Esta página foi traduzida pela API Cloud Translation.

Mandiant

Versão da integração: 6.0

Configure a integração do Mandiant no Google Security Operations

Para obter instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Raiz da IU	String	https://advantage.mandiant.com	Sim	Raiz da IU da instância do Mandiant.
Raiz da API	String	https://api.intelligence.mandiant.com	Sim	Raiz da API da instância do Mandiant.
ID do cliente	Palavra-passe	N/A	Não	ID de cliente da conta do Mandiant.
Ficheiro de certificado da AC	String	N/A	Não	Segredo do cliente da conta do Mandiant.
Validar SSL	Caixa de verificação	Desmarcado	Sim	Se estiver ativada, verifica se o certificado SSL para a ligação ao servidor Mandiant é válido.

Como gerar o ID de cliente e o segredo do cliente

Aceda a Definições -> Acesso à API e chaves e clique em Obter ID da chave e segredo.

Exemplos de utilização

Enriqueça as entidades.

Ações

Tchim-tchim

Descrição

Teste a conetividade ao Mandiant com os parâmetros fornecidos na página de configuração da integração no separador Google Security Operations Marketplace.

Parâmetros

N/A

Executar em

Esta ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success=False

Resultado JSON

N/A

Enriquecimento de entidades

N/A

Estatísticas

N/A

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se tiver êxito: "Ligação ao servidor do Mandiant estabelecida com êxito com os parâmetros de ligação fornecidos!" A ação deve falhar e parar a execução de um guia interativo: Se não for bem-sucedido: "Não foi possível estabelecer ligação ao servidor do Mandiant! O erro é {0}".format(exception.stacktrace)"	Geral

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

Se tiver êxito: "Ligação ao servidor do Mandiant estabelecida com êxito com os parâmetros de ligação fornecidos!"

A ação deve falhar e parar a execução de um guia interativo:

Se não for bem-sucedido: "Não foi possível estabelecer ligação ao servidor do Mandiant! O erro é {0}".format(exception.stacktrace)"

Geral

Enriquecer entidades

Descrição

Enriqueça as entidades com informações da Mandiant. Entidades suportadas: nome de anfitrião, endereço IP, URL, hash de ficheiro, ator de ameaças e vulnerabilidade.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Limite da pontuação de gravidade	Número inteiro	50	Sim	Especifique a pontuação de gravidade mais baixa que é usada para marcar a entidade como suspeita. Nota: apenas os indicadores (nome do anfitrião, endereço IP, hash do ficheiro, URL) podem ser marcados como suspeitos. Máximo: 100
Crie estatísticas	Caixa de verificação	Marcado	Não	Se estiver ativada, a ação cria uma estatística com todas as informações obtidas sobre a entidade.
Apenas estatísticas de entidades suspeitas	Caixa de verificação	Desmarcado	Não	Se estiver ativada, a ação só cria uma estatística para entidades suspeitas. Nota: o parâmetro "Create Insight" deve estar ativado. As estatísticas das entidades "Ator de ameaças" e "Vulnerabilidade" também são criadas, mesmo que não estejam marcadas como suspeitas.

Nome a apresentar do parâmetro

Tipo

Valor predefinido

É obrigatório

Descrição

Limite da pontuação de gravidade

Número inteiro

Sim

Especifique a pontuação de gravidade mais baixa que é usada para marcar a entidade como suspeita.

Nota: apenas os indicadores (nome do anfitrião, endereço IP, hash do ficheiro, URL) podem ser marcados como suspeitos.

Máximo: 100

Crie estatísticas

Caixa de verificação

Marcado

Não

Se estiver ativada, a ação cria uma estatística com todas as informações obtidas sobre a entidade.

Apenas estatísticas de entidades suspeitas

Caixa de verificação

Desmarcado

Não

Se estiver ativada, a ação só cria uma estatística para entidades suspeitas.

Nota: o parâmetro "Create Insight" deve estar ativado.

As estatísticas das entidades "Ator de ameaças" e "Vulnerabilidade" também são criadas, mesmo que não estejam marcadas como suspeitas.

Executar em

Esta ação é executada nas seguintes entidades:

Nome do anfitrião
Endereço IP
URL
Hash do ficheiro
Interveniente responsável pela ameaça
Vulnerabilidade

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success=False

Resultado JSON

Resultado JSON para indicadores

{
    "Entity": "173.254.xx.xx",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ipv4--da5b1f26-cf25-5a61-9c93-xxxxx",
      "type": "ipv4",
      "value": "173.254.xx.xx",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Resultado JSON para o interveniente responsável pela ameaça

{
    "Entity": "APxxxxx",
    "EntityResult": {
      "motivations": [
        {
          "id": "motivation--1b8ca82a-7cff-5622-bedd-xxxx",
          "name": "Espionage",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "identity--cc593632-0c42-500c-8d0b-xxxxx",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "identity--8768c9d0-830d-5c94-88d1-xxxxxxx",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--09673ebc-9fbf-5ab0-9130-xxxxx",
          "name": "AGEDMOAT",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--a2de25d8-beae-5e86-b10e-xxxxxx",
          "name": "ZERODUE",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--57e5ea29-1c08-5f80-b28e-xxxxx",
          "name": "ANGRYIP",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--02178345-7a8a-546a-b82f-xxxxx",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--c80cc2c3-c5b6-5769-b228-xxxxx",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--26e2c717-7772-5ad5-8f0c-xxxxx",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--a509dfc8-789b-595b-a201-xxxxx",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--7b33370b-da4b-5c48-9741-xxxxx",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--9488166d-6469-5e54-ba5f-xxxxx",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--8cb90843-f69a-5aa6-95dc-xxxxx",
          "cve_id": "CVE-2009-xxxx",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-xxxxx",
      "name": "APxxxx",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Resultado JSON para vulnerabilidade

  {
    "Entity": "CVE-2022-xxxx",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;NetWeaver Application Server for ABAP&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "https://wiki.scn.company.com/wiki/pages/viewpage.action?pageId=596902035",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "59690xxxx"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--27efc4f2-4d7b-5d39-a96f-xxxxx",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/311xxxxx",
          "name": "Company A (311xxxx) Security Update Information",
          "unique_id": "311xxxxx"
        }
      ],
      "title": "Company A NetWeaver Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "netweaver_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a netweaver_as_abap 7.31",
          "cpe": "cpe:2.3:a:aompany a:netweaver_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;NetWeaver Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-2022-xxxx",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

Enriquecimento de entidades

Tabela de enriquecimento para indicadores – Prefixo Mandiant_

Nome do campo de enriquecimento	Origem (chave JSON)	Lógica: quando aplicar
first_seen	first_seen	Quando estiver disponível em JSON
last_seen	last_seen	Quando estiver disponível em JSON
origens	CSV de "sources/source_name" únicos	Quando estiver disponível em JSON
mscore	mscore	Quando estiver disponível em JSON
attributed_associations_{associated_associations/type}	CSV de attributed_associations/name por attributed_associations/type, pelo que existe uma chave por tipo. Por exemplo, todo o software malicioso está num único local.	Quando estiver disponível em JSON
report_link	É elaborado.	Quando estiver disponível em JSON

Tabela de enriquecimento para interveniente responsável pela ameaça – Prefixo Mandiant_

Nome do campo de enriquecimento	Origem (chave JSON)	Lógica: quando aplicar
motivações	CSV de motivações/nome	Quando estiver disponível em JSON
aliases	CSV de aliases/nomes	Quando estiver disponível em JSON
indústrias	CSV de setores/nome	Quando estiver disponível em JSON
programas maliciosos	CSV de software malicioso/nome	Quando estiver disponível em JSON
locations\_source	CSV de localizações/origem/país/nome	Quando estiver disponível em JSON
locations\_target	CSV de localizações/alvo/nome	Quando estiver disponível em JSON
cve	CSV de cve/cve\_id	Quando estiver disponível em JSON
descrição	descrição	Quando estiver disponível em JSON
last\_activity\_time	last\_activity\_time	Quando estiver disponível em JSON
report\_link	É elaborado.	Quando estiver disponível em JSON

Tabela de enriquecimento para vulnerabilidade – Prefixo Mandiant_

Nome do campo de enriquecimento	Origem (chave JSON)	Lógica: quando aplicar
origens	CSV de source_name	Quando estiver disponível em JSON
exploitation_state	exploitation_state	Quando estiver disponível em JSON
date_of_disclosure	date_of_disclosure	Quando estiver disponível em JSON
vendor_fix_references	vendor_fix_references/url	Quando estiver disponível em JSON
título	título	Quando estiver disponível em JSON
exploitation_vectors	CSV de exploitation_vectors	Quando estiver disponível em JSON
descrição	descrição	Quando estiver disponível em JSON
risk_rating	risk_rating	Quando estiver disponível em JSON
available_mitigation	CSV de available_mitigation	Quando estiver disponível em JSON
exploitation_consequence	exploitation_consequence	Quando estiver disponível em JSON
report_link	É elaborado.	Quando estiver disponível em JSON

Estatísticas

N/A

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se estiverem disponíveis dados para uma entidade (is_success=true): "As seguintes entidades foram enriquecidas com êxito através de informações da Mandiant: {entity.identifier}." Se os dados não estiverem disponíveis para uma entidade (is_success=true): "Não foi possível enriquecer as seguintes entidades com informações da Mandiant: {entity.identifier}." Se os dados não estiverem disponíveis para todas as entidades (is_success=false): "Nenhuma das entidades fornecidas foi enriquecida." A ação deve falhar e parar a execução de um guia interativo: Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Enriquecer entidades". Motivo: {0}''.format(error.Stacktrace)"	Geral
Tabela de parede da caixa	Título da tabela: {entity.identifier} Colunas da tabela: Chave Valor	Entidade

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

Se estiverem disponíveis dados para uma entidade (is_success=true): "As seguintes entidades foram enriquecidas com êxito através de informações da Mandiant: {entity.identifier}."

Se os dados não estiverem disponíveis para uma entidade (is_success=true): "Não foi possível enriquecer as seguintes entidades com informações da Mandiant: {entity.identifier}."

Se os dados não estiverem disponíveis para todas as entidades (is_success=false): "Nenhuma das entidades fornecidas foi enriquecida."

A ação deve falhar e parar a execução de um guia interativo:

Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Enriquecer entidades". Motivo: {0}''.format(error.Stacktrace)"

Geral

Tabela de parede da caixa

Título da tabela: {entity.identifier}

Colunas da tabela:

Chave
Valor

Entidade

Get Related Entities

Descrição

Receber informações sobre IOCs relacionados com entidades através de informações da Mandiant. Entidades suportadas: nome de anfitrião, endereço IP, URL, hash de ficheiro, ator de ameaças.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Pontuação de gravidade mais baixa	Número inteiro	50	Sim	Especifique a pontuação de gravidade mais baixa que é usada para devolver indicadores relacionados. Máximo: 100
Máximo de IOCs a devolver	Número inteiro	100	Não	Especifique o número de indicadores que a ação tem de processar por entidade.

Nome a apresentar do parâmetro

Tipo

Valor predefinido

É obrigatório

Descrição

Pontuação de gravidade mais baixa

Número inteiro

Sim

Especifique a pontuação de gravidade mais baixa que é usada para devolver indicadores relacionados.

Máximo: 100

Máximo de IOCs a devolver

Número inteiro

100

Não

Especifique o número de indicadores que a ação tem de processar por entidade.

Executar em

Esta ação é executada nas seguintes entidades:

Nome do anfitrião
Endereço IP
URL
Hash do ficheiro
Interveniente responsável pela ameaça

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success=False

Resultado JSON

{
    "hash": [{value}],
    "url": [{value}],
    "fqdn": [{value}],
    "ip": [{value}],
    "email": [{value}]
}

Enriquecimento de entidades

N/A

Estatísticas

N/A

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se os dados estiverem disponíveis para uma entidade (is_success=true): "Foram devolvidos com êxito indicadores relacionados para as seguintes entidades através de informações da Mandiant: {entity.identifier}." Se não estiverem disponíveis dados para uma entidade (is_success=true): "Não foram encontrados indicadores relacionados para as seguintes entidades através de informações da Mandiant: {entity.identifier}." Se os dados não estiverem disponíveis para todas as entidades (is_success=false): "Não foram encontrados indicadores relacionados." A ação deve falhar e parar a execução de um guia interativo: Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Obter entidades relacionadas". Motivo: {0}''.format(error.Stacktrace)"	Geral

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

Se os dados estiverem disponíveis para uma entidade (is_success=true): "Foram devolvidos com êxito indicadores relacionados para as seguintes entidades através de informações da Mandiant: {entity.identifier}."

Se não estiverem disponíveis dados para uma entidade (is_success=true): "Não foram encontrados indicadores relacionados para as seguintes entidades através de informações da Mandiant: {entity.identifier}."

Se os dados não estiverem disponíveis para todas as entidades (is_success=false): "Não foram encontrados indicadores relacionados."

A ação deve falhar e parar a execução de um guia interativo:

Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Obter entidades relacionadas". Motivo: {0}''.format(error.Stacktrace)"

Geral

Enriqueça IOCs

Descrição

Receba informações sobre IOCs da Mandiant.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Identificadores de IOC	CSV	N/A	Sim	Especifique uma lista de IOCs separados por vírgulas que precisam de ser enriquecidos.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success=False

Resultado JSON

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-c32fc738c54a",
            "name": "APT1",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--25667188-bcf5-5abc-b1cc-caabfa18e2b3",
    "type": "fqdn",
    "value": "agru.qpoe.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

Enriquecimento de entidades

N/A

Estatísticas

N/A

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se estiverem disponíveis dados para um IOC (is_success=true): "Enriqueceu com êxito os seguintes IOCs através de informações da Mandiant: {ioc .identifier}." Se não estiverem disponíveis dados para um IOC (is_success=true): "Não foi possível enriquecer os seguintes IOCs com informações da Mandiant: {ioc .identifier}." Se os dados não estiverem disponíveis para todos os IOCs (is_success=false): "No IOCs were enriched." (Nenhum IOC foi enriquecido.) A ação deve falhar e parar a execução de um guia interativo: Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Get Related Entities". Motivo: {0}''.format(error.Stacktrace)	Geral

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

Se estiverem disponíveis dados para um IOC (is_success=true): "Enriqueceu com êxito os seguintes IOCs através de informações da Mandiant: {ioc .identifier}."

Se não estiverem disponíveis dados para um IOC (is_success=true): "Não foi possível enriquecer os seguintes IOCs com informações da Mandiant: {ioc .identifier}."

Se os dados não estiverem disponíveis para todos os IOCs (is_success=false): "No IOCs were enriched." (Nenhum IOC foi enriquecido.)

A ação deve falhar e parar a execução de um guia interativo:

Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Get Related Entities". Motivo: {0}''.format(error.Stacktrace)

Geral

Obtenha detalhes do software malicioso

Descrição

Receba informações sobre software malicioso da Mandiant.

Parâmetros

Nome a apresentar do parâmetro	Tipo	Valor predefinido	É obrigatório	Descrição
Nomes de software malicioso	CSV	N/A	Sim	Especifique uma lista de nomes de software malicioso separados por vírgulas que precisam de ser enriquecidos.
Crie estatísticas	Caixa de verificação	Marcado	Não	Se estiver ativada, a ação cria uma estatística com todas as informações obtidas sobre a entidade.
Obtenha IOCs relacionados	Caixa de verificação	Marcado	Não	Se estiver ativada, a ação obtém indicadores relacionados com o software malicioso fornecido.
Máximo de IOCs relacionados a devolver	Número inteiro	100	Não	Especifique o número de indicadores que a ação tem de processar por software malicioso.

Executar em

Esta ação não é executada em entidades.

Resultados da ação

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_success	Verdadeiro/Falso	is_success=False

Resultado JSON

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--96f82012-c77e-5887-bee9-69aec0b88578",
    "name": "PHOTOMINER",
    "description": "PHOTOMINER is a Windows-based modular cryptocurrency mining malware that communicates over HTTP.",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

Enriquecimento de entidades

N/A

Estatísticas

N/A

Case Wall

Tipo de resultado	Valor/descrição	Tipo
Mensagem de saída*	A ação não deve falhar nem parar a execução de um guia interativo: Se os dados estiverem disponíveis para um software malicioso (is_success=true): "Enriquecimento bem-sucedido do seguinte software malicioso com informações da Mandiant: {nome do software malicioso}." Se não estiverem disponíveis dados para um software malicioso (is_success=true): "Não foi possível enriquecer o seguinte software malicioso com informações da Mandiant: {malware name}." Se os dados não estiverem disponíveis para todo o software malicioso (is_success=false): "Não foram encontradas informações sobre software malicioso." A ação deve falhar e parar a execução de um guia interativo: Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Obter detalhes do software malicioso". Motivo: {0}''.format(error.Stacktrace)"	Geral
Tabela de parede da caixa	Nome da tabela: resultados de software malicioso Colunas da tabela: Nome – nome Descrição – descrição Aliases – CSV de {aliases/name} Hora da última atividade: {last_activity_time}	Geral

Tipo de resultado

Valor/descrição

Tipo

Mensagem de saída*

A ação não deve falhar nem parar a execução de um guia interativo:

Se os dados estiverem disponíveis para um software malicioso (is_success=true): "Enriquecimento bem-sucedido do seguinte software malicioso com informações da Mandiant: {nome do software malicioso}."

Se não estiverem disponíveis dados para um software malicioso (is_success=true): "Não foi possível enriquecer o seguinte software malicioso com informações da Mandiant: {malware name}."

Se os dados não estiverem disponíveis para todo o software malicioso (is_success=false): "Não foram encontradas informações sobre software malicioso."

A ação deve falhar e parar a execução de um guia interativo:

Se for comunicado um erro fatal, como credenciais incorretas, sem ligação ao servidor ou outro: "Erro ao executar a ação "Obter detalhes do software malicioso". Motivo: {0}''.format(error.Stacktrace)"

Geral

Tabela de parede da caixa

Nome da tabela: resultados de software malicioso

Colunas da tabela:

Nome – nome
Descrição – descrição
Aliases – CSV de {aliases/name}
Hora da última atividade: {last_activity_time}

Geral

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.