Integrare MITRE ATT&CK con Google Security Operations

Versione integrazione: 16.0

Questo documento spiega come integrare MITRE ATT&CK con Google Security Operations (Google SecOps).

Casi d'uso

L'integrazione di MITRE ATT&CK utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Correlazione tattica delle minacce: identifica automaticamente i set di intrusioni (gruppi di minacce noti) associati a una tecnica o tattica di attacco dannoso specifica osservata in un avviso, fornendo un contesto immediato sull'utente malintenzionato responsabile dell'attività.

  • Analisi del divario di mitigazione: per una tecnica di attacco segnalata, recupera e analizza automaticamente le mitigazioni associate disponibili nel framework MITRE ATT&CK. In questo modo, i team responsabili della sicurezza possono verificare se i controlli di difesa attuali sono sufficienti o se è necessario applicare patch o implementare strumenti.

  • Arricchimento e definizione delle priorità degli incidenti: arricchisci gli incidenti di sicurezza aggiungendo informazioni dettagliate sulle tecniche (inclusi descrizione, metodi di rilevamento e origini dati) direttamente alla bacheca del caso, aiutando gli analisti a comprendere rapidamente la metodologia di attacco e a dare la priorità ai passaggi di risposta.

  • Analisi storica delle tecniche: cerca dettagli completi su qualsiasi tecnica MITRE ATT&CK in base al suo identificatore (ad esempio T1050), facilitando la caccia alle minacce proattiva e fornendo conoscenze autorevoli per la formazione e la reportistica sulla sicurezza.

Parametri di integrazione

L'integrazione MITRE ATT&CK richiede i seguenti parametri:

Parametro Descrizione
API Root

Obbligatorio.

L'indirizzo URL dell'istanza del repository CTI MITRE ATT&CK.
Verify SSL

Facoltativo.

Se selezionata, l'integrazione convalida il certificato SSL quando si connette al server MITRE ATT&CK.

Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supportare più istanze.

Azioni

Per ulteriori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania e Eseguire un'azione manuale.

Ottenere intrusioni associate

Utilizza l'azione Recupera intrusioni associate per recuperare informazioni sui set di intrusioni (gruppi di avversari noti) collegati a una tecnica MITRE ATT&CK specifica.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Recupera intrusioni associate richiede i seguenti parametri:

Parametro Descrizione
Technique ID

Obbligatorio.

L'identificatore (ID, nome o ID esterno) utilizzato per trovare i gruppi di intrusione associati.
Identifier Type

Obbligatorio.

Il tipo di identificatore fornito in Technique ID.

I valori possibili sono:

  • Attack Name (ad esempio Access Token Manipulation)
  • Attack ID (ad esempio attack-pattern--478...)
  • External Attack ID (ad esempio T1050)

Il valore predefinito è Attack ID.
Max Intrusions to Return

Facoltativo.

Il numero massimo di set di intrusioni da recuperare.

Il valore predefinito è 20.

Output dell'azione

L'azione Get Associated Intrusions fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio mostra gli output dei risultati JSON ricevuti quando si utilizza l'azione Get Associated Intrusions:

[
{
    "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
    "description":"[ADVERSARY GROUP 01](https://attack.mitre.org/groups/G0001) is a threat group that has been active since at least 2014. The group ...",
    "created":"2017-12-14T16:46:06.044Z",
    "x_mitre_contributors":["Security Researcher A, Organization B"],
    "modified":"2019-07-17T13:11:37.402Z",
    "name":"ADVERSARY GROUP 01",
    "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_version":"2.0",
    "aliases":["ADVERSARY-01","ThreatGroup A","CyberSquad X","T-C-00"],
    "type":"intrusion-set",
    "id":"intrusion-set--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
    "external_references":
    [
        {
            "url":"https://attack.mitre.org/groups/G0001",
            "source_name":"mitre-attack",
            "external_id":"G0001"
        },{
            "source_name":"ADVERSARY GROUP 01",
            "description":"(Citation: SecurityVendor A May 2017) (Citation: Research Org B Nov 2017)(Citation: SecurityFirm C May 2017)"
        }]},{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 02",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 02](https://attack.mitre.org/groups/G0002) is a cyber espionage group with...",
            "modified":"2019-03-22T19:57:36.804Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references": [
                {
                    "url":"https://attack.mitre.org/groups/G0002",
                    "source_name":"mitre-attack",
                    "external_id":"G0002"
                },{
                    "source_name":"ADVERSARY GROUP 02",
                    "description":"(Citation: Trend Research Daserf Nov 2017)"
                }],
            "x_mitre_version":"1.0",
            "type":"intrusion-set",
            "id":"intrusion-set--b1c2d3e4-f5g6-7h8i-9j0k-1l2m3n4o5p6q",
            "aliases":["ADVERSARY-02","ResearchGroup Z","Tango"]
        },{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 03",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 03](https://attack.mitre.org/groups/G0003) is a cyber espionage group that has been ...",
            "modified":"2019-05-03T16:42:19.026Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references":
          [{
              "url":"https://attack.mitre.org/groups/G0003",
              "source_name":"mitre-attack",
              "external_id":"G0003"
          },{
              "source_name":"ADVERSARY GROUP 03",
              "description":"(Citation: ClearSky Analysis March 2017) (Citation: ClearSky Report July 2017) (Citation: Research Nov 2015)"
          },],
            "x_mitre_version":"1.1",
            "type":"intrusion-set",
            "id":"intrusion-set--c1d2e3f4-g5h6-7i8j-9k0l-1m2n3o4p5q6r",
            "aliases":["ADVERSARY-03"]
        }
]
Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando si utilizza l'azione Recupera intrusioni associate:

Nome del risultato dello script Valore
is_success true o false

Ottieni mitigazioni

Utilizza l'azione Ottieni mitigazioni per recuperare le strategie di mitigazione associate a una tecnica MITRE ATT&CK specifica.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Ottieni mitigazioni richiede i seguenti parametri:

Parametro Descrizione
Technique ID

Obbligatorio.

L'identificatore (nome, ID interno o ID esterno) utilizzato per trovare le mitigazioni associate per la tecnica MITRE ATT&CK.
Identifier Type

Obbligatorio.

Il tipo di identificatore fornito in Technique ID.

I valori possibili sono:

  • Attack Name (ad es. Access Token Manipulation)
  • Attack ID (ad esempio attack-pattern--478...)
  • External Attack ID (ad esempio T1050)

Il valore predefinito è Attack ID.
Max Mitigations to Return

Facoltativo.

Il numero massimo di controlli di mitigazione da recuperare.

Il valore predefinito è 20.

Output dell'azione

L'azione Ottieni mitigazioni fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio mostra gli output dei risultati JSON ricevuti quando si utilizza l'azione Get Mitigations:

[
    {
        "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
        "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Resource A 2010), such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where applicable. (Citation: Tech Ref E)",
        "created": "2018-10-17T00:14:20.652Z",
        "x_mitre_deprecated": true,
        "modified": "2019-07-24T14:26:14.411Z",
        "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
        "external_references": [
            {
                "url": "https://attack.mitre.org/mitigations/T9000",
                "source_name": "mitre-attack",
                "external_id": "T9000"
            },
            {
                "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                "source_name": "Resource A 2010",
                "description": "General Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
            },
            {
                "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                "source_name": "Security Blog C 2016",
                "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
            },
            {
                "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                "source_name": "Security Guide D 2014",
                "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
            },
            {
                "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                "source_name": "Tech Ref E 2008",
                "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
            },
            {
                "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                "source_name": "Tech Ref F",
                "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
            }
        ],
        "x_mitre_version": "1.0",
        "type": "course-of-action",
        "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
        "name": "File Encryption Mitigation"
    }
]
Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni mitigazioni:

Nome del risultato dello script Valore
is_success true o false

Visualizzare i dettagli della tecnica

Utilizza l'azione Ottieni dettagli tecnica per recuperare informazioni complete e dettagliate su una tecnica MITRE ATT&CK specifica.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Ottieni dettagli tecnica richiede i seguenti parametri:

Parametro Descrizione
Technique Identifier

Obbligatorio.

Un elenco di identificatori separati da virgole (nome, ID interno o ID esterno) utilizzati per trovare informazioni dettagliate sulle tecniche MITRE ATT&CK.
Identifier Type

Obbligatorio.

Il tipo di identificatore fornito in Technique Identifier.

I valori possibili sono:

  • Attack Name (esempio: Access Token Manipulation)
  • Attack ID (esempio: attack-pattern--478...)
  • External Attack ID (esempio: T1050)

Il valore predefinito è Attack ID.
Create Insights

Facoltativo.

Se selezionata, l'azione genera un approfondimento sulla sicurezza separato per ogni tecnica MITRE ATT&CK elaborata.

Disabilitato per impostazione predefinita.

Output dell'azione

L'azione Recupera dettagli tecnica fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio mostra gli output dei risultati JSON ricevuti quando si utilizza l'azione Ottieni dettagli tecnica:

{
    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
    "external_references": [
        {
            "url": "https://attack.mitre.org/techniques/T9000",
            "external_id": "T9000",
            "source_name": "mitre-attack"
        },
        {
            "url": "http://www.security-research.org/~author/DetectingEncryptedTraffic.pdf",
            "source_name": "Research Group A 2013",
            "description": "Author, H., Co-Author, C., & Co-Author, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
        },
        {
            "url": "https://generic-wiki.org/FileSignatures",
            "source_name": "Wiki File Header Signatures",
            "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
        }
    ],
    "created": "2017-05-31T21:30:30.26Z",
    "x_mitre_platforms": ["Linux", "macOS", "Windows"],
    "type": "attack-pattern",
    "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques may be used to transfer the encrypted information out of the network, such as [Exfiltration Over C2 Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternate Protocol](https://attack.mitre.org/techniques/T1048)",
    "kill_chain_phases": [
        {
            "phase_name": "exfiltration",
            "kill_chain_name": "mitre-attack"
        }
    ],
    "modified": "2018-10-17T00:14:20.652Z",
    "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_network_requirements": false,
    "x_mitre_version": "1.0",
    "x_mitre_data_sources": ["File monitoring", "Process monitoring", "Process command-line parameters", "Binary file metadata"],
    "x_mitre_detection": "Encrypted files and related execution software can be detected through various means. Monitoring processes and command-line arguments for known encryption utilities may reveal suspicious activity. A process loading a key operating system DLL may be utilized to perform encryption. \\n\\nNetwork traffic analysis can reveal high entropy data indicative of encrypted transmission (Citation: Research Group A 2013). If the communications channel is unencrypted, network intrusion or DLP systems can detect encrypted files in transit by analyzing file headers (Citation: Wiki File Header Signatures).",
    "name": "Data Encryption for Exfiltration"
}
Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni dettagli tecnica:

Nome del risultato dello script Valore
is_success true o false

Ottenere i dettagli delle tecniche

Utilizza l'azione Ottieni dettagli sulle tecniche per recuperare informazioni complete e dettagliate sulle tecniche MITRE ATT&CK.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Ottieni dettagli tecniche richiede i seguenti parametri:

Parametro Descrizione
Technique Identifier

Obbligatorio.

Un elenco di identificatori separati da virgole (nome, ID interno o ID esterno) utilizzati per trovare informazioni dettagliate sulle tecniche MITRE ATT&CK.
Identifier Type

Obbligatorio.

Il tipo di identificatore fornito in Technique Identifier.

I valori possibili sono:

  • Name (esempio: Access Token Manipulation)
  • ID (esempio: attack-pattern--478...)
  • External ID (esempio: T1050)

Il valore predefinito è ID.

Output dell'azione

L'azione Ottieni dettagli tecniche fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio mostra gli output dei risultati JSON ricevuti quando si utilizza l'azione Get Techniques Details:

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
            "external_references": [
                {
                    "url": "https://attack.mitre.org/techniques/T9000",
                    "external_id": "T9000",
                    "source_name": "mitre-attack"
                },
                {
                    "url": "http://www.security-research.org/~author/encrypted-botnet-traffic.pdf",
                    "source_name": "Research Group A 2013",
                    "description": "Author, H., Co-Author, C., & Massey, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
                },
                {
                    "url": "https://generic-wiki.org/FileHeaderSignatures",
                    "source_name": "Wiki File Header Signatures",
                    "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
                }
            ],
            "created": "2017-05-31T21:30:30.26Z",
            "x_mitre_platforms": ["Linux", "macOS", "Windows"],
            "type": "attack-pattern",
            "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques likely apply as well to transfer the information out of the network, such as [Exfiltration Over Command and Control Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048)",
            "kill_chain_phases": [
                {
                    "phase_name": "exfiltration",
                    "kill_chain_name": "mitre-attack"
                }
            ],
            "modified": "2018-10-17T00:14:20.652Z",
            "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
            "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "x_mitre_network_requirements": false,
            "x_mitre_version": "1.0",
            "x_mitre_data_sources": [
                "File monitoring",
                "Process monitoring",
                "Process command-line parameters",
                "Binary file metadata"
            ],
            "x_mitre_detection": "Encryption software and encrypted files can be detected in many ways. Common utilities that may be present on the system or brought in by an adversary may be detectable through process monitoring and monitoring for command-line arguments for known encryption utilities. This may yield a significant amount of benign events, depending on how systems in the environment are typically used. The encryption key is often stated within command-line invocation of the software. A process that loads the Windows DLL crypt32.dll may be used to perform encryption, decryption, or verification of file signatures. Network traffic may also be analyzed for entropy to determine if encrypted data is being transmitted. (Citation: Research Group A 2013) If the communications channel is unencrypted, encrypted files of known file types can be detected in transit during exfiltration with a network intrusion detection or data loss prevention system analyzing file headers. (Citation: Wiki File Header Signatures)",
            "name": "Data Encryption for Exfiltration"
        }
    }
]
Messaggi di output

L'azione Ottieni dettagli tecniche può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Retrieved detailed information about the following techniques: TECHNIQUES.

Action wasn't able to retrieve detailed information about the following techniques: TECHNIQUES

Action wasn't able to find the provided techniques.

 L'azione è riuscita.
Error executing action "Get Technique Details". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni dettagli tecniche:

Nome del risultato dello script Valore
is_success true o false

Ottenere le mitigazioni delle tecniche

Utilizza l'azione Ottieni mitigazioni delle tecniche per recuperare le strategie di mitigazione associate a un elenco specificato di tecniche MITRE ATT&CK.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Ottieni mitigazioni delle tecniche richiede i seguenti parametri:

Parametro Descrizione
Technique ID

Obbligatorio.

Un elenco separato da virgole di identificatori (nome, ID interno o ID esterno) utilizzati per trovare le mitigazioni associate per le tecniche MITRE ATT&CK.
Identifier Type

Obbligatorio.

Il tipo di identificatore fornito in Technique ID.

I valori possibili sono:

  • Attack Name (Esempio: Access Token Manipulation)
  • Attack ID (Esempio: attack-pattern--478...)
  • External Attack ID (esempio: T1050)

Il valore predefinito è Attack ID.
Max Mitigations to Return

Facoltativo.

Il numero massimo di controlli di mitigazione da recuperare.

Il valore predefinito è 20.

Output dell'azione

L'azione Ottieni mitigazioni delle tecniche fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio mostra gli output dei risultati JSON ricevuti quando si utilizza l'azione Get Techniques Mitigations:

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "mitigations": [
                {
                    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
                    "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Research Org A 2010) such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where appropriate. (Citation: Tech Ref E)",
                    "created": "2018-10-17T00:14:20.652Z",
                    "x_mitre_deprecated": true,
                    "modified": "2019-07-24T14:26:14.411Z",
                    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
                    "external_references": [
                        {
                            "url": "https://attack.mitre.org/mitigations/T9000",
                            "source_name": "mitre-attack",
                            "external_id": "T9000"
                        },
                        {
                            "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                            "source_name": "Research Org A 2010",
                            "description": "Generic Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
                        },
                        {
                            "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                            "source_name": "Security Blog C 2016",
                            "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
                        },
                        {
                            "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                            "source_name": "Security Guide D 2014",
                            "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
                        },
                        {
                            "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                            "source_name": "Tech Ref E 2008",
                            "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
                        },
                        {
                            "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                            "source_name": "Tech Ref F",
                            "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
                        }
                    ],
                    "x_mitre_version": "1.0",
                    "type": "course-of-action",
                    "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                    "name": "File Encryption Mitigation"
                }
            ]
        }
    }
]
Messaggi di output

L'azione Ottieni mitigazioni delle tecniche può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully retrieved mitigations for the following techniques: TECHNIQUES.

Action wasn't able to to find mitigations for the following techniques: TECHNIQUES

 L'azione è riuscita.
Error executing action "Get Techniques Mitigations". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando si utilizza l'azione Get Techniques Mitigations:

Nome del risultato dello script Valore
is_success true o false

Dindin

Utilizza l'azione Ping per testare la connettività a MITRE ATT&CK.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output dell'azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script Valore
is_success true o false

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.