Mandiant Attack Surface Management in Google SecOps einbinden

In diesem Dokument wird erläutert, wie Sie Mandiant Attack Surface Management in Google Security Operations (Google SecOps) einbinden.

In der Google SecOps-Plattform heißt die Integration für Mandiant Attack Surface Management Mandiant ASM.

Anwendungsfälle

Die Mandiant ASM-Integration verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • Asset-Erkennung: Überwachen und erkennen Sie externe Assets auf potenzielle Sicherheitslücken.

  • Probleme aufnehmen: Nehmen Sie Mandiant Attack Surface Management-Probleme als Warnungen in Google SecOps auf.

  • Vorfälle anreichern: Sicherheitsvorfälle mit detaillierten Informationen zu Entitäten der Angriffsfläche anreichern.

  • Abhilfemaßnahmen priorisieren: Priorisieren Sie Abhilfemaßnahmen basierend auf dem Schweregrad der Sicherheitslücken und Probleme, die von Mandiant Attack Surface Management erkannt wurden.

  • Problemstatus aktualisieren: Aktualisieren Sie den Status von Mandiant Attack Surface Management-Problemen direkt über die Google SecOps-Plattform.

Hinweis

Diese Integration bietet native Plattformfunktionen und erfordert keine externen API-Schlüssel oder Anmeldedaten von Drittanbietern für die Authentifizierung. Bevor Sie beginnen, müssen Sie die Integration über den Content Hub in Ihrer Google SecOps-Instanz installieren.

Integrationsparameter

Für die Integration von Mandiant Attack Surface Management sind die folgenden Parameter erforderlich:

Parameter Beschreibung
API Root

Pflichtangabe.

Der API-Stamm der Mandiant-Instanz.

Der Standardwert ist https://asm-api.advantage.mandiant.com.

Geben Sie den folgenden Wert ein, um sich mit Google Threat Intelligence-Anmeldedaten zu authentifizieren: https://www.virustotal.com.
Access Key

Optional.

Der API-Zugriffsschlüssel des Mandiant Attack Surface Management-Kontos.

Wenn Sie den Zugriffsschlüssel in Mandiant Attack Surface Management generieren möchten, rufen Sie Kontoeinstellungen > API-Schlüssel > Neuen Schlüssel generieren auf.

Secret Key

Optional.

Der geheime API-Schlüssel des Mandiant Attack Surface Management-Kontos.

Wenn Sie den geheimen Schlüssel in Mandiant Attack Surface Management generieren möchten, rufen Sie Kontoeinstellungen > API-Schlüssel > Neuen Schlüssel generieren auf.

Project Name

Optional.

Der Projektname, der in der Integration verwendet werden soll.

Wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden, ist dieser Parameter erforderlich, um die Aktionen ASM-Entitäten suchen und Probleme suchen auszuführen.
GTI API Key

Optional.

Der API-Schlüssel von Google Threat Intelligence.

Wenn Sie sich mit Google Threat Intelligence authentifizieren möchten, setzen Sie den Parameterwert API Root auf https://www.virustotal.com.

Wenn Sie sich mit dem Google Threat Intelligence API-Schlüssel authentifizieren, hat dieser Vorrang vor anderen Authentifizierungsmethoden.
Verify SSL

Pflichtangabe.

Wenn diese Option ausgewählt ist, prüft die Integration die Gültigkeit des SSL-Zertifikats für die Verbindung zum Mandiant-Server.

Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

ASM-Entitätsdetails abrufen

Verwenden Sie die Aktion ASM-Entitätsdetails abrufen, um Informationen zu einer Mandiant Attack Surface Management-Entität zurückzugeben.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitätsdetails abrufen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Entity ID

Pflichtangabe.

Eine durch Kommas getrennte Liste von Entitäts-IDs, für die Details abgerufen werden sollen.

Aktionsausgaben

Die Aktion ASM-Entitätsdetails abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion ASM-Entitätsdetails abrufen verwenden:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "cpndemorange_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details": {
   "asn": null,
   "ssl": false,
   "uri": "http://192.0.2.73:80",
   "code": "404",
   "port": 80,
   "forms": false,
   "title": "404 Not Found",
   "verbs": null,
   "cookies": null,
   "headers": [
     "Date: Fri, 30 Sep 2022 06:51:11 GMT",
     "Content-Type: text/html",
     "Content-Length: 548",
     "Connection: keep-alive"
   ],
   "host_id": 8615,
   "net_geo": "US",
   "scripts": [],
   "service": "http",
   "auth.2fa": false,
   "auth.any": false,
   "dom_sha1": "540707399c1b58afd2463ec43da3b41444fbde32",
   "net_name": "",
   "protocol": "tcp",
   "alt_names": null,
   "auth.ntlm": false,
   "generator": null,
   "auth.basic": false,
   "auth.forms": false,
   "ip_address": "192.0.2.73",
   "favicon_md5": null,
   "fingerprint": [
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "example",
       "product": "example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "geolocation": {
     "asn": {
       "asn": 16509,
       "isp": "Example Inc.",
       "name": "example.com, Inc.",
       "organization": "Example Services",
       "connection_type": "Corporate"
     },
     "city": "Singapore",
     "country": "Singapore",
     "latitude": 1.35208,
     "continent": "Asia",
     "longitude": 103.82,
     "time_zone": "Asia/Singapore",
     "country_code": "SG",
     "continent_code": "AS"
   },
   "vuln_checks": [
     "log4shell_cve_2021_44228"
   ],
   "api_endpoint": false,
   "cloud_hosted": true,
   "favicon_sha1": null,
   "domain_cookies": null,
   "log4shell_uuid": "55be320622c4937c01738e092579edaa338fd90e2a",
   "redirect_chain": [],
   "redirect_count": 0,
   "cloud_providers": [
     "Cloud Provider Name"
   ],
   "hidden_original": "http://192.0.2.73:80",
   "net_country_code": null,
   "screenshot_exists": true,
   "cloud_fingerprints": [],
   "response_data_hash": "1GUXIXXTXUk/sWM+I3cAAivYSfoSMWR5CxaLgxissJA=",
   "extended_favicon_data": null,
   "extended_path_to_seed": [
     {
       "id": 8620,
       "_id": 8605,
       "name": "http://192.0.2.73:80",
       "seed": false,
       "type": "Intrigue::Entity::Uri",
       "_type": "Entity",
       "creates": [
         {
           "id": 6158,
           "_id": 6152,
           "name": "192.0.2.0/24",
           "seed": true,
           "type": "Intrigue::Entity::NetBlock",
           "_type": "Entity",
           "creates.verb": "queried",
           "creates.source_name": "search_shodan",
           "creates.source_type": "internet_scan_database"
         }
       ]
     }
   ],
   "extended_configuration": [
     {
       "hide": false,
       "name": "Example Page Content",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "hide": false,
       "name": "Example",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "extended_response_body": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
   "exfil_lookup_identifier": "55be320622c4937c01738e092579edaa",
   "extended_shodan_details": {
     "ip": 50387017,
     "os": null,
     "asn": "ASN",
     "isp": "Example.com, Inc.",
     "org": "Example Services",
     "data": "HTTP/1.1 404 Not Found\r\nDate: Fri, 30 Sep 2022 05:16:32 GMT\r\nContent-Type: text/html\r\nContent-Length: 548\r\nConnection: keep-alive\r\n\r\n",
     "hash": -744989972,
     "http": {
       "host": "192.0.2.73",
       "html": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
       "title": "404 Not Found",
       "robots": null,
       "server": null,
       "status": 404,
       "sitemap": null,
       "location": "/",
       "html_hash": -2090962452,
       "redirects": [],
       "components": {},
       "robots_hash": null,
       "securitytxt": null,
       "headers_hash": -873436690,
       "sitemap_hash": null,
       "securitytxt_hash": null
     },
     "tags": [
       "cloud"
     ],
     "cloud": {
       "region": "ap-southeast-1",
       "service": "Example",
       "provider": "Example"
     },
     "ip_str": "192.0.2.73",
     "_shodan": {
       "id": "ID",
       "ptr": true,
       "module": "http",
       "region": "eu",
       "crawler": "f4bb88763d8ed3a0f3f91439c2c62b77fb9e06f3",
       "options": {}
     },
     "domains": [
       "example.com"
     ],
     "location": {
       "city": "Singapore",
       "latitude": 1.28967,
       "area_code": null,
       "longitude": 103.85007,
       "region_code": "01",
       "country_code": "SG",
       "country_name": "Singapore"
     },
     "hostnames": [
       "ec2-192-0-2-73.ap-southeast-1.compute.example.com"
     ],
     "timestamp": "2022-09-30T05:16:33.068993"
   },
   "hidden_port_open_confirmed": true,
   "extended_screenshot_contents": "iVBORw0KGgoAAA"
 },
 "details_file": "data/v4/cpndemorange_oum28bu/2022_09_30/cpndemorange_oum28bu/entities/ID.json",
 "description": null,
 "first_seen": "2022-09-30T21:20:19.000Z",
 "hidden": false,
 "last_seen": "2022-09-30T21:20:19.000Z",
 "name": "http://192.0.2.73:80",
 "scoped": true,
 "scoped_reason": "entity_scoping_rules: fallback value",
 "seed": false,
 "source": null,
 "status": null,
 "task_results": [],
 "type": "Intrigue::Entity::Uri",
 "uid": "UID",
 "created_at": "2022-09-30T21:25:05.232Z",
 "updated_at": "2022-09-30T21:25:05.239Z",
 "collection_id": 117139,
 "elasticsearch_mappings_hash": null,
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "UUID",
 "organization_uuid": "UUID",
 "collection_type": "user_collection",
 "fingerprint": [
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   },
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page - could be redirect)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   }
 ],
 "summary": {
   "scoped": true,
   "issues": {
     "current_with_cve": 0,
     "current_by_severity": {
       "1": 1
     },
     "all_time_by_severity": {
       "1": 1
     },
     "current_count": 1,
     "all_time_count": 1,
     "critical_or_high": true
   },
   "task_results": [
     "search_shodan",
     "port_scan",
     "port_scan_lambda",
     "search_shodan"
   ],
   "screenshot_exists": true,
   "geolocation": {
     "city": "Singapore",
     "country_code": "SG",
     "country_name": null,
     "latitude": 1.35208,
     "longitude": 103.82,
     "asn": null
   },
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "example.com, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Cloud Provider Name"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 "tags": [],
 "id": "ID",
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Example |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}
Ausgabenachrichten

Die Aktion ASM-Entitätsdetails abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully return details for the following entities using information from Mandiant ASM: ENTITY_ID

Action wasn't able to return details for the following entities using information from Mandiant ASM: ENTITY_ID

 Die Aktion war erfolgreich.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Entitätsdetails abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

ASM-Entitäten suchen

Verwenden Sie die Aktion ASM-Entitäten suchen, um in Mandiant Attack Surface Management nach Entitäten zu suchen.

Wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden, konfigurieren Sie auch den Parameter Project Name in den Integrationsparametern.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitäten suchen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Entity Name

Optional.

Eine durch Kommas getrennte Liste von Entitätsnamen, um Entitäten zu finden.

Um zu verhindern, dass die Aktion fehlschlägt, sollten Sie den Schrägstrich / nicht verwenden, wenn Sie Werte für diesen Parameter konfigurieren.
Minimum Vulnerabilities Count

Optional.

Die Anzahl der Sicherheitslücken im Zusammenhang mit der zurückgegebenen Entität.
Minimum Issues Count

Optional.

Die Anzahl der Probleme im Zusammenhang mit der zurückgegebenen Entität.
Tags

Optional.

Eine durch Kommas getrennte Liste von Tag-Namen, die bei der Suche nach Entitäten verwendet werden sollen.
Max Entities To Return

Optional.

Die Anzahl der zurückzugebenden Entitäten.

Der Standardwert ist 50. Der Höchstwert ist 200.
Critical or High Issue

Optional.

Wenn diese Option ausgewählt ist, gibt die Aktion nur Entitäten mit High- oder Critical-Problemen zurück.

Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion ASM-Entitäten suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion ASM-Entitäten suchen erhalten:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}
Ausgabenachrichten

Die Aktion ASM-Entitäten suchen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully returned entities based on the provided criteria in Mandiant ASM.

No entities were found based on the provided criteria in Mandiant ASM.

 Die Aktion war erfolgreich.
Error executing action "Search ASM Entities". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion ASM-Entitäten suchen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Probleme bei der Suche

Verwenden Sie die Aktion Probleme suchen, um in Mandiant Attack Surface Management nach Problemen zu suchen.

Wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden, konfigurieren Sie auch den Parameter Project Name in den Integrationsparametern.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Search Issues sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Issue ID

Optional.

Eine durch Kommas getrennte Liste von Problem-IDs, für die die Details zurückgegeben werden sollen.
Entity ID

Optional.

Eine durch Kommas getrennte Liste von Entitäts-IDs, um zugehörige Probleme zu finden.
Entity Name

Optional.

Eine durch Kommas getrennte Liste von Entitätsnamen, um zugehörige Probleme zu finden.

Um zu verhindern, dass die Aktion fehlschlägt, sollten Sie den Schrägstrich / nicht verwenden, wenn Sie Werte für diesen Parameter konfigurieren.
Time Parameter

Optional.

Eine Filteroption zum Festlegen der Problemzeit.

Die möglichen Werte sind First Seen und Last Seen.

Der Standardwert ist First Seen.
Time Frame

Optional.

Ein Zeitraum, nach dem Probleme gefiltert werden sollen. Wenn Sie Custom auswählen, konfigurieren Sie den Parameter Start Time.

Folgende Werte sind möglich:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

Der Standardwert ist Last Hour.
Start Time

Optional.

Der Beginn des Zeitraums für die Ergebnisse.

Wenn Sie Custom für den Parameter Time Frame ausgewählt haben, ist dieser Parameter erforderlich. Konfigurieren Sie den Wert im ISO 8601-Format.
End Time

Optional.

Die Endzeit für die Ergebnisse.

Wenn Sie Custom für den Parameter Time Frame ausgewählt und die Endzeit nicht festgelegt haben, wird für diesen Parameter die aktuelle Zeit als Endzeit verwendet. Konfigurieren Sie den Wert im ISO 8601-Format.
Lowest Severity To Return

Optional.

Der niedrigste Schweregrad der zurückzugebenden Probleme.

Folgende Werte sind möglich:

  • Select One
  • Critical
  • High
  • Medium
  • Low
  • Informational

Der Standardwert ist Select One.

Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Status

Optional.

Der Statusfilter für die Suche.

Die möglichen Werte sind Open, Closed und Select One.

Der Standardwert ist Select One.

Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Tags

Optional.

Eine durch Kommas getrennte Liste von Tag-Namen, die bei der Suche nach Problemen verwendet werden sollen.
Max Issues To Return

Optional.

Die Anzahl der zurückzugebenden Probleme.

Der Standardwert ist 50. Der Höchstwert ist 200.

Aktionsausgaben

Die Aktion Search Issues liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search Issues empfangen wird:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "COLLECTION_UUID",
 "collection_type": "user_collection",
 "organization_uuid": "ORGANIZATION_UUID",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}
Ausgabenachrichten

Die Aktion Search Issues kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully returned issues based on the provided criteria in Mandiant ASM.

No issues were found based on the provided criteria in Mandiant ASM.

 Die Aktion war erfolgreich.
Error executing action "Search Issues". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Search Issues verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Problem aktualisieren

Verwenden Sie die Aktion Problem aktualisieren, um ein Problem in Mandiant Attack Surface Management zu aktualisieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Problem aktualisieren sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Issue ID

Pflichtangabe.

Die ID des zu aktualisierenden Problems.
Status

Pflichtangabe.

Der Status, der für das Problem festgelegt werden soll.

Folgende Werte sind möglich:

  • Select One
  • New
  • Triaged
  • In Progress
  • Resolved
  • Duplicate
  • Out Of Scope
  • Not A Security Issue (Benign)
  • Risk Accepted
  • False Positive
  • Unable To Reproduce
  • Tracked Externally
  • Mitigated

Der Standardwert ist Select One.

Aktionsausgaben

Die Aktion Problem aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Problem aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Beschreibung der Nachricht
Successfully updated issue with ID "ISSUE_ID" in Mandiant ASM. Die Aktion war erfolgreich.
Error executing action "Update Issue". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Problem aktualisieren verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Connectors

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Mandiant ASM – Issues Connector

Verwenden Sie den Mandiant ASM – Issues Connector, um Informationen zu Problemen aus Mandiant Attack Surface Management abzurufen.

Der Filter für dynamische Listen funktioniert mit dem Parameter category.

Für den Mandiant ASM – Issues Connector sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Product Field Name

Pflichtangabe.

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Standardwert ist Product Name.

Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert Product Name in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Eine ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst.
Event Field Name

Pflichtangabe.

Der Name des Felds, in dem der Ereignisname gespeichert ist.

Der Standardwert ist entity_type.
Environment Field Name

Optional.

Der Name des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.

Environment Regex Pattern

Optional.

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis "".
Script Timeout (Seconds)

Pflichtangabe.

Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt.

Der Standardwert ist 180.
API Root

Pflichtangabe.

Der API-Stamm der Mandiant-Instanz.

Der Standardwert ist https://asm-api.advantage.mandiant.com.

Geben Sie den folgenden Wert ein, um sich mit Google Threat Intelligence-Anmeldedaten zu authentifizieren: https://www.virustotal.com.
Access Key

Optional.

Der API-Zugriffsschlüssel des Mandiant Attack Surface Management-Kontos.

Wenn Sie den Zugriffsschlüssel in Mandiant Attack Surface Management generieren möchten, rufen Sie Kontoeinstellungen > API-Schlüssel > Neuen Schlüssel generieren auf.

Secret Key

Optional.

Der geheime API-Schlüssel des Mandiant Attack Surface Management-Kontos.

Wenn Sie den geheimen Schlüssel in Mandiant Attack Surface Management generieren möchten, rufen Sie Kontoeinstellungen > API-Schlüssel > Neuen Schlüssel generieren auf.

Project Name

Optional.

Der Projektname, der in der Integration verwendet werden soll.

Erforderlich, wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden.
GTI API Key

Optional.

Der API-Schlüssel von Google Threat Intelligence.

Wenn Sie sich mit Google Threat Intelligence authentifizieren möchten, setzen Sie den Parameterwert API Root auf https://www.virustotal.com.

Die Authentifizierung mit dem Google Threat Intelligence API-Schlüssel hat Vorrang vor anderen Authentifizierungsmethoden.
Lowest Severity To Fetch

Optional.

Der niedrigste Schweregrad der abzurufenden Probleme.

Folgende Werte sind möglich:

  • Critical
  • High
  • Medium
  • Low
  • Informational

Wenn Sie keinen Wert festlegen, werden Probleme mit allen Schweregraden aufgenommen.
Max Hours Backwards

Optional.

Eine Anzahl von Stunden vor der ersten Connector-Iteration, um Vorfälle abzurufen. Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel.

Der Standardwert ist 1.
Max Issues To Fetch

Optional.

Die Anzahl der Probleme, die in einer einzelnen Connector-Iteration verarbeitet werden sollen.

Der Standardwert ist 10.
Use dynamic list as a blocklist

Pflichtangabe.

Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste.

Standardmäßig nicht ausgewählt.
Verify SSL

Pflichtangabe.

Wenn diese Option ausgewählt ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Mandiant-Server gültig ist.

Standardmäßig ausgewählt.
Proxy Server Address

Optional.

Die Adresse des zu verwendenden Proxyservers.
Proxy Username

Optional.

Der Proxy-Nutzername für die Authentifizierung.
Proxy Password

Optional.

Das Proxy-Passwort für die Authentifizierung.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten