Integrar o Gerenciamento da Superfície de Ataque da Mandiant ao Google SecOps

Este documento explica como integrar o Gerenciamento da Superfície de Ataque da Mandiant ao Google Security Operations (Google SecOps).

Na plataforma do Google SecOps, a integração para o Gerenciamento da Superfície de Ataque da Mandiant é chamada de Mandiant ASM.

Casos de uso

A integração do Mandiant ASM usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:

  • Descoberta de recursos: monitore e descubra recursos externos para identificar possíveis lacunas de segurança.

  • Problemas de ingestão: processe problemas do Gerenciamento da Superfície de Ataque da Mandiant como alertas no Google SecOps.

  • Enriquecer incidentes: enriqueça incidentes de segurança com informações detalhadas sobre entidades da superfície de ataque.

  • Priorizar a correção: priorize as estratégias de correção com base na vulnerabilidade do Gerenciamento da Superfície de Ataque da Mandiant e na gravidade do problema.

  • Atualizar status de problemas: atualize os status de problemas do Gerenciamento da Superfície de Ataque da Mandiant diretamente na plataforma do Google SecOps.

Antes de começar

Essa integração oferece recursos nativos da plataforma e não exige chaves de API ou credenciais de terceiros para autenticação. Antes de começar, verifique se a integração está instalada no Content Hub na instância do Google SecOps.

Parâmetros de integração

A integração do Gerenciamento da Superfície de Ataque da Mandiant requer os seguintes parâmetros:

Parâmetros Descrição
API Root

Obrigatório.

A raiz da API da instância da Mandiant.

O valor padrão é https://asm-api.advantage.mandiant.com.

Para autenticar com as credenciais do Google Threat Intelligence, insira o seguinte valor: https://www.virustotal.com.
Access Key

Opcional.

A chave de acesso da API da conta do Gerenciamento da Superfície de Ataque da Mandiant.

Para gerar a chave de acesso no Gerenciamento da Superfície de Ataque da Mandiant, acesse Configurações da conta > Chaves de API > Gerar nova chave.

Secret Key

Opcional.

A chave secreta da API da conta do Gerenciamento da Superfície de Ataque da Mandiant.

Para gerar a chave secreta no Gerenciamento da Superfície de Ataque da Mandiant, acesse Configurações da conta > Chaves de API > Gerar nova chave.

Project Name

Opcional.

O nome do projeto a ser usado na integração.

Se você usar os parâmetros Access Key e Secret Key para autenticação, esse parâmetro será necessário para executar as ações Pesquisar entidades do ASM e Pesquisar problemas.
GTI API Key

Opcional.

A chave de API do Google Threat Intelligence.

Para autenticar usando o Google Threat Intelligence, defina o valor do parâmetro API Root como https://www.virustotal.com.

Quando você faz a autenticação usando a chave de API do Google Threat Intelligence, ela tem prioridade sobre outros métodos de autenticação.
Verify SSL

Obrigatório.

Se selecionada, a integração verifica a validade do certificado SSL para a conexão com o servidor da Mandiant.

Essa configuração é selecionada por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Receber detalhes da entidade do ASM

Use a ação Get ASM Entity Details para retornar informações sobre uma entidade do Gerenciamento da Superfície de Ataque da Mandiant.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get ASM Entity Details requer os seguintes parâmetros:

Parâmetro Descrição
Entity ID

Obrigatório.

Uma lista separada por vírgulas de IDs de entidade para recuperar detalhes.

Saídas da ação

A ação Get ASM Entity Details fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get ASM Entity Details:

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "cpndemorange_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details": {
   "asn": null,
   "ssl": false,
   "uri": "http://192.0.2.73:80",
   "code": "404",
   "port": 80,
   "forms": false,
   "title": "404 Not Found",
   "verbs": null,
   "cookies": null,
   "headers": [
     "Date: Fri, 30 Sep 2022 06:51:11 GMT",
     "Content-Type: text/html",
     "Content-Length: 548",
     "Connection: keep-alive"
   ],
   "host_id": 8615,
   "net_geo": "US",
   "scripts": [],
   "service": "http",
   "auth.2fa": false,
   "auth.any": false,
   "dom_sha1": "540707399c1b58afd2463ec43da3b41444fbde32",
   "net_name": "",
   "protocol": "tcp",
   "alt_names": null,
   "auth.ntlm": false,
   "generator": null,
   "auth.basic": false,
   "auth.forms": false,
   "ip_address": "192.0.2.73",
   "favicon_md5": null,
   "fingerprint": [
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "example",
       "product": "example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "geolocation": {
     "asn": {
       "asn": 16509,
       "isp": "Example Inc.",
       "name": "example.com, Inc.",
       "organization": "Example Services",
       "connection_type": "Corporate"
     },
     "city": "Singapore",
     "country": "Singapore",
     "latitude": 1.35208,
     "continent": "Asia",
     "longitude": 103.82,
     "time_zone": "Asia/Singapore",
     "country_code": "SG",
     "continent_code": "AS"
   },
   "vuln_checks": [
     "log4shell_cve_2021_44228"
   ],
   "api_endpoint": false,
   "cloud_hosted": true,
   "favicon_sha1": null,
   "domain_cookies": null,
   "log4shell_uuid": "55be320622c4937c01738e092579edaa338fd90e2a",
   "redirect_chain": [],
   "redirect_count": 0,
   "cloud_providers": [
     "Cloud Provider Name"
   ],
   "hidden_original": "http://192.0.2.73:80",
   "net_country_code": null,
   "screenshot_exists": true,
   "cloud_fingerprints": [],
   "response_data_hash": "1GUXIXXTXUk/sWM+I3cAAivYSfoSMWR5CxaLgxissJA=",
   "extended_favicon_data": null,
   "extended_path_to_seed": [
     {
       "id": 8620,
       "_id": 8605,
       "name": "http://192.0.2.73:80",
       "seed": false,
       "type": "Intrigue::Entity::Uri",
       "_type": "Entity",
       "creates": [
         {
           "id": 6158,
           "_id": 6152,
           "name": "192.0.2.0/24",
           "seed": true,
           "type": "Intrigue::Entity::NetBlock",
           "_type": "Entity",
           "creates.verb": "queried",
           "creates.source_name": "search_shodan",
           "creates.source_type": "internet_scan_database"
         }
       ]
     }
   ],
   "extended_configuration": [
     {
       "hide": false,
       "name": "Example Page Content",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "hide": false,
       "name": "Example",
       "task": null,
       "type": "content",
       "issue": null,
       "result": 566218143
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
         }
       ]
     },
     {
       "cpe": "cpe:2.3:a:example:example::",
       "hide": false,
       "tags": [
         "Web Server"
       ],
       "type": "fingerprint",
       "tasks": null,
       "issues": null,
       "method": "ident",
       "update": null,
       "vendor": "Example",
       "product": "Example",
       "version": null,
       "inference": false,
       "description": "example (default page - could be redirect)",
       "match_logic": "all",
       "positive_matches": [
         {
           "match_type": "content_body",
           "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
         }
       ]
     }
   ],
   "extended_response_body": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
   "exfil_lookup_identifier": "55be320622c4937c01738e092579edaa",
   "extended_shodan_details": {
     "ip": 50387017,
     "os": null,
     "asn": "ASN",
     "isp": "Example.com, Inc.",
     "org": "Example Services",
     "data": "HTTP/1.1 404 Not Found\r\nDate: Fri, 30 Sep 2022 05:16:32 GMT\r\nContent-Type: text/html\r\nContent-Length: 548\r\nConnection: keep-alive\r\n\r\n",
     "hash": -744989972,
     "http": {
       "host": "192.0.2.73",
       "html": "<html>\r\n<head><title>404 Not Found</title></head>\r\n<body>\r\n<center><h1>404 Not Found</h1></center>\r\n<hr><center>example</center>\r\n</body>\r\n</html>\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n<!-- a padding to disable MSIE and Chrome friendly error page -->\r\n",
       "title": "404 Not Found",
       "robots": null,
       "server": null,
       "status": 404,
       "sitemap": null,
       "location": "/",
       "html_hash": -2090962452,
       "redirects": [],
       "components": {},
       "robots_hash": null,
       "securitytxt": null,
       "headers_hash": -873436690,
       "sitemap_hash": null,
       "securitytxt_hash": null
     },
     "tags": [
       "cloud"
     ],
     "cloud": {
       "region": "ap-southeast-1",
       "service": "Example",
       "provider": "Example"
     },
     "ip_str": "192.0.2.73",
     "_shodan": {
       "id": "ID",
       "ptr": true,
       "module": "http",
       "region": "eu",
       "crawler": "f4bb88763d8ed3a0f3f91439c2c62b77fb9e06f3",
       "options": {}
     },
     "domains": [
       "example.com"
     ],
     "location": {
       "city": "Singapore",
       "latitude": 1.28967,
       "area_code": null,
       "longitude": 103.85007,
       "region_code": "01",
       "country_code": "SG",
       "country_name": "Singapore"
     },
     "hostnames": [
       "ec2-192-0-2-73.ap-southeast-1.compute.example.com"
     ],
     "timestamp": "2022-09-30T05:16:33.068993"
   },
   "hidden_port_open_confirmed": true,
   "extended_screenshot_contents": "iVBORw0KGgoAAA"
 },
 "details_file": "data/v4/cpndemorange_oum28bu/2022_09_30/cpndemorange_oum28bu/entities/ID.json",
 "description": null,
 "first_seen": "2022-09-30T21:20:19.000Z",
 "hidden": false,
 "last_seen": "2022-09-30T21:20:19.000Z",
 "name": "http://192.0.2.73:80",
 "scoped": true,
 "scoped_reason": "entity_scoping_rules: fallback value",
 "seed": false,
 "source": null,
 "status": null,
 "task_results": [],
 "type": "Intrigue::Entity::Uri",
 "uid": "UID",
 "created_at": "2022-09-30T21:25:05.232Z",
 "updated_at": "2022-09-30T21:25:05.239Z",
 "collection_id": 117139,
 "elasticsearch_mappings_hash": null,
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "UUID",
 "organization_uuid": "UUID",
 "collection_type": "user_collection",
 "fingerprint": [
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?([\\d.]*)<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   },
   {
     "cpe": "cpe:2.3:a:example:example::",
     "hide": false,
     "tags": [
       "Web Server"
     ],
     "type": "fingerprint",
     "tasks": null,
     "issues": null,
     "method": "ident",
     "update": null,
     "vendor": "Example",
     "product": "Example",
     "version": null,
     "inference": false,
     "description": "example (default page - could be redirect)",
     "match_logic": "all",
     "positive_matches": [
       {
         "match_type": "content_body",
         "match_content": "(?i-mx:<hr><center>example\/?[\\d.]*<\/center>)"
       }
     ],
     "local_icon_path": "/assets/fingerprints/example.png"
   }
 ],
 "summary": {
   "scoped": true,
   "issues": {
     "current_with_cve": 0,
     "current_by_severity": {
       "1": 1
     },
     "all_time_by_severity": {
       "1": 1
     },
     "current_count": 1,
     "all_time_count": 1,
     "critical_or_high": true
   },
   "task_results": [
     "search_shodan",
     "port_scan",
     "port_scan_lambda",
     "search_shodan"
   ],
   "screenshot_exists": true,
   "geolocation": {
     "city": "Singapore",
     "country_code": "SG",
     "country_name": null,
     "latitude": 1.35208,
     "longitude": 103.82,
     "asn": null
   },
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "example.com, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Cloud Provider Name"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 "tags": [],
 "id": "ID",
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Example |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}
Mensagens de saída

A ação Get ASM Entity Details pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully return details for the following entities using information from Mandiant ASM: ENTITY_ID

Action wasn't able to return details for the following entities using information from Mandiant ASM: ENTITY_ID

 A ação foi concluída.
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get ASM Entity Details:

Nome do resultado do script Valor
is_success True ou False

Pesquisar entidades do ASM

Use a ação Pesquisar entidades do ASM para pesquisar entidades no Gerenciamento da Superfície de Ataque da Mandiant.

Se você usar os parâmetros Access Key e Secret Key para autenticação, configure também o parâmetro Project Name nos parâmetros de integração.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pesquisar entidades do ASM requer os seguintes parâmetros:

Parâmetro Descrição
Entity Name

Opcional.

Uma lista separada por vírgulas de nomes de entidades para encontrar entidades.

Para evitar falhas na ação, não use o caractere de barra / ao configurar valores para esse parâmetro.
Minimum Vulnerabilities Count

Opcional.

O número de vulnerabilidades relacionadas à entidade retornada.
Minimum Issues Count

Opcional.

O número de problemas relacionados à entidade retornada.
Tags

Opcional.

Uma lista separada por vírgulas de nomes de tags para usar ao pesquisar entidades.
Max Entities To Return

Opcional.

O número de entidades que serão retornadas.

O valor padrão é 50. O valor máximo é 200.
Critical or High Issue

Opcional.

Se selecionada, a ação retorna apenas entidades com problemas de High ou Critical.

Não selecionado por padrão.

Saídas da ação

A ação Pesquisar entidades do ASM fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Pesquisar entidades do ASM:

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}
Mensagens de saída

A ação Pesquisar entidades do ASM pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully returned entities based on the provided criteria in Mandiant ASM.

No entities were found based on the provided criteria in Mandiant ASM.

 A ação foi concluída.
Error executing action "Search ASM Entities". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pesquisar entidades do ASM:

Nome do resultado do script Valor
is_success True ou False

Problemas de pesquisa

Use a ação Pesquisar problemas para pesquisar problemas no Gerenciamento da Superfície de Ataque da Mandiant.

Se você usar os parâmetros Access Key e Secret Key para autenticação, configure também o parâmetro Project Name nos parâmetros de integração.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pesquisar problemas requer os seguintes parâmetros:

Parâmetro Descrição
Issue ID

Opcional.

Uma lista separada por vírgulas de IDs de problemas para retornar os detalhes.
Entity ID

Opcional.

Uma lista separada por vírgulas de IDs de entidade para encontrar problemas relacionados.
Entity Name

Opcional.

Uma lista separada por vírgulas de nomes de entidades para encontrar problemas relacionados.

Para evitar falhas na ação, não use o caractere de barra / ao configurar valores para esse parâmetro.
Time Parameter

Opcional.

Uma opção de filtro para definir o horário do problema.

Os valores possíveis são First Seen e Last Seen.

O valor padrão é First Seen.
Time Frame

Opcional.

Um período para filtrar problemas. Se você selecionar Custom, configure o parâmetro Start Time.

Os valores possíveis são os seguintes:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

O valor padrão é Last Hour.
Start Time

Opcional.

O horário de início dos resultados.

Se você selecionou Custom para o parâmetro Time Frame, esse parâmetro é obrigatório. Configure o valor no formato ISO 8601.
End Time

Opcional.

O horário de término dos resultados.

Se você selecionou Custom para o parâmetro Time Frame e não definiu o horário de término, esse parâmetro usa o horário atual como horário de término. Configure o valor no formato ISO 8601.
Lowest Severity To Return

Opcional.

A menor gravidade dos problemas a serem retornados.

Os valores possíveis são os seguintes:

  • Select One
  • Critical
  • High
  • Medium
  • Low
  • Informational

O valor padrão é Select One.

Se você selecionar Select One, esse filtro não será aplicado à pesquisa.
Status

Opcional.

O filtro de status da pesquisa.

Os valores possíveis são Open, Closed e Select One.

O valor padrão é Select One.

Se você selecionar Select One, esse filtro não será aplicado à pesquisa.
Tags

Opcional.

Uma lista separada por vírgulas de nomes de tags para usar ao pesquisar problemas.
Max Issues To Return

Opcional.

O número de problemas que serão retornados.

O valor padrão é 50. O valor máximo é 200.

Saídas da ação

A ação Pesquisar problemas fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Pesquisar problemas:

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "cpndemorange_oum28bu",
 "collection_uuid": "COLLECTION_UUID",
 "collection_type": "user_collection",
 "organization_uuid": "ORGANIZATION_UUID",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}
Mensagens de saída

A ação Pesquisar problemas pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully returned issues based on the provided criteria in Mandiant ASM.

No issues were found based on the provided criteria in Mandiant ASM.

 A ação foi concluída.
Error executing action "Search Issues". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pesquisar problemas:

Nome do resultado do script Valor
is_success True ou False

Atualizar problema

Use a ação Atualizar problema para atualizar um problema no Gerenciamento da Superfície de Ataque da Mandiant.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atualizar problema requer os seguintes parâmetros:

Parâmetro Descrição
Issue ID

Obrigatório.

O ID do problema a ser atualizado.
Status

Obrigatório.

O status a ser definido para o problema.

Os valores possíveis são os seguintes:

  • Select One
  • New
  • Triaged
  • In Progress
  • Resolved
  • Duplicate
  • Out Of Scope
  • Not A Security Issue (Benign)
  • Risk Accepted
  • False Positive
  • Unable To Reproduce
  • Tracked Externally
  • Mitigated

O valor padrão é Select One.

Saídas da ação

A ação Atualizar problema fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Atualizar problema pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem
Successfully updated issue with ID "ISSUE_ID" in Mandiant ASM. A ação foi concluída.
Error executing action "Update Issue". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Atualizar problema:

Nome do resultado do script Valor
is_success True ou False

Conectores

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Ingerir seus dados (conectores).

Mandiant ASM: conector de problemas

Use o Mandiant ASM – Issues Connector para extrair informações sobre problemas do Gerenciamento da Superfície de Ataque da Mandiant.

O filtro de lista dinâmica funciona com o parâmetro category.

O Mandiant ASM – Issues Connector requer os seguintes parâmetros:

Parâmetro Descrição
Product Field Name

Obrigatório.

O nome do campo em que o nome do produto é armazenado.

O valor padrão é Product Name.

O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão Product Name é resolvido como um valor substituto referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão.
Event Field Name

Obrigatório.

O nome do campo em que o nome do evento é armazenado.

O valor padrão é entity_type.
Environment Field Name

Opcional.

O nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.

Environment Regex Pattern

Opcional.

Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular.

Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário.

Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final do ambiente será "".
Script Timeout (Seconds)

Obrigatório.

O limite de tempo limite, em segundos, para o processo do Python que executa o script atual.

O valor padrão é 180.
API Root

Obrigatório.

A raiz da API da instância da Mandiant.

O valor padrão é https://asm-api.advantage.mandiant.com.

Para autenticar com as credenciais do Google Threat Intelligence, insira o seguinte valor: https://www.virustotal.com.
Access Key

Opcional.

A chave de acesso da API da conta do Gerenciamento da Superfície de Ataque da Mandiant.

Para gerar a chave de acesso no Gerenciamento da Superfície de Ataque da Mandiant, acesse Configurações da conta > Chaves de API > Gerar nova chave.

Secret Key

Opcional.

A chave secreta da API da conta do Gerenciamento da Superfície de Ataque da Mandiant.

Para gerar a chave secreta no Gerenciamento da Superfície de Ataque da Mandiant, acesse Configurações da conta > Chaves de API > Gerar nova chave.

Project Name

Opcional.

O nome do projeto a ser usado na integração.

Obrigatório se você usar os parâmetros Access Key e Secret Key para autenticação.
GTI API Key

Opcional.

A chave de API do Google Threat Intelligence.

Para autenticar usando o Google Threat Intelligence, defina o valor do parâmetro API Root como https://www.virustotal.com.

A autenticação usando a chave de API do Google Threat Intelligence tem prioridade sobre outros métodos de autenticação.
Lowest Severity To Fetch

Opcional.

A menor gravidade dos problemas a serem recuperados.

Os valores possíveis são os seguintes:

  • Critical
  • High
  • Medium
  • Low
  • Informational

Se você não definir um valor, o conector vai ingerir problemas com todos os tipos de gravidade.
Max Hours Backwards

Opcional.

Um número de horas antes da primeira iteração do conector para recuperar incidentes. Esse parâmetro pode ser aplicado à iteração inicial do conector depois que você o ativa pela primeira vez ou ao valor substituto de um carimbo de data/hora expirado do conector.

O valor padrão é 1.
Max Issues To Fetch

Opcional.

O número de problemas a serem processados em uma única iteração do conector.

O valor padrão é 10.
Use dynamic list as a blocklist

Obrigatório.

Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio.

Não selecionada por padrão.
Verify SSL

Obrigatório.

Se selecionado, verifica se o certificado SSL da conexão com o servidor da Mandiant é válido.

Essa configuração é selecionada por padrão.
Proxy Server Address

Opcional.

O endereço do servidor proxy a ser usado.
Proxy Username

Opcional.

O nome de usuário do proxy para autenticação.
Proxy Password

Opcional.

A senha do proxy para autenticação.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.