MITRE ATT&CK를 Google Security Operations와 통합

통합 버전: 16.0

이 문서에서는 MITRE ATT&CK을 Google Security Operations (Google SecOps)와 통합하는 방법을 설명합니다.

사용 사례

MITRE ATT&CK 통합은 Google SecOps 기능을 사용하여 다음 사용 사례를 지원합니다.

  • 전술적 위협 상관관계: 알림에서 관찰된 특정 악성 공격 기법 또는 전술과 관련된 침입 세트 (알려진 위협 그룹)를 자동으로 식별하여 활동 배후에 있는 위협 공격자에 관한 즉각적인 컨텍스트를 제공합니다.

  • 완화 격차 분석: 플래그가 지정된 공격 기법의 경우 MITRE ATT&CK 프레임워크에서 제공되는 관련 완화를 자동으로 가져와 분석합니다. 이를 통해 보안팀은 현재 방어 제어가 충분한지 또는 패치나 도구 구현이 필요한지 확인할 수 있습니다.

  • 사고 보강 및 우선순위 지정: 케이스 월에 설명, 탐지 방법, 데이터 소스 등 자세한 기술 정보를 직접 추가하여 보안 사고를 보강함으로써 분석가가 공격 방법론을 빠르게 파악하고 대응 단계를 우선순위에 따라 지정할 수 있습니다.

  • 이전 기법 분석: 식별자 (예: T1050)로 MITRE ATT&CK 기법에 관한 포괄적인 세부정보를 검색하여 선제적 위협 헌팅을 촉진하고 보안 교육 및 보고를 위한 공신력 있는 지식을 제공합니다.

통합 매개변수

MITRE ATT&CK 통합에는 다음 매개변수가 필요합니다.

매개변수 설명
API Root

필수 항목입니다.

MITRE ATT&CK CTI 저장소 인스턴스의 URL 주소입니다.
Verify SSL

선택사항입니다.

선택하면 MITRE ATT&CK 서버에 연결할 때 통합에서 SSL 인증서를 검증합니다.

기본적으로 사용 설정됩니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참고하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 관한 자세한 내용은 여러 인스턴스 지원을 참고하세요.

작업

작업에 대한 자세한 내용은 내 Workdesk에서 대기 중인 작업에 응답하기 및 수동 작업 실행하기를 참고하세요.

연결된 침입 가져오기

연결된 침입 가져오기 작업을 사용하여 특정 MITRE ATT&CK 기술에 연결된 침입 세트 (알려진 공격자 그룹)에 관한 정보를 가져옵니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

연결된 침입 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Technique ID

필수 항목입니다.

연결된 침입 세트를 찾는 데 사용되는 식별자 (ID, 이름 또는 외부 ID)입니다.
Identifier Type

필수 항목입니다.

Technique ID에 제공된 식별자 유형입니다.

가능한 값은 다음과 같습니다.

  • Attack Name (예: Access Token Manipulation)
  • Attack ID (예: attack-pattern--478...)
  • External Attack ID (예: T1050)

기본값은 Attack ID입니다.
Max Intrusions to Return

선택사항입니다.

가져올 침입 세트의 최대 개수입니다.

기본값은 20입니다.

작업 출력

연결된 침입 가져오기 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예시에서는 연결된 침입 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

[
{
    "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
    "description":"[ADVERSARY GROUP 01](https://attack.mitre.org/groups/G0001) is a threat group that has been active since at least 2014. The group ...",
    "created":"2017-12-14T16:46:06.044Z",
    "x_mitre_contributors":["Security Researcher A, Organization B"],
    "modified":"2019-07-17T13:11:37.402Z",
    "name":"ADVERSARY GROUP 01",
    "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_version":"2.0",
    "aliases":["ADVERSARY-01","ThreatGroup A","CyberSquad X","T-C-00"],
    "type":"intrusion-set",
    "id":"intrusion-set--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
    "external_references":
    [
        {
            "url":"https://attack.mitre.org/groups/G0001",
            "source_name":"mitre-attack",
            "external_id":"G0001"
        },{
            "source_name":"ADVERSARY GROUP 01",
            "description":"(Citation: SecurityVendor A May 2017) (Citation: Research Org B Nov 2017)(Citation: SecurityFirm C May 2017)"
        }]},{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 02",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 02](https://attack.mitre.org/groups/G0002) is a cyber espionage group with...",
            "modified":"2019-03-22T19:57:36.804Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references": [
                {
                    "url":"https://attack.mitre.org/groups/G0002",
                    "source_name":"mitre-attack",
                    "external_id":"G0002"
                },{
                    "source_name":"ADVERSARY GROUP 02",
                    "description":"(Citation: Trend Research Daserf Nov 2017)"
                }],
            "x_mitre_version":"1.0",
            "type":"intrusion-set",
            "id":"intrusion-set--b1c2d3e4-f5g6-7h8i-9j0k-1l2m3n4o5p6q",
            "aliases":["ADVERSARY-02","ResearchGroup Z","Tango"]
        },{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 03",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 03](https://attack.mitre.org/groups/G0003) is a cyber espionage group that has been ...",
            "modified":"2019-05-03T16:42:19.026Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references":
          [{
              "url":"https://attack.mitre.org/groups/G0003",
              "source_name":"mitre-attack",
              "external_id":"G0003"
          },{
              "source_name":"ADVERSARY GROUP 03",
              "description":"(Citation: ClearSky Analysis March 2017) (Citation: ClearSky Report July 2017) (Citation: Research Nov 2015)"
          },],
            "x_mitre_version":"1.1",
            "type":"intrusion-set",
            "id":"intrusion-set--c1d2e3f4-g5h6-7i8j-9k0l-1m2n3o4p5q6r",
            "aliases":["ADVERSARY-03"]
        }
]
스크립트 결과

다음 표에는 연결된 침입 가져오기 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

완화 가져오기

Get Mitigations 작업을 사용하여 특정 MITRE ATT&CK 기법과 관련된 완화 전략을 가져옵니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

Get Mitigations 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Technique ID

필수 항목입니다.

MITRE ATT&CK 기법의 연결된 완화 조치를 찾는 데 사용되는 식별자 (이름, 내부 ID 또는 외부 ID)입니다.
Identifier Type

필수 항목입니다.

Technique ID에 제공된 식별자 유형입니다.

가능한 값은 다음과 같습니다.

  • Attack Name (예: Access Token Manipulation)
  • Attack ID (예: attack-pattern--478...)
  • External Attack ID (예: T1050)

기본값은 Attack ID입니다.
Max Mitigations to Return

선택사항입니다.

가져올 최대 완화 컨트롤 수입니다.

기본값은 20입니다.

작업 출력

완화 가져오기 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예는 완화 조치 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

[
    {
        "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
        "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Resource A 2010), such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where applicable. (Citation: Tech Ref E)",
        "created": "2018-10-17T00:14:20.652Z",
        "x_mitre_deprecated": true,
        "modified": "2019-07-24T14:26:14.411Z",
        "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
        "external_references": [
            {
                "url": "https://attack.mitre.org/mitigations/T9000",
                "source_name": "mitre-attack",
                "external_id": "T9000"
            },
            {
                "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                "source_name": "Resource A 2010",
                "description": "General Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
            },
            {
                "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                "source_name": "Security Blog C 2016",
                "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
            },
            {
                "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                "source_name": "Security Guide D 2014",
                "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
            },
            {
                "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                "source_name": "Tech Ref E 2008",
                "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
            },
            {
                "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                "source_name": "Tech Ref F",
                "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
            }
        ],
        "x_mitre_version": "1.0",
        "type": "course-of-action",
        "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
        "name": "File Encryption Mitigation"
    }
]
스크립트 결과

다음 표에는 Get Mitigations 작업을 사용할 때 스크립트 결과 출력의 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

기법 세부정보 가져오기

기법 세부정보 가져오기 작업을 사용하여 특정 MITRE ATT&CK 기법에 관한 포괄적이고 자세한 정보를 가져옵니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

기법 세부정보 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Technique Identifier

필수 항목입니다.

MITRE ATT&CK 기법에 관한 세부정보를 찾는 데 사용되는 식별자 (이름, 내부 ID 또는 외부 ID)의 쉼표로 구분된 목록입니다.
Identifier Type

필수 항목입니다.

Technique Identifier에 제공된 식별자 유형입니다.

가능한 값은 다음과 같습니다.

  • Attack Name (예: Access Token Manipulation)
  • Attack ID (예: attack-pattern--478...)
  • External Attack ID (예: T1050)

기본값은 Attack ID입니다.
Create Insights

선택사항입니다.

선택하면 이 작업은 처리된 모든 MITRE ATT&CK 기법에 대해 별도의 보안 통계를 생성합니다.

기본적으로 사용 중지됩니다.

작업 출력

Get Technique Details 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예는 기술 세부정보 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
    "external_references": [
        {
            "url": "https://attack.mitre.org/techniques/T9000",
            "external_id": "T9000",
            "source_name": "mitre-attack"
        },
        {
            "url": "http://www.security-research.org/~author/DetectingEncryptedTraffic.pdf",
            "source_name": "Research Group A 2013",
            "description": "Author, H., Co-Author, C., & Co-Author, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
        },
        {
            "url": "https://generic-wiki.org/FileSignatures",
            "source_name": "Wiki File Header Signatures",
            "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
        }
    ],
    "created": "2017-05-31T21:30:30.26Z",
    "x_mitre_platforms": ["Linux", "macOS", "Windows"],
    "type": "attack-pattern",
    "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques may be used to transfer the encrypted information out of the network, such as [Exfiltration Over C2 Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternate Protocol](https://attack.mitre.org/techniques/T1048)",
    "kill_chain_phases": [
        {
            "phase_name": "exfiltration",
            "kill_chain_name": "mitre-attack"
        }
    ],
    "modified": "2018-10-17T00:14:20.652Z",
    "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_network_requirements": false,
    "x_mitre_version": "1.0",
    "x_mitre_data_sources": ["File monitoring", "Process monitoring", "Process command-line parameters", "Binary file metadata"],
    "x_mitre_detection": "Encrypted files and related execution software can be detected through various means. Monitoring processes and command-line arguments for known encryption utilities may reveal suspicious activity. A process loading a key operating system DLL may be utilized to perform encryption. \\n\\nNetwork traffic analysis can reveal high entropy data indicative of encrypted transmission (Citation: Research Group A 2013). If the communications channel is unencrypted, network intrusion or DLP systems can detect encrypted files in transit by analyzing file headers (Citation: Wiki File Header Signatures).",
    "name": "Data Encryption for Exfiltration"
}
스크립트 결과

다음 표에는 기술 세부정보 가져오기 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

기법 세부정보 가져오기

기법 세부정보 가져오기 작업을 사용하여 MITRE ATT&CK 기법에 관한 포괄적이고 자세한 정보를 가져옵니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

기법 세부정보 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Technique Identifier

필수 항목입니다.

MITRE ATT&CK 기법에 관한 세부정보를 찾는 데 사용되는 식별자 (이름, 내부 ID 또는 외부 ID)의 쉼표로 구분된 목록입니다.
Identifier Type

필수 항목입니다.

Technique Identifier에 제공된 식별자 유형입니다.

가능한 값은 다음과 같습니다.

  • Name (예: Access Token Manipulation)
  • ID (예: attack-pattern--478...)
  • External ID (예: T1050)

기본값은 ID입니다.

작업 출력

Get Techniques Details 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예는 기술 세부정보 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
            "external_references": [
                {
                    "url": "https://attack.mitre.org/techniques/T9000",
                    "external_id": "T9000",
                    "source_name": "mitre-attack"
                },
                {
                    "url": "http://www.security-research.org/~author/encrypted-botnet-traffic.pdf",
                    "source_name": "Research Group A 2013",
                    "description": "Author, H., Co-Author, C., & Massey, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
                },
                {
                    "url": "https://generic-wiki.org/FileHeaderSignatures",
                    "source_name": "Wiki File Header Signatures",
                    "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
                }
            ],
            "created": "2017-05-31T21:30:30.26Z",
            "x_mitre_platforms": ["Linux", "macOS", "Windows"],
            "type": "attack-pattern",
            "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques likely apply as well to transfer the information out of the network, such as [Exfiltration Over Command and Control Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048)",
            "kill_chain_phases": [
                {
                    "phase_name": "exfiltration",
                    "kill_chain_name": "mitre-attack"
                }
            ],
            "modified": "2018-10-17T00:14:20.652Z",
            "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
            "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "x_mitre_network_requirements": false,
            "x_mitre_version": "1.0",
            "x_mitre_data_sources": [
                "File monitoring",
                "Process monitoring",
                "Process command-line parameters",
                "Binary file metadata"
            ],
            "x_mitre_detection": "Encryption software and encrypted files can be detected in many ways. Common utilities that may be present on the system or brought in by an adversary may be detectable through process monitoring and monitoring for command-line arguments for known encryption utilities. This may yield a significant amount of benign events, depending on how systems in the environment are typically used. The encryption key is often stated within command-line invocation of the software. A process that loads the Windows DLL crypt32.dll may be used to perform encryption, decryption, or verification of file signatures. Network traffic may also be analyzed for entropy to determine if encrypted data is being transmitted. (Citation: Research Group A 2013) If the communications channel is unencrypted, encrypted files of known file types can be detected in transit during exfiltration with a network intrusion detection or data loss prevention system analyzing file headers. (Citation: Wiki File Header Signatures)",
            "name": "Data Encryption for Exfiltration"
        }
    }
]
출력 메시지

기술 세부정보 가져오기 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Retrieved detailed information about the following techniques: TECHNIQUES.

Action wasn't able to retrieve detailed information about the following techniques: TECHNIQUES

Action wasn't able to find the provided techniques.

 작업이 완료되었습니다.
Error executing action "Get Technique Details". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
스크립트 결과

다음 표에는 기술 세부정보 가져오기 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

Get Techniques Mitigations(기법 완화 가져오기)

Get Techniques Mitigations 작업을 사용하여 지정된 MITRE 공격 기법 목록과 연결된 완화 전략을 가져옵니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

Get Techniques Mitigations 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Technique ID

필수 항목입니다.

MITRE ATT&CK 기법의 관련 완화 조치를 찾는 데 사용되는 식별자 (이름, 내부 ID 또는 외부 ID)의 쉼표로 구분된 목록입니다.
Identifier Type

필수 항목입니다.

Technique ID에 제공된 식별자 유형입니다.

가능한 값은 다음과 같습니다.

  • Attack Name (예: Access Token Manipulation)
  • Attack ID (예: attack-pattern--478...)
  • External Attack ID (예: T1050)

기본값은 Attack ID입니다.
Max Mitigations to Return

선택사항입니다.

가져올 최대 완화 컨트롤 수입니다.

기본값은 20입니다.

작업 출력

Get Techniques Mitigations 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예는 Get Techniques Mitigations 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "mitigations": [
                {
                    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
                    "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Research Org A 2010) such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where appropriate. (Citation: Tech Ref E)",
                    "created": "2018-10-17T00:14:20.652Z",
                    "x_mitre_deprecated": true,
                    "modified": "2019-07-24T14:26:14.411Z",
                    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
                    "external_references": [
                        {
                            "url": "https://attack.mitre.org/mitigations/T9000",
                            "source_name": "mitre-attack",
                            "external_id": "T9000"
                        },
                        {
                            "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                            "source_name": "Research Org A 2010",
                            "description": "Generic Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
                        },
                        {
                            "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                            "source_name": "Security Blog C 2016",
                            "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
                        },
                        {
                            "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                            "source_name": "Security Guide D 2014",
                            "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
                        },
                        {
                            "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                            "source_name": "Tech Ref E 2008",
                            "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
                        },
                        {
                            "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                            "source_name": "Tech Ref F",
                            "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
                        }
                    ],
                    "x_mitre_version": "1.0",
                    "type": "course-of-action",
                    "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                    "name": "File Encryption Mitigation"
                }
            ]
        }
    }
]
출력 메시지

Get Techniques Mitigations 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully retrieved mitigations for the following techniques: TECHNIQUES.

Action wasn't able to to find mitigations for the following techniques: TECHNIQUES

 작업이 완료되었습니다.
Error executing action "Get Techniques Mitigations". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
스크립트 결과

다음 표에는 Get Techniques Mitigations 작업을 사용할 때 스크립트 결과 출력의 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

핑

Ping 작업을 사용하여 MITRE ATT&CK와의 연결을 테스트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

없음

작업 출력

Ping 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
보강 테이블 사용 불가
JSON 결과 사용 불가
출력 메시지 사용 가능
스크립트 결과 사용 가능
스크립트 결과

다음 표에는 Ping 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success true 또는 false

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.