Integra Mandiant Threat Intelligence con Google SecOps

Questo documento spiega come integrare Mandiant Threat Intelligence con Google Security Operations.

Casi d'uso

L'integrazione di Mandiant Threat Intelligence utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Triage e punteggio automatici: arricchisci le entità (IP, hash, nomi host, URL) in un caso attivo con il Mandiant Severity Score (M-Score) per determinare automaticamente lo stato di sospetto e dare priorità agli indicatori ad alto rischio in base alla soglia configurata.

  • Correlazione e indagine sulle minacce: passa da un indicatore (IP, hash o URL) per recuperare e correlare gli oggetti Mandiant associati, tra cui attori delle minacce, famiglie di malware e vulnerabilità (CVE) collegate all'attività osservata.

  • Ricerca e correzione proattive: utilizza nomi di malware o threat actor noti (da report esterni) per recuperare tutti gli indicatori di compromissione (IOC) correlati, come hash di file o IP appena identificati, per il blocco difensivo o la ricerca proattiva nell'ambiente.

Prima di iniziare

Questa integrazione fornisce funzionalità della piattaforma native e non richiede chiavi API o credenziali di terze parti esterne per l'autenticazione. Prima di iniziare, assicurati che l'integrazione sia installata dall'hub dei contenuti all'interno dell'istanza Google SecOps.

Parametri di integrazione

L'integrazione di Mandiant Threat Intelligence richiede i seguenti parametri:

Parametro Descrizione
UI Root

Obbligatorio.

La root dell'interfaccia utente dell'istanza Mandiant.
API Root

Obbligatorio.

La radice dell'API dell'istanza Mandiant.

Per eseguire l'autenticazione con le credenziali di Google Threat Intelligence, inserisci il seguente valore: https://www.virustotal.com.
Client ID

Facoltativo.

L'ID client dell'account Mandiant Threat Intelligence.

Per generare l'ID client in Mandiant Threat Intelligence, vai a Impostazioni account > Chiavi e accesso API > Ottieni ID chiave e secret.
Client Secret

Facoltativo.

Il client secret dell'account Mandiant Threat Intelligence.

Per generare il client secret in Mandiant Threat Intelligence, vai a Impostazioni account > Accesso API e chiavi > Ottieni ID chiave e secret.
GTI API Key

Facoltativo.

La chiave API di Google Threat Intelligence.

Per eseguire l'autenticazione utilizzando Google Threat Intelligence, imposta il valore API Root su https://www.virustotal.com.

Quando esegui l'autenticazione utilizzando la chiave API Google Threat Intelligence, questa ha la priorità sugli altri metodi di autenticazione.
Verify SSL

Obbligatorio.

Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Mandiant Threat Intelligence.

Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Arricchisci le entità

Utilizza l'azione Arricchisci entità per arricchire le entità utilizzando le informazioni di Mandiant Threat Intelligence.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • CVE
  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Input azione

L'azione Arricchisci entità richiede i seguenti parametri:

Parametro Descrizione
Severity Score Threshold

Obbligatorio.

Il punteggio di gravità minimo che un'entità deve soddisfare o superare per essere contrassegnata come sospetta.

L'azione può contrassegnare come sospetti solo i seguenti indicatori:

  • Hostname
  • IP Address
  • File Hash
  • URL

Il valore massimo è 100.

Il valore predefinito è 50.
Create Insight

Facoltativo.

Se selezionata, l'azione crea un insight contenente tutte le informazioni recuperate sull'entità.

Abilitato per impostazione predefinita.
Only Suspicious Entity Insight

Facoltativo.

Se selezionata, l'azione genera insight solo per le entità ritenute sospette in base alla soglia di gravità configurata.

Gli insight vengono sempre creati per le entità Threat Actor e Vulnerability, indipendentemente dal loro stato di sospetto.

Output azione

L'azione Arricchisci entità fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento delle entità Disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Tabella di arricchimento delle entità

La tabella seguente elenca i valori per l'arricchimento degli indicatori quando utilizzi l'azione Arricchisci entità:

Campo di arricchimento Origine (chiave JSON) Applicabilità
first_seen first_seen Se disponibile nel risultato JSON.
last_seen last_seen Se disponibile nel risultato JSON.
sources Un file CSV di valori sources/source_name univoci. Se disponibile nel risultato JSON.
mscore mscore Se disponibile nel risultato JSON.
attributed_associations_{associated_associations/type} Un file CSV di attributed_associations/name chiavi per ogni tipo di attributed_associations/type (una chiave per ogni tipo). Se disponibile nel risultato JSON.
report_link Realizzato. Se disponibile nel risultato JSON.

La tabella seguente elenca i valori per l'arricchimento dell'entità Threat Actors quando utilizzi l'azione Arricchisci entità:

Campo di arricchimento Origine (chiave JSON) Applicabilità
motivations Un file CSV di valori motivations/name. Se disponibile nel risultato JSON.
aliases Un file CSV di valori aliases/name. Se disponibile nel risultato JSON.
industries Un file CSV di valori industries/name. Se disponibile nel risultato JSON.
malware Un file CSV di valori malware/name. Se disponibile nel risultato JSON.
locations\_source Un file CSV di valori locations/source/country/name. Se disponibile nel risultato JSON.
locations\_target Un file CSV di valori locations/target/name. Se disponibile nel risultato JSON.
cve Un file CSV di valori cve/cve\_id. Se disponibile nel risultato JSON.
description description Se disponibile nel risultato JSON.
last\_activity\_time last\_activity\_time Se disponibile nel risultato JSON.
report\_link Realizzato. Se disponibile nel risultato JSON.

La tabella seguente elenca i valori per l'arricchimento dell'entità Vulnerability quando utilizzi l'azione Arricchisci entità:

Campo di arricchimento Origine (chiave JSON) Applicabilità
sources Un file CSV di valori source_name. Se disponibile nel risultato JSON.
exploitation_state exploitation_state Se disponibile nel risultato JSON.
date_of_disclosure date_of_disclosure Se disponibile nel risultato JSON.
vendor_fix_references vendor_fix_references/url Se disponibile nel risultato JSON.
title title Se disponibile nel risultato JSON.
exploitation_vectors Un file CSV di valori exploitation_vectors. Se disponibile nel risultato JSON.
description description Se disponibile nel risultato JSON.
risk_rating risk_rating Se disponibile nel risultato JSON.
available_mitigation Un file CSV di valori available_mitigation. Se disponibile nel risultato JSON.
exploitation_consequence exploitation_consequence Se disponibile nel risultato JSON.
report_link Realizzato Se disponibile nel risultato JSON.
Risultato JSON

L'esempio seguente mostra l'output del risultato JSON per gli indicatori ricevuti quando utilizzi l'azione Arricchisci entità:

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

L'esempio seguente mostra l'output del risultato JSON per l'entità Threat Actor ricevuto quando utilizzi l'azione Arricchisci entità:

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

L'esempio seguente mostra l'output del risultato JSON per l'entità Vulnerability ricevuta quando utilizzi l'azione Arricchisci entità:

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
Messaggi di output

L'azione Arricchisci entità può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 L'azione è andata a buon fine.
Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON

L'azione non è andata a buon fine.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Arricchisci entità:

Nome del risultato dello script Valore
is_success true o false

Arricchisci gli IOC

Utilizza l'azione Arricchisci IOC per recuperare i dati di threat intelligence su IOC specifici da Mandiant.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Arricchisci IOC richiede i seguenti parametri:

Parametro Descrizione
IOC Identifiers

Obbligatorio.

Un elenco separato da virgole di IOC per cui recuperare i dati di threat intelligence.

Output azione

L'azione Arricchisci IOC fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Arricchisci IOC:

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
Messaggi di output

L'azione Arricchisci IOC può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 L'azione è andata a buon fine.
Error executing action "Enrich IOCs". Reason: ERROR_REASON

L'azione non è andata a buon fine.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Arricchisci IOC:

Nome del risultato dello script Valore
is_success true o false

Ottieni dettagli sul malware

Utilizza l'azione Ottieni dettagli sul malware per ottenere informazioni sul malware da Mandiant Threat Intelligence.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Ottieni dettagli malware richiede i seguenti parametri:

Parametro Descrizione
Malware Names

Obbligatorio.

Un elenco separato da virgole di nomi di malware da arricchire.
Create Insight

Facoltativo.

Se selezionata, l'azione crea un insight che contiene tutte le informazioni recuperate sull'entità.

Abilitato per impostazione predefinita.
Fetch Related IOCs

Facoltativo.

Se selezionata, l'azione recupera gli indicatori correlati al malware fornito.

Abilitato per impostazione predefinita.
Max Related IOCs To Return

Facoltativo.

Il numero massimo di indicatori correlati che l'azione elabora per ogni voce di malware.

Il valore predefinito è 100.

Output azione

L'azione Get Malware Details (Ottieni dettagli malware) fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Get Malware Details:

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
Messaggi di output

L'azione Get Malware Details (Ottieni dettagli malware) può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 L'azione è andata a buon fine.
Error executing action "Get Malware Details". Reason: ERROR_REASON

L'azione non è andata a buon fine.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Get Malware Details:

Nome del risultato dello script Valore
is_success true o false

Utilizza l'azione Recupera entità correlate per ottenere dettagli sugli indicatori di compromissione (IoC) correlati alle entità utilizzando le informazioni di Mandiant Threat Intelligence.

Questa azione viene eseguita sulle seguenti entità Google SecOps:

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

Input azione

L'azione Get Related Entities richiede i seguenti parametri:

Parametro Descrizione
Lowest Severity Score

Obbligatorio.

Il punteggio di gravità minimo che un indicatore deve soddisfare per essere incluso nei risultati.

Il valore massimo è 100.

Il valore predefinito è 50.
Max IOCs To Return

Facoltativo.

Il numero massimo di IOC recuperati dall'azione per ogni entità elaborata.

Il valore predefinito è 100.

Output azione

L'azione Get Related Entities fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera entità correlate:

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
Messaggi di output

L'azione Get Related Entities può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 L'azione è andata a buon fine.
Error executing action "Get Related Entities". Reason: ERROR_REASON

L'azione non è andata a buon fine.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Recupera entità correlate:

Nome del risultato dello script Valore
is_success true o false

Dindin

Utilizza l'azione Ping per testare la connettività a Mandiant Threat Intelligence.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully connected to the Mandiant server with the provided connection parameters! L'azione è andata a buon fine.
Failed to connect to the Mandiant server! Error is ERROR_REASON

L'azione non è andata a buon fine.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script Valore
is_success true o false

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.