Mengintegrasikan Mandiant Threat Intelligence dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan Mandiant Threat Intelligence dengan Google Security Operations.

Kasus penggunaan

Integrasi Mandiant Threat Intelligence menggunakan kemampuan Google SecOps untuk mendukung kasus penggunaan berikut:

  • Triase dan penilaian otomatis: Memperkaya entitas (IP, Hash, Nama Host, URL) dalam kasus aktif dengan Skor Keparahan Mandiant (M-Score) untuk menentukan status kecurigaan secara otomatis dan memprioritaskan indikator berisiko tinggi berdasarkan nilai minimum yang dikonfigurasi.

  • Korelasi dan investigasi ancaman: Beralih dari indikator (IP, Hash, atau URL) untuk mengambil dan menghubungkan objek Mandiant terkait, termasuk Pelaku Ancaman, Jenis malware, dan Kerentanan (CVE) yang terkait dengan aktivitas yang diamati.

  • Perburuan dan perbaikan proaktif: Gunakan nama malware atau pelaku ancaman yang diketahui (dari laporan eksternal) untuk mengambil semua indikator penyusupan (IOC) terkait, seperti Hash File atau IP yang baru diidentifikasi untuk pemblokiran defensif atau perburuan proaktif di seluruh lingkungan.

Sebelum memulai

Integrasi ini menyediakan kemampuan platform native dan tidak memerlukan kunci API atau kredensial pihak ketiga eksternal untuk autentikasi. Sebelum memulai, pastikan integrasi diinstal dari Content Hub dalam instance Google SecOps Anda.

Parameter integrasi

Integrasi Mandiant Threat Intelligence memerlukan parameter berikut:

Parameter Deskripsi
UI Root

Wajib.

Root UI instance Mandiant.
API Root

Wajib.

Root API instance Mandiant.

Untuk melakukan autentikasi dengan kredensial Google Threat Intelligence, masukkan nilai berikut: https://www.virustotal.com.
Client ID

Opsional.

Client ID akun Mandiant Threat Intelligence.

Untuk membuat client ID di Mandiant Threat Intelligence, buka Account settings > API access and keys > Get key ID and secret.
Client Secret

Opsional.

Rahasia klien akun Mandiant Threat Intelligence.

Untuk membuat rahasia klien di Mandiant Threat Intelligence, buka Account settings > API access and keys > Get key ID and secret.
GTI API Key

Opsional.

Kunci API Google Threat Intelligence.

Untuk melakukan autentikasi menggunakan Google Threat Intelligence, tetapkan nilai API Root ke https://www.virustotal.com.

Saat Anda melakukan autentikasi menggunakan kunci Google Threat Intelligence API, kunci tersebut akan diprioritaskan daripada metode autentikasi lainnya.
Verify SSL

Wajib.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Mandiant Threat Intelligence.

Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Memperkaya Entity

Gunakan tindakan Enrich Entities untuk memperkaya entity menggunakan informasi dari Mandiant Threat Intelligence.

Tindakan ini berjalan di entity Google SecOps berikut:

  • CVE
  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Input tindakan

Tindakan Enrich Entities memerlukan parameter berikut:

Parameter Deskripsi
Severity Score Threshold

Wajib.

Skor keparahan minimum yang harus dipenuhi atau dilampaui oleh entitas agar ditandai sebagai mencurigakan.

Tindakan ini hanya dapat menandai indikator berikut sebagai mencurigakan:

  • Hostname
  • IP Address
  • File Hash
  • URL

Nilai maksimumnya adalah 100.

Nilai defaultnya adalah 50.
Create Insight

Opsional.

Jika dipilih, tindakan ini akan membuat insight yang berisi semua informasi yang diambil tentang entitas.

Diaktifkan secara default.
Only Suspicious Entity Insight

Opsional.

Jika dipilih, tindakan ini hanya akan menghasilkan insight untuk entity yang ditentukan mencurigakan berdasarkan nilai minimum tingkat keparahan yang dikonfigurasi.

Insight selalu dibuat untuk entitas Threat Actor dan Vulnerability, terlepas dari status mencurigakannya.

Output tindakan

Tindakan Enrich Entities memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Tabel pengayaan entitas

Tabel berikut mencantumkan nilai untuk pengayaan indikator saat menggunakan tindakan Enrich Entities:

Kolom pengayaan Sumber (kunci JSON) Penerapan
first_seen first_seen Jika tersedia dalam hasil JSON.
last_seen last_seen Jika tersedia dalam hasil JSON.
sources File CSV berisi nilai sources/source_name unik. Jika tersedia dalam hasil JSON.
mscore mscore Jika tersedia dalam hasil JSON.
attributed_associations_{associated_associations/type} File CSV berisi attributed_associations/name kunci untuk setiap jenis attributed_associations/type (satu kunci untuk setiap jenis). Jika tersedia dalam hasil JSON.
report_link Dibuat. Jika tersedia dalam hasil JSON.

Tabel berikut mencantumkan nilai untuk pengayaan entity Threat Actors saat menggunakan tindakan Enrich Entities:

Kolom pengayaan Sumber (kunci JSON) Penerapan
motivations CSV nilai motivations/name. Jika tersedia dalam hasil JSON.
aliases CSV nilai aliases/name. Jika tersedia dalam hasil JSON.
industries CSV nilai industries/name. Jika tersedia dalam hasil JSON.
malware CSV nilai malware/name. Jika tersedia dalam hasil JSON.
locations\_source CSV nilai locations/source/country/name. Jika tersedia dalam hasil JSON.
locations\_target CSV nilai locations/target/name. Jika tersedia dalam hasil JSON.
cve CSV nilai cve/cve\_id. Jika tersedia dalam hasil JSON.
description description Jika tersedia dalam hasil JSON.
last\_activity\_time last\_activity\_time Jika tersedia dalam hasil JSON.
report\_link Dibuat. Jika tersedia dalam hasil JSON.

Tabel berikut mencantumkan nilai untuk pengayaan entity Vulnerability saat menggunakan tindakan Enrich Entities:

Kolom pengayaan Sumber (kunci JSON) Penerapan
sources CSV nilai source_name. Jika tersedia dalam hasil JSON.
exploitation_state exploitation_state Jika tersedia dalam hasil JSON.
date_of_disclosure date_of_disclosure Jika tersedia dalam hasil JSON.
vendor_fix_references vendor_fix_references/url Jika tersedia dalam hasil JSON.
title title Jika tersedia dalam hasil JSON.
exploitation_vectors CSV nilai exploitation_vectors. Jika tersedia dalam hasil JSON.
description description Jika tersedia dalam hasil JSON.
risk_rating risk_rating Jika tersedia dalam hasil JSON.
available_mitigation CSV nilai available_mitigation. Jika tersedia dalam hasil JSON.
exploitation_consequence exploitation_consequence Jika tersedia dalam hasil JSON.
report_link Dibuat Jika tersedia dalam hasil JSON.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON untuk indikator yang diterima saat menggunakan tindakan Enrich Entities:

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

Contoh berikut menunjukkan output hasil JSON untuk entity Threat Actor yang diterima saat menggunakan tindakan Enrich Entities:

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

Contoh berikut menunjukkan output hasil JSON untuk entity Vulnerability yang diterima saat menggunakan tindakan Enrich Entities:

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
Pesan output

Tindakan Enrich Entities dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 Tindakan berhasil.
Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Enrich Entities:

Nama hasil skrip Nilai
is_success true atau false

Memperkaya IOC

Gunakan tindakan Enrich IOCs untuk mengambil data threat intelligence tentang IOC tertentu dari Mandiant.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Enrich IOCs memerlukan parameter berikut:

Parameter Deskripsi
IOC Identifiers

Wajib.

Daftar IOC yang dipisahkan koma untuk mengambil data threat intelligence.

Output tindakan

Tindakan Enrich IOCs memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Enrich IOCs:

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
Pesan output

Tindakan Enrich IOCs dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 Tindakan berhasil.
Error executing action "Enrich IOCs". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Enrich IOCs:

Nama hasil skrip Nilai
is_success true atau false

Mendapatkan Detail Malware

Gunakan tindakan Get Malware Details untuk mendapatkan informasi tentang malware dari Mandiant Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Malware Details memerlukan parameter berikut:

Parameter Deskripsi
Malware Names

Wajib.

Daftar nama malware yang dipisahkan koma untuk diperkaya.
Create Insight

Opsional.

Jika dipilih, tindakan ini akan membuat insight yang berisi semua informasi yang diambil tentang entitas.

Diaktifkan secara default.
Fetch Related IOCs

Opsional.

Jika dipilih, tindakan ini akan mengambil indikator yang terkait dengan malware yang disediakan.

Diaktifkan secara default.
Max Related IOCs To Return

Opsional.

Jumlah maksimum indikator terkait yang diproses tindakan untuk setiap entri malware.

Nilai defaultnya adalah 100.

Output tindakan

Tindakan Get Malware Details memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Malware Details:

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
Pesan output

Tindakan Get Malware Details dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 Tindakan berhasil.
Error executing action "Get Malware Details". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Malware Details:

Nama hasil skrip Nilai
is_success true atau false

Gunakan tindakan Get Related Entities untuk mendapatkan detail tentang indikator penyusupan (IOC) yang terkait dengan entity menggunakan informasi dari Mandiant Threat Intelligence.

Tindakan ini berjalan di entity Google SecOps berikut:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Input tindakan

Tindakan Get Related Entities memerlukan parameter berikut:

Parameter Deskripsi
Lowest Severity Score

Wajib.

Skor keparahan minimum yang harus dipenuhi indikator agar disertakan dalam hasil.

Nilai maksimumnya adalah 100.

Nilai defaultnya adalah 50.
Max IOCs To Return

Opsional.

Jumlah maksimum IOC yang diambil tindakan untuk setiap entitas yang diproses.

Nilai defaultnya adalah 100.

Output tindakan

Tindakan Get Related Entities memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Related Entities:

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
Pesan output

Tindakan Get Related Entities dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 Tindakan berhasil.
Error executing action "Get Related Entities". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Related Entities:

Nama hasil skrip Nilai
is_success true atau false

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Mandiant Threat Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan
Successfully connected to the Mandiant server with the provided connection parameters! Tindakan berhasil.
Failed to connect to the Mandiant server! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip Nilai
is_success true atau false

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.