MITRE ATT&CK を Google Security Operations と統合する

統合バージョン: 16.0

このドキュメントでは、MITRE ATT&CK を Google Security Operations（Google SecOps）と統合する方法について説明します。

ユースケース

MITRE ATT&CK 統合は、Google SecOps の機能を使用して、次のユースケースをサポートします。

• 戦術的な脅威の関連付け: アラートで確認された特定の悪意のある攻撃手法または戦術に関連する侵入セット（既知の脅威グループ）を自動的に特定し、アクティビティの背後にいる脅威アクターに関するコンテキストを即座に提供します。

• 緩和策のギャップ分析: フラグが設定された攻撃手法について、MITRE ATT&CK フレームワークで利用可能な関連する緩和策を自動的に取得して分析します。これにより、セキュリティ チームは現在の防御コントロールが十分かどうか、パッチ適用やツールの実装が必要かどうかを確認できます。

• インシデントの拡充と優先順位付け: 詳細な手法情報（説明、検出方法、データソースなど）をケースウォールに直接追加してセキュリティ インシデントを拡充し、アナリストが攻撃手法を迅速に把握して対応手順の優先順位付けを行うのに役立ちます。

• 過去の手法分析: 識別子（T1050 など）で MITRE ATT&CK 手法の詳細を検索し、事前対応型の脅威ハンティングを容易にします。また、セキュリティ トレーニングとレポート作成のための信頼できる知識を提供します。

統合のパラメータ

MITRE ATT&CK 統合には、次のパラメータが必要です。

パラメータ	説明
API Root	必須。 MITRE ATT&CK CTI リポジトリ インスタンスの URL アドレス。
Verify SSL	省略可。 選択すると、統合は MITRE ATT&CK サーバーに接続するときに SSL 証明書を検証します。 デフォルトで有効になっています。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの方法については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応すると手動アクションを実行するをご覧ください。

注: この統合では、侵入セットを含むすべての MITRE ATT&CK オブジェクト情報が MITRE ATT&CK CTI リポジトリから直接取得されます。

このリポジトリは、統合の脅威インテリジェンス データの信頼できる情報源として機能します。

関連する侵入を取得する

関連する侵入を取得アクションを使用して、特定の MITRE ATT&CK 手法にリンクされている侵入セット（既知の攻撃者グループ）に関する情報を取得します。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

[関連する侵入を取得] アクションには、次のパラメータが必要です。

パラメータ	説明
Technique ID	必須。 関連する侵入セットの検索に使用される識別子（ID、名前、外部 ID）。
Identifier Type	必須。 Technique ID で指定された ID のタイプ。 注: UI オプションは、未加工の JSON 出力の name、id、external_id の各フィールドに対応しています。 値は次のいずれかになります。 Attack Name（Access Token Manipulation など） Attack ID（attack-pattern--478... など） External Attack ID（T1050 など） デフォルト値は Attack ID です。
Max Intrusions to Return	省略可。 取得する侵入セットの最大数。 デフォルト値は 20 です。

アクションの出力

[関連する侵入を取得] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、[関連する侵入を取得] アクションを使用した場合に受信される JSON 結果の出力を示しています。

注: Attack ID、Attack Name、External Attack ID という用語は、UI のプルダウン メニューで使用される一般的なラベルです。これらは、JSON 出力の id、name、external_id の各フィールドに対応しており、さまざまな MITRE ATT&CK オブジェクト（侵入セットなど）を表すことができます。

[
{
    "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
    "description":"[ADVERSARY GROUP 01](https://attack.mitre.org/groups/G0001) is a threat group that has been active since at least 2014. The group ...",
    "created":"2017-12-14T16:46:06.044Z",
    "x_mitre_contributors":["Security Researcher A, Organization B"],
    "modified":"2019-07-17T13:11:37.402Z",
    "name":"ADVERSARY GROUP 01",
    "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_version":"2.0",
    "aliases":["ADVERSARY-01","ThreatGroup A","CyberSquad X","T-C-00"],
    "type":"intrusion-set",
    "id":"intrusion-set--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
    "external_references":
    [
        {
            "url":"https://attack.mitre.org/groups/G0001",
            "source_name":"mitre-attack",
            "external_id":"G0001"
        },{
            "source_name":"ADVERSARY GROUP 01",
            "description":"(Citation: SecurityVendor A May 2017) (Citation: Research Org B Nov 2017)(Citation: SecurityFirm C May 2017)"
        }]},{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 02",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 02](https://attack.mitre.org/groups/G0002) is a cyber espionage group with...",
            "modified":"2019-03-22T19:57:36.804Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references": [
                {
                    "url":"https://attack.mitre.org/groups/G0002",
                    "source_name":"mitre-attack",
                    "external_id":"G0002"
                },{
                    "source_name":"ADVERSARY GROUP 02",
                    "description":"(Citation: Trend Research Daserf Nov 2017)"
                }],
            "x_mitre_version":"1.0",
            "type":"intrusion-set",
            "id":"intrusion-set--b1c2d3e4-f5g6-7h8i-9j0k-1l2m3n4o5p6q",
            "aliases":["ADVERSARY-02","ResearchGroup Z","Tango"]
        },{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 03",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 03](https://attack.mitre.org/groups/G0003) is a cyber espionage group that has been ...",
            "modified":"2019-05-03T16:42:19.026Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references":
          [{
              "url":"https://attack.mitre.org/groups/G0003",
              "source_name":"mitre-attack",
              "external_id":"G0003"
          },{
              "source_name":"ADVERSARY GROUP 03",
              "description":"(Citation: ClearSky Analysis March 2017) (Citation: ClearSky Report July 2017) (Citation: Research Nov 2015)"
          },],
            "x_mitre_version":"1.1",
            "type":"intrusion-set",
            "id":"intrusion-set--c1d2e3f4-g5h6-7i8j-9k0l-1m2n3o4p5q6r",
            "aliases":["ADVERSARY-03"]
        }
]

スクリプトの結果

次の表に、関連する侵入を取得アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	true または false

緩和策を取得する

Get Mitigations アクションを使用して、特定の MITRE ATT&CK 手法に関連付けられた緩和戦略を取得します。

このアクションは Google SecOps エンティティに対して実行されません。

重要: このアクションでは、内部 MITRE ATT&CK id フィールドを使用して、MITRE ATT&CK JSON データ内で検索します。

結果は、MITRE ATT&CK データに、緩和策を手法にリンクする 'mitigates' タイプの直接的な関係が含まれている場合にのみ返されます。

アクション入力

[Get Mitigations] アクションには、次のパラメータが必要です。

パラメータ	説明
Technique ID	必須。 MITRE ATT&CK 手法に関連する緩和策を見つけるために使用される識別子（名前、内部 ID、外部 ID）。
Identifier Type	必須。 Technique ID で指定された ID のタイプ。 注: UI オプションは、未加工の JSON 出力の name、id、external_id の各フィールドに対応しています。 値は次のいずれかになります。 Attack Name（Access Token Manipulation など） Attack ID（attack-pattern--478... など） External Attack ID（T1050 など） デフォルト値は Attack ID です。
Max Mitigations to Return	省略可。 取得する緩和コントロールの最大数。 デフォルト値は 20 です。

アクションの出力

[緩和策を取得] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、[Get Mitigations] アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
        "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Resource A 2010), such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where applicable. (Citation: Tech Ref E)",
        "created": "2018-10-17T00:14:20.652Z",
        "x_mitre_deprecated": true,
        "modified": "2019-07-24T14:26:14.411Z",
        "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
        "external_references": [
            {
                "url": "https://attack.mitre.org/mitigations/T9000",
                "source_name": "mitre-attack",
                "external_id": "T9000"
            },
            {
                "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                "source_name": "Resource A 2010",
                "description": "General Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
            },
            {
                "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                "source_name": "Security Blog C 2016",
                "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
            },
            {
                "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                "source_name": "Security Guide D 2014",
                "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
            },
            {
                "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                "source_name": "Tech Ref E 2008",
                "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
            },
            {
                "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                "source_name": "Tech Ref F",
                "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
            }
        ],
        "x_mitre_version": "1.0",
        "type": "course-of-action",
        "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
        "name": "File Encryption Mitigation"
    }
]

スクリプトの結果

次の表に、Get Mitigations アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	true または false

手法の詳細を取得する

Get Technique Details アクションを使用して、特定の MITRE ATT&CK 手法に関する包括的で詳細な情報を取得します。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

[Get Technique Details] アクションには、次のパラメータが必要です。

パラメータ	説明
Technique Identifier	必須。 MITRE ATT&CK 手法に関する詳細情報を検索するために使用される ID（名前、内部 ID、外部 ID）のカンマ区切りのリスト。
Identifier Type	必須。 Technique Identifier で指定された ID のタイプ。 注: UI オプションは、未加工の JSON 出力の name、id、external_id の各フィールドに対応しています。 値は次のいずれかになります。 Attack Name（例: Access Token Manipulation） Attack ID（例: attack-pattern--478...） External Attack ID（例: T1050） デフォルト値は Attack ID です。
Create Insights	省略可。 選択すると、処理された MITRE ATT&CK 手法ごとに個別のセキュリティ インサイトが生成されます。 デフォルトでは無効にされています。

アクションの出力

[Get Technique Details] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、Get Technique Details アクションを使用した場合に受信した JSON 結果の出力を示しています。

{
    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
    "external_references": [
        {
            "url": "https://attack.mitre.org/techniques/T9000",
            "external_id": "T9000",
            "source_name": "mitre-attack"
        },
        {
            "url": "http://www.security-research.org/~author/DetectingEncryptedTraffic.pdf",
            "source_name": "Research Group A 2013",
            "description": "Author, H., Co-Author, C., & Co-Author, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
        },
        {
            "url": "https://generic-wiki.org/FileSignatures",
            "source_name": "Wiki File Header Signatures",
            "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
        }
    ],
    "created": "2017-05-31T21:30:30.26Z",
    "x_mitre_platforms": ["Linux", "macOS", "Windows"],
    "type": "attack-pattern",
    "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques may be used to transfer the encrypted information out of the network, such as [Exfiltration Over C2 Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternate Protocol](https://attack.mitre.org/techniques/T1048)",
    "kill_chain_phases": [
        {
            "phase_name": "exfiltration",
            "kill_chain_name": "mitre-attack"
        }
    ],
    "modified": "2018-10-17T00:14:20.652Z",
    "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_network_requirements": false,
    "x_mitre_version": "1.0",
    "x_mitre_data_sources": ["File monitoring", "Process monitoring", "Process command-line parameters", "Binary file metadata"],
    "x_mitre_detection": "Encrypted files and related execution software can be detected through various means. Monitoring processes and command-line arguments for known encryption utilities may reveal suspicious activity. A process loading a key operating system DLL may be utilized to perform encryption. \\n\\nNetwork traffic analysis can reveal high entropy data indicative of encrypted transmission (Citation: Research Group A 2013). If the communications channel is unencrypted, network intrusion or DLP systems can detect encrypted files in transit by analyzing file headers (Citation: Wiki File Header Signatures).",
    "name": "Data Encryption for Exfiltration"
}

スクリプトの結果

次の表に、Get Technique Details アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	true または false

手法の詳細を取得する

手法の詳細を取得アクションを使用して、MITRE ATT&CK 手法に関する包括的で詳細な情報を取得します。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

[Get Techniques Details] アクションには、次のパラメータが必要です。

パラメータ	説明
Technique Identifier	必須。 MITRE ATT&CK 手法に関する詳細情報を検索するために使用される ID（名前、内部 ID、外部 ID）のカンマ区切りのリスト。
Identifier Type	必須。 Technique Identifier で指定された ID のタイプ。 注: UI オプションは、未加工の JSON 出力の name、id、external_id の各フィールドに対応しています。 値は次のいずれかになります。 Name（例: Access Token Manipulation） ID（例: attack-pattern--478...） External ID（例: T1050） デフォルト値は ID です。

アクションの出力

[Get Techniques Details] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、Get Techniques Details アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
            "external_references": [
                {
                    "url": "https://attack.mitre.org/techniques/T9000",
                    "external_id": "T9000",
                    "source_name": "mitre-attack"
                },
                {
                    "url": "http://www.security-research.org/~author/encrypted-botnet-traffic.pdf",
                    "source_name": "Research Group A 2013",
                    "description": "Author, H., Co-Author, C., & Massey, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
                },
                {
                    "url": "https://generic-wiki.org/FileHeaderSignatures",
                    "source_name": "Wiki File Header Signatures",
                    "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
                }
            ],
            "created": "2017-05-31T21:30:30.26Z",
            "x_mitre_platforms": ["Linux", "macOS", "Windows"],
            "type": "attack-pattern",
            "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques likely apply as well to transfer the information out of the network, such as [Exfiltration Over Command and Control Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048)",
            "kill_chain_phases": [
                {
                    "phase_name": "exfiltration",
                    "kill_chain_name": "mitre-attack"
                }
            ],
            "modified": "2018-10-17T00:14:20.652Z",
            "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
            "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "x_mitre_network_requirements": false,
            "x_mitre_version": "1.0",
            "x_mitre_data_sources": [
                "File monitoring",
                "Process monitoring",
                "Process command-line parameters",
                "Binary file metadata"
            ],
            "x_mitre_detection": "Encryption software and encrypted files can be detected in many ways. Common utilities that may be present on the system or brought in by an adversary may be detectable through process monitoring and monitoring for command-line arguments for known encryption utilities. This may yield a significant amount of benign events, depending on how systems in the environment are typically used. The encryption key is often stated within command-line invocation of the software. A process that loads the Windows DLL crypt32.dll may be used to perform encryption, decryption, or verification of file signatures. Network traffic may also be analyzed for entropy to determine if encrypted data is being transmitted. (Citation: Research Group A 2013) If the communications channel is unencrypted, encrypted files of known file types can be detected in transit during exfiltration with a network intrusion detection or data loss prevention system analyzing file headers. (Citation: Wiki File Header Signatures)",
            "name": "Data Encryption for Exfiltration"
        }
    }
]

出力メッセージ

[Get Techniques Details] アクションは、次の出力メッセージを返すことがあります。

出力メッセージ	メッセージの説明
Retrieved detailed information about the following techniques: TECHNIQUES. Action wasn't able to retrieve detailed information about the following techniques: TECHNIQUES Action wasn't able to find the provided techniques.	アクションが成功しました。
Error executing action "Get Technique Details". Reason: ERROR_REASON	操作に失敗しました。 サーバーへの接続、入力パラメータ、または認証情報を確認してください。

スクリプトの結果

次の表に、Get Techniques Details アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	true または false

Get Techniques Mitigations

Get Techniques Mitigations アクションを使用して、指定された MITRE 攻撃手法のリストに関連付けられている緩和戦略を取得します。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

[Get Techniques Mitigations] アクションには、次のパラメータが必要です。

パラメータ	説明
Technique ID	必須。 MITRE ATT&CK 手法に関連する緩和策を見つけるために使用される識別子（名前、内部 ID、外部 ID）のカンマ区切りのリスト。
Identifier Type	必須。 Technique ID で指定された ID のタイプ。 値は次のいずれかになります。 Attack Name （例: Access Token Manipulation） Attack ID （例: attack-pattern--478...） External Attack ID（例: T1050） デフォルト値は Attack ID です。
Max Mitigations to Return	省略可。 取得する緩和コントロールの最大数。 デフォルト値は 20 です。

アクションの出力

[Get Techniques Mitigations] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、Get Techniques Mitigations アクションを使用した場合に受信した JSON 結果の出力を示しています。

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "mitigations": [
                {
                    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
                    "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Research Org A 2010) such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where appropriate. (Citation: Tech Ref E)",
                    "created": "2018-10-17T00:14:20.652Z",
                    "x_mitre_deprecated": true,
                    "modified": "2019-07-24T14:26:14.411Z",
                    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
                    "external_references": [
                        {
                            "url": "https://attack.mitre.org/mitigations/T9000",
                            "source_name": "mitre-attack",
                            "external_id": "T9000"
                        },
                        {
                            "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                            "source_name": "Research Org A 2010",
                            "description": "Generic Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
                        },
                        {
                            "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                            "source_name": "Security Blog C 2016",
                            "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
                        },
                        {
                            "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                            "source_name": "Security Guide D 2014",
                            "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
                        },
                        {
                            "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                            "source_name": "Tech Ref E 2008",
                            "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
                        },
                        {
                            "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                            "source_name": "Tech Ref F",
                            "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
                        }
                    ],
                    "x_mitre_version": "1.0",
                    "type": "course-of-action",
                    "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                    "name": "File Encryption Mitigation"
                }
            ]
        }
    }
]

出力メッセージ

Get Techniques Mitigations アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
Successfully retrieved mitigations for the following techniques: TECHNIQUES. Action wasn't able to to find mitigations for the following techniques: TECHNIQUES	アクションが成功しました。
Error executing action "Get Techniques Mitigations". Reason: ERROR_REASON	操作に失敗しました。 サーバーへの接続、入力パラメータ、または認証情報を確認してください。

スクリプトの結果

次の表に、Get Techniques Mitigations アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	true または false

Ping

Ping アクションを使用して、MITRE ATT&CK への接続をテストします。

このアクションは Google SecOps エンティティに対して実行されません。

アクション入力

なし

アクションの出力

Ping アクションは次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォール テーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名	値
is_success	true または false

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。