Integre o Mandiant Attack Surface Management com o Google SecOps

Este documento explica como integrar o Mandiant Attack Surface Management com o Google Security Operations (Google SecOps).

Versão da integração: 9.0

Na plataforma Google SecOps, a integração do Mandiant Attack Surface Management chama-se Mandiant ASM.

Parâmetros de integração

A integração do Mandiant Attack Surface Management requer os seguintes parâmetros:

Parâmetros Descrição
API Root

Obrigatório.

A raiz da API da instância do Mandiant.

O valor predefinido é https://asm-api.advantage.mandiant.com.

Para autenticar com credenciais do Google Threat Intelligence, introduza o seguinte valor: https://www.virustotal.com.
Access Key

Opcional.

A chave de acesso à API da conta do Mandiant Attack Surface Management.

Para gerar a chave de acesso no Mandiant Attack Surface Management, aceda a Definições da conta > Chaves de API > Gerar nova chave.

Secret Key

Opcional.

A chave secreta da API da conta do Mandiant Attack Surface Management.

Para gerar a chave secreta no Mandiant Attack Surface Management, aceda a: Definições da conta > Chaves de API > Gerar nova chave.

Project Name

Opcional.

O nome do projeto a usar na integração.

Se usar os parâmetros Access Key e Secret Key para autenticar, este parâmetro é necessário para executar as ações Search ASM Entities e Search Issues.
GTI API Key

Opcional.

A chave da API do Google Threat Intelligence.

Para fazer a autenticação com a Google Threat Intelligence, defina o valor do parâmetro API Root como https://www.virustotal.com.

Quando faz a autenticação através da chave da Google Threat Intelligence API, esta tem prioridade sobre outros métodos de autenticação.
Verify SSL

Obrigatório.

Se selecionada, a integração valida a validade do certificado SSL para a ligação ao servidor Mandiant.

Selecionado por predefinição.

Para obter instruções sobre como configurar uma integração no Google SecOps, consulte o artigo Configurar integrações.

Se necessário, pode fazer alterações numa fase posterior. Depois de configurar uma instância de integração, pode usá-la em manuais de soluções. Para mais informações sobre como configurar e suportar várias instâncias, consulte o artigo Suporte de várias instâncias.

Ações

Para mais informações sobre ações, consulte os artigos Responda a ações pendentes a partir de O seu espaço de trabalho e Realize uma ação manual.

Get ASM Entity Details

Use a ação Get ASM Entity Details para devolver informações sobre uma entidade do Mandiant Attack Surface Management.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Get ASM Entity Details requer os seguintes parâmetros:

Parâmetro Descrição
Entity ID

Obrigatório.

Uma lista de IDs de entidades separados por vírgulas para obter detalhes.

Resultados da ação

A ação Get ASM Entity Details fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Get ASM Entity Details:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "cpndemorange_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details": {
   "asn": null,
   "ssl": false,
   "uri": "http://192.0.2.73:80",
   "code": "404",
   "port": 80,
   "forms": false,
   "title": "404 Not Found",
   "verbs": null,
   "cookies": null,
   "headers": [
     "Date: Fri, 30 Sep 2022 06:51:11 GMT",
     "Content-Type: text/html",
     "Content-Length: 548",
     "Connection: keep-alive"
   ],
   "host_id": 8615,
   "net_geo": "US",
   "scripts": [],
   "service": "http",
   "auth.2fa": false,
   "auth.any": false,
   "dom_sha1": "540707399c1b58afd2463ec43da3b41444fbde32",
   "net_name": "",
   "protocol": "tcp",
   "alt_names": null,
   "auth.ntlm": false,
   "generator": null,
   "auth.basic": false,
   "auth.forms": false,
   "ip_address": "192.0.2.73",
   "favicon_md5": null,
   "fingerprint": [
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "example",
       "product": "example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "geolocation": {
     "asn": {
       "asn": 16509,
       "isp": "Example Inc.",
       "name": "example.com, Inc.",
       "organization": "Example Services",
       "connection_type": "Corporate"
     },
     "city": "Singapore",
     "country": "Singapore",
     "latitude": 1.35208,
     "continent": "Asia",
     "longitude": 103.82,
     "time_zone": "Asia/Singapore",
     "country_code": "SG",
     "continent_code": "AS"
   },
   "vuln_checks": [
     "log4shell_cve_2021_44228"
   ],
   "api_endpoint": false,
   "cloud_hosted": true,
   "favicon_sha1": null,
   "domain_cookies": null,
   "log4shell_uuid": "55be320622c4937c01738e092579edaa338fd90e2a",
   "redirect_chain": [],
   "redirect_count": 0,
   "cloud_providers": [
     "Cloud Provider Name"
   ],
   "hidden_original": "http://192.0.2.73:80",
   "net_country_code": null,
   "screenshot_exists": true,
   "cloud_fingerprints": [],
   "response_data_hash": "1GUXIXXTXUk/sWM+I3cAAivYSfoSMWR5CxaLgxissJA=",
   "extended_favicon_data": null,
   "extended_path_to_seed": [
     {
       "id": 8620,
       "_id": 8605,
       "name": "http://192.0.2.73:80",
       "seed": false,
       "type": "Intrigue::Entity::Uri",
       "_type": "Entity",
       "creates": [
         {
           "id": 6158,
           "_id": 6152,
           "name": "192.0.2.0/24",
           "seed": true,
           "type": "Intrigue::Entity::NetBlock",
           "_type": "Entity",
           "creates.verb": "queried",
           "creates.source_name": "search_shodan",
           "creates.source_type": "internet_scan_database"
         }
       ]
     }
   ],
   "extended_configuration": [
     {
       "hide": false,
       "name": "Example Page Content",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "hide": false,
       "name": "Example",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "extended_response_body": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
   "exfil_lookup_identifier": "55be320622c4937c01738e092579edaa",
   "extended_shodan_details": {
     "ip": 50387017,
     "os": null,
     "asn": "ASN",
     "isp": "Example.com, Inc.",
     "org": "Example Services",
     "data": "HTTP/1.1 404 Not Found\r\nDate: Fri, 30 Sep 2022 05:16:32 GMT\r\nContent-Type: text/html\r\nContent-Length: 548\r\nConnection: keep-alive\r\n\r\n",
     "hash": -744989972,
     "http": {
       "host": "192.0.2.73",
       "html": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
       "title": "404 Not Found",
       "robots": null,
       "server": null,
       "status": 404,
       "sitemap": null,
       "location": "/",
       "html_hash": -2090962452,
       "redirects": [],
       "components": {},
       "robots_hash": null,
       "securitytxt": null,
       "headers_hash": -873436690,
       "sitemap_hash": null,
       "securitytxt_hash": null
     },
     "tags": [
       "cloud"
     ],
     "cloud": {
       "region": "ap-southeast-1",
       "service": "Example",
       "provider": "Example"
     },
     "ip_str": "192.0.2.73",
     "_shodan": {
       "id": "ID",
       "ptr": true,
       "module": "http",
       "region": "eu",
       "crawler": "f4bb88763d8ed3a0f3f91439c2c62b77fb9e06f3",
       "options": {}
     },
     "domains": [
       "example.com"
     ],
     "location": {
       "city": "Singapore",
       "latitude": 1.28967,
       "area_code": null,
       "longitude": 103.85007,
       "region_code": "01",
       "country_code": "SG",
       "country_name": "Singapore"
     },
     "hostnames": [
       "ec2-192-0-2-73.ap-southeast-1.compute.example.com"
     ],
     "timestamp": "2022-09-30T05:16:33.068993"
   },
   "hidden_port_open_confirmed": true,
   "extended_screenshot_contents": "iVBORw0KGgoAAA"
 },
 "details_file": "data/v4/cpndemorange_oum28bu/2022_09_30/cpndemorange_oum28bu/entities/ID.json",
 "description": null,
 "first_seen": "2022-09-30T21:20:19.000Z",
 "hidden": false,
 "last_seen": "2022-09-30T21:20:19.000Z",
 "name": "http://192.0.2.73:80",
 "scoped": true,
 "scoped_reason": "entity_scoping_rules: fallback value",
 "seed": false,
 "source": null,
 "status": null,
 "task_results": [],
 "type": "Intrigue::Entity::Uri",
 "uid": "UID",
 "created_at": "2022-09-30T21:25:05.232Z",
 "updated_at": "2022-09-30T21:25:05.239Z",
 "collection_id": 117139,
 "elasticsearch_mappings_hash": null,
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "UUID",
 "organization_uuid": "UUID",
 "collection_type": "user_collection",
 "fingerprint": [
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   },
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page - could be redirect)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   }
 ],
 "summary": {
   "scoped": true,
   "issues": {
     "current_with_cve": 0,
     "current_by_severity": {
       "1": 1
     },
     "all_time_by_severity": {
       "1": 1
     },
     "current_count": 1,
     "all_time_count": 1,
     "critical_or_high": true
   },
   "task_results": [
     "search_shodan",
     "port_scan",
     "port_scan_lambda",
     "search_shodan"
   ],
   "screenshot_exists": true,
   "geolocation": {
     "city": "Singapore",
     "country_code": "SG",
     "country_name": null,
     "latitude": 1.35208,
     "longitude": 103.82,
     "asn": null
   },
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "example.com, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Cloud Provider Name"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 "tags": [],
 "id": "ID",
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Example |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}
Mensagens de saída

A ação Get ASM Entity Details pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully return details for the following entities using information from Mandiant ASM: ENTITY_ID

Action wasn't able to return details for the following entities using information from Mandiant ASM: ENTITY_ID

 A ação foi bem-sucedida.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte indica o valor do resultado do script quando usa a ação Get ASM Entity Details:

Nome do resultado do script Valor
is_success True ou False

Pesquisar entidades ASM

Use a ação Pesquisar entidades de ASM para pesquisar entidades na gestão da superfície de ataque da Mandiant.

Se usar os parâmetros Access Key e Secret Key para autenticar, também configure o parâmetro Project Name nos parâmetros de integração.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Search ASM Entities requer os seguintes parâmetros:

Parâmetro Descrição
Entity Name

Opcional.

Uma lista de nomes de entidades separados por vírgulas para encontrar entidades.

Para evitar a falha da ação, evite usar o caráter de barra invertida / quando configurar valores para este parâmetro.
Minimum Vulnerabilities Count

Opcional.

O número de vulnerabilidades relacionadas com a entidade devolvida.
Minimum Issues Count

Opcional.

O número de problemas relacionados com a entidade devolvida.
Tags

Opcional.

Uma lista de nomes de etiquetas separados por vírgulas a usar quando pesquisar entidades.
Max Entities To Return

Opcional.

O número de entidades a devolver.

O valor predefinido é 50. O valor máximo é 200.
Critical or High Issue

Opcional.

Se selecionada, a ação devolve apenas entidades com problemas de High ou Critical.

Não selecionado por predefinição.

Resultados da ação

A ação Search ASM Entities fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Search ASM Entities:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}
Mensagens de saída

A ação Search ASM Entities pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully returned entities based on the provided criteria in Mandiant ASM.

No entities were found based on the provided criteria in Mandiant ASM.

 A ação foi bem-sucedida.
Error executing action "Search ASM Entities". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Search ASM Entities:

Nome do resultado do script Valor
is_success True ou False

Problemas de pesquisa

Use a ação Pesquisar problemas para pesquisar problemas no Mandiant Attack Surface Management.

Se usar os parâmetros Access Key e Secret Key para autenticar, também configure o parâmetro Project Name nos parâmetros de integração.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Search Issues requer os seguintes parâmetros:

Parâmetro Descrição
Issue ID

Opcional.

Uma lista de IDs de problemas separados por vírgulas para devolver os detalhes.
Entity ID

Opcional.

Uma lista de IDs de entidades separados por vírgulas para encontrar problemas relacionados.
Entity Name

Opcional.

Uma lista de nomes de entidades separados por vírgulas para encontrar problemas relacionados.

Para evitar a falha da ação, evite usar o caráter de barra / quando configurar valores para este parâmetro.
Time Parameter

Opcional.

Uma opção de filtro para definir a hora do problema.

Os valores possíveis são First Seen e Last Seen.

O valor predefinido é First Seen.
Time Frame

Opcional.

Um período para filtrar problemas. Se selecionar Custom, configure o parâmetro Start Time.

Os valores possíveis são os seguintes:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

O valor predefinido é Last Hour.
Start Time

Opcional.

A hora de início dos resultados.

Se selecionou Custom para o parâmetro Time Frame, este parâmetro é obrigatório. Configure o valor no formato ISO 8601.
End Time

Opcional.

A hora de fim dos resultados.

Se selecionou Custom para o parâmetro Time Frame e não definiu a hora de fim, este parâmetro usa a hora atual como hora de fim. Configure o valor no formato ISO 8601.
Lowest Severity To Return

Opcional.

A gravidade mais baixa dos problemas a devolver.

Os valores possíveis são os seguintes:

  • Select One
  • Critical
  • High
  • Medium
  • Low
  • Informational

O valor predefinido é Select One.

Se selecionar Select One, este filtro não se aplica à pesquisa.
Status

Opcional.

O filtro de estado da pesquisa.

Os valores possíveis são Open, Closed e Select One.

O valor predefinido é Select One.

Se selecionar Select One, este filtro não se aplica à pesquisa.
Tags

Opcional.

Uma lista de nomes de etiquetas separados por vírgulas a usar quando pesquisa problemas.
Max Issues To Return

Opcional.

O número de problemas a devolver.

O valor predefinido é 50. O valor máximo é 200.

Resultados da ação

A ação Pesquisar problemas fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Search Issues:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "COLLECTION_UUID",
 "collection_type": "user_collection",
 "organization_uuid": "ORGANIZATION_UUID",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}
Mensagens de saída

A ação Search Issues pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully returned issues based on the provided criteria in Mandiant ASM.

No issues were found based on the provided criteria in Mandiant ASM.

 A ação foi bem-sucedida.
Error executing action "Search Issues". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor da saída do resultado do script quando usa a ação Search Issues:

Nome do resultado do script Valor
is_success True ou False

Problema com a atualização

Use a ação Atualizar problema para atualizar um problema no Mandiant Attack Surface Management.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Update Issue requer os seguintes parâmetros:

Parâmetro Descrição
Issue ID

Obrigatório.

O ID do problema a atualizar.
Status

Obrigatório.

O estado a definir para o problema.

Os valores possíveis são os seguintes:

  • Select One
  • New
  • Triaged
  • In Progress
  • Resolved
  • Duplicate
  • Out Of Scope
  • Not A Security Issue (Benign)
  • Risk Accepted
  • False Positive
  • Unable To Reproduce
  • Tracked Externally
  • Mitigated

O valor predefinido é Select One.

Resultados da ação

A ação Atualizar problema apresenta os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Update Issue pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully updated issue with ID "ISSUE_ID" in Mandiant ASM. A ação foi bem-sucedida.
Error executing action "Update Issue". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Atualizar problema:

Nome do resultado do script Valor
is_success True ou False

Conetores

Para ver instruções detalhadas sobre como configurar um conector no Google SecOps, consulte o artigo Carregue os seus dados (conectores).

Mandiant ASM – Issues Connector

Use o conetor de problemas do Mandiant ASM para extrair informações sobre problemas do Mandiant Attack Surface Management.

O filtro de listas dinâmicas funciona com o parâmetro category.

O Mandiant ASM – Issues Connector requer os seguintes parâmetros:

Parâmetro Descrição
Product Field Name

Obrigatório.

O nome do campo onde o nome do produto está armazenado.

O valor predefinido é Product Name.

O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor predefinido Product Name é resolvido para um valor alternativo referenciado a partir do código. Qualquer entrada inválida para este parâmetro é resolvida para um valor alternativo por predefinição.
Event Field Name

Obrigatório.

O nome do campo onde o nome do evento está armazenado.

O valor predefinido é entity_type.
Environment Field Name

Opcional.

O nome do campo onde o nome do ambiente está armazenado.

Se o campo de ambiente não for encontrado, o ambiente é o ambiente predefinido.

Environment Regex Pattern

Opcional.

Um padrão de expressão regular a executar no valor encontrado no campo Environment Field Name. Este parâmetro permite-lhe manipular o campo de ambiente através da lógica de expressão regular.

Use o valor predefinido .* para obter o valor bruto Environment Field Name necessário.

Se o padrão de expressão regular for nulo ou estiver vazio, ou o valor do ambiente for nulo, o resultado final do ambiente é "".
Script Timeout (Seconds)

Obrigatório.

O limite de tempo, em segundos, para o processo do Python que executa o script atual.

O valor predefinido é 180.
API Root

Obrigatório.

A raiz da API da instância do Mandiant.

O valor predefinido é https://asm-api.advantage.mandiant.com.

Para autenticar com credenciais do Google Threat Intelligence, introduza o seguinte valor: https://www.virustotal.com.
Access Key

Opcional.

A chave de acesso à API da conta do Mandiant Attack Surface Management.

Para gerar a chave de acesso no Mandiant Attack Surface Management, aceda a Definições da conta > Chaves de API > Gerar nova chave.

Secret Key

Opcional.

A chave secreta da API da conta do Mandiant Attack Surface Management.

Para gerar a chave secreta no Mandiant Attack Surface Management, aceda a: Definições da conta > Chaves de API > Gerar nova chave.

Project Name

Opcional.

O nome do projeto a usar na integração.

Obrigatório se usar os parâmetros Access Key e Secret Key para autenticar.
GTI API Key

Opcional.

A chave da API do Google Threat Intelligence.

Para fazer a autenticação com a Google Threat Intelligence, defina o valor do parâmetro API Root como https://www.virustotal.com.

A autenticação através da chave da API Google Threat Intelligence tem uma prioridade superior a outros métodos de autenticação.
Lowest Severity To Fetch

Opcional.

A gravidade mais baixa dos problemas a obter.

Os valores possíveis são os seguintes:

  • Critical
  • High
  • Medium
  • Low
  • Informational

Se não definir um valor, o conetor carrega problemas com todos os tipos de gravidade.
Max Hours Backwards

Opcional.

Um número de horas antes da primeira iteração do conector para obter incidentes. Este parâmetro pode aplicar-se à iteração inicial do conector depois de o ativar pela primeira vez ou ao valor alternativo para uma data/hora do conector expirada.

O valor predefinido é 1.
Max Issues To Fetch

Opcional.

O número de problemas a processar numa única iteração do conetor.

O valor predefinido é 10.
Use dynamic list as a blocklist

Obrigatório.

Se estiver selecionada, o conetor usa a lista dinâmica como uma lista de bloqueios.

Não selecionado por predefinição.
Verify SSL

Obrigatório.

Se selecionada, verifica se o certificado SSL para a ligação ao servidor Mandiant é válido.

Selecionado por predefinição.
Proxy Server Address

Opcional.

O endereço do servidor proxy a usar.
Proxy Username

Opcional.

O nome de utilizador do proxy para autenticação.
Proxy Password

Opcional.

A palavra-passe do proxy para autenticação.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.