MISP を Google SecOps と統合する

このドキュメントでは、MISP を Google Security Operations と統合する方法について説明します。

ユースケース

MISP 統合では、Google SecOps の機能を使用して、次のユースケースをサポートします。

  • セキュリティ侵害インジケーターを拡充する: MISP インスタンスから URL、ホスト名、IP アドレス、ファイルハッシュのコンテキストを自動的に取得して、既知の悪意のある行為者を特定します。

  • イベントの作成と共有を自動化する: ハンドブックから直接新しい MISP イベントを作成し、共有グループに公開して、セキュリティ コミュニティに新しい脅威を警告します。

  • イベント分類を管理する: イベントと属性からタグを動的に追加または削除して、正確で最新の脅威状況を維持します。

  • 関連する脅威を調査する: 特定のエンティティに関連するイベントを検索して情報を取得し、進行中の調査の範囲を広げます。

  • 不審なファイルを分析する: 共同分析のためにファイルを MISP イベントにアップロードするか、内部サンドボックス評価のために既存のイベント添付ファイルをダウンロードします。

始める前に

Google SecOps プラットフォームで統合を構成する前に、MISP 環境で次の要件を満たしていることを確認します。

  • MISP API キー: 接続を認証するには、有効な自動化キーが必要です。これは、MISP UI のイベント操作メニューから取得できます。詳細については、自動化と MISP API をご覧ください。

  • API ルートアドレス: 構成に使用できる MISP インスタンスの IP アドレスまたはホスト名があることを確認します。

  • 省略可: CA 証明書: 環境で特定の証明書を使用した SSL 検証が必要な場合は、CA 証明書ファイルが使用可能であることを確認してください。構成時に、この値を Base64 でエンコードされた文字列として指定する必要があります。

  • 統合バージョン: MISP 統合の最新バージョンを実行していることを確認して、すべてのアクションとパラメータがサポートされていることを確認します。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
API ルート 文字列 https://<IP> はい MISP インスタンスのアドレス。
API キー 文字列 なし はい MISP のコンソールで生成されます。
Use SSL チェックボックス オフ いいえ MISP 接続で SSL の検証が必要な場合は、このチェックボックスをオンにします（デフォルトではオフ）。
リモートで実行 チェックボックス オフ いいえ 構成した統合をリモートで実行するには、フィールドのチェックボックスをオンにします。オンにすると、リモート ユーザー（エージェント）を選択するオプションが表示されます。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

属性を追加

エンティティを属性として MISP イベントに追加します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい イベントの ID。
カテゴリ 文字列 社外の分析 いいえ 属性のカテゴリ。デフォルト: 外部分析。
分布 文字列 1 いいえ 属性の分布。デフォルト: 1。
侵入検知システム チェックボックス オフ いいえ 属性が侵入検知システムに使用されるかどうか。デフォルトは false です。
コメント 文字列 なし いいえ 属性に追加するコメント。

ユースケース

なし

実行

このアクションは次のエンティティに対して実行されます。

  • URL
  • ホスト名
  • IP アドレス
  • Filehash

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
success True/False success:False
JSON の結果
N/A

予定を作成する

新しい MISP イベントを作成します。

既知の制限事項

現在、MISP API では、作成時にイベントをすぐに公開することはできません。まずイベントを作成してから、[イベントを公開] アクションを使用する必要があります。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント名 文字列 なし はい イベントの名前。
脅威レベル 文字列 0 いいえ イベントの脅威レベル。デフォルト: 0。
分布 文字列 1 いいえ 属性の分布。デフォルト: 1。
分析 文字列 0 いいえ イベントの分析レベル [0 ～ 2]: デフォルト: 0。
公開 チェックボックス オン いいえ イベントを公開するかどうか。
コメント 文字列 なし いいえ イベントのコメント。

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
event_id なし なし

イベントにタグを追加する

イベント アクションにタグを追加すると、ユーザーは MISP の特定のイベントにタグを追加できます。これにより、イベントに関連付けられた IOC がもたらすセキュリティ脅威のカテゴリに基づいて、イベントに分類が追加されます。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい タグを追加するイベントを指定する固有識別子。
タグ名 文字列 なし はい イベントに追加するタグの名前。

ユースケース

イベントを分類する: タグを追加してイベントを更新します。

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "saved": true,
        "success": "Tag(s) added.",
        "check_publish": true
    }
]

ファイルをダウンロード

MISP のイベントに関連するファイルをダウンロードします。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし いいえ ファイルをダウンロードするイベントの ID または UUID を指定します。
ダウンロード フォルダ パス 文字列 なし

ファイルを保存するフォルダの絶対パスを指定します。何も指定しない場合、アクションは代わりに添付ファイルを作成します。
注: JSON の結果は、このパラメータに適切な値を指定した場合にのみ使用できます。
上書き チェックボックス オフ 有効にすると、アクションによって既存のファイルが上書きされます。

実行

このアクションは Filehash エンティティに対して実行されます。

アクションの結果
スクリプトの結果
スクリプトの結果名 値のオプション 例
success True/False success:False
JSON の結果
{

"absolute_paths": ["/etc/file1.txt", "/etc/file2.txt"]

}
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

成功した場合: 「MISP で {0} {1} のイベントから次のファイルが正常にダウンロードされました:\n{2}」.format(ID/UUID, event_id, result/filename from the response)

ファイルが見つからなかった場合: 「MISP で {0} {1} のイベントのファイルが見つかりませんでした:\n{2}」.format(ID/UUID, event_id)

「ダウンロード フォルダパス」が指定されておらず、一部のファイルが添付ファイルのプラットフォームの上限を超えている場合: 「アクションでは、次のファイルが 3 MB の上限を超えているため、ダウンロードできませんでした: \n {0}。\n ダウンロードするには、パラメータ「ダウンロード フォルダパス」でフォルダパスを指定してください。」（result/filename）

重大なエラー（アクションの失敗） 「"ファイルをダウンロード" アクションの実行中にエラーが発生しました。理由: {0}」.format(stacktrace)

イベント ID が見つからない（アクションが失敗） 「"ファイルをダウンロード" アクションの実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

上書きが false で、いずれかのファイルがすでに存在する場合: 「"ファイルをダウンロード" アクションの実行中にエラーが発生しました。理由: 次のファイルがすでに存在します: {0}。Please remove them or set parameter "Overwrite" to true.".format(absolute path to the file)

 全般

エンティティの拡充

MISP の属性に基づいてエンティティを拡充します。

パラメータ

パラメータの表示名 種類 デフォルト値 説明
返される属性の数 文字列 なし エンティティに対して返される属性の数を指定します。
フィルタ条件 アクションのフィルタ条件を指定します。[Last] が選択されている場合、アクションでは、最も古い属性がエンリッチメントに使用されます。[First] が選択されている場合、アクションでは、最新の属性がエンリッチメントに使用されます。
脅威レベルのしきい値 DDL

低

有効な値:

高

中

低

未定義

 エンティティが検出されたイベントの脅威レベルのしきい値を指定します。関連するイベントがしきい値を超えているか、しきい値と一致する場合、エンティティは不審としてマークされます。
属性検索の上限 Integer 50 エンティティごとに検索する属性の数を指定します。このパラメータは、拡充のために選択される属性に影響します。デフォルト: 50。

実行

このアクションは次のエンティティに対して実行されます。

  • URL
  • ホスト名
  • IP アドレス
  • Filehash
アクションの結果
エンティティ拡充

イベントの脅威レベルが 0 を超えると、エンティティは不審としてマークされます。それ以外の場合は、False です。

スクリプトの結果
スクリプトの結果名 値のオプション 例
success True/False success:False
JSON の結果
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

見つかった属性の場合:（is_success=true）「MISP を使用して次のエンティティを拡充しました: \n{0}」.format(entity.identifier)

見つからなかった属性の場合（is_success=true） 「アクションは、MISP を使用して次のエンティティを拡充できませんでした: \n{0}」.format(entity.identifier)

すべての属性が見つからなかった場合（is_success=false）「MISP を使用して拡充されたエンティティはありません」

属性が不審な場合（is_success=true） 「次の属性は MISP を使用して不審としてマークされました: \n {0}」.format(entity.identifier)

 全般
CSV テーブル

テーブル列:

  • ID
  • イベント ID
  • カテゴリ
  • 型
  • UUID
  • タイムスタンプ
  • 分布
  • IDS

MISP のエンティティに関連するイベントに関する情報を取得します。

パラメータ

パラメータの表示名 種類 デフォルト値 説明
不審としてマーク チェックボックス オン 有効の場合、関連するイベントが少なくとも 1 つある場合に、アクションはエンティティを不審としてマークします。

実行

このアクションは次のエンティティに対して実行されます。

  • URL
  • ホスト名
  • IP アドレス
  • Filehash

アクションの結果

エンティティ拡充

関連するイベントのレコードが利用可能な場合、エンティティは不審としてマークされます。それ以外の場合は False。

拡充フィールド名 ロジック - 適用するタイミング
イベント JSON の結果に存在する場合に返す
スクリプトの結果
スクリプトの結果名 値のオプション 例
success True/False success:False
JSON の結果
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

少なくとも 1 つのエンティティに対して 1 つのイベントが見つかった場合: 「次のエンティティに関連するイベントに関する情報が正常に取得されました: \n{0}」.format(entity.identifier)

少なくとも 1 つのエンティティでイベントが見つからなかった場合: 「アクションでは、次のエンティティに関連するイベントに関する情報を取得できませんでした: \n{0}」.format(entity.identifier

すべてのイベントがない場合:「指定されたエンティティに関連するイベントが見つかりませんでした。」

 全般

ファイルをアップロード

MISP イベントにファイルをアップロードします。

パラメータ

Name 種類 デフォルト 説明
イベント ID 文字列 なし このファイルをアップロードするイベントの ID または UUID を指定します。
ファイルパス 文字列 なし MISP にアップロードするファイルの絶対ファイルパスのカンマ区切りのリストを指定します。
カテゴリ アップロードしたファイルのカテゴリを指定します。有効な値: External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。
分布 文字列 コミュニティ

アップロードしたファイルの配布を指定します。
指定可能な値: 0 - 組織、1 - コミュニティ、2 - 接続済み、3 - すべて。数値または文字列を指定できます。
脅威レベル 文字列 高

アップロードされたファイルの脅威レベルを指定します。
有効な値: 1 - 高、2 - 中、3 - 低、4 - 未定義。数値または文字列を指定できます。
分析 文字列 初期

イベントの分析を指定します。
指定できる値: 0 - 初期、1 - 進行中、2 - 完了。数値または文字列を指定できます。
情報 文字列 なし アップロードしたファイルに関する追加情報を指定します。
侵入検知システム チェックボックス オフ 有効にすると、アップロードされたファイルが侵入検知システムに使用されます。
コメント 文字列 なし アップロードしたファイルに関連する追加のコメントを指定します。
アクションの結果
スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
{
    "Event": {
        "id": "106",
        "orgc_id": "1",
        "org_id": "1",
        "date": "2021-01-15",
        "threat_level_id": "1",
        "info": "vanuhi 1015",
        "published": false,
        "uuid": "1cd22aa2-57e8-4fc8-bac6-721c1be2c27d",
        "attribute_count": "10",
        "analysis": "0",
        "timestamp": "1610893968",
        "distribution": "1",
        "proposal_email_lock": false,
        "locked": false,
        "publish_timestamp": "0",
        "sharing_group_id": "0",
        "disable_correlation": false,
        "extends_uuid": "",
        "event_creator_email": "admin@admin.test",
        "Org": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Orgc": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Attribute": [],
        "ShadowAttribute": [],
"Object": [
            {
                "id": "446",
                "name": "file",
                "meta-category": "file",
                "description": "File object describing a file with meta-information",
                "template_uuid": "688c46fb-5edb-40a3-8273-1af7923e2215",
                "template_version": "20",
                "event_id": "106",
                "uuid": "0188ba5d-68eb-4b5c-8e05-6fd49f8eee9a",
                "timestamp": "1610691647",
                "distribution": "1",
                "sharing_group_id": "0",
                "comment": "",
                "deleted": false,
                "first_seen": null,
                "last_seen": null,
                "ObjectReference": [],
                "Attribute": [
                    {
                        "id": "1859",
                        "type": "malware-sample",
                        "category": "External analysis",
                        "to_ids": true,
                        "uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138",
                        "event_id": "106",
                        "distribution": "1",
                        "timestamp": "1610703650",
                        "comment": "",
                        "sharing_group_id": "0",
                        "deleted": false,
                        "disable_correlation": false,
                        "object_id": "446",
                        "object_relation": "malware-sample",
                        "first_seen": null,
                        "last_seen": null,
                        "value": "vanuhi.txt|7bd55b0a276e076cbaf470e64359adb8",
                        "Galaxy": [],
                        "data": "UEsDBAoACQAAAJgyL1Kgt+vZDwAAAAMAAAAgABwAN2JkNTViMGEyNzZlMDc2Y2JhZjQ3MGU2NDM1OWFkYjhVVAkAAz80AWA/NAFgdXgLAAEEIQAAAAQhAAAADCVIVuu0HeIv/PqGdn5EUEsHCKC369kPAAAAAwAAAFBLAwQKAAkAAACYMi9SGoPq+xYAAAAKAAAALQAcADdiZDU1YjBhMjc2ZTA3NmNiYWY0NzBlNjQzNTlhZGI4LmZpbGVuYW1lLnR4dFVUCQADPzQBYD80AWB1eAsAAQQhAAAABCEAAABLQfOZfPB0svIGywREZ5dDLdomR6gPUEsHCBqD6vsWAAAACgAAAFBLAQIeAwoACQAAAJgyL1Kgt+vZDwAAAAMAAAAgABgAAAAAAAEAAACkgQAAAAA3YmQ1NWIwYTI3NmUwNzZjYmFmNDcwZTY0MzU5YWRiOFVUBQADPzQBYHV4CwABBCEAAAAEIQAAAFBLAQIeAwoACQAAAJgyL1Iag+r7FgAAAAoAAAAtABgAAAAAAAEAAACkgXkAAAA3YmQ1NWIwYTI3NmUwNzZjYmFmNDcwZTY0MzU5YWRiOC5maWxlbmFtZS50eHRVVAUAAz80AWB1eAsAAQQhAAAABCEAAABQSwUGAAAAAAIAAgDZAAAABgEAAAAA",
                        "ShadowAttribute": [],
                        "Sighting": [
                            {
                                "id": "1733",
                                "attribute_id": "1859",
                                "event_id": "106",
                                "org_id": "1",
                                "date_sighting": "1611207638",
                                "uuid": "feb085f1-1923-4327-a73d-b60a948377e4",
                                "source": "",
                                "type": "0",
                                "Organisation": {
                                    "id": "1",
                                    "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
                                    "name": "ORGNAME"
                                },
                                "attribute_uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138"
                            }
                        ]
                    }
            }
    }
}
Case Wall
結果のタイプ 値 / 説明 種類
出力メッセージ *

1 つのエンティティで成功した場合:「指定されたファイルを MISP のイベント {0} に正常にアップロードしました」.format(event_id)

重大なエラー（アクションの失敗） 「"ファイルをアップロード" アクションの実行中にエラーが発生しました。理由: {0}」.format(stacktrace)

「Distribution」に無効なパラメータが指定されている場合（アクションの失敗）:

「アクション「ファイルのアップロード」の実行エラー。理由: パラメータ「Distribution」に無効な値が指定されました。使用できる数値: 0、1、2、3。使用できる文字列: Organisation、Community、Connected、All。

「脅威レベル」に無効なパラメータが指定されている場合（アクションの失敗）:「アクション「ファイルのアップロード」の実行エラー。理由: パラメータ「脅威レベル」に無効な値が指定されました。使用できる数値: 1、2、3、4。使用できる文字列: High、Medium、Low、Undefined。

「カテゴリ」に無効なパラメータが指定されている場合（アクションの失敗）:「アクション「ファイルのアップロード」の実行エラー。理由: パラメータ「カテゴリ」に無効な値が指定されました。有効な値: External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

「分析」に無効なパラメータが指定されている場合（アクションの失敗）:「アクション「ファイルのアップロード」の実行エラー。理由: パラメータ「分析」に無効な値が指定されました。使用できる数値: 0、1、2。使用できる文字列: Initial、Ongoing、Completed。

少なくとも 1 つのファイルが利用できない場合 「アクション「Upload File」の実行中にエラーが発生しました。理由: 次のファイルにアクセスできませんでした: \n {0}」.format(アクセスできなかったファイルパス)

イベント ID が見つからない（アクションが失敗） 「"ファイルをアップロード" アクションの実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

Ping

接続をテストします。

パラメータ

なし

ユースケース

なし

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
success True/False success:False
JSON の結果
N/A

イベントからタグを削除する

MISP のイベントからタグを削除します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい タグを削除するイベントの ID または UUID を指定します。
タグ名 CSV なし はい イベントから削除するタグのカンマ区切りのリストを指定します。

ユースケース

イベントを再分類する: 再分類のためにタグを削除します。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "saved": true,
        "success": "Tag removed.",
        "check_publish": true
    }
]
Case Wall
結果のタイプ 値 / 説明 種類
出力メッセージ *

イベントからすべてのタグが正常に削除された場合: 「MISP の {0} {1} を含むイベントから次のタグが正常に削除されました: {2}」.format(ID/UUID, event_id, tags)

イベントから一部のタグを正常に削除できなかった場合: 「アクションは MISP の {0} {1} を含むイベントから次のタグを削除できませんでした: {2}。」.format(ID/UUID, event_id, tags)

すべてで成功しなかった場合: 「MISP で {0} {1} のイベントからタグは削除されませんでした」.format(ID/UUID, event_id)

少なくとも 1 つのタグが見つからなかった場合: 「次のタグが MISP で見つかりませんでした: \n{0}」（MISP で見つからなかったタグのリスト）

すべてのタグが見つからなかった場合:「指定されたタグが MISP で見つかりませんでした。」

重大なエラー（アクションの失敗） 「アクション「イベントからタグを削除」の実行エラー。理由: {0}」.format(stacktrace)

イベント ID が見つからない（アクションが失敗） 「"イベントからタグを削除する"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

属性にタグを追加する

このアクションにより、ユーザーは MISP の特定の属性にタグを追加できます。これにより、属性内の IOC によって引き起こされるセキュリティ脅威のカテゴリに基づいて、属性に分類が追加されます。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID Integer なし はい 属性が関連付けられているイベントの識別子。例: 1。
タグ名 文字列 なし はい 属性に追加するタグの名前。
属性名 文字列 なし はい タグ付けする属性の名前識別子。
カテゴリ 文字列 なし はい 属性が属するカテゴリ（例: ペイロード配信）。
種類 文字列 なし はい 属性のタイプ（filename など）。
オブジェクト UUID 文字列 なし いいえ イベント内のオブジェクトの固有識別子。

ユースケース

IOC タイプに基づいて属性を分類する: 属性にタグを追加します。

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "name": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "message": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "url": "/tags/attachTagToObject"
    }
]

属性からタグを削除する

MISP の属性からタグを削除します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし いいえ イベントの ID または UUID を指定します。ここで属性を検索します。「属性検索」が「指定されたイベント」に設定されている場合、このパラメータは必須です。
タグ名 CSV なし はい 属性から削除するタグのカンマ区切りのリストを指定します。
属性名 CSV なし いいえ

タグを削除する属性 ID のカンマ区切りのリストを指定します。
注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。
カテゴリ CSV なし いいえ

カテゴリのカンマ区切りリストを指定します。指定すると、一致するカテゴリを持つ属性からのみタグが削除されます。何も指定しない場合、アクションは属性のカテゴリを無視します。
有効な値: 外部分析、ペイロード配信、アーティファクトのドロップ、ペイロードのインストール。
種類 CSV なし いいえ

属性タイプのカンマ区切りのリストを指定します。指定した場合、アクションは、一致する属性タイプを持つ属性からのみタグを削除します。何も指定しない場合、アクションは属性のタイプを無視します。
値の例: md5、sha1、ip-src、ip-dst
オブジェクト UUID CSV なし 目的の属性を含むオブジェクトの UUID を指定します。
属性検索 DDL

提供されたイベント

値は次のいずれかです。

すべての予定

提供されたイベント

 はい アクションが属性を検索する場所を指定します。[Provided Event] が選択されている場合、アクションは「Event ID」パラメータで指定された ID / UUID を持つイベント内の属性または属性 UUID のみを検索します。[すべてのイベント] の場合、アクションはすべてのイベントの属性を検索し、条件に一致するすべての属性からタグを削除します。
属性 UUID CSV 新しいタグを削除する属性 UUID のカンマ区切りのリストを指定します。注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。

ユースケース

再分類属性: 再分類のためにタグを削除

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "name": "Tag unique___test(7) successfully removed from Attribute(9).",
        "message": "Tag unique___test(7) successfully removed from Attribute(9).",
        "url": "/tags/removeTagFromObject"
    }
]
Case Wall
結果のタイプ 値 / 説明 Type>
出力メッセージ *

少なくとも 1 つの属性からタグが正常に削除された場合: 「MISP の次の属性からタグが正常に削除されました: {0}」.format(属性名/オブジェクト UUID)

少なくとも 1 つの属性からタグが正常に削除されなかった場合: 「アクションは MISP の次の属性からタグを削除しませんでした:\n{0}」.format(属性名/オブジェクト UUID)

すべてで成功しなかった場合:「MISP で指定された属性からタグが削除されませんでした」

少なくとも 1 つのタグが見つからなかった場合: 「次のタグが MISP で見つかりませんでした: \n{0}」（MISP で見つからなかったタグのリスト）

すべてのタグが見つからなかった場合:「指定されたタグが MISP で見つかりませんでした。」

重大なエラー（アクションの失敗） 「属性からタグを削除する」アクションの実行中にエラーが発生しました。理由: {0}」.format(stacktrace)

「Category」に無効なパラメータが指定されている場合（アクションの失敗）: 「アクション「属性からタグを削除」の実行エラー。理由: パラメータ「カテゴリ」に無効な値が指定されました。有効な値: External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

[Provided Event] が選択されているが、イベント ID が選択されていない場合: 「アクション「属性からタグを削除」の実行エラー。理由: パラメータ「属性検索」で「提供されたイベント」が選択されている場合は、イベント ID を指定する必要があります。

イベント ID が見つからない（アクションが失敗） 「"属性からタグを削除"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

イベントを公開する

このアクションにより、ユーザーはイベントを公開できます。イベントを公開すると、選択した共有グループにイベントが共有され、すべてのメンバーに表示されるようになります。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい 公開するイベントの ID または UUID を指定します。

ユースケース

イベントを公開する:

  1. さらに
  2. イベント属性を追加する
  3. 予定を公開

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": true,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
Case Wall
結果のタイプ 値 / 説明 種類
出力メッセージ *

成功した場合: 「MISP で {0} {1} を含むイベントを正常に公開しました」.format(ID/UUID, event_id)

失敗した場合: 「{0} {1} のイベントは MISP で公開されませんでした」.format(ID/UUID, event_id)

重大なエラー（アクションの失敗） 「アクション「イベントの公開」の実行エラー。理由: {0}」.format(stacktrace)

イベント ID が見つからない（アクションが失敗） 「"イベントの公開"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

イベントの公開を停止

このアクションにより、ユーザーはイベントの公開を停止できます。イベントの公開を停止すると、共有グループに表示されなくなります。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい 公開を停止するイベントの ID または UUID を指定します。
アクションの結果
スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": false,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
Case Wall
結果のタイプ 値 / 説明 種類
出力メッセージ *

成功した場合: "Successfully unpublished event with {0} {1} in MISP.".format(ID/UUID, event_id)

失敗した場合: 「{0} {1} のイベントは MISP で公開停止されませんでした」.format(ID/UUID, event_id)

重大なエラー（アクションの失敗） 「アクション「イベントの公開停止」の実行エラー。理由: {0}」.format(stacktrace)

イベント ID が見つからない（アクションが失敗） 「"イベントの公開を停止"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

属性を削除する

MISP で属性を削除します。サポートされているハッシュ: MD5、SHA1、SHA224、SHA256、SHA384、SHA512、SSDeep。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし いいえ イベントの ID または UUID を指定します。ここで属性を検索します。「属性検索」が「指定されたイベント」に設定されている場合、このパラメータは必須です。
属性名 CSV なし いいえ

削除する属性 ID のカンマ区切りのリストを指定します。
注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。
カテゴリ CSV なし いいえ

カテゴリのカンマ区切りリストを指定します。指定した場合、一致するカテゴリを持つ属性のみが削除されます。何も指定しない場合、アクションは属性のカテゴリを無視します。
有効な値: 外部分析、ペイロード配信、アーティファクトのドロップ、ペイロードのインストール。
種類 CSV なし いいえ

属性タイプのカンマ区切りのリストを指定します。指定すると、一致する属性タイプを持つ属性のみが削除されます。何も指定しない場合、アクションは属性のタイプを無視します。
値の例: md5、sha1、ip-src、ip-dst
オブジェクト UUID 文字列 なし いいえ イベント内のオブジェクトの固有識別子。
属性検索 DDL

提供されたイベント

値は次のいずれかです。

すべての予定

提供されたイベント

 はい アクションが属性を検索する場所を指定します。[Provided Event] が選択されている場合、アクションは [Event ID] パラメータで指定された ID / UUID を持つイベント内の属性または属性 UUID のみを検索します。[All Events] の場合、アクションはすべてのイベントで属性を検索し、条件に一致するすべての属性を削除します。
属性 UUID CSV

削除する属性 UUID のカンマ区切りのリストを指定します。
注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。

ユースケース

イベントから属性を削除します。

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "message": "Attribute deleted."
    }
]
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

少なくとも 1 つの属性に Sighting が正常に追加された場合: 「MISP で次の属性が正常に削除されました: {0}」.format(属性名/オブジェクト UUID)

少なくとも 1 つの属性に Sighting が正常に追加されなかった場合: 「アクションは MISP で次の属性を削除しませんでした:\n{0}」.format(属性名/オブジェクト UUID)

すべてで成功しなかった場合:「MISP で削除された属性はありません」

重大なエラー（アクションの失敗） 「アクション「属性の削除」の実行エラー。理由: {0}」.format(stacktrace)

「Category」に無効なパラメータが指定されている場合（アクションの失敗）: 「アクション「属性の削除」の実行エラー。理由: パラメータ「カテゴリ」に無効な値が指定されました。有効な値: External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

[Provided Event] が選択されているが、イベント ID が選択されていない場合: 「アクション「属性の削除」の実行エラー。理由: パラメータ「属性検索」で「提供されたイベント」が選択されている場合は、イベント ID を指定する必要があります。

イベント ID が見つからない（アクションが失敗） 「"属性を削除"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

イベントを削除する

MISP でイベントを削除します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい 削除するイベントの ID または UUID を指定します。

ユースケース

予定を完全に削除する。

実行

このアクションはユーザー エンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
[
    {
        "name": "Event deleted.",
        "message": "Event deleted.",
        "url": "/events/delete/4"
    }
]
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

成功した場合: 「MISP で {0} {1} のイベントを正常に削除しました」.format(ID/UUID, event_id)

重大なエラー（アクションの失敗） 「アクション「イベントの削除」の実行エラー。理由: {0}」.format(traceback)

イベント ID が見つからない（アクションが失敗） 「"イベントの削除"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

ファイル MISP オブジェクトを作成する

このアクションにより、ユーザーはイベントに関連するファイル属性を、メタ情報を含むファイルを記述する単一のオブジェクトに整理できます。属性を持つオブジェクトは、指定されたイベントにアタッチされます。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい オブジェクトを追加するイベントの固有識別子。例: 1
ファイル名 文字列 なし いいえ ファイルのファイル名。
MD5 文字列 なし いいえ ファイルの md5 ハッシュ値。
SHA1 文字列 なし いいえ ファイルの SHA1 ハッシュ値。
SHA256 文字列 なし いいえ ファイルの sha256 ハッシュ値。
SSDEEP 文字列 なし いいえ ファイルの ssdeep 値。例: 96:p5aAS1tN0M3t9AnTNuG6TNOt5PR1TNZdkljOXTNSnKTF3X7KsTFW+kLtW6K8i7bI:p5mb4rgQhRp7GljCbF3LKqFjkwxtU
Imphash 文字列 なし いいえ インポートされたテーブルから計算された MD5 ハッシュ値。

ユースケース

なし

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
N/A

IP-Port MISP オブジェクトを作成する

このアクションにより、ユーザーはイベントに関連する IP ポート属性を、IP アドレス（またはドメイン、ホスト名）とポートを特定の期間にタプル（またはトリプル）として記述する単一のオブジェクトに整理できます。属性を持つオブジェクトは、指定されたイベントにアタッチされます。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい オブジェクトを追加するイベントの固有識別子。例: 1
Dst-port 文字列 なし いいえ 宛先ポート。
Src-port 文字列 なし いいえ ソースポート。
ドメイン 文字列 なし いいえ Domain] をクリックします。
ホスト名 文字列 なし いいえ ホスト名。
IP-Src 文字列 なし いいえ 送信元 IP アドレス。
IP-Dst 文字列 なし いいえ 宛先 IP アドレス。

ユースケース

なし

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

エンティティ拡充

なし

分析情報

なし

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
N/A

network-connection MISP オブジェクトを作成する

MISP で network-connection オブジェクトを作成します。Dst-port、Src-port、IP-Src、IP-Dst のいずれかを指定するか、[Use Entities] パラメータを true に設定する必要があります。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい ネットワーク接続オブジェクトを追加するイベントの ID または UUID を指定します。
Dst-port 文字列 なし いいえ イベントに追加する宛先ポートを指定します。
Src-port 文字列 なし いいえ イベントに追加する送信元ポートを指定します。
Hostname-dst 文字列 なし いいえ イベントに追加するソースの宛先を指定します。
Hostname-src 文字列 なし いいえ イベントに追加する送信元ホスト名を指定します。
IP-Src 文字列 なし いいえ イベントに追加する送信元 IP を指定します。
IP-Dst 文字列 なし いいえ イベントに追加する宛先 IP を指定します。
Layer3-protocol 文字列 なし いいえ イベントに追加する関連するレイヤ 3 プロトコルを指定します。
Layer4-protocol 文字列 なし いいえ イベントに追加する関連するレイヤ 4 プロトコルを指定します。
Layer7-protocol 文字列 なし いいえ イベントに追加する関連するレイヤ 7 プロトコルを指定します。
エンティティを使用する チェックボックス オフ いいえ 有効にした場合、アクションはエンティティを使用してオブジェクトを作成します。サポートされるエンティティ: IP アドレス。「エンティティを使用」は他のパラメータよりも優先されます。
IP タイプ DDL

ソース IP

値は次のいずれかです。

ソース IP

宛先 IP

 IP エンティティで使用する属性タイプを指定します。

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
N/A
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

成功し、[Use Entities] が true でない場合: 「MISP で {0} {1} を使用してイベントの新しいネットワーク接続オブジェクトが正常に作成されました。」.format(ID/UUID, event_id)

成功せず、[Use Entities] が true でない場合: 「アクションは、MISP で {0} {1} を含むイベントの新しいネットワーク接続オブジェクトを作成できませんでした。理由: {2}」.format(ID/UUID)

1 つ成功し、[Use Entities] が true の場合: 「次のエンティティに基づいて、MISP で {0} {1} を含むイベントの新しいネットワーク接続オブジェクトが正常に作成されました: \n{0}」.format(ID/UUID, event_id, entity.identifiers)

1 つが成功せず、「エンティティを使用」が true の場合: 「アクションは、次のエンティティに基づいて MISP で {0} {1} のイベントの新しいネットワーク接続オブジェクトを作成できませんでした: \n{0}」.format(ID/UUID, event_id, entity.identifiers)

すべてが成功せず、「エンティティを使用」が true の場合: 「アクションは、指定されたエンティティに基づいて MISP で {0} {1} のイベントの新しいネットワーク接続オブジェクトを作成できませんでした。」.format(ID/UUID, event_id)

重大なエラー（アクションの失敗） 「アクション「ネットワーク接続 MISP オブジェクトの作成」の実行エラー。理由: {0}」.format(stacktrace)

イベント ID が見つからない（アクションが失敗する）「アクション「ネットワーク接続 MISP オブジェクトの作成」の実行エラー。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

Dst-port、Src-port、IP-Src、IP-Dst のいずれも指定されておらず、[Use Entities] == false の場合: 「アクション「ネットワーク接続 MISP オブジェクトの作成」の実行エラー。理由: 「Dst-port」、「Src-port」、「IP-Src」、「IP-Dst」のいずれかを指定するか、「Use Entities」パラメータを true に設定する必要があります。

 全般

URL MISP オブジェクトを作成する

MISP で URL オブジェクトを作成します。「URL」を指定するか、「エンティティを使用」パラメータを true に設定する必要があります。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい URL オブジェクトを追加するイベントの ID または UUID を指定します。
URL 文字列 なし いいえ イベントに追加する URL を指定します。
ポート 文字列 なし いいえ イベントに追加するポートを指定します。
初回検知 文字列 なし いいえ

URL が最初に検出された日時を指定します。
形式: 2020-12-22T13:07:32Z
最終検知 文字列 なし いいえ

URL が最後に確認された日時を指定します。
形式: 2020-12-22T13:07:32Z
ドメイン 文字列 なし いいえ 予定に追加するドメインを指定します。
テキスト 文字列 なし いいえ イベントに追加するテキストを指定します。
IP 文字列 なし いいえ イベントに追加する IP を指定します。
ホスト 文字列 なし いいえ 予定に追加するホストを指定します。
エンティティを使用する チェックボックス オフ 有効にした場合、アクションはエンティティを使用してオブジェクトを作成します。サポートされるエンティティ: URL。「エンティティを使用」は他のパラメータよりも優先されます。

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
N/A
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

成功し、[Use Entities] が true でない場合: 「MISP で {0} {1} を使用してイベントの新しい URL オブジェクトが正常に作成されました。」.format(ID/UUID, event_id)

成功せず、「エンティティを使用」が true でない場合: 「アクションは、MISP で {0} {1} を使用してイベントの URL オブジェクトを作成できませんでした。理由: {2}」.format(ID/UUID)

1 つが成功し、[Use Entities] が true の場合: 「次のエンティティに基づいて、MISP で {0} {1} を含むイベントの新しい URL オブジェクトが正常に作成されました: \n{0}」.format(ID/UUID, event_id, entity.identifiers)

1 つで成功せず、[Use Entities] が true の場合: 「アクションは、次のエンティティに基づいて MISP で {0} {1} のイベントの新しい URL オブジェクトを作成できませんでした: \n{0}".format(ID/UUID, event_id, entity.identifiers)」

すべてで成功せず、[Use Entities] が true の場合:「指定されたエンティティに基づいて、MISP で {0} {1} のイベントの新しい URL オブジェクトを作成できませんでした。」.format(ID/UUID, event_id)

重大なエラー（アクションの失敗） 「アクション「Create Url Misp Object」の実行中にエラーが発生しました。理由: {0}」.format(stacktrace)

イベント ID が見つからない（アクション失敗） 「アクション「URL MISP オブジェクトの作成」の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

URL が指定されておらず、「エンティティを使用」が false の場合: 「アクション「URL MISP オブジェクトの作成」の実行中にエラーが発生しました。理由: 「URL」を指定するか、「エンティティを使用」パラメータを true に設定する必要があります。

 全般

Virustotal-Report オブジェクトを作成する

MISP で Virustotal-Report オブジェクトを作成します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい URL オブジェクトを追加するイベントの ID または UUID を指定します。
パーマリンク 文字列 なし はい イベントに追加する VirusTotal レポートへのリンクを指定します。
コメント 文字列 なし いいえ イベントに追加するコメントを指定します。
検出率 文字列 なし いいえ イベントに追加する検出率を指定します。
コミュニティ スコア 文字列 なし いいえ イベントに追加するコミュニティ スコアを指定します。
最初の送信 文字列 なし いいえ

イベントの最初の送信を指定します。
形式: 2020-12-22T13:07:32Z
最終送信 文字列 なし いいえ

イベントの最後の送信を指定します。
形式: 2020-12-22T13:07:32Z

実行

このアクションはすべてのエンティティに対して実行されます。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

成功した場合 : "Successfully created new Virustotal-Report object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

成功しなかった場合 : 「アクションは、MISP で {0} {1} を含むイベントの Virustotal-Report オブジェクトを作成できませんでした。理由: {2}」.format(ID/UUID)

重大なエラー（アクションの失敗） 「アクション「Create Virustotal-Report Misp Object」の実行中にエラーが発生しました。理由: {0}」.format(stacktrace)

イベント ID が見つからない（アクションの失敗） 「アクション「Create Virustotal-Report Misp Object」の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

イベント オブジェクトを一覧表示する

MISP イベントで使用可能なオブジェクトに関する情報を取得します。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
イベント ID 文字列 なし はい 詳細を取得するイベントの ID と UUID のカンマ区切りのリストを指定します。
返されるオブジェクトの最大数 Integer 50 いいえ 返されるオブジェクトの数を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
"Object": [
    {
        "id": "1",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "2a3e260f-d3b2-4164-b2b1-2f6f5b559970",
        "timestamp": "1594632232",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    },
    {
        "id": "2",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "800d8634-175a-4bc2-a4d7-aca200c8c132",
        "timestamp": "1594632463",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    }
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

1 つのイベントに対して少なくとも 1 つのオブジェクトが見つかった場合: 「次のイベントのオブジェクトが正常に一覧表示されました: \n{0}」.format(event_ids)

指定された ID のイベントが見つからなかった場合（is_success = false）:
「アクションでオブジェクトを一覧表示できませんでした。Reason: Event with ID {0} was not found in MISP」.format(event_id)

1 つのイベントでオブジェクトが見つからない場合:

"Action wasn't able to find objects for the following events:\n {0}".format(event_ids)

すべてのイベントでオブジェクトが見つからなかった場合: 「指定されたイベントのオブジェクトが見つかりませんでした。」

アクションが失敗し、ハンドブックの実行が停止します。

認証情報が誤っている、サーバーへの接続がないなど、致命的なエラーの場合、その他:

「エラー実行アクション「イベント オブジェクトの一覧表示」」を出力します。理由: {0}」.format(error.Stacktrace)

 全般
CSV テーブル

テーブル名: イベント {0} オブジェクト

テーブル列:

  • オブジェクト UUID（uuid としてマッピング）
  • 名前（name としてマッピング）
  • カテゴリ（メタカテゴリとしてマッピング）
  • 説明（description としてマッピング）
  • コメント（comment としてマッピング）

イベントの詳細を取得する

MISP のイベントに関する詳細を取得します。

パラメータ

パラメータの表示名 種類 必須 説明
イベント ID 文字列 はい 詳細を取得するイベントの ID または UUID のカンマ区切りのリストを指定します。
属性情報を返す チェックボックス オン 有効にすると、イベントの一部であるすべての属性に対してケースウォール テーブルが作成されます。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

指定された ID の少なくとも 1 つに対してアクションが正常に完了した場合:

「Successfully retrieved information for the following events: <>」と出力します。

指定されたインシデント ID の少なくとも 1 つに対してアクションの実行に失敗した場合:

「次のイベントの情報を取得できませんでした: <>」と出力します。

アクションが失敗し、ハンドブックの実行が停止します:
認証情報が間違っている、接続できない、その他など、致命的なエラー、SDK エラーが発生した場合:
「アクション「イベントの詳細の取得」の実行エラー。理由: {0}」.format(error.Stacktrace

アクションが失敗し、ハンドブックの実行が停止します。

認証情報が誤っている、サーバーへの接続がないなど、致命的なエラーの場合、その他:

「エラー実行アクション「イベント オブジェクトの一覧表示」」を出力します。理由: {0}」.format(error.Stacktrace)

 全般
CSV テーブル

テーブル名: イベント {0} 属性の詳細".format(event_id)

列:

  1. ID
  2. 値
  3. コメント
  4. 種類
  5. カテゴリ
  6. UUID
  7. 分布
  8. タイムスタンプ

属性のサイトを一覧表示する

MISP の属性で使用可能なサイトを一覧表示します。

パラメータ

検索
パラメータ名 種類 デフォルト値 必須 説明
属性名 CSV いいえ サイトを一覧表示する属性識別子のカンマ区切りのリストを指定します。注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。
イベント ID 文字列 いいえ イベントの ID または UUID を指定します。ここで属性を検索します。「属性検索」が「指定されたイベント」に設定されている場合、このパラメータは必須です。
カテゴリ CSV いいえ カテゴリのカンマ区切りリストを指定します。指定した場合、アクションは、一致するカテゴリを持つ属性のサイトのみを一覧表示します。何も指定しない場合、アクションは属性のカテゴリを無視します。有効な値: 外部分析、ペイロード配信、アーティファクトのドロップ、ペイロードのインストール。
種類 CSV いいえ 属性タイプのカンマ区切りのリストを指定します。指定すると、アクションは、一致する属性タイプを持つ属性のサイトのみを一覧表示します。何も指定しない場合、アクションは属性のタイプを無視します。値の例: md5、sha1、ip-src、ip-dst
属性検索 DDL

提供されたイベント

値は次のいずれかです。

すべての予定

 はい アクションが属性を検索する場所を指定します。[Provided Event] が選択されている場合、アクションは「Event ID」パラメータで指定された ID / UUID を持つイベント内の属性または属性 UUID のみを検索します。「All Events」の場合、アクションはすべてのイベントの属性を検索し、条件に一致するすべての属性の検出結果を一覧表示します。
属性 UUID CSV いいえ サイトを一覧表示する属性 UUID のカンマ区切りのリストを指定します。注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。
アクションの結果
スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
Case Wall
結果のタイプ 値 / 説明 種類
出力メッセージ *

少なくとも 1 つの属性に対してサイトが正常に一覧表示された場合: 「MISP の次の属性に対してサイトが正常に一覧表示されました:\n{0}」.format(属性名/属性 UUID)

少なくとも 1 つの属性のサイトを正常に一覧表示できなかった場合: 「アクションは、MISP の次の属性のサイトを一覧表示しませんでした:\n{0}」.format(属性名/属性 UUID)

すべての属性で成功しなかった場合、またはすべての属性でサイトが見つからなかった場合:「MISP で指定された属性のサイトが見つかりませんでした」

重大なエラー（アクションの失敗） 「アクション「属性のサイトの一覧表示」の実行エラー。理由: {0}」.format(stacktrace)

「カテゴリ」に無効なパラメータが指定されている場合（アクションの失敗）: 「アクション「属性のサイトの一覧表示」の実行エラー。理由: パラメータ「カテゴリ」に無効な値が指定されました。有効な値: External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

[提供されたイベント] が選択されているが、イベント ID が選択されていない場合: 「アクション「属性のサイトの一覧表示」の実行エラー。理由: パラメータ「属性検索」で「提供されたイベント」が選択されている場合は、イベント ID を指定する必要があります。

 全般

属性の IDS フラグを設定する

MISP の属性に IDS フラグを設定します。

パラメータ

検索
パラメータ名 種類 デフォルト値 必須 説明
属性名 CSV いいえ IDS フラグを設定する属性識別子のカンマ区切りのリストを指定します。注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。
イベント ID 文字列 いいえ イベントの ID または UUID を指定します。ここで属性を検索します。「属性検索」が「指定されたイベント」に設定されている場合、このパラメータは必須です。
カテゴリ CSV いいえ カテゴリのカンマ区切りリストを指定します。指定した場合、アクションは、一致するカテゴリを持つ属性にのみ IDS フラグを設定します。何も指定しない場合、アクションは属性のカテゴリを無視します。有効な値: 外部分析、ペイロード配信、アーティファクトのドロップ、ペイロードのインストール。
種類 CSV いいえ 属性タイプのカンマ区切りのリストを指定します。指定すると、アクションは、一致する属性タイプを持つ属性にのみ IDS フラグを設定します。何も指定しない場合、アクションは属性のタイプを無視します。値の例: md5、sha1、ip-src、ip-dst
属性検索 DDL

提供されたイベント

値は次のいずれかです。

すべての予定

 はい アクションが属性を検索する場所を指定します。[Provided Event] が選択されている場合、アクションは「Event ID」パラメータで指定された ID / UUID を持つイベント内の属性または属性 UUID のみを検索します。[All Events] の場合、アクションはすべてのイベントの属性を検索し、条件に一致するすべての属性に IDS フラグを設定します。
属性 UUID CSV いいえ

IDS フラグを設定する属性 UUID のカンマ区切りのリストを指定します。
注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
success True/False success:False
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

少なくとも 1 つの属性に IDS フラグが正常に追加された場合: 「MISP の次の属性に IDS フラグが正常に設定されました:\n{0}」.format(属性名/オブジェクト UUID)

少なくとも 1 つの属性に IDS フラグが正常に追加されなかった場合: 「アクションは MISP の次の属性に IDS フラグを設定しませんでした:\n{0}」.format(属性名/オブジェクト UUID)

すべてで成功しなかった場合:「MISP で指定された属性に IDS フラグが設定されていません」

重大なエラー（アクションの失敗） 「アクション「属性の IDS フラグを設定」の実行エラー。理由: {0}」.format(stacktrace)

「カテゴリ」に無効なパラメータが指定されている場合（アクションの失敗）: 「アクション「属性の IDS フラグを設定」の実行エラー。理由: パラメータ「カテゴリ」に無効な値が指定されました。有効な値: External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

[Provided Event] が選択されているが、イベント ID が選択されていない場合: 「アクション「属性の IDS フラグの設定」の実行エラー。理由: パラメータ「属性検索」で「提供されたイベント」が選択されている場合は、イベント ID を指定する必要があります。

イベント ID が見つからない（アクションが失敗） 「"属性の IDS フラグを設定"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

属性の IDS フラグを解除する

MISP の属性の IDS フラグを解除します。

パラメータ

Name 種類 デフォルト値 必須 説明
属性名 CSV いいえ

IDS フラグの設定を解除する属性識別子のカンマ区切りのリストを指定します。
注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。
イベント ID 文字列 いいえ イベントの ID または UUID を指定します。ここで属性を検索します。「属性検索」が「指定されたイベント」に設定されている場合、このパラメータは必須です。
カテゴリ CSV いいえ カテゴリのカンマ区切りリストを指定します。指定すると、一致するカテゴリを持つ属性の IDS フラグのみがアクションによって解除されます。何も指定しない場合、アクションは属性のカテゴリを無視します。有効な値: 外部分析、ペイロード配信、アーティファクトのドロップ、ペイロードのインストール。
種類 CSV いいえ 属性タイプのカンマ区切りのリストを指定します。指定した場合、アクションは、一致する属性タイプを持つ属性の IDS フラグのみを解除します。何も指定しない場合、アクションは属性のタイプを無視します。値の例: md5、sha1、ip-src、ip-dst
属性検索 DDL

提供されたイベント

値は次のいずれかです。

すべての予定

 正しい アクションが属性を検索する場所を指定します。[Provided Event] が選択されている場合、アクションは [Event ID] パラメータで指定された ID / UUID を持つイベント内の属性または属性 UUID のみを検索します。[すべてのイベント] の場合、アクションはすべてのイベントの属性を検索し、条件に一致するすべての属性の IDS フラグの設定を解除します。
属性 UUID CSV いいえ IDS フラグの設定を解除する属性 UUID のカンマ区切りのリストを指定します。注: 「属性名」と「属性 UUID」の両方が指定されている場合、アクションは「属性 UUID」の値で動作します。

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
success True/False success:False
ケースウォール
結果のタイプ 値の説明 種類
出力メッセージ *

少なくとも 1 つの属性の IDS フラグが正常に削除された場合: 「MISP の次の属性の IDS フラグが正常に設定解除されました: {0}」.format(属性名/オブジェクト UUID)

少なくとも 1 つの属性の IDS フラグが正常に削除されなかった場合: 「アクションは MISP の次の属性の IDS フラグを設定解除しませんでした: {0}」.format(属性名/オブジェクト UUID)

すべてで成功しなかった場合:「MISP で指定された属性の IDS フラグが設定解除されませんでした」

重大なエラー（アクションの失敗） 「アクション「属性の IDS フラグの設定を解除」の実行エラー。理由: {0}」.format(stacktrace)

「カテゴリ」に無効なパラメータが指定されている場合（アクションの失敗）: 「アクション「属性の IDS フラグの設定解除」の実行エラー。理由: パラメータ「カテゴリ」に無効な値が指定されました。有効な値: External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

[Provided Event] が選択されているが、イベント ID が選択されていない場合: 「アクション「属性の IDS フラグの設定解除」の実行エラー。理由: パラメータ「属性検索」で「提供されたイベント」が選択されている場合は、イベント ID を指定する必要があります。

イベント ID が見つからない（アクションが失敗） 「"属性の IDS フラグを解除"という操作の実行中にエラーが発生しました。理由: {0} {1} のイベントが MISP で見つかりませんでした」.format(ID/UUID, event_id)

 全般

コネクタ

Google SecOps でコネクタを構成する方法については、データを取り込む（コネクタ）をご覧ください。

MISP - 属性コネクタ

MISP から属性を pull します。

Google SecOps で MISP - Attributes コネクタを構成する

Google SecOps でコネクタを構成する方法の詳細については、コネクタの構成をご覧ください。

コネクタ パラメータ

次のパラメータを使用してコネクタを構成します。

パラメータ名 種類 デフォルト値 必須 説明
DeviceProductField 文字列 プロダクト名 ○ ソース フィールド名を入力してプロダクト フィールド名を取得します。
EventClassId 文字列 alertType ○ ソース フィールド名を入力してイベント フィールド名を取得します。
PythonProcessTimeout Integer 180 はい 現在のスクリプトを実行している Python プロセスのタイムアウト上限。
API ルート 文字列 なし はい MISP アカウントの API ルート。
API キー パスワード はい MISP アカウントの API キー。
遡る取得の最大時間数 整数 1 いいえ 属性を取得する時点からの時間数。
サイクルあたりの最大属性数 Integer 50 はい 1 回のコネクタのイテレーションで処理する属性の数。
取得する最も低い脅威レベル Integer 1 はい アラートの取得に使用される最も低い重大度。有効な値: 1 ～ 4。
属性タイプ フィルタ 文字列 いいえ 属性をタイプでフィルタします（カンマ区切り）。指定した場合、許可リストに登録されたタイプの属性のみが処理されます。
カテゴリ フィルタ 文字列 いいえ 属性をカテゴリでフィルタします（カンマ区切り）。指定すると、許可リストに登録されたカテゴリの属性のみが処理されます。
Galaxy フィルタ 文字列 いいえ 親イベントのギャラクシーで属性をフィルタします（カンマ区切り）。指定すると、許可リストに登録された銀河を含むイベントに属する属性のみが処理されます。
SSL を確認する チェックボックス はい 有効になっている場合は、CheckPoint Cloud Guard サーバーへの接続用の SSL 証明書が有効であることを確認します。
環境フィールド名 文字列 いいえ 環境名が保存されるフィールドの名前を記述します。環境フィールドがない場合、その環境がデフォルトの環境です。
環境の正規表現パターン 文字列 .* いいえ [環境フィールド名] フィールドで見つかった値に対して実行する正規表現パターン。デフォルトは、すべてキャッチして値を変更せずに返す .* です。ユーザーが正規表現ロジックで環境フィールドを操作できるようにするために使用されます。正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
プロキシ サーバーのアドレス 文字列 いいえ 使用するプロキシ サーバーのアドレス。
プロキシのユーザー名 文字列 いいえ 認証に使用するプロキシのユーザー名。
プロキシ パスワード パスワード いいえ 認証に使用するプロキシ パスワード。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。