Mandiant Attack Surface Management in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Mandiant Attack Surface Management in Google Security Operations (Google SecOps) einbinden.

Integrationsversion: 9.0

In der Google SecOps-Plattform heißt die Integration für Mandiant Attack Surface Management Mandiant ASM.

Integrationsparameter

Für die Mandiant Attack Surface Management-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
API Root

Erforderlich.

Das API-Stammverzeichnis der Mandiant-Instanz.

Der Standardwert ist https://asm-api.advantage.mandiant.com.

Geben Sie zum Authentifizieren mit Google Threat Intelligence-Anmeldedaten den folgenden Wert ein: https://www.virustotal.com.
Access Key

Optional.

Der API-Zugriffsschlüssel des Mandiant Attack Surface Management-Kontos.

Um den Zugriffsschlüssel in Mandiant Attack Surface Management zu generieren, gehen Sie zu Kontoeinstellungen > API-Schlüssel > Neuen Schlüssel generieren.

Secret Key

Optional.

Der API-Secret-Schlüssel des Mandiant Attack Surface Management-Kontos.

Um den geheimen Schlüssel in Mandiant Attack Surface Management zu generieren, rufen Sie Kontoeinstellungen> API-Schlüssel> Neuen Schlüssel generieren auf.

Project Name

Optional.

Der Projektname, der in der Integration verwendet werden soll.

Wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden, ist dieser Parameter erforderlich, um die Aktionen Search ASM Entities und Search Issues auszuführen.
GTI API Key

Optional.

Der API-Schlüssel von Google Threat Intelligence.

Wenn Sie sich mit Google Threat Intelligence authentifizieren möchten, legen Sie den Parameterwert API Root auf https://www.virustotal.com fest.

Wenn Sie sich mit dem Google Threat Intelligence API-Schlüssel authentifizieren, hat dies Vorrang vor anderen Authentifizierungsmethoden.
Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, wird die Gültigkeit des SSL-Zertifikats für die Verbindung zum Mandiant-Server überprüft.

Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen in „Mein Arbeitsbereich“ reagieren und Manuelle Aktion ausführen.

ASM-Entitätsdetails abrufen

Mit der Aktion ASM-Entitätsdetails abrufen können Sie Informationen zu einer Mandiant Attack Surface Management-Entität zurückgeben.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitätsdetails abrufen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Entity ID

Erforderlich.

Eine durch Kommas getrennte Liste von Entitäts-IDs, für die Details abgerufen werden sollen.

Aktionsausgaben

Die Aktion Get ASM Entity Details (ASM-Entitätsdetails abrufen) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel sehen Sie die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get ASM Entity Details (ASM-Entitätsdetails abrufen) empfangen wird:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "cpndemorange_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details": {
   "asn": null,
   "ssl": false,
   "uri": "http://192.0.2.73:80",
   "code": "404",
   "port": 80,
   "forms": false,
   "title": "404 Not Found",
   "verbs": null,
   "cookies": null,
   "headers": [
     "Date: Fri, 30 Sep 2022 06:51:11 GMT",
     "Content-Type: text/html",
     "Content-Length: 548",
     "Connection: keep-alive"
   ],
   "host_id": 8615,
   "net_geo": "US",
   "scripts": [],
   "service": "http",
   "auth.2fa": false,
   "auth.any": false,
   "dom_sha1": "540707399c1b58afd2463ec43da3b41444fbde32",
   "net_name": "",
   "protocol": "tcp",
   "alt_names": null,
   "auth.ntlm": false,
   "generator": null,
   "auth.basic": false,
   "auth.forms": false,
   "ip_address": "192.0.2.73",
   "favicon_md5": null,
   "fingerprint": [
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "example",
       "product": "example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "geolocation": {
     "asn": {
       "asn": 16509,
       "isp": "Example Inc.",
       "name": "example.com, Inc.",
       "organization": "Example Services",
       "connection_type": "Corporate"
     },
     "city": "Singapore",
     "country": "Singapore",
     "latitude": 1.35208,
     "continent": "Asia",
     "longitude": 103.82,
     "time_zone": "Asia/Singapore",
     "country_code": "SG",
     "continent_code": "AS"
   },
   "vuln_checks": [
     "log4shell_cve_2021_44228"
   ],
   "api_endpoint": false,
   "cloud_hosted": true,
   "favicon_sha1": null,
   "domain_cookies": null,
   "log4shell_uuid": "55be320622c4937c01738e092579edaa338fd90e2a",
   "redirect_chain": [],
   "redirect_count": 0,
   "cloud_providers": [
     "Cloud Provider Name"
   ],
   "hidden_original": "http://192.0.2.73:80",
   "net_country_code": null,
   "screenshot_exists": true,
   "cloud_fingerprints": [],
   "response_data_hash": "1GUXIXXTXUk/sWM+I3cAAivYSfoSMWR5CxaLgxissJA=",
   "extended_favicon_data": null,
   "extended_path_to_seed": [
     {
       "id": 8620,
       "_id": 8605,
       "name": "http://192.0.2.73:80",
       "seed": false,
       "type": "Intrigue::Entity::Uri",
       "_type": "Entity",
       "creates": [
         {
           "id": 6158,
           "_id": 6152,
           "name": "192.0.2.0/24",
           "seed": true,
           "type": "Intrigue::Entity::NetBlock",
           "_type": "Entity",
           "creates.verb": "queried",
           "creates.source_name": "search_shodan",
           "creates.source_type": "internet_scan_database"
         }
       ]
     }
   ],
   "extended_configuration": [
     {
       "hide": false,
       "name": "Example Page Content",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "hide": false,
       "name": "Example",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "extended_response_body": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
   "exfil_lookup_identifier": "55be320622c4937c01738e092579edaa",
   "extended_shodan_details": {
     "ip": 50387017,
     "os": null,
     "asn": "ASN",
     "isp": "Example.com, Inc.",
     "org": "Example Services",
     "data": "HTTP/1.1 404 Not Found\r\nDate: Fri, 30 Sep 2022 05:16:32 GMT\r\nContent-Type: text/html\r\nContent-Length: 548\r\nConnection: keep-alive\r\n\r\n",
     "hash": -744989972,
     "http": {
       "host": "192.0.2.73",
       "html": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
       "title": "404 Not Found",
       "robots": null,
       "server": null,
       "status": 404,
       "sitemap": null,
       "location": "/",
       "html_hash": -2090962452,
       "redirects": [],
       "components": {},
       "robots_hash": null,
       "securitytxt": null,
       "headers_hash": -873436690,
       "sitemap_hash": null,
       "securitytxt_hash": null
     },
     "tags": [
       "cloud"
     ],
     "cloud": {
       "region": "ap-southeast-1",
       "service": "Example",
       "provider": "Example"
     },
     "ip_str": "192.0.2.73",
     "_shodan": {
       "id": "ID",
       "ptr": true,
       "module": "http",
       "region": "eu",
       "crawler": "f4bb88763d8ed3a0f3f91439c2c62b77fb9e06f3",
       "options": {}
     },
     "domains": [
       "example.com"
     ],
     "location": {
       "city": "Singapore",
       "latitude": 1.28967,
       "area_code": null,
       "longitude": 103.85007,
       "region_code": "01",
       "country_code": "SG",
       "country_name": "Singapore"
     },
     "hostnames": [
       "ec2-192-0-2-73.ap-southeast-1.compute.example.com"
     ],
     "timestamp": "2022-09-30T05:16:33.068993"
   },
   "hidden_port_open_confirmed": true,
   "extended_screenshot_contents": "iVBORw0KGgoAAA"
 },
 "details_file": "data/v4/cpndemorange_oum28bu/2022_09_30/cpndemorange_oum28bu/entities/ID.json",
 "description": null,
 "first_seen": "2022-09-30T21:20:19.000Z",
 "hidden": false,
 "last_seen": "2022-09-30T21:20:19.000Z",
 "name": "http://192.0.2.73:80",
 "scoped": true,
 "scoped_reason": "entity_scoping_rules: fallback value",
 "seed": false,
 "source": null,
 "status": null,
 "task_results": [],
 "type": "Intrigue::Entity::Uri",
 "uid": "UID",
 "created_at": "2022-09-30T21:25:05.232Z",
 "updated_at": "2022-09-30T21:25:05.239Z",
 "collection_id": 117139,
 "elasticsearch_mappings_hash": null,
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "UUID",
 "organization_uuid": "UUID",
 "collection_type": "user_collection",
 "fingerprint": [
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   },
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page - could be redirect)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   }
 ],
 "summary": {
   "scoped": true,
   "issues": {
     "current_with_cve": 0,
     "current_by_severity": {
       "1": 1
     },
     "all_time_by_severity": {
       "1": 1
     },
     "current_count": 1,
     "all_time_count": 1,
     "critical_or_high": true
   },
   "task_results": [
     "search_shodan",
     "port_scan",
     "port_scan_lambda",
     "search_shodan"
   ],
   "screenshot_exists": true,
   "geolocation": {
     "city": "Singapore",
     "country_code": "SG",
     "country_name": null,
     "latitude": 1.35208,
     "longitude": 103.82,
     "asn": null
   },
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "example.com, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Cloud Provider Name"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 "tags": [],
 "id": "ID",
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Example |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}
Ausgabemeldungen

Die Aktion ASM-Entitätsdetails abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully return details for the following entities using information from Mandiant ASM: ENTITY_ID

Action wasn't able to return details for the following entities using information from Mandiant ASM: ENTITY_ID

 Die Aktion wurde ausgeführt.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get ASM Entity Details verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Nach ASM-Entitäten suchen

Mit der Aktion ASM-Entitäten durchsuchen können Sie nach Entitäten in Mandiant Attack Surface Management suchen.

Wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden, konfigurieren Sie auch den Parameter Project Name in den Integrationsparametern.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion ASM-Entitäten suchen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Entity Name

Optional.

Eine durch Kommas getrennte Liste von Entitätsnamen, nach denen gesucht werden soll.

Um zu verhindern, dass die Aktion fehlschlägt, sollten Sie bei der Konfiguration von Werten für diesen Parameter das Schrägstrichzeichen / vermeiden.
Minimum Vulnerabilities Count

Optional.

Die Anzahl der Sicherheitslücken, die mit der zurückgegebenen Entität zusammenhängen.
Minimum Issues Count

Optional.

Die Anzahl der Probleme, die mit der zurückgegebenen Entität zusammenhängen.
Tags

Optional.

Eine durch Kommas getrennte Liste von Tagnamen, die bei der Suche nach Einheiten verwendet werden sollen.
Max Entities To Return

Optional.

Die Anzahl der zurückzugebenden Entitäten.

Der Standardwert ist 50. Der Höchstwert ist 200.
Critical or High Issue

Optional.

Wenn diese Option ausgewählt ist, werden nur Entitäten mit High- oder Critical-Problemen zurückgegeben.

Standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion ASM-Entitäten durchsuchen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion ASM-Entitäten suchen empfangen wird:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}
Ausgabemeldungen

Die Aktion Search ASM Entities kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned entities based on the provided criteria in Mandiant ASM.

No entities were found based on the provided criteria in Mandiant ASM.

 Die Aktion wurde ausgeführt.
Error executing action "Search ASM Entities". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Search ASM Entities verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Probleme bei der Suche

Mit der Aktion Search Issues (Probleme suchen) können Sie in Mandiant Attack Surface Management nach Problemen suchen.

Wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden, konfigurieren Sie auch den Parameter Project Name in den Integrationsparametern.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Search Issues sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Issue ID

Optional.

Eine durch Kommas getrennte Liste von Problem-IDs, für die die Details zurückgegeben werden sollen.
Entity ID

Optional.

Eine durch Kommas getrennte Liste von Entitäts-IDs, für die zugehörige Probleme gefunden werden sollen.
Entity Name

Optional.

Eine durch Kommas getrennte Liste von Entitätsnamen, nach denen ähnliche Probleme gesucht werden soll.

Um zu verhindern, dass die Aktion fehlschlägt, sollten Sie bei der Konfiguration von Werten für diesen Parameter das Schrägstrichzeichen / vermeiden.
Time Parameter

Optional.

Eine Filteroption zum Festlegen der Problemzeit.

Die möglichen Werte sind First Seen und Last Seen.

Der Standardwert ist First Seen.
Time Frame

Optional.

Ein Zeitraum, nach dem Probleme gefiltert werden sollen. Wenn Sie Custom auswählen, konfigurieren Sie den Parameter Start Time.

Folgende Werte sind möglich:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

Der Standardwert ist Last Hour.
Start Time

Optional.

Die Startzeit für die Ergebnisse.

Wenn Sie für den Parameter Time Frame die Option Custom ausgewählt haben, ist dieser Parameter erforderlich. Konfigurieren Sie den Wert im ISO 8601-Format.
End Time

Optional.

Die Endzeit für die Ergebnisse.

Wenn Sie Custom für den Parameter Time Frame ausgewählt und die Endzeit nicht festgelegt haben, wird für diesen Parameter die aktuelle Uhrzeit als Endzeit verwendet. Konfigurieren Sie den Wert im ISO 8601-Format.
Lowest Severity To Return

Optional.

Der niedrigste Schweregrad der zurückzugebenden Probleme.

Folgende Werte sind möglich:

  • Select One
  • Critical
  • High
  • Medium
  • Low
  • Informational

Der Standardwert ist Select One.

Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Status

Optional.

Der Statusfilter für die Suche.

Die möglichen Werte sind Open, Closed und Select One.

Der Standardwert ist Select One.

Wenn Sie Select One auswählen, wird dieser Filter nicht auf die Suche angewendet.
Tags

Optional.

Eine durch Kommas getrennte Liste von Tagnamen, die bei der Suche nach Problemen verwendet werden sollen.
Max Issues To Return

Optional.

Die Anzahl der zurückzugebenden Probleme.

Der Standardwert ist 50. Der Höchstwert ist 200.

Aktionsausgaben

Die Aktion Search Issues (Probleme suchen) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search Issues (Probleme suchen) empfangen wird:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "COLLECTION_UUID",
 "collection_type": "user_collection",
 "organization_uuid": "ORGANIZATION_UUID",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}
Ausgabemeldungen

Die Aktion Search Issues kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully returned issues based on the provided criteria in Mandiant ASM.

No issues were found based on the provided criteria in Mandiant ASM.

 Die Aktion wurde ausgeführt.
Error executing action "Search Issues". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Search Issues aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Probleme mit Update

Mit der Aktion Update Issue (Problem aktualisieren) können Sie ein Problem in Mandiant Attack Surface Management aktualisieren.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Problem aktualisieren sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Issue ID

Erforderlich.

Die ID des zu aktualisierenden Problems.
Status

Erforderlich.

Der Status, der für das Problem festgelegt werden soll.

Folgende Werte sind möglich:

  • Select One
  • New
  • Triaged
  • In Progress
  • Resolved
  • Duplicate
  • Out Of Scope
  • Not A Security Issue (Benign)
  • Risk Accepted
  • False Positive
  • Unable To Reproduce
  • Tracked Externally
  • Mitigated

Der Standardwert ist Select One.

Aktionsausgaben

Die Aktion Update Issue (Problem aktualisieren) bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
Ausgabemeldungen

Die Aktion Update Issue kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung
Successfully updated issue with ID "ISSUE_ID" in Mandiant ASM. Die Aktion wurde ausgeführt.
Error executing action "Update Issue". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Problem aktualisieren aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Connectors

Eine ausführliche Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Mandiant ASM – Issues Connector

Mit dem Mandiant ASM – Issues Connector können Sie Informationen zu Problemen aus Mandiant Attack Surface Management abrufen.

Der dynamische Listenfilter funktioniert mit dem Parameter category.

Für den Mandiant ASM – Issues Connector sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Product Field Name

Erforderlich.

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Standardwert ist Product Name.

Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert Product Name in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallback-Wert aufgelöst.
Event Field Name

Erforderlich.

Der Name des Felds, in dem der Ereignisname gespeichert ist.

Der Standardwert ist entity_type.
Environment Field Name

Optional.

Der Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.

Environment Regex Pattern

Optional.

Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis "".
Script Timeout (Seconds)

Erforderlich.

Das Zeitlimit in Sekunden für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.

Der Standardwert ist 180.
API Root

Erforderlich.

Das API-Stammverzeichnis der Mandiant-Instanz.

Der Standardwert ist https://asm-api.advantage.mandiant.com.

Geben Sie zum Authentifizieren mit Google Threat Intelligence-Anmeldedaten den folgenden Wert ein: https://www.virustotal.com.
Access Key

Optional.

Der API-Zugriffsschlüssel des Mandiant Attack Surface Management-Kontos.

Um den Zugriffsschlüssel in Mandiant Attack Surface Management zu generieren, gehen Sie zu Kontoeinstellungen > API-Schlüssel > Neuen Schlüssel generieren.

Secret Key

Optional.

Der API-Secret-Schlüssel des Mandiant Attack Surface Management-Kontos.

Um den geheimen Schlüssel in Mandiant Attack Surface Management zu generieren, rufen Sie Kontoeinstellungen> API-Schlüssel> Neuen Schlüssel generieren auf.

Project Name

Optional.

Der Projektname, der in der Integration verwendet werden soll.

Erforderlich, wenn Sie die Parameter Access Key und Secret Key zur Authentifizierung verwenden.
GTI API Key

Optional.

Der API-Schlüssel von Google Threat Intelligence.

Wenn Sie sich mit Google Threat Intelligence authentifizieren möchten, legen Sie den Parameterwert API Root auf https://www.virustotal.com fest.

Die Authentifizierung mit dem Google Threat Intelligence API-Schlüssel hat Vorrang vor anderen Authentifizierungsmethoden.
Lowest Severity To Fetch

Optional.

Der niedrigste Schweregrad der abzurufenden Probleme.

Folgende Werte sind möglich:

  • Critical
  • High
  • Medium
  • Low
  • Informational

Wenn Sie keinen Wert festlegen, werden Probleme mit allen Schweregraden aufgenommen.
Max Hours Backwards

Optional.

Anzahl der Stunden vor der ersten Connector-Iteration, in denen Vorfälle abgerufen werden sollen. Dieser Parameter kann für die erste Connector-Iteration nach der erstmaligen Aktivierung des Connectors oder als Fallback-Wert für einen abgelaufenen Connector-Zeitstempel gelten.

Der Standardwert ist 1.
Max Issues To Fetch

Optional.

Die Anzahl der Probleme, die in einer einzelnen Connector-Iteration verarbeitet werden sollen.

Der Standardwert ist 10.
Use dynamic list as a blocklist

Erforderlich.

Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Blockierliste.

Diese Option ist standardmäßig nicht ausgewählt.
Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, wird überprüft, ob das SSL-Zertifikat für die Verbindung zum Mandiant-Server gültig ist.

Standardmäßig ausgewählt.
Proxy Server Address

Optional.

Die Adresse des zu verwendenden Proxyservers.
Proxy Username

Optional.

Der Proxy-Nutzername für die Authentifizierung.
Proxy Password

Optional.

Das Proxy-Passwort für die Authentifizierung.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten