将 MISP 与 Google SecOps 集成

本文档介绍了如何将 MISP 与 Google Security Operations 集成。

使用场景

MISP 集成使用 Google SecOps 功能来支持以下用例：

  • 丰富失陷指标：自动从 MISP 实例中检索网址、主机名、IP 地址和文件哈希的上下文，以识别已知的恶意方。

  • 自动创建和共享事件：直接通过 playbook 创建新的 MISP 事件，并将其发布到共享群组，以便向安全社区发出新威胁警报。

  • 管理事件分类：动态添加或移除事件和属性中的标签，以维护准确且最新的威胁形势。

  • 调查相关威胁：搜索和检索与特定实体相关的事件信息，以了解正在进行的调查的更广泛范围。

  • 分析可疑文件：将文件上传到 MISP 事件以进行协作分析，或下载现有事件附件以进行内部沙盒评估。

准备工作

在 Google SecOps 平台中配置集成之前，请验证您的 MISP 环境是否满足以下要求：

  • MISP API 密钥：您必须拥有有效的自动化密钥才能对连接进行身份验证。您可以从 MISP 界面中的事件操作菜单获取此信息。 如需了解详情，请参阅自动化和 MISP API。

  • API 根地址：确保您有 MISP 实例的 IP 地址或主机名可供配置。

  • 可选：CA 证书：如果您的环境需要使用特定证书进行 SSL 验证，请确保您有可用的 CA 证书文件。在配置期间，您必须以 Base64 编码字符串的形式提供此值。

  • 集成版本：验证您运行的是最新版本的 MISP 集成，以确保支持所有操作和参数。

集成参数

使用以下参数配置集成：

参数显示名称 类型 默认值 为必填项 说明
API 根 字符串 https://<IP> 是 MISP 实例的地址。
API 密钥 字符串 不适用 是 在 MISP 控制台中生成。
Use SSL（使用 SSL） 复选框 尚未核查 否 如果您的 MISP 连接需要 SSL 验证，请勾选此复选框（默认情况下处于未勾选状态）。
远程运行 复选框 尚未核查 否 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

添加特性

将实体作为属性添加到 MISP 事件。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 事件的 ID。
类别 字符串 外部 否 属性的类别。默认：外部。
分布 字符串 1 否 属性的分布。默认值：1。
对于入侵检测系统 复选框 尚未核查 否 该属性是否用于 Intrusion Detection System。默认值：false。
评论 字符串 不适用 否 要添加到属性的注释。

使用场景

不适用

运行时间

此操作将在以下实体上运行：

  • 网址
  • 主机名
  • IP 地址
  • Filehash

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
N/A

创建事件

创建新的 MISP 事件。

已知限制

目前，MISP API 不允许在创建事件后立即发布事件。您需要先创建一个事件，然后使用“发布事件”操作。

参数

参数显示名称 类型 默认值 为必填项 说明
事件名称 字符串 不适用 是 事件的名称。
威胁级别 字符串 0 否 事件的威胁级别。默认值：0。
分布 字符串 1 否 属性的分布。默认值：1。
分析 字符串 0 否 事件的分析级别 [0-2]：默认值为 0。
发布 复选框 勾选 否 是否发布活动。
评论 字符串 不适用 否 活动的评论。

运行时间

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
event_id 不适用 不适用

为活动添加标签

“向事件添加标记”操作允许用户向 MISP 中的特定事件添加标记。这会根据与事件关联的 IOC 构成的安全威胁类别，向事件添加分类。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要添加标签的事件的唯一标识符。
标记名称 字符串 不适用 是 要添加到事件的标记的名称。

使用场景

对事件进行分类：通过添加标记来更新事件。

运行时间

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "saved": true,
        "success": "Tag(s) added.",
        "check_publish": true
    }
]

下载文件

下载 MISP 中与事件相关的文件。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 否 指定要从中下载文件的事件的 ID 或 UUID
下载文件夹路径 字符串 不适用

指定文件夹的绝对路径，该文件夹应存储文件。如果未指定任何内容，操作将改为创建附件。
注意：只有为此参数提供适当的值时，JSON 结果才可用。
覆盖 复选框 尚未核查 如果启用，操作将覆盖现有文件。

运行时间

此操作在 Filehash 实体上运行。

操作执行结果
脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
{

"absolute_paths": ["/etc/file1.txt", "/etc/file2.txt"]

}
案例墙
结果类型 值的说明 类型
输出消息*

如果成功： "Successfully downloaded the following files from the event with {0} {1} in MISP:\n{2}".format(ID/UUID, event_id, result/filename from the response)

如果未找到任何文件：“No files were found for the event with {0} {1} in MISP:\n{2}”。format(ID/UUID, event_id)

如果未指定“下载文件夹路径”，并且部分文件超出了平台对附件的大小限制：“操作无法下载以下文件，因为它们超出了 3 MB 的大小限制：\n {0}。\n 请在“下载文件夹路径”参数中指定文件夹路径，以便下载这些文件。”(result/filename)

严重错误（操作失败）“执行‘下载文件’操作时出错。Reason: {0}".format(stacktrace)

找不到事件 ID（失败操作）“执行‘下载文件’操作时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

如果 overwrite 为 false 且其中一个文件已存在：“Error executing action "Download File". 原因：以下文件已存在：{0}。Please remove them or set parameter "Overwrite" to true.".format(absolute path to the file)

 常规

丰富实体

根据 MISP 中的属性丰富实体。

参数

参数显示名称 类型 默认值 说明
要返回的属性数量 字符串 不适用 指定要为实体返回的属性数量。
过滤条件 指定操作的过滤条件。如果选择“最后”，操作将使用最旧的属性进行丰富；如果选择“最先”，操作将使用最新的属性进行丰富。
威胁级别阈值 DDL

低

可能的值：

高

中

低

未定义

 指定发现实体的事件的威胁级别阈值。如果相关事件超出或达到阈值，实体将被标记为可疑。
属性搜索限制 整数 50 指定要为每个实体搜索多少个属性。此参数会影响选择哪个属性进行丰富。默认值：50。

运行时间

此操作将在以下实体上运行：

  • 网址
  • 主机名
  • IP 地址
  • Filehash
操作执行结果
实体丰富化

如果事件的威胁级别超过 0，实体会被标记为可疑。 否则：False

脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
案例墙
结果类型 值的说明 类型
输出消息*

对于找到的属性：(is_success=true) "Successfully enriched the following entities using MISP: \n{0}".format(entity.identifier)

对于未找到的属性 (is_success=true) "Action wasn't able to enrich the following entities using MISP: \n{0}".format(entity.identifier)

如果未找到所有属性 (is_success=false)：“未通过 MISP 丰富任何实体”

If attributes are suspicious (is_success=true) "The following attributes were marked as suspicious using MISP: \n {0}".format(entity.identifier)

 常规
CSV 表格

表列：

  • ID
  • 事件 ID
  • 类别
  • 类型
  • UUID
  • 时间戳
  • 分布
  • IDS

检索与 MISP 中的实体相关的事件的信息。

参数

参数显示名称 类型 默认值 说明
标记为可疑 复选框 勾选 如果启用，当实体至少有一个相关事件时，操作会将实体标记为可疑。

运行时间

此操作将在以下实体上运行：

  • 网址
  • 主机名
  • IP 地址
  • Filehash

操作执行结果

实体丰富化

如果相关事件的记录可用，则实体会被标记为可疑。否则：False。

扩充项字段名称 逻辑 - 适用场景
事件 如果存在于 JSON 结果中，则返回
脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
案例墙
结果类型 值的说明 类型
输出消息*

如果至少一个实体找到了一个事件：“Successfully retrieved information about the related events for the following entities: \n{0}”。format(entity.identifier)

如果至少有一个实体未找到任何事件：“Action wasn't able to retrieve information about the related events for the following entities: \n{0}”。format(entity.identifier

如果所有实体都没有事件：“未找到与所提供实体相关的事件。”

 常规

上传文件

将文件上传到 MISP 事件。

参数

名称 类型 默认值 说明
事件 ID 字符串 不适用 指定要将此文件上传到的活动的 ID 或 UUID。
文件路径 字符串 不适用 指定要上传到 MISP 的文件的绝对文件路径（以英文逗号分隔）。
类别 指定上传文件的类别。可能的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。
分布 字符串 社区

指定上传文件的分发方式。
可能的值：0 - 组织，1 - 社区，2 - 已连接，3 - 全部。您可以提供数字或字符串。
威胁级别 字符串 高

指定上传文件的威胁级别。
可能的值：1 - 高、2 - 中、3 - 低、4 - 未定义。您可以提供数字或字符串。
分析 字符串 初始

指定事件的分析。
可能的值：0 - 初始、1 - 正在进行、2 - 已完成。您可以提供数字或字符串。
信息 字符串 不适用 为上传的文件指定其他信息。
对于入侵检测系统 复选框 尚未核查 如果启用，上传的文件将用于入侵检测系统。
评论 字符串 不适用 指定与上传的文件相关的其他评论。
操作执行结果
脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
{
    "Event": {
        "id": "106",
        "orgc_id": "1",
        "org_id": "1",
        "date": "2021-01-15",
        "threat_level_id": "1",
        "info": "vanuhi 1015",
        "published": false,
        "uuid": "1cd22aa2-57e8-4fc8-bac6-721c1be2c27d",
        "attribute_count": "10",
        "analysis": "0",
        "timestamp": "1610893968",
        "distribution": "1",
        "proposal_email_lock": false,
        "locked": false,
        "publish_timestamp": "0",
        "sharing_group_id": "0",
        "disable_correlation": false,
        "extends_uuid": "",
        "event_creator_email": "admin@admin.test",
        "Org": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Orgc": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Attribute": [],
        "ShadowAttribute": [],
"Object": [
            {
                "id": "446",
                "name": "file",
                "meta-category": "file",
                "description": "File object describing a file with meta-information",
                "template_uuid": "688c46fb-5edb-40a3-8273-1af7923e2215",
                "template_version": "20",
                "event_id": "106",
                "uuid": "0188ba5d-68eb-4b5c-8e05-6fd49f8eee9a",
                "timestamp": "1610691647",
                "distribution": "1",
                "sharing_group_id": "0",
                "comment": "",
                "deleted": false,
                "first_seen": null,
                "last_seen": null,
                "ObjectReference": [],
                "Attribute": [
                    {
                        "id": "1859",
                        "type": "malware-sample",
                        "category": "External analysis",
                        "to_ids": true,
                        "uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138",
                        "event_id": "106",
                        "distribution": "1",
                        "timestamp": "1610703650",
                        "comment": "",
                        "sharing_group_id": "0",
                        "deleted": false,
                        "disable_correlation": false,
                        "object_id": "446",
                        "object_relation": "malware-sample",
                        "first_seen": null,
                        "last_seen": null,
                        "value": "vanuhi.txt|7bd55b0a276e076cbaf470e64359adb8",
                        "Galaxy": [],
                        "data": "UEsDBAoACQAAAJgyL1Kgt+vZDwAAAAMAAAAgABwAN2JkNTViMGEyNzZlMDc2Y2JhZjQ3MGU2NDM1OWFkYjhVVAkAAz80AWA/NAFgdXgLAAEEIQAAAAQhAAAADCVIVuu0HeIv/PqGdn5EUEsHCKC369kPAAAAAwAAAFBLAwQKAAkAAACYMi9SGoPq+xYAAAAKAAAALQAcADdiZDU1YjBhMjc2ZTA3NmNiYWY0NzBlNjQzNTlhZGI4LmZpbGVuYW1lLnR4dFVUCQADPzQBYD80AWB1eAsAAQQhAAAABCEAAABLQfOZfPB0svIGywREZ5dDLdomR6gPUEsHCBqD6vsWAAAACgAAAFBLAQIeAwoACQAAAJgyL1Kgt+vZDwAAAAMAAAAgABgAAAAAAAEAAACkgQAAAAA3YmQ1NWIwYTI3NmUwNzZjYmFmNDcwZTY0MzU5YWRiOFVUBQADPzQBYHV4CwABBCEAAAAEIQAAAFBLAQIeAwoACQAAAJgyL1Iag+r7FgAAAAoAAAAtABgAAAAAAAEAAACkgXkAAAA3YmQ1NWIwYTI3NmUwNzZjYmFmNDcwZTY0MzU5YWRiOC5maWxlbmFtZS50eHRVVAUAAz80AWB1eAsAAQQhAAAABCEAAABQSwUGAAAAAAIAAgDZAAAABgEAAAAA",
                        "ShadowAttribute": [],
                        "Sighting": [
                            {
                                "id": "1733",
                                "attribute_id": "1859",
                                "event_id": "106",
                                "org_id": "1",
                                "date_sighting": "1611207638",
                                "uuid": "feb085f1-1923-4327-a73d-b60a948377e4",
                                "source": "",
                                "type": "0",
                                "Organisation": {
                                    "id": "1",
                                    "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
                                    "name": "ORGNAME"
                                },
                                "attribute_uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138"
                            }
                        ]
                    }
            }
    }
}
案例墙
结果类型 值/说明 类型
输出消息*

如果一个实体成功："Succesfully uploaded the provided files to the event {0} in MISP".format(event_id)

严重错误（操作失败）“执行‘上传文件’操作时出错。Reason: {0}".format(stacktrace)

如果在“Distribution”中指定了无效参数（失败操作）：

“执行‘上传文件’操作时出错。原因：为“Distribution”参数提供的值无效。可接受的数字：0、1、2、3。可接受的字符串：Organisation、Community、Connected、All”。

如果在“威胁级别”（失败操作）中指定了无效参数：“执行操作‘上传文件’时出错。原因：为“威胁级别”参数提供的值无效。可接受的数字：1、2、3、4。可接受的字符串：High、Medium、Low、Undefined”。

如果在“类别”中指定了无效参数（失败操作）：“执行‘上传文件’操作时出错。原因：为“类别”参数提供的值无效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果在“分析”中指定了无效参数（失败操作）：“执行操作‘上传文件’时出错。原因：为“分析”参数提供的值无效。可接受的数字：0、1、2。可接受的字符串：Initial、Ongoing、Completed”。

如果至少有一个文件不可用：“执行‘上传文件’操作时出错。原因：无法访问以下文件：\n {0}”。format（无法访问的文件路径。）

找不到事件 ID（失败操作）“执行操作‘上传文件’时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

Ping

测试连接。

参数

不适用

使用场景

不适用

运行时间

此操作会在所有实体上运行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
JSON 结果
N/A

从事件中移除标记

从 MISP 中的事件中移除标签。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要从中移除标签的事件的 ID 或 UUID。
标记名称 CSV 不适用 是 指定要从事件中移除的逗号分隔列表标记。

使用场景

重新分类事件：移除标签以重新分类。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "saved": true,
        "success": "Tag removed.",
        "check_publish": true
    }
]
案例墙
结果类型 值/说明 类型
输出消息*

如果成功从事件中移除所有标记：“Successfully removed the following tags from the event with {0} {1} in MISP: {2}.”。format(ID/UUID, event_id, tags)

如果未能成功从事件中移除某些标签：“操作未能从 MISP 中具有 {0} {1} 的事件中移除以下标签：{2}。”。format(ID/UUID, event_id, tags)

如果并非所有操作都成功：“No tags were removed from the event with {0} {1} in MISP”.format(ID/UUID, event_id)

如果至少有一个标记未找到：“The following tags were not found in MISP: \n{0}”。format（在 MISP 中未找到的标记列表）

如果未找到任何标记：“在 MISP 中未找到任何提供的标记。”

严重错误（操作失败）“执行‘从事件中移除标签’操作时出错。Reason: {0}".format(stacktrace)

找不到事件 ID（操作失败）“执行‘从事件中移除标记’操作时出错。Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)

 常规

为属性添加标签

此操作允许用户向 MISP 中的特定属性添加标记。这会根据属性中 IOC 构成的安全威胁类别向属性添加分类。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 整数 不适用 是 与该属性关联的事件的标识符。示例：1。
标记名称 字符串 不适用 是 要添加到属性的标记的名称。
属性名称 字符串 不适用 是 要标记的属性的名称标识符。
类别 字符串 不适用 是 属性所属的类别。例如，载荷传送。
类型 字符串 不适用 是 属性的类型，例如文件名。
对象 UUID 字符串 不适用 否 事件中对象的唯一标识符。

使用场景

根据 IOC 类型对属性进行分类：为属性添加标记。

运行时间

此操作会在所有实体上运行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "name": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "message": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "url": "/tags/attachTagToObject"
    }
]

从属性中移除标记

从 MISP 中的属性中移除标签。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 否 指定事件的 ID 或 UUID，以及在何处搜索属性。如果“属性搜索”设置为“提供的事件”，则此参数是必需的。
标记名称 CSV 不适用 是 指定要从属性中移除的逗号分隔列表标签。
属性名称 CSV 不适用 否

指定要从中移除标签的属性标识符的逗号分隔列表。
注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。
类别 CSV 不适用 否

指定以英文逗号分隔的类别列表。如果指定了此参数，则操作只会从具有匹配类别的属性中移除标签。如果未指定任何内容，操作将忽略属性中的类别。
可能的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。
类型 CSV 不适用 否

指定以英文逗号分隔的属性类型列表。如果指定，操作将仅从具有匹配属性类型的属性中移除标记。如果未指定任何内容，操作将忽略属性中的类型。
示例值：md5、sha1、ip-src、ip-dst
对象 UUID CSV 不适用 指定包含所需属性的对象的 UUID。
属性搜索 DDL

提供的事件

可能的值：

所有事件

提供的事件

 是 指定操作应在何处搜索属性。如果选择“提供的事件”，操作将仅在事件中搜索具有“事件 ID”参数中提供的 ID/UUID 的属性或属性 UUID。如果选择“所有事件”，则操作会在所有事件中搜索属性，并从符合我们条件的所有属性中移除标签。
属性 UUID CSV 指定要从中移除新标签的属性 UUID 逗号分隔列表。注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。

使用场景

重新分类属性：移除标记以重新分类

运行时间

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "name": "Tag unique___test(7) successfully removed from Attribute(9).",
        "message": "Tag unique___test(7) successfully removed from Attribute(9).",
        "url": "/tags/removeTagFromObject"
    }
]
案例墙
结果类型 值/说明 Type>
输出消息*

如果成功从至少一个属性中移除了标签：“Successfully removed tags from the following attributes in MISP: {0}”。format(属性名称/object UUID)

如果未能成功从至少一个属性中移除标签：“Action didn't removed tags from the following attributes in MISP:\n{0}”。format（属性名称/对象 UUID）

如果并非所有属性都成功移除：“未从 MISP 中提供的属性中移除任何标签”

如果至少有一个标记未找到：“The following tags were not found in MISP: \n{0}”。format（在 MISP 中未找到的标记列表）

如果未找到任何标记：“在 MISP 中未找到任何提供的标记。”

严重错误（操作失败）“执行‘从属性中移除标记’操作时出错。Reason: {0}".format(stacktrace)

如果在“类别”中指定了无效参数（失败操作）：“执行操作‘从属性中移除标记’时出错。原因：为“类别”参数提供的值无效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果选择了“提供的事件”，但未选择事件 ID：“执行‘从属性中移除标记’操作时出错。原因：如果为“属性搜索”参数选择了“提供的事件”，则需要提供事件 ID。

找不到事件 ID（操作失败）“执行‘从属性中移除标记’操作时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

发布活动

该操作允许用户发布事件。发布活动会将其分享到所选的分享群组，让所有成员都能看到。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要发布的事件的 ID 或 UUID。

使用场景

发布活动：

  1. 创建偶数
  2. 添加事件属性
  3. 发布活动

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": true,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
案例墙
结果类型 值/说明 类型
输出消息*

如果成功： "Successfully published event with {0} {1} in MISP.".format(ID/UUID, event_id)

如果未成功：“Event with {0} {1} was not published in MISP”.format(ID/UUID, event_id)

严重错误（操作失败）“执行‘发布事件’操作时出错。Reason: {0}".format(stacktrace)

找不到事件 ID（操作失败）“执行‘发布事件’操作时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

取消发布活动

此操作允许用户取消发布活动。取消发布活动会阻止共享群组看到该活动。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要取消发布的事件的 ID 或 UUID。
操作执行结果
脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": false,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
案例墙
结果类型 值/说明 类型
输出消息*

如果成功： "Successfully unpublished event with {0} {1} in MISP.".format(ID/UUID, event_id)

如果未成功：“Event with {0} {1} was not unpublished in MISP”.format(ID/UUID, event_id)

严重错误（操作失败）“执行‘取消发布活动’操作时出错。Reason: {0}".format(stacktrace)

找不到事件 ID（失败操作）“执行‘取消发布事件’操作时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

删除属性

删除 MISP 中的属性。支持的哈希：MD5、SHA1、SHA224、SHA256、SHA384、SHA512、SSDeep。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 否 指定事件的 ID 或 UUID，以及在何处搜索属性。如果“属性搜索”设置为“提供的事件”，则此参数是必需的。
属性名称 CSV 不适用 否

指定要删除的属性标识符的逗号分隔列表。
注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。
类别 CSV 不适用 否

指定以英文逗号分隔的类别列表。如果指定，操作将仅删除具有匹配类别的属性。如果未指定任何内容，操作将忽略属性中的类别。
可能的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。
类型 CSV 不适用 否

指定属性类型的逗号分隔列表。如果指定了此参数，操作将仅删除具有匹配属性类型的属性。如果未指定任何内容，操作将忽略属性中的类型。
示例值：md5、sha1、ip-src、ip-dst
对象 UUID 字符串 不适用 否 事件中对象的唯一标识符。
属性搜索 DDL

提供的事件

可能的值：

所有事件

提供的事件

 是 指定操作应在何处搜索属性。如果选择“提供的事件”，操作将仅在事件中搜索具有“事件 ID”参数中提供的 ID/UUID 的属性或属性 UUID。如果选择“所有事件”，操作将搜索所有事件中的属性，并删除符合条件的所有属性。
属性 UUID CSV

指定要删除的属性 UUID 的逗号分隔列表。
注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。

使用场景

从事件中移除属性。

运行时间

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "message": "Attribute deleted."
    }
]
案例墙
结果类型 值的说明 类型
输出消息*

如果成功将 Sighting 添加到至少一个属性：“Successfully deleted the following attributes in MISP: {0}”。format(属性名称/对象 UUID)

如果未能成功将 Sighting 添加到至少一个属性： "Action didn't delete the following attributes in MISP:\n{0}".format(属性名称/对象 UUID)

如果并非全部成功：“MISP 中未删除任何属性”

严重错误（操作失败）“执行‘删除属性’操作时出错。Reason: {0}".format(stacktrace)

如果在“类别”中指定了无效参数（失败操作）：“执行操作‘删除属性’时出错。原因：为“类别”参数提供的值无效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果选择了“提供的事件”，但未选择“事件 ID”：“执行‘删除属性’操作时出错。原因：如果为“属性搜索”参数选择了“提供的事件”，则需要提供事件 ID。

找不到事件 ID（操作失败）“执行‘删除属性’操作时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

删除活动

删除 MISP 中的事件。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要删除的事件的 ID 或 UUID。

使用场景

永久删除活动。

运行时间

此操作在 User 实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
[
    {
        "name": "Event deleted.",
        "message": "Event deleted.",
        "url": "/events/delete/4"
    }
]
案例墙
结果类型 值的说明 类型
输出消息*

如果成功：“Successfully deleted event with {0} {1} in MISP”.format(ID/UUID, event_id)

严重错误（操作失败）“执行‘删除活动’操作时出错。Reason: {0}".format(traceback)

找不到事件 ID（操作失败）“执行‘删除活动’操作时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

创建文件 MISP 对象

该操作允许用户将与事件相关的文件属性整理到一个对象中，该对象使用其元信息描述文件。然后，包含这些属性的对象会附加到指定事件。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 要添加对象的事件的唯一标识符。示例：1
文件名 字符串 不适用 否 文件的文件名。
MD5 字符串 不适用 否 文件的 md5 哈希值。
SHA1 字符串 不适用 否 文件的 sha1 哈希值。
SHA256 字符串 不适用 否 文件的 sha256 哈希值。
SSDEEP 字符串 不适用 否 文件的 ssdeep 值。示例：96:p5aAS1tN0M3t9AnTNuG6TNOt5PR1TNZdkljOXTNSnKTF3X7KsTFW+kLtW6K8i7bI:p5mb4rgQhRp7GljCbF3LKqFjkwxtU
Imphash 字符串 不适用 否 根据导入的表计算得出的 MD5 哈希值。

使用场景

不适用

运行时间

此操作会在所有实体上运行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
N/A

创建 IP-Port Misp 对象

该操作允许用户将与事件相关的 IP 端口属性整理到一个对象中，该对象描述了在特定时间范围内被视为元组（或三元组）的 IP 地址（或网域或主机名）和端口。然后，具有这些属性的对象会附加到指定事件。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 要添加对象的事件的唯一标识符。示例：1
Dst-port 字符串 不适用 否 目标端口。
Src-port 字符串 不适用 否 来源端口。
网域 字符串 不适用 否 Domain（管理域名）。
主机名 字符串 不适用 否 主机名。
IP-Src 字符串 不适用 否 来源 IP 地址。
IP-Dst 字符串 不适用 否 目标 IP 地址。

使用场景

不适用

运行时间

此操作会在所有实体上运行。

操作执行结果

实体丰富化

不适用

数据分析

不适用

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
N/A

创建网络连接 MISP 对象

在 MISP 中创建 network-connection 对象。需要提供以下其中一项：Dst-port、Src-port、IP-Src、IP-Dst，或将“Use Entities”参数设置为 true。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要向其添加网络连接对象的事件的 ID 或 UUID。
Dst-port 字符串 不适用 否 指定要添加到事件中的目标端口。
Src-port 字符串 不适用 否 指定要添加到事件中的源端口。
Hostname-dst 字符串 不适用 否 指定要添加到事件中的来源目标。
Hostname-src 字符串 不适用 否 指定要添加到事件中的来源主机名。
IP-Src 字符串 不适用 否 指定要添加到事件中的来源 IP。
IP-Dst 字符串 不适用 否 指定要添加到事件中的目标 IP。
Layer3-protocol 字符串 不适用 否 指定要添加到事件中的相关第 3 层协议。
Layer4-protocol 字符串 不适用 否 指定要添加到事件中的相关第 4 层协议。
Layer7-protocol 字符串 不适用 否 指定要添加到事件中的相关第 7 层协议。
使用实体 复选框 尚未核查 否 如果启用，操作将使用实体来创建对象。支持的实体：IP 地址。“使用实体”的优先级高于其他参数。
IP 类型 DDL

来源 IP

可能的值：

来源 IP

目标 IP 地址

 指定应与 IP 实体搭配使用的属性类型。

运行时间

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
N/A
案例墙
结果类型 值的说明 类型
输出消息*

如果成功且“Use Entities”（使用实体）不为 true：“Successfully created new network-connection object for event with {0} {1} in MISP.”。format(ID/UUID, event_id)

如果未成功且“Use Entities”（使用实体）不为 true：“Action wasn't able to created new network-connection object for event with {0} {1} in MISP. 原因：{2}”。format(ID/UUID)

如果一个成功且“Use Entities”为 true：“Successfully created new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}”。format(ID/UUID, event_id, entity.identifiers)

如果一个操作不成功，且“Use Entities”（使用实体）为 true：“Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}”（操作无法根据以下实体在 MISP 中为事件 {0} {1} 创建新的网络连接对象：\n{0}）。format(ID/UUID, event_id, entity.identifiers)

如果并非所有操作都成功，并且“Use Entities”（使用实体）为 true：“Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the provided entities.”。format(ID/UUID, event_id)

严重错误（操作失败）“执行操作‘创建网络连接 Misp 对象’时出错。Reason: {0}".format(stacktrace)

找不到事件 ID（失败操作）“执行操作‘创建网络连接 Misp 对象’时出错。Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)

如果未提供 Dst-port、Src-port、IP-Src、IP-Dst 中的任何一个，并且“Use Entities”== false：“Error executing action "Create network-connection Misp Object". 原因：应提供“Dst-port”“Src-port”“IP-Src”“IP-Dst”之一，或将“Use Entities”参数设置为 true。

 常规

创建网址 MISP 对象

在 MISP 中创建网址对象。需要提供“网址”或将“使用实体”参数设置为 true。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要向其添加网址对象的事件的 ID 或 UUID。
网址 字符串 不适用 否 指定要添加到活动中的网址。
端口 字符串 不适用 否 指定要添加到事件中的端口。
首次出现时间 字符串 不适用 否

指定首次发现网址的时间。
格式：2020-12-22T13:07:32Z
上次出现时间 字符串 不适用 否

指定上次发现该网址的时间。
格式：2020-12-22T13:07:32Z
网域 字符串 不适用 否 指定要添加到事件中的网域。
文本 字符串 不适用 否 指定要添加到活动中的其他文字。
IP 字符串 不适用 否 指定要添加到事件中的 IP。
主机 字符串 不适用 否 指定要添加到活动中的主持人。
使用实体 复选框 尚未核查 如果启用，操作将使用实体来创建对象。支持的实体：网址。“使用实体”的优先级高于其他参数。

运行时间

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
N/A
案例墙
结果类型 值的说明 类型
输出消息*

如果成功且“Use Entities”（使用实体）不为 true：“Successfully created new URL object for event with {0} {1} in MISP.”。format(ID/UUID, event_id)

如果未成功且“使用实体”不为 true：“操作无法为 MISP 中具有 {0} {1} 的事件创建网址对象。原因：{2}”。format(ID/UUID)

如果一个成功且“Use Entities”（使用实体）为 true：“Successfully created new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}”。format(ID/UUID, event_id, entity.identifiers)

如果一个不成功且“Use Entities”（使用实体）为 true：“Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}”（操作无法根据以下实体在 MISP 中为事件 {0} {1} 创建新的网址对象：\n{0}）。format(ID/UUID, event_id, entity.identifiers)

如果并非所有操作都成功，且“Use Entities”（使用实体）为 true：“Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the provided entities.”。format(ID/UUID, event_id)

严重错误（操作失败）“执行操作‘创建网址 MISP 对象’时出错。Reason: {0}".format(stacktrace)

找不到事件 ID（失败操作）“执行操作‘创建网址 MISP 对象’时出错。Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)

如果未提供任何网址，且“Use Entities”== false：“Error executing action "Create Url Misp Object". 原因：应提供“网址”，或将“使用实体”参数设置为 true。

 常规

创建 Virustotal-Report 对象

在 MISP 中创建 Virustotal-Report 对象。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要向其添加网址对象的事件的 ID 或 UUID。
固定链接 字符串 不适用 是 指定要添加到事件中的 VirusTotal 报告的链接。
评论 字符串 不适用 否 指定要添加到事件中的评论。
检出率 字符串 不适用 否 指定要添加到事件中的检测比率。
社区评分 字符串 不适用 否 指定要添加到活动中的社区得分。
首次提交 字符串 不适用 否

指定事件的首次提交。
格式：2020-12-22T13:07:32Z
上次提交 字符串 不适用 否

指定事件的最后一次提交。
格式：2020-12-22T13:07:32Z

运行时间

此操作会在所有实体上运行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值的说明 类型
输出消息*

如果成功： "Successfully created new Virustotal-Report object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

如果未成功：“操作无法在 MISP 中为具有 {0} {1} 的事件创建 Virustotal-Report 对象。原因：{2}”。format(ID/UUID)

严重错误（操作失败）“执行操作‘创建 Virustotal-Report Misp 对象’时出错。Reason: {0}".format(stacktrace)

找不到事件 ID（失败操作）“执行操作‘创建 Virustotal-Report Misp 对象’时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

列出事件对象

检索 MISP 事件中可用对象的相关信息。

参数

参数显示名称 类型 默认值 为必填项 说明
事件 ID 字符串 不适用 是 指定要检索其详细信息的事件的 ID 和 UUID 逗号分隔列表。
返回的对象数上限 整数 50 否 指定要返回的对象数量。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
JSON 结果
"Object": [
    {
        "id": "1",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "2a3e260f-d3b2-4164-b2b1-2f6f5b559970",
        "timestamp": "1594632232",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    },
    {
        "id": "2",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "800d8634-175a-4bc2-a4d7-aca200c8c132",
        "timestamp": "1594632463",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    }
案例墙
结果类型 值的说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少为 1 个事件找到了对象： "Successfully listed objects for the following events: \n{0}".format(event_ids)

如果未找到具有指定 ID 的事件 (is_success = false)：
print "Action was not able to list objects. Reason: Event with ID {0} was not found in MISP.".format(event_id)

如果未找到与 1 个事件对应的对象：

"Action wasn't able to find objects for the following events:\n {0}".format(event_ids)

如果所有事件均未找到对象：“未找到所提供事件的对象。”

操作应失败并停止 playbook 执行：

如果发生严重错误，例如凭据错误、无法连接到服务器等：

print "Error executing action "List Event Objects". Reason: {0}''.format(error.Stacktrace)

 常规
CSV 表格

表名称：事件 {0} 对象

表列：

  • 对象 UUID（映射为 uuid）
  • Name（映射为 name）
  • 类别（映射为元类别）
  • 说明（映射为说明）
  • 评论（映射为评论）

获取活动详情

检索 MISP 中事件的详细信息。

参数

参数显示名称 类型 为必填项 说明
事件 ID 字符串 是 指定要检索其详细信息的事件的 ID 或 UUID 列表（以英文逗号分隔）。
返回属性信息 复选框 勾选 如果启用，操作将为属于事件的所有属性创建一个案例墙表。

运行时间

此操作不会对实体执行。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值的说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果至少有一个提供的 ID 成功完成了操作：

输出“Successfully retrieved information for the following events: <>”

如果至少有一个提供的突发事件 ID 未能成功执行操作：

打印“未能检索以下事件的信息：<>

操作应失败并停止执行 playbook：
如果发生严重错误、SDK 错误（例如凭据错误、无连接等），则：
打印“Error executing action "Get Event Details". Reason: {0}''.format(error.Stacktrace

操作应失败并停止 playbook 执行：

如果发生严重错误，例如凭据错误、无法连接到服务器等：

print "Error executing action "List Event Objects". Reason: {0}''.format(error.Stacktrace)

 常规
CSV 表格

表名称：事件 {0} 属性详细信息".format(event_id)

列：

  1. ID
  2. 值
  3. 评论
  4. 类型
  5. 类别
  6. UUID
  7. 分布
  8. 时间戳

列出属性的发现结果

列出 MISP 中属性的可用目击事件。

参数

搜索
参数名称 类型 默认值 必填 说明
属性名称 CSV 否 指定要列出其发现结果的属性标识符的逗号分隔列表。注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。
事件 ID 字符串 否 指定事件的 ID 或 UUID，以及在何处搜索属性。如果“属性搜索”设置为“提供的事件”，则此参数是必需的。
类别 CSV 否 指定以英文逗号分隔的类别列表。如果指定，操作将仅列出具有匹配类别的属性的发现结果。如果未指定任何内容，操作将忽略属性中的类别。可能的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。
类型 CSV 否 指定属性类型的逗号分隔列表。如果指定，操作将仅列出具有匹配属性类型的属性的发现结果。如果未指定任何内容，操作将忽略属性中的类型。示例值：md5、sha1、ip-src、ip-dst
属性搜索 DDL

提供的事件

可能的值：

所有事件

 是 指定操作应在何处搜索属性。如果选择“提供的事件”，操作将仅在事件中搜索具有“事件 ID”参数中提供的 ID/UUID 的属性或属性 UUID。如果选择“所有事件”，该操作将在所有事件中搜索属性，并列出符合我们条件的所有属性的发现结果。
属性 UUID CSV 否 指定要列出其目击事件的属性 UUID 的逗号分隔列表。注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。
操作执行结果
脚本结果
脚本结果名称 值选项 示例
is_success True/False is_success:False
案例墙
结果类型 值/说明 类型
输出消息*

如果成功列出了至少一个属性的目击事件：“Successfully listed sightings for the following attributes in MISP: {0}”。format(属性名称/UUID)

如果未能成功列出至少一个属性的目击事件：“Action didn't list sightings for the following attributes in MISP: {0}”。format(属性名称/UUID)

如果并非所有属性都成功，或者所有属性都没有发现结果：“在 MISP 中未找到所提供属性的发现结果”

严重错误（操作失败） “执行操作‘列出属性的发现结果’时出错。Reason: {0}".format(stacktrace)

如果在“类别”中指定了无效参数（操作失败）：“执行操作‘列出属性的发现结果’时出错。原因：为“类别”参数提供的值无效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果选择了“Provided Event”（提供的事件），但未选择“Event ID”（事件 ID）：“Error executing action "List Sightings of an Attribute". 原因：如果为“属性搜索”参数选择了“提供的事件”，则需要提供事件 ID。

 常规

为属性设置 IDS 标志

为 MISP 中的属性设置 IDS 标志。

参数

searchsearch
参数名称 类型 默认值 必填 说明
属性名称 CSV 否 指定要为其设置 IDS 标志的属性标识符的逗号分隔列表。注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。
事件 ID 字符串 否 指定事件的 ID 或 UUID，以及在何处搜索属性。如果“属性搜索”设置为“提供的事件”，则此参数是必需的。
类别 CSV 否 指定以英文逗号分隔的类别列表。如果指定了此参数，则操作只会为具有匹配类别的属性设置 IDS 标志。如果未指定任何内容，操作将忽略属性中的类别。可能的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。
类型 CSV 否 指定以英文逗号分隔的属性类型列表。如果指定了此参数，操作将仅为具有匹配属性类型的属性设置 IDS 标志。如果未指定任何内容，操作将忽略属性中的类型。示例值：md5、sha1、ip-src、ip-dst
属性搜索 DDL

提供的事件

可能的值：

所有事件

 是 指定操作应在何处搜索属性。如果选择“提供的事件”，操作将仅在事件中搜索具有“事件 ID”参数中提供的 ID/UUID 的属性或属性 UUID。如果选择“所有事件”，则操作将在所有事件中搜索属性，并为符合我们条件的所有属性设置 IDS 标志。
属性 UUID CSV 否

指定要为其设置 IDS 标志的属性 UUID 的逗号分隔列表。
注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
案例墙
结果类型 值的说明 类型
输出消息*

如果已成功向至少一个属性添加 IDS 标志： "Successfully set IDS flag for the following attributes in MISP:\n{0}".format(attribute name/object UUID)

如果未能成功向至少一个属性添加 IDS 标志：“Action didn't set IDS flag for the following attributes in MISP:\n{0}”。format(attribute name/object UUID)

如果并非所有属性都成功：“IDS flag was not set for the provided attributes in MISP”（未在 MISP 中为提供的属性设置 IDS 标志）

严重错误（操作失败）“执行操作‘为属性设置 IDS 标志’时出错。Reason: {0}".format(stacktrace)

如果在“类别”中指定了无效参数（失败操作）：“执行操作‘为属性设置 IDS 标志’时出错。原因：为“类别”参数提供的值无效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果选择了“提供的事件”，但未选择“事件 ID”：“执行操作‘为属性设置 IDS 标志’时出错。原因：如果为“属性搜索”参数选择了“提供的事件”，则需要提供事件 ID。

找不到事件 ID（操作失败）“执行操作‘为属性设置 IDS 标志’时出错。Reason: Event with {0} {1} was not found in MISP".format(ID/UUID, event_id)

 常规

取消设置属性的 IDS 标志

取消设置 MISP 中属性的 IDS 标志。

参数

名称 类型 默认值 必填 说明
属性名称 CSV 否

指定要取消设置 IDS 标志的属性标识符逗号分隔列表。
注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。
事件 ID 字符串 否 指定事件的 ID 或 UUID，以及在何处搜索属性。如果“属性搜索”设置为“提供的事件”，则此参数是必需的。
类别 CSV 否 指定以英文逗号分隔的类别列表。如果指定了此参数，则操作只会为具有匹配类别的属性取消设置 IDS 标志。如果未指定任何内容，操作将忽略属性中的类别。可能的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。
类型 CSV 否 指定属性类型的逗号分隔列表。如果指定，操作将仅针对具有匹配属性类型的属性取消设置 IDS 标志。如果未指定任何内容，操作将忽略属性中的类型。示例值：md5、sha1、ip-src、ip-dst
属性搜索 DDL

提供的事件

可能的值：

所有事件

 正确 指定操作应在何处搜索属性。如果选择“提供的事件”，操作将仅在事件中搜索具有“事件 ID”参数中提供的 ID/UUID 的属性或属性 UUID。如果选择“所有事件”，操作将在所有事件中搜索属性，并为符合我们条件的所有属性取消设置 IDS 标志。
属性 UUID CSV 否 指定要取消设置 IDS 标志的属性 UUID 的逗号分隔列表。注意：如果同时指定了“属性名称”和“属性 UUID”，操作将使用“属性 UUID”值。

操作执行结果

脚本结果
脚本结果名称 值选项 示例
成功 True/False success:False
案例墙
结果类型 值的说明 类型
输出消息*

如果成功移除了至少一个属性的 IDS 标志：“Successfully unset IDS flag for the following attributes in MISP: {0}”。format(属性名称/对象 UUID)

如果未能成功移除至少一个属性的 IDS 标志：“Action didn't unset IDS flag for the following attributes in MISP: {0}”。format(属性名称/对象 UUID)

如果并非所有属性都成功：“IDS flag was not unset for the provided attributes in MISP”（未针对 MISP 中提供的属性取消设置 IDS 标志）

严重错误（操作失败）“执行操作‘取消设置属性的 IDS 标志’时出错。Reason: {0}".format(stacktrace)

如果在“类别”中指定了无效参数（失败操作）：“执行操作‘取消设置属性的 IDS 标志’时出错。原因：为“类别”参数提供的值无效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果选择了“提供的事件”，但未选择事件 ID：“执行操作‘取消设置属性的 IDS 标志’时出错。原因：如果为“属性搜索”参数选择了“提供的事件”，则需要提供事件 ID。

找不到事件 ID（失败操作）“执行操作‘取消设置属性的 IDS 标志’时出错。原因：在 MISP 中找不到具有 {0} {1} 的事件”。format(ID/UUID, event_id)

 常规

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

MISP - 属性连接器

从 MISP 中拉取属性。

在 Google SecOps 上配置 MISP - 属性连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数名称 类型 默认值 为必填项 说明
DeviceProductField 字符串 产品名称 是 输入源字段名称，以检索产品字段名称。
EventClassId 字符串 alertType 是 输入源字段名称，以检索事件字段名称。
PythonProcessTimeout 整数 180 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 不适用 是 MISP 账号的 API 根。
API 密钥 密码 是 MISP 账号的 API 密钥。
回溯的小时数上限 整数 1 否 提取属性的小时数。
每个周期的属性数上限 整数 50 是 每次连接器迭代要处理的属性数量。
要提取的最低威胁级别 整数 1 是 用于提取提醒的最低严重级别。可能的值：1-4。
属性类型过滤条件 字符串 否 按类型过滤属性（以英文逗号分隔）。如果提供，则系统只会处理具有白名单类型的属性。
类别过滤条件 字符串 否 按类别过滤属性（以英文逗号分隔）。如果提供，则系统只会处理具有列入许可名单的类别的属性。
Galaxy 滤镜 字符串 否 按父事件的星系过滤属性，以英文逗号分隔。如果提供此参数，则系统只会处理属于具有列入许可名单的星系的事件的属性。
验证 SSL 复选框 是 如果已启用，请验证与 CheckPoint Cloud Guard 服务器的连接所使用的 SSL 证书是否有效。
环境字段名称 字符串 否 描述存储环境名称的字段的名称。如果未找到环境字段，则环境为默认环境。
环境正则表达式模式 字符串 .* 否 要对“环境字段名称”字段中找到的值运行的正则表达式模式。默认值为 .*，用于捕获所有值并返回未更改的值。用于允许用户通过正则表达式逻辑操作环境字段。如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
代理服务器地址 字符串 否 要使用的代理服务器的地址。
代理用户名 字符串 否 用于进行身份验证的代理用户名。
代理密码 密码 否 用于进行身份验证的代理密码。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。