Integrare MISP con Google SecOps

Questo documento spiega come integrare MISP con Google Security Operations.

Casi d'uso

L'integrazione MISP utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Arricchisci gli indicatori di compromissione: recupera automaticamente il contesto per URL, nomi host, indirizzi IP e hash dei file dall'istanza MISP per identificare gli autori di attacchi dannosi noti.

  • Automatizza la creazione e la condivisione di eventi: crea nuovi eventi MISP direttamente dai playbook e pubblicali nei gruppi di condivisione per avvisare la tua community di sicurezza di nuove minacce.

  • Gestisci la classificazione degli eventi: aggiungi o rimuovi dinamicamente tag da eventi e attributi per mantenere un panorama delle minacce accurato e aggiornato.

  • Indaga sulle minacce correlate: cerca e recupera informazioni sugli eventi correlati a entità specifiche per comprendere l'ambito più ampio di un'indagine in corso.

  • Analizza file sospetti: carica i file negli eventi MISP per l'analisi collaborativa o scarica gli allegati degli eventi esistenti per la valutazione interna della sandbox.

Prima di iniziare

Prima di configurare l'integrazione nella piattaforma Google SecOps, verifica che nel tuo ambiente MISP siano soddisfatti i seguenti requisiti:

  • Chiave API MISP: devi disporre di una chiave di automazione valida per autenticare la connessione. Puoi ottenerlo dal menu delle azioni dell'evento all'interno dell'interfaccia utente di MISP. Per saperne di più, consulta Automazione e API MISP.

  • Indirizzo radice API: assicurati di avere a disposizione l'indirizzo IP o il nome host dell'istanza MISP per la configurazione.

  • (Facoltativo) Certificato CA: se il tuo ambiente richiede la verifica SSL utilizzando un certificato specifico, assicurati di avere a disposizione il file del certificato CA. Devi fornire questo valore come stringa codificata in Base64 durante la configurazione.

  • Versione dell'integrazione: verifica di utilizzare l'ultima versione dell'integrazione MISP per assicurarti che tutte le azioni e tutti i parametri siano supportati.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Root API Stringa https://<IP> Sì L'indirizzo dell'istanza MISP.
Chiave API Stringa N/D Sì Generato nella console di MISP.
Use SSL (Usa SSL) Casella di controllo Deselezionata No Utilizza questa casella di controllo se la connessione MISP richiede una verifica SSL (non selezionata per impostazione predefinita).
Esegui da remoto Casella di controllo Deselezionata No Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supportare più istanze.

Azioni

Per ulteriori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania e Eseguire un'azione manuale.

Aggiungi attributo

Aggiungere un'entità come attributo a un evento MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì L'ID dell'evento.
Categoria Stringa Analisi esterna No La categoria dell'attributo. Impostazione predefinita: analisi esterna.
Distribuzione Stringa 1 No La distribuzione dell'attributo. Valore predefinito: 1.
Per Intrusion Detection System Casella di controllo Deselezionata No Indica se l'attributo viene utilizzato per Intrusion Detection System. Valore predefinito: false.
Commento Stringa N/D No Il commento da aggiungere all'attributo.

Casi d'uso

N/D

Run On

Questa azione viene eseguita sulle seguenti entità:

  • URL
  • Nome host
  • Indirizzo IP
  • Filehash

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script
Nome risultato script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Risultato JSON
N/A

Creazione di un evento

Crea un nuovo evento MISP.

Limitazione nota

Al momento, l'API MISP non consente la pubblicazione immediata dell'evento al momento della creazione. Devi prima creare un evento e poi utilizzare l'azione "Pubblica evento".

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome evento Stringa N/D Sì Il nome dell'evento.
Livello di minaccia Stringa 0 No Il livello di minaccia dell'evento. Valore predefinito: 0.
Distribuzione Stringa 1 No La distribuzione dell'attributo. Valore predefinito: 1.
Analisi Stringa 0 No Il livello di analisi dell'evento [0-2]. Valore predefinito: 0.
Pubblica Casella di controllo Selezionata No Se pubblicare o meno l'evento.
Commento Stringa N/D No Il commento dell'evento.

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
event_id N/D N/D

Aggiungere un tag a un evento

L'aggiunta di un tag a un'azione evento consente a un utente di aggiungere un tag a un evento specifico in MISP. In questo modo, all'evento viene aggiunta una classificazione in base alla categoria della minaccia alla sicurezza rappresentata dall'IOC associato all'evento.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì L'identificatore univoco che specifica l'evento a cui aggiungere il tag.
Nome tag Stringa N/D Sì Il nome del tag da aggiungere a un evento.

Casi d'uso

Classifica un evento:aggiorna l'evento aggiungendo un tag.

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "saved": true,
        "success": "Tag(s) added.",
        "check_publish": true
    }
]

Scarica file

Scarica i file correlati all'evento in MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D No Specifica l'ID o l'UUID dell'evento da cui vuoi scaricare i file
Percorso cartella di download Stringa N/D

Specifica il percorso assoluto della cartella in cui devono essere archiviati i file. Se non viene specificato nulla, l'azione creerà un allegato.
Nota: il risultato JSON è disponibile solo se fornisci un valore appropriato per questo parametro.
Sovrascrivi Casella di controllo Deselezionata Se questa opzione è attivata, l'azione sovrascriverà i file esistenti.

Run On

Questa azione viene eseguita sull'entità Filehash.

Risultati dell'azione
Risultato script
Nome risultato script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Risultato JSON
{

"absolute_paths": ["/etc/file1.txt", "/etc/file2.txt"]

}
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se l'operazione ha esito positivo: "Successfully downloaded the following files from the event with {0} {1} in MISP:\n{2}".format(ID/UUID, event_id, result/filename from the response)

se non sono stati trovati file: "Non sono stati trovati file per l'evento con {0} {1} in MISP:\n{2}".format(ID/UUID, event_id)

Se "Percorso cartella download" non è specificato e alcuni file hanno superato il limite della piattaforma per gli allegati: "L'azione non è riuscita a scaricare i seguenti file perché hanno superato il limite di 3 MB: \n {0}. \n Specifica un percorso della cartella nel parametro "Percorso della cartella di download" per scaricarli.".(result/filename)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Scarica file". Motivo: {0}".format(stacktrace)

Event ID is not found (fail action) "Error executing action "Download File". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

Se overwrite è false e uno dei file esiste già: "Error executing action "Download File". Motivo: esistono già i seguenti file: {0}. Rimuovili o imposta il parametro "Overwrite" su true.".format(percorso assoluto del file)

 Generale

Arricchisci entità

Arricchisci le entità in base agli attributi in MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Descrizione
Numero di attributi da restituire Stringa N/D Specifica il numero di attributi da restituire per le entità.
Condizione di filtro Specifica la condizione di filtro per l'azione. Se viene selezionato "Ultimo", l'azione utilizzerà l'attributo meno recente per l'arricchimento, mentre se viene selezionato "Primo", l'azione utilizzerà l'attributo più recente per l'arricchimento.
Soglia del livello di minaccia DDL

Bassa

Valori possibili:

Alta

Medie

Bassa

Non definito

 Specifica quale deve essere la soglia per il livello di minaccia dell'evento in cui è stata trovata l'entità. Se l'evento correlato supera o corrisponde alla soglia, l'entità verrà contrassegnata come sospetta.
Limite di ricerca degli attributi Numero intero 50 Specifica il numero di attributi da cercare per entità. Questo parametro influisce sull'attributo che verrà selezionato per l'arricchimento. Valore predefinito: 50.

Run On

Questa azione viene eseguita sulle seguenti entità:

  • URL
  • Nome host
  • Indirizzo IP
  • Filehash
Risultati dell'azione
Arricchimento delle entità

Le entità vengono contrassegnate come sospette se il livello di minaccia dell'evento supera 0. Altrimenti: False

Risultato script
Nome risultato script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Risultato JSON
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Per gli attributi trovati: (is_success=true) "Successfully enriched the following entities using MISP: \n{0}".format(entity.identifier)

Per gli attributi non trovati (is_success=true) "Action wasn't able to enrich the following entities using MISP: \n{0}".format(entity.identifier)

Se non sono stati trovati tutti gli attributi (is_success=false) "Nessuna entità è stata arricchita utilizzando MISP"

Se gli attributi sono sospetti (is_success=true) "I seguenti attributi sono stati contrassegnati come sospetti utilizzando MISP: \n {0}".format(entity.identifier)

 Generale
Tabella CSV

Colonne della tabella:

  • ID
  • ID evento
  • Categoria
  • Tipo
  • UUID
  • Timestamp
  • Distribuzione
  • IDS

Recupera informazioni sugli eventi correlati alle entità in MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Descrizione
Contrassegna come sospetto Casella di controllo Selezionata Se attivata, l'azione contrassegnerà l'entità come sospetta, se è presente almeno un evento correlato.

Run On

Questa azione viene eseguita sulle seguenti entità:

  • URL
  • Nome host
  • Indirizzo IP
  • Filehash

Risultati dell'azione

Arricchimento delle entità

Se sono disponibili record di eventi correlati, le entità vengono contrassegnate come sospette. Altrimenti: False.

Nome campo di arricchimento Logica - Quando applicarla
Evento Restituisce se esiste nel risultato JSON
Risultato script
Nome risultato script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Risultato JSON
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se è stato trovato un evento per almeno un'entità: "Recuperate correttamente le informazioni sugli eventi correlati per le seguenti entità: \n{0}".format(entity.identifier)

Se non è stato trovato alcun evento per almeno un'entità: "L'azione non è riuscita a recuperare informazioni sugli eventi correlati per le seguenti entità: \n{0}".format(entity.identifier

Se non sono presenti eventi per tutti: "Non sono stati trovati eventi correlati per le entità fornite."

 Generale

Carica file

Carica un file in un evento MISP.

Parametri

Nome Tipo Predefinito Descrizione
ID evento Stringa N/D Specifica l'ID o l'UUID dell'evento a cui vuoi caricare questo file.
Percorso file Stringa N/D Specifica un elenco separato da virgole dei percorsi assoluti dei file che vuoi caricare su MISP.
Categoria Specifica la categoria del file caricato. Valori possibili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation.
Distribuzione Stringa Community

Specifica la distribuzione per il file caricato.
Valori possibili: 0 - Organizzazione, 1 - Community, 2 - Connesso, 3 - Tutti. Puoi fornire un numero o una stringa.
Livello di minaccia Stringa Alta

Specifica il livello di minaccia per il file caricato.
Valori possibili: 1 - Alto, 2 - Medio, 3 - Basso, 4 - Non definito. Puoi fornire un numero o una stringa.
Analisi Stringa Iniziale

Specifica l'analisi dell'evento.
Valori possibili: 0 - Iniziale, 1 - In corso, 2 - Completato. Puoi fornire un numero o una stringa.
Informazioni Stringa N/D Specifica informazioni aggiuntive per il file caricato.
Per Intrusion Detection System Casella di controllo Deselezionata Se attivato, il file caricato verrà utilizzato per i sistemi di rilevamento delle intrusioni.
Commento Stringa N/D Specifica commenti aggiuntivi relativi al file caricato.
Risultati dell'azione
Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
{
    "Event": {
        "id": "106",
        "orgc_id": "1",
        "org_id": "1",
        "date": "2021-01-15",
        "threat_level_id": "1",
        "info": "vanuhi 1015",
        "published": false,
        "uuid": "1cd22aa2-57e8-4fc8-bac6-721c1be2c27d",
        "attribute_count": "10",
        "analysis": "0",
        "timestamp": "1610893968",
        "distribution": "1",
        "proposal_email_lock": false,
        "locked": false,
        "publish_timestamp": "0",
        "sharing_group_id": "0",
        "disable_correlation": false,
        "extends_uuid": "",
        "event_creator_email": "admin@admin.test",
        "Org": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Orgc": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Attribute": [],
        "ShadowAttribute": [],
"Object": [
            {
                "id": "446",
                "name": "file",
                "meta-category": "file",
                "description": "File object describing a file with meta-information",
                "template_uuid": "688c46fb-5edb-40a3-8273-1af7923e2215",
                "template_version": "20",
                "event_id": "106",
                "uuid": "0188ba5d-68eb-4b5c-8e05-6fd49f8eee9a",
                "timestamp": "1610691647",
                "distribution": "1",
                "sharing_group_id": "0",
                "comment": "",
                "deleted": false,
                "first_seen": null,
                "last_seen": null,
                "ObjectReference": [],
                "Attribute": [
                    {
                        "id": "1859",
                        "type": "malware-sample",
                        "category": "External analysis",
                        "to_ids": true,
                        "uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138",
                        "event_id": "106",
                        "distribution": "1",
                        "timestamp": "1610703650",
                        "comment": "",
                        "sharing_group_id": "0",
                        "deleted": false,
                        "disable_correlation": false,
                        "object_id": "446",
                        "object_relation": "malware-sample",
                        "first_seen": null,
                        "last_seen": null,
                        "value": "vanuhi.txt|7bd55b0a276e076cbaf470e64359adb8",
                        "Galaxy": [],
                        "data": "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",
                        "ShadowAttribute": [],
                        "Sighting": [
                            {
                                "id": "1733",
                                "attribute_id": "1859",
                                "event_id": "106",
                                "org_id": "1",
                                "date_sighting": "1611207638",
                                "uuid": "feb085f1-1923-4327-a73d-b60a948377e4",
                                "source": "",
                                "type": "0",
                                "Organisation": {
                                    "id": "1",
                                    "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
                                    "name": "ORGNAME"
                                },
                                "attribute_uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138"
                            }
                        ]
                    }
            }
    }
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

Se l'operazione ha esito positivo per un'entità:"Caricamento riuscito dei file forniti nell'evento {0} in MISP".format(event_id)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Carica file". Motivo: {0}".format(stacktrace)

Se il parametro non valido è specificato in "Distribuzione" (azione non riuscita):

"Errore durante l'esecuzione dell'azione "Carica file". Motivo: è stato fornito un valore non valido per il parametro "Distribuzione". Numeri accettabili: 0,1,2,3. Stringhe accettabili: Organizzazione, Community, Connesso, Tutti".

Se viene specificato un parametro non valido in "Livello di minaccia" (azione non riuscita): "Errore durante l'esecuzione dell'azione "Carica file". Motivo: è stato fornito un valore non valido per il parametro "Livello di minaccia". Numeri accettabili: 1,2,3,4. Stringhe accettabili: High, Medium, Low, Undefined".

Se nel parametro "Categoria" è specificato un valore non valido (azione non riuscita): "Errore durante l'esecuzione dell'azione "Carica file". Motivo: è stato fornito un valore non valido per il parametro "Categoria". Valori accettabili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation".

Se viene specificato un parametro non valido in "Analisi" (azione non riuscita): "Errore durante l'esecuzione dell'azione "Carica file". Motivo: è stato fornito un valore non valido per il parametro "Analysis". Numeri accettabili: 0,1,2. Stringhe accettabili: Iniziale, In corso, Completato".

se almeno uno dei file non è disponibile "Errore durante l'esecuzione dell'azione "Carica file". Motivo: i seguenti file non erano accessibili: \n {0}".format(file paths, that were not accessible.)

Event ID is not found (fail action) "Error executing action "Upload File". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Dindin

Testa la connettività.

Parametri

N/D

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script
Nome risultato script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Risultato JSON
N/A

Rimuovere un tag da un evento

Rimuovi i tag dall'evento in MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica l'ID o l'UUID dell'evento da cui vuoi rimuovere i tag.
Nome tag CSV N/D Sì Specifica un elenco separato da virgole di tag da rimuovere dagli eventi.

Casi d'uso

Riclassifica evento:rimuovi il tag per la riclassificazione.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "saved": true,
        "success": "Tag removed.",
        "check_publish": true
    }
]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

Se tutte le tag sono state rimosse correttamente da un evento: "Le seguenti tag sono state rimosse correttamente dall'evento con {0} {1} in MISP: {2}.".format(ID/UUID, event_id, tags)

Se alcuni tag non sono stati rimossi da un evento: "L'azione non è riuscita a rimuovere i seguenti tag dall'evento con {0} {1} in MISP: {2}.".format(ID/UUID, event_id, tags)

Se l'operazione non va a buon fine per tutti: "Nessun tag è stato rimosso dall'evento con {0} {1} in MISP".format(ID/UUID, event_id)

Se non è stato trovato almeno un tag: "I seguenti tag non sono stati trovati in MISP: \n{0}".format(elenco dei tag non trovati in MISP)

Se non sono stati trovati tutti i tag: "Nessuno dei tag forniti è stato trovato in MISP."

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Rimuovi tag da un evento". Motivo: {0}".format(stacktrace)

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Rimuovi tag da un evento". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Aggiungere un tag a un attributo

Questa azione consente a un utente di aggiungere un tag a un attributo specifico in MISP. In questo modo viene aggiunta una classificazione all'attributo in base alla categoria di una minaccia alla sicurezza rappresentata dall'IOC nell'attributo.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Numero intero N/D Sì L'identificatore dell'evento a cui è associato l'attributo. Esempio: 1.
Nome tag Stringa N/D Sì Il nome del tag da aggiungere a un attributo.
Nome attributo Stringa N/D Sì L'identificatore del nome dell'attributo da taggare.
Categoria Stringa N/D Sì La categoria a cui appartiene l'attributo. Ad esempio, Payload Delivery.
Tipo Stringa N/D Sì Il tipo di attributo, ad es. nome file.
UUID oggetto Stringa N/D No L'identificatore univoco di un oggetto nell'evento.

Casi d'uso

Classifica l'attributo in base al tipo di IOC:aggiungi il tag all'attributo.

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "name": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "message": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "url": "/tags/attachTagToObject"
    }
]

Rimuovere un tag da un attributo

Rimuovi i tag dagli attributi in MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D No Specifica l'ID o l'UUID dell'evento in cui cercare gli attributi. Questo parametro è obbligatorio se "Ricerca attributi" è impostato su "Evento fornito".
Nome tag CSV N/D Sì Specifica un elenco separato da virgole di tag da rimuovere dagli attributi.
Nome attributo CSV N/D No

Specifica un elenco separato da virgole di identificatori di attributi da cui vuoi rimuovere i tag.
Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".
Categoria CSV N/D No

Specifica un elenco di categorie separate da virgole. Se specificata, l'azione rimuoverà i tag solo dagli attributi con categoria corrispondente. Se non viene specificato nulla, l'azione ignorerà le categorie negli attributi.
Valori possibili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation.
Tipo CSV N/D No

Specifica un elenco separato da virgole dei tipi di attributo. Se specificata, l'azione rimuoverà i tag solo dagli attributi con un tipo di attributo corrispondente. Se non viene specificato nulla, l'azione ignorerà i tipi negli attributi.
Valori di esempio: md5, sha1, ip-src, ip-dst
UUID oggetto CSV N/D Specifica l'UUID dell'oggetto che contiene l'attributo desiderato.
Ricerca attributi DDL

Evento fornito

Valori possibili:

Tutti gli eventi

Evento fornito

 Sì Specifica dove l'azione deve cercare gli attributi. Se è selezionata l'opzione "Evento fornito", l'azione cercherà gli attributi o gli UUID attributo solo nell'evento con ID/UUID fornito nel parametro "ID evento". Se selezioni "Tutti gli eventi", l'azione cercherà gli attributi tra tutti gli eventi e rimuoverà i tag da tutti gli attributi che corrispondono ai nostri criteri.
UUID attributo CSV Specifica un elenco separato da virgole di UUID attributo da cui vuoi rimuovere i nuovi tag. Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".

Casi d'uso

Riclassifica attributo:rimuovi il tag per la riclassificazione

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "name": "Tag unique___test(7) successfully removed from Attribute(9).",
        "message": "Tag unique___test(7) successfully removed from Attribute(9).",
        "url": "/tags/removeTagFromObject"
    }
]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo>
Messaggio di output*

Se i tag sono stati rimossi correttamente da almeno un attributo: "I tag sono stati rimossi correttamente dai seguenti attributi in MISP:\n{0}".format(nome dell'attributo/UUID dell'oggetto)

if not successfully removed tags from at least one attribute: "Action didn't removed tags from the following attributes in MISP:\n{0}".format(attribute name/object UUID)

Se non è andata a buon fine per tutti: "Nessun tag è stato rimosso dagli attributi forniti in MISP"

Se non è stato trovato almeno un tag: "I seguenti tag non sono stati trovati in MISP: \n{0}".format(elenco dei tag non trovati in MISP)

Se non sono stati trovati tutti i tag: "Nessuno dei tag forniti è stato trovato in MISP."

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Rimuovi tag da un attributo". Motivo: {0}".format(stacktrace)

Se viene specificato un parametro non valido in "Categoria" (azione non riuscita): "Errore durante l'esecuzione dell'azione "Rimuovi tag da un attributo". Motivo: è stato fornito un valore non valido per il parametro "Categoria". Valori accettabili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation".

Se è selezionato "Evento fornito", ma non è selezionato l'ID evento: "Errore durante l'esecuzione dell'azione "Rimuovi tag da un attributo". Motivo: è necessario fornire l'ID evento se è selezionato"Evento fornito " per il parametro"Ricerca attributi".

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Rimuovi tag da un attributo". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Pubblica evento

L'azione consente all'utente di pubblicare un evento. La pubblicazione di un evento lo condivide con il gruppo di condivisione selezionato, rendendolo visibile a tutti i membri.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica l'ID o l'UUID dell'evento che vuoi pubblicare.

Casi d'uso

Pubblicare un evento:

  1. Crea legami
  2. Aggiungere attributi evento
  3. Pubblica evento

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": true,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

Se l'operazione va a buon fine: "Evento pubblicato correttamente con {0} {1} in MISP.".format(ID/UUID, event_id)

Se l'operazione non va a buon fine: "Event with {0} {1} was not published in MISP".format(ID/UUID, event_id)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Pubblica evento". Motivo: {0}".format(stacktrace)

Event ID is not found (fail action) "Error executing action "Publish Event". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Annulla pubblicazione evento

L'azione consente all'utente di annullare la pubblicazione di un evento. La pubblicazione di un evento impedisce che sia visibile ai gruppi condivisi.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica l'ID o l'UUID dell'evento di cui vuoi annullare la pubblicazione.
Risultati dell'azione
Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": false,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

Se l'operazione va a buon fine: "Successfully unpublished event with {0} {1} in MISP.".format(ID/UUID, event_id)

In caso di esito negativo: "Event with {0} {1} was not unpublished in MISP".format(ID/UUID, event_id)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Annulla pubblicazione evento". Motivo: {0}".format(stacktrace)

L'ID evento non è stato trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Annulla pubblicazione evento". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Eliminare un attributo

Elimina gli attributi in MISP. Hash supportati: MD5, SHA1, SHA224, SHA256, SHA384, SHA512, SSDeep.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D No Specifica l'ID o l'UUID dell'evento in cui cercare gli attributi. Questo parametro è obbligatorio se "Ricerca attributi" è impostato su "Evento fornito".
Nome attributo CSV N/D No

Specifica un elenco separato da virgole di identificatori di attributi da eliminare.
Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".
Categoria CSV N/D No

Specifica un elenco di categorie separate da virgole. Se specificata, l'azione eliminerà solo gli attributi che corrispondono alla categoria. Se non viene specificato nulla, l'azione ignorerà le categorie negli attributi.
Valori possibili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation.
Tipo CSV N/D No

Specifica un elenco separato da virgole dei tipi di attributo. Se specificata, l'azione eliminerà solo gli attributi con tipo di attributo corrispondente. Se non viene specificato nulla, l'azione ignorerà i tipi negli attributi.
Valori di esempio: md5, sha1, ip-src, ip-dst
UUID oggetto Stringa N/D No L'identificatore univoco di un oggetto nell'evento.
Ricerca attributi DDL

Evento fornito

Valori possibili:

Tutti gli eventi

Evento fornito

 Sì Specifica dove l'azione deve cercare gli attributi. Se è selezionata l'opzione "Evento fornito", l'azione cercherà gli attributi o gli UUID attributo solo nell'evento con ID/UUID fornito nel parametro "ID evento". Se selezioni "Tutti gli eventi", l'azione cercherà gli attributi tra tutti gli eventi ed eliminerà tutti gli attributi che corrispondono ai nostri criteri.
UUID attributo CSV

Specifica un elenco separato da virgole di UUID degli attributi da eliminare.
Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".

Casi d'uso

Rimuovere un attributo da un evento.

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "message": "Attribute deleted."
    }
]
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se l'avvistamento è stato aggiunto correttamente ad almeno un attributo: "Successfully deleted the following attributes in MISP:\n{0}".format(attribute name/object UUID)

Se l'avvistamento non è stato aggiunto correttamente ad almeno un attributo: "L'azione non ha eliminato i seguenti attributi in MISP:\n{0}".format(nome attributo/UUID oggetto)

Se l'operazione non è riuscita per tutti: "Nessun attributo è stato eliminato in MISP"

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Elimina un attributo". Motivo: {0}".format(stacktrace)

Se viene specificato un parametro non valido in "Categoria" (azione non riuscita): "Errore durante l'esecuzione dell'azione "Elimina un attributo". Motivo: è stato fornito un valore non valido per il parametro "Categoria". Valori accettabili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation".

Se è selezionato "Evento fornito", ma non è selezionato l'ID evento: "Errore durante l'esecuzione dell'azione "Elimina un attributo". Motivo: è necessario fornire l'ID evento se è selezionato"Evento fornito " per il parametro"Ricerca attributi".

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Elimina un attributo". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Eliminare un evento

Elimina l'evento in MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica l'ID o l'UUID dell'evento da eliminare.

Casi d'uso

Eliminare definitivamente un evento.

Run On

Questa azione viene eseguita sull'entità Utente.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
[
    {
        "name": "Event deleted.",
        "message": "Event deleted.",
        "url": "/events/delete/4"
    }
]
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

In caso di esito positivo: "Successfully deleted event with {0} {1} in MISP".format(ID/UUID, event_id)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Elimina un evento". Motivo: {0}".format(traceback)

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Elimina un evento". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Crea oggetto File Misp

L'azione consente all'utente di organizzare gli attributi dei file correlati a un evento in un unico oggetto che descrive un file con i relativi metadati. L'oggetto con gli attributi viene quindi allegato a un evento specificato.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì L'identificatore univoco dell'evento a cui aggiungere l'oggetto. Esempio: 1
Nome del file Stringa N/D No Il nome del file.
MD5 Stringa N/D No Il valore hash MD5 del file.
SHA1 Stringa N/D No Il valore hash SHA1 del file.
SHA256 Stringa N/D No Il valore hash SHA256 del file.
SSDEEP Stringa N/D No Il valore ssdeep del file Esempio: 96:p5aAS1tN0M3t9AnTNuG6TNOt5PR1TNZdkljOXTNSnKTF3X7KsTFW+kLtW6K8i7bI:p5mb4rgQhRp7GljCbF3LKqFjkwxtU
Imphash Stringa N/D No Il valore hash MD5 calcolato dalla tabella importata.

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
N/A

Crea oggetto IP-Port Misp

L'azione consente all'utente di organizzare gli attributi IP-porta correlati a un evento in un singolo oggetto che descrive un indirizzo IP (o un dominio o un nome host) e una porta visti come una tupla (o una tripla) in un periodo di tempo specifico . L'oggetto con gli attributi viene quindi allegato a un evento specificato.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì L'identificatore univoco dell'evento a cui aggiungere l'oggetto. Esempio: 1
Dst-port Stringa N/D No Porta di destinazione.
Src-port Stringa N/D No Porta di origine.
Dominio Stringa N/D No Domain (Gestisci dominio).
Nome host Stringa N/D No Nome host.
IP-Src Stringa N/D No Indirizzo IP di origine.
IP-Dst Stringa N/D No Indirizzo IP di destinazione.

Casi d'uso

N/D

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Arricchimento delle entità

N/D

Approfondimenti

N/D

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
N/A

Crea un oggetto Misp di connessione di rete

Crea un oggetto di connessione di rete in MISP. Richiede uno dei seguenti elementi: Dst-port, Src-port, IP-Src, IP-Dst da fornire o il parametro "Use Entities" impostato su true.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica l'ID o l'UUID dell'evento a cui vuoi aggiungere oggetti di connessione di rete.
Dst-port Stringa N/D No Specifica la porta di destinazione che vuoi aggiungere all'evento.
Src-port Stringa N/D No Specifica la porta di origine che vuoi aggiungere all'evento.
Hostname-dst Stringa N/D No Specifica la destinazione di origine che vuoi aggiungere all'evento.
Hostname-src Stringa N/D No Specifica il nome host di origine che vuoi aggiungere all'evento.
IP-Src Stringa N/D No Specifica l'IP di origine che vuoi aggiungere all'evento.
IP-Dst Stringa N/D No Specifica l'IP di destinazione che vuoi aggiungere all'evento.
Layer3-protocol Stringa N/D No Specifica il protocollo di livello 3 correlato che vuoi aggiungere all'evento.
Layer4-protocol Stringa N/D No Specifica il protocollo di livello 4 correlato che vuoi aggiungere all'evento.
Layer7-protocol Stringa N/D No Specifica il protocollo di livello 7 correlato che vuoi aggiungere all'evento.
Utilizzare le entità Casella di controllo Deselezionata No Se questa opzione è abilitata, l'azione utilizzerà le entità per creare oggetti. Entità supportate: indirizzo IP. "Utilizza entità" ha la priorità sugli altri parametri.
Tipo di IP DDL

IP di origine

Valori possibili:

IP di origine

IP di destinazione

 Specifica il tipo di attributo da utilizzare con le entità IP.

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
N/A
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se l'operazione va a buon fine e "Use Entities" (Utilizza entità) non è vero: "Successfully created new network-connection object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

Se non ha esito positivo e "Use Entities" (Utilizza entità) non è vero: "Action wasn't able to created new network-connection object for event with {0} {1} in MISP. Motivo: {2}".format(ID/UUID)

Se l'operazione è riuscita per uno e "Use Entities" è true: "Successfully created new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

Se non è andato a buon fine per uno e "Use Entities" è true: "Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

Se non è andato a buon fine per tutti e "Use Entities" è true: "Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the provided entities.".format(ID/UUID, event_id)

Errore critico (azione non riuscita) "Error executing action "Create network-connection Misp Object". Motivo: {0}".format(stacktrace)

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Crea oggetto Misp di connessione di rete". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

Se non vengono forniti Dst-port, Src-port, IP-Src, IP-Dst e "Use Entities" (Utilizza entità) == false: "Error executing action "Create network-connection Misp Object". Motivo: deve essere fornito uno dei seguenti parametri: "Dst-port", "Src-port", "IP-Src", "IP-Dst" oppure il parametro "Use Entities" deve essere impostato su true.

 Generale

Crea oggetto Url Misp

Crea un oggetto URL in MISP. Richiede che venga fornito l'URL o che il parametro "Utilizza entità" sia impostato su true.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica l'ID o l'UUID dell'evento a cui vuoi aggiungere oggetti URL.
URL Stringa N/D No Specifica l'URL che vuoi aggiungere all'evento.
Porta Stringa N/D No Specifica la porta che vuoi aggiungere all'evento.
Prima visualizzazione Stringa N/D No

Specifica quando è stato visualizzato per la prima volta l'URL.
Formato: 2020-12-22T13:07:32Z
Ultima visualizzazione Stringa N/D No

Specifica la data dell'ultima visualizzazione dell'URL.
Formato: 2020-12-22T13:07:32Z
Dominio Stringa N/D No Specifica il dominio che vuoi aggiungere all'evento.
Testo Stringa N/D No Specifica il testo aggiuntivo che vuoi aggiungere all'evento.
IP Stringa N/D No Specifica l'IP che vuoi aggiungere all'evento.
Host Stringa N/D No Specifica l'host che vuoi aggiungere all'evento.
Utilizzare le entità Casella di controllo Deselezionata Se questa opzione è abilitata, l'azione utilizzerà le entità per creare oggetti. Entità supportate: URL. "Utilizza entità" ha la priorità sugli altri parametri.

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
N/A
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se l'operazione è riuscita e "Usa entità" non è vero: "Successfully created new URL object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

Se non è andato a buon fine e "Use Entities" (Usa entità) non è true: "Action wasn't able to created URL object for event with {0} {1} in MISP. Motivo: {2}".format(ID/UUID)

Se l'operazione è riuscita per uno e "Use Entities" è true: "Successfully created new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

Se non ha esito positivo per uno e "Use Entities" è true: "Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

Se non è andato a buon fine per tutti e "Use Entities" (Utilizza entità) è true: "Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the provided entities.".format(ID/UUID, event_id)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Crea oggetto Misp URL". Motivo: {0}".format(stacktrace)

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Crea oggetto Misp URL". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

Se non viene fornito alcun URL e "Use Entities" == false: "Error executing action "Create Url Misp Object". Motivo: è necessario fornire "URL" o impostare il parametro "Usa entità" su true.

 Generale

Crea oggetto Virustotal-Report

Crea un oggetto Virustotal-Report in MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica l'ID o l'UUID dell'evento a cui vuoi aggiungere oggetti URL.
Permalink Stringa N/D Sì Specifica il link al report VirusTotal che vuoi aggiungere all'evento.
Commento Stringa N/D No Specifica il commento che vuoi aggiungere all'evento.
Tasso di rilevamento Stringa N/D No Specifica il rapporto di rilevamento che vuoi aggiungere all'evento.
Punteggio della community Stringa N/D No Specifica il punteggio della community che vuoi aggiungere all'evento.
Primo invio Stringa N/D No

Specifica il primo invio dell'evento.
Formato: 2020-12-22T13:07:32Z
Ultimo invio Stringa N/D No

Specifica l'ultima invio dell'evento.
Formato: 2020-12-22T13:07:32Z

Run On

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se l'operazione va a buon fine: "Successfully created new Virustotal-Report object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

If not success : "Action wasn't able to created Virustotal-Report object for event with {0} {1} in MISP. Motivo: {2}".format(ID/UUID)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Crea oggetto Misp report VirusTotal". Motivo: {0}".format(stacktrace)

Event ID is not found (fail action) "Error executing action "Create Virustotal-Report Misp Object". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Elenco degli oggetti evento

Recupera informazioni sugli oggetti disponibili nell'evento MISP.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID evento Stringa N/D Sì Specifica un elenco separato da virgole di ID e UUID degli eventi per i quali vuoi recuperare i dettagli.
Numero massimo di oggetti da restituire Numero intero 50 No Specifica il numero di oggetti da restituire.

Run On

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Risultato JSON
"Object": [
    {
        "id": "1",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "2a3e260f-d3b2-4164-b2b1-2f6f5b559970",
        "timestamp": "1594632232",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    },
    {
        "id": "2",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "800d8634-175a-4bc2-a4d7-aca200c8c132",
        "timestamp": "1594632463",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    }
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se è stato trovato almeno un oggetto per un evento: "Successfully listed objects for the following events: \n{0}".format(event_ids)

Se non è stato trovato l'evento con l'ID specificato (is_success = false):
print "Action was not able to list objects. Motivo: l'evento con ID {0} non è stato trovato in MISP.".format(event_id)

Se non viene trovato alcun oggetto per un evento:

"L'azione non è riuscita a trovare oggetti per i seguenti eventi:\n {0}".format(event_ids)

Se non viene trovato alcun oggetto per tutti gli eventi: "Non sono stati trovati oggetti per gli eventi forniti".

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

if fatal error, like wrong credentials, no connection to server, other:

print "Error executing action "List Event Objects". Motivo: {0}''.format(error.Stacktrace)

 Generale
Tabella CSV

Nome tabella: Oggetti evento {0}

Colonne della tabella:

  • UUID oggetto (mappato come uuid)
  • Nome (mappato come nome)
  • Categoria (mappata come metacategoria)
  • Descrizione (mappata come descrizione)
  • Commento (mappato come commento)

Recupera i dettagli dell'evento

Recupera i dettagli sugli eventi in MISP.

Parametri

Nome visualizzato del parametro Tipo È obbligatorio Descrizione
ID evento Stringa Sì Specifica un elenco separato da virgole di ID o UUID degli eventi per i quali vuoi recuperare i dettagli.
Restituisci informazioni sugli attributi Casella di controllo Selezionata Se abilitata, l'azione creerà una tabella della bacheca dei casi per tutti gli attributi che fanno parte dell'evento.

Run On

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'azione è stata completata correttamente per almeno uno degli ID forniti:

Stampa "Successfully retrieved information for the following events: <>" (Informazioni recuperate correttamente per i seguenti eventi: <>)

Se l'azione non è stata eseguita per almeno uno degli ID incidente forniti:

Stampa "Impossibile recuperare le informazioni per i seguenti eventi: <>

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:
se si verifica un errore irreversibile, un errore SDK, ad esempio credenziali errate, nessuna connessione o altro:
Stampa "Errore durante l'esecuzione dell'azione "Ottieni dettagli evento". Motivo: {0}''.format(error.Stacktrace

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

if fatal error, like wrong credentials, no connection to server, other:

print "Error executing action "List Event Objects". Motivo: {0}''.format(error.Stacktrace)

 Generale
Tabella CSV

Nome tabella:Dettagli attributi evento {0}".format(event_id)

Colonne:

  1. ID
  2. Valore
  3. Commento
  4. Tipo
  5. Categoria
  6. UUID
  7. Distribuzione
  8. Timestamp

Elenca le occorrenze di un attributo

Elenca gli avvistamenti disponibili per gli attributi in MISP.

Parametri

search
Nome parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome attributo CSV No Specifica un elenco separato da virgole di identificatori di attributi per i quali vuoi elencare le visualizzazioni. Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".
ID evento Stringa No Specifica l'ID o l'UUID dell'evento in cui cercare gli attributi. Questo parametro è obbligatorio se "Ricerca attributi" è impostato su "Evento fornito".
Categoria CSV No Specifica un elenco di categorie separate da virgole. Se specificata, l'azione elencherà solo gli avvistamenti per gli attributi che hanno una categoria corrispondente. Se non viene specificato nulla, l'azione ignorerà le categorie negli attributi. Valori possibili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation.
Tipo CSV No Specifica un elenco separato da virgole dei tipi di attributo. Se specificata, l'azione elencherà solo gli avvistamenti per gli attributi che hanno un tipo di attributo corrispondente. Se non viene specificato nulla, l'azione ignorerà i tipi negli attributi. Valori di esempio: md5, sha1, ip-src, ip-dst
Ricerca attributi DDL

Evento fornito

Valori possibili:

Tutti gli eventi

 Sì Specifica dove l'azione deve cercare gli attributi. Se è selezionata l'opzione "Evento fornito", l'azione cercherà gli attributi o gli UUID attributo solo nell'evento con ID/UUID fornito nel parametro "ID evento". Se selezioni "Tutti gli eventi", l'azione cercherà gli attributi tra tutti gli eventi ed elencherà gli avvistamenti per tutti gli attributi che corrispondono ai nostri criteri.
UUID attributo CSV No Specifica un elenco separato da virgole di UUID degli attributi per i quali vuoi elencare gli avvistamenti. Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".
Risultati dell'azione
Risultato script
Nome risultato script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

Se gli avvistamenti sono stati elencati correttamente in almeno un attributo: "Gli avvistamenti sono stati elencati correttamente per i seguenti attributi in MISP:\n{0}".format(nome attributo/UUID attributo)

se gli avvistamenti non sono stati elencati correttamente per almeno un attributo: "L'azione non ha elencato gli avvistamenti per i seguenti attributi in MISP:\n{0}".format(nome attributo/UUID attributo)

Se non è andata a buon fine per tutti gli avvistamenti o per nessuno degli attributi: "Non sono stati trovati avvistamenti per gli attributi forniti in MISP"

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Elenca avvistamenti di un attributo". Motivo: {0}".format(stacktrace)

Se viene specificato un parametro non valido in "Categoria" (azione non riuscita): "Errore durante l'esecuzione dell'azione "Elenca avvistamenti di un attributo". Motivo: è stato fornito un valore non valido per il parametro "Categoria". Valori accettabili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation".

Se è selezionato "Evento fornito", ma non è selezionato l'ID evento: "Errore durante l'esecuzione dell'azione "Elenca avvistamenti di un attributo". Motivo: è necessario fornire l'ID evento se è selezionato"Evento fornito " per il parametro"Ricerca attributi".

 Generale

Impostare il flag IDS per un attributo

Imposta il flag IDS per gli attributi in MISP.

Parametri

searchsearch
Nome parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome attributo CSV No Specifica un elenco separato da virgole di identificatori di attributi per i quali vuoi impostare un flag IDS. Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".
ID evento Stringa No Specifica l'ID o l'UUID dell'evento in cui cercare gli attributi. Questo parametro è obbligatorio se "Ricerca attributi" è impostato su "Evento fornito".
Categoria CSV No Specifica un elenco di categorie separate da virgole. Se specificata, l'azione imposterà il flag IDS solo per gli attributi con una categoria corrispondente. Se non viene specificato nulla, l'azione ignorerà le categorie negli attributi. Valori possibili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation.
Tipo CSV No Specifica un elenco separato da virgole dei tipi di attributo. Se specificata, l'azione imposterà il flag IDS solo per gli attributi che hanno un tipo di attributo corrispondente. Se non viene specificato nulla, l'azione ignorerà i tipi negli attributi. Valori di esempio: md5, sha1, ip-src, ip-dst
Ricerca attributi DDL

Evento fornito

Valori possibili:

Tutti gli eventi

 Sì Specifica dove l'azione deve cercare gli attributi. Se è selezionata l'opzione "Evento fornito", l'azione cercherà gli attributi o gli UUID attributo solo nell'evento con ID/UUID fornito nel parametro "ID evento". Se selezioni "Tutti gli eventi", l'azione cercherà gli attributi tra tutti gli eventi e imposterà il flag IDS per tutti gli attributi che corrispondono ai nostri criteri.
UUID attributo CSV No

Specifica un elenco separato da virgole di UUID attributo per i quali vuoi impostare un flag IDS.
Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se il flag IDS è stato aggiunto correttamente ad almeno un attributo: "Il flag IDS è stato impostato correttamente per i seguenti attributi in MISP:\n{0}".format(nome attributo/UUID oggetto)

if not successfully added IDS flag to at least one attribute: "Action didn't set IDS flag for the following attributes in MISP:\n{0}".format(attribute name/object UUID)

Se non ha esito positivo per tutti: "Il flag IDS non è stato impostato per gli attributi forniti in MISP"

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Imposta flag ID per un attributo". Motivo: {0}".format(stacktrace)

Se viene specificato un parametro non valido in "Categoria" (azione non riuscita): "Errore durante l'esecuzione dell'azione "Imposta flag ID per un attributo". Motivo: è stato fornito un valore non valido per il parametro "Categoria". Valori accettabili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation".

Se è selezionato "Evento fornito", ma non è selezionato l'ID evento: "Errore durante l'esecuzione dell'azione "Imposta flag ID per un attributo". Motivo: è necessario fornire l'ID evento se è selezionato"Evento fornito " per il parametro"Ricerca attributi".

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Imposta flag ID per un attributo". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Rimuovere il flag IDS per un attributo

Rimuovi il flag IDS per gli attributi in MISP.

Parametri

Nome Tipo Valore predefinito Obbligatorio Descrizione
Nome attributo CSV No

Specifica un elenco separato da virgole di identificatori di attributi per i quali vuoi annullare l'impostazione di un flag IDS.
Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".
ID evento Stringa No Specifica l'ID o l'UUID dell'evento in cui cercare gli attributi. Questo parametro è obbligatorio se "Ricerca attributi" è impostato su "Evento fornito".
Categoria CSV No Specifica un elenco di categorie separate da virgole. Se specificata, l'azione annullerà il flag IDS solo per gli attributi che hanno una categoria corrispondente. Se non viene specificato nulla, l'azione ignorerà le categorie negli attributi. Valori possibili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation.
Tipo CSV No Specifica un elenco separato da virgole dei tipi di attributo. Se specificata, l'azione annullerà il flag IDS solo per gli attributi che hanno un tipo di attributo corrispondente. Se non viene specificato nulla, l'azione ignorerà i tipi negli attributi. Valori di esempio: md5, sha1, ip-src, ip-dst
Ricerca attributi DDL

Evento fornito

Valori possibili:

Tutti gli eventi

 Vero Specifica dove l'azione deve cercare gli attributi. Se è selezionata l'opzione "Evento fornito", l'azione cercherà gli attributi o gli UUID attributo solo nell'evento con ID/UUID fornito nel parametro "ID evento". Se selezioni "Tutti gli eventi", l'azione cercherà gli attributi tra tutti gli eventi e disattiverà il flag IDS per tutti gli attributi che corrispondono ai nostri criteri.
UUID attributo CSV No Specifica un elenco separato da virgole di UUID attributo per i quali vuoi annullare l'impostazione di un flag IDS. Nota: se vengono specificati sia "Nome attributo" sia "UUID attributo", l'azione funzionerà con i valori di "UUID attributo".

Risultati dell'azione

Risultato script
Nome risultato script Opzioni di valore Esempio
operazione riuscita Vero/Falso success:False
Bacheca casi
Tipo di risultato Descrizione del valore Tipo
Messaggio di output*

Se il flag IDS è stato rimosso da almeno un attributo: "Successfully unset IDS flag for the following attributes in MISP:\n{0}".format(attribute name/object UUID)

se il flag IDS non è stato rimosso correttamente da almeno un attributo: "L'azione non ha annullato il flag IDS per i seguenti attributi in MISP:\n{0}".format(nome attributo/UUID oggetto)

Se non ha esito positivo per tutti: "IDS flag was not unset for the provided attributes in MISP" (Il flag IDS non è stato annullato per gli attributi forniti in MISP)

Errore critico (azione non riuscita) "Errore durante l'esecuzione dell'azione "Rimuovi flag ID per un attributo". Motivo: {0}".format(stacktrace)

Se viene specificato un parametro non valido in "Categoria" (azione non riuscita): "Errore durante l'esecuzione dell'azione "Rimuovi flag IDS per un attributo". Motivo: è stato fornito un valore non valido per il parametro "Categoria". Valori accettabili: External Analysis, Payload Delivery, Artifacts Dropped, Payload Installation".

Se è selezionato "Evento fornito", ma non è selezionato l'ID evento: "Errore durante l'esecuzione dell'azione "Imposta il flag ID per un attributo". Motivo: è necessario fornire l'ID evento se è selezionato"Evento fornito " per il parametro"Ricerca attributi".

ID evento non trovato (azione non riuscita) "Errore durante l'esecuzione dell'azione "Imposta il flag IDS per un attributo". Motivo: evento con {0} {1} non trovato in MISP".format(ID/UUID, event_id)

 Generale

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importare i dati (connettori).

MISP - Attributes Connector

Estrai gli attributi da MISP.

Configura il connettore MISP - Attributes su Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, vedi Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
DeviceProductField Stringa Nome prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo Prodotto.
EventClassId Stringa alertType Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
PythonProcessTimeout Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Root API Stringa N/D Sì Radice API per l'account MISP.
Chiave API Password Sì Chiave API dell'account MISP.
Fetch Max Hours Backwards Numero intero 1 No Numero di ore da cui recuperare gli attributi.
Attributi massimi per ciclo Numero intero 50 Sì Numero di attributi da elaborare per ogni iterazione del connettore.
Livello di minaccia più basso da recuperare Numero intero 1 Sì La gravità minima che verrà utilizzata per recuperare gli avvisi. Valori possibili: 1-4.
Filtro del tipo di attributo Stringa No Filtra gli attributi in base al tipo, separati da virgole. Se forniti, verranno elaborati solo gli attributi con tipo consentito.
Filtro per categoria Stringa No Filtra gli attributi in base alla categoria, separati da virgole. Se forniti, verranno elaborati solo gli attributi con la categoria autorizzata.
Filtro Galaxy Stringa No Filtra gli attributi in base alla galassia dell'evento principale, separati da virgole. Se forniti, verranno elaborati solo gli attributi appartenenti a un evento con una galassia autorizzata.
Verifica SSL Casella di controllo Sì Se abilitato, verifica che il certificato SSL per la connessione al server CheckPoint Cloud Guard sia valido.
Nome campo ambiente Stringa No Descrive il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex ambiente Stringa .* No Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente". Il valore predefinito è .* per acquisire tutto e restituire il valore invariato. Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari. Se il pattern regex è null o vuoto oppure il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito.
Indirizzo del server proxy Stringa No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password No La password del proxy per l'autenticazione.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.