Mandiant Threat Intelligence を Google SecOps と統合する

統合バージョン: 14.0

このドキュメントでは、Mandiant Threat Intelligence を Google Security Operations（Google SecOps）と統合する方法について説明します。

ユースケース

Mandiant Threat Intelligence の統合では、Google SecOps の機能を使用して次のユースケースをサポートします。

  • 自動トリアージとスコアリング: アクティブなケースのエンティティ（IP、ハッシュ、ホスト名、URL）を Mandiant の重大度スコア（M-Score）で拡充し、構成されたしきい値に基づいて疑わしいステータスを自動的に判断し、リスクの高いインジケーターに優先順位を付けます。

  • 脅威の関連付けと調査: インジケーター（IP、ハッシュ、URL）からピボットして、関連する Mandiant オブジェクト（観測されたアクティビティにリンクされている脅威アクター、マルウェア ファミリー、脆弱性（CVE）など）を取得して関連付けます。

  • プロアクティブなハンティングと修復: 既知のマルウェアまたは脅威アクターの名前（外部レポートから）を使用して、新しく特定されたファイル ハッシュや IP などの関連するすべての侵害インジケーター（IOC）を取得し、環境全体で防御ブロックやプロアクティブなハンティングを行います。

統合のパラメータ

Mandiant Threat Intelligence の統合には、次のパラメータが必要です。

パラメータ 説明
UI Root

必須。

Mandiant インスタンスの UI ルート。
API Root

必須。

Mandiant インスタンスの API ルート。

Google Threat Intelligence の認証情報で認証するには、値 https://www.virustotal.com を入力します。
Client ID

省略可。

Mandiant Threat Intelligence アカウントのクライアント ID。

Mandiant Threat Intelligence でクライアント ID を生成するには、[アカウント設定] > [API アクセスとキー] > [キー ID とシークレットを取得] に移動します。
Client Secret

省略可。

Mandiant Threat Intelligence アカウントのクライアント シークレット。

Mandiant Threat Intelligence でクライアント シークレットを生成するには、[アカウント設定] > [API アクセスとキー] > [キー ID とシークレットを取得] に移動します。
GTI API Key

省略可。

Google Threat Intelligence の API キー。

Google Threat Intelligence を使用して認証するには、API Root の値を https://www.virustotal.com に設定します。

Google Threat Intelligence API キーを使用して認証すると、他の認証方法よりも優先されます。
Verify SSL

必須。

選択すると、統合によって Mandiant Threat Intelligence サーバーへの接続時に SSL 証明書が検証されます。

デフォルトで有効になっています。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの方法については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応すると手動アクションを実行するをご覧ください。

エンティティの拡充

エンティティの拡充アクションを使用して、Mandiant Threat Intelligence の情報を使用してエンティティを拡充します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • CVE
  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

アクション入力

エンティティの拡充アクションには、次のパラメータが必要です。

パラメータ 説明
Severity Score Threshold

必須。

エンティティが不審としてマークされるために満たす必要がある最小重大度スコア。

アクションで不審とマークできるのは、次のインジケーターのみです。

  • Hostname
  • IP Address
  • File Hash
  • URL

最大値は 100 です。

デフォルト値は 50 です。
Create Insight

省略可。

選択すると、エンティティに関して取得したすべての情報を含む分析情報が作成されます。

デフォルトで有効になっています。
Only Suspicious Entity Insight

省略可。

選択すると、構成された重大度のしきい値に基づいて不審と判断されたエンティティに関する分析情報のみがアクションによって生成されます。

分析情報は、不審なステータスに関係なく、常に Threat Actor エンティティと Vulnerability エンティティに対して作成されます。

アクションの出力

[エンティティを拡充] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充テーブル

次の表に、エンティティの拡充アクションを使用する場合のインジケーター拡充の値を示します。

拡充フィールド ソース（JSON キー） 適用範囲
first_seen first_seen JSON の結果で利用可能な場合。
last_seen last_seen JSON の結果で利用可能な場合。
sources 一意の sources/source_name 値の CSV ファイル。 JSON の結果で利用可能な場合。
mscore mscore JSON の結果で利用可能な場合。
attributed_associations_{associated_associations/type} すべての attributed_associations/type 型の attributed_associations/name キーの CSV ファイル（型ごとに 1 つのキー）。 JSON の結果で利用可能な場合。
report_link Crafted. JSON の結果で利用可能な場合。

次の表に、エンティティの拡充アクションを使用する場合の Threat Actors エンティティの拡充の値を示します。

拡充フィールド ソース（JSON キー） 適用範囲
motivations motivations/name 値の CSV。 JSON の結果で利用可能な場合。
aliases aliases/name 値の CSV。 JSON の結果で利用可能な場合。
industries industries/name 値の CSV。 JSON の結果で利用可能な場合。
malware malware/name 値の CSV。 JSON の結果で利用可能な場合。
locations\_source locations/source/country/name 値の CSV。 JSON の結果で利用可能な場合。
locations\_target locations/target/name 値の CSV。 JSON の結果で利用可能な場合。
cve cve/cve\_id 値の CSV。 JSON の結果で利用可能な場合。
description description JSON の結果で利用可能な場合。
last\_activity\_time last\_activity\_time JSON の結果で利用可能な場合。
report\_link Crafted. JSON の結果で利用可能な場合。

次の表に、エンティティの拡充アクションを使用する場合の Vulnerability エンティティの拡充の値を示します。

拡充フィールド ソース（JSON キー） 適用範囲
sources source_name 値の CSV。 JSON の結果で利用可能な場合。
exploitation_state exploitation_state JSON の結果で利用可能な場合。
date_of_disclosure date_of_disclosure JSON の結果で利用可能な場合。
vendor_fix_references vendor_fix_references/url JSON の結果で利用可能な場合。
title title JSON の結果で利用可能な場合。
exploitation_vectors exploitation_vectors 値の CSV。 JSON の結果で利用可能な場合。
description description JSON の結果で利用可能な場合。
risk_rating risk_rating JSON の結果で利用可能な場合。
available_mitigation available_mitigation 値の CSV。 JSON の結果で利用可能な場合。
exploitation_consequence exploitation_consequence JSON の結果で利用可能な場合。
report_link Crafted JSON の結果で利用可能な場合。
JSON の結果

次の例は、エンティティの拡充アクションを使用した場合に受信したインジケーターの JSON 結果の出力例を示しています。

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

次の例は、エンティティの拡充アクションを使用するときに受信した Threat Actor エンティティの JSON 結果の出力例を示しています。

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

次の例は、エンティティの拡充アクションを使用するときに受信した Vulnerability エンティティの JSON 結果の出力例を示しています。

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
出力メッセージ

エンティティを拡充アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 アクションが成功しました。
Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[エンティティを拡充] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success true または false

IOC を拡充する

IOC を拡充するアクションを使用して、特定の IOC に関する脅威インテリジェンス データを Mandiant から取得します。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

[IOC を拡充する] アクションには、次のパラメータが必要です。

パラメータ 説明
IOC Identifiers

必須。

脅威インテリジェンス データを取得する IOC のカンマ区切りのリスト。

アクションの出力

[IOC を拡充する] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[IOC を拡充] アクションを使用した場合に受信される JSON 結果の出力例を示しています。

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
出力メッセージ

[IOC を拡充] アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 アクションが成功しました。
Error executing action "Enrich IOCs". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[IOC を拡充] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success true または false

マルウェアの詳細を取得する

マルウェアの詳細を取得アクションを使用して、Mandiant Threat Intelligence からマルウェアに関する情報を取得します。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

[Get Malware Details] アクションには、次のパラメータが必要です。

パラメータ 説明
Malware Names

必須。

拡充するマルウェア名のカンマ区切りリスト。
Create Insight

省略可。

選択すると、エンティティに関して取得したすべての情報を含む分析情報が作成されます。

デフォルトで有効になっています。
Fetch Related IOCs

省略可。

選択すると、指定されたマルウェアに関連するインジケーターが取得されます。

デフォルトで有効になっています。
Max Related IOCs To Return

省略可。

アクションが各マルウェア エントリに対して処理する関連インジケーターの最大数。

デフォルト値は 100 です。

アクションの出力

[マルウェアの詳細を取得] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[マルウェアの詳細を取得] アクションを使用したときに受信した JSON 結果の出力を示しています。

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
出力メッセージ

[マルウェアの詳細を取得] アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 アクションが成功しました。
Error executing action "Get Malware Details". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、マルウェアの詳細を取得アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success true または false

関連エンティティを取得アクションを使用して、Mandiant Threat Intelligence の情報を使用してエンティティに関連する侵害の指標（IOC）の詳細を取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

アクション入力

[関連エンティティを取得] アクションには、次のパラメータが必要です。

パラメータ 説明
Lowest Severity Score

必須。

結果に含めるためにインジケーターが満たす必要のある最小重大度スコア。

最大値は 100 です。

デフォルト値は 50 です。
Max IOCs To Return

省略可。

アクションが処理されたエンティティごとに取得する IOC の最大数。

デフォルト値は 100 です。

アクションの出力

[関連エンティティを取得] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[関連エンティティを取得] アクションを使用した場合に受信される JSON 結果の出力例を示しています。

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
出力メッセージ

[関連エンティティを取得] アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 アクションが成功しました。
Error executing action "Get Related Entities". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[関連エンティティを取得] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success true または false

Ping

Ping アクションを使用して、Mandiant Threat Intelligence への接続をテストします。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

なし

アクションの出力

Ping アクションは次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully connected to the Mandiant server with the provided connection parameters! アクションが成功しました。
Failed to connect to the Mandiant server! Error is ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success true または false

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。