或 False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。