Siemplify ThreatFuse in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Siemplify ThreatFuse in Google Security Operations einbinden.

Anwendungsfälle

Die Integration von Siemplify ThreatFuse nutzt Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • Netzwerk- und Nutzerentitäten anreichern: Rufen Sie automatisch Bedrohungsbewertungen, Konfidenzniveaus und Metadaten für IP-Adressen, URLs, Hashes und E-Mails ab, um schädliche Aktivitäten zu identifizieren.

  • Zugehörige Bedrohungsdaten ermitteln: Decken Sie zugehörige Hashes, Domains und IP-Adressen auf, um die von Bedrohungsakteuren verwendete Infrastruktur zu ermitteln.

  • Kampagnenverknüpfungen analysieren: Rufen Sie Details zu verknüpften Kampagnen, Malware-Familien und TTPs ab, um den Kontext eines Vorfalls besser zu verstehen.

  • Intelligence-Feeds verwalten: Sie können neue Observables an ThreatFuse senden oder falsch positive Ergebnisse direkt über die Plattform melden, um die Bedrohungsdaten Ihrer Organisation zu verfeinern.

Hinweis

Bevor Sie die Integration in Google SecOps konfigurieren, müssen Sie die folgenden Anforderungen in Ihrer Siemplify ThreatFuse-Umgebung (unterstützt von Anomali ThreatStream) erfüllen:

  • API-Anmeldedaten: Sie benötigen einen gültigen API-Schlüssel und die E-Mail-Adresse, die mit Ihrem Anomali- oder ThreatFuse-Konto verknüpft ist.

  • Anmeldedaten abrufen: Melden Sie sich im ThreatFuse-Portal an, um Ihren API-Schlüssel abzurufen. Gehen Sie zum Bereich Nutzerprofil und suchen Sie den Tab API-Informationen. Weitere Informationen finden Sie unter Anomali ThreatStream-Einstellungen.

  • Instanzdetails: Ermitteln Sie Ihr spezifisches Webstammverzeichnis und API-Stammverzeichnis. In der Regel ist der API-Stamm für Cloud-Instanzen https://api.threatstream.com.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Web Root String https://siemplify.threatstream.com Ja Webstamm der Siemplify ThreatFuse-Instanz. Dieser Parameter wird verwendet, um Berichtslinks über Integrationselemente hinweg zu erstellen.
API-Stamm String https://api.threatstream.com Ja API-Stamm der Siemplify ThreatFuse-Instanz.
E-Mail-Adresse String – Ja E-Mail-Adresse des Siemplify ThreatFuse-Kontos.
API-Schlüssel Passwort – Ja API-Schlüssel des Siemplify ThreatFuse-Kontos.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Siemplify ThreatFuse-Server gültig ist.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Testen Sie die Verbindung zu Siemplify ThreatFuse mit den Parametern, die auf der Seite für die Integrationskonfiguration im Google SecOps Content Hub angegeben sind.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:


Bei Erfolg: „Successfully connected to the Siemplify ThreatFuse server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:


Wenn nicht erfolgreich: „Failed to connect to the Siemplify ThreatFuse server! Error is {0}".format(exception.stacktrace)

 Allgemein

Entitäten anreichern

Informationen zu IP-Adressen, URLs, Hashes und E-Mail-Adressen aus Siemplify ThreatFuse abrufen. Wenn mehrere Einträge für dieselbe Entität gefunden werden, wird die Aktion mit dem neuesten Eintrag angereichert.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Schwellenwert für Schweregrad DDL

Mittel

Möglicher Wert:

  • Sehr hoch
  • Hoch
  • Mittel
  • Niedrig
 Ja

Geben Sie den Schwellenwert für den Schweregrad der Entität an, um sie als verdächtig zu kennzeichnen.

Wenn für dieselbe Entität mehrere Einträge gefunden werden, wird die Aktion mit dem höchsten Schweregrad aus allen verfügbaren Einträgen ausgewählt.
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzschwellenwert für die Entität an, um sie als verdächtig zu kennzeichnen.

Der Höchstwert ist 100.

Wenn für die Entität mehrere Einträge gefunden werden, wird der Durchschnitt verwendet.

Aktive Einträge haben Priorität.
Status „Falsch positiv“ ignorieren Kästchen Deaktiviert Nein

Wenn diese Option aktiviert ist, wird der Status „Falsch positiv“ ignoriert und die Entität wird basierend auf den Parametern „Schweregradgrenzwert“ und „Konfidenzgrenzwert“ als verdächtig markiert.

Wenn die Option deaktiviert ist, werden falsch positive Entitäten nie als verdächtig gekennzeichnet, unabhängig davon, ob sie die Bedingungen für „Schweregradgrenzwert“ und „Konfidenzgrenzwert“ erfüllen oder nicht.

Bedrohungstyp zu Fall hinzufügen Kästchen Deaktiviert Nein

Wenn diese Option aktiviert ist, werden die Bedrohungstypen des Elements aus allen Datensätzen als Tags zum Fall hinzugefügt.

Beispiel: apt
Nur Statistik zu verdächtigen Entitäten Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, werden nur für Entitäten Statistiken erstellt, die die Parameter „Schweregradgrenzwert“ und „Konfidenzgrenzwert“ überschritten haben.
Insight erstellen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird für jede verarbeitete Entität eine Statistik hinzugefügt.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "objects": [
        {
            "status": "inactive",
            "itype": "mal_md5",
            "expiration_ts": "2019-02-25T08:58:58.000Z",
            "ip": null,
            "is_editable": false,
            "feed_id": 2197,
            "update_id": 3328068779,
            "longitude": null,
            "org": "",
            "threat_type": "malware",
            "workgroups": [],
            "rdns": null,
            "confidence": 60,
            "uuid": "31d9ed97-9811-4b4b-9e2d-4b3f822eb37f",
            "subtype": "MD5",
            "trusted_circle_ids": [
                146,
                254
            ],
            "id": 51744433673,
            "source": "targetedthreats - OSINT",
            "owner_organization_id": 2,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1551097291170
            ],
            "description": null,
            "tags": [
                {
                    "id": "fvj",
                    "name": "Family=Code4HK"
                },
                {
                    "id": "zwz",
                    "name": "Report=https://malware.lu/articles/2014/09/29/analysis-of-code4hk.html"
                }
            ],
            "threatscore": 54,
            "source_reported_confidence": 60,
            "modified_ts": "2019-02-25T12:21:31.170Z",
            "is_public": false,
            "asn": "",
            "created_ts": "2018-11-27T09:00:33.468Z",
            "tlp": null,
            "is_anonymous": false,
            "country": null,
            "can_add_public_tags": false,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "retina_confidence": -1,
            "meta": {
                "detail2": "bifocals_deactivated_on_2019-02-25_09:30:00.127233",
                "severity": "high"
            },
            "resource_uri": "/api/v2/intelligence/51744433673/"
      "report_link": "https://siemplify.threatstream.com/detail/url/http:%2F%2Fsweetpineapple.co.za%2Fwp-admin%2Fuser%2Finternetbanking.suncorpbank.htm"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 191,
            "update_id": 5406560,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 90,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 5406560,
            "source": "SLC Alert Malware Domains",
            "owner_organization_id": 736,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1421928716491
            ],
            "description": null,
            "tags": [
                {
                    "name": "HITRUST"
                },
                {
                    "name": "Public-Threats"
                }
            ],
            "threatscore": 77,
            "source_reported_confidence": 60,
            "modified_ts": "2015-01-22T12:11:56.491Z",
            "org": "",
            "asn": "",
            "created_ts": "2015-01-22T12:11:56.491Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": true,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "severity": "high",
                "detail": "Public Threats,HITRUST"
            },
            "resource_uri": "/api/v2/intelligence/5406560/"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 0,
            "update_id": 59177,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 100,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 59177,
            "source": "Analyst",
            "owner_organization_id": 2,
            "import_session_id": 2325,
            "latitude": null,
            "type": "md5",
            "sort": [
                1412172414589
            ],
            "description": null,
            "tags": [
                {
                    "name": "apt_md5"
                },
                {
                    "name": "CN-APT"
                },
                {
                    "name": "IOS-Malware"
                },
                {
                    "name": "LadyBoyle"
                }
            ],
            "threatscore": 85,
            "source_reported_confidence": 0,
            "modified_ts": "2014-10-01T14:06:54.589Z",
            "org": "",
            "asn": "",
            "created_ts": "2014-10-01T14:06:40.858Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": false,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "detail2": "imported by user 1",
                "severity": "very-high",
                "detail": "LadyBoyle, IOS Malware, CN APT"
            },
            "resource_uri": "/api/v2/intelligence/59177/"
        }
    ],
    "is_risky": "true"
    "meta": {
        "total_count": 3,
        "offset": 0,
        "limit": 1000,
        "took": 27,
        "next": null
    }
}
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden
TFuse_id Wenn in JSON verfügbar
TFuse_status Wenn in JSON verfügbar
TFuse_itype Wenn in JSON verfügbar
TFuse_expiration_time Wenn in JSON verfügbar
TFuse_ip Wenn in JSON verfügbar
TFuse_feed_id Wenn in JSON verfügbar
TFuse_confidence Wenn in JSON verfügbar
TFuse_uuid Wenn in JSON verfügbar
TFuse_retina_confidence Wenn in JSON verfügbar
TFuse_trusted_circle_ids Wenn in JSON verfügbar
TFuse_source Wenn in JSON verfügbar
TFuse_latitude Wenn in JSON verfügbar
TFuse_type Wenn in JSON verfügbar
TFuse_description Wenn in JSON verfügbar
TFuse_tags Wenn in JSON verfügbar
TFuse_threat_score Wenn in JSON verfügbar
TFuse_source_confidence Wenn in JSON verfügbar
TFuse_modification_time Wenn in JSON verfügbar
TFuse_org_name Wenn in JSON verfügbar
TFuse_asn Wenn in JSON verfügbar
TFuse_creation_time Wenn in JSON verfügbar
TFuse_tlp Wenn in JSON verfügbar
TFuse_country Wenn in JSON verfügbar
TFuse_longitude Wenn in JSON verfügbar
TFuse_severity Wenn in JSON verfügbar
TFuse_subtype Wenn in JSON verfügbar
TFuse_report Wenn in JSON verfügbar
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens eine der bereitgestellten Entitäten angereichert wurde (is_success=true): „Successfully enriched the following entities using Siemplify ThreatFuse: \n {0}“.format(entity.identifier list)

Wenn bestimmte Entitäten nicht angereichert werden können (is_success=true): „Action was not able to enrich the following entities using Siemplify ThreatFuse\n: {0}“.format([entity.identifier])

Wenn die Anreicherung für alle Entitäten fehlschlägt (is_success=false): „Es wurden keine Entitäten angereichert.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzgrenzwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzgrenzwert‘ muss im Bereich von 0 bis 100 liegen.“

 Allgemein
CSV

Tabellenname: Related Analysis Links: {entity_identifier}

Tabellenspalten:

  • Name: Wird in der zweiten Antwort als Schlüssel zugeordnet (Beispiel: Virustotal)
  • Link: als Wert dem Schlüssel zugeordnet
Allgemein
CSV

Schlüssel basierend auf der Anreicherungstabelle.

Der Parameter „No Enrichment Prefix“ wird großgeschrieben.

 Allgemein

Rufen Sie entitätsbezogene Hashes basierend auf den Verknüpfungen in Siemplify ThreatFuse ab.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzschwellenwert an.

Maximum: 100
Threat Bulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in der Aktion nach Threat Bulletins gesucht.
Suchakteure Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Akteuren gesucht.
Angriffsmuster suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Angriffsmustern.
Suchkampagnen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden Kampagnen durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion unter Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Vorfällen.
Infrastrukturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Infrastrukturen.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Einbruchssets.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Signaturen gesucht.
Suchtools Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Tools.
TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in TTPs gesucht.
Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Sicherheitslücken.
Maximale Anzahl zurückzugebender Hashes Ganzzahl 50 Nein Geben Sie die Anzahl der Hashes an, die zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"{}_hashes".format(subtype): ["md5hash_1"],
"all_hashes": ["md5hash_1"]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn der Vorgang erfolgreich ist und mindestens ein Hash in den Entitäten gefunden wird (is_success=true): „Successfully retrieved related hashes from Siemplify ThreatFuse“

Wenn keine Hashes gefunden werden (is_success=false): „Es wurden keine zugehörigen Hashes gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Zugehörige Hashes abrufen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzgrenzwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzgrenzwert‘ muss im Bereich von 0 bis 100 liegen.“

 Allgemein

Entitätsbezogene URLs basierend auf den Verknüpfungen in Siemplify ThreatFuse abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzschwellenwert an.

Maximum: 100
Threat Bulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in der Aktion nach Threat Bulletins gesucht.
Suchakteure Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Akteuren gesucht.
Angriffsmuster suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Angriffsmustern.
Suchkampagnen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden Kampagnen durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion unter Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Vorfällen.
Infrastrukturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Infrastrukturen.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Einbruchssets.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Signaturen gesucht.
Suchtools Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Tools.
TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in TTPs gesucht.
Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Sicherheitslücken.
Maximale Anzahl zurückzugebender URLs Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden URLs an.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens eine URL in den Entitäten gefunden wurde (is_success=true): „Successfully retrieved related urls from Siemplify ThreatFuse.“

Wenn keine Hashes gefunden werden (is_success=false): „No related urls were found.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Zugehörige URLs abrufen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzgrenzwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzgrenzwert‘ muss im Bereich von 0 bis 100 liegen.“

 Allgemein

Entitätsbezogene Domains basierend auf den Verknüpfungen in Siemplify ThreatFuse abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzschwellenwert an.

Maximum: 100
Threat Bulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in der Aktion nach Threat Bulletins gesucht.
Suchakteure Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Akteuren gesucht.
Angriffsmuster suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Angriffsmustern.
Suchkampagnen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden Kampagnen durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion unter Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Vorfällen.
Infrastrukturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Infrastrukturen.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Einbruchssets.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Signaturen gesucht.
Suchtools Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Tools.
TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in TTPs gesucht.
Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Sicherheitslücken.
Maximale Anzahl zurückzugebender Domains Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden Domains an.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"domains": ["www.google.com"]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn der Vorgang erfolgreich war und mindestens ein Hash in den Entitäten gefunden wurde (issuccess=true): „Successfully retrieved related domains from Siemplify ThreatFuse.“

Wenn keine Hashes gefunden werden (issuccess=false): „Es wurden keine zugehörigen Domains gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Verwandte Domains abrufen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzgrenzwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzgrenzwert‘ muss im Bereich von 0 bis 100 liegen.“

 Allgemein

Entitätsbezogene E‑Mail-Adressen basierend auf den Verknüpfungen in Siemplify ThreatFuse abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzschwellenwert an.

Maximum: 100

Threat Bulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in der Aktion nach Threat Bulletins gesucht.
Suchakteure Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Akteuren gesucht.
Angriffsmuster suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Angriffsmustern.
Suchkampagnen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden Kampagnen durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion unter Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Vorfällen.
Infrastrukturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Infrastrukturen.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Einbruchssets.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Signaturen gesucht.
Suchtools Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Tools.
TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in TTPs gesucht.
Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Sicherheitslücken.
Maximale Anzahl zurückzugebender Domains Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden Domains an.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens ein Hash in den Entitäten gefunden wird (issuccess=true): „Successfully retrieved related email addresses from Siemplify ThreatFuse.“

Wenn keine Hashes gefunden werden (issuccess=false): „Es wurden keine zugehörigen E‑Mail-Adressen gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Zugehörige E‑Mail-Adressen abrufen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzgrenzwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzgrenzwert‘ muss im Bereich von 0 bis 100 liegen.“

 Allgemein

Rufen Sie IP-Adressen ab, die mit Entitäten verknüpft sind, basierend auf den Verknüpfungen in Siemplify ThreatFuse.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzschwellenwert an.

Maximum: 100

Threat Bulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in der Aktion nach Threat Bulletins gesucht.
Suchakteure Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Akteuren gesucht.
Angriffsmuster suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Angriffsmustern.
Suchkampagnen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden Kampagnen durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion unter den Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion unter Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Vorfällen.
Infrastrukturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Infrastrukturen.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Einbruchssets.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Signaturen gesucht.
Suchtools Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion in Tools.
TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in TTPs gesucht.
Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Sicherheitslücken.
Maximale Anzahl zurückzugebender Domains Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden Domains an.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht\*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens ein Hash in den Entitäten gefunden wurde (is_success=true): „Zugehörige IP-Adressen wurden erfolgreich aus Siemplify ThreatFuse abgerufen.“

Wenn keine Hashes gefunden werden (is_success=false): „Es wurden keine zugehörigen IP-Adressen gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Zugehörige IP-Adressen abrufen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzgrenzwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzgrenzwert‘ muss im Bereich von 0 bis 100 liegen.“

 Allgemein

Ruft entitätsbezogene Verknüpfungen aus Siemplify ThreatFuse ab.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Rückgabekampagnen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Kampagnen und Details dazu abgerufen.
Bedrohungsbulletins zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Bedrohungsbulletins und Details dazu abgerufen.
Akteure zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Akteure und Details zu ihnen abgerufen.
Angriffsmuster zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Angriffsmuster und Details dazu abgerufen.
Maßnahmen zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Maßnahmen und Details dazu abgerufen.
Identitäten zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Identitäten und Details dazu abgerufen.
Retourenvorfälle Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Vorfälle und Details dazu abgerufen.
Infrastruktur zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, ruft die Aktion die zugehörige Infrastruktur und Details dazu ab.
Intrusion Sets zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Intrusion Sets und Details dazu abgerufen.
Malware zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Malware und Details dazu abgerufen.
Signaturen zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Signaturen und Details dazu abgerufen.
Tools zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, ruft die Aktion zugehörige Tools und Details dazu ab.
Taktiken, Techniken und Verfahren zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige TTPs und Details dazu abgerufen.
Sicherheitslücken zurückgeben Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Sicherheitslücken und Details dazu abgerufen.
Kampagnenentität erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus verfügbaren „Kampagnen“-Verknüpfungen erstellt.
Entität „Actors“ erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus verfügbaren „Actor“-Verknüpfungen erstellt.
Signatur-Entität erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus verfügbaren „Signatur“-Verknüpfungen erstellt.
Sicherheitslücken-Entität erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus verfügbaren „Sicherheitslücken“-Verknüpfungen erstellt.
Insight erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik basierend auf den Ergebnissen erstellt.
Fall-Tag erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden durch die Aktion Fall-Tags basierend auf den Ergebnissen erstellt.
Maximale Anzahl zurückzugebender Verknüpfungen Ganzzahl – Nein Geben Sie die Anzahl der Verknüpfungen an, die pro Typ zurückgegeben werden sollen.
Maximale Anzahl zurückzugebender Statistiken Ganzzahl 3 Nein

Geben Sie die Anzahl der Top-Statistikergebnisse zu IOCs an, die zurückgegeben werden sollen.

Hinweis: Die Aktion verarbeitet maximal 1.000 IOCs, die mit der Verknüpfung zusammenhängen. Wenn Sie „0“ angeben, versucht die Aktion nicht, Statistikinformationen abzurufen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "campaign": [
        {
            "name": "Coronavirus",
            "id": 1
        },
        {
            "name": "Bad campaign",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens eine Verknüpfung zwischen Entitäten gefunden wurde (is_success=true): „Successfully retrieved related associations from Siemplify ThreatFuse“

Wenn keine Verknüpfungen gefunden werden (is_success=false): „Es wurden keine zugehörigen Verknüpfungen gefunden.“

Asynchrone Nachricht: Es wird darauf gewartet, dass alle Verknüpfungsdetails abgerufen werden.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Zugehörige Verknüpfung abrufen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
CSV

Name: „Zugehörige Verknüpfungen“

Spalten:

  • ID
  • Name
  • Typ (Name der Verknüpfung)
  • Status (zugeordnet als status/display_name)
 Allgemein

Beobachtbare Objekte einreichen

Senden Sie ein Observable an Siemplify ThreatFuse basierend auf den Entitäten IP, URL, Hash und E-Mail.

Wo finde ich die IDs für vertrauenswürdige Kontakte?

Suchen Sie den vertrauenswürdigen Kreis in Siemplify ThreatFuse und klicken Sie auf seinen Namen, um die ID eines vertrauenswürdigen Kreises zu finden. Die ID wird in der URL in der Adressleiste angezeigt.

Beispiel: https://siemplify.threatstream.com/search?trustedcircles=13.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Klassifizierung DDL

Privat

Mögliche Werte:

  • Öffentlich
  • Privat
 Ja Geben Sie die Klassifizierung des Observables an.
Bedrohungstyp DDL

APT

Mögliche Werte

  • APT
  • Adware
  • Ungewöhnlich
  • Anonymisierung
  • Bot
  • Brute
  • C2
  • Gehackt
  • Crypto
  • Datenleck
  • DDOS
  • Dynamisches DNS
  • Exfil
  • Exploit
  • Betrug
  • Hacking-Tool
  • I2P
  • Informationell
  • Malware
  • P2
  • Geparkt
  • Phish
  • Scannen
  • Sinkhole
  • Soziale Netzwerke
  • Spam
  • Unterdrücken
  • Verdächtig
  • TOR
  • VPS
 Ja Geben Sie den Bedrohungstyp für die Observables an.
Quelle String Siemplify Nein Geben Sie die Intelligence-Quelle für das Observable an.
Ablaufdatum Ganzzahl – Nein

Geben Sie das Ablaufdatum in Tagen für das Observable an.

Wenn hier nichts angegeben ist, wird durch die Aktion ein Observable erstellt, das nie abläuft.
IDs für vertrauenswürdige Kreise CSV – Nein

Geben Sie eine durch Kommas getrennte Liste der IDs vertrauenswürdiger Kreise an.

Beobachtungen werden mit diesen vertrauenswürdigen Kreisen geteilt.

TLP DDL

Wählen Sie eine Option aus.

Mögliche Werte:

  • Wählen Sie eine Option aus.
  • Rot
  • Grün
  • Bernsteingelb
  • Weiß
 Nein Geben Sie das TLP für Ihre Observables an.
Zuverlässigkeit Ganzzahl – Nein

Geben Sie an, wie hoch die Konfidenz für das Observable sein soll.

Hinweis: Dieser Parameter funktioniert nur, wenn Sie Observables in Ihrer Organisation erstellen und der Parameter „Override System Confidence“ (Systemkonfidenz überschreiben) aktiviert ist.
Systemkonfidenz überschreiben Kästchen Deaktiviert Nein

Wenn diese Option aktiviert ist, haben erstellte Observables die im Parameter „Konfidenz“ angegebene Konfidenz.

Hinweis: Wenn dieser Parameter aktiviert ist, können Sie Observables nicht in vertrauenswürdigen Kreisen und öffentlich freigeben.
Anonyme Einreichung Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion anonym gesendet.
Tags CSV – Nein Geben Sie eine durch Kommas getrennte Liste von Tags an, die Sie dem Observable hinzufügen möchten.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
approved_jobs = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens ein Hash in den Entitäten gefunden wird (is_success=true): „Successfully submitted and approved the following entities in Siemplify ThreatFuse:\n{0}“.format(entity.identifier list)

Wenn die Aktion für einige Entitäten fehlschlägt (abgelehnte Entitäten) (is_success=true): „Action was not able to successfully submit and approve the following entities in Siemplify ThreatFuse\n: {0}“.format([entity.identifier])

Wenn die Anreicherung für alle Entitäten fehlschlägt (is_success=false): „Es wurden keine Entitäten erfolgreich an Siemplify ThreatFuse gesendet.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Observable einreichen‘. Reason: {0}''.format(error.Stacktrace)

Wenn der Statuscode 400 gemeldet wird: „Fehler beim Ausführen der Aktion ‚Observable einreichen‘. Reason: {0}''.format(message)

 Allgemein

Als falsch positives Ergebnis melden

Entitäten in Siemplify ThreatFuse als falsch positiv melden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Grund String – Ja Geben Sie an, warum Sie Entitäten als falsch positiv kennzeichnen möchten.
Kommentar String – Ja Geben Sie zusätzliche Informationen zu Ihrer Entscheidung an, die Entität als falsch positiv zu kennzeichnen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Nutzername mit regulären Ausdrücken für E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und mindestens ein Hash in den Entitäten gefunden wird (is_success=true): „Successfully reported the following entities as false positive in Siemplify ThreatFuse:\n{0}“.format(entity.identifier list)

Wenn bestimmte Entitäten nicht markiert werden können (is_success=true): „Action was not able to report the following entities as false positive in Siemplify ThreatFuse\n: {0}“.format([entity.identifier])

Wenn die Anreicherung für alle Entitäten fehlschlägt (issuccess=false): „Keine Entitäten wurden als falsch positiv gemeldet.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Als falsch positiv melden‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Siemplify ThreatFuse – Observables Connector

Beobachtbare Objekte aus Siemplify ThreatFuse abrufen.

Empfehlungen

Beim Konfigurieren von Config Connector wird empfohlen, eine separate Umgebung zu verwenden, damit die Analysten nicht mit allen spekulativen Benachrichtigungen überflutet werden.

Wo finde ich die IDs für vertrauenswürdige Kontakte?

Wenn Sie die ID eines vertrauenswürdigen Kreises ermitteln möchten, suchen Sie den vertrauenswürdigen Kreis in Siemplify ThreatFuse und klicken Sie auf seinen Namen. Die ID wird in der URL in der Adressleiste angezeigt.

Beispiel: https://siemplify.threatstream.com/search?trustedcircles=13.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String Typ Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.

Regex-Muster für Umgebung

 String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 300 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String

https://api.threat
stream.com

 Ja API-Stamm der Siemplify ThreatFuse-Instanz.
E-Mail-Adresse String – Ja E-Mail-Adresse des Siemplify ThreatFuse-Kontos.
API-Schlüssel Passwort – Ja API-Schlüssel des Siemplify ThreatFuse-Kontos.
Niedrigster abzurufender Schweregrad String Hoch Ja

Niedrigster Schweregrad, der zum Abrufen von Beobachtungen verwendet wird.

Mögliche Werte:
Niedrig

Mittel

Hoch

Sehr hoch
Niedrigste Zuverlässigkeit zum Abrufen Ganzzahl 50 Ja

Niedrigste Zuverlässigkeit, die zum Abrufen von Beobachtungen verwendet wird. Der Höchstwert ist 100.
Quellfeedfilter CSV – Nein Durch Kommas getrennte Liste der Feed-IDs, die zum Erfassen von Observables verwendet werden sollen. Beispiel: 515,4129
Filter für beobachtbare Typen CSV url, domain, email, hash, ip, ipv6 Nein

Durch Kommas getrennte Liste der Observable-Typen, die aufgenommen werden sollen. Beispiel: URL, Domain

Mögliche Werte: url, domain, email, hash, ip, ipv6
Filter für beobachtbaren Status CSV Aktiv Nein

Durch Kommas getrennte Liste der beobachtbaren Status, die zum Aufnehmen neuer Daten verwendet werden sollen. Beispiel: active,inactive

Mögliche Werte: active,inactive,falsepos
Filter für Bedrohungstyp CSV – Nein

Durch Kommas getrennte Liste von Bedrohungstypen, die zum Erfassen von Observables verwendet werden sollen. Beispiel: аdware,anomalous,anonymization,apt

Mögliche Werte:
аdware,anomalous,anonymization,
apt,bot,brute,c2,compromised,
crypto,data_leakage,ddos,dyn_dns,exfil,
exploit,fraud,hack_tool,i2p,informational,
malware,p2p,parked,phish,scan,sinkhole,spam,
suppress,suspicious,tor,vps
Filter für vertrauenswürdige Kreise CSV – Nein

Durch Kommas getrennte Liste der IDs vertrauenswürdiger Kreise, die zum Erfassen von Beobachtungen verwendet werden sollen.

Beispiel: 146,147
Filter für Tag-Namen CSV – Nein Durch Kommas getrennte Liste von Tag-Namen, die mit Observables verknüpft sind, die für die Aufnahme verwendet werden sollen. Beispiel: Microsoft-Anmeldedaten, Phishing.
Quellfeedgruppierung Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, gruppiert der Connector Observables aus derselben Quelle unter derselben Siemplify-Meldung.
Maximale Anzahl von Tagen für den Abruf in der Vergangenheit Ganzzahl 1 Nein Anzahl der Tage, für die Beobachtungsobjekte abgerufen werden sollen.
Maximale Anzahl von Observables pro Warnung Ganzzahl 100 Nein Wie viele Observables Teil einer Siemplify-Benachrichtigung sein sollten. Der Höchstwert ist 200.
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.
SSL überprüfen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Siemplify Threatfuse-Server gültig ist.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten