將 MISP 與 Google SecOps 整合

本文說明如何將 MISP 與 Google Security Operations 整合。

用途

MISP 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 充實入侵指標：自動從 MISP 執行個體擷取網址、主機名稱、IP 位址和檔案雜湊的背景資訊，找出已知的惡意行為人。

  • 自動建立及分享事件：直接透過應對手冊建立新的 MISP 事件，並發布至分享群組，向資安社群發出新威脅警示。

  • 管理事件分類：動態新增或移除事件和屬性的標記，確保威脅情勢準確且符合現況。

  • 調查相關威脅：搜尋及擷取與特定實體相關的事件資訊，瞭解進行中調查的更廣泛範圍。

  • 分析可疑檔案：將檔案上傳至 MISP 事件，進行協作分析，或下載現有事件附件，在內部沙箱中評估。

事前準備

在 Google SecOps 平台設定整合功能前，請確認 MISP 環境符合下列需求：

  • MISP API 金鑰：您必須具備有效的自動化金鑰，才能驗證連線。您可以從 MISP UI 的事件動作選單中取得。詳情請參閱「自動化和 MISP API」。

  • API 根位址：請確認您有 MISP 執行個體的 IP 位址或主機名稱，以便進行設定。

  • 選用：CA 憑證：如果環境需要使用特定憑證進行 SSL 驗證，請確認您有 CA 憑證檔案。設定時，您必須以 Base64 編碼字串的形式提供這個值。

  • 整合版本：確認您執行的是最新版 MISP 整合，確保所有動作和參數都受到支援。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填 說明
API 根層級 字串 https://<IP> 是 MISP 執行個體的位址。
API 金鑰 字串 不適用 是 在 MISP 控制台中產生。
使用 SSL 核取方塊 已取消勾選 否 如果 MISP 連線需要 SSL 驗證，請勾選這個核取方塊 (預設為取消勾選)。
遠端執行 核取方塊 已取消勾選 否 勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

新增屬性

將實體新增為 MISP 事件的屬性。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 活動 ID。
類別 字串 外部數據分析 否 屬性的類別。預設：外部。
分布 字串 1 否 屬性的分布情形。預設值：1。
入侵偵測系統 核取方塊 已取消勾選 否 屬性是否用於入侵偵測系統。預設值：false。
註解 字串 不適用 否 要新增至屬性的註解。

用途

不適用

執行日期

這項動作會對下列實體執行：

  • 網址
  • 主機名稱
  • IP 位址
  • Filehash

動作執行結果

實體充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 值選項 範例
成功 True/False success:False
JSON 結果
N/A

建立事件

建立新的 MISP 事件。

已知限制

目前 MISP API 不允許在建立事件後立即發布。請先建立事件，然後使用「發布事件」動作。

參數

參數顯示名稱 類型 預設值 為必填 說明
事件名稱 字串 不適用 是 事件名稱。
威脅等級 字串 0 否 事件的威脅等級。預設值：0。
分布 字串 1 否 屬性的分布情形。預設值：1。
分析 字串 0 否 事件的分析層級 [0-2]：預設值：0。
發布 核取方塊 已勾選 否 是否要發布活動。
註解 字串 不適用 否 事件的註解。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
event_id 不適用 不適用

為事件新增標記

「為事件新增標記」動作可讓使用者在 MISP 中為特定事件新增標記。系統會根據與事件相關聯的 IOC 所造成的資安威脅類別，為事件新增分類。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 專屬 ID，用於指定要新增標記的事件。
標記名稱 字串 不適用 是 要新增至事件的標記名稱。

用途

分類事件：新增標記來更新事件。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "saved": true,
        "success": "Tag(s) added.",
        "check_publish": true
    }
]

下載檔案

下載 MISP 中與事件相關的檔案。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 否 指定要下載檔案的事件 ID 或 UUID
下載資料夾路徑 字串 不適用

指定資料夾的絕對路徑，該資料夾應儲存檔案。如未指定，動作會改為建立附件。
注意：只有在這個參數提供適當的值時，才能取得 JSON 結果。
覆寫 核取方塊 已取消勾選 如果啟用，動作會覆寫現有檔案。

執行日期

這項動作會對 Filehash 實體執行。

動作執行結果
指令碼執行結果
指令碼執行結果名稱 值選項 範例
成功 True/False success:False
JSON 結果
{

"absolute_paths": ["/etc/file1.txt", "/etc/file2.txt"]

}
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功： "Successfully downloaded the following files from the event with {0} {1} in MISP:\n{2}".format(ID/UUID, event_id, result/filename from the response)

如果找不到檔案：「No files were found for the event with {0} {1} in MISP:\n{2}」。format(ID/UUID, event_id)

如果未指定「下載資料夾路徑」，且部分檔案超過平台附件限制：「動作無法下載下列檔案，因為檔案超過 3 MB 的限制：\n {0}。\n 請在「下載資料夾路徑」參數中指定資料夾路徑，以便下載檔案。」(result/filename)

重大錯誤 (失敗動作)「執行『下載檔案』動作時發生錯誤。Reason: {0}".format(stacktrace)

找不到事件 ID (失敗動作)「執行『下載檔案』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

如果覆寫設為 false，且其中一個檔案已存在：「Error executing action "Download File". 原因：下列檔案已存在：{0}。請移除這些檔案，或將「Overwrite」參數設為 true。".format(absolute path to the file)

 一般

充實實體

根據 MISP 中的屬性擴充實體。

參數

參數顯示名稱 類型 預設值 說明
要傳回的屬性數量 字串 不適用 指定要傳回的實體屬性數量。
篩選條件 指定動作的篩選條件。如果選取「最後」，動作會使用最舊的屬性進行擴充；如果選取「第一個」，動作會使用最新的屬性進行擴充。
威脅等級門檻 DDL

低

可能的值：

高

中

低

未定義

 請指定事件威脅等級的門檻，也就是發現實體的位置。如果相關事件超過或符合門檻，實體就會標示為可疑。
屬性搜尋限制 整數 50 指定每個實體要搜尋的屬性數量。這項參數會影響系統選取哪些屬性進行擴充。預設值：50。

執行日期

這項動作會對下列實體執行：

  • 網址
  • 主機名稱
  • IP 位址
  • Filehash
動作執行結果
實體充實

如果事件的威脅等級超過 0，實體就會標示為可疑。否則：False

指令碼執行結果
指令碼執行結果名稱 值選項 範例
成功 True/False success:False
JSON 結果
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
案件總覽
結果類型 值說明 類型
輸出訊息*

For attributes that were found: (is_success=true) "Successfully enriched the following entities using MISP: \n{0}".format(entity.identifier)

找不到屬性 (is_success=true)「動作無法使用 MISP 擴充下列實體：\n{0}」。format(entity.identifier)

如果找不到所有屬性 (is_success=false)：「未透過 MISP 擴充任何實體」

If attributes are suspicious (is_success=true) "The following attributes were marked as suspicious using MISP: \n {0}".format(entity.identifier)

 一般
CSV 表格

表格欄：

  • ID
  • 事件 ID
  • 類別
  • 類型
  • UUID
  • 時間戳記
  • 發行
  • 入侵偵測系統

擷取與 MISP 中實體相關的事件資訊。

參數

參數顯示名稱 類型 預設值 說明
標示為可疑 核取方塊 已勾選 如果啟用，且實體至少有一個相關事件，系統會將實體標示為可疑。

執行日期

這項動作會對下列實體執行：

  • 網址
  • 主機名稱
  • IP 位址
  • Filehash

動作執行結果

實體充實

如果可以取得相關事件的記錄，實體就會標示為可疑，否則為 False。

補充資料欄位名稱 邏輯 - 應用時機
事件 如果 JSON 結果中存在，則傳回
指令碼執行結果
指令碼執行結果名稱 值選項 範例
成功 True/False success:False
JSON 結果
[
    {
        "EntityResult": [
            {
                "Event":
                {
                    "orgc_id": "1",
                    "ShadowAttribute": [],
                    "id": "3",
                    "threat_level_id": "3",
                    "event_creator_email": "john_doe@example.com",
                    "uuid": "5c5bff1b-a414-4a83-8755-035f0a000016",
                    "Object": [],
                    "Orgc": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "Org": {
                        "uuid": "5c5ac66e-3884-4031-afd7-46f5bb9ebcaa",
                        "name": "ORGNAME",
                        "id": "1"
                    },
                    "RelatedEvent": [],
                    "sharing_group_id": "0",
                    "timestamp": "1549533154",
                    "date": "2019-02-07",
                    "disable_correlation": "False",
                    "info": "Test event",
                    "locked": "False",
                    "publish_timestamp": "1549533214",
                    "Attribute": [
                        {
                            "category": "Network activity",
                            "comment": " ",
                            "uuid": "5c5bffe2-9298-4098-ae31-035d0a000016",
                            "deleted": "False",
                            "timestamp": "1549533154",
                            "to_ids": "False",
                            "distribution": "3",
                            "object_id": "0",
                            "event_id": "3",
                            "ShadowAttribute": [],
                            "sharing_group_id": "0",
                            "value": "1.1.1.1",
                            "disable_correlation": "False",
                            "object_relation": "None",
                            "type": "ip-src",
                            "id": "1",
                            "Galaxy": []
                        }],
                    "attribute_count": "1",
                    "org_id": "1",
                    "analysis": "2",
                    "extends_uuid": " ",
                    "published": "True",
                    "distribution": "3",
                    "proposal_email_lock": "False",
                    "Galaxy": []
                }}],
        "Entity": "1.1.1.1"
    }
]
案件總覽
結果類型 值說明 類型
輸出訊息*

如果至少有一個實體找到一個事件：「已成功擷取下列實體相關事件的資訊：\n{0}」。format(entity.identifier)

如果至少有一個實體找不到事件：「動作無法擷取下列實體的相關事件資訊：\n{0}」。format(entity.identifier

如果所有實體都沒有事件：「找不到與所提供實體相關的事件。」

 一般

上傳檔案

將檔案上傳至 MISP 事件。

參數

名稱 類型 預設 說明
活動 ID 字串 不適用 指定要上傳這個檔案的事件 ID 或 UUID。
檔案路徑 字串 不適用 指定要上傳至 MISP 的檔案絕對路徑，並以半形逗號分隔。
類別 指定上傳檔案的類別。可能的值：外部分析、酬載傳遞、構件遭捨棄、酬載安裝。
分布 字串 社群

指定上傳檔案的發布內容。
可能的值：0 - 機構、1 - 社群、2 - 連結、3 - 全部。您可以提供數字或字串。
威脅等級 字串 高

指定上傳檔案的威脅等級。
可能的值：1 - 高、2 - 中、3 - 低、4 - 未定義。您可以提供數字或字串。
分析 字串 初始

指定事件的分析。
可能的值：0 - 初始、1 - 進行中、2 - 已完成。您可以提供數字或字串。
資訊 字串 不適用 指定上傳檔案的其他資訊。
入侵偵測系統 核取方塊 已取消勾選 如果啟用，上傳的檔案將用於入侵偵測系統。
註解 字串 不適用 請提供與上傳檔案相關的其他意見。
動作執行結果
指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
{
    "Event": {
        "id": "106",
        "orgc_id": "1",
        "org_id": "1",
        "date": "2021-01-15",
        "threat_level_id": "1",
        "info": "vanuhi 1015",
        "published": false,
        "uuid": "1cd22aa2-57e8-4fc8-bac6-721c1be2c27d",
        "attribute_count": "10",
        "analysis": "0",
        "timestamp": "1610893968",
        "distribution": "1",
        "proposal_email_lock": false,
        "locked": false,
        "publish_timestamp": "0",
        "sharing_group_id": "0",
        "disable_correlation": false,
        "extends_uuid": "",
        "event_creator_email": "admin@admin.test",
        "Org": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Orgc": {
            "id": "1",
            "name": "ORGNAME",
            "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
            "local": true
        },
        "Attribute": [],
        "ShadowAttribute": [],
"Object": [
            {
                "id": "446",
                "name": "file",
                "meta-category": "file",
                "description": "File object describing a file with meta-information",
                "template_uuid": "688c46fb-5edb-40a3-8273-1af7923e2215",
                "template_version": "20",
                "event_id": "106",
                "uuid": "0188ba5d-68eb-4b5c-8e05-6fd49f8eee9a",
                "timestamp": "1610691647",
                "distribution": "1",
                "sharing_group_id": "0",
                "comment": "",
                "deleted": false,
                "first_seen": null,
                "last_seen": null,
                "ObjectReference": [],
                "Attribute": [
                    {
                        "id": "1859",
                        "type": "malware-sample",
                        "category": "External analysis",
                        "to_ids": true,
                        "uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138",
                        "event_id": "106",
                        "distribution": "1",
                        "timestamp": "1610703650",
                        "comment": "",
                        "sharing_group_id": "0",
                        "deleted": false,
                        "disable_correlation": false,
                        "object_id": "446",
                        "object_relation": "malware-sample",
                        "first_seen": null,
                        "last_seen": null,
                        "value": "vanuhi.txt|7bd55b0a276e076cbaf470e64359adb8",
                        "Galaxy": [],
                        "data": "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",
                        "ShadowAttribute": [],
                        "Sighting": [
                            {
                                "id": "1733",
                                "attribute_id": "1859",
                                "event_id": "106",
                                "org_id": "1",
                                "date_sighting": "1611207638",
                                "uuid": "feb085f1-1923-4327-a73d-b60a948377e4",
                                "source": "",
                                "type": "0",
                                "Organisation": {
                                    "id": "1",
                                    "uuid": "09b0dde1-2934-4310-a107-74b6f534f041",
                                    "name": "ORGNAME"
                                },
                                "attribute_uuid": "7920cd28-5082-47ce-9c3e-3ccbd5dae138"
                            }
                        ]
                    }
            }
    }
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

如果成功處理一個實體："Succesfully uploaded the provided files to the event {0} in MISP".format(event_id)

重大錯誤 (動作失敗)「執行『上傳檔案』動作時發生錯誤。Reason: {0}".format(stacktrace)

如果在「Distribution」中指定無效參數 (失敗動作)：

「執行『上傳檔案』動作時發生錯誤。原因：為「Distribution」參數提供的值無效。可接受的值：0、1、2、3。可接受的字串：Organisation、Community、Connected、All。

如果在「威脅等級」(失敗動作) 中指定無效參數：「執行『上傳檔案』動作時發生錯誤。原因：提供的「威脅等級」參數值無效。可接受的值：1、2、3、4。可接受的字串：High、Medium、Low、Undefined。

如果在「類別」中指定無效參數 (失敗動作)：「執行『上傳檔案』動作時發生錯誤。原因：參數「Category」的值無效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果在「分析」中指定無效參數 (失敗動作)：「執行『上傳檔案』動作時發生錯誤。原因：為「數據分析」參數提供的值無效。可接受的值：0、1、2。可接受的字串：Initial、Ongoing、Completed。

如果至少有一個檔案無法使用：「執行『上傳檔案』動作時發生錯誤。原因：無法存取下列檔案：\n {0}".format(file paths, that were not accessible.)

找不到事件 ID (失敗動作)：「執行『上傳檔案』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

乒乓

測試連線。

參數

不適用

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

實體充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 值選項 範例
成功 True/False success:False
JSON 結果
N/A

移除事件標記

移除 MISP 事件的標記。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 指定要移除標記的事件 ID 或 UUID。
標記名稱 CSV 不適用 是 指定要從事件中移除的標記，並以逗號分隔的清單表示。

用途

重新分類事件：移除標記，以便重新分類。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "saved": true,
        "success": "Tag removed.",
        "check_publish": true
    }
]
案件總覽
結果類型 值/說明 類型
輸出訊息*

如果成功移除事件的所有標記：「已成功從 MISP 中 {0} 為 {1} 的事件移除下列標記：{2}。」.format(ID/UUID, event_id, tags)

如果無法成功從事件中移除某些標記：「動作無法從 MISP 中 ID/UUID 為 {0} {1} 的事件中移除下列標記：{2}。」.format(ID/UUID, event_id, tags)

如果並非所有項目都成功：「MISP 中 ID/UUID 為 {0} {1} 的事件未移除任何標記」。format(ID/UUID, event_id)

如果至少有一個標記找不到：「The following tags were not found in MISP: \n{0}」。format(list of tags that were not found in MISP)

如果找不到任何標記：「在 MISP 中找不到任何提供的標記。」

重大錯誤 (動作失敗)：執行「從事件中移除標記」動作時發生錯誤。Reason: {0}".format(stacktrace)

找不到事件 ID (失敗動作)：執行「移除事件標記」動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

為屬性新增標記

這項動作可讓使用者在 MISP 中，為特定屬性新增標記。這會根據屬性中 IOC 造成的資安威脅類別，為屬性新增分類。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 整數 不適用 是 與屬性相關聯的事件 ID。範例：1.
標記名稱 字串 不適用 是 要新增至屬性的標記名稱。
屬性名稱 字串 不適用 是 要標記的屬性名稱 ID。
類別 字串 不適用 是 屬性所屬的類別，例如「有效載荷遞送」。
類型 字串 不適用 是 屬性的類型，例如檔案名稱。
物件 UUID 字串 不適用 否 事件中物件的專屬 ID。

用途

根據 IOC 類型分類屬性：為屬性新增標記。

執行日期

這項操作會對所有實體執行。

動作執行結果

實體充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "name": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "message": "Global tag unique___test(7) successfully attached to Attribute(9).",
        "url": "/tags/attachTagToObject"
    }
]

移除屬性的標記

移除 MISP 屬性的標記。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 否 指定事件的 ID 或 UUID，以及要搜尋屬性的位置。如果「屬性搜尋」設為「提供的事件」，則必須提供這項參數。
標記名稱 CSV 不適用 是 指定要從屬性中移除的標記，並以逗號分隔的清單表示。
屬性名稱 CSV 不適用 否

指定要移除標記的屬性 ID 逗號分隔的清單。
注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。
類別 CSV 不適用 否

請指定以半形逗號分隔的類別清單。如果指定，動作只會從具有相符類別的屬性中移除標記。如未指定，動作會忽略屬性中的類別。
可能的值：外部分析、酬載傳遞、構件遭捨棄、酬載安裝。
類型 CSV 不適用 否

請指定屬性類型清單，並以半形逗號分隔。如果指定，動作只會從具有相符屬性類型的屬性中移除標記。如未指定，動作會忽略屬性中的類型。
範例值：md5、sha1、ip-src、ip-dst
物件 UUID CSV 不適用 指定包含所需屬性的物件 UUID。
屬性搜尋 DDL

提供的事件

可能的值包括：

所有活動

提供的事件

 是 指定動作應搜尋屬性的位置。如果選取「提供的事件」，動作只會搜尋「事件 ID」參數中提供 ID/UUID 的事件，找出屬性或屬性 UUID。如果選取「所有事件」，動作會搜尋所有事件中的屬性，並從符合條件的所有屬性中移除標記。
屬性 UUID CSV 請列出要移除新標記的屬性 UUID，並以半形逗號分隔。注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。

用途

重新分類屬性：移除標記以重新分類

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "name": "Tag unique___test(7) successfully removed from Attribute(9).",
        "message": "Tag unique___test(7) successfully removed from Attribute(9).",
        "url": "/tags/removeTagFromObject"
    }
]
案件總覽
結果類型 值/說明 類型>
輸出訊息*

如果成功從至少一個屬性中移除標記：「Successfully removed tags from the following attributes in MISP: {0}」。format(屬性名稱/物件 UUID)

如果無法從至少一個屬性中移除標記：「Action didn't removed tags from the following attributes in MISP:」(動作無法從 MISP 的下列屬性中移除標記：{0})。format(屬性名稱/物件 UUID)

如果並非全部成功：「未從 MISP 中提供的屬性移除任何標記」

如果至少有一個標記找不到：「The following tags were not found in MISP: \n{0}」。format(list of tags that were not found in MISP)

如果找不到任何標記：「在 MISP 中找不到任何提供的標記。」

重大錯誤 (動作失敗)：執行「從屬性中移除標記」動作時發生錯誤。Reason: {0}".format(stacktrace)

如果在「類別」中指定無效參數 (失敗動作)：「執行『從屬性中移除標記』動作時發生錯誤。原因：參數「Category」的值無效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果選取「提供的事件」，但未選取事件 ID：「執行『從屬性中移除標記』動作時發生錯誤。原因：如果「Attribute Search」參數選取「Provided Event」，則必須提供事件 ID。

找不到事件 ID (失敗動作)「執行『從屬性中移除標記』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

發布活動

這項動作可讓使用者發布事件。發布活動後，活動會分享到所選的分享群組，所有成員都能看到。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 指定要發布的事件 ID 或 UUID。

用途

發布事件：

  1. 建立
  2. 新增事件屬性
  3. 發布活動

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": true,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
案件總覽
結果類型 值/說明 類型
輸出訊息*

如果成功： "Successfully published event with {0} {1} in MISP.".format(ID/UUID, event_id)

如果未成功： "Event with {0} {1} was not published in MISP".format(ID/UUID, event_id)

重大錯誤 (失敗動作)「執行『發布事件』動作時發生錯誤。Reason: {0}".format(stacktrace)

找不到事件 ID (失敗動作)「執行『發布事件』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

取消發布活動

這項動作可讓使用者取消發布活動。取消發布活動後，共用群組就無法看到該活動。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 指定要取消發布的活動 ID 或 UUID。
動作執行結果
指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "Event": {
            "id": "3",
            "orgc_id": "1",
            "org_id": "1",
            "date": "2019-12-27",
            "threat_level_id": "1",
            "info": "Connection to .ch",
            "published": false,
            "uuid": "5e05dd29-7b90-474d-b5f6-51ae0a00024b",
            "attribute_count": "0",
            "analysis": "1",
            "timestamp": "1577774920",
            "distribution": "3",
            "proposal_email_lock": false,
            "locked": false,
            "publish_timestamp": "1577774846",
            "sharing_group_id": "0",
            "disable_correlation": false,
            "extends_uuid": "5e05db24-1e98-4bb9-bd56-51fd0a00024b",
            "event_creator_email": "admin@admin.test",
            "Org": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Orgc": {
                "id": "1",
                "name": "ORGNAME",
                "uuid": "5dfc9b8f-c320-4b6d-ac1c-4f4e8bdc3fef",
                "local": true
            },
            "Attribute": [],
            "ShadowAttribute": [],
            "RelatedEvent": [],
            "Galaxy": [],
            "Object": [],
            "Tag": [
                {
                    "id": "7",
                    "name": "unique___test",
                    "colour": "#9648c4",
                    "exportable": true,
                    "user_id": "0",
                    "hide_tag": false,
                    "numerical_value": null,
                    "local": 0
                }
            ]
        }
    }
]
案件總覽
結果類型 值/說明 類型
輸出訊息*

如果成功： "Successfully unpublished event with {0} {1} in MISP.".format(ID/UUID, event_id)

如果失敗：「Event with {0} {1} was not unpublished in MISP」.format(ID/UUID, event_id)

重大錯誤 (動作失敗)：執行「取消發布事件」動作時發生錯誤。Reason: {0}".format(stacktrace)

找不到事件 ID (失敗動作)「執行『取消發布事件』動作時發生錯誤。原因：在 MISP 中找不到 ID/UUID 為 {0} {1} 的事件。".format(ID/UUID, event_id)

 一般

刪除屬性

刪除 MISP 中的屬性。支援的雜湊：MD5、SHA1、SHA224、SHA256、SHA384、SHA512、SSDeep。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 否 指定事件的 ID 或 UUID，以及要搜尋屬性的位置。如果「屬性搜尋」設為「提供的事件」，則必須提供這項參數。
屬性名稱 CSV 不適用 否

請指定要刪除的屬性 ID 逗號分隔的清單。
注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。
類別 CSV 不適用 否

請指定以半形逗號分隔的類別清單。如果指定，動作只會刪除具有相符類別的屬性。如未指定，動作會忽略屬性中的類別。
可能的值：外部分析、酬載傳遞、構件遭捨棄、酬載安裝。
類型 CSV 不適用 否

請指定屬性類型清單，並以半形逗號分隔。如果指定，動作只會刪除具有相符屬性類型的屬性。如未指定，動作會忽略屬性中的類型。
範例值：md5、sha1、ip-src、ip-dst
物件 UUID 字串 不適用 否 事件中物件的專屬 ID。
屬性搜尋 DDL

提供的事件

可能的值包括：

所有活動

提供的事件

 是 指定動作應搜尋屬性的位置。如果選取「提供的事件」，動作只會搜尋「事件 ID」參數中提供 ID/UUID 的事件，找出屬性或屬性 UUID。如果選取「所有事件」，動作會搜尋所有事件中的屬性，並刪除符合條件的所有屬性。
屬性 UUID CSV

請指定要刪除的屬性 UUID 逗號分隔的清單。
注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。

用途

從事件中移除屬性。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "message": "Attribute deleted."
    }
]
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功將 Sighting 新增至至少一個屬性：「Successfully deleted the following attributes in MISP:\n{0}」.format(attribute name/object UUID)

如果無法成功將目擊事件新增至至少一個屬性：「Action didn't delete the following attributes in MISP:\n{0}」(動作未刪除 MISP 中的下列屬性：\n{0})。format(屬性名稱/物件 UUID)

如果並非所有屬性都刪除成功：「MISP 中未刪除任何屬性」

重大錯誤 (失敗動作)「執行『刪除屬性』動作時發生錯誤。Reason: {0}".format(stacktrace)

如果在「類別」中指定無效參數 (失敗動作)：「執行『刪除屬性』動作時發生錯誤。原因：參數「Category」的值無效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果選取「提供的事件」，但未選取事件 ID：「執行『刪除屬性』動作時發生錯誤。原因：如果「屬性搜尋」參數選取「提供的事件」，則必須提供事件 ID。

找不到事件 ID (失敗動作)「執行『刪除屬性』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

刪除活動

刪除 MISP 中的事件。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 指定要刪除的事件 ID 或 UUID。

用途

永久刪除活動。

執行日期

這項動作會對「使用者」實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
[
    {
        "name": "Event deleted.",
        "message": "Event deleted.",
        "url": "/events/delete/4"
    }
]
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功：「Successfully deleted event with {0} {1} in MISP」.format(ID/UUID, event_id)

重大錯誤 (動作失敗)「執行『刪除事件』動作時發生錯誤。原因：{0}".format(traceback)

找不到事件 ID (失敗動作)「執行『刪除事件』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

建立檔案 MISP 物件

這項動作可讓使用者將與事件相關的檔案屬性，整理成單一物件，並以中繼資訊描述檔案。接著，系統會將含有屬性的物件附加至指定事件。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 要新增物件的事件專屬 ID。例如：1
檔案名稱 字串 不適用 否 檔案名稱。
MD5 字串 不適用 否 檔案的 md5 雜湊值。
SHA1 字串 不適用 否 檔案的 sha1 雜湊值。
SHA256 字串 不適用 否 檔案的 sha256 雜湊值。
SSDEEP 字串 不適用 否 檔案的 ssdeep 值。範例：96:p5aAS1tN0M3t9AnTNuG6TNOt5PR1TNZdkljOXTNSnKTF3X7KsTFW+kLtW6K8i7bI:p5mb4rgQhRp7GljCbF3LKqFjkwxtU
Imphash 字串 不適用 否 根據匯入資料表計算出的 MD5 雜湊值。

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

實體充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
N/A

建立 IP-Port MISP 物件

這項動作可讓使用者將與事件相關的 IP 連接埠屬性，整理成單一物件，其中描述 IP 位址 (或網域或主機名稱) 和連接埠，在特定時間範圍內視為元組 (或三元組)。接著，系統會將含有屬性的物件附加至指定事件。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 要新增物件的事件專屬 ID。例如：1
Dst-port 字串 不適用 否 目的地通訊埠。
Src-port 字串 不適用 否 來源通訊埠。
網域 字串 不適用 否 。
主機名稱 字串 不適用 否 主機名稱。
IP-Src 字串 不適用 否 來源 IP 位址。
IP-Dst 字串 不適用 否 目的地 IP 位址。

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

實體充實

不適用

深入分析

不適用

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
N/A

建立網路連線 MISP 物件

在 MISP 中建立網路連線物件。必須提供下列其中一項：Dst-port、Src-port、IP-Src、IP-Dst，或將「Use Entities」參數設為 true。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 指定要新增網路連線物件的事件 ID 或 UUID。
Dst-port 字串 不適用 否 指定要新增至事件的目的地通訊埠。
Src-port 字串 不適用 否 指定要新增至事件的來源通訊埠。
Hostname-dst 字串 不適用 否 指定要新增至事件的來源目的地。
Hostname-src 字串 不適用 否 指定要新增至事件的來源主機名稱。
IP-Src 字串 不適用 否 指定要新增至事件的來源 IP。
IP-Dst 字串 不適用 否 指定要新增至事件的目的地 IP。
Layer3-protocol 字串 不適用 否 指定要新增至事件的相關第 3 層通訊協定。
Layer4-protocol 字串 不適用 否 指定要新增至事件的相關第 4 層通訊協定。
Layer7-protocol 字串 不適用 否 指定要新增至事件的相關第 7 層通訊協定。
使用實體 核取方塊 已取消勾選 否 啟用後，動作會使用實體建立物件。支援的實體：IP 位址。「使用實體」的優先順序高於其他參數。
IP 類型 DDL

來源 IP

可能的值包括：

來源 IP

目的地 IP

 指定要與 IP 實體搭配使用的屬性類型。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
N/A
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功且「使用實體」不為 true：「已成功為 MISP 中 ID/UUID 為 {0} 的事件 {1} 建立新的網路連線物件。」.format(ID/UUID, event_id)

如果未成功，且「使用實體」不為 true：「動作無法為 MISP 中含有 {0} {1} 的事件建立新的網路連線物件。原因：{2}".format(ID/UUID)

如果其中一個成功，且「使用實體」為 true：「已根據下列實體，成功為 MISP 中含有 {0} {1} 的事件建立新的網路連線物件：\n{0}」。format(ID/UUID, event_id, entity.identifiers)

If not success for one and "Use Entities" is true: "Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

If not success for all and "Use Entities" is true: "Action wasn't able to create new network-connection objects for event with {0} {1} in MISP based on the provided entities.".format(ID/UUID, event_id)

重大錯誤 (動作失敗)：執行「建立網路連線 MISP 物件」動作時發生錯誤。Reason: {0}".format(stacktrace)

找不到事件 ID (失敗動作)「執行『建立網路連線 MISP 物件』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

如果未提供 Dst-port、Src-port、IP-Src、IP-Dst，且「Use Entities」== false：「Error executing action "Create network-connection Misp Object". 原因：必須提供「Dst-port」、「Src-port」、「IP-Src」、「IP-Dst」其中一項，或將「Use Entities」參數設為 true。

 一般

建立網址 MISP 物件

在 MISP 中建立網址物件。必須提供「URL」或將「Use Entities」參數設為 true。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 指定要新增網址物件的事件 ID 或 UUID。
網址 字串 不適用 否 指定要新增至事件的網址。
通訊埠 字串 不適用 否 指定要新增至事件的通訊埠。
首次出現時間 字串 不適用 否

指定網址首次出現的時間。
格式：2020-12-22T13:07:32Z
上次出現時間 字串 不適用 否

指定上次偵測到網址的時間。
格式：2020-12-22T13:07:32Z
網域 字串 不適用 否 指定要新增至活動的網域。
文字 字串 不適用 否 指定要新增至事件的額外文字。
IP 字串 不適用 否 指定要新增至事件的 IP。
主機 字串 不適用 否 指定要新增至活動的主辦人。
使用實體 核取方塊 已取消勾選 啟用後，動作會使用實體建立物件。支援的實體：網址。「使用實體」的優先順序高於其他參數。

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
N/A
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功且「使用實體」不為 true：「已成功為 MISP 中 ID/UUID 為 {0}、事件 ID 為 {1} 的事件建立新的網址物件。」.format(ID/UUID, event_id)

如果未成功，且「Use Entities」不為 true：「動作無法為 MISP 中含有 {0} {1} 的事件建立網址物件。原因：{2}".format(ID/UUID)

如果一個成功且「使用實體」為 true：「已根據下列實體，成功為 MISP 中含有 {0} {1} 的事件建立新的網址物件：\n{0}」。format(ID/UUID, event_id, entity.identifiers)

If not success for one and "Use Entities" is true: "Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the following entities: \n{0}".format(ID/UUID, event_id, entity.identifiers)

如果並非全部成功，且「Use Entities」為 true：「Action wasn't able to create new URL objects for event with {0} {1} in MISP based on the provided entities.".format(ID/UUID, event_id)

重大錯誤 (失敗動作)「執行『建立網址 MISP 物件』動作時發生錯誤。Reason: {0}".format(stacktrace)

找不到事件 ID (失敗動作)「執行『建立網址 MISP 物件』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

如果未提供任何網址，且「Use Entities」== false：「Error executing action "Create Url Misp Object". 原因：必須提供「網址」，或將「使用實體」參數設為 true。

 一般

建立 Virustotal-Report 物件

在 MISP 中建立 Virustotal-Report 物件。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 指定要新增網址物件的事件 ID 或 UUID。
永久連結 字串 不適用 是 指定要新增至事件的 VirusTotal 報告連結。
註解 字串 不適用 否 指定要新增至事件的註解。
偵測率 字串 不適用 否 指定要新增至事件的偵測率。
社群分數 字串 不適用 否 指定要新增至活動的社群分數。
首次提交 字串 不適用 否

指定事件的首次提交。
格式：2020-12-22T13:07:32Z
上次提交 字串 不適用 否

指定事件的最後提交時間。
格式：2020-12-22T13:07:32Z

執行日期

這項操作會對所有實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功： "Successfully created new Virustotal-Report object for event with {0} {1} in MISP.".format(ID/UUID, event_id)

如果未成功：「動作無法在 MISP 中為具有 {0} {1} 的事件建立 Virustotal-Report 物件。原因：{2}".format(ID/UUID)

重大錯誤 (動作失敗)：執行「建立 Virustotal-Report Misp 物件」動作時發生錯誤。Reason: {0}".format(stacktrace)

找不到事件 ID (失敗動作)「執行『建立 Virustotal-Report Misp 物件』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

List Event Objects

擷取 MISP 事件中可用物件的相關資訊。

參數

參數顯示名稱 類型 預設值 為必填 說明
活動 ID 字串 不適用 是 請指定要擷取詳細資料的事件 ID 和 UUID，並以逗號分隔的清單呈現。
要傳回的物件數量上限 整數 50 否 指定要傳回的物件數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
JSON 結果
"Object": [
    {
        "id": "1",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "2a3e260f-d3b2-4164-b2b1-2f6f5b559970",
        "timestamp": "1594632232",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    },
    {
        "id": "2",
        "name": "ftm-Associate",
        "meta-category": "followthemoney",
        "description": "Non-family association between two people",
        "template_uuid": "6119ecb3-dedd-44b6-b88f-174585b0b1bf",
        "template_version": "1",
        "event_id": "1",
        "uuid": "800d8634-175a-4bc2-a4d7-aca200c8c132",
        "timestamp": "1594632463",
        "distribution": "5",
        "sharing_group_id": "0",
        "comment": "",
        "deleted": false,
        "first_seen": null,
        "last_seen": null,
        "ObjectReference": [],
    }
案件總覽
結果類型 值說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果至少找到 1 個事件的物件：「已成功列出下列事件的物件：\n{0}」。format(event_ids)

如果找不到指定 ID 的事件 (is_success = false)：
print "Action was not able to list objects. 原因：在 MISP 中找不到 ID 為 {0} 的事件。".format(event_id)

如果 1 個事件未偵測到任何物體：

"Action wasn't able to find objects for the following events:\n {0}".format(event_ids)

如果所有事件都沒有找到任何物件：「找不到與所提供事件相關的物件。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：

print "Error executing action "List Event Objects". 原因：{0}''.format(error.Stacktrace)

 一般
CSV 表格

資料表名稱：事件 {0} 物件

表格欄：

  • 物件 UUID (對應為 uuid)
  • 名稱 (對應為名稱)
  • 類別 (對應為中繼類別)
  • 說明 (對應為說明)
  • 註解 (對應為註解)

取得事件詳細資料

擷取 MISP 事件的詳細資料。

參數

參數顯示名稱 類型 為必填 說明
活動 ID 字串 是 指定要擷取詳細資料的事件 ID 或 UUID 清單，並以半形逗號分隔。
傳回屬性資訊 核取方塊 已勾選 如果啟用，動作會為事件的所有屬性建立案件牆表格。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 值說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果至少有一個提供的 ID 成功完成動作：

列印「已成功擷取下列事件的資訊：<>」

如果至少有一個提供的事件 ID 無法執行動作：

列印「無法擷取下列事件的資訊：<>

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤、SDK 錯誤 (例如憑證錯誤、無連線等)：
Print "Error executing action "Get Event Details". Reason: {0}''.format(error.Stacktrace

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：

print "Error executing action "List Event Objects". 原因：{0}''.format(error.Stacktrace)

 一般
CSV 表格

Table Name: Event {0} Attributes Details".format(event_id)

欄：

  1. ID
  2. 值
  3. 留言
  4. 類型
  5. 類別
  6. UUID
  7. 發行
  8. 時間戳記

列出屬性的觀測記錄

列出 MISP 中屬性的可用目擊事件。

參數

search
參數名稱 類型 預設值 必填 說明
屬性名稱 CSV 否 指定要列出目擊事件的屬性 ID 逗號分隔的清單。注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。
活動 ID 字串 否 指定事件的 ID 或 UUID，以及要搜尋屬性的位置。如果「屬性搜尋」設為「提供的事件」，則必須提供這項參數。
類別 CSV 否 請指定以半形逗號分隔的類別清單。如果指定，動作只會列出具有相符類別的屬性目擊事件。如未指定，動作會忽略屬性中的類別。可能的值：外部分析、酬載傳遞、構件遭丟棄、酬載安裝。
類型 CSV 否 請指定屬性類型清單，並以半形逗號分隔。如果指定，動作只會列出屬性類型相符的屬性觀測記錄。如未指定，動作會忽略屬性中的類型。範例值：md5、sha1、ip-src、ip-dst
屬性搜尋 DDL

提供的事件

可能的值包括：

所有活動

 是 指定動作應搜尋屬性的位置。如果選取「提供的事件」，動作只會搜尋「事件 ID」參數中提供 ID/UUID 的事件，找出屬性或屬性 UUID。如果選取「所有事件」，動作會搜尋所有事件中的屬性，並列出符合條件的所有屬性觀測結果。
屬性 UUID CSV 否 指定以半形逗號分隔的屬性 UUID 清單，列出這些屬性的觀測資料。注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。
動作執行結果
指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success:False
案件總覽
結果類型 值/說明 類型
輸出訊息*

如果成功將目擊事件列入至少一個屬性：「Successfully listed sightings for the following attributes in MISP:\n{0}」。format(attribute name/attribute UUID)

如果無法成功列出至少一個屬性的觀測資料：「動作未列出 MISP 中下列屬性的觀測資料：\n{0}」。format(attribute name/attribute UUID)

如果並非所有屬性都成功，或所有屬性都沒有觀測記錄：「在 MISP 中找不到所提供屬性的觀測記錄」

重大錯誤 (動作失敗) 「執行『列出屬性觀測項目』動作時發生錯誤。Reason: {0}".format(stacktrace)

如果在「Category」中指定無效參數 (失敗動作)：「Error executing action "List Sightings of an Attribute". 原因：參數「Category」的值無效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果選取「Provided Event」，但未選取「Event ID」：「Error executing action "List Sightings of an Attribute". 原因：如果「屬性搜尋」參數選取「提供的事件」，則必須提供事件 ID。

 一般

設定屬性的 IDS 旗標

為 MISP 中的屬性設定 IDS 標記。

參數

searchsearch
參數名稱 類型 預設值 必填 說明
屬性名稱 CSV 否 指定要設定 IDS 旗標的屬性 ID 逗號分隔的清單。注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。
活動 ID 字串 否 指定事件的 ID 或 UUID，以及要搜尋屬性的位置。如果「屬性搜尋」設為「提供的事件」，則必須提供這項參數。
類別 CSV 否 請指定類別，並以半形逗號分隔。如果指定，動作只會為具有相符類別的屬性設定 IDS 旗標。如未指定，動作會忽略屬性中的類別。可能的值：外部分析、酬載傳遞、構件遭丟棄、酬載安裝。
類型 CSV 否 請指定屬性類型清單，並以半形逗號分隔。如果指定，動作只會為具有相符屬性類型的屬性設定 IDS 旗標。如未指定，動作會忽略屬性中的類型。範例值：md5、sha1、ip-src、ip-dst
屬性搜尋 DDL

提供的事件

可能的值包括：

所有活動

 是 指定動作應搜尋屬性的位置。如果選取「提供的事件」，動作只會搜尋「事件 ID」參數中提供 ID/UUID 的事件，找出屬性或屬性 UUID。如果選取「所有事件」，動作會搜尋所有事件中的屬性，並為符合條件的所有屬性設定 IDS 標記。
屬性 UUID CSV 否

請指定以半形逗號分隔的屬性 UUID 清單，為這些屬性設定 IDS 旗標。
注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
成功 True/False success:False
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功將 IDS 標記新增至至少一個屬性：「Successfully set IDS flag for the following attributes in MISP:\n{0}」.format(attribute name/object UUID)

如果未成功將 IDS 旗標新增至至少一個屬性：「Action didn't set IDS flag for the following attributes in MISP:\n{0}」(動作未在 MISP 中為下列屬性設定 IDS 旗標：\n{0})。format(attribute name/object UUID)

如果並非所有屬性都成功：「未在 MISP 中為提供的屬性設定 IDS 旗標」

重大錯誤 (失敗動作)：執行「設定屬性的 IDS 標記」動作時發生錯誤。Reason: {0}".format(stacktrace)

如果在「類別」中指定無效參數 (失敗動作)：「執行『設定屬性的 IDS 標記』動作時發生錯誤。原因：參數「Category」的值無效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果選取「提供的事件」，但未選取事件 ID：「執行『設定屬性的 IDS 標記』動作時發生錯誤。原因：如果「Attribute Search」參數選取「Provided Event」，則必須提供事件 ID。

找不到事件 ID (失敗動作)：執行「為屬性設定 IDS 標記」動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

取消設定屬性的 IDS 旗標

取消設定 MISP 中屬性的 IDS 旗標。

參數

名稱 類型 預設值 必填 說明
屬性名稱 CSV 否

請指定要取消設定 IDS 旗標的屬性 ID 逗號分隔的清單。
注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。
活動 ID 字串 否 指定事件的 ID 或 UUID，以及要搜尋屬性的位置。如果「屬性搜尋」設為「提供的事件」，則必須提供這項參數。
類別 CSV 否 請指定以半形逗號分隔的類別清單。如果指定，動作只會取消設定具有相符類別的屬性 IDS 旗標。如未指定，動作會忽略屬性中的類別。可能的值：外部分析、酬載傳遞、構件遭丟棄、酬載安裝。
類型 CSV 否 請指定屬性類型清單，並以半形逗號分隔。如果指定，動作只會取消設定具有相符屬性類型的屬性 IDS 旗標。如未指定，動作會忽略屬性中的類型。範例值：md5、sha1、ip-src、ip-dst
屬性搜尋 DDL

提供的事件

可能的值包括：

所有活動

 是 指定動作應搜尋屬性的位置。如果選取「提供的事件」，動作只會搜尋「事件 ID」參數中提供 ID/UUID 的事件，找出屬性或屬性 UUID。如果選取「所有事件」，動作會搜尋所有事件中的屬性，並為符合條件的所有屬性取消設定 IDS 旗標。
屬性 UUID CSV 否 指定要取消設定 IDS 旗標的屬性 UUID 清單，並以半形逗號分隔。注意：如果同時指定「屬性名稱」和「屬性 UUID」，動作會使用「屬性 UUID」值。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
成功 True/False success:False
案件總覽
結果類型 值說明 類型
輸出訊息*

如果成功移除至少一個屬性的 IDS 標記：「Successfully unset IDS flag for the following attributes in MISP:\n{0}」。format(attribute name/object UUID)

如果未成功移除至少一個屬性的 IDS 標記：「Action didn't unset IDS flag for the following attributes in MISP:\n{0}」(動作未取消設定 MISP 中下列屬性的 IDS 標記：\n{0})。format(屬性名稱/物件 UUID)

如果並非所有屬性都成功：「MISP 中所提供屬性的 IDS 旗標未取消設定」

重大錯誤 (失敗動作)：執行「取消設定屬性的 IDS 標記」動作時發生錯誤。Reason: {0}".format(stacktrace)

如果在「類別」中指定無效參數 (失敗動作)：「執行動作『取消設定屬性的 IDS 標記』時發生錯誤。原因：參數「Category」的值無效。可接受的值：External Analysis、Payload Delivery、Artifacts Dropped、Payload Installation。

如果選取「提供的事件」，但未選取事件 ID：「執行『取消設定屬性的 IDS 標記』動作時發生錯誤。原因：如果「Attribute Search」參數選取「Provided Event」，則必須提供事件 ID。

找不到事件 ID (失敗動作)「執行『取消設定屬性的 IDS 標記』動作時發生錯誤。原因：在 MISP 中找不到 {0} 為 {1} 的事件。".format(ID/UUID, event_id)

 一般

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

MISP - 屬性連接器

從 MISP 提取屬性。

在 Google SecOps 設定 MISP - Attributes 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數名稱 類型 預設值 為必填 說明
DeviceProductField 字串 產品名稱 是 輸入來源欄位名稱，即可擷取產品欄位名稱。
EventClassId 字串 alertType 是 輸入來源欄位名稱，擷取事件欄位名稱。
PythonProcessTimeout 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
API 根層級 字串 不適用 是 MISP 帳戶的 API 根目錄。
API 金鑰 密碼 是 MISP 帳戶的 API 金鑰。
擷取過去幾小時內的資料 整數 1 否 擷取屬性的時數。
每個週期屬性數量上限 整數 50 是 每次連接器疊代要處理的屬性數量。
要擷取的最低威脅等級 整數 1 是 用於擷取快訊的最低嚴重性。可能的值：1-4。
屬性類型篩選器 字串 否 依類型篩選屬性，並以半形逗號分隔。如果提供，系統只會處理類型在許可清單中的屬性。
類別過濾 字串 否 依類別篩選屬性 (以半形逗號分隔)。如果提供，系統只會處理已加入許可清單的類別屬性。
Galaxy 篩選器 字串 否 依上層事件的星系篩選屬性，並以半形逗號分隔。如果提供，系統只會處理屬於事件且具有許可清單星系的屬性。
驗證 SSL 核取方塊 是 如果已啟用，請確認連至 CheckPoint Cloud Guard 伺服器的 SSL 憑證有效。
環境欄位名稱 字串 否 說明儲存環境名稱的欄位名稱。如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 .* 否 要對「環境欄位名稱」欄位中的值執行的規則運算式模式。預設值為 .*，可擷取所有值並傳回未變更的值。用於允許使用者透過規則運算式邏輯操控環境欄位。如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果會是預設環境。
Proxy 伺服器位址 字串 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 否 用於驗證的 Proxy 密碼。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。