Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Intégrer Mandiant à Google SecOps

Ce document explique comment intégrer Mandiant à Google Security Operations.

Cas d'utilisation

L'intégration de Mandiant utilise les fonctionnalités de Google SecOps pour prendre en charge les cas d'utilisation suivants :

Enrichir les noms d'hôte, les adresses IP et les URL : récupérez automatiquement les renseignements sur les menaces pour les indicateurs réseau afin d'identifier les activités malveillantes.
Analyser les hachages de fichiers : évaluez les hachages MD5, SHA-1 et SHA-256 par rapport au dépôt de Mandiant pour déterminer si les fichiers sont des menaces connues.
Identifier les indicateurs associés : découvrez d'autres IOC associés à des pirates informatiques ou à des failles spécifiques pour cartographier une surface d'attaque plus large.
Récupérer des informations sur les logiciels malveillants : obtenez des informations ciblées sur les familles de logiciels malveillants, y compris leurs rôles et leurs cibles courantes, pour faciliter la réponse aux incidents.

Avant de commencer

Pour authentifier la connexion entre Google SecOps et Mandiant, vous devez fournir un ID client et un code secret du client valides.

Vous pouvez générer et gérer ces identifiants dans votre console Mandiant Advantage.

Pour obtenir des instructions détaillées sur la génération de ces identifiants, consultez le guide de l'API Mandiant.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre	Type	Valeur par défaut	Is Mandatory	Description
Racine de l'UI	Chaîne	https://advantage.mandiant.com	Oui	Racine de l'interface utilisateur de l'instance Mandiant.
Racine de l'API	Chaîne	https://api.intelligence.mandiant.com	Oui	Racine de l'API de l'instance Mandiant.
ID client	Mot de passe	N/A	Non	ID client du compte Mandiant.
Fichier de certificat CA	Chaîne	N/A	Non	Code secret du client du compte Mandiant.
Vérifier le protocole SSL	Case à cocher	Décochée	Oui	Si cette option est activée, elle vérifie que le certificat SSL de la connexion au serveur Mandiant est valide.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Générer un ID client et un code secret du client

Accédez à Settings -> API Access and Keys (Paramètres -> Accès et clés API), puis cliquez sur Get Key ID and Secret (Obtenir l'ID et le secret de la clé).

Cas d'utilisation

Enrichir les entités.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ping

Testez la connectivité à Mandiant avec les paramètres fournis sur la page de configuration de l'intégration dans la page Google SecOps Content Hub.

Paramètres

N/A

Exécuter sur

Cette action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

N/A

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit : "Successfully connected to the Mandiant server with the provided connection parameters!" (Connexion au serveur Mandiant établie avec les paramètres de connexion fournis) L'action doit échouer et arrêter l'exécution d'un playbook : Si l'opération échoue : "Échec de la connexion au serveur Mandiant ! Erreur : {0}".format(exception.stacktrace)"	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit : "Successfully connected to the Mandiant server with the provided connection parameters!" (Connexion au serveur Mandiant établie avec les paramètres de connexion fournis)

L'action doit échouer et arrêter l'exécution d'un playbook :

Si l'opération échoue : "Échec de la connexion au serveur Mandiant ! Erreur : {0}".format(exception.stacktrace)"

Général

Enrichir les entités

Enrichissez les entités à l'aide des informations de Mandiant. Entités compatibles : nom d'hôte, adresse IP, URL, hachage de fichier, acteur de menace, faille.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Is Mandatory	Description
Seuil du score de gravité	Integer	50	Oui	Spécifiez le score de gravité le plus bas utilisé pour marquer l'entité comme suspecte. Remarque : Seuls les indicateurs (nom d'hôte, adresse IP, hachage de fichier, URL) peuvent être marqués comme suspects. Maximum : 100
Créer un insight	Case à cocher	Cochée	Non	Si cette option est activée, l'action crée un insight contenant toutes les informations récupérées sur l'entité.
Insight "Entité suspecte" uniquement	Case à cocher	Décochée	Non	Si cette option est activée, l'action ne crée un insight que pour les entités suspectes. Remarque : Le paramètre "Créer un insight" doit être activé. Des insights sont également créés pour les entités "Acteur de menace" et "Vulnérabilité", même si elles ne sont pas marquées comme suspectes.

Nom à afficher du paramètre

Type

Valeur par défaut

Is Mandatory

Description

Seuil du score de gravité

Integer

Oui

Spécifiez le score de gravité le plus bas utilisé pour marquer l'entité comme suspecte.

Remarque : Seuls les indicateurs (nom d'hôte, adresse IP, hachage de fichier, URL) peuvent être marqués comme suspects.

Maximum : 100

Créer un insight

Case à cocher

Cochée

Non

Si cette option est activée, l'action crée un insight contenant toutes les informations récupérées sur l'entité.

Insight "Entité suspecte" uniquement

Case à cocher

Décochée

Non

Si cette option est activée, l'action ne crée un insight que pour les entités suspectes.

Remarque : Le paramètre "Créer un insight" doit être activé.

Des insights sont également créés pour les entités "Acteur de menace" et "Vulnérabilité", même si elles ne sont pas marquées comme suspectes.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Nom d'hôte
Adresse IP
URL
Hachage de fichier
Acteur malveillant
Faille

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

Résultat JSON pour les indicateurs

{
    "Entity": "173.254.xx.xx",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ipv4--da5b1f26-cf25-5a61-9c93-xxxxx",
      "type": "ipv4",
      "value": "173.254.xx.xx",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Résultat JSON pour l'acteur de menace

{
    "Entity": "APxxxxx",
    "EntityResult": {
      "motivations": [
        {
          "id": "motivation--1b8ca82a-7cff-5622-bedd-xxxx",
          "name": "Espionage",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "identity--cc593632-0c42-500c-8d0b-xxxxx",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "identity--8768c9d0-830d-5c94-88d1-xxxxxxx",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--09673ebc-9fbf-5ab0-9130-xxxxx",
          "name": "AGEDMOAT",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--a2de25d8-beae-5e86-b10e-xxxxxx",
          "name": "ZERODUE",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--57e5ea29-1c08-5f80-b28e-xxxxx",
          "name": "ANGRYIP",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--02178345-7a8a-546a-b82f-xxxxx",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--c80cc2c3-c5b6-5769-b228-xxxxx",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--26e2c717-7772-5ad5-8f0c-xxxxx",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--a509dfc8-789b-595b-a201-xxxxx",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--7b33370b-da4b-5c48-9741-xxxxx",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--9488166d-6469-5e54-ba5f-xxxxx",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--8cb90843-f69a-5aa6-95dc-xxxxx",
          "cve_id": "CVE-2009-xxxx",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-xxxxx",
      "name": "APxxxx",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Résultat JSON pour la faille

  {
    "Entity": "CVE-2022-xxxx",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;NetWeaver Application Server for ABAP&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "https://wiki.scn.company.com/wiki/pages/viewpage.action?pageId=596902035",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "59690xxxx"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--27efc4f2-4d7b-5d39-a96f-xxxxx",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/311xxxxx",
          "name": "Company A (311xxxx) Security Update Information",
          "unique_id": "311xxxxx"
        }
      ],
      "title": "Company A NetWeaver Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "netweaver_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a netweaver_as_abap 7.31",
          "cpe": "cpe:2.3:a:aompany a:netweaver_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;NetWeaver Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-2022-xxxx",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Enrichissement d'entités

Table d'enrichissement pour les indicateurs – Préfixe Mandiant_

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand les utiliser ?
first_seen	first_seen	Lorsqu'il est disponible au format JSON
last_seen	last_seen	Lorsqu'il est disponible au format JSON
Eventarc	CSV de "sources/source_name" uniques	Lorsqu'il est disponible au format JSON
mscore	mscore	Lorsqu'il est disponible au format JSON
attributed_associations_{associated_associations/type}	CSV de attributed_associations/name par attributed_associations/type, soit une clé par type. Par exemple, tous les logiciels malveillants sont regroupés au même endroit.	Lorsqu'il est disponible au format JSON
report_link	Il est fabriqué.	Lorsqu'il est disponible au format JSON

Table d'enrichissement pour l'acteur malveillant – Préfixe Mandiant_

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand les utiliser ?
motivations	Fichier CSV contenant les motivations/noms	Lorsqu'il est disponible au format JSON
aliases	Fichier CSV des alias/noms	Lorsqu'il est disponible au format JSON
secteurs	Fichier CSV contenant les secteurs d'activité/noms	Lorsqu'il est disponible au format JSON
attaque de logiciels malveillants	Fichier CSV contenant les logiciels malveillants/noms	Lorsqu'il est disponible au format JSON
locations\_source	CSV des emplacements/sources/pays/noms	Lorsqu'il est disponible au format JSON
locations\_target	CSV des emplacements/cible/nom	Lorsqu'il est disponible au format JSON
cve	Fichier CSV de cve/cve\_id	Lorsqu'il est disponible au format JSON
description	description	Lorsqu'il est disponible au format JSON
last\_activity\_time	last\_activity\_time	Lorsqu'il est disponible au format JSON
report\_link	Il est fabriqué.	Lorsqu'il est disponible au format JSON

Table d'enrichissement pour les failles – Préfixe Mandiant_

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand les utiliser ?
Eventarc	CSV de source_name	Lorsqu'il est disponible au format JSON
exploitation_state	exploitation_state	Lorsqu'il est disponible au format JSON
date_of_disclosure	date_of_disclosure	Lorsqu'il est disponible au format JSON
vendor_fix_references	vendor_fix_references/url	Lorsqu'il est disponible au format JSON
titre	titre	Lorsqu'il est disponible au format JSON
exploitation_vectors	Fichier CSV des vecteurs d'exploitation	Lorsqu'il est disponible au format JSON
description	description	Lorsqu'il est disponible au format JSON
risk_rating	risk_rating	Lorsqu'il est disponible au format JSON
available_mitigation	Fichier CSV de available_mitigation	Lorsqu'il est disponible au format JSON
exploitation_consequence	exploitation_consequence	Lorsqu'il est disponible au format JSON
report_link	Il est fabriqué.	Lorsqu'il est disponible au format JSON

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour une entité (is_success=true) : "Successfully enriched the following entities using information from Mandiant: {entity.identifier}." Si les données ne sont pas disponibles pour une entité (is_success=true) : "L'action n'a pas pu enrichir les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}." Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucune des entités fournies n'a été enrichie." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)"	Général
Tableau du mur des cas	Titre du tableau : {entity.identifier} Colonnes du tableau : Clé Valeur	Entité

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour une entité (is_success=true) : "Successfully enriched the following entities using information from Mandiant: {entity.identifier}."

Si les données ne sont pas disponibles pour une entité (is_success=true) : "L'action n'a pas pu enrichir les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}."

Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucune des entités fournies n'a été enrichie."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)"

Général

Tableau du mur des cas

Titre du tableau : {entity.identifier}

Colonnes du tableau :

Clé
Valeur

Entité

Obtenir les entités associées

Obtenez des informations sur les IOC liés aux entités à l'aide des informations de Mandiant. Entités compatibles : nom d'hôte, adresse IP, URL, hachage de fichier, acteur malveillant.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Is Mandatory	Description
Score de gravité le plus faible	Integer	50	Oui	Spécifiez le score de gravité le plus faible utilisé pour renvoyer les indicateurs associés. Maximum : 100
Nombre maximal d'IOC à renvoyer	Integer	100	Non	Spécifiez le nombre d'indicateurs que l'action doit traiter par entité.

Nom à afficher du paramètre

Type

Valeur par défaut

Is Mandatory

Description

Score de gravité le plus faible

Integer

Oui

Spécifiez le score de gravité le plus faible utilisé pour renvoyer les indicateurs associés.

Maximum : 100

Nombre maximal d'IOC à renvoyer

Integer

100

Non

Spécifiez le nombre d'indicateurs que l'action doit traiter par entité.

Exécuter sur

Cette action s'exécute sur les entités suivantes :

Nom d'hôte
Adresse IP
URL
Hachage de fichier
Acteur malveillant

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

{
    "hash": [{value}],
    "url": [{value}],
    "fqdn": [{value}],
    "ip": [{value}],
    "email": [{value}]
}

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour une entité (is_success=true) : "Successfully returned related indicators for the following entities using information from Mandiant: {entity.identifier}." Si aucune donnée n'est disponible pour une entité (is_success=true) : "Aucun indicateur associé n'a été trouvé pour les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}." Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucun indicateur associé n'a été trouvé." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Get Related Entities". Reason: {0}''.format(error.Stacktrace)"	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour une entité (is_success=true) : "Successfully returned related indicators for the following entities using information from Mandiant: {entity.identifier}."

Si aucune donnée n'est disponible pour une entité (is_success=true) : "Aucun indicateur associé n'a été trouvé pour les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}."

Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucun indicateur associé n'a été trouvé."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Get Related Entities". Reason: {0}''.format(error.Stacktrace)"

Général

Enrichir les IOC

Obtenez des informations sur les IOC auprès de Mandiant.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Is Mandatory	Description
Identifiants IOC	CSV	N/A	Oui	Spécifiez une liste d'IOC à enrichir, séparés par une virgule.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-c32fc738c54a",
            "name": "APT1",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--25667188-bcf5-5abc-b1cc-caabfa18e2b3",
    "type": "fqdn",
    "value": "agru.qpoe.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour un IOC (is_success=true) : "Successfully enriched the following IOCs using information from Mandiant: {ioc .identifier}." Si aucune donnée n'est disponible pour un IOC (is_success=true) : "L'action n'a pas pu enrichir les IOC suivants à l'aide des informations de Mandiant : {ioc .identifier}." Si les données ne sont pas disponibles pour tous les IOC (is_success=false) : "Aucun IOC n'a été enrichi." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Get Related Entities". Reason: {0}''.format(error.Stacktrace)	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour un IOC (is_success=true) : "Successfully enriched the following IOCs using information from Mandiant: {ioc .identifier}."

Si aucune donnée n'est disponible pour un IOC (is_success=true) : "L'action n'a pas pu enrichir les IOC suivants à l'aide des informations de Mandiant : {ioc .identifier}."

Si les données ne sont pas disponibles pour tous les IOC (is_success=false) : "Aucun IOC n'a été enrichi."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Get Related Entities". Reason: {0}''.format(error.Stacktrace)

Général

Obtenir des détails sur le logiciel malveillant

Obtenez des informations sur les logiciels malveillants auprès de Mandiant.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Is Mandatory	Description
Noms de logiciels malveillants	CSV	N/A	Oui	Spécifiez une liste de noms de logiciels malveillants à enrichir, séparés par une virgule.
Créer un insight	Case à cocher	Cochée	Non	Si cette option est activée, l'action crée un insight contenant toutes les informations récupérées sur l'entité.
Récupérer les IOC associés	Case à cocher	Cochée	Non	Si cette option est activée, l'action récupère les indicateurs liés au logiciel malveillant fourni.
Nombre maximal d'IOC associés à renvoyer	Integer	100	Non	Spécifiez le nombre d'indicateurs que l'action doit traiter par logiciel malveillant.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--96f82012-c77e-5887-bee9-69aec0b88578",
    "name": "PHOTOMINER",
    "description": "PHOTOMINER is a Windows-based modular cryptocurrency mining malware that communicates over HTTP.",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour un logiciel malveillant (is_success=true) : "Enrichissement réussi du logiciel malveillant suivant à l'aide des informations de Mandiant : {malware name}." Si aucune donnée n'est disponible pour un logiciel malveillant (is_success=true) : "L'action n'a pas pu enrichir le logiciel malveillant suivant à l'aide des informations de Mandiant : {malware name}." Si les données ne sont pas disponibles pour tous les logiciels malveillants (is_success=false) : "Aucune information sur les logiciels malveillants n'a été trouvée." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Get Malware Details". Reason: {0}''.format(error.Stacktrace)"	Général
Tableau du mur des cas	Nom de la table : Malware Results Colonnes du tableau : Name - name Description - description Alias : CSV de {aliases/name} Heure de la dernière activité : {last_activity_time}	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour un logiciel malveillant (is_success=true) : "Enrichissement réussi du logiciel malveillant suivant à l'aide des informations de Mandiant : {malware name}."

Si aucune donnée n'est disponible pour un logiciel malveillant (is_success=true) : "L'action n'a pas pu enrichir le logiciel malveillant suivant à l'aide des informations de Mandiant : {malware name}."

Si les données ne sont pas disponibles pour tous les logiciels malveillants (is_success=false) : "Aucune information sur les logiciels malveillants n'a été trouvée."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Get Malware Details". Reason: {0}''.format(error.Stacktrace)"

Général

Tableau du mur des cas

Nom de la table : Malware Results

Colonnes du tableau :

Name - name
Description - description
Alias : CSV de {aliases/name}
Heure de la dernière activité : {last_activity_time}

Général

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.