Mandiant 脅威インテリジェンスを Google SecOps と統合する

このドキュメントでは、Mandiant 脅威インテリジェンスを Google Security Operations と統合する方法について説明します。

ユースケース

Mandiant Threat Intelligence の統合では、Google SecOps の機能を使用して次のユースケースをサポートします。

  • 自動トリアージとスコアリング: アクティブなケースのエンティティ（IP、ハッシュ、ホスト名、URL）を Mandiant 重大度スコア（M-Score）で拡充し、構成されたしきい値に基づいて、疑わしいステータスを自動的に判断し、高リスクのインジケーターを優先順位付けします。

  • 脅威の相関分析と調査: インジケーター（IP、ハッシュ、URL）からピボットして、関連する Mandiant オブジェクト（脅威アクター、マルウェア ファミリー、観測されたアクティビティに関連する脆弱性（CVE）など）を取得して相関分析します。

  • プロアクティブなハンティングと修復: 既知のマルウェアまたは脅威アクターの名前（外部レポートから）を使用して、新しく特定されたファイルハッシュや IP などの関連するすべてのセキュリティ侵害インジケーター（IOC）を取得し、環境全体で防御的なブロックやプロアクティブなハンティングを行います。

始める前に

この統合により、ネイティブ プラットフォーム機能が提供され、認証に外部のサードパーティ API キーや認証情報は必要ありません。始める前に、Google SecOps インスタンスのコンテンツ ハブから統合がインストールされていることを確認してください。

統合のパラメータ

Mandiant 脅威インテリジェンスの統合には、次のパラメータが必要です。

パラメータ 説明
UI Root

必須。

Mandiant インスタンスの UI ルート。
API Root

必須。

Mandiant インスタンスの API ルート。

Google Threat Intelligence の認証情報で認証するには、次の値を入力します。https://www.virustotal.com
Client ID

省略可。

Mandiant 脅威インテリジェンス アカウントのクライアント ID。

Mandiant Threat Intelligence でクライアント ID を生成するには、[アカウント設定] > [API アクセスとキー] > [キー ID とシークレットを取得] に移動します。
Client Secret

省略可。

Mandiant 脅威インテリジェンス アカウントのクライアント シークレット。

Mandiant Threat Intelligence でクライアント シークレットを生成するには、[アカウント設定] > [API アクセスとキー] > [キー ID とシークレットを取得] に移動します。
GTI API Key

省略可。

Google Threat Intelligence の API キー。

Google Threat Intelligence を使用して認証するには、API Root の値を https://www.virustotal.com に設定します。

Google Threat Intelligence API キーを使用して認証すると、他の認証方法よりも優先されます。
Verify SSL

必須。

選択すると、Mandiant 脅威インテリジェンス サーバーに接続するときに、統合によって SSL 証明書が検証されます。

デフォルトで有効になっています。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

エンティティの拡充

エンティティの拡充アクションを使用して、Mandiant 脅威インテリジェンスの情報を使用してエンティティを拡充します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • CVE
  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

アクションへの入力

[Enrich Entities] アクションには、次のパラメータが必要です。

パラメータ 説明
Severity Score Threshold

必須。

不審としてマークされるためにエンティティが満たす必要がある最小の重大度スコア。

このアクションで不審としてマークできるのは、次のインジケーターのみです。

  • Hostname
  • IP Address
  • File Hash
  • URL

最大値は 100 です。

デフォルト値は 50 です。
Create Insight

省略可。

選択すると、エンティティに関して取得したすべての情報を含む分析情報が作成されます。

デフォルトで有効になっています。
Only Suspicious Entity Insight

省略可。

選択すると、構成された重大度のしきい値に基づいて不審と判断されたエンティティに関する生成インサイトのみがアクションによって生成されます。

分析情報は、不審なステータスに関係なく、Threat Actor エンティティと Vulnerability エンティティに対して常に作成されます。

アクションの出力

[Enrich Entities] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充テーブル

次の表に、エンティティを拡充アクションを使用する場合のインジケーター拡充の値を示します。

拡充フィールド ソース（JSON キー） 適用範囲
first_seen first_seen JSON の結果で利用可能な場合。
last_seen last_seen JSON の結果で利用可能な場合。
sources 一意の sources/source_name 値を含む CSV ファイル。 JSON の結果で利用可能な場合。
mscore mscore JSON の結果で利用可能な場合。
attributed_associations_{associated_associations/type} すべての attributed_associations/type タイプの attributed_associations/name キーの CSV ファイル（タイプごとに 1 つのキー）。 JSON の結果で利用可能な場合。
report_link Crafted JSON の結果で利用可能な場合。

次の表に、エンティティを拡充するアクションを使用する場合の Threat Actors エンティティの拡充値を示します。

拡充フィールド ソース（JSON キー） 適用範囲
motivations motivations/name 値の CSV。 JSON の結果で利用可能な場合。
aliases aliases/name 値の CSV。 JSON の結果で利用可能な場合。
industries industries/name 値の CSV。 JSON の結果で利用可能な場合。
malware malware/name 値の CSV。 JSON の結果で利用可能な場合。
locations\_source locations/source/country/name 値の CSV。 JSON の結果で利用可能な場合。
locations\_target locations/target/name 値の CSV。 JSON の結果で利用可能な場合。
cve cve/cve\_id 値の CSV。 JSON の結果で利用可能な場合。
description description JSON の結果で利用可能な場合。
last\_activity\_time last\_activity\_time JSON の結果で利用可能な場合。
report\_link Crafted JSON の結果で利用可能な場合。

次の表に、エンティティを拡充アクションを使用する場合の Vulnerability エンティティの拡充値を示します。

拡充フィールド ソース（JSON キー） 適用範囲
sources source_name 値の CSV。 JSON の結果で利用可能な場合。
exploitation_state exploitation_state JSON の結果で利用可能な場合。
date_of_disclosure date_of_disclosure JSON の結果で利用可能な場合。
vendor_fix_references vendor_fix_references/url JSON の結果で利用可能な場合。
title title JSON の結果で利用可能な場合。
exploitation_vectors exploitation_vectors 値の CSV。 JSON の結果で利用可能な場合。
description description JSON の結果で利用可能な場合。
risk_rating risk_rating JSON の結果で利用可能な場合。
available_mitigation available_mitigation 値の CSV。 JSON の結果で利用可能な場合。
exploitation_consequence exploitation_consequence JSON の結果で利用可能な場合。
report_link Crafted JSON の結果で利用可能な場合。
JSON の結果

次の例は、エンティティを拡充アクションの使用時に受信したインジケーターの JSON 結果出力を示しています。

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

次の例は、Enrich Entities アクションの使用時に受信した Threat Actor エンティティの JSON 結果出力を示しています。

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

次の例は、Enrich Entities アクションの使用時に受信した Vulnerability エンティティの JSON 結果出力を示しています。

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
出力メッセージ

エンティティを拡充するアクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 アクションが成功しました。
Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、エンティティを拡充するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

IOC を拡充する

IOC を拡充するアクションを使用して、特定の IOC に関する脅威インテリジェンス データを Mandiant から取得します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

IOC を拡充するアクションには、次のパラメータが必要です。

パラメータ 説明
IOC Identifiers

必須。

脅威インテリジェンス データを取得する IOC のカンマ区切りのリスト。

アクションの出力

IOC を拡充するアクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Enrich IOCs アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
出力メッセージ

Enrich IOCs アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 アクションが成功しました。
Error executing action "Enrich IOCs". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、IOC を拡充するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

マルウェアの詳細を取得する

マルウェアの詳細を取得アクションを使用して、Mandiant 脅威インテリジェンスからマルウェアに関する情報を取得します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

[Get Malware Details] アクションには、次のパラメータが必要です。

パラメータ 説明
Malware Names

必須。

拡充するマルウェア名のカンマ区切りのリスト。
Create Insight

省略可。

選択すると、エンティティに関して取得したすべての情報を含む分析情報が作成されます。

デフォルトで有効になっています。
Fetch Related IOCs

省略可。

選択すると、指定されたマルウェアに関連するインジケーターが取得されます。

デフォルトで有効になっています。
Max Related IOCs To Return

省略可。

アクションが各マルウェア エントリに対して処理する関連インジケーターの最大数。

デフォルト値は 100 です。

アクションの出力

[Get Malware Details] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Get Malware Details アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
出力メッセージ

Get Malware Details アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 アクションが成功しました。
Error executing action "Get Malware Details". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Get Malware Details アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

Get Related Entities アクションを使用すると、Mandiant 脅威インテリジェンスの情報を使用して、エンティティに関連するセキュリティ侵害インジケーター（IOC）の詳細を取得できます。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

アクションへの入力

Get Related Entities アクションには、次のパラメータが必要です。

パラメータ 説明
Lowest Severity Score

必須。

結果に含めるためにインジケーターが満たす必要がある最小の重大度スコア。

最大値は 100 です。

デフォルト値は 50 です。
Max IOCs To Return

省略可。

処理されたエンティティごとにアクションが取得する IOC の最大数。

デフォルト値は 100 です。

アクションの出力

Get Related Entities アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Get Related Entities アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
出力メッセージ

Get Related Entities アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 アクションが成功しました。
Error executing action "Get Related Entities". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Get Related Entities アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

Ping

Ping アクションを使用して、Mandiant Threat Intelligence への接続をテストします。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

なし

アクションの出力

Ping アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully connected to the Mandiant server with the provided connection parameters! アクションが成功しました。
Failed to connect to the Mandiant server! Error is ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success true または false

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。