Mandiant Threat Intelligence を Google SecOps と統合する

このドキュメントでは、Mandiant Threat Intelligence を Google Security Operations（Google SecOps）と統合する方法について説明します。

統合バージョン: 11.0

統合のパラメータ

Mandiant Threat Intelligence の統合には、次のパラメータが必要です。

パラメータ	説明
UI Root	必須 Mandiant インスタンスの UI ルート。 デフォルト値は https://advantage.mandiant.com です。
API Root	必須 Mandiant インスタンスの API ルート。 デフォルト値は https://api.intelligence.mandiant.com です。 Google Threat Intelligence の認証情報で認証するには、値 https://www.virustotal.com を入力します。
Client ID	Optional Mandiant Threat Intelligence アカウントのクライアント ID。 Mandiant Threat Intelligence でクライアント ID を生成するには、[アカウント設定] > [API アクセスとキー] > [キー ID とシークレットを取得] に移動します。
Client Secret	Optional Mandiant Threat Intelligence アカウントのクライアント シークレット。 Mandiant Threat Intelligence でクライアント シークレットを生成するには、[アカウント設定] > [API アクセスとキー] > [キー ID とシークレットを取得] に移動します。
GTI API Key	省略可 Google Threat Intelligence の API キー。 Google Threat Intelligence を使用して認証するには、API Root パラメータの値を https://www.virustotal.com に設定します。 Google Threat Intelligence API キーを使用して認証すると、他の認証方法よりも優先されます。
Verify SSL	必須 選択すると、統合によって Mandiant サーバーへの接続用の SSL 証明書が有効かどうかが検証されます。 デフォルトで選択されています。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションについて詳しくは、デスクから保留中のアクションに対応すると手動アクションを実行するをご覧ください。

エンティティの拡充

エンティティの拡充アクションを使用して、Mandiant Threat Intelligence の情報を使用してエンティティを拡充します。このアクションでは、MD5、SHA-1、SHA-256 ハッシュのみがサポートされています。

エンティティの拡充アクションは、次の Google SecOps エンティティに対して実行されます。

• Hostname
• IP Address
• URL
• File Hash
• Threat Actor
• Vulnerability

アクション入力

エンティティの拡充アクションには、次のパラメータが必要です。

パラメータ	説明
Severity Score Threshold	必須 エンティティを不審としてマークする最も低い重大度スコア。 このアクションでは、hostname、IP address、file hash、url の指標を不審としてマークできます。 デフォルト値は 50 です。最大値は 100 です。
Create Insight	Optional 選択すると、エンティティに関して取得したすべての情報を含む分析情報が作成されます。 デフォルトで選択されます。
Only Suspicious Entity Insight	Optional 選択すると、アクションによって不審なエンティティに関するインサイトのみが作成されます。 このパラメータを選択する場合は、Create Insight パラメータも選択します。このアクションは、Threat Actor エンティティと Vulnerability エンティティが不審としてマークされていない場合でも、これらのエンティティの分析情報を作成します。

アクションの出力

[Ping] アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
エンティティ拡充テーブル	利用可能
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

エンティティ拡充

次の表に、エンティティの拡充アクションを使用する場合のインジケーター拡充の値を示します。

拡充フィールド名	ソース（JSON キー）	適用範囲
first_seen	first_seen	JSON で使用可能な場合に適用されます。
last_seen	last_seen	JSON で使用可能な場合に適用されます。
sources	一意の sources/source_name 値の CSV ファイル。	JSON で使用可能な場合に適用されます。
mscore	mscore	JSON で使用可能な場合に適用されます。
attributed_associations_{associated_associations/type}	すべての attributed_associations/type 型の attributed_associations/name キーの CSV ファイル（型ごとに 1 つのキー）。	JSON で使用可能な場合に適用されます。
report_link	Crafted.	JSON で使用可能な場合に適用されます。

次の表に、エンティティの拡充アクションを使用する場合の Threat Actors エンティティの拡充の値を示します。

拡充フィールド名	ソース（JSON キー）	適用範囲
motivations	motivations/name 値の CSV。	JSON で使用可能な場合に適用されます。
aliases	aliases/name 値の CSV。	JSON で使用可能な場合に適用されます。
industries	industries/name 値の CSV。	JSON で使用可能な場合に適用されます。
malware	malware/name 値の CSV。	JSON で使用可能な場合に適用されます。
locations\_source	locations/source/country/name 値の CSV。	JSON で使用可能な場合に適用されます。
locations\_target	locations/target/name 値の CSV。	JSON で使用可能な場合に適用されます。
cve	cve/cve\_id 値の CSV。	JSON で使用可能な場合に適用されます。
description	description	JSON で使用可能な場合に適用されます。
last\_activity\_time	last\_activity\_time	JSON で使用可能な場合に適用されます。
report\_link	Crafted.	JSON で使用可能な場合に適用されます。

次の表に、エンティティの拡充アクションを使用する場合の Vulnerability エンティティの拡充の値を示します。

拡充フィールド名	ソース（JSON キー）	適用範囲
sources	source_name 値の CSV。	JSON で使用可能な場合に適用されます。
exploitation_state	exploitation_state	JSON で使用可能な場合に適用されます。
date_of_disclosure	date_of_disclosure	JSON で使用可能な場合に適用されます。
vendor_fix_references	vendor_fix_references/url	JSON で使用可能な場合に適用されます。
title	title	JSON で使用可能な場合に適用されます。
exploitation_vectors	exploitation_vectors 値の CSV。	JSON で使用可能な場合に適用されます。
description	description	JSON で使用可能な場合に適用されます。
risk_rating	risk_rating	JSON で使用可能な場合に適用されます。
available_mitigation	available_mitigation 値の CSV。	JSON で使用可能な場合に適用されます。
exploitation_consequence	exploitation_consequence	JSON で使用可能な場合に適用されます。
report_link	Crafted	JSON で使用可能な場合に適用されます。

JSON の結果

次の例は、エンティティの拡充アクションを使用した場合に受信したインジケーターの JSON 結果の出力例を示しています。

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

次の例は、エンティティの拡充アクションを使用するときに受信した Threat Actor エンティティの JSON 結果の出力例を示しています。

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

次の例は、エンティティの拡充アクションを使用するときに受信した Vulnerability エンティティの JSON 結果の出力例を示しています。

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

出力メッセージ

エンティティを拡充アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
Successfully enriched the following entities using information from Mandiant: ENTITY_ID Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID None of the provided entities were enriched.	アクションが成功しました。
Error executing action "Enrich Entities". Reason: ERROR_REASON	操作に失敗しました。 サーバーへの接続、入力パラメータ、または認証情報を確認してください。

スクリプトの結果

次の表に、[エンティティを拡充] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	True または False

IOC を拡充する

IOC を拡充アクションを使用して、Mandiant Threat Intelligence から IOC に関する情報を取得します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクション入力

[IOC を拡充する] アクションには、次のパラメータが必要です。

パラメータ	説明
IOC Identifiers	必須 拡充する IOC のカンマ区切りのリスト。

アクションの出力

[IOC を拡充する] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、[IOC を拡充] アクションを使用した場合に受信される JSON 結果の出力例を示しています。

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

出力メッセージ

[IOC を拡充] アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
Successfully enriched the following IOCs using information from Mandiant: IOC_ID Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID. No IOCs were enriched.	アクションが成功しました。
Error executing action "Enrich IOCs". Reason: ERROR_REASON	操作に失敗しました。 サーバーへの接続、入力パラメータ、または認証情報を確認してください。

スクリプトの結果

次の表に、[IOC を拡充] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	True または False

マルウェアの詳細を取得する

マルウェアの詳細を取得アクションを使用して、Mandiant Threat Intelligence からマルウェアに関する情報を取得します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクション入力

[Get Malware Details] アクションには、次のパラメータが必要です。

パラメータ	説明
Malware Names	必須 拡充するマルウェア名のカンマ区切りリスト。
Create Insight	Optional 選択すると、エンティティに関して取得したすべての情報を含む分析情報が作成されます。
Fetch Related IOCs	Optional 選択すると、指定されたマルウェアに関連する指標が取得されます。
Max Related IOCs To Return	Optional マルウェアごとにアクションが処理するインジケーターの数。 デフォルト値は 100 です。

アクションの出力

[マルウェアの詳細を取得] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、[マルウェアの詳細を取得] アクションを使用したときに受信した JSON 結果の出力を示しています。

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

出力メッセージ

[マルウェアの詳細を取得] アクションは、次の出力メッセージを返すことがあります。

出力メッセージ	メッセージの説明
Successfully enriched the following malware using information from Mandiant: MALWARE_NAME. Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME. No malware information was found.	アクションが成功しました。
Error executing action "Get Malware Details". Reason: ERROR_REASON	操作に失敗しました。 サーバーへの接続、入力パラメータ、または認証情報を確認してください。

スクリプトの結果

次の表に、マルウェアの詳細を取得アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	True または False

関連エンティティを取得する

関連エンティティを取得アクションを使用して、Mandiant Threat Intelligence の情報を使用してエンティティに関連する侵害の指標（IOC）の詳細を取得します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

• Hostname
• IP Address
• URL
• File Hash
• Threat Actor

アクション入力

[Get Related Entities] アクションには、次のパラメータが必要です。

パラメータ	説明
Lowest Severity Score	必須 関連するインジケータを返すための最小重大度スコア。 デフォルト値は 50 です。最大値は 100 です。
Max IOCs To Return	Optional アクションがエンティティごとに処理するインジケーターの数。 デフォルト値は 100 です。

アクションの出力

[関連エンティティを取得] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、[関連エンティティを取得] アクションを使用した場合に受信される JSON 結果の出力例を示しています。

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}

出力メッセージ

[関連エンティティを取得] アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID No related indicators were found for the following entities using information from Mandiant: ENTITY_ID No related indicators were found.	アクションが成功しました。
Error executing action "Get Related Entities". Reason: ERROR_REASON	操作に失敗しました。 サーバーへの接続、入力パラメータ、または認証情報を確認してください。

スクリプトの結果

次の表に、[関連エンティティを取得] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	True または False

Ping

Ping アクションを使用して、Mandiant Threat Intelligence への接続をテストします。

このアクションは Google SecOps エンティティに対しては実行されません。

アクション入力

なし

アクションの出力

[Ping] アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
Successfully connected to the Mandiant server with the provided connection parameters!	アクションが成功しました。
Failed to connect to the Mandiant server! Error is ERROR_REASON	操作に失敗しました。 サーバーへの接続、入力パラメータ、または認証情報を確認してください。

スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	True または False

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。