將 Mandiant Threat Intelligence 與 Google SecOps 整合

本文提供指南，說明如何整合 Mandiant Threat Intelligence 與 Google Security Operations (Google SecOps)。

整合版本：11.0

整合參數

整合 Mandiant 威脅情報需要下列參數：

參數 說明
UI Root 必要

Mandiant 執行個體的 UI 根目錄。

預設值為 https://advantage.mandiant.com。
API Root 必要

Mandiant 執行個體的 API 根目錄。

預設值為 https://api.intelligence.mandiant.com。

如要使用 Google Threat Intelligence 憑證進行驗證，請輸入下列值：https://www.virustotal.com。
Client ID 選用

Mandiant Threat Intelligence 帳戶的用戶端 ID。

如要在 Mandiant Threat Intelligence 中產生用戶端 ID，請依序前往「帳戶設定」「API 存取權和金鑰」「取得金鑰 ID 和密鑰」。
Client Secret 選用

Mandiant Threat Intelligence 帳戶的用戶端密鑰。

如要在 Mandiant Threat Intelligence 中產生用戶端密鑰，請依序前往「Account settings」(帳戶設定)「API access and keys」(API 存取權和金鑰)「Get key ID and secret」(取得金鑰 ID 和密鑰)。
GTI API Key 選填

Google Threat Intelligence 的 API 金鑰。

如要使用 Google 威脅情報進行驗證，請將 API Root 參數值設為 https://www.virustotal.com。

使用 Google Threat Intelligence API 金鑰進行驗證時，系統會優先採用這種驗證方法。
Verify SSL 必要

如果選取這個選項，整合服務會驗證連線至 Mandiant 伺服器的 SSL 憑證是否有效。

(此為預設選項)。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您之後可以變更。設定整合執行個體後，您就可以在劇本中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「從工作區回覆待處理動作」和「執行手動動作」。

充實實體

使用「Enrich Entities」動作，透過 Mandiant Threat Intelligence 的資訊擴充實體。這項操作僅支援 MD5、SHA-1 和 SHA-256 雜湊。

「Enrich Entities」(擴充實體) 動作會對下列 Google SecOps 實體執行：

  • Hostname
  • IP Address
  • URL
  • File Hash
  • Threat Actor
  • Vulnerability

動作輸入內容

「Enrich Entities」動作需要下列參數：

參數 說明
Severity Score Threshold 必要

將實體標示為可疑的最低嚴重程度分數。

這項動作可將下列指標標示為可疑： hostname、IP address、file hash 和 url。

預設值為 50。最大值為 100。
Create Insight 選用

如果選取這個選項，動作會建立洞察資料，其中包含實體的所有擷取資訊。

預設為選取。
Only Suspicious Entity Insight 選用

如果選取，這項動作只會為可疑實體建立洞察資料。

如果選取這個參數，請同時選取 Create Insight 參數。即使 Threat Actor 和 Vulnerability 實體未標示為可疑，這項動作仍會為這些實體建立洞察資料。

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
實體擴充資料表 可用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
實體充實

下表列出使用「Enrich Entities」(擴充實體) 動作時，指標擴充功能的相關值：

補充資料欄位名稱 來源 (JSON 金鑰) 適用性
first_seen first_seen 適用於 JSON 格式。
last_seen last_seen 適用於 JSON 格式。
sources 包含不重複 sources/source_name 值的 CSV 檔案。 適用於 JSON 格式。
mscore mscore 適用於 JSON 格式。
attributed_associations_{associated_associations/type} 每個 attributed_associations/type 類型各有一個 attributed_associations/name 鍵的 CSV 檔案 (每個類型各有一個鍵)。 適用於 JSON 格式。
report_link 已製作。 適用於 JSON 格式。

下表列出使用「Enrich Entities」(擴充實體) 動作時，Threat Actors 實體的擴充值：

補充資料欄位名稱 來源 (JSON 金鑰) 適用性
motivations 以半形逗號分隔的 motivations/name 值。 適用於 JSON 格式。
aliases 以半形逗號分隔的 aliases/name 值。 適用於 JSON 格式。
industries 以半形逗號分隔的 industries/name 值。 適用於 JSON 格式。
malware 以半形逗號分隔的 malware/name 值。 適用於 JSON 格式。
locations\_source 以半形逗號分隔的 locations/source/country/name 值。 適用於 JSON 格式。
locations\_target 以半形逗號分隔的 locations/target/name 值。 適用於 JSON 格式。
cve 以半形逗號分隔的 cve/cve\_id 值。 適用於 JSON 格式。
description description 適用於 JSON 格式。
last\_activity\_time last\_activity\_time 適用於 JSON 格式。
report\_link 已製作。 適用於 JSON 格式。

下表列出使用「Enrich Entities」(擴充實體) 動作時，Vulnerability 實體的擴充值：

補充資料欄位名稱 來源 (JSON 金鑰) 適用性
sources 以半形逗號分隔的 source_name 值。 適用於 JSON 格式。
exploitation_state exploitation_state 適用於 JSON 格式。
date_of_disclosure date_of_disclosure 適用於 JSON 格式。
vendor_fix_references vendor_fix_references/url 適用於 JSON 格式。
title title 適用於 JSON 格式。
exploitation_vectors 以半形逗號分隔的 exploitation_vectors 值。 適用於 JSON 格式。
description description 適用於 JSON 格式。
risk_rating risk_rating 適用於 JSON 格式。
available_mitigation 以半形逗號分隔的 available_mitigation 值。 適用於 JSON 格式。
exploitation_consequence exploitation_consequence 適用於 JSON 格式。
report_link 手工製 適用於 JSON 格式。
JSON 結果

下列範例顯示使用「Enrich Entities」動作時收到的指標 JSON 結果輸出內容：

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下範例顯示使用「Enrich Entities」動作時，收到的 Threat Actor 實體 JSON 結果輸出：

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下範例顯示使用「Enrich Entities」動作時，收到的 Vulnerability 實體 JSON 結果輸出：

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
輸出訊息

「Enrich Entities」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 動作成功。
Error executing action "Enrich Entities". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表列出使用「Enrich Entities」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

充實 IOC

使用「Enrich IOCs」(增補入侵指標) 動作，從 Mandiant Threat Intelligence 取得入侵指標相關資訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Enrich IOCs」動作需要下列參數：

參數 說明
IOC Identifiers 必要

以半形逗號分隔的 IOC 清單，用於擴充資訊。

動作輸出內容

「Enrich IOCs」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「Enrich IOCs」動作時收到的 JSON 結果輸出內容：

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
輸出訊息

「Enrich IOCs」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 動作成功。
Error executing action "Enrich IOCs". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表列出使用「Enrich IOCs」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得惡意軟體詳細資料

使用「取得惡意軟體詳細資料」動作，從 Mandiant Threat Intelligence 取得惡意軟體相關資訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得惡意軟體詳細資料」動作需要下列參數：

參數 說明
Malware Names 必要

以半形逗號分隔的惡意軟體名稱清單，用於擴充資訊。
Create Insight 選用

如果選取這個選項，動作會建立洞察資料，其中包含實體的所有擷取資訊。
Fetch Related IOCs 選用

如果選取這個動作，系統會擷取與所提供惡意軟體相關的指標。
Max Related IOCs To Return 選用

動作為每個惡意軟體處理的指標數量。

預設值為 100。

動作輸出內容

「Get Malware Details」(取得惡意軟體詳細資料) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「取得惡意軟體詳細資料」動作時收到的 JSON 結果輸出內容：

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
輸出訊息

「Get Malware Details」(取得惡意軟體詳細資料) 動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 動作成功。
Error executing action "Get Malware Details". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表列出使用「取得惡意軟體詳細資料」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

使用「Get Related Entities」(取得相關實體) 動作，透過 Mandiant Threat Intelligence 的資訊，取得與實體相關的入侵指標 (IOC) 詳細資料。

這項動作會在下列 Google SecOps 實體上執行：

  • Hostname
  • IP Address
  • URL
  • File Hash
  • Threat Actor

動作輸入內容

「取得相關實體」動作需要下列參數：

參數 說明
Lowest Severity Score 必要

傳回相關指標的最低嚴重性分數。

預設值為 50。最大值為 100。
Max IOCs To Return 選用

動作為每個實體處理的指標數量。

預設值為 100。

動作輸出內容

「取得相關實體」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例顯示使用「取得相關實體」動作時收到的 JSON 結果輸出內容：

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
輸出訊息

「Get Related Entities」(取得相關實體) 動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 動作成功。
Error executing action "Get Related Entities". Reason: ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表列出使用「取得相關實體」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用「Ping」動作測試與 Mandiant 威脅情報的連線。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「Ping」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the Mandiant server with the provided connection parameters! 動作成功。
Failed to connect to the Mandiant server! Error is ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。
指令碼結果

下表列出使用「Ping」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。