此页面由 Cloud Translation API 翻译。

将 Mandiant Threat Intelligence 与 Google SecOps 集成

集成版本：11.0

本文档介绍了如何将 Mandiant Threat Intelligence 与 Google Security Operations (Google SecOps) 集成。

集成参数

Mandiant 威胁情报集成需要以下参数：

参数	说明
`UI Root`	必需 Mandiant 实例的界面根。默认值为 `https://advantage.mandiant.com`。
`API Root`	必需 Mandiant 实例的 API 根。默认值为 `https://api.intelligence.mandiant.com`。如需使用 Google Threat Intelligence 凭据进行身份验证，请输入以下值：`https://www.virustotal.com`。
`Client ID`	可选 Mandiant 威胁情报账号的客户端 ID。如需在 Mandiant Threat Intelligence 中生成客户端 ID，请依次前往账号设置 > API 访问权限和密钥 > 获取密钥 ID 和密钥。
`Client Secret`	可选 Mandiant Threat Intelligence 账号的客户端 Secret。如需在 Mandiant Threat Intelligence 中生成客户端密钥，请依次前往账号设置 > API 访问权限和密钥 > 获取密钥 ID 和密钥。
`GTI API Key`	可选 Google Threat Intelligence 的 API 密钥。如需使用 Google 威胁情报进行身份验证，请将 `API Root` 参数值设置为 `https://www.virustotal.com`。如果您使用 Google Threat Intelligence API 密钥进行身份验证，则该方法优先于其他身份验证方法。
`Verify SSL`	必需如果选择此选项，集成会验证与 Mandiant 服务器的连接所用的 SSL 证书是否有效。此选项将会默认选中。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如果需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅处理工作台中的待处理操作和执行手动操作。

丰富实体

使用 Enrich Entities 操作，通过 Mandiant Threat Intelligence 中的信息来丰富实体。此操作仅支持 MD5、SHA-1 和 SHA-256 哈希。

丰富实体操作可在以下 Google SecOps 实体上运行：

Hostname
IP Address
URL
File Hash
Threat Actor
Vulnerability

操作输入

丰富实体操作需要以下参数：

参数说明

参数	说明
`Severity Score Threshold`	必需将实体标记为可疑的最低严重程度得分。该操作可以将以下指标标记为可疑：`hostname`、`IP address`、`file hash` 和 `url`。默认值为 50。最大值为 100。
`Create Insight`	可选如果选择此操作，系统会创建一个包含有关实体的所有检索到的信息的分析。此选项将会默认选中。
`Only Suspicious Entity Insight`	可选如果选择此项，该操作将仅针对可疑实体生成数据洞见。如果您选择此参数，还应选择 `Create Insight` 参数。即使 `Threat Actor` 和 `Vulnerability` 实体未标记为可疑，该操作也会为这些实体创建数据洞见。

Severity Score Threshold

必需

将实体标记为可疑的最低严重程度得分。

该操作可以将以下指标标记为可疑：hostname、IP address、file hash 和 url。

默认值为 50。最大值为 100。

Create Insight

可选

如果选择此操作，系统会创建一个包含有关实体的所有检索到的信息的分析。

此选项将会默认选中。

Only Suspicious Entity Insight

可选

如果选择此项，该操作将仅针对可疑实体生成数据洞见。

如果您选择此参数，还应选择 Create Insight 参数。即使 Threat Actor 和 Vulnerability 实体未标记为可疑，该操作也会为这些实体创建数据洞见。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
实体丰富化表	可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

实体丰富化

下表列出了使用丰富实体操作时，指示器丰富功能的各个值：

扩充项字段名称	来源（JSON 键）	适用性
`first_seen`	`first_seen`	当 JSON 中提供相应信息时适用。
`last_seen`	`last_seen`	当 JSON 中提供相应信息时适用。
`sources`	包含唯一 `sources/source_name` 值的 CSV 文件。	当 JSON 中提供相应信息时适用。
`mscore`	`mscore`	当 JSON 中提供相应信息时适用。
`attributed_associations_{associated_associations/type}`	一个包含所有 `attributed_associations/type` 类型（每种类型一个键）的 `attributed_associations/name` 键的 CSV 文件。	当 JSON 中提供相应信息时适用。
`report_link`	精心制作。	当 JSON 中提供相应信息时适用。

下表列出了使用 Enrich Entities 操作时 Threat Actors 实体的扩充值：

扩充项字段名称	来源（JSON 键）	适用性
`motivations`	`motivations/name` 值的 CSV。	当 JSON 中提供相应信息时适用。
`aliases`	`aliases/name` 值的 CSV。	当 JSON 中提供相应信息时适用。
`industries`	`industries/name` 值的 CSV。	当 JSON 中提供相应信息时适用。
`malware`	`malware/name` 值的 CSV。	当 JSON 中提供相应信息时适用。
`locations\_source`	`locations/source/country/name` 值的 CSV。	当 JSON 中提供相应信息时适用。
`locations\_target`	`locations/target/name` 值的 CSV。	当 JSON 中提供相应信息时适用。
`cve`	`cve/cve\_id` 值的 CSV。	当 JSON 中提供相应信息时适用。
`description`	`description`	当 JSON 中提供相应信息时适用。
`last\_activity\_time`	`last\_activity\_time`	当 JSON 中提供相应信息时适用。
`report\_link`	精心制作。	当 JSON 中提供相应信息时适用。

下表列出了使用 Enrich Entities 操作时 Vulnerability 实体的扩充值：

扩充项字段名称	来源（JSON 键）	适用性
`sources`	`source_name` 值的 CSV。	当 JSON 中提供相应信息时适用。
`exploitation_state`	`exploitation_state`	当 JSON 中提供相应信息时适用。
`date_of_disclosure`	`date_of_disclosure`	当 JSON 中提供相应信息时适用。
`vendor_fix_references`	`vendor_fix_references/url`	当 JSON 中提供相应信息时适用。
`title`	`title`	当 JSON 中提供相应信息时适用。
`exploitation_vectors`	`exploitation_vectors` 值的 CSV。	当 JSON 中提供相应信息时适用。
`description`	`description`	当 JSON 中提供相应信息时适用。
`risk_rating`	`risk_rating`	当 JSON 中提供相应信息时适用。
`available_mitigation`	`available_mitigation` 值的 CSV。	当 JSON 中提供相应信息时适用。
`exploitation_consequence`	`exploitation_consequence`	当 JSON 中提供相应信息时适用。
`report_link`	精心制作	当 JSON 中提供相应信息时适用。

JSON 结果

以下示例展示了使用丰富实体操作时收到的指示器的 JSON 结果输出：

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下示例展示了使用丰富实体操作时收到的 Threat Actor 实体的 JSON 结果输出：

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下示例展示了使用丰富实体操作时收到的 Vulnerability 实体的 JSON 结果输出：

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

输出消息

丰富实体操作可以返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully enriched the following entities using information from Mandiant: ENTITY_ID` `Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID` `None of the provided entities were enriched.`	操作成功。
`Error executing action "Enrich Entities". Reason: ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

操作成功。

Error executing action "Enrich Entities". Reason:
      ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用丰富实体操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

丰富 IOC

使用 Enrich IOCs 操作从 Mandiant Threat Intelligence 获取有关 IOC 的信息。

此操作不适用于 Google SecOps 实体。

操作输入

丰富 IOC 操作需要以下参数：

参数	说明
`IOC Identifiers`	必需要扩充的 IOC 的英文逗号分隔列表。

操作输出

丰富 IOC 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用丰富 IOC 操作时收到的 JSON 结果输出：

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

输出消息

丰富 IOC 操作可以返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully enriched the following IOCs using information from Mandiant: IOC_ID` `Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.` `No IOCs were enriched.`	操作成功。
`Error executing action "Enrich IOCs". Reason: ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

操作成功。

Error executing action "Enrich IOCs". Reason:
      ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Enrich IOCs 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

获取恶意软件详细信息

使用 Get Malware Details 操作从 Mandiant Threat Intelligence 获取有关恶意软件的信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取恶意软件详细信息操作需要以下参数：

参数	说明
`Malware Names`	必需要扩充的恶意软件名称的英文逗号分隔列表。
`Create Insight`	可选如果选择此操作，系统会创建一个包含有关实体的所有检索到的信息的分析。
`Fetch Related IOCs`	可选如果选中，该操作会提取与所提供的恶意软件相关的指示器。
`Max Related IOCs To Return`	可选操作针对每种恶意软件处理的指示器数量。默认值为 100。

操作输出

获取恶意软件详细信息操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取恶意软件详细信息操作时收到的 JSON 结果输出：

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

输出消息

获取恶意软件详细信息操作可以返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.` `Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.` `No malware information was found.`	操作成功。
`Error executing action "Get Malware Details". Reason: ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

操作成功。

Error executing action "Get Malware Details". Reason:
      ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用获取恶意软件详细信息操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

获取相关实体

使用 Get Related Entities 操作，通过 Mandiant Threat Intelligence 中的信息获取与实体相关的入侵指标 (IOC) 的详细信息。

此操作适用于以下 Google SecOps 实体：

Hostname
IP Address
URL
File Hash
Threat Actor

操作输入

获取相关实体操作需要以下参数：

参数说明

参数	说明
`Lowest Severity Score`	必需返回相关指标的最低严重程度得分。默认值为 50。最大值为 100。
`Max IOCs To Return`	可选操作为每个实体处理的指示器数量。默认值为 100。

Lowest Severity Score

必需

返回相关指标的最低严重程度得分。

默认值为 50。最大值为 100。

Max IOCs To Return

可选

操作为每个实体处理的指示器数量。

默认值为 100。

操作输出

获取相关实体操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取相关实体操作时收到的 JSON 结果输出：

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}

输出消息

获取相关实体操作可以返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID` `No related indicators were found for the following entities using information from Mandiant: ENTITY_ID` `No related indicators were found.`	操作成功。
`Error executing action "Get Related Entities". Reason: ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

操作成功。

Error executing action "Get Related Entities". Reason:
      ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Get Related Entities 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

Ping

使用 Ping 操作测试与 Mandiant 威胁情报的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

Ping 操作可以返回以下输出消息：

输出消息消息说明

Successfully connected to the Mandiant server with the provided connection parameters! 操作成功。

输出消息	消息说明
`Successfully connected to the Mandiant server with the provided connection parameters!`	操作成功。
`Failed to connect to the Mandiant server! Error is ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。

Failed to connect to the Mandiant server! Error is
      ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`