Nous avons réorganisé la structure de navigation de notre documentation pour l'aligner directement sur vos workflows opérationnels. Pour en savoir plus, consultez les notes de version et la vidéo de présentation.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Intégrer Mandiant à Google SecOps

Ce document explique comment intégrer Mandiant à Google Security Operations.

Cas d'utilisation

L'intégration Mandiant utilise les fonctionnalités Google SecOps pour prendre en charge les cas d'utilisation suivants :

Enrichissez les noms d'hôte, les adresses IP et les URL : récupérez automatiquement des informations sur les menaces pour les indicateurs réseau afin d'identifier les activités malveillantes.
Analyser les hachages de fichiers : évaluez les hachages MD5, SHA-1 et SHA-256 par rapport au dépôt Mandiant pour déterminer si les fichiers sont des menaces connues.
Identifier les indicateurs associés : découvrez d'autres IOC associés à des acteurs de menace ou à des failles spécifiques pour cartographier une surface d'attaque plus large.
Récupérer les détails des logiciels malveillants : obtenez des informations ciblées sur les familles de logiciels malveillants, y compris leurs rôles et leurs cibles courantes, pour faciliter la réponse aux incidents.

Avant de commencer

Pour authentifier la connexion entre Google SecOps et Mandiant, vous devez fournir un ID client et un code secret du client valides.

Vous pouvez générer et gérer ces identifiants dans votre console Mandiant Advantage.

Pour obtenir des instructions détaillées sur la génération de ces identifiants, consultez le guide de l'API Mandiant.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom du paramètre à afficher	Type	Valeur par défaut	Obligatoire	Description
Racine de l'UI	Chaîne	https://advantage.mandiant.com	Oui	Racine de l'UI de l'instance Mandiant.
Racine de l'API	Chaîne	https://api.intelligence.mandiant.com	Oui	Racine de l'API de l'instance Mandiant.
ID client	Mot de passe	N/A	Non	ID client du compte Mandiant.
Fichier de certificat CA	Chaîne	N/A	Non	Code secret du client du compte Mandiant.
Vérifier le protocole SSL	Case à cocher	Décochée	Oui	Si cette option est activée, elle vérifie que le certificat SSL de la connexion au serveur Mandiant est valide.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement, si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour savoir comment configurer et prendre en charge plusieurs instances, consultez Prise en charge de plusieurs instances.

Générer un ID client et un code secret client

Accédez à Settings > API Access and Keys (Paramètres > Accès et clés API), puis cliquez sur Get Key ID and Secret (Obtenir l'ID et le code secret de la clé).

Cas d'utilisation

enrichir des entités ;

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis Votre bureau et Effectuer une action manuelle.

Ping

Testez la connectivité à Mandiant avec les paramètres fournis sur la page de configuration de l'intégration dans l'onglet "Google Security Operations Marketplace".

Paramètres

N/A

Exécuter le

Cette action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

N/A

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit : "La connexion au serveur Mandiant a bien été établie avec les paramètres de connexion fournis !" L'action doit échouer et arrêter l'exécution d'un playbook : Si l'opération échoue : "Échec de la connexion au serveur Mandiant ! Error is {0}".format(exception.stacktrace)"	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit : "La connexion au serveur Mandiant a bien été établie avec les paramètres de connexion fournis !"

L'action doit échouer et arrêter l'exécution d'un playbook :

Si l'opération échoue : "Échec de la connexion au serveur Mandiant ! Error is {0}".format(exception.stacktrace)"

Général

Enrichir les entités

Enrichissez les entités à l'aide des informations de Mandiant. Entités acceptées : nom d'hôte, adresse IP, URL, hachage de fichier, acteur malveillant, faille.

Paramètres

Nom du paramètre à afficher	Type	Valeur par défaut	Obligatoire	Description
Seuil du score de gravité	Integer	50	Oui	Spécifiez le score de gravité le plus faible utilisé pour marquer l'entité comme suspecte. Remarque : Seuls les indicateurs (nom d'hôte, adresse IP, hachage de fichier, URL) peuvent être marqués comme suspects. Maximum : 100
Créer un insight	Case à cocher	Cochée	Non	Si cette option est activée, l'action crée un insight contenant toutes les informations récupérées sur l'entité.
Insight "Entité suspecte" uniquement	Case à cocher	Décochée	Non	Si cette option est activée, l'action ne crée qu'un insight pour les entités suspectes. Remarque : Le paramètre "Créer un insight" doit être activé. Des insights sont également créés pour les entités "Acteur malveillant" et "Faille", même si elles ne sont pas marquées comme suspectes.

Nom du paramètre à afficher

Type

Valeur par défaut

Obligatoire

Description

Seuil du score de gravité

Integer

Oui

Spécifiez le score de gravité le plus faible utilisé pour marquer l'entité comme suspecte.

Remarque : Seuls les indicateurs (nom d'hôte, adresse IP, hachage de fichier, URL) peuvent être marqués comme suspects.

Maximum : 100

Créer un insight

Case à cocher

Cochée

Non

Si cette option est activée, l'action crée un insight contenant toutes les informations récupérées sur l'entité.

Insight "Entité suspecte" uniquement

Case à cocher

Décochée

Non

Si cette option est activée, l'action ne crée qu'un insight pour les entités suspectes.

Remarque : Le paramètre "Créer un insight" doit être activé.

Des insights sont également créés pour les entités "Acteur malveillant" et "Faille", même si elles ne sont pas marquées comme suspectes.

Exécuter le

Cette action s'applique aux entités suivantes :

Nom d'hôte
Adresse IP
URL
Hachage de fichier
Acteur malveillant
Faille

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

Résultat JSON pour les indicateurs

{
    "Entity": "173.254.xx.xx",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ipv4--da5b1f26-cf25-5a61-9c93-xxxxx",
      "type": "ipv4",
      "value": "173.254.xx.xx",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Résultat JSON pour un acteur malveillant

{
    "Entity": "APxxxxx",
    "EntityResult": {
      "motivations": [
        {
          "id": "motivation--1b8ca82a-7cff-5622-bedd-xxxx",
          "name": "Espionage",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "identity--cc593632-0c42-500c-8d0b-xxxxx",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "identity--8768c9d0-830d-5c94-88d1-xxxxxxx",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--09673ebc-9fbf-5ab0-9130-xxxxx",
          "name": "AGEDMOAT",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--a2de25d8-beae-5e86-b10e-xxxxxx",
          "name": "ZERODUE",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--57e5ea29-1c08-5f80-b28e-xxxxx",
          "name": "ANGRYIP",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--02178345-7a8a-546a-b82f-xxxxx",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--c80cc2c3-c5b6-5769-b228-xxxxx",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--26e2c717-7772-5ad5-8f0c-xxxxx",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--a509dfc8-789b-595b-a201-xxxxx",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--7b33370b-da4b-5c48-9741-xxxxx",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--9488166d-6469-5e54-ba5f-xxxxx",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--8cb90843-f69a-5aa6-95dc-xxxxx",
          "cve_id": "CVE-2009-xxxx",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-xxxxx",
      "name": "APxxxx",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Résultat JSON pour la faille

  {
    "Entity": "CVE-2022-xxxx",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;NetWeaver Application Server for ABAP&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "https://wiki.scn.company.com/wiki/pages/viewpage.action?pageId=596902035",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "59690xxxx"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--27efc4f2-4d7b-5d39-a96f-xxxxx",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/311xxxxx",
          "name": "Company A (311xxxx) Security Update Information",
          "unique_id": "311xxxxx"
        }
      ],
      "title": "Company A NetWeaver Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "netweaver_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a netweaver_as_abap 7.31",
          "cpe": "cpe:2.3:a:aompany a:netweaver_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;NetWeaver Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-2022-xxxx",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Enrichissement d'entités

Table d'enrichissement pour les indicateurs : préfixe Mandiant_

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand l'appliquer ?
first_seen	first_seen	Lorsqu'il est disponible au format JSON
last_seen	last_seen	Lorsqu'il est disponible au format JSON
Eventarc	CSV des "sources/source_name" uniques	Lorsqu'il est disponible au format JSON
mscore	mscore	Lorsqu'il est disponible au format JSON
attributed_associations_{associated_associations/type}	CSV de attributed_associations/name par attributed_associations/type, donc une clé par type. Par exemple, tous les logiciels malveillants sont regroupés au même endroit.	Lorsqu'il est disponible au format JSON
report_link	Il est conçu.	Lorsqu'il est disponible au format JSON

Table d'enrichissement pour l'acteur malveillant : préfixe Mandiant_

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand l'appliquer ?
motivations	Fichier CSV des motivations/noms	Lorsqu'il est disponible au format JSON
aliases	Fichier CSV des alias/noms	Lorsqu'il est disponible au format JSON
secteurs	CSV des secteurs/noms	Lorsqu'il est disponible au format JSON
attaque de logiciels malveillants	CSV des logiciels malveillants/nom	Lorsqu'il est disponible au format JSON
locations\_source	CSV des lieux/sources/pays/noms	Lorsqu'il est disponible au format JSON
locations\_target	CSV des zones géographiques/cibles/noms	Lorsqu'il est disponible au format JSON
cve	CSV de cve/cve\_id	Lorsqu'il est disponible au format JSON
description	description	Lorsqu'il est disponible au format JSON
last\_activity\_time	last\_activity\_time	Lorsqu'il est disponible au format JSON
report\_link	Il est conçu.	Lorsqu'il est disponible au format JSON

Tableau d'enrichissement pour les failles : préfixe Mandiant_

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand l'appliquer ?
Eventarc	CSV de source_name	Lorsqu'il est disponible au format JSON
exploitation_state	exploitation_state	Lorsqu'il est disponible au format JSON
date_of_disclosure	date_of_disclosure	Lorsqu'il est disponible au format JSON
vendor_fix_references	vendor_fix_references/url	Lorsqu'il est disponible au format JSON
title	title	Lorsqu'il est disponible au format JSON
exploitation_vectors	CSV des vecteurs d'exploitation	Lorsqu'il est disponible au format JSON
description	description	Lorsqu'il est disponible au format JSON
risk_rating	risk_rating	Lorsqu'il est disponible au format JSON
available_mitigation	CSV de available_mitigation	Lorsqu'il est disponible au format JSON
exploitation_consequence	exploitation_consequence	Lorsqu'il est disponible au format JSON
report_link	Il est conçu.	Lorsqu'il est disponible au format JSON

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour une entité (is_success=true) : "Les entités suivantes ont été enrichies avec succès à l'aide des informations de Mandiant : {entity.identifier}." Si les données ne sont pas disponibles pour une entité (is_success=true) : "L'action n'a pas pu enrichir les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}." Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucune des entités fournies n'a été enrichie." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou une autre erreur) : "Erreur lors de l'exécution de l'action "Enrichir les entités". Raison : {0}''.format(error.Stacktrace)"	Général
Tableau du mur des cas	Titre du tableau : {entity.identifier} Colonnes du tableau : Clé Valeur	Entité

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour une entité (is_success=true) : "Les entités suivantes ont été enrichies avec succès à l'aide des informations de Mandiant : {entity.identifier}."

Si les données ne sont pas disponibles pour une entité (is_success=true) : "L'action n'a pas pu enrichir les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}."

Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucune des entités fournies n'a été enrichie."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou une autre erreur) : "Erreur lors de l'exécution de l'action "Enrichir les entités". Raison : {0}''.format(error.Stacktrace)"

Général

Tableau du mur des cas

Titre du tableau : {entity.identifier}

Colonnes du tableau :

Clé
Valeur

Entité

Obtenir les entités associées

Obtenez des informations sur les IOC liés aux entités à l'aide des informations de Mandiant. Entités acceptées : nom d'hôte, adresse IP, URL, hachage de fichier, acteur malveillant.

Paramètres

Nom du paramètre à afficher	Type	Valeur par défaut	Obligatoire	Description
Score de gravité le plus faible	Integer	50	Oui	Spécifiez le score de gravité le plus faible utilisé pour renvoyer les indicateurs associés. Maximum : 100
Nombre maximal d'IOC à renvoyer	Integer	100	Non	Spécifiez le nombre d'indicateurs que l'action doit traiter par entité.

Nom du paramètre à afficher

Type

Valeur par défaut

Obligatoire

Description

Score de gravité le plus faible

Integer

Oui

Spécifiez le score de gravité le plus faible utilisé pour renvoyer les indicateurs associés.

Maximum : 100

Nombre maximal d'IOC à renvoyer

Integer

100

Non

Spécifiez le nombre d'indicateurs que l'action doit traiter par entité.

Exécuter le

Cette action s'applique aux entités suivantes :

Nom d'hôte
Adresse IP
URL
Hachage de fichier
Acteur malveillant

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

{
    "hash": [{value}],
    "url": [{value}],
    "fqdn": [{value}],
    "ip": [{value}],
    "email": [{value}]
}

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour une entité (is_success=true) : "Les indicateurs associés pour les entités suivantes ont été renvoyés avec succès à l'aide des informations de Mandiant : {entity.identifier}." Si aucune donnée n'est disponible pour une entité (is_success=true) : "Aucun indicateur associé n'a été trouvé pour les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}." Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucun indicateur associé n'a été trouvé." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou une autre erreur) : "Erreur lors de l'exécution de l'action "Obtenir les entités associées". Raison : {0}''.format(error.Stacktrace)"	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour une entité (is_success=true) : "Les indicateurs associés pour les entités suivantes ont été renvoyés avec succès à l'aide des informations de Mandiant : {entity.identifier}."

Si aucune donnée n'est disponible pour une entité (is_success=true) : "Aucun indicateur associé n'a été trouvé pour les entités suivantes à l'aide des informations de Mandiant : {entity.identifier}."

Si les données ne sont pas disponibles pour toutes les entités (is_success=false) : "Aucun indicateur associé n'a été trouvé."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou une autre erreur) : "Erreur lors de l'exécution de l'action "Obtenir les entités associées". Raison : {0}''.format(error.Stacktrace)"

Général

Enrichir les IOC

Obtenez des informations sur les IOC de Mandiant.

Paramètres

Nom du paramètre à afficher	Type	Valeur par défaut	Obligatoire	Description
Identifiants IOC	CSV	N/A	Oui	Spécifiez une liste d'IOC à enrichir, séparés par une virgule.

Exécuter le

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-c32fc738c54a",
            "name": "APT1",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--25667188-bcf5-5abc-b1cc-caabfa18e2b3",
    "type": "fqdn",
    "value": "agru.qpoe.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour un IOC (is_success=true) : "Les IOC suivants ont été enrichis avec succès à l'aide des informations de Mandiant : {ioc .identifier}." Si aucune donnée n'est disponible pour un IOC (is_success=true) : "L'action n'a pas pu enrichir les IOC suivants à l'aide des informations de Mandiant : {ioc .identifier}." Si les données ne sont pas disponibles pour tous les IOC (is_success=false) : "Aucun IOC n'a été enrichi." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou autre), le message suivant s'affiche : "Erreur lors de l'exécution de l'action "Obtenir les entités associées". Raison : {0}''.format(error.Stacktrace)	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour un IOC (is_success=true) : "Les IOC suivants ont été enrichis avec succès à l'aide des informations de Mandiant : {ioc .identifier}."

Si aucune donnée n'est disponible pour un IOC (is_success=true) : "L'action n'a pas pu enrichir les IOC suivants à l'aide des informations de Mandiant : {ioc .identifier}."

Si les données ne sont pas disponibles pour tous les IOC (is_success=false) : "Aucun IOC n'a été enrichi."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou autre), le message suivant s'affiche : "Erreur lors de l'exécution de l'action "Obtenir les entités associées". Raison : {0}''.format(error.Stacktrace)

Général

Obtenir des informations sur les logiciels malveillants

Obtenez des informations sur les logiciels malveillants auprès de Mandiant.

Paramètres

Nom du paramètre à afficher	Type	Valeur par défaut	Obligatoire	Description
Noms de logiciels malveillants	CSV	N/A	Oui	Spécifiez une liste de noms de logiciels malveillants à enrichir, séparés par une virgule.
Créer un insight	Case à cocher	Cochée	Non	Si cette option est activée, l'action crée un insight contenant toutes les informations récupérées sur l'entité.
Récupérer les IOC associés	Case à cocher	Cochée	Non	Si cette option est activée, l'action récupère les indicateurs associés au logiciel malveillant fourni.
Nombre maximal d'IOC associés à renvoyer	Integer	100	Non	Spécifiez le nombre d'indicateurs que l'action doit traiter par logiciel malveillant.

Exécuter le

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success=False

Résultat JSON

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--96f82012-c77e-5887-bee9-69aec0b88578",
    "name": "PHOTOMINER",
    "description": "PHOTOMINER is a Windows-based modular cryptocurrency mining malware that communicates over HTTP.",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

Enrichissement d'entités

N/A

Insights

N/A

Mur des cas

Type de résultat	Valeur/Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si des données sont disponibles pour un logiciel malveillant (is_success=true) : "Les informations de Mandiant ont permis d'enrichir le logiciel malveillant suivant : {nom du logiciel malveillant}." Si aucune donnée n'est disponible pour un logiciel malveillant (is_success=true) : "L'action n'a pas pu enrichir le logiciel malveillant suivant à l'aide des informations de Mandiant : {nom du logiciel malveillant}." Si aucune donnée n'est disponible pour tous les logiciels malveillants (is_success=false) : "Aucune information sur les logiciels malveillants n'a été trouvée." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou autre) : "Erreur lors de l'exécution de l'action "Obtenir les détails du logiciel malveillant". Raison : {0}''.format(error.Stacktrace)"	Général
Tableau du mur des cas	Nom de la table : Résultats des logiciels malveillants Colonnes du tableau : Nom : nom Description : description Alias : CSV de {aliases/name} Heure de la dernière activité : {last_activity_time}	Général

Type de résultat

Valeur/Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles pour un logiciel malveillant (is_success=true) : "Les informations de Mandiant ont permis d'enrichir le logiciel malveillant suivant : {nom du logiciel malveillant}."

Si aucune donnée n'est disponible pour un logiciel malveillant (is_success=true) : "L'action n'a pas pu enrichir le logiciel malveillant suivant à l'aide des informations de Mandiant : {nom du logiciel malveillant}."

Si aucune donnée n'est disponible pour tous les logiciels malveillants (is_success=false) : "Aucune information sur les logiciels malveillants n'a été trouvée."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, une absence de connexion au serveur ou autre) : "Erreur lors de l'exécution de l'action "Obtenir les détails du logiciel malveillant". Raison : {0}''.format(error.Stacktrace)"

Général

Tableau du mur des cas

Nom de la table : Résultats des logiciels malveillants

Colonnes du tableau :

Nom : nom
Description : description
Alias : CSV de {aliases/name}
Heure de la dernière activité : {last_activity_time}

Général

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.