שילוב של MISP עם Google SecOps

במאמר הזה מוסבר איך לשלב את MISP עם Google Security Operations.

תרחישים לדוגמה

השילוב של MISP משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:

  • העשרת סימנים מחשידים (IoC): אחזור אוטומטי של הקשר לכתובות URL, שמות מארחים, כתובות IP וגיבובים של קבצים מהמכונה של MISP כדי לזהות גורמים זדוניים ידועים.

  • אוטומציה של יצירת אירועים ושיתוף שלהם: אתם יכולים ליצור אירועי MISP חדשים ישירות מהפלייבוקים ולפרסם אותם בקבוצות שיתוף כדי להתריע לקהילת האבטחה שלכם על איומים חדשים.

  • ניהול סיווג אירועים: הוספה או הסרה של תגים מאירועים וממאפיינים באופן דינמי כדי לשמור על תמונת מצב מדויקת ועדכנית של האיומים.

  • חקירת איומים קשורים: חיפוש ואחזור מידע על אירועים שקשורים לישויות ספציפיות כדי להבין את ההיקף הרחב יותר של חקירה מתמשכת.

  • ניתוח קבצים חשודים: העלאת קבצים לאירועים ב-MISP לניתוח משותף, או הורדת קבצים מצורפים קיימים לאירועים להערכה פנימית בארגז חול (Sandbox).

לפני שמתחילים

לפני שמגדירים את השילוב בפלטפורמת Google SecOps, צריך לוודא שאתם עומדים בדרישות הבאות בסביבת MISP:

  • ‫MISP API key: צריך מפתח API תקין כדי לאמת את החיבור. אפשר לקבל אותו מתפריט הפעולות של האירוע בממשק המשתמש של MISP. מידע נוסף זמין במאמר אוטומציה ו-MISP API.

  • כתובת הבסיס של ה-API: ודאו שכתובת ה-IP או שם המארח של מכונת ה-MISP זמינים להגדרה.

  • אופציונלי: אישור CA: אם הסביבה שלכם דורשת אימות SSL באמצעות אישור ספציפי, ודאו שקובץ אישור ה-CA זמין. במהלך ההגדרה, צריך לספק את הערך הזה כמחרוזת בקידוד Base64.

  • גרסת השילוב: ודאו שאתם משתמשים בגרסה העדכנית של השילוב עם MISP כדי שכל הפעולות והפרמטרים ייתמכו.

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
הרמה הבסיסית (root) של ה-API String https://<IP> כן הכתובת של המכונה ב-MISP.
מפתח API String לא רלוונטי כן נוצר במסוף של MISP.
שימוש ב-SSL תיבת סימון התיבה לא מסומנת לא צריך לסמן את התיבה הזו אם החיבור ל-MISP דורש אימות SSL (התיבה לא מסומנת כברירת מחדל).
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את השדה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

הוספת מאפיין

מוסיפים ישות כמאפיין לאירוע MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן המזהה של האירוע.
קטגוריה String ניתוח חיצוני לא הקטגוריה של המאפיין. ברירת המחדל: ניתוח חיצוני.
הפצה String 1 לא התפלגות המאפיין. ברירת המחדל: 1.
למערכת לגילוי חדירות (IDS) תיבת סימון התיבה לא מסומנת לא אם המאפיין משמש למערכת לגילוי חדירות (IDS). ברירת המחדל: false.
תגובה String לא רלוונטי לא התגובה שרוצים להוסיף למאפיין.

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת URL
  • שם המארח
  • כתובת IP
  • Filehash

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
תוצאת JSON
N/A

יצירת אירוע

יוצרים אירוע MISP חדש.

מגבלה ידועה

נכון לעכשיו, ה-API של MISP לא מאפשר לפרסם אירוע מיד אחרי שהוא נוצר. קודם צריך ליצור אירוע ואז להשתמש בפעולה "פרסום אירוע".

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם האירוע String לא רלוונטי כן שם האירוע.
רמת האיום String 0 לא רמת האיום של האירוע. ברירת המחדל: 0.
הפצה String 1 לא התפלגות המאפיין. ברירת המחדל: 1.
ניתוח String 0 לא רמת הניתוח של האירוע [0-2]: ברירת המחדל: 0.
פרסום תיבת סימון סימן אישור לא אם לפרסם את האירוע או לא.
תגובה String לא רלוונטי לא התגובה לאירוע.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
event_id לא רלוונטי לא רלוונטי

הוספת תג לאירוע

הפעולה "הוספת תג לאירוע" מאפשרת למשתמש להוסיף תג לאירוע ספציפי ב-MISP. הפעולה הזו מוסיפה סיווג לאירוע על סמך הקטגוריה של איום האבטחה שנובע מה-IOC שמשויך לאירוע.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן המזהה הייחודי שמציין את האירוע שאליו רוצים להוסיף תג.
שם התג String לא רלוונטי כן השם של התג שרוצים להוסיף לאירוע.

תרחישים לדוגמה

סיווג אירוע: עדכון האירוע על ידי הוספת תג.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "saved": true,
        "success": "Tag(s) added.",
        "check_publish": true
    }
]

הורדת הקובץ

הורדת קבצים שקשורים לאירוע ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי לא צריך לציין את המזהה או ה-UUID של האירוע שממנו רוצים להוריד קבצים
נתיב תיקיית ההורדות String לא רלוונטי

צריך לציין את הנתיב המוחלט לתיקייה שבה רוצים לשמור את הקבצים. אם לא מציינים כלום, הפעולה תיצור קובץ מצורף במקום זאת.
הערה: תוצאת JSON זמינה רק כשמציינים ערך מתאים לפרמטר הזה.
החלפה תיבת סימון התיבה לא מסומנת אם ההגדרה מופעלת, הפעולה תחליף את הקבצים הקיימים.

ריצה

הפעולה הזו פועלת על הישות Filehash.

תוצאות הפעולה
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
תוצאת JSON
{

"absolute_paths": ["/etc/file1.txt", "/etc/file2.txt"]

}
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם הפעולה הצליחה: "Successfully downloaded the following files from the event with {0} {1} in MISP:\n{2}".format(ID/UUID, event_id, result/filename from the response)

אם לא נמצאו קבצים: "No files were found for the event with {0} {1} in MISP:\n{2}".format(ID/UUID, event_id)

אם לא צוין "נתיב תיקיית ההורדה" וחלק מהקבצים חרגו מהמגבלה של הפלטפורמה לקבצים מצורפים: "הפעולה לא הצליחה להוריד את הקבצים הבאים כי הם חרגו מהמגבלה של 3MB: \n {0}. \n כדי להוריד אותם, צריך לציין נתיב לתיקייה בפרמטר "נתיב תיקיית ההורדה"." (תוצאה/שם הקובץ)

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'הורדת קובץ'. הסיבה: {0}".format(stacktrace)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה "הורדת קובץ". סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

אם הערך של overwrite הוא false ואחד מהקבצים כבר קיים: "Error executing action "Download File".‎ הסיבה: הקבצים הבאים כבר קיימים: {0}. צריך להסיר אותם או להגדיר את הפרמטר "Overwrite" לערך "true".".format(absolute path to the file)

 כללי

העשרת ישויות

העשרת ישויות על סמך המאפיינים ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל תיאור
מספר המאפיינים שיוחזרו String לא רלוונטי מציינים כמה מאפיינים להחזיר לישויות.
תנאי סינון מציינים את תנאי הסינון של הפעולה. אם בוחרים באפשרות "אחרון", הפעולה תשתמש במאפיין הישן ביותר להעשרה. אם בוחרים באפשרות "ראשון", הפעולה תשתמש במאפיין החדש ביותר להעשרה.
סף רמת האיום DDL

נמוכה

ערכים אפשריים:

גבוהה

בינוני

נמוכה

לא מוגדר

 מציינים מה צריך להיות הסף של רמת האיום של האירוע שבו נמצאה הישות. אם האירוע הקשור חורג מהסף או תואם לו, הישות תסומן כחשודה.
מגבלת החיפוש של מאפיינים מספר שלם 50 מציינים כמה מאפיינים לחפש בכל ישות. הפרמטר הזה משפיע על המאפיין שייבחר להעשרה. ברירת המחדל: 50.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת URL
  • שם המארח
  • כתובת IP
  • Filehash
תוצאות הפעולה
העשרת ישויות

ישויות מסומנות כחשודות אם רמת האיום של האירוע גבוהה מ-0. אחרת: False

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
תוצאת JSON
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

למאפיינים שנמצאו: (is_success=true) "Successfully enriched the following entities using MISP: \n{0}".format(entity.identifier)

למאפיינים שלא נמצאו (is_success=true) "הפעולה לא הצליחה להעשיר את הישויות הבאות באמצעות MISP: \n{0}".format(entity.identifier)

אם לא נמצאו כל המאפיינים (is_success=false) "לא הועשרו ישויות באמצעות MISP"

אם המאפיינים חשודים (is_success=true) "המאפיינים הבאים סומנו כחשודים באמצעות MISP: \n {0}".format(entity.identifier)

 כללי
טבלת CSV

עמודות בטבלה:

  • מזהה
  • מזהה אירוע
  • קטגוריה
  • סוג
  • UUID
  • חותמת הזמן
  • הפצה
  • IDS

אחזור מידע על אירועים שקשורים לישויות ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל תיאור
סימון כחשוד תיבת סימון סימן אישור אם המדיניות מופעלת, הפעולה תסמן את הישות כחשודה, אם יש לפחות אירוע אחד שקשור אליה.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת URL
  • שם המארח
  • כתובת IP
  • Filehash

תוצאות הפעולה

העשרת ישויות

אם יש רשומות של אירועים קשורים, הישויות מסומנות כחשודות. אחרת: False.

שם שדה ההעשרה לוגיקה – מתי להחיל
אירוע מוחזר אם הוא קיים בתוצאת ה-JSON
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
תוצאת JSON
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם נמצא אירוע אחד לפחות לישות אחת: "Successfully retrieved information about the related events for the following entities: \n{0}".format(entity.identifier)

אם לא נמצא אירוע לישות אחת לפחות: "הפעולה לא הצליחה לאחזר מידע על האירועים הקשורים לישויות הבאות: \n{0}".format(entity.identifier

אם אין אירועים בכלל: "לא נמצאו אירועים קשורים לישויות שצוינו".

 כללי

העלאת קובץ

העלאת קובץ לאירוע MISP.

פרמטרים

שם סוג ברירת מחדל תיאור
מזהה אירוע String לא רלוונטי ציינו את המזהה או ה-UUID של האירוע שאליו אתם רוצים להעלות את הקובץ.
נתיב הקובץ String לא רלוונטי ציינו רשימה מופרדת בפסיקים של נתיבי קבצים מוחלטים של הקבצים שאתם רוצים להעלות ל-MISP.
קטגוריה מציינים את הקטגוריה של הקובץ שהועלה. ערכים אפשריים: ניתוח חיצוני, העברת מטען ייעודי (payload), פריטים שהושמטו, התקנת מטען ייעודי (payload).
הפצה String קהילה

מציינים את ההפצה של הקובץ שהועלה.
ערכים אפשריים: 0 – ארגון, 1 – קהילה, 2 – מחובר, 3 – הכול. אפשר לציין מספר או מחרוזת.
רמת האיום String גבוהה

מציינים את רמת האיום של הקובץ שהועלה.
ערכים אפשריים: 1 – גבוה, 2 – בינוני, 3 – נמוך, 4 – לא מוגדר. אפשר לציין מספר או מחרוזת.
ניתוח String ראשי תיבות

מציינים את ניתוח האירוע.
ערכים אפשריים: 0 – ראשוני, 1 – מתמשך, 2 – הושלם. אפשר לציין מספר או מחרוזת.
מידע String לא רלוונטי מציינים מידע נוסף על הקובץ שהועלה.
למערכת לגילוי חדירות (IDS) תיבת סימון התיבה לא מסומנת אם ההגדרה מופעלת, הקובץ שהועלה ישמש למערכות לגילוי חדירות (IDS).
תגובה String לא רלוונטי מציינים הערות נוספות שקשורות לקובץ שהועלה.
תוצאות הפעולה
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "Event": {
        "id": "106",
        "orgc_id": "1",
        "org_id": "1",
        "date": "2021-01-15",
        "threat_level_id": "1",
        "info": "vanuhi 1015",
        "published": false,
        "uuid": "1cd22aa2-57e8-4fc8-bac6-721c1be2c27d",
        "attribute_count": "10",
        "analysis": "0",
        "timestamp": "1610893968",
        "distribution": "1",
        "proposal_email_lock": false,
        "locked": false,
        "publish_timestamp": "0",
        "sharing_group_id": "0",
        "disable_correlation": false,
        "extends_uuid": "",
        "event_creator_email": "admin@admin.test",
        "Org": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Orgc": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Attribute": [],
        "ShadowAttribute": [],
"Object": [
            {
                "id": "446",
                "name": "file",
                "meta-category": "file",
                "description": "File object describing a file with meta-information",
                "template_uuid": "688c46fb-5edb-40a3-8273-1af7923e2215",
                "template_version": "20",
                "event_id": "106",
                "uuid": "0188ba5d-68eb-4b5c-8e05-6fd49f8eee9a",
                "timestamp": "1610691647",
                "distribution": "1",
                "sharing_group_id": "0",
                "comment": "",
                "deleted": false,
                "first_seen": null,
                "last_seen": null,
                "ObjectReference": [],
                "Attribute": [
                    {
                        "id": "1859",
                        "type": "malware-sample",
                        "category": "External analysis",
                        "to_ids": true,
                        "uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138",
                        "event_id": "106",
                        "distribution": "1",
                        "timestamp": "1610703650",
                        "comment": "",
                        "sharing_group_id": "0",
                        "deleted": false,
                        "disable_correlation": false,
                        "object_id": "446",
                        "object_relation": "malware-sample",
                        "first_seen": null,
                        "last_seen": null,
                        "value": "vanuhi.txt|7bd55b0a276e076cbaf470e64359adb8",
                        "Galaxy": [],
                        "data": "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",
                        "ShadowAttribute": [],
                        "Sighting": [
                            {
                                "id": "1733",
                                "attribute_id": "1859",
                                "event_id": "106",
                                "org_id": "1",
                                "date_sighting": "1611207638",
                                "uuid": "feb085f1-1923-4327-a73d-b60a948377e4",
                                "source": "",
                                "type": "0",
                                "Organisation": {
                                    "id": "1",
                                    "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
                                    "name": "ORGNAME"
                                },
                                "attribute_uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138"
                            }
                        ]
                    }
            }
    }
}
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

אם הפעולה בוצעה בהצלחה בישות אחת:"Succesfully uploaded the provided files to the event {0} in MISP".format(event_id)

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'העלאת קובץ'. הסיבה: {0}".format(stacktrace)

אם צוין פרמטר לא חוקי בעמודה Distribution (פעולה במקרה של כשל):

"שגיאה בהפעלת הפעולה "העלאת קובץ". הסיבה: צוין ערך לא חוקי בפרמטר "הפצה". מספרים קבילים: 0,1,2,3. מחרוזות קבילות: Organisation, ‏ Community, ‏ Connected, ‏ All".

אם צוין פרמטר לא חוקי ב-Threat Level (רמת האיום) (פעולת כשל): "Error executing action"Upload File"‎ (שגיאה בביצוע הפעולה "העלאת קובץ"). הסיבה: צוין ערך לא חוקי בפרמטר "רמת האיום". מספרים קבילים: 1,2,3,4. מחרוזות קבילות: High, ‏ Medium, ‏ Low, ‏ Undefined".

אם צוין פרמטר לא חוקי ב-"Category" (פעולת כשל): "Error executing action "Upload File".‎ הסיבה: צוין ערך לא חוקי בפרמטר "קטגוריה". ערכים קבילים: External Analysis, ‏ Payload Delivery, ‏ Artifacts Dropped, ‏ Payload Installation".

אם צוין פרמטר לא חוקי ב "ניתוח" (פעולת כשל): "שגיאה בביצוע הפעולה 'העלאת קובץ'. הסיבה: צוין ערך לא חוקי בפרמטר Analysis. מספרים קבילים: 0,1,2. מחרוזות קבילות: Initial, ‏ Ongoing, ‏ Completed".

אם לפחות אחד מהקבצים לא זמין, תופיע ההודעה "שגיאה בביצוע הפעולה 'העלאת קובץ'. הסיבה: לא הייתה גישה לקבצים הבאים: \n {0}".format(file paths, that were not accessible.)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'העלאת קובץ'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

פינג

בדיקת הקישוריות.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
תוצאת JSON
N/A

הסרת תג מאירוע

הסרת תגים מאירוע ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן ציינו את המזהה או ה-UUID של האירוע שממנו אתם רוצים להסיר תגים.
שם התג CSV לא רלוונטי כן ציינו רשימה מופרדת בפסיקים של תגים שאתם רוצים להסיר מאירועים.

תרחישים לדוגמה

סיווג מחדש של אירוע: הסרת התג לסיווג מחדש.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "saved": true,
        "success": "Tag removed.",
        "check_publish": true
    }
]
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

אם כל התגים הוסרו בהצלחה מאירוע: "Successfully removed the following tags from the event with {0} {1} in MISP: {2}.".format(ID/UUID, event_id, tags)

אם לא הצלחתם להסיר חלק מהתגים מאירוע: "Action wasn't able to remove the following tags from the event with {0} {1} in MISP: {2}.".format(ID/UUID, event_id, tags)

אם הפעולה נכשלה בכל המקרים: "No tags were removed from the event with {0} {1} in MISP".format(ID/UUID, event_id)

אם לפחות תג אחד לא נמצא: "The following tags were not found in MISP: \n{0}".format(list of tags that were not found in MISP)

אם אף אחד מהתגים לא נמצא: "אף אחד מהתגים שצוינו לא נמצא ב-MISP".

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'הסרת תג מאירוע'. הסיבה: {0}".format(stacktrace)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'הסרת תג מאירוע'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

הוספת תג למאפיין

הפעולה הזו מאפשרת למשתמש להוסיף תג למאפיין ספציפי ב-MISP. הפעולה הזו מוסיפה סיווג למאפיין על סמך הקטגוריה של איום האבטחה שנובע מה-IOC במאפיין.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע מספר שלם לא רלוונטי כן המזהה של האירוע שהמאפיין משויך אליו. דוגמה: 1.
שם התג String לא רלוונטי כן שם התג שרוצים להוסיף למאפיין.
שם המאפיין String לא רלוונטי כן מזהה השם של המאפיין שרוצים לתייג.
קטגוריה String לא רלוונטי כן הקטגוריה שאליה המאפיין משתייך. לדוגמה, "מסירת מטען".
סוג String לא רלוונטי כן סוג המאפיין, למשל שם קובץ.
מזהה ייחודי אוניברסלי (UUID) של אובייקט String לא רלוונטי לא המזהה הייחודי של אובייקט באירוע.

תרחישים לדוגמה

סיווג מאפיין על סמך סוג IOC: הוספת תג למאפיין.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "name": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "message": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "url": "/tags/attachTagToObject"
    }
]

הסרת תג ממאפיין

מסירים תגים ממאפיינים ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי לא צריך לציין את המזהה או ה-UUID של האירוע שבו רוצים לחפש מאפיינים. הפרמטר הזה נדרש אם "חיפוש מאפיינים" מוגדר כ "אירוע שסופק".
שם התג CSV לא רלוונטי כן ציינו רשימה מופרדת בפסיקים של תגים שאתם רוצים להסיר ממאפיינים.
שם המאפיין CSV לא רלוונטי לא

מציינים רשימה מופרדת בפסיקים של מזהי מאפיינים שמהם רוצים להסיר תגים.
הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".
קטגוריה CSV לא רלוונטי לא

צריך לציין רשימה של קטגוריות מופרדות בפסיקים. אם מציינים את הפרמטר הזה, הפעולה תסיר רק תגים ממאפיינים שיש להם קטגוריה תואמת. אם לא מציינים קטגוריות, הפעולה תתעלם מהקטגוריות במאפיינים.
ערכים אפשריים: ניתוח חיצוני, העברת מטען ייעודי (Payload), פריטים שהושמטו, התקנת מטען ייעודי (Payload).
סוג CSV לא רלוונטי לא

צריך לציין רשימה מופרדת בפסיקים של סוגי מאפיינים. אם מציינים את סוג המאפיין, הפעולה תסיר רק תגים ממאפיינים שתואמים לסוג המאפיין. אם לא מציינים כלום, הפעולה תתעלם מסוגים במאפיינים.
ערכים לדוגמה: md5, sha1, ip-src, ip-dst
מזהה ייחודי אוניברסלי (UUID) של אובייקט CSV לא רלוונטי מציינים את ה-UUID של האובייקט שמכיל את המאפיין הרצוי.
חיפוש מאפיינים DDL

אירוע שסופק

ערכים אפשריים:

כל האירועים

אירוע שסופק

 כן מציינים איפה הפעולה צריכה לחפש מאפיינים. אם בוחרים באפשרות "אירוע שסופק", הפעולה תחפש מאפיינים או מזהי UUID של מאפיינים רק באירוע עם המזהה או ה-UUID שצוינו בפרמטר "מזהה אירוע". אם בוחרים באפשרות "כל האירועים", הפעולה תחפש מאפיינים בכל האירועים ותסיר תגים מכל המאפיינים שעומדים בקריטריונים שלנו.
מזהה ייחודי אוניברסלי (UUID) של המאפיין CSV ציינו רשימה מופרדת בפסיקים של מזהי UUID של מאפיינים שמהם אתם רוצים להסיר תגים חדשים. הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".

תרחישים לדוגמה

סיווג מחדש של מאפיין: הסרת התג לסיווג מחדש

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "name": "Tag unique___test(7) successfully removed from Attribute(9).",
        "message": "Tag unique___test(7) successfully removed from Attribute(9).",
        "url": "/tags/removeTagFromObject"
    }
]
קיר תיקים
סוג התוצאות ערך/תיאור סוג>
הודעת פלט*

אם התגים הוסרו בהצלחה ממאפיין אחד לפחות: "Successfully removed tags from the following attributes in MISP:\n{0}".format(attribute name/object UUID)

אם לא הוסרו תגים ממאפיין אחד לפחות: "הפעולה לא הסירה תגים מהמאפיינים הבאים ב-MISP:‏\n{0}".format(attribute name/object UUID)

אם הפעולה נכשלה בכל המאפיינים: "לא הוסרו תגים מהמאפיינים שצוינו ב-MISP"

אם לפחות תג אחד לא נמצא: "The following tags were not found in MISP: \n{0}".format(list of tags that were not found in MISP)

אם אף אחד מהתגים לא נמצא: "אף אחד מהתגים שצוינו לא נמצא ב-MISP".

שגיאה קריטית (פעולה נכשלה) "שגיאה בביצוע הפעולה 'הסרת תג ממאפיין'. הסיבה: {0}".format(stacktrace)

אם צוין פרמטר לא חוקי ב-"Category" (פעולת כשל): "Error executing action "Remove Tag from an Attribute".‎ הסיבה: צוין ערך לא חוקי בפרמטר "קטגוריה". ערכים קבילים: External Analysis, ‏ Payload Delivery, ‏ Artifacts Dropped, ‏ Payload Installation".

אם האפשרות "אירוע שסופק" נבחרה, אבל מזהה האירוע לא נבחר: "שגיאה בביצוע הפעולה 'הסרת תג ממאפיין'. הסיבה: צריך לספק מזהה אירוע אם בוחרים באפשרות "אירוע שסופק" בפרמטר "חיפוש מאפיינים".

מזהה האירוע לא נמצא (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'הסרת תג ממאפיין'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

פרסום האירוע

הפעולה מאפשרת למשתמש לפרסם אירוע. כשמפרסמים אירוע, הוא משותף עם קבוצת השיתוף שנבחרה וכל חברי הקבוצה יכולים לראות אותו.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה או ה-UUID של האירוע שרוצים לפרסם.

תרחישים לדוגמה

פרסום אירוע:

  1. יצירת אירוע
  2. הוספת מאפיינים של אירוע
  3. פרסום האירוע

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": true,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

אם הפעולה בוצעה בהצלחה: "Successfully published event with {0} {1} in MISP.".format(ID/UUID, event_id)

אם התגובה נכשלה: "Event with {0} {1} was not published in MISP".format(ID/UUID, event_id)

שגיאה קריטית (פעולת כשל) "שגיאה בביצוע הפעולה 'פרסום אירוע'. הסיבה: {0}".format(stacktrace)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'פרסום אירוע'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

ביטול הפרסום של האירוע

הפעולה מאפשרת למשתמש לבטל את הפרסום של אירוע. אם מבטלים את הפרסום של אירוע, הוא לא יהיה גלוי לקבוצות המשותפות.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה או ה-UUID של האירוע שרוצים לבטל את הפרסום שלו.
תוצאות הפעולה
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": false,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

אם הפעולה הצליחה: "Successfully unpublished event with {0} {1} in MISP.".format(ID/UUID, event_id)

אם התגובה נכשלה: "Event with {0} {1} was not unpublished in MISP".format(ID/UUID, event_id)

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'ביטול הפרסום של האירוע'. הסיבה: {0}".format(stacktrace)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'ביטול הפרסום של האירוע'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

מחיקת מאפיין

מחיקת מאפיינים ב-MISP. ערכי גיבוב נתמכים: MD5, ‏ SHA1, ‏ SHA224, ‏ SHA256, ‏ SHA384,‏ SHA512, ‏ SSDeep.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי לא צריך לציין את המזהה או ה-UUID של האירוע שבו רוצים לחפש מאפיינים. הפרמטר הזה נדרש אם "חיפוש מאפיינים" מוגדר כ "אירוע שסופק".
שם המאפיין CSV לא רלוונטי לא

מציינים רשימה מופרדת בפסיקים של מזהי מאפיינים שרוצים למחוק.
הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".
קטגוריה CSV לא רלוונטי לא

צריך לציין רשימה של קטגוריות מופרדות בפסיקים. אם מציינים את הפרמטר הזה, הפעולה תמחק רק מאפיינים עם קטגוריה תואמת. אם לא מציינים קטגוריות, הפעולה תתעלם מהקטגוריות במאפיינים.
ערכים אפשריים: ניתוח חיצוני, העברת מטען ייעודי (Payload), פריטים שהושמטו, התקנת מטען ייעודי (Payload).
סוג CSV לא רלוונטי לא

צריך לציין רשימה מופרדת בפסיקים של סוגי מאפיינים. אם מציינים את המאפיין הזה, הפעולה תמחק רק מאפיינים עם סוג מאפיין תואם. אם לא מציינים כלום, הפעולה תתעלם מסוגים במאפיינים.
ערכים לדוגמה: md5, ‏ sha1, ‏ ip-src, ‏ ip-dst
מזהה ייחודי אוניברסלי (UUID) של אובייקט String לא רלוונטי לא המזהה הייחודי של אובייקט באירוע.
חיפוש מאפיינים DDL

אירוע שסופק

ערכים אפשריים:

כל האירועים

אירוע שסופק

 כן מציינים איפה הפעולה צריכה לחפש מאפיינים. אם בוחרים באפשרות "אירוע שצוין", הפעולה תחפש מאפיינים או מזהי UUID של מאפיינים רק באירוע עם המזהה או ה-UUID שצוינו בפרמטר "מזהה אירוע". אם בוחרים באפשרות "כל האירועים", הפעולה תחפש מאפיינים בכל האירועים ותמחק את כל המאפיינים שתואמים לקריטריונים שלנו.
ה-UUID של המאפיין CSV

ציינו רשימה מופרדת בפסיקים של מזהי UUID של מאפיינים שאתם רוצים למחוק.
הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".

תרחישים לדוגמה

הסרת מאפיין מאירוע.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "message": "Attribute deleted."
    }
]
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם התצפית נוספה בהצלחה למאפיין אחד לפחות: "Successfully deleted the following attributes in MISP:\n{0}".format(attribute name/object UUID)

אם לא הצלחתם להוסיף תצפית למאפיין אחד לפחות: "הפעולה לא מחקה את המאפיינים הבאים ב-MISP:\n{0}".format(שם מאפיין/מזהה ייחודי אוניברסלי של אובייקט)

אם הפעולה נכשלה בכל המקרים: "לא נמחקו מאפיינים ב-MISP"

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'מחיקת מאפיין'. הסיבה: {0}".format(stacktrace)

אם צוין פרמטר לא חוקי ב-Category (פעולת כשל): "Error executing action "Delete an Attribute".‎ הסיבה: צוין ערך לא חוקי בפרמטר "קטגוריה". ערכים קבילים: External Analysis, ‏ Payload Delivery, ‏ Artifacts Dropped, ‏ Payload Installation".

אם נבחרה האפשרות "אירוע שסופק", אבל לא נבחר מזהה אירוע: "שגיאה בביצוע הפעולה 'מחיקת מאפיין'. הסיבה: צריך לספק מזהה אירוע אם בוחרים באפשרות "אירוע שסופק" בפרמטר "חיפוש מאפיינים".

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'מחיקת מאפיין'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

מחיקת אירוע

מוחקים את האירוע ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה או ה-UUID של האירוע שרוצים למחוק.

תרחישים לדוגמה

למחוק אירוע לתמיד.

ריצה

הפעולה הזו פועלת על הישות "משתמש".

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "name": "Event deleted.",
        "message": "Event deleted.",
        "url": "/events/delete/4"
    }
]
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם הפעולה בוצעה בהצלחה: "Successfully deleted event with {0} {1} in MISP".format(ID/UUID, event_id)

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'מחיקת אירוע'. הסיבה: {0}".format(traceback)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'מחיקת אירוע'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

יצירת אובייקט MISP של קובץ

הפעולה מאפשרת למשתמש לארגן מאפייני קבצים שקשורים לאירוע באובייקט אחד שמתאר קובץ עם המטא-מידע שלו. לאחר מכן, האובייקט עם המאפיינים מצורף לאירוע שצוין.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן המזהה הייחודי של האירוע שאליו רוצים להוסיף את האובייקט. דוגמה: 1
שם קובץ String לא רלוונטי לא שם הקובץ.
MD5 String לא רלוונטי לא ערך הגיבוב (hash) של הקובץ ב-MD5.
SHA1 String לא רלוונטי לא ערך הגיבוב (hash) של sha1 בקובץ.
SHA256 String לא רלוונטי לא ערך הגיבוב (hash) של sha256 בקובץ.
SSDEEP String לא רלוונטי לא ערך ה-ssdeep של הקובץ. דוגמה: 96:p5aAS1tN0M3t9AnTNuG6TNOt5PR1TNZdkljOXTNSnKTF3X7KsTFW+kLtW6K8i7bI:p5mb4rgQhRp7GljCbF3LKqFjkwxtU
Imphash String לא רלוונטי לא ערך הגיבוב (hash) של MD5 שחושב מהטבלה המיובאת.

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A

יצירת אובייקט IP-Port Misp

הפעולה מאפשרת למשתמש לארגן מאפייני IP-יציאה שקשורים לאירוע באובייקט יחיד שמתאר כתובת IP (או דומיין או שם מארח) ויציאה שמופיעה כקבוצה של שניים (או של שלושה) במסגרת זמן ספציפית . לאחר מכן, האובייקט עם המאפיינים מצורף לאירוע שצוין.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן המזהה הייחודי של האירוע שאליו רוצים להוסיף את האובייקט. דוגמה: 1
Dst-port String לא רלוונטי לא יציאת היעד.
Src-port String לא רלוונטי לא יציאת המקור.
דומיין String לא רלוונטי לא דומיין.
שם המארח String לא רלוונטי לא שם המארח.
IP-Src String לא רלוונטי לא כתובת ה-IP של המקור.
IP-Dst String לא רלוונטי לא כתובת ה-IP של היעד.

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

העשרת ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A

יצירת אובייקט MISP של חיבור לרשת

יוצרים אובייקט network-connection ב-MISP. צריך לספק אחד מהבאים: Dst-port, ‏ Src-port, ‏ IP-Src, ‏ IP-Dst או להגדיר את הפרמטר "Use Entities" כ-true.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה או ה-UUID של האירוע שאליו רוצים להוסיף אובייקטים של חיבור לרשת.
Dst-port String לא רלוונטי לא מציינים את יציאת היעד שרוצים להוסיף לאירוע.
Src-port String לא רלוונטי לא מציינים את יציאת המקור שרוצים להוסיף לאירוע.
Hostname-dst String לא רלוונטי לא מציינים את יעד המקור שרוצים להוסיף לאירוע.
Hostname-src String לא רלוונטי לא מציינים את שם המארח של המקור שרוצים להוסיף לאירוע.
IP-Src String לא רלוונטי לא מציינים את כתובת ה-IP של המקור שרוצים להוסיף לאירוע.
IP-Dst String לא רלוונטי לא מציינים את כתובת ה-IP של היעד שרוצים להוסיף לאירוע.
Layer3-protocol String לא רלוונטי לא מציינים את פרוטוקול שכבה 3 הקשור שרוצים להוסיף לאירוע.
Layer4-protocol String לא רלוונטי לא מציינים את פרוטוקול שכבה 4 הקשור שרוצים להוסיף לאירוע.
Layer7-protocol String לא רלוונטי לא מציינים את פרוטוקול שכבה 7 הקשור שרוצים להוסיף לאירוע.
שימוש בישויות תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הפעולה תשתמש בישויות כדי ליצור אובייקטים. ישויות נתמכות: כתובת IP. הפרמטר "שימוש בישויות" מקבל עדיפות על פני פרמטרים אחרים.
סוג IP DDL

‫IP של המקור

ערכים אפשריים:

‫IP של המקור

כתובת ה-IP של היעד

 צריך לציין באיזה סוג מאפיין להשתמש עם ישויות IP.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם הפעולה בוצעה בהצלחה והערך של Use Entities הוא לא True: "Successfully created new network-connection object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

אם הפעולה נכשלה והערך של "Use Entities" הוא לא True: "הפעולה לא הצליחה ליצור אובייקט חדש של חיבור לרשת לאירוע עם {0} {1} ב-MISP. הסיבה: {2}".format(ID/UUID)

אם הפעולה הצליחה באחד מהם והערך של "Use Entities" הוא True: "Successfully created new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

אם הפעולה נכשלה באחד מהם והערך של "Use Entities" הוא True: "Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

אם הפעולה לא הצליחה בכל המקרים והערך של "Use Entities" הוא True: "Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the provided entities.".format(ID/UUID, event_id)

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'יצירת אובייקט Misp של חיבור לרשת'. הסיבה: {0}".format(stacktrace)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה "יצירת אובייקט Misp של חיבור לרשת". סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

אם לא צוינו הערכים Dst-port, ‏ Src-port, ‏ IP-Src, ‏ IP-Dst והערך של "Use Entities" הוא false: "Error executing action "Create network-connection Misp Object". סיבה: צריך לציין אחד מהערכים הבאים: "Dst-port",‏ "Src-port",‏ "IP-Src",‏ "IP-Dst", או להגדיר את הפרמטר "Use Entities" לערך true.

 כללי

יצירת אובייקט MISP של כתובת URL

יוצרים אובייקט של כתובת URL ב-MISP. צריך לספק את הפרמטר "URL" או להגדיר את הפרמטר "Use Entities" כ-true.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה או ה-UUID של האירוע שאליו רוצים להוסיף אובייקטים של כתובות URL.
כתובת URL String לא רלוונטי לא מציינים את כתובת ה-URL שרוצים להוסיף לאירוע.
יציאה String לא רלוונטי לא מציינים את הנמל שרוצים להוסיף לאירוע.
הוצגה לראשונה String לא רלוונטי לא

ציינו מתי כתובת ה-URL זוהתה לראשונה.
פורמט: 2020-12-22T13:07:32Z
התחברת לאחרונה String לא רלוונטי לא

מציינים מתי כתובת ה-URL נראתה לאחרונה.
פורמט: 2020-12-22T13:07:32Z
דומיין String לא רלוונטי לא מציינים את הדומיין שרוצים להוסיף לאירוע.
טקסט String לא רלוונטי לא מציינים את הטקסט הנוסף שרוצים להוסיף לאירוע.
קניין רוחני (IP) String לא רלוונטי לא מציינים את כתובת ה-IP שרוצים להוסיף לאירוע.
מארח String לא רלוונטי לא מציינים את המארח שרוצים להוסיף לאירוע.
שימוש בישויות תיבת סימון התיבה לא מסומנת אם המדיניות מופעלת, הפעולה תשתמש בישויות כדי ליצור אובייקטים. ישויות נתמכות: כתובת URL. הפרמטר "שימוש בישויות" מקבל עדיפות על פני פרמטרים אחרים.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם הפעולה הצליחה והערך של "Use Entities" הוא לא True: "Successfully created new URL object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

אם הפעולה נכשלה והערך של Use Entities הוא לא True: "הפעולה לא הצליחה ליצור אובייקט של כתובת URL לאירוע עם {0} {1} ב-MISP. הסיבה: {2}".format(ID/UUID)

אם הפעולה הצליחה עבור אירוע אחד והערך של "Use Entities" הוא True: "Successfully created new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

אם הפעולה נכשלה באחד מהמקרים והערך של "Use Entities" הוא True: "Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

אם הפעולה לא הצליחה בכל המקרים והערך של "Use Entities" הוא True: "Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the provided entities.".format(ID/UUID, event_id)

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה "יצירת אובייקט MISP של כתובת URL". הסיבה: {0}".format(stacktrace)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה "יצירת אובייקט Misp של כתובת URL". סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

אם לא צוינה אף כתובת URL והערך של "Use Entities" הוא false: "Error executing action "Create Url Misp Object". הסיבה: צריך לציין "כתובת URL" או להגדיר את הפרמטר "שימוש בישויות" כ-true.

 כללי

יצירת אובייקט של דוח Virustotal

יוצרים אובייקט Virustotal-Report ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן מציינים את המזהה או ה-UUID של האירוע שאליו רוצים להוסיף אובייקטים של כתובות URL.
קישור קבוע String לא רלוונטי כן מציינים את הקישור לדוח של VirusTotal שרוצים להוסיף לאירוע.
תגובה String לא רלוונטי לא מציינים את ההערה שרוצים להוסיף לאירוע.
שיעור הזיהוי String לא רלוונטי לא מציינים את יחס הזיהוי שרוצים להוסיף לאירוע.
ציון הקהילה String לא רלוונטי לא מציינים את הניקוד של הקהילה שרוצים להוסיף לאירוע.
הגשה ראשונה String לא רלוונטי לא

צריך לציין את השליחה הראשונה של האירוע.
פורמט: 2020-12-22T13:07:32Z
השליחה האחרונה String לא רלוונטי לא

צריך לציין את מועד השליחה האחרון של האירוע.
פורמט: 2020-12-22T13:07:32Z

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם הפעולה הצליחה : "Successfully created new Virustotal-Report object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

אם הפעולה נכשלה : "הפעולה לא הצליחה ליצור אובייקט Virustotal-Report לאירוע עם {0} {1} ב-MISP. הסיבה: {2}".format(ID/UUID)

שגיאה קריטית (פעולה נכשלה) "שגיאה בביצוע הפעולה "יצירת אובייקט MISP של דוח VirusTotal". הסיבה: {0}".format(stacktrace)

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה "יצירת אובייקט Misp של דוח Virustotal". סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

הצגת רשימה של אובייקטים של אירועים

אחזור מידע על אובייקטים זמינים באירוע MISP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה אירוע String לא רלוונטי כן ציינו רשימה מופרדת בפסיקים של מזהים ומזהי UUID של האירועים שאתם רוצים לאחזר את הפרטים שלהם.
מספר האובייקטים המקסימלי להחזרה מספר שלם 50 לא מציינים כמה אובייקטים להחזיר.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
"Object": [
    {
        "id": "1",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "2a3e260f-d3b2-4164-b2b1-2f6f5b559970",
        "timestamp": "1594632232",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    },
    {
        "id": "2",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "800d8634-175a-4bc2-a4d7-aca200c8c132",
        "timestamp": "1594632463",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    }
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם נמצא לפחות אובייקט אחד לאירוע אחד: "Successfully listed objects for the following events: \n{0}".format(event_ids)

אם לא נמצא אירוע עם המזהה שצוין (is_success = false):
print "Action was not able to list objects. סיבה: האירוע עם המזהה {0} לא נמצא ב-MISP.".format(event_id)

אם לא נמצא אובייקט לאירוע אחד:

"Action wasn't able to find objects for the following events:\n {0}".format(event_ids)

אם לא נמצא אובייקט לאף אחד מהאירועים: "לא נמצאו אובייקטים לאירועים שצוינו".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "List Event Objects".‎ הסיבה: {0}''.format(error.Stacktrace)

 כללי
טבלת CSV

שם הטבלה: אובייקטים של אירוע {0}

עמודות בטבלה:

  • מזהה ייחודי אוניברסלי (UUID) של אובייקט (ממופה כ-uuid)
  • שם (ממופה כשם)
  • קטגוריה (ממופה כקטגוריית-על)
  • תיאור (ממופה כתיאור)
  • תגובה (ממופה כתגובה)

קבלת פרטי האירוע

אחזור פרטים על אירועים ב-MISP.

פרמטרים

השם המוצג של הפרמטר סוג חובה תיאור
מזהה אירוע String כן ציינו רשימה מופרדת בפסיקים של מזהים או מזהים ייחודיים אוניברסליים (UUID) של האירועים שאתם רוצים לאחזר את הפרטים שלהם.
מידע על מאפייני החזרה תיבת סימון סימן אישור אם הפעולה מופעלת, היא תיצור טבלת Case Wall לכל המאפיינים שכלולים באירוע.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הושלמה בהצלחה לפחות באחד מהמזהים שצוינו:

מדפיסים את ההודעה "המידע על האירועים הבאים אוחזר בהצלחה: <>"

אם הפעולה נכשלה לפחות באחד ממזהי האירועים שצוינו:

הדפסת ההודעה "לא הצלחנו לאחזר את המידע על האירועים הבאים: <>

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:
אם יש שגיאה חמורה, שגיאת SDK, כמו פרטי כניסה שגויים, אין חיבור, אחר:
הדפסה של "שגיאה בביצוע הפעולה 'קבלת פרטי אירוע'". הסיבה: {0}''.format(error.Stacktrace

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "List Event Objects".‎ הסיבה: {0}''.format(error.Stacktrace)

 כללי
טבלת CSV

שם הטבלה: פרטי המאפיינים של האירוע {0}".format(event_id)

עמודות:

  1. מזהה
  2. ערך
  3. תגובה
  4. סוג
  5. קטגוריה
  6. UUID
  7. הפצה
  8. חותמת הזמן

הצגת רשימה של תצפיות של מאפיין

הצגת רשימה של תצפיות זמינות למאפיינים ב-MISP.

פרמטרים

search
שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המאפיין CSV לא צריך לציין רשימה מופרדת בפסיקים של מזהי מאפיינים שרוצים להציג את התצפיות שלהם. הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".
מזהה אירוע String לא צריך לציין את המזהה או ה-UUID של האירוע שבו רוצים לחפש מאפיינים. הפרמטר הזה נדרש אם "חיפוש מאפיינים" מוגדר כ "אירוע שסופק".
קטגוריה CSV לא צריך לציין רשימה של קטגוריות מופרדות בפסיקים. אם צוין, הפעולה תציג רק תצפיות של מאפיינים עם קטגוריה תואמת. אם לא מציינים קטגוריות, הפעולה תתעלם מהקטגוריות במאפיינים. ערכים אפשריים: ניתוח חיצוני, העברת מטען ייעודי (payload), פריטים שהושמטו, התקנת מטען ייעודי (payload).
סוג CSV לא צריך לציין רשימה מופרדת בפסיקים של סוגי מאפיינים. אם צוין, הפעולה תציג רק תצפיות של מאפיינים עם סוג מאפיין תואם. אם לא מציינים כלום, הפעולה תתעלם מסוגים במאפיינים. ערכים לדוגמה: md5, sha1, ip-src, ip-dst
חיפוש מאפיינים DDL

אירוע שסופק

ערכים אפשריים:

כל האירועים

 כן מציינים איפה הפעולה צריכה לחפש מאפיינים. אם בוחרים באפשרות "אירוע שסופק", הפעולה תחפש מאפיינים או מזהי UUID של מאפיינים רק באירוע עם המזהה או ה-UUID שצוינו בפרמטר "מזהה אירוע". אם בוחרים באפשרות "כל האירועים", הפעולה תחפש מאפיינים בכל האירועים ותציג את כל המאפיינים שתואמים לקריטריונים שלנו.
ה-UUID של המאפיין CSV לא צריך לציין רשימה מופרדת בפסיקים של מזהי UUID של מאפיינים שרוצים להציג את התצפיות שלהם. הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".
תוצאות הפעולה
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

אם הדיווחים על תצפיות נוספו בהצלחה למאפיין אחד לפחות: "Successfully listed sightings for the following attributes in MISP:\n{0}".format(attribute name/attribute UUID)

אם לא הצליח להוסיף תצפיות לרשימה של מאפיין אחד לפחות: "הפעולה לא הוסיפה תצפיות לרשימה של המאפיינים הבאים ב-MISP:‏\n{0}".format(attribute name/attribute UUID)

אם החיפוש לא הצליח לכל המאפיינים או שלא נמצאו תצפיות לכל המאפיינים: "לא נמצאו תצפיות למאפיינים שצוינו ב-MISP"

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'הצגת תצפיות של מאפיין'. הסיבה: {0}".format(stacktrace)

אם צוין פרמטר לא חוקי ב-Category (פעולה שנכשלה): "Error executing action "List Sightings of an Attribute".‎ הסיבה: צוין ערך לא חוקי בפרמטר "קטגוריה". ערכים קבילים: External Analysis, ‏ Payload Delivery, ‏ Artifacts Dropped, ‏ Payload Installation".

אם בוחרים באפשרות Provided Event (אירוע שסופק), אבל לא בוחרים באפשרות Event ID (מזהה אירוע): "Error executing action"List Sightings of an Attribute" (שגיאה בביצוע הפעולה "הצגת רשימה של תצפיות של מאפיין"). הסיבה: צריך לספק מזהה אירוע אם בוחרים באפשרות "אירוע שסופק" בפרמטר "חיפוש מאפיינים".

 כללי

הגדרת דגל IDS למאפיין

מגדירים דגל IDS למאפיינים ב-MISP.

פרמטרים

חיפושחיפוש
שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המאפיין CSV לא צריך לציין רשימה מופרדת בפסיקים של מזהי מאפיינים שרוצים להגדיר להם דגל IDS. הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".
מזהה אירוע String לא צריך לציין את המזהה או ה-UUID של האירוע שבו רוצים לחפש מאפיינים. הפרמטר הזה נדרש אם "חיפוש מאפיינים" מוגדר כ "אירוע שסופק".
קטגוריה CSV לא צריך לציין רשימה של קטגוריות מופרדות בפסיקים. אם צוין, הפעולה תגדיר את הדגל של IDS רק למאפיינים שיש להם קטגוריה תואמת. אם לא מציינים קטגוריות, הפעולה תתעלם מהקטגוריות במאפיינים. ערכים אפשריים: ניתוח חיצוני, העברת מטען ייעודי (payload), פריטים שהושמטו, התקנת מטען ייעודי (payload).
סוג CSV לא צריך לציין רשימה מופרדת בפסיקים של סוגי מאפיינים. אם צוין, הפעולה תגדיר את הדגל IDS רק למאפיינים שיש להם סוג מאפיין תואם. אם לא מציינים כלום, הפעולה תתעלם מסוגים במאפיינים. ערכים לדוגמה: md5, sha1, ip-src, ip-dst
חיפוש מאפיינים DDL

אירוע שסופק

ערכים אפשריים:

כל האירועים

 כן מציינים איפה הפעולה צריכה לחפש מאפיינים. אם בוחרים באפשרות "אירוע שסופק", הפעולה תחפש מאפיינים או מזהי UUID של מאפיינים רק באירוע עם המזהה או ה-UUID שצוינו בפרמטר "מזהה אירוע". אם בוחרים באפשרות "כל האירועים", הפעולה תחפש מאפיינים בכל האירועים ותגדיר את הדגל IDS לכל המאפיינים שתואמים לקריטריונים שלנו.
ה-UUID של המאפיין CSV לא

צריך לציין רשימה מופרדת בפסיקים של מזהי UUID של מאפיינים שרוצים להגדיר להם דגל IDS.
הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם דגל ה-IDS נוסף בהצלחה למאפיין אחד לפחות: "Successfully set IDS flag for the following attributes in MISP:\n{0}".format(attribute name/object UUID)

אם לא נוסף בהצלחה דגל IDS למאפיין אחד לפחות: "הפעולה לא הגדירה דגל IDS למאפיינים הבאים ב-MISP:‏\n{0}".format(שם מאפיין/מזהה ייחודי אוניברסלי של אובייקט)

אם הפעולה נכשלה בכל המאפיינים: "IDS flag was not set for the provided attributes in MISP" (דגל ה-IDS לא הוגדר למאפיינים שסופקו ב-MISP)

שגיאה קריטית (פעולה שנכשלה) "שגיאה בביצוע הפעולה 'הגדרת דגל IDS למאפיין'. הסיבה: {0}".format(stacktrace)

אם צוין פרמטר לא חוקי ב-"Category" (פעולת כשל): "Error executing action "Set IDS Flag for an Attribute". הסיבה: צוין ערך לא חוקי בפרמטר "קטגוריה". ערכים קבילים: External Analysis, ‏ Payload Delivery, ‏ Artifacts Dropped, ‏ Payload Installation".

אם האפשרות "אירוע שסופק" נבחרה, אבל מזהה האירוע לא נבחר: "שגיאה בביצוע הפעולה 'הגדרת דגל IDS למאפיין'. הסיבה: צריך לספק מזהה אירוע אם בוחרים באפשרות "אירוע שסופק" בפרמטר "חיפוש מאפיינים".

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'הגדרת דגל IDS למאפיין'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

ביטול ההגדרה של דגל IDS למאפיין

ביטול ההגדרה של דגל IDS למאפיינים ב-MISP.

פרמטרים

שם סוג ערך ברירת המחדל חובה תיאור
שם המאפיין CSV לא

ציינו רשימה מופרדת בפסיקים של מזהי מאפיינים שאתם רוצים לבטל את ההגדרה של דגל ה-IDS שלהם.
הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".
מזהה אירוע String לא צריך לציין את המזהה או ה-UUID של האירוע שבו רוצים לחפש מאפיינים. הפרמטר הזה נדרש אם "חיפוש מאפיינים" מוגדר כ "אירוע שסופק".
קטגוריה CSV לא צריך לציין רשימה של קטגוריות מופרדות בפסיקים. אם מציינים את הפרמטר הזה, הפעולה תבטל את ההגדרה של דגל ה-IDS רק למאפיינים שיש להם קטגוריה תואמת. אם לא מציינים קטגוריות, הפעולה תתעלם מהקטגוריות במאפיינים. ערכים אפשריים: ניתוח חיצוני, העברת מטען ייעודי (payload), פריטים שהושמטו, התקנת מטען ייעודי (payload).
סוג CSV לא צריך לציין רשימה מופרדת בפסיקים של סוגי מאפיינים. אם מציינים את הפרמטר הזה, הפעולה תבטל את הסימון של דגל ה-IDS רק למאפיינים עם סוג מאפיין תואם. אם לא מציינים כלום, הפעולה תתעלם מסוגים במאפיינים. ערכים לדוגמה: md5, sha1, ip-src, ip-dst
חיפוש מאפיינים DDL

אירוע שסופק

ערכים אפשריים:

כל האירועים

 True מציינים איפה הפעולה צריכה לחפש מאפיינים. אם בוחרים באפשרות "אירוע שסופק", הפעולה תחפש מאפיינים או מזהי UUID של מאפיינים רק באירוע עם המזהה או ה-UUID שצוינו בפרמטר "מזהה אירוע". אם בוחרים באפשרות "כל האירועים", הפעולה תחפש מאפיינים בכל האירועים ותבטל את ההגדרה של הדגל IDS בכל המאפיינים שתואמים לקריטריונים שלנו.
ה-UUID של המאפיין CSV לא צריך לציין רשימה מופרדת בפסיקים של מזהי UUID של מאפיינים שרוצים לבטל את ההגדרה של דגל IDS שלהם. הערה: אם צוינו גם "שם המאפיין" וגם "מזהה ה-UUID של המאפיין", הפעולה תתבצע עם הערכים של "מזהה ה-UUID של המאפיין".

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
קיר תיקים
סוג התוצאות תיאור הערך סוג
הודעת פלט*

אם דגל ה-IDS הוסר בהצלחה ממאפיין אחד לפחות: "Successfully unset IDS flag for the following attributes in MISP:\n{0}".format(attribute name/object UUID)

אם לא הוסר בהצלחה דגל IDS למאפיין אחד לפחות: "הפעולה לא ביטלה את דגל ה-IDS למאפיינים הבאים ב-MISP:\n{0}".format(שם מאפיין/מזהה ייחודי אוניברסלי של אובייקט)

אם הפעולה נכשלה בכל המאפיינים: "IDS flag was not unset for the provided attributes in MISP"

שגיאה קריטית (פעולת כשל) "שגיאה בביצוע הפעולה 'ביטול ההגדרה של דגל IDS למאפיין'. הסיבה: {0}".format(stacktrace)

אם צוין פרמטר לא חוקי ב-"Category" (פעולת כשל): "Error executing action "Unset IDS Flag for an Attribute". הסיבה: צוין ערך לא חוקי בפרמטר "קטגוריה". ערכים קבילים: External Analysis, ‏ Payload Delivery, ‏ Artifacts Dropped, ‏ Payload Installation".

אם האפשרות "אירוע שסופק" נבחרה, אבל מזהה האירוע לא נבחר: "שגיאה בביצוע הפעולה 'ביטול ההגדרה של סימון IDS למאפיין'. הסיבה: צריך לספק מזהה אירוע אם בוחרים באפשרות "אירוע שסופק" בפרמטר "חיפוש מאפיינים".

מזהה האירוע לא נמצא (פעולת כשל) "שגיאה בביצוע הפעולה 'ביטול ההגדרה של סימון IDS למאפיין'. סיבה: האירוע עם {0} {1} לא נמצא ב-MISP".format(ID/UUID, event_id)

 כללי

מחברים

איך מגדירים מחברים ב-Google SecOps?

MISP – מחבר מאפיינים

שליפת מאפיינים מ-MISP.

הגדרת המחבר MISP - Attributes ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
DeviceProductField String שם המוצר כן מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
EventClassId String alertType כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
PythonProcessTimeout מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String לא רלוונטי כן כתובת ה-API הבסיסית של חשבון MISP.
מפתח API סיסמה כן מפתח ה-API של חשבון MISP.
אחזור שעות מקסימליות אחורה מספר שלם 1 לא מספר השעות שמהן המערכת תאחזר מאפיינים.
מספר המאפיינים המקסימלי בכל מחזור מספר שלם 50 כן כמה מאפיינים לעבד בכל איטרציה של מחבר.
רמת האיום הנמוכה ביותר לאחזור מספר שלם 1 כן רמת החומרה הנמוכה ביותר שתשמש לאחזור התראות. ערכים אפשריים: 1-4.
מסנן סוג המאפיין String לא סינון מאפיינים לפי הסוג שלהם, מופרדים בפסיקים. אם צוין, רק מאפיינים עם סוג שנכלל ברשימת ההיתרים יעובדו.
סינון לפי קטגוריות String לא סינון מאפיינים לפי הקטגוריה שלהם, מופרדים בפסיקים. אם צוינה קטגוריה, המערכת תעבד רק מאפיינים עם קטגוריה שנמצאת ברשימת ההיתרים.
מסנן גלקסיה String לא סינון מאפיינים לפי הגלקסיה של האירוע הראשי שלהם, מופרדים בפסיקים. אם צוין, רק מאפיינים ששייכים לאירוע עם גלקסיה ברשימת ההיתרים יעובדו.
אימות SSL תיבת סימון כן אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת CheckPoint Cloud Guard תקף.
שם השדה של הסביבה String לא מתאר את שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה String .* לא תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה". ברירת המחדל היא .* כדי לתפוס הכול ולהחזיר את הערך ללא שינוי. משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
כתובת שרת ה-Proxy String לא כתובת שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא הסיסמה לאימות מול שרת ה-proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.