MISP in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie MISP in Google Security Operations einbinden.

Anwendungsfälle

Die MISP-Integration nutzt Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

• Kompromittierungsindikatoren anreichern: Rufen Sie automatisch Kontext für URLs, Hostnamen, IP-Adressen und Datei-Hashes aus Ihrer MISP-Instanz ab, um bekannte böswillige Akteure zu identifizieren.

• Erstellung und Freigabe von Ereignissen automatisieren: Erstellen Sie neue MISP-Ereignisse direkt aus Playbooks und veröffentlichen Sie sie in Freigabegruppen, um Ihre Sicherheits-Community über neue Bedrohungen zu informieren.

• Ereignisklassifizierung verwalten: Sie können Tags dynamisch zu Ereignissen und Attributen hinzufügen oder daraus entfernen, um eine genaue und aktuelle Bedrohungslandschaft zu erhalten.

• Zugehörige Bedrohungen untersuchen: Suchen Sie nach Informationen zu Ereignissen, die mit bestimmten Entitäten zusammenhängen, und rufen Sie diese ab, um den Umfang einer laufenden Untersuchung besser zu verstehen.

• Verdächtige Dateien analysieren: Laden Sie Dateien in MISP-Ereignisse hoch, um sie gemeinsam zu analysieren, oder laden Sie vorhandene Ereignisanhänge für die interne Sandbox-Auswertung herunter.

Hinweis

Bevor Sie die Integration in der Google SecOps-Plattform konfigurieren, müssen Sie prüfen, ob die folgenden Anforderungen in Ihrer MISP-Umgebung erfüllt sind:

• MISP-API-Schlüssel: Sie benötigen einen gültigen Automatisierungsschlüssel, um die Verbindung zu authentifizieren. Sie finden sie im Menü „Event Actions“ (Ereignisaktionen) in der MISP-Benutzeroberfläche. Weitere Informationen finden Sie unter Automatisierung und MISP API.

• API-Stammadresse: Sie benötigen die IP-Adresse oder den Hostnamen Ihrer MISP-Instanz für die Konfiguration.

• Optional: CA-Zertifikat: Wenn für Ihre Umgebung eine SSL-Überprüfung mit einem bestimmten Zertifikat erforderlich ist, muss die CA-Zertifikatsdatei verfügbar sein. Sie müssen diesen Wert während der Konfiguration als Base64-codierten String angeben.

• Integrationsversion: Prüfen Sie, ob Sie die aktuelle Version der MISP-Integration verwenden, damit alle Aktionen und Parameter unterstützt werden.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
API-Stamm	String	https://<IP>	Ja	Adresse der MISP-Instanz.
API-Schlüssel	String	–	Ja	Wird in der MISP-Konsole generiert.
Use SSL (SSL verwenden)	Kästchen	Deaktiviert	Nein	Aktivieren Sie dieses Kästchen, wenn für Ihre MISP-Verbindung eine SSL-Verifizierung erforderlich ist (standardmäßig deaktiviert).
Remote ausführen	Kästchen	Deaktiviert	Nein	Setzen Sie ein Häkchen, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Attribut hinzufügen

Fügen Sie einem MISP-Ereignis eine Entität als Attribut hinzu.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Die ID des Ereignisses.
Kategorie	String	Externe Analyse	Nein	Die Kategorie des Attributs. Standard: Externe Analyse.
Vertrieb	String	1	Nein	Die Verteilung des Attributs. Der Standardwert ist 1.
Für Intrusion Detection System	Kästchen	Deaktiviert	Nein	Gibt an, ob das Attribut für das Intrusion Detection System verwendet wird. Standardeinstellung: false.
Kommentar	String	–	Nein	Der Kommentar, der dem Attribut hinzugefügt werden soll.

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• URL
• Hostname
• IP-Adresse
• Filehash

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	Wahr/falsch	success:False

JSON-Ergebnis

N/A

Termin erstellen

Erstellen Sie ein neues MISP-Ereignis.

Bekannte Einschränkung

Derzeit ist es mit der MISP API nicht möglich, Ereignisse sofort nach der Erstellung zu veröffentlichen. Sie müssen zuerst ein Ereignis erstellen und dann die Aktion „Ereignis veröffentlichen“ verwenden.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignisname	String	–	Ja	Der Name des Ereignisses.
Bedrohungsstufe	String	0	Nein	Die Bedrohungsstufe des Ereignisses. Standardwert: 0.
Vertrieb	String	1	Nein	Die Verteilung des Attributs. Der Standardwert ist 1.
Analyse	String	0	Nein	Die Analyseebene des Ereignisses [0–2]: Standard: 0.
Veröffentlichen	Kästchen	Aktiviert	Nein	Gibt an, ob das Ereignis veröffentlicht werden soll oder nicht.
Kommentar	String	–	Nein	Der Kommentar zum Ereignis.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
event_id	–	–

Tag zu einem Ereignis hinzufügen

Mit der Aktion „Tag zu einem Ereignis hinzufügen“ kann ein Nutzer einem bestimmten Ereignis in MISP ein Tag hinzufügen. Dadurch wird dem Ereignis eine Klassifizierung hinzugefügt, die auf der Kategorie der Sicherheitsbedrohung basiert, die vom mit dem Ereignis verknüpften IOC ausgeht.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Die eindeutige Kennung, die das Ereignis angibt, dem das Anzeigen-Tag hinzugefügt werden soll.
Tag-Name	String	–	Ja	Der Name des Tags, das einem Ereignis hinzugefügt werden soll.

Anwendungsfälle

Ereignis klassifizieren: Aktualisieren Sie das Ereignis, indem Sie ein Tag hinzufügen.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "saved": true,
        "success": "Tag(s) added.",
        "check_publish": true
    }
]

Datei herunterladen

Dateien herunterladen, die sich auf das Ereignis in MISP beziehen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Nein	Geben Sie die ID oder UUID des Ereignisses an, aus dem Sie Dateien herunterladen möchten.
Pfad für Downloadordner	String	–		Geben Sie den absoluten Pfad zum Ordner an, in dem Dateien gespeichert werden sollen. Wenn nichts angegeben ist, wird stattdessen ein Anhang erstellt. Hinweis: Das JSON-Ergebnis ist nur verfügbar, wenn Sie einen gültigen Wert für diesen Parameter angeben.
Überschreiben	Kästchen	Deaktiviert		Wenn diese Option aktiviert ist, werden vorhandene Dateien durch die Aktion überschrieben.

Ausführen am

Diese Aktion wird für die Entität „Filehash“ ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	Wahr/falsch	success:False

JSON-Ergebnis

{

"absolute_paths": ["/etc/file1.txt", "/etc/file2.txt"]

}

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Bei Erfolg: „Successfully downloaded the following files from the event with {0} {1} in MISP:\n{2}“.format(ID/UUID, event_id, result/filename from the response) Wenn keine Dateien gefunden wurden: „No files were found for the event with {0} {1} in MISP:\n{2}“.format(ID/UUID, event_id) Wenn „Download Folder Path“ nicht angegeben ist und einige der Dateien das Plattformlimit für Anhänge überschritten haben: „Die folgenden Dateien konnten nicht heruntergeladen werden, da sie das Limit von 3 MB überschritten haben: \n {0}. \n Geben Sie im Parameter „Download Folder Path“ einen Ordnerpfad an, um sie herunterzuladen.“ (Ergebnis/Dateiname) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Datei herunterladen‘. Reason: {0}".format(stacktrace) Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Datei herunterladen‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id) Wenn „overwrite“ auf „false“ gesetzt ist und eine der Dateien bereits vorhanden ist: „Error executing action ‚Download File‘. Grund: Die folgenden Dateien sind bereits vorhanden: {0}. Entfernen Sie sie oder setzen Sie den Parameter „Overwrite“ auf „true“.“.format(absoluter Pfad zur Datei)	Allgemein

Entitäten anreichern

Entitäten basierend auf den Attributen in MISP anreichern.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Beschreibung
Anzahl der zurückzugebenden Attribute	String	–	Geben Sie an, wie viele Attribute für Entitäten zurückgegeben werden sollen.
Filterbedingung			Geben Sie die Filterbedingung für die Aktion an. Wenn „Letzte“ ausgewählt ist, wird das älteste Attribut für die Anreicherung verwendet. Wenn „Erste“ ausgewählt ist, wird das neueste Attribut für die Anreicherung verwendet.
Schwellenwert für Bedrohungsstufe	DDL	Niedrig Mögliche Werte: Hoch Mittel Niedrig Nicht definiert	Geben Sie den Schwellenwert für die Bedrohungsstufe des Ereignisses an, bei dem die Entität gefunden wurde. Wenn das zugehörige Ereignis den Schwellenwert überschreitet oder erreicht, wird die Entität als verdächtig markiert.
Limit für Attributsuche	Ganzzahl	50	Geben Sie an, nach wie vielen Attributen pro Entität gesucht werden soll. Dieser Parameter hat Einfluss darauf, welches Attribut für die Anreicherung ausgewählt wird. Standardeinstellung: 50.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• URL
• Hostname
• IP-Adresse
• Filehash

Aktionsergebnisse

Entitätsanreicherung

Entitäten werden als verdächtig markiert, wenn die Bedrohungsstufe des Ereignisses über 0 liegt. Andernfalls: False

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	Wahr/falsch	success:False

JSON-Ergebnis

[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "[e-mail]",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Für gefundene Attribute: (is_success=true) „Successfully enriched the following entities using MISP: \n{0}“.format(entity.identifier) Für Attribute, die nicht gefunden wurden (is_success=true) „Die Aktion konnte die folgenden Entitäten nicht mit MISP anreichern: \n{0}“.format(entity.identifier) Wenn nicht alle Attribute gefunden wurden (is_success=false): „No entities were enriched using MISP“ (Es wurden keine Entitäten mit MISP angereichert) Wenn Attribute verdächtig sind (is_success=true) „The following attributes were marked as suspicious using MISP: \n {0}“.format(entity.identifier)	Allgemein
CSV-Tabelle	Tabellenspalten: ID Ereignis-ID Kategorie Typ UUID Zeitstempel Vertrieb IDS

Ähnliche Ereignisse abrufen

Informationen zu Ereignissen abrufen, die mit Entitäten in MISP zusammenhängen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Beschreibung
Als verdächtig markieren	Kästchen	Aktiviert	Wenn diese Option aktiviert ist, wird die Entität als verdächtig markiert, sofern mindestens ein zugehöriges Ereignis vorhanden ist.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• URL
• Hostname
• IP-Adresse
• Filehash

Aktionsergebnisse

Entitätsanreicherung

Wenn Datensätze zugehöriger Ereignisse verfügbar sind, werden Entitäten als verdächtig markiert. Andernfalls: False.

Name des Anreicherungsfelds	Logik – Wann anwenden
Ereignis	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	Wahr/falsch	success:False

JSON-Ergebnis

[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "[e-mail]",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Wenn ein Ereignis für mindestens eine Entität gefunden wurde: „Successfully retrieved information about the related events for the following entities: \n{0}“.format(entity.identifier) Wenn für mindestens eine Entität kein Ereignis gefunden wurde: „Action wasn't able to retrieve information about the related events for the following entities: \n{0}".format(entity.identifier Wenn für alle keine Ereignisse vorhanden sind: „Für die angegebenen Entitäten wurden keine zugehörigen Ereignisse gefunden.“	Allgemein

Datei hochladen

Laden Sie eine Datei in ein MISP-Ereignis hoch.

Parameter

Name	Typ	Standard	Beschreibung
Ereignis-ID	String	–	Geben Sie die ID oder UUID des Ereignisses an, in das Sie diese Datei hochladen möchten.
Dateipfad	String	–	Geben Sie eine durch Kommas getrennte Liste der absoluten Dateipfade der Dateien an, die Sie in MISP hochladen möchten.
Kategorie			Geben Sie die Kategorie für die hochgeladene Datei an. Mögliche Werte: „External Analysis“, „Payload Delivery“, „Artifacts Dropped“, „Payload Installation“.
Vertrieb	String	Community	Geben Sie die Distribution für die hochgeladene Datei an. Mögliche Werte: 0 – Organisation, 1 – Community, 2 – Verbunden, 3 – Alle. Sie können entweder eine Zahl oder einen String angeben.
Bedrohungsstufe	String	Hoch	Geben Sie die Bedrohungsstufe für die hochgeladene Datei an. Mögliche Werte: 1 – Hoch, 2 – Mittel, 3 – Niedrig, 4 – Nicht definiert. Sie können entweder eine Zahl oder einen String angeben.
Analyse	String	Anfangsphase	Geben Sie die Analyse des Ereignisses an. Mögliche Werte: 0 – Initial, 1 – Laufend, 2 – Abgeschlossen. Sie können entweder eine Zahl oder einen String angeben.
Info	String	–	Geben Sie zusätzliche Informationen zur hochgeladenen Datei an.
Für Intrusion Detection System	Kästchen	Deaktiviert	Wenn diese Option aktiviert ist, wird die hochgeladene Datei für Intrusion Detection Systems verwendet.
Kommentar	String	–	Geben Sie zusätzliche Kommentare zur hochgeladenen Datei an.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "Event": {
        "id": "106",
        "orgc_id": "1",
        "org_id": "1",
        "date": "2021-01-15",
        "threat_level_id": "1",
        "info": "vanuhi 1015",
        "published": false,
        "uuid": "1cd22aa2-57e8-4fc8-bac6-721c1be2c27d",
        "attribute_count": "10",
        "analysis": "0",
        "timestamp": "1610893968",
        "distribution": "1",
        "proposal_email_lock": false,
        "locked": false,
        "publish_timestamp": "0",
        "sharing_group_id": "0",
        "disable_correlation": false,
        "extends_uuid": "",
        "event_creator_email": "[e-mail]",
        "Org": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Orgc": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Attribute": [],
        "ShadowAttribute": [],
"Object": [
            {
                "id": "446",
                "name": "file",
                "meta-category": "file",
                "description": "File object describing a file with meta-information",
                "template_uuid": "688c46fb-5edb-40a3-8273-1af7923e2215",
                "template_version": "20",
                "event_id": "106",
                "uuid": "0188ba5d-68eb-4b5c-8e05-6fd49f8eee9a",
                "timestamp": "1610691647",
                "distribution": "1",
                "sharing_group_id": "0",
                "comment": "",
                "deleted": false,
                "first_seen": null,
                "last_seen": null,
                "ObjectReference": [],
                "Attribute": [
                    {
                        "id": "1859",
                        "type": "malware-sample",
                        "category": "External analysis",
                        "to_ids": true,
                        "uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138",
                        "event_id": "106",
                        "distribution": "1",
                        "timestamp": "1610703650",
                        "comment": "",
                        "sharing_group_id": "0",
                        "deleted": false,
                        "disable_correlation": false,
                        "object_id": "446",
                        "object_relation": "malware-sample",
                        "first_seen": null,
                        "last_seen": null,
                        "value": "vanuhi.txt|7bd55b0a276e076cbaf470e64359adb8",
                        "Galaxy": [],
                        "data": "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",
                        "ShadowAttribute": [],
                        "Sighting": [
                            {
                                "id": "1733",
                                "attribute_id": "1859",
                                "event_id": "106",
                                "org_id": "1",
                                "date_sighting": "1611207638",
                                "uuid": "feb085f1-1923-4327-a73d-b60a948377e4",
                                "source": "",
                                "type": "0",
                                "Organisation": {
                                    "id": "1",
                                    "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
                                    "name": "ORGNAME"
                                },
                                "attribute_uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138"
                            }
                        ]
                    }
            }
    }
}

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Bei Erfolg für eine Entität: „Succesfully uploaded the provided files to the event {0} in MISP“.format(event_id) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Datei hochladen‘. Reason: {0}".format(stacktrace) Wenn ein ungültiger Parameter in „Distribution“ angegeben ist (Fehleraktion): „Fehler beim Ausführen der Aktion ‚Datei hochladen‘. Grund: Für den Parameter „Distribution“ wurde ein ungültiger Wert angegeben. Zulässige Zahlen: 0,1,2,3. Zulässige Strings: Organisation, Community, Connected, All". Wenn ein ungültiger Parameter in „Bedrohungsstufe“ (Aktion „Fehler“) angegeben ist: „Fehler beim Ausführen der Aktion ‚Datei hochladen‘. Grund: Für den Parameter „Bedrohungsstufe“ wurde ein ungültiger Wert angegeben. Zulässige Zahlen: 1,2,3,4. Zulässige Strings: High, Medium, Low, Undefined". Wenn in „Category“ ein ungültiger Parameter angegeben ist (Aktion schlägt fehl): „Error executing action ‚Upload File‘. Grund: Für den Parameter „Category“ wurde ein ungültiger Wert angegeben. Zulässige Werte: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation. Wenn in „Analyse“ ein ungültiger Parameter angegeben ist (Aktion schlägt fehl): „Fehler beim Ausführen der Aktion ‚Datei hochladen‘. Grund: Für den Parameter „Analyse“ wurde ein ungültiger Wert angegeben. Zulässige Werte: 0,1,2. Zulässige Strings: Initial, Ongoing, Completed". Wenn mindestens eine der Dateien nicht verfügbar ist: „Fehler beim Ausführen der Aktion ‚Datei hochladen‘. Grund: Auf die folgenden Dateien konnte nicht zugegriffen werden: \n {0}".format(file paths, that were not accessible.) Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Datei hochladen‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Ping

Verbindung testen

Parameter

–

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	Wahr/falsch	success:False

JSON-Ergebnis

N/A

Tag aus einem Ereignis entfernen

Tags aus Ereignis in MISP entfernen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie die ID oder UUID des Ereignisses an, aus dem Sie Tags entfernen möchten.
Tag-Name	CSV	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Tags an, die Sie aus Ereignissen entfernen möchten.

Anwendungsfälle

Ereignis neu klassifizieren: Entfernen Sie das Tag, um das Ereignis neu zu klassifizieren.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "saved": true,
        "success": "Tag removed.",
        "check_publish": true
    }
]

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Wenn alle Tags erfolgreich aus einem Ereignis entfernt wurden: „Die folgenden Tags wurden aus dem Ereignis mit {0} {1} in MISP entfernt: {2}.“.format(ID/UUID, event_id, tags) Wenn einige Tags nicht aus einem Ereignis entfernt werden konnten: „Die folgenden Tags konnten nicht aus dem Ereignis mit {0} {1} in MISP entfernt werden: {2}.“.format(ID/UUID, event_id, tags) Wenn nicht für alle erfolgreich: „No tags were removed from the event with {0} {1} in MISP“.format(ID/UUID, event_id) Wenn mindestens ein Tag nicht gefunden wurde: „The following tags were not found in MISP: \n{0}“.format(list of tags that were not found in MISP) Wenn keine Tags gefunden wurden: „Keines der angegebenen Tags wurde in MISP gefunden.“ Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Tag aus einem Ereignis entfernen‘. Reason: {0}".format(stacktrace) Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Tag aus einem Ereignis entfernen‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Tag zu einem Attribut hinzufügen

Mit dieser Aktion kann ein Nutzer einem bestimmten Attribut in MISP ein Tag hinzufügen. Dadurch wird dem Attribut eine Klassifizierung hinzugefügt, die auf der Kategorie einer Sicherheitsbedrohung basiert, die durch den IOC im Attribut dargestellt wird.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	Ganzzahl	–	Ja	Die Kennung des Ereignisses, mit dem das Attribut verknüpft ist. Beispiel: 1.
Tag-Name	String	–	Ja	Der Name des Tags, das einem Attribut hinzugefügt werden soll.
Attributname	String	–	Ja	Die Namenskennung des zu taggenden Attributs.
Kategorie	String	–	Ja	Die Kategorie, zu der das Attribut gehört, z. B. „Payload Delivery“.
Typ	String	–	Ja	Der Typ des Attributs, z. B. Dateiname.
Objekt-UUID	String	–	Nein	Die eindeutige Kennung für ein Objekt im Ereignis.

Anwendungsfälle

Attribut basierend auf dem IOC-Typ klassifizieren: Fügen Sie dem Attribut ein Tag hinzu.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "name": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "message": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "url": "/tags/attachTagToObject"
    }
]

Tag aus einem Attribut entfernen

Tags aus Attributen in MISP entfernen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Nein	Geben Sie die ID oder UUID des Ereignisses an, in dem nach Attributen gesucht werden soll. Dieser Parameter ist erforderlich, wenn „Attributsuche“ auf „Bereitgestelltes Ereignis“ festgelegt ist.
Tag-Name	CSV	–	Ja	Geben Sie eine durch Kommas getrennte Liste von Tags an, die Sie aus Attributen entfernen möchten.
Attributname	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste von Attributkennungen an, von denen Sie Tags entfernen möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.
Kategorie	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste von Kategorien an. Wenn angegeben, werden durch die Aktion nur Tags aus Attributen mit der entsprechenden Kategorie entfernt. Wenn nichts angegeben ist, werden Kategorien in Attributen ignoriert. Mögliche Werte: „External Analysis“, „Payload Delivery“, „Artifacts Dropped“, „Payload Installation“.
Typ	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste von Attributtypen an. Wenn angegeben, werden durch die Aktion nur Tags aus Attributen mit dem entsprechenden Attributtyp entfernt. Wenn nichts angegeben ist, werden Typen in Attributen ignoriert. Beispielwerte: md5, sha1, ip-src, ip-dst
Objekt-UUID	CSV	–		Geben Sie die UUID des Objekts an, das das gewünschte Attribut enthält.
Attributsuche	DDL	Bereitgestelltes Ereignis Mögliche Werte: Alle Ereignisse Bereitgestelltes Ereignis	Ja	Geben Sie an, wo die Aktion nach Attributen suchen soll. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, wird bei der Aktion nur nach Attributen oder Attribut-UUIDs im Ereignis mit der ID/UUID gesucht, die im Parameter „Ereignis-ID“ angegeben ist. Wenn Sie „Alle Ereignisse“ auswählen, wird nach Attributen in allen Ereignissen gesucht und Tags werden aus allen Attributen entfernt, die den Kriterien entsprechen.
Attribut-UUID	CSV			Geben Sie eine durch Kommas getrennte Liste von Attribut-UUIDs an, aus denen Sie neue Tags entfernen möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.

Anwendungsfälle

Attribut neu klassifizieren: Tag für die Neuklassifizierung entfernen

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "name": "Tag unique___test(7) successfully removed from Attribute(9).",
        "message": "Tag unique___test(7) successfully removed from Attribute(9).",
        "url": "/tags/removeTagFromObject"
    }
]

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Type>
Ausgabenachricht*	Wenn Tags erfolgreich aus mindestens einem Attribut entfernt wurden: „Successfully removed tags from the following attributes in MISP:\n{0}“.format(attribute name/object UUID) Wenn Tags nicht erfolgreich aus mindestens einem Attribut entfernt wurden: „Action didn't removed tags from the following attributes in MISP:\n{0}“.format(attribute name/object UUID) Wenn nicht für alle erfolgreich: „Aus den angegebenen Attributen in MISP wurden keine Tags entfernt.“ Wenn mindestens ein Tag nicht gefunden wurde: „The following tags were not found in MISP: \n{0}“.format(list of tags that were not found in MISP) Wenn keine Tags gefunden wurden: „Keines der angegebenen Tags wurde in MISP gefunden.“ Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Tag aus einem Attribut entfernen‘. Reason: {0}".format(stacktrace) Wenn in „Kategorie“ ein ungültiger Parameter angegeben ist (Fehleraktion): „Fehler beim Ausführen der Aktion ‚Tag aus einem Attribut entfernen‘. Grund: Für den Parameter „Category“ wurde ein ungültiger Wert angegeben. Zulässige Werte: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, aber keine Ereignis-ID ausgewählt wurde: „Fehler beim Ausführen der Aktion ‚Tag aus einem Attribut entfernen‘. Grund: Die Ereignis-ID muss angegeben werden, wenn für den Parameter „Attributsuche“ die Option „Bereitgestelltes Ereignis“ ausgewählt ist. Ereignis-ID nicht gefunden (Fehleraktion) „Fehler beim Ausführen der Aktion ‚Tag aus einem Attribut entfernen‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Termin veröffentlichen

Mit der Aktion kann der Nutzer ein Ereignis veröffentlichen. Wenn Sie ein Ereignis veröffentlichen, wird es für die ausgewählte Freigabegruppe freigegeben und ist für alle Mitglieder sichtbar.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie die ID oder UUID des Ereignisses an, das Sie veröffentlichen möchten.

Anwendungsfälle

Ereignis veröffentlichen:

1. Noch besser
2. Ereignisattribute hinzufügen
3. Termin veröffentlichen

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": true,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "[e-mail]",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Bei Erfolg: „Successfully published event with {0} {1} in MISP.“ .format(ID/UUID, event_id) Wenn nicht erfolgreich: „Event with {0} {1} was not published in MISP“.format(ID/UUID, event_id) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Ereignis veröffentlichen‘. Reason: {0}".format(stacktrace) Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Ereignis veröffentlichen‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Veröffentlichung des Events aufheben

Mit dieser Aktion kann der Nutzer die Veröffentlichung eines Ereignisses aufheben. Wenn Sie die Veröffentlichung eines Ereignisses aufheben, ist es für die freigegebenen Gruppen nicht mehr sichtbar.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie die ID oder UUID des Ereignisses an, dessen Veröffentlichung Sie aufheben möchten.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": false,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "[e-mail]",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Bei Erfolg: „Successfully unpublished event with {0} {1} in MISP.“ format(ID/UUID, event_id) Wenn nicht erfolgreich: „Event with {0} {1} was not unpublished in MISP“.format(ID/UUID, event_id) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Veröffentlichung des Ereignisses aufheben‘. Reason: {0}".format(stacktrace) Event-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Veröffentlichung des Events aufheben‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Attribut löschen

Attribute in MISP löschen. Unterstützte Hashes: MD5, SHA1, SHA224, SHA256, SHA384, SHA512, SSDeep.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Nein	Geben Sie die ID oder UUID des Ereignisses an, in dem nach Attributen gesucht werden soll. Dieser Parameter ist erforderlich, wenn „Attributsuche“ auf „Bereitgestelltes Ereignis“ festgelegt ist.
Attributname	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste der Attributkennungen an, die Sie löschen möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.
Kategorie	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste von Kategorien an. Wenn angegeben, werden durch die Aktion nur Attribute mit der entsprechenden Kategorie gelöscht. Wenn nichts angegeben ist, werden Kategorien in Attributen ignoriert. Mögliche Werte: „External Analysis“, „Payload Delivery“, „Artifacts Dropped“, „Payload Installation“.
Typ	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste von Attributtypen an. Wenn angegeben, werden durch die Aktion nur Attribute mit dem entsprechenden Attributtyp gelöscht. Wenn nichts angegeben ist, werden Typen in Attributen ignoriert. Beispielwerte: md5, sha1, ip-src, ip-dst
Objekt-UUID	String	–	Nein	Die eindeutige Kennung für ein Objekt im Ereignis.
Attributsuche	DDL	Bereitgestelltes Ereignis Mögliche Werte: Alle Ereignisse Bereitgestelltes Ereignis	Ja	Geben Sie an, wo die Aktion nach Attributen suchen soll. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, wird bei der Aktion nur nach Attributen oder Attribut-UUIDs im Ereignis mit der ID/UUID gesucht, die im Parameter „Ereignis-ID“ angegeben ist. Wenn Sie „Alle Ereignisse“ auswählen, wird nach Attributen in allen Ereignissen gesucht und alle Attribute, die den Kriterien entsprechen, werden gelöscht.
Attribut-UUID	CSV			Geben Sie eine durch Kommas getrennte Liste der Attribut-UUIDs an, die Sie löschen möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.

Anwendungsfälle

Entfernen Sie ein Attribut aus einem Ereignis.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "message": "Attribute deleted."
    }
]

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Wenn die Sichtung mindestens einem Attribut hinzugefügt wurde: „Die folgenden Attribute wurden in MISP gelöscht:\n{0}“.format(Attributname/Objekt-UUID) Wenn die Sichtung nicht erfolgreich zu mindestens einem Attribut hinzugefügt wurde: „Action didn't delete the following attributes in MISP:\n{0}“.format(attribute name/object UUID) Wenn nicht für alle erfolgreich: „In MISP wurden keine Attribute gelöscht“ Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Attribut löschen‘. Reason: {0}".format(stacktrace) Wenn ein ungültiger Parameter in „Category“ angegeben ist (Fehleraktion): „Error executing action „Delete an Attribute“. Grund: Für den Parameter „Category“ wurde ein ungültiger Wert angegeben. Zulässige Werte: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, aber keine Ereignis-ID ausgewählt ist: „Fehler beim Ausführen der Aktion ‚Attribut löschen‘. Grund: Die Ereignis-ID muss angegeben werden, wenn für den Parameter „Attributsuche“ die Option „Bereitgestelltes Ereignis“ ausgewählt ist. Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Attribut löschen‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Termin löschen

Ereignis in MISP löschen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie die ID oder UUID des Ereignisses an, das Sie löschen möchten.

Anwendungsfälle

Termine endgültig löschen

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "name": "Event deleted.",
        "message": "Event deleted.",
        "url": "/events/delete/4"
    }
]

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Bei Erfolg: „Successfully deleted event with {0} {1} in MISP“.format(ID/UUID, event_id) Kritischer Fehler (Aktion fehlgeschlagen): „Fehler beim Ausführen der Aktion ‚Termin löschen‘. Reason: {0}".format(traceback) Event ID is not found (fail action) „Error executing action „Delete an Event“. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Datei-MISP-Objekt erstellen

Mit der Aktion kann der Nutzer Dateiattribute, die sich auf ein Ereignis beziehen, in einem einzelnen Objekt organisieren, das eine Datei mit ihren Metainformationen beschreibt. Das Objekt mit den Attributen wird dann an ein bestimmtes Ereignis angehängt.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Die eindeutige Kennung des Ereignisses, dem das Objekt hinzugefügt werden soll. Beispiel: 1
Dateiname	String	–	Nein	Der Dateiname der Datei.
MD5	String	–	Nein	Der MD5-Hashwert der Datei.
SHA1	String	–	Nein	Der SHA1-Hashwert der Datei.
SHA256	String	–	Nein	Der SHA256-Hashwert der Datei.
SSDEEP	String	–	Nein	Der ssdeep-Wert der Datei. Beispiel: 96:p5aAS1tN0M3t9AnTNuG6TNOt5PR1TNZdkljOXTNSnKTF3X7KsTFW+kLtW6K8i7bI:p5mb4rgQhRp7GljCbF3LKqFjkwxtU
Imphash	String	–	Nein	Der aus der importierten Tabelle berechnete MD5-Hashwert.

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

IP-Port-MISP-Objekt erstellen

Mit der Aktion kann der Nutzer IP-Port-Attribute, die sich auf ein Ereignis beziehen, in einem einzelnen Objekt organisieren, das eine IP-Adresse (oder Domain oder Hostnamen) und einen Port als Tupel (oder als Tripel) in einem bestimmten Zeitraum beschreibt . Das Objekt mit den Attributen wird dann an ein bestimmtes Ereignis angehängt.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Die eindeutige Kennung des Ereignisses, dem das Objekt hinzugefügt werden soll. Beispiel: 1
Dst-port	String	–	Nein	Zielport.
Src-port	String	–	Nein	Quellport.
Domain	String	–	Nein	Domain (Domain verwalten).
Hostname	String	–	Nein	Hostname.
IP-Src	String	–	Nein	Quell-IP-Adresse.
IP-Dst	String	–	Nein	Ziel-IP-Adresse.

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

MISP-Objekt für Netzwerkverbindung erstellen

Erstellen Sie ein Netzwerkverbindungsobjekt in MISP. Erfordert eine der folgenden Angaben: „Dst-port“, „Src-port“, „IP-Src“, „IP-Dst“ oder der Parameter „Use Entities“ muss auf „true“ gesetzt sein.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie die ID oder UUID des Ereignisses an, dem Sie Netzwerkverbindungsobjekte hinzufügen möchten.
Dst-port	String	–	Nein	Geben Sie den Zielport an, den Sie dem Ereignis hinzufügen möchten.
Src-port	String	–	Nein	Geben Sie den Quellport an, den Sie dem Ereignis hinzufügen möchten.
Hostname-dst	String	–	Nein	Geben Sie das Quellziel an, das Sie dem Ereignis hinzufügen möchten.
Hostname-src	String	–	Nein	Geben Sie den Quellhostnamen an, den Sie dem Ereignis hinzufügen möchten.
IP-Src	String	–	Nein	Geben Sie die Quell-IP-Adresse an, die Sie dem Ereignis hinzufügen möchten.
IP-Dst	String	–	Nein	Geben Sie die Ziel-IP an, die Sie dem Ereignis hinzufügen möchten.
Layer3-protocol	String	–	Nein	Geben Sie das zugehörige Layer-3-Protokoll an, das Sie dem Ereignis hinzufügen möchten.
Layer4-protocol	String	–	Nein	Geben Sie das zugehörige Layer-4-Protokoll an, das Sie dem Ereignis hinzufügen möchten.
Layer7-protocol	String	–	Nein	Geben Sie das zugehörige Layer-7-Protokoll an, das Sie dem Ereignis hinzufügen möchten.
Entitäten verwenden	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, werden für die Aktion Entitäten verwendet, um Objekte zu erstellen. Unterstützte Entitäten: IP-Adresse. „Entitäten verwenden“ hat Vorrang vor anderen Parametern.
IP-Typ	DDL	Quell-IP-Adresse Mögliche Werte: Quell-IP-Adresse Ziel-IP-Adresse		Geben Sie an, welcher Attributtyp für IP-Entitäten verwendet werden soll.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Bei Erfolg und wenn „Entitäten verwenden“ nicht „true“ ist: „Successfully created new network-connection object for event with {0} {1} in MISP.“ .format(ID/UUID, event_id) Wenn nicht erfolgreich und „Entitäten verwenden“ nicht „true“ ist: „Aktion konnte kein neues Netzwerkverbindungsobjekt für das Ereignis mit {0} {1} in MISP erstellen. Reason: {2}".format(ID/UUID) Wenn ein Objekt erfolgreich erstellt wurde und „Entitäten verwenden“ auf „true“ gesetzt ist: „Successfully created new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers) Wenn für eine Entität nicht erfolgreich und „Entitäten verwenden“ „true“ ist: „Aktion konnte keine neuen Netzwerkverbindungsobjekte für das Ereignis mit {0} {1} in MISP basierend auf den folgenden Entitäten erstellen: \n{0}“.format(ID/UUID, event_id, entity.identifiers) Wenn nicht für alle erfolgreich und „Entitäten verwenden“ „true“ ist: „Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the provided entities.“ .format(ID/UUID, event_id) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚MISP-Objekt für Netzwerkverbindung erstellen‘. Reason: {0}".format(stacktrace) Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚MISP-Objekt für Netzwerkverbindung erstellen‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id) Wenn weder „Dst-port“, „Src-port“, „IP-Src“ noch „IP-Dst“ angegeben ist und „Use Entities“ == false: „Error executing action „Create network-connection Misp Object“. Grund: Einer der folgenden Parameter muss angegeben werden: „Dst-port“, „Src-port“, „IP-Src“, „IP-Dst“. Alternativ muss der Parameter „Use Entities“ auf „true“ gesetzt sein.	Allgemein

URL-MISP-Objekt erstellen

Erstellen Sie ein URL-Objekt in MISP. Erfordert die Angabe von „URL“ oder die Festlegung des Parameters „Entitäten verwenden“ auf „true“.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie die ID oder UUID des Ereignisses an, dem Sie URL-Objekte hinzufügen möchten.
URL	String	–	Nein	Geben Sie die URL an, die Sie dem Ereignis hinzufügen möchten.
Port	String	–	Nein	Geben Sie den Port an, den Sie dem Ereignis hinzufügen möchten.
Zuerst aufgetreten	String	–	Nein	Geben Sie an, wann die URL zum ersten Mal gesehen wurde. Format: 2020-12-22T13:07:32Z
Zuletzt erfasst	String	–	Nein	Geben Sie an, wann die URL zuletzt gesehen wurde. Format: 2020-12-22T13:07:32Z
Domain	String	–	Nein	Geben Sie die Domain an, die Sie dem Ereignis hinzufügen möchten.
Text	String	–	Nein	Geben Sie den zusätzlichen Text an, den Sie dem Ereignis hinzufügen möchten.
IP-Adresse	String	–	Nein	Geben Sie die IP-Adresse an, die Sie dem Ereignis hinzufügen möchten.
Host	String	–	Nein	Geben Sie den Host an, den Sie dem Ereignis hinzufügen möchten.
Entitäten verwenden	Kästchen	Deaktiviert		Wenn diese Option aktiviert ist, werden für die Aktion Entitäten verwendet, um Objekte zu erstellen. Unterstützte Entitäten: URL. „Entitäten verwenden“ hat Vorrang vor anderen Parametern.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Wenn erfolgreich und „Entitäten verwenden“ nicht „true“ ist: „Successfully created new URL object for event with {0} {1} in MISP.“ format(ID/UUID, event_id) Wenn nicht erfolgreich und „Entitäten verwenden“ nicht „true“ ist: „Die Aktion konnte kein URL-Objekt für das Ereignis mit {0} {1} in MISP erstellen. Reason: {2}".format(ID/UUID) Wenn ein Objekt erfolgreich erstellt wurde und „Entitäten verwenden“ auf „true“ gesetzt ist: „Successfully created new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers) Wenn nicht erfolgreich für eine und „Entitäten verwenden“ „true“ ist: „Aktion konnte keine neuen URL-Objekte für das Ereignis mit {0} {1} in MISP basierend auf den folgenden Entitäten erstellen: \n{0}“.format(ID/UUID, event_id, entity.identifiers) Wenn nicht für alle erfolgreich und „Entitäten verwenden“ wahr ist: „Die Aktion konnte basierend auf den angegebenen Entitäten keine neuen URL-Objekte für das Ereignis mit {0} {1} in MISP erstellen.“ .format(ID/UUID, event_id) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚URL-MISP-Objekt erstellen‘. Reason: {0}".format(stacktrace) Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Create Url Misp Object‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id) Wenn keine der URLs angegeben ist und „Entitäten verwenden“ == false: „Fehler beim Ausführen der Aktion ‚URL-MISP-Objekt erstellen‘. Grund: Entweder muss „URL“ angegeben oder der Parameter „Entitäten verwenden“ auf „true“ gesetzt werden.	Allgemein

Virustotal-Report-Objekt erstellen

Erstellen Sie ein VirusTotal-Berichtsobjekt in MISP.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie die ID oder UUID des Ereignisses an, dem Sie URL-Objekte hinzufügen möchten.
Permalink	String	–	Ja	Geben Sie den Link zum VirusTotal-Bericht an, den Sie dem Ereignis hinzufügen möchten.
Kommentar	String	–	Nein	Geben Sie den Kommentar an, den Sie dem Ereignis hinzufügen möchten.
Erkennungsrate	String	–	Nein	Geben Sie das Erkennungsverhältnis an, das Sie dem Ereignis hinzufügen möchten.
Community-Score	String	–	Nein	Geben Sie die Community-Punktzahl an, die Sie dem Ereignis hinzufügen möchten.
Erste Einreichung	String	–	Nein	Geben Sie die erste Einreichung des Ereignisses an. Format: 2020-12-22T13:07:32Z
Letzte Einreichung	String	–	Nein	Geben Sie die letzte Einreichung des Ereignisses an. Format: 2020-12-22T13:07:32Z

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Bei Erfolg : „Successfully created new Virustotal-Report object for event with {0} {1} in MISP.“ format(ID/UUID, event_id) Wenn nicht erfolgreich : „Action wasn't able to created Virustotal-Report object for event with {0} {1} in MISP. Reason: {2}".format(ID/UUID) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Create Virustotal-Report Misp Object‘. Reason: {0}".format(stacktrace) Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Create Virustotal-Report Misp Object‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Ereignisobjekte auflisten

Informationen zu verfügbaren Objekten im MISP-Ereignis abrufen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Ereignis-ID	String	–	Ja	Geben Sie eine durch Kommas getrennte Liste der IDs und UUIDs der Ereignisse an, für die Sie Details abrufen möchten.
Maximale Anzahl zurückzugebender Objekte	Ganzzahl	50	Nein	Geben Sie an, wie viele Objekte zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

"Object": [
    {
        "id": "1",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "2a3e260f-d3b2-4164-b2b1-2f6f5b559970",
        "timestamp": "1594632232",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    },
    {
        "id": "2",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "800d8634-175a-4bc2-a4d7-aca200c8c132",
        "timestamp": "1594632463",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    }

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn mindestens ein Objekt für ein Ereignis gefunden wurde: „Successfully listed objects for the following events: \n{0}“.format(event_ids) Wenn das Ereignis mit der angegebenen ID nicht gefunden wurde (is_success = false): print "Action was not able to list objects. Reason: Event with ID {0} was not found in MISP.".format(event_id) Wenn für ein Ereignis kein Objekt gefunden wurde: "Action wasn't able to find objects for the following events:\n {0}".format(event_ids) Wenn für alle Ereignisse kein Objekt gefunden wurde: „Für die angegebenen Ereignisse wurden keine Objekte gefunden.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: print "Error executing action "List Event Objects". Reason: {0}''.format(error.Stacktrace)	Allgemein
CSV-Tabelle	Tabellenname: Ereignis-{0}-Objekte Tabellenspalten: Objekt-UUID (zugeordnet als uuid) Name (zugeordnet als Name) Kategorie (als Metakategorie zugeordnet) Beschreibung (als Beschreibung zugeordnet) Kommentar (als Kommentar zugeordnet)

Ereignisdetails abrufen

Details zu Ereignissen in MISP abrufen.

Parameter

Anzeigename des Parameters	Typ	Ist obligatorisch	Beschreibung
Ereignis-ID	String	Ja	Geben Sie eine durch Kommas getrennte Liste der IDs oder UUIDs der Ereignisse an, für die Sie Details abrufen möchten.
Informationen zu Rückgabeattributen	Kästchen	Aktiviert	Wenn diese Option aktiviert ist, wird durch die Aktion eine Case Wall-Tabelle für alle Attribute erstellt, die Teil des Ereignisses sind.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn die Aktion für mindestens eine der angegebenen IDs erfolgreich abgeschlossen wurde: Geben Sie „Successfully retrieved information for the following events: <>“ aus. Wenn die Aktion für mindestens eine der angegebenen Vorfall-IDs nicht ausgeführt werden konnte: Ausgabe: „Failed to retrieved information for the following events: <> Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden: Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung, andere: Print „Fehler beim Ausführen der Aktion ‚Ereignisdetails abrufen‘. Reason: {0}''.format(error.Stacktrace Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: print "Error executing action "List Event Objects". Reason: {0}''.format(error.Stacktrace)	Allgemein
CSV-Tabelle	Table Name: Event {0} Attributes Details".format(event_id) Spalten: ID Wert Kommentar Typ Kategorie UUID Vertrieb Zeitstempel

Sichtungen eines Attributs auflisten

Verfügbare Sichtungen für Attribute in MISP auflisten.

Parameter

search

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Attributname	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attributkennungen an, für die Sie Sichtungen auflisten möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.
Ereignis-ID	String		Nein	Geben Sie die ID oder UUID des Ereignisses an, in dem nach Attributen gesucht werden soll. Dieser Parameter ist erforderlich, wenn „Attributsuche“ auf „Bereitgestelltes Ereignis“ festgelegt ist.
Kategorie	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Kategorien an. Wenn angegeben, werden in der Aktion nur Sichtungen für Attribute mit übereinstimmender Kategorie aufgeführt. Wenn nichts angegeben ist, werden Kategorien in Attributen ignoriert. Mögliche Werte: „External Analysis“, „Payload Delivery“, „Artifacts Dropped“, „Payload Installation“.
Typ	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attributtypen an. Wenn angegeben, werden in der Aktion nur Sichtungen für Attribute mit dem entsprechenden Attributtyp aufgeführt. Wenn nichts angegeben ist, werden Typen in Attributen ignoriert. Beispielwerte: md5, sha1, ip-src, ip-dst
Attributsuche	DDL	Bereitgestelltes Ereignis Mögliche Werte: Alle Ereignisse	Ja	Geben Sie an, wo die Aktion nach Attributen suchen soll. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, wird bei der Aktion nur nach Attributen oder Attribut-UUIDs im Ereignis mit der ID/UUID gesucht, die im Parameter „Ereignis-ID“ angegeben ist. Wenn Sie „Alle Ereignisse“ auswählen, wird nach Attributen in allen Ereignissen gesucht und es werden Sichtungen für alle Attribute aufgelistet, die den Kriterien entsprechen.
Attribut-UUID	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attribut-UUIDs an, für die Sie Sichtungen auflisten möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Wert/Beschreibung	Typ
Ausgabenachricht*	Wenn Sichtungen für mindestens ein Attribut erfolgreich aufgelistet wurden: „Successfully listed sightings for the following attributes in MISP:\n{0}“.format(attribute name/attribute UUID) Wenn für mindestens ein Attribut keine Sichtungen aufgeführt werden konnten: „Action didn't list sightings for the following attributes in MISP:\n{0}".format(attribute name/attribute UUID) Wenn nicht für alle Attribute erfolgreich oder keine Sichtungen für alle Attribute: „Für die angegebenen Attribute wurden in MISP keine Sichtungen gefunden.“ Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚Sichtungen eines Attributs auflisten‘. Reason: {0}".format(stacktrace) Wenn ein ungültiger Parameter in „Category“ angegeben ist (Fehleraktion): „Error executing action „List Sightings of an Attribute“. Grund: Für den Parameter „Category“ wurde ein ungültiger Wert angegeben. Zulässige Werte: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, aber keine Ereignis-ID: „Fehler beim Ausführen der Aktion ‚Sichtungen eines Attributs auflisten‘. Grund: Die Ereignis-ID muss angegeben werden, wenn für den Parameter „Attributsuche“ die Option „Bereitgestelltes Ereignis“ ausgewählt ist.	Allgemein

IDS-Flag für ein Attribut festlegen

IDS-Flag für Attribute in MISP festlegen.

Parameter

searchsearch

Parametername	Typ	Standardwert	Erforderlich	Beschreibung
Attributname	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attributkennungen an, für die Sie ein IDS-Flag festlegen möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.
Ereignis-ID	String		Nein	Geben Sie die ID oder UUID des Ereignisses an, in dem nach Attributen gesucht werden soll. Dieser Parameter ist erforderlich, wenn „Attributsuche“ auf „Bereitgestelltes Ereignis“ festgelegt ist.
Kategorie	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Kategorien an. Wenn angegeben, wird die Aktion nur für Attribute mit übereinstimmender Kategorie das IDS-Flag festlegen. Wenn nichts angegeben ist, werden Kategorien in Attributen ignoriert. Mögliche Werte: „External Analysis“, „Payload Delivery“, „Artifacts Dropped“, „Payload Installation“.
Typ	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attributtypen an. Wenn angegeben, wird die Aktion nur das IDS-Flag für Attribute mit übereinstimmendem Attributtyp festlegen. Wenn nichts angegeben ist, werden Typen in Attributen ignoriert. Beispielwerte: md5, sha1, ip-src, ip-dst
Attributsuche	DDL	Bereitgestelltes Ereignis Mögliche Werte: Alle Ereignisse	Ja	Geben Sie an, wo die Aktion nach Attributen suchen soll. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, wird bei der Aktion nur nach Attributen oder Attribut-UUIDs im Ereignis mit der ID/UUID gesucht, die im Parameter „Ereignis-ID“ angegeben ist. Wenn „Alle Ereignisse“ ausgewählt ist, wird nach Attributen in allen Ereignissen gesucht und das IDS-Flag für alle Attribute festgelegt, die den Kriterien entsprechen.
Attribut-UUID	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attribut-UUIDs an, für die Sie ein IDS-Flag festlegen möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	Wahr/falsch	success:False

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Wenn das IDS-Flag mindestens einem Attribut hinzugefügt wurde: „Successfully set IDS flag for the following attributes in MISP:\n{0}“.format(attribute name/object UUID) Wenn das IDS-Flag nicht erfolgreich zu mindestens einem Attribut hinzugefügt wurde: „Action didn't set IDS flag for the following attributes in MISP:\n{0}".format(attribute name/object UUID) Wenn nicht für alle erfolgreich: „IDS flag was not set for the provided attributes in MISP“ (IDS-Flag wurde für die angegebenen Attribute in MISP nicht festgelegt) Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚IDS-Flag für ein Attribut festlegen‘. Reason: {0}".format(stacktrace) Wenn ein ungültiger Parameter in „Kategorie“ angegeben ist (Aktion fehlgeschlagen): „Fehler beim Ausführen der Aktion ‚IDS-Flag für ein Attribut festlegen‘. Grund: Für den Parameter „Category“ wurde ein ungültiger Wert angegeben. Zulässige Werte: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, aber keine Ereignis-ID: „Fehler beim Ausführen der Aktion ‚IDS-Flag für ein Attribut festlegen‘. Grund: Die Ereignis-ID muss angegeben werden, wenn für den Parameter „Attributsuche“ die Option „Bereitgestelltes Ereignis“ ausgewählt ist. Event ID is not found (fail action) „Error executing action „Set IDS Flag for an Attribute“. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

IDS-Flag für ein Attribut deaktivieren

IDS-Flag für Attribute in MISP deaktivieren.

Parameter

Name	Typ	Standardwert	Erforderlich	Beschreibung
Attributname	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attributkennungen an, für die Sie ein IDS-Flag aufheben möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.
Ereignis-ID	String		Nein	Geben Sie die ID oder UUID des Ereignisses an, in dem nach Attributen gesucht werden soll. Dieser Parameter ist erforderlich, wenn „Attributsuche“ auf „Bereitgestelltes Ereignis“ festgelegt ist.
Kategorie	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Kategorien an. Wenn angegeben, wird die Aktion nur das IDS-Flag für Attribute aufheben, die eine übereinstimmende Kategorie haben. Wenn nichts angegeben ist, werden Kategorien in Attributen ignoriert. Mögliche Werte: „External Analysis“, „Payload Delivery“, „Artifacts Dropped“, „Payload Installation“.
Typ	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attributtypen an. Wenn angegeben, wird die Aktion nur für Attribute mit dem entsprechenden Attributtyp das IDS-Flag aufheben. Wenn nichts angegeben ist, werden Typen in Attributen ignoriert. Beispielwerte: md5, sha1, ip-src, ip-dst
Attributsuche	DDL	Bereitgestelltes Ereignis Mögliche Werte: Alle Ereignisse	Richtig	Geben Sie an, wo die Aktion nach Attributen suchen soll. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, wird bei der Aktion nur nach Attributen oder Attribut-UUIDs im Ereignis mit der ID/UUID gesucht, die im Parameter „Ereignis-ID“ angegeben ist. Wenn „Alle Ereignisse“ ausgewählt ist, wird nach Attributen in allen Ereignissen gesucht und das IDS-Flag für alle Attribute, die den Kriterien entsprechen, aufgehoben.
Attribut-UUID	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste von Attribut-UUIDs an, für die Sie ein IDS-Flag aufheben möchten. Hinweis: Wenn sowohl „Attributname“ als auch „Attribut-UUID“ angegeben sind, wird die Aktion mit den Werten für „Attribut-UUID“ ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
Erfolgreich	Wahr/falsch	success:False

Fall-Repository

Ergebnistyp	Wertbeschreibung	Typ
Ausgabenachricht*	Wenn das IDS-Flag für mindestens ein Attribut entfernt wurde: „Successfully unset IDS flag for the following attributes in MISP:\n{0}“.format(attribute name/object UUID) Wenn das IDS-Flag nicht erfolgreich von mindestens einem Attribut entfernt wurde: „Action didn't unset IDS flag for the following attributes in MISP:\n{0}“.format(attribute name/object UUID) Wenn nicht für alle erfolgreich: „IDS flag was not unset for the provided attributes in MISP“ Kritischer Fehler (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚IDS-Flag für ein Attribut aufheben‘. Reason: {0}".format(stacktrace) Wenn in „Kategorie“ ein ungültiger Parameter angegeben ist (Fehleraktion): „Fehler beim Ausführen der Aktion ‚IDS-Flag für ein Attribut aufheben‘. Grund: Für den Parameter „Category“ wurde ein ungültiger Wert angegeben. Zulässige Werte: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation. Wenn „Bereitgestelltes Ereignis“ ausgewählt ist, aber keine Ereignis-ID: „Fehler beim Ausführen der Aktion ‚IDS-Flag für ein Attribut aufheben‘. Grund: Die Ereignis-ID muss angegeben werden, wenn für den Parameter „Attributsuche“ die Option „Bereitgestelltes Ereignis“ ausgewählt ist. Ereignis-ID nicht gefunden (Aktion fehlgeschlagen) „Fehler beim Ausführen der Aktion ‚IDS-Flag für ein Attribut aufheben‘. Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)	Allgemein

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Hinweis: Um Datenverlust zu vermeiden, verwenden Connectors Ereignis-Flattening. Wenn eine Rohbenachrichtigung eine Liste von Entitäten enthält (z. B. mehrere E-Mail-Adressen, Hostnamen oder IP-Adressen), werden diese von Connectors automatisch in separate, eindeutige Ereignisse aufgeteilt.

Beispiel: Eine einzelne Rohbenachrichtigung mit drei verschiedenen E-Mail-Adressen wird als drei separate Ereignisse aufgenommen, die jeweils eine eindeutige E-Mail-Adresse enthalten.

So wird sichergestellt, dass jede Entität korrekt als eindeutiges Asset indexiert wird, sodass sie in Playbooks vollständig durchsuchbar und nutzbar ist.

MISP – Connector für Attribute

Attribute aus MISP abrufen.

MISP – Attributes-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
DeviceProductField	String	Produktname	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
EventClassId	String	alertType	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
PythonProcessTimeout	Ganzzahl	180	Ja	Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm	String	–	Ja	API-Stammverzeichnis für MISP-Konto.
API-Schlüssel	Passwort		Ja	API-Schlüssel des MISP-Kontos.
Maximale Anzahl von Stunden rückwärts abrufen	Ganzzahl	1	Nein	Anzahl der Stunden, ab denen Attribute abgerufen werden sollen.
Maximale Anzahl von Attributen pro Zyklus	Ganzzahl	50	Ja	Wie viele Attribute pro Connector-Iteration verarbeitet werden sollen.
Niedrigste Bedrohungsstufe, die abgerufen werden soll	Ganzzahl	1	Ja	Niedrigster Schweregrad, der zum Abrufen von Benachrichtigungen verwendet wird. Mögliche Werte: 1–4.
Filter für Attributtyp	String		Nein	Filtern Sie Attribute nach ihrem Typ, durch Kommas getrennt. Wenn angegeben, werden nur Attribute mit einem Typ auf der Zulassungsliste verarbeitet.
Kategoriefilter	String		Nein	Filtern Sie Attribute nach ihrer Kategorie, durch Kommas getrennt. Falls angegeben, werden nur Attribute mit einer Kategorie auf der Zulassungsliste verarbeitet.
Galaxy-Filter	String		Nein	Filtert Attribute nach der Galaxy des übergeordneten Ereignisses, kommagetrennt. Falls angegeben, werden nur Attribute verarbeitet, die zu einem Ereignis mit einer auf der Zulassungsliste stehenden Galaxie gehören.
SSL überprüfen	Kästchen		Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum CheckPoint Cloud Guard-Server gültig ist.
Name des Umgebungsfelds	String		Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	.*	Nein	Ein Regex-Muster, das auf den Wert im Feld „Environment Field Name“ angewendet wird. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Proxyserveradresse	String		Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String		Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort		Nein	Das Proxy-Passwort für die Authentifizierung.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten