Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Integra Mandiant con Google SecOps

En este documento, se explica cómo integrar Mandiant en Google Security Operations.

Casos de uso

La integración de Mandiant usa las capacidades de Google SecOps para admitir los siguientes casos de uso:

Enriquece los nombres de host, las direcciones IP y las URLs: Recupera automáticamente la inteligencia contra amenazas para los indicadores basados en la red para identificar la actividad maliciosa.
Analiza los hashes de archivos: Evalúa los hashes MD5, SHA-1 y SHA-256 con el repositorio de Mandiant para determinar si los archivos son amenazas conocidas.
Identifica indicadores relacionados: Descubre IOC adicionales asociados con agentes de amenazas o vulnerabilidades específicos para trazar una superficie de ataque más amplia.
Recupera detalles de malware: Obtén información específica sobre las familias de malware, incluidas sus funciones y objetivos comunes, para ayudar en la respuesta ante incidentes.

Antes de comenzar

Para autenticar la conexión entre Google SecOps y Mandiant, debes proporcionar un ID de cliente y un secreto del cliente válidos.

Puedes generar y administrar estas credenciales en la consola de Mandiant Advantage.

Para obtener instrucciones detalladas sobre cómo generar estas credenciales, consulta la guía de la API de Mandiant.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Raíz de la IU	String	https://advantage.mandiant.com	Sí	Es la raíz de la IU de la instancia de Mandiant.
Raíz de la API	String	https://api.intelligence.mandiant.com	Sí	Es la raíz de la API de la instancia de Mandiant.
ID de cliente	Contraseña	N/A	No	Es el ID de cliente de la cuenta de Mandiant.
Archivo del certificado de la AC	String	N/A	No	Es el secreto del cliente de la cuenta de Mandiant.
Verificar SSL	Casilla de verificación	Desmarcado	Sí	Si se habilita, verifica que el certificado SSL para la conexión con el servidor de Mandiant sea válido.

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Cómo generar el ID de cliente y el secreto del cliente

Ve a Configuración -> Acceso y claves de API y haz clic en Obtener ID de clave y secreto.

Casos de uso

Enriquecer entidades

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Ping

Prueba la conectividad con Mandiant con los parámetros proporcionados en la página de configuración de la integración en la página del Centro de contenido de Google SecOps.

Parámetros

N/A

Fecha de ejecución

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success=False

Resultado de JSON

N/A

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Muro de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se realiza correctamente: "Successfully connected to the Mandiant server with the provided connection parameters!" La acción debería fallar y detener la ejecución de una guía: Si no se realiza correctamente: "Failed to connect to the Mandiant server! Error is {0}".format(exception.stacktrace)"	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se realiza correctamente: "Successfully connected to the Mandiant server with the provided connection parameters!"

La acción debería fallar y detener la ejecución de una guía:

Si no se realiza correctamente: "Failed to connect to the Mandiant server! Error is {0}".format(exception.stacktrace)"

General

Enriquece entidades

Enriquecer entidades con información de Mandiant Entidades admitidas: nombre de host, dirección IP, URL, hash de archivo, agente de amenazas y vulnerabilidad.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Umbral de puntuación de gravedad	Número entero	50	Sí	Especifica la puntuación de gravedad más baja que se usa para marcar la entidad como sospechosa. Nota: Solo se pueden marcar como sospechosos los indicadores (nombre de host, dirección IP, hash de archivo, URL). Máximo: 100
Crea estadísticas	Casilla de verificación	Marcado	No	Si está habilitada, la acción crea una estadística que contiene toda la información recuperada sobre la entidad.
Solo estadísticas de entidades sospechosas	Casilla de verificación	Desmarcado	No	Si se habilita, la acción solo crea una estadística para las entidades sospechosas. Nota: El parámetro "Crear estadística" debe estar habilitado. También se crean estadísticas para las entidades "Agente de amenazas" y "Vulnerabilidad", aunque no se marquen como sospechosas.

Nombre visible del parámetro

Tipo

Valor predeterminado

Es obligatorio

Descripción

Umbral de puntuación de gravedad

Número entero

Sí

Especifica la puntuación de gravedad más baja que se usa para marcar la entidad como sospechosa.

Nota: Solo se pueden marcar como sospechosos los indicadores (nombre de host, dirección IP, hash de archivo, URL).

Máximo: 100

Crea estadísticas

Casilla de verificación

Marcado

Si está habilitada, la acción crea una estadística que contiene toda la información recuperada sobre la entidad.

Solo estadísticas de entidades sospechosas

Casilla de verificación

Desmarcado

Si se habilita, la acción solo crea una estadística para las entidades sospechosas.

Nota: El parámetro "Crear estadística" debe estar habilitado.

También se crean estadísticas para las entidades "Agente de amenazas" y "Vulnerabilidad", aunque no se marquen como sospechosas.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

Nombre de host
Dirección IP
URL
Hash de archivo
Agente de amenazas
Vulnerabilidad

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success=False

Resultado de JSON

Resultado de JSON para indicadores

{
    "Entity": "173.254.xx.xx",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ipv4--da5b1f26-cf25-5a61-9c93-xxxxx",
      "type": "ipv4",
      "value": "173.254.xx.xx",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Resultado en JSON para el agente de amenazas

{
    "Entity": "APxxxxx",
    "EntityResult": {
      "motivations": [
        {
          "id": "motivation--1b8ca82a-7cff-5622-bedd-xxxx",
          "name": "Espionage",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "identity--cc593632-0c42-500c-8d0b-xxxxx",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "identity--8768c9d0-830d-5c94-88d1-xxxxxxx",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--09673ebc-9fbf-5ab0-9130-xxxxx",
          "name": "AGEDMOAT",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--a2de25d8-beae-5e86-b10e-xxxxxx",
          "name": "ZERODUE",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--57e5ea29-1c08-5f80-b28e-xxxxx",
          "name": "ANGRYIP",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--02178345-7a8a-546a-b82f-xxxxx",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--c80cc2c3-c5b6-5769-b228-xxxxx",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--26e2c717-7772-5ad5-8f0c-xxxxx",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--a509dfc8-789b-595b-a201-xxxxx",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--7b33370b-da4b-5c48-9741-xxxxx",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--9488166d-6469-5e54-ba5f-xxxxx",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--8cb90843-f69a-5aa6-95dc-xxxxx",
          "cve_id": "CVE-2009-xxxx",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-xxxxx",
      "name": "APxxxx",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Resultado en JSON para la vulnerabilidad

  {
    "Entity": "CVE-2022-xxxx",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;NetWeaver Application Server for ABAP&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "https://wiki.scn.company.com/wiki/pages/viewpage.action?pageId=596902035",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "59690xxxx"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--27efc4f2-4d7b-5d39-a96f-xxxxx",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/311xxxxx",
          "name": "Company A (311xxxx) Security Update Information",
          "unique_id": "311xxxxx"
        }
      ],
      "title": "Company A NetWeaver Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "netweaver_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a netweaver_as_abap 7.31",
          "cpe": "cpe:2.3:a:aompany a:netweaver_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;NetWeaver Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-2022-xxxx",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Enriquecimiento de entidades

Tabla de enriquecimiento para indicadores: prefijo Mandiant_

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Lógica: Cuándo aplicarla
first_seen	first_seen	Cuando está disponible en JSON
last_seen	last_seen	Cuando está disponible en JSON
Eventarc	CSV de "sources/source_name" únicos	Cuando está disponible en JSON
mscore	mscore	Cuando está disponible en JSON
attributed_associations_{associated_associations/type}	CSV de attributed_associations/name por attributed_associations/type, por lo que hay una clave por tipo. Por ejemplo, todo el software malicioso está en un solo lugar.	Cuando está disponible en JSON
report_link	Se elabora.	Cuando está disponible en JSON

Tabla de enriquecimiento para el agente de amenazas: prefijo Mandiant_

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Lógica: Cuándo aplicarla
motivaciones	CSV de motivaciones/nombre	Cuando está disponible en JSON
aliases	Archivo CSV de alias o nombres	Cuando está disponible en JSON
industries	CSV de industrias/nombre	Cuando está disponible en JSON
malware	CSV de software malicioso/nombre	Cuando está disponible en JSON
locations\_source	CSV de ubicaciones, fuente, país y nombre	Cuando está disponible en JSON
locations\_target	Archivo CSV de ubicaciones, segmentaciones o nombres	Cuando está disponible en JSON
cve	CSV de cve/cve\_id	Cuando está disponible en JSON
descripción	descripción	Cuando está disponible en JSON
last\_activity\_time	last\_activity\_time	Cuando está disponible en JSON
report\_link	Se elabora.	Cuando está disponible en JSON

Tabla de enriquecimiento para vulnerabilidades: prefijo Mandiant_

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Lógica: Cuándo aplicarla
Eventarc	CSV de source_name	Cuando está disponible en JSON
exploitation_state	exploitation_state	Cuando está disponible en JSON
date_of_disclosure	date_of_disclosure	Cuando está disponible en JSON
vendor_fix_references	vendor_fix_references/url	Cuando está disponible en JSON
título	título	Cuando está disponible en JSON
exploitation_vectors	CSV de exploitation_vectors	Cuando está disponible en JSON
descripción	descripción	Cuando está disponible en JSON
risk_rating	risk_rating	Cuando está disponible en JSON
available_mitigation	CSV de available_mitigation	Cuando está disponible en JSON
exploitation_consequence	exploitation_consequence	Cuando está disponible en JSON
report_link	Se elabora.	Cuando está disponible en JSON

Estadísticas

N/A

Muro de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si hay datos disponibles para una entidad (is_success=true): "Se enriquecieron correctamente las siguientes entidades con información de Mandiant: {entity.identifier}." Si no hay datos disponibles para una entidad (is_success=true): "La acción no pudo enriquecer las siguientes entidades con información de Mandiant: {entity.identifier}". Si no hay datos disponibles para todas las entidades (is_success=false): "None of the provided entities were enriched." La acción debería fallar y detener la ejecución de una guía: Si se informa un error grave, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error executing action "Enrich Entities". Motivo: {0}''.format(error.Stacktrace)"	General
Tabla del muro de casos	Título de la tabla: {entity.identifier} Columnas de la tabla: Clave Valor	Entidad

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si hay datos disponibles para una entidad (is_success=true): "Se enriquecieron correctamente las siguientes entidades con información de Mandiant: {entity.identifier}."

Si no hay datos disponibles para una entidad (is_success=true): "La acción no pudo enriquecer las siguientes entidades con información de Mandiant: {entity.identifier}".

Si no hay datos disponibles para todas las entidades (is_success=false): "None of the provided entities were enriched."

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error grave, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error executing action "Enrich Entities". Motivo: {0}''.format(error.Stacktrace)"

General

Tabla del muro de casos

Título de la tabla: {entity.identifier}

Columnas de la tabla:

Clave
Valor

Entidad

Obtén entidades relacionadas

Obtén información sobre los IOC relacionados con las entidades usando información de Mandiant. Entidades admitidas: nombre de host, dirección IP, URL, hash de archivo y agente de amenazas.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Puntuación de gravedad más baja	Número entero	50	Sí	Especifica la puntuación de gravedad más baja que se usa para devolver indicadores relacionados. Máximo: 100
Cantidad máxima de IOC que se devolverán	Número entero	100	No	Especifica la cantidad de indicadores que la acción debe procesar por entidad.

Nombre visible del parámetro

Tipo

Valor predeterminado

Es obligatorio

Descripción

Puntuación de gravedad más baja

Número entero

Sí

Especifica la puntuación de gravedad más baja que se usa para devolver indicadores relacionados.

Máximo: 100

Cantidad máxima de IOC que se devolverán

Número entero

100

Especifica la cantidad de indicadores que la acción debe procesar por entidad.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

Nombre de host
Dirección IP
URL
Hash de archivo
Agente de amenazas

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success=False

Resultado de JSON

{
    "hash": [{value}],
    "url": [{value}],
    "fqdn": [{value}],
    "ip": [{value}],
    "email": [{value}]
}

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Muro de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si hay datos disponibles para una entidad (is_success=true): "Se devolvieron correctamente los indicadores relacionados para las siguientes entidades con información de Mandiant: {entity.identifier}." Si no hay datos disponibles para una entidad (is_success=true): "No se encontraron indicadores relacionados para las siguientes entidades con información de Mandiant: {entity.identifier}". Si no hay datos disponibles para todas las entidades (is_success=false): "No se encontraron indicadores relacionados". La acción debería fallar y detener la ejecución de una guía: Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Obtener entidades relacionadas". Motivo: {0}''.format(error.Stacktrace)"	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si hay datos disponibles para una entidad (is_success=true): "Se devolvieron correctamente los indicadores relacionados para las siguientes entidades con información de Mandiant: {entity.identifier}."

Si no hay datos disponibles para una entidad (is_success=true): "No se encontraron indicadores relacionados para las siguientes entidades con información de Mandiant: {entity.identifier}".

Si no hay datos disponibles para todas las entidades (is_success=false): "No se encontraron indicadores relacionados".

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Obtener entidades relacionadas". Motivo: {0}''.format(error.Stacktrace)"

General

Enriquece los IOC

Obtén información sobre los IOC de Mandiant.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Identificadores de IOC	CSV	N/A	Sí	Especifica una lista separada por comas de los IOC que se deben enriquecer.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success=False

Resultado de JSON

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-c32fc738c54a",
            "name": "APT1",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--25667188-bcf5-5abc-b1cc-caabfa18e2b3",
    "type": "fqdn",
    "value": "agru.qpoe.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Muro de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si hay datos disponibles para un IOC (is_success=true): "Se enriquecieron correctamente los siguientes IOC con información de Mandiant: {ioc .identifier}". Si no hay datos disponibles para un IOC (is_success=true): "La acción no pudo enriquecer los siguientes IOC con información de Mandiant: {ioc .identifier}". Si no hay datos disponibles para todos los IoC (is_success=false): "No se enriqueció ningún IoC". La acción debería fallar y detener la ejecución de una guía: Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error al ejecutar la acción 'Obtener entidades relacionadas'. Reason: {0}''.format(error.Stacktrace)	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si hay datos disponibles para un IOC (is_success=true): "Se enriquecieron correctamente los siguientes IOC con información de Mandiant: {ioc .identifier}".

Si no hay datos disponibles para un IOC (is_success=true): "La acción no pudo enriquecer los siguientes IOC con información de Mandiant: {ioc .identifier}".

Si no hay datos disponibles para todos los IoC (is_success=false): "No se enriqueció ningún IoC".

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error al ejecutar la acción 'Obtener entidades relacionadas'. Reason: {0}''.format(error.Stacktrace)

General

Obtener detalles del software malicioso

Obtén información sobre el software malicioso de Mandiant.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombres de malware	CSV	N/A	Sí	Especifica una lista separada por comas de los nombres de malware que se deben enriquecer.
Crea estadísticas	Casilla de verificación	Marcado	No	Si está habilitada, la acción crea una estadística que contiene toda la información recuperada sobre la entidad.
Recupera los IOC relacionados	Casilla de verificación	Marcado	No	Si está habilitada, la acción recupera los indicadores relacionados con el software malicioso proporcionado.
Cantidad máxima de IoC relacionados que se devolverán	Número entero	100	No	Especifica la cantidad de indicadores que la acción debe procesar por cada software malicioso.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success=False

Resultado de JSON

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--96f82012-c77e-5887-bee9-69aec0b88578",
    "name": "PHOTOMINER",
    "description": "PHOTOMINER is a Windows-based modular cryptocurrency mining malware that communicates over HTTP.",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Muro de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si hay datos disponibles para un software malicioso (is_success=true): "Se enriqueció correctamente el siguiente software malicioso con información de Mandiant: {malware name}". Si no hay datos disponibles para un software malicioso (is_success=true): "La acción no pudo enriquecer el siguiente software malicioso con información de Mandiant: {malware name}". Si no hay datos disponibles para todo el malware (is_success=false): "No se encontró información sobre el malware". La acción debería fallar y detener la ejecución de una guía: Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Obtener detalles del software malicioso". Motivo: {0}''.format(error.Stacktrace)"	General
Tabla del muro de casos	Nombre de la tabla: Malware Results Columnas de la tabla: Nombre - nombre Descripción: descripción Alias: CSV de {aliases/name} Hora de la última actividad: {last_activity_time}	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si hay datos disponibles para un software malicioso (is_success=true): "Se enriqueció correctamente el siguiente software malicioso con información de Mandiant: {malware name}".

Si no hay datos disponibles para un software malicioso (is_success=true): "La acción no pudo enriquecer el siguiente software malicioso con información de Mandiant: {malware name}".

Si no hay datos disponibles para todo el malware (is_success=false): "No se encontró información sobre el malware".

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Obtener detalles del software malicioso". Motivo: {0}''.format(error.Stacktrace)"

General

Tabla del muro de casos

Nombre de la tabla: Malware Results

Columnas de la tabla:

Nombre - nombre
Descripción: descripción
Alias: CSV de {aliases/name}
Hora de la última actividad: {last_activity_time}

General

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.