Integre o Mandiant Threat Intelligence com o Google SecOps

Versão da integração: 14.0

Este documento explica como integrar a Mandiant Threat Intelligence com o Google Security Operations (Google SecOps).

Exemplos de utilização

A integração do Mandiant Threat Intelligence usa as capacidades do Google SecOps para suportar os seguintes exemplos de utilização:

  • Triagem e classificação automáticas: enriqueça as entidades (IPs, hashes, nomes de anfitriões, URLs) num registo ativo com a pontuação de gravidade da Mandiant (M-Score) para determinar automaticamente o estado de suspeita e dar prioridade aos indicadores de alto risco com base no limite configurado.

  • Correlação e investigação de ameaças: alterne a partir de um indicador (IP, hash ou URL) para obter e correlacionar objetos Mandiant associados, incluindo autores de ameaças, famílias de software malicioso e vulnerabilidades (CVEs) associadas à atividade observada.

  • Procura e remediação proativas: use nomes de software malicioso ou de autores de ameaças conhecidos (de relatórios externos) para obter todos os indicadores de comprometimento (IOCs) relacionados, como hashes de ficheiros ou IPs recém-identificados para bloqueio defensivo ou procura proativa no ambiente.

Parâmetros de integração

A integração do Mandiant Threat Intelligence requer os seguintes parâmetros:

Parâmetro Descrição
UI Root

Obrigatório.

A raiz da IU da instância do Mandiant.
API Root

Obrigatório.

A raiz da API da instância do Mandiant.

Para fazer a autenticação com as credenciais do Google Threat Intelligence, introduza o seguinte valor: https://www.virustotal.com.
Client ID

Opcional.

O ID de cliente da conta do Mandiant Threat Intelligence.

Para gerar o ID do cliente no Mandiant Threat Intelligence, aceda a Definições da conta > Acesso e chaves da API > Obter ID da chave e segredo.
Client Secret

Opcional.

O segredo do cliente da conta do Mandiant Threat Intelligence.

Para gerar o segredo do cliente no Mandiant Threat Intelligence, aceda a Definições da conta > Acesso e chaves da API > Obtenha o ID da chave e o segredo.
GTI API Key

Opcional.

A chave da API do Google Threat Intelligence.

Para autenticar através da Google Threat Intelligence, defina o valor de API Root como https://www.virustotal.com.

Quando faz a autenticação através da chave da Google Threat Intelligence API, esta tem prioridade sobre outros métodos de autenticação.
Verify SSL

Obrigatório.

Se estiver selecionada, a integração valida o certificado SSL quando se liga ao servidor do Mandiant Threat Intelligence.

Ativada por predefinição.

Para ver instruções sobre como configurar uma integração no Google SecOps, consulte o artigo Configurar integrações.

Se necessário, pode fazer alterações numa fase posterior. Depois de configurar uma instância de integração, pode usá-la em manuais de procedimentos. Para mais informações sobre como configurar e suportar várias instâncias, consulte o artigo Suporte de várias instâncias.

Ações

Para mais informações sobre ações, consulte os artigos Responda a ações pendentes da sua mesa de trabalho e Realize uma ação manual.

Enriqueça entidades

Use a ação Enrich Entities para enriquecer entidades com as informações da Mandiant Threat Intelligence.

Esta ação é executada nas seguintes entidades do Google SecOps:

  • CVE
  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Dados de ações

A ação Enrich Entities requer os seguintes parâmetros:

Parâmetro Descrição
Severity Score Threshold

Obrigatório.

A gravidade mínima que uma entidade tem de atingir ou exceder para ser marcada como suspeita.

A ação só pode marcar os seguintes indicadores como suspeitos:

  • Hostname
  • IP Address
  • File Hash
  • URL

O valor máximo é 100.

O valor predefinido é 50.
Create Insight

Opcional.

Se esta opção for selecionada, a ação cria uma estatística com todas as informações acerca da entidade.

Ativada por predefinição.
Only Suspicious Entity Insight

Opcional.

Se selecionada, a ação gera estatísticas apenas para entidades consideradas suspeitas com base no limite de gravidade configurado.

As estatísticas são sempre criadas para entidades Threat Actor e Vulnerability, independentemente do respetivo estado suspeito.

Resultados da ação

A ação Enrich Entities fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para capas Não disponível
Tabela de enriquecimento de entidades Disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Tabela de enriquecimento de entidades

A tabela seguinte lista os valores para o enriquecimento de indicadores quando usa a ação Enrich Entities:

Campo de enriquecimento Origem (chave JSON) Aplicabilidade
first_seen first_seen Quando estiver disponível no resultado JSON.
last_seen last_seen Quando estiver disponível no resultado JSON.
sources Um ficheiro CSV de valores sources/source_name únicos. Quando estiver disponível no resultado JSON.
mscore mscore Quando estiver disponível no resultado JSON.
attributed_associations_{associated_associations/type} Um ficheiro CSV de chaves attributed_associations/name para cada tipo de attributed_associations/type (uma chave para cada tipo). Quando estiver disponível no resultado JSON.
report_link Criado. Quando estiver disponível no resultado JSON.

A tabela seguinte lista os valores para o enriquecimento da entidade Threat Actors quando usa a ação Enrich Entities:

Campo de enriquecimento Origem (chave JSON) Aplicabilidade
motivations Um CSV de valores motivations/name. Quando estiver disponível no resultado JSON.
aliases Um CSV de valores aliases/name. Quando estiver disponível no resultado JSON.
industries Um CSV de valores industries/name. Quando estiver disponível no resultado JSON.
malware Um CSV de valores malware/name. Quando estiver disponível no resultado JSON.
locations\_source Um CSV de valores locations/source/country/name. Quando estiver disponível no resultado JSON.
locations\_target Um CSV de valores locations/target/name. Quando estiver disponível no resultado JSON.
cve Um CSV de valores cve/cve\_id. Quando estiver disponível no resultado JSON.
description description Quando estiver disponível no resultado JSON.
last\_activity\_time last\_activity\_time Quando estiver disponível no resultado JSON.
report\_link Criado. Quando estiver disponível no resultado JSON.

A tabela seguinte lista os valores para o enriquecimento da entidade Vulnerability quando usa a ação Enrich Entities:

Campo de enriquecimento Origem (chave JSON) Aplicabilidade
sources Um CSV de valores source_name. Quando estiver disponível no resultado JSON.
exploitation_state exploitation_state Quando estiver disponível no resultado JSON.
date_of_disclosure date_of_disclosure Quando estiver disponível no resultado JSON.
vendor_fix_references vendor_fix_references/url Quando estiver disponível no resultado JSON.
title title Quando estiver disponível no resultado JSON.
exploitation_vectors Um CSV de valores exploitation_vectors. Quando estiver disponível no resultado JSON.
description description Quando estiver disponível no resultado JSON.
risk_rating risk_rating Quando estiver disponível no resultado JSON.
available_mitigation Um CSV de valores available_mitigation. Quando estiver disponível no resultado JSON.
exploitation_consequence exploitation_consequence Quando estiver disponível no resultado JSON.
report_link Criado Quando estiver disponível no resultado JSON.
Resultado JSON

O exemplo seguinte mostra o resultado JSON para os indicadores recebidos quando usa a ação Enrich Entities:

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

O exemplo seguinte mostra o resultado JSON da entidade Threat Actor recebida quando usa a ação Enrich Entities:

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

O exemplo seguinte mostra o resultado JSON da saída da entidade recebida quando usa a ação Enrich Entities:Vulnerability

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
Mensagens de saída

A ação Enrich Entities pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 A ação foi bem-sucedida.
Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Enrich Entities:

Nome do resultado do script Valor
is_success true ou false

Enriqueça IOCs

Use a ação Enrich IOCs para obter dados de informações sobre ameaças acerca de IOCs específicos da Mandiant.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Enrich IOCs requer os seguintes parâmetros:

Parâmetro Descrição
IOC Identifiers

Obrigatório.

Uma lista de IOCs separada por vírgulas para obter dados de informações sobre ameaças.

Resultados da ação

A ação Enrich IOCs fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para capas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Enrich IOCs:

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
Mensagens de saída

A ação Enrich IOCs pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 A ação foi bem-sucedida.
Error executing action "Enrich IOCs". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Enrich IOCs:

Nome do resultado do script Valor
is_success true ou false

Obtenha detalhes do software malicioso

Use a ação Get Malware Details para obter informações sobre software malicioso do Mandiant Threat Intelligence.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Get Malware Details requer os seguintes parâmetros:

Parâmetro Descrição
Malware Names

Obrigatório.

Uma lista de nomes de software malicioso separados por vírgulas para enriquecer.
Create Insight

Opcional.

Se esta opção for selecionada, a ação cria uma estatística que contém todas as informações obtidas sobre a entidade.

Ativada por predefinição.
Fetch Related IOCs

Opcional.

Se selecionada, a ação obtém indicadores relacionados com o software malicioso fornecido.

Ativada por predefinição.
Max Related IOCs To Return

Opcional.

O número máximo de indicadores relacionados que a ação processa para cada entrada de software malicioso.

O valor predefinido é 100.

Resultados da ação

A ação Get Malware Details fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para capas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Get Malware Details:

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
Mensagens de saída

A ação Get Malware Details pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 A ação foi bem-sucedida.
Error executing action "Get Malware Details". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte indica o valor do resultado do script quando usa a ação Get Malware Details:

Nome do resultado do script Valor
is_success true ou false

Use a ação Get Related Entities para obter detalhes sobre indicadores de comprometimento (IOCs) relacionados com entidades que usam informações do Mandiant Threat Intelligence.

Esta ação é executada nas seguintes entidades do Google SecOps:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Dados de ações

A ação Get Related Entities requer os seguintes parâmetros:

Parâmetro Descrição
Lowest Severity Score

Obrigatório.

A gravidade mínima que um indicador tem de atingir para ser incluído nos resultados.

O valor máximo é 100.

O valor predefinido é 50.
Max IOCs To Return

Opcional.

O número máximo de IOCs que a ação obtém para cada entidade processada.

O valor predefinido é 100.

Resultados da ação

A ação Get Related Entities fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para capas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Get Related Entities:

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
Mensagens de saída

A ação Get Related Entities pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 A ação foi bem-sucedida.
Error executing action "Get Related Entities". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Get Related Entities:

Nome do resultado do script Valor
is_success true ou false

Tchim-tchim

Use a ação Ping para testar a conetividade com a Mandiant Threat Intelligence.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

Nenhum.

Resultados da ação

A ação Ping fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para capas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Ping pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully connected to the Mandiant server with the provided connection parameters! A ação foi bem-sucedida.
Failed to connect to the Mandiant server! Error is ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Ping:

Nome do resultado do script Valor
is_success true ou false

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.