Siemplify ThreatFuse in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Siemplify ThreatFuse in Google Security Operations einbinden.

Anwendungsfälle

Bei der Siemplify ThreatFuse-Integration werden Google SecOps-Funktionen verwendet, um die folgenden Anwendungsfälle zu unterstützen:

  • Netzwerk- und Nutzerentitäten anreichern: Rufen Sie automatisch Bedrohungsbewertungen, Vertrauensstufen und Metadaten für IPs, URLs, Hashes und E-Mails ab, um schädliche Aktivitäten zu erkennen.

  • Zugehörige Bedrohungsdaten ermitteln: Sie können zugehörige Hashes, Domains und IP-Adressen ermitteln, um die von Bedrohungsakteuren verwendete Infrastruktur zu analysieren.

  • Kampagnenzuordnungen analysieren: Rufen Sie Details zu verknüpften Kampagnen, Malware-Familien und TTPs ab, um den umfassenderen Kontext eines Vorfalls zu verstehen.

  • Intelligence-Feeds verwalten: Sie können neue Observables an ThreatFuse senden oder Falschmeldungen direkt über die Plattform melden, um die Bedrohungsdaten Ihrer Organisation zu optimieren.

Hinweis

Bevor Sie die Integration in Google SecOps konfigurieren, müssen Sie die folgenden Anforderungen in Ihrer Siemplify ThreatFuse-Umgebung (basierend auf Anomali ThreatStream) erfüllen:

  • API-Anmeldedaten: Sie benötigen einen gültigen API-Schlüssel und die E-Mail-Adresse, die mit Ihrem Anomali- oder ThreatFuse-Konto verknüpft ist.

  • Anmeldedaten abrufen: Melden Sie sich im ThreatFuse-Portal an, rufen Sie den Bereich Nutzerprofil auf und suchen Sie nach dem Tab API-Informationen, um Ihren API-Schlüssel zu erhalten. Weitere Informationen finden Sie unter Anomali ThreatStream-Einstellungen.

  • Instanzdetails: Ermitteln Sie Ihr spezifisches Web- und API-Stammverzeichnis. Bei Cloud-Instanzen ist der API-Root in der Regel https://api.threatstream.com.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Webstamm String https://siemplify.threatstream.com Ja Webstammverzeichnis der Siemplify ThreatFuse-Instanz. Dieser Parameter wird verwendet, um Berichtslinks für Integrationsartikel zu erstellen.
API-Stamm String https://api.threatstream.com Ja API-Stammverzeichnis der Siemplify ThreatFuse-Instanz.
E-Mail-Adresse String – Ja E-Mail-Adresse des Siemplify ThreatFuse-Kontos.
API-Schlüssel Passwort – Ja API-Schlüssel des Siemplify ThreatFuse-Kontos.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Siemplify ThreatFuse-Server gültig ist.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen über „Mein Arbeitsbereich“ bearbeiten und Manuelle Maßnahme ausführen.

Ping

Testen Sie die Verbindung zu Siemplify ThreatFuse mit Parametern, die auf der Seite mit der Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine erforderlichen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:


Bei Erfolg: „Successfully connected to the Siemplify ThreatFuse server with the provided connection parameters!“ (Die Verbindung zum Siemplify ThreatFuse-Server wurde mit den angegebenen Verbindungsparametern hergestellt.)

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:


Wenn nicht erfolgreich: „Verbindung zum Siemplify ThreatFuse-Server konnte nicht hergestellt werden. Fehler: {0}".format(exception.stacktrace)

 Allgemein

Entitäten anreichern

Rufen Sie Informationen zu IP-Adressen, URLs, Hashes und E-Mail-Adressen aus Siemplify ThreatFuse ab. Wenn mehrere Datensätze für dieselbe Einheit gefunden werden, wird die Aktion mit dem neuesten Datensatz angereichert.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Schwellenwert für Schweregrad DDL

Mittel

Möglicher Wert:

  • Sehr hoch
  • Hoch
  • Mittel
  • Niedrig
 Ja

Geben Sie den Schweregradschwellenwert für die Entität an, um sie als verdächtig zu kennzeichnen.

Wenn mehrere Einträge für dieselbe Einheit gefunden werden, wird die Aktion mit dem höchsten Schweregrad aus allen verfügbaren Einträgen ausgeführt.
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzwert für die Entität an, um sie als verdächtig zu kennzeichnen.

Der Höchstwert beträgt 100.

Wenn mehrere Datensätze für die Einheit gefunden werden, wird der Durchschnittswert für die Aktion verwendet.

Aktive Datensätze haben Priorität.
Status „Falsch positiv“ ignorieren Kästchen Deaktiviert Nein

Wenn diese Option aktiviert ist, wird der Status „Falsch positiv“ ignoriert und die Einheit wird basierend auf den Parametern „Schweregrad-Grenzwert“ und „Konfidenzwert-Grenzwert“ als verdächtig markiert.

Wenn diese Option deaktiviert ist, werden falsch positive Entitäten niemals als verdächtig gekennzeichnet, unabhängig davon, ob sie die Bedingungen für „Schweregradschwellenwert“ und „Konfidenzwertschwellenwert“ erfüllen.

Bedrohungstyp dem Fall hinzufügen Kästchen Deaktiviert Nein

Wenn diese Option aktiviert ist, werden dem Fall Bedrohungstypen der Entität aus allen Datensätzen als Tags hinzugefügt.

Beispiel: apt
Nur Informationen zu verdächtigen Entitäten Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, werden nur für Einheiten, die die Parameter „Schweregrad-Schwellenwert“ und „Konfidenz-Schwellenwert“ überschritten haben, Statistiken erstellt.
Information erstellen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird für jede verarbeitete Entität eine Statistik hinzugefügt.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "objects": [
        {
            "status": "inactive",
            "itype": "mal_md5",
            "expiration_ts": "2019-02-25T08:58:58.000Z",
            "ip": null,
            "is_editable": false,
            "feed_id": 2197,
            "update_id": 3328068779,
            "longitude": null,
            "org": "",
            "threat_type": "malware",
            "workgroups": [],
            "rdns": null,
            "confidence": 60,
            "uuid": "31d9ed97-9811-4b4b-9e2d-4b3f822eb37f",
            "subtype": "MD5",
            "trusted_circle_ids": [
                146,
                254
            ],
            "id": 51744433673,
            "source": "targetedthreats - OSINT",
            "owner_organization_id": 2,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1551097291170
            ],
            "description": null,
            "tags": [
                {
                    "id": "fvj",
                    "name": "Family=Code4HK"
                },
                {
                    "id": "zwz",
                    "name": "Report=https://malware.lu/articles/2014/09/29/analysis-of-code4hk.html"
                }
            ],
            "threatscore": 54,
            "source_reported_confidence": 60,
            "modified_ts": "2019-02-25T12:21:31.170Z",
            "is_public": false,
            "asn": "",
            "created_ts": "2018-11-27T09:00:33.468Z",
            "tlp": null,
            "is_anonymous": false,
            "country": null,
            "can_add_public_tags": false,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "retina_confidence": -1,
            "meta": {
                "detail2": "bifocals_deactivated_on_2019-02-25_09:30:00.127233",
                "severity": "high"
            },
            "resource_uri": "/api/v2/intelligence/51744433673/"
      "report_link": "https://siemplify.threatstream.com/detail/url/http:%2F%2Fsweetpineapple.co.za%2Fwp-admin%2Fuser%2Finternetbanking.suncorpbank.htm"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 191,
            "update_id": 5406560,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 90,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 5406560,
            "source": "SLC Alert Malware Domains",
            "owner_organization_id": 736,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1421928716491
            ],
            "description": null,
            "tags": [
                {
                    "name": "HITRUST"
                },
                {
                    "name": "Public-Threats"
                }
            ],
            "threatscore": 77,
            "source_reported_confidence": 60,
            "modified_ts": "2015-01-22T12:11:56.491Z",
            "org": "",
            "asn": "",
            "created_ts": "2015-01-22T12:11:56.491Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": true,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "severity": "high",
                "detail": "Public Threats,HITRUST"
            },
            "resource_uri": "/api/v2/intelligence/5406560/"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 0,
            "update_id": 59177,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 100,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 59177,
            "source": "Analyst",
            "owner_organization_id": 2,
            "import_session_id": 2325,
            "latitude": null,
            "type": "md5",
            "sort": [
                1412172414589
            ],
            "description": null,
            "tags": [
                {
                    "name": "apt_md5"
                },
                {
                    "name": "CN-APT"
                },
                {
                    "name": "IOS-Malware"
                },
                {
                    "name": "LadyBoyle"
                }
            ],
            "threatscore": 85,
            "source_reported_confidence": 0,
            "modified_ts": "2014-10-01T14:06:54.589Z",
            "org": "",
            "asn": "",
            "created_ts": "2014-10-01T14:06:40.858Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": false,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "detail2": "imported by user 1",
                "severity": "very-high",
                "detail": "LadyBoyle, IOS Malware, CN APT"
            },
            "resource_uri": "/api/v2/intelligence/59177/"
        }
    ],
    "is_risky": "true"
    "meta": {
        "total_count": 3,
        "offset": 0,
        "limit": 1000,
        "took": 27,
        "next": null
    }
}
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden?
TFuse_id Wenn in JSON verfügbar
TFuse_status Wenn in JSON verfügbar
TFuse_itype Wenn in JSON verfügbar
TFuse_expiration_time Wenn in JSON verfügbar
TFuse_ip Wenn in JSON verfügbar
TFuse_feed_id Wenn in JSON verfügbar
TFuse_confidence Wenn in JSON verfügbar
TFuse_uuid Wenn in JSON verfügbar
TFuse_retina_confidence Wenn in JSON verfügbar
TFuse_trusted_circle_ids Wenn in JSON verfügbar
TFuse_source Wenn in JSON verfügbar
TFuse_latitude Wenn in JSON verfügbar
TFuse_type Wenn in JSON verfügbar
TFuse_description Wenn in JSON verfügbar
TFuse_tags Wenn in JSON verfügbar
TFuse_threat_score Wenn in JSON verfügbar
TFuse_source_confidence Wenn in JSON verfügbar
TFuse_modification_time Wenn in JSON verfügbar
TFuse_org_name Wenn in JSON verfügbar
TFuse_asn Wenn in JSON verfügbar
TFuse_creation_time Wenn in JSON verfügbar
TFuse_tlp Wenn in JSON verfügbar
TFuse_country Wenn in JSON verfügbar
TFuse_longitude Wenn in JSON verfügbar
TFuse_severity Wenn in JSON verfügbar
TFuse_subtype Wenn in JSON verfügbar
TFuse_report Wenn in JSON verfügbar
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens eine der bereitgestellten Entitäten angereichert wird (is_success=true): „Die folgenden Entitäten wurden mit Siemplify ThreatFuse angereichert: \n {0}“.format(entity.identifier list)

Wenn bestimmte Entitäten nicht angereichert werden können (is_success=true): „Action was not able to enrich the following entities using Siemplify ThreatFuse\n: {0}“.format([entity.identifier])

Wenn die Anreicherung für alle Entitäten fehlschlägt (is_success=false): „Es wurden keine Entitäten angereichert.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Enrich Entities‘. Grund: {0}''.format(error.Stacktrace)

Wenn der Parameter „Confidence Threshold“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Confidence Threshold‘ muss zwischen 0 und 100 liegen.“

 Allgemein
CSV

Tabellenname:Links zu ähnlichen Analysen: {entity_identifier}

Tabellenspalten:

  • Name: wird als Schlüssel in der zweiten Antwort zugeordnet (Beispiel: VirusTotal)
  • Link: als Wert für den Schlüssel zugeordnet
Allgemein
CSV

Schlüssel basierend auf der Anreicherungstabelle.

Das Präfix „No Enrichment“ (Keine Anreicherung) ist ein Parameter und wird großgeschrieben.

 Allgemein

Entitätsbezogene Hashes basierend auf den Verknüpfungen in Siemplify ThreatFuse abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzwert an.

Maximum: 100
Bedrohungsbulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in den Threat Bulletins gesucht.
Schauspieler suchen Kästchen Aktiviert Nein Wenn aktiviert, wird bei der Aktion nach Schauspielern gesucht.
Nach Angriffsmustern suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Angriffsmustern gesucht.
Suchkampagnen Kästchen Aktiviert Nein Wenn aktiviert, werden Kampagnen durch die Aktion durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsalternativen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Vorfällen gesucht.
Suchinfrastrukturen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Infrastrukturen gesucht.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Intrusion Sets gesucht.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Signaturen gesucht.
Suchoptionen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Ausführung der Aktion in den Tools gesucht.
Nach TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion in TTPs gesucht.
Nach Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Sicherheitslücken gesucht.
Maximale Anzahl zurückzugebender Hashes Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden Hashes an.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"{}_hashes".format(subtype): ["md5hash_1"],
"all_hashes": ["md5hash_1"]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens ein Hash für Entitäten gefunden wird (is_success=true): „Successfully retrieved related hashes from Siemplify ThreatFuse“ (Zugehörige Hashes wurden erfolgreich aus Siemplify ThreatFuse abgerufen)

Wenn keine Hashes gefunden werden (is_success=false): „No related hashes were found.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Get Related Hashes‘. Grund: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzschwellenwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzschwellenwert‘ muss zwischen 0 und 100 liegen.“

 Allgemein

Rufen Sie unternehmensbezogene URLs basierend auf den Zuordnungen in Siemplify ThreatFuse ab.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzwert an.

Maximum: 100
Bedrohungsbulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in den Threat Bulletins gesucht.
Schauspieler suchen Kästchen Aktiviert Nein Wenn aktiviert, wird bei der Aktion nach Schauspielern gesucht.
Nach Angriffsmustern suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Angriffsmustern gesucht.
Suchkampagnen Kästchen Aktiviert Nein Wenn aktiviert, werden Kampagnen durch die Aktion durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Vorfällen gesucht.
Suchinfrastrukturen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Infrastrukturen gesucht.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Intrusion Sets gesucht.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Signaturen gesucht.
Suchoptionen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Ausführung der Aktion in den Tools gesucht.
Nach TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion in TTPs gesucht.
Nach Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Sicherheitslücken gesucht.
Maximale Anzahl zurückzugebender URLs Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden URLs an.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens eine URL für Entitäten gefunden wird (is_success=true): „Successfully retrieved related urls from Siemplify ThreatFuse.“

Wenn keine Hashes gefunden werden (is_success=false): „No related URLs were found.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Ähnliche URLs abrufen‘. Grund: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzschwellenwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzschwellenwert‘ muss zwischen 0 und 100 liegen.“

 Allgemein

Rufen Sie entitätsbezogene Domains basierend auf den Zuordnungen in Siemplify ThreatFuse ab.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzwert an.

Maximum: 100
Bedrohungsbulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in den Threat Bulletins gesucht.
Schauspieler suchen Kästchen Aktiviert Nein Wenn aktiviert, wird bei der Aktion nach Schauspielern gesucht.
Nach Angriffsmustern suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Angriffsmustern gesucht.
Suchkampagnen Kästchen Aktiviert Nein Wenn aktiviert, werden Kampagnen durch die Aktion durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Vorfällen gesucht.
Suchinfrastrukturen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Infrastrukturen gesucht.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Intrusion Sets gesucht.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Signaturen gesucht.
Suchoptionen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Ausführung der Aktion in den Tools gesucht.
Nach TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion in TTPs gesucht.
Nach Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Sicherheitslücken gesucht.
Maximale Anzahl zurückzugebender Domains Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden Domains an.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"domains": ["www.google.com"]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens ein Hash für Entitäten gefunden wird (issuccess=true): „Successfully retrieved related domains from Siemplify ThreatFuse.“

Wenn keine Hashes gefunden werden (issuccess=false): „No related domains were found.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Zugehörige Domains abrufen‘. Grund: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzschwellenwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzschwellenwert‘ muss zwischen 0 und 100 liegen.“

 Allgemein

Rufen Sie anhand der Verknüpfungen in Siemplify ThreatFuse E‑Mail-Adressen ab, die mit der Einheit verknüpft sind.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzwert an.

Maximum: 100

Bedrohungsbulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in den Threat Bulletins gesucht.
Schauspieler suchen Kästchen Aktiviert Nein Wenn aktiviert, wird bei der Aktion nach Schauspielern gesucht.
Nach Angriffsmustern suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Angriffsmustern gesucht.
Suchkampagnen Kästchen Aktiviert Nein Wenn aktiviert, werden Kampagnen durch die Aktion durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, sucht die Aktion nach Handlungsoptionen.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Vorfällen gesucht.
Suchinfrastrukturen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Infrastrukturen gesucht.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Intrusion Sets gesucht.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Signaturen gesucht.
Suchoptionen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Ausführung der Aktion in den Tools gesucht.
Nach TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion in TTPs gesucht.
Nach Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Sicherheitslücken gesucht.
Maximale Anzahl zurückzugebender Domains Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden Domains an.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens ein Hash für Entitäten gefunden wird (issuccess=true): „Successfully retrieved related email addresses from Siemplify ThreatFuse.“ (Zugehörige E-Mail-Adressen wurden erfolgreich aus Siemplify ThreatFuse abgerufen.)

Wenn keine Hashes gefunden werden (issuccess=false): „Es wurden keine zugehörigen E‑Mail-Adressen gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“: „Fehler beim Ausführen der Aktion ‚Zugehörige E‑Mail-Adressen abrufen‘. Grund: {0}''.format(error.Stacktrace)

Wenn der Parameter „Konfidenzschwellenwert“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Konfidenzschwellenwert‘ muss zwischen 0 und 100 liegen.“

 Allgemein

Rufen Sie die mit der Entität verknüpften IP-Adressen basierend auf den Zuordnungen in Siemplify ThreatFuse ab.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Konfidenzwert Ganzzahl – Ja

Geben Sie den Konfidenzwert an.

Maximum: 100

Bedrohungsbulletins durchsuchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird in den Threat Bulletins gesucht.
Schauspieler suchen Kästchen Aktiviert Nein Wenn aktiviert, wird bei der Aktion nach Schauspielern gesucht.
Nach Angriffsmustern suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Angriffsmustern gesucht.
Suchkampagnen Kästchen Aktiviert Nein Wenn aktiviert, werden Kampagnen durch die Aktion durchsucht.
Maßnahmen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion in den verschiedenen Maßnahmen gesucht.
Identitäten suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Identitäten gesucht.
Vorfälle bei der Suche Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Vorfällen gesucht.
Suchinfrastrukturen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion in Infrastrukturen gesucht.
Nach Intrusion Sets suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Intrusion Sets gesucht.
Malware suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Malware gesucht.
Signaturen suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Signaturen gesucht.
Suchoptionen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Ausführung der Aktion in den Tools gesucht.
Nach TTPs suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird die Aktion in TTPs gesucht.
Nach Sicherheitslücken suchen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird bei der Aktion nach Sicherheitslücken gesucht.
Maximale Anzahl zurückzugebender Domains Ganzzahl 50 Nein Geben Sie die Anzahl der zurückzugebenden Domains an.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen
  • Bedrohungsakteur
  • CVE

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht\*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens ein Hash für Entitäten gefunden wird (is_success=true): „Successfully retrieved related IPs from Siemplify ThreatFuse.“

Wenn keine Hashes gefunden werden (is_success=false): „No related IPs were found.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Get Related IPs‘. Grund: {0}''.format(error.Stacktrace)

Wenn der Parameter „Confidence Threshold“ nicht im Bereich von 0 bis 100 liegt: „Der Wert für ‚Confidence Threshold‘ muss zwischen 0 und 100 liegen.“

 Allgemein

Ruft entitätsbezogene Zuordnungen aus Siemplify ThreatFuse ab.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Rückgabekampagnen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Kampagnen und Details dazu abgerufen.
Threat Bulletins zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, ruft die Aktion zugehörige Bedrohungsbulletins und Details dazu ab.
Rückgabe von Schauspielern Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Akteure und Details zu ihnen abgerufen.
Rückgabe-Angriffsmuster Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, ruft die Aktion zugehörige Angriffsmuster und Details dazu ab.
Maßnahmen zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Maßnahmen und Details dazu abgerufen.
Identitäten zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Identitäten und Details dazu abgerufen.
Vorfälle zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, ruft die Aktion zugehörige Vorfälle und Details dazu ab.
Infrastruktur zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, ruft die Aktion die zugehörige Infrastruktur und Details dazu ab.
Einbruchsets zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Intrusion Sets und Details dazu abgerufen.
Malware zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden zugehörige Malware und Details dazu abgerufen.
Signaturen zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, ruft die Aktion zugehörige Signaturen und Details dazu ab.
Tools zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion zugehörige Tools und Details dazu abgerufen.
TTPs zurückgeben Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden die zugehörigen TTPs und Details dazu abgerufen.
Sicherheitslücken zurückgeben Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden zugehörige Sicherheitslücken und Details dazu abgerufen.
Kampagnenentität erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus den verfügbaren „Kampagne“-Verknüpfungen erstellt.
Entität „Schauspieler“ erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus den verfügbaren „Actor“-Verknüpfungen erstellt.
Signatur-Entität erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Entität aus den verfügbaren „Signature“-Verknüpfungen erstellt.
Sicherheitslückenentität erstellen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion ein Element aus den verfügbaren „Vulnerability“-Verknüpfungen erstellt.
Information erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird auf Grundlage der Ergebnisse eine Statistik erstellt.
Tag für Supportanfrage erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden durch die Aktion Fall-Tags auf Grundlage der Ergebnisse erstellt.
Maximale Anzahl zurückzugebender Verknüpfungen Ganzzahl – Nein Geben Sie die Anzahl der Zuordnungen an, die pro Typ zurückgegeben werden sollen.
Maximale Anzahl zurückzugebender Statistiken Ganzzahl 3 Nein

Geben Sie die Anzahl der wichtigsten Statistik-Ergebnisse zu IOCs an, die zurückgegeben werden sollen.

Hinweis:Bei der Aktion werden maximal 1.000 IOCs verarbeitet, die mit der Zuordnung zusammenhängen. Wenn Sie „0“ angeben, versucht die Aktion nicht, Statistiken abzurufen.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "campaign": [
        {
            "name": "Coronavirus",
            "id": 1
        },
        {
            "name": "Bad campaign",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens eine Verknüpfung zwischen Entitäten gefunden wird (is_success=true): „Successfully retrieved related associations from Siemplify ThreatFuse“ (Zugehörige Verknüpfungen wurden erfolgreich aus Siemplify ThreatFuse abgerufen)

Wenn keine Verknüpfungen gefunden werden (is_success=false): „No related associations were found.“

Asynchrone Nachricht: „Warten auf das Abrufen aller Verknüpfungsdetails“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Get Related Association‘. Grund: {0}''.format(error.Stacktrace)

 Allgemein
CSV

Name: „Related Associations“ (Ähnliche Verknüpfungen)

Spalten:

  • ID
  • Name
  • Typ (Name der Verknüpfung)
  • Status (als „status/display_name“ zugeordnet)
 Allgemein

Observables einreichen

Senden Sie ein Observable an Siemplify ThreatFuse basierend auf den Entitäten „IP“, „URL“, „Hash“ und „E-Mail“.

Wo finde ich die IDs von vertrauenswürdigen Kreisen?

Suchen Sie den vertrauenswürdigen Kreis in Siemplify ThreatFuse und klicken Sie auf seinen Namen, um die ID zu finden. Die in der Adressleiste angezeigte URL enthält die ID.

Beispiel: https://siemplify.threatstream.com/search?trustedcircles=13.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Klassifizierung DDL

Privat

Mögliche Werte:

  • Öffentlich
  • Privat
 Ja Geben Sie die Klassifizierung des beobachtbaren Elements an.
Bedrohungstyp DDL

APT

Mögliche Werte

  • APT
  • Adware
  • Ungewöhnlich
  • Anonymisierung
  • Bot
  • Brute
  • C2
  • Gehackt
  • Crypto
  • Datenlecks
  • DDOS
  • Dynamisches DNS
  • Exfil
  • Exploit
  • Betrug
  • Hacking-Tool
  • I2P
  • Informationell
  • Malware
  • P2
  • Geparkt
  • Phish
  • Scannen
  • Sinkhole
  • Soziale Netzwerke
  • Spam
  • Unterdrücken
  • Verdächtig
  • TOR
  • VPS
 Ja Geben Sie den Bedrohungstyp für die Observables an.
Quelle String Siemplify Nein Geben Sie die Intelligence-Quelle für das Observable an.
Ablaufdatum Ganzzahl – Nein

Geben Sie das Ablaufdatum für das Observable in Tagen an.

Wenn hier nichts angegeben ist, wird durch die Aktion ein Observable erstellt, das nie abläuft.
IDs für vertrauenswürdige Kreise CSV – Nein

Geben Sie eine durch Kommas getrennte Liste vertrauenswürdiger Kreis-IDs an.

Beobachtungen werden mit diesen vertrauenswürdigen Kreisen geteilt.

TLP DDL

Wählen Sie eine Option aus.

Mögliche Werte:

  • Wählen Sie eine Option aus.
  • Rot
  • Grün
  • Bernsteingelb
  • Weiß
 Nein Geben Sie den TLP für Ihre Observables an.
Zuverlässigkeit Ganzzahl – Nein

Geben Sie an, wie hoch die Wahrscheinlichkeit für die Beobachtung sein soll.

Hinweis:Dieser Parameter funktioniert nur, wenn Sie in Ihrer Organisation Observables erstellen und der Parameter „Override System Confidence“ aktiviert ist.
System-Konfidenz überschreiben Kästchen Deaktiviert Nein

Wenn diese Option aktiviert ist, haben erstellte Observables die im Parameter „Confidence“ (Konfidenz) angegebene Konfidenz.

Hinweis:Wenn dieser Parameter aktiviert ist, können Sie keine Beobachtungen in vertrauenswürdigen Kreisen und öffentlich teilen.
Anonyme Einreichung Kästchen Deaktiviert Nein Wenn die Funktion aktiviert ist, wird die Aktion anonym ausgeführt.
Tags CSV – Nein Geben Sie eine durch Kommas getrennte Liste von Tags an, die Sie dem beobachtbaren Element hinzufügen möchten.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
approved_jobs = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens ein Hash für Entitäten gefunden wird (is_success=true): "Successfully submitted and approved the following entities in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

Wenn der Vorgang für einige Entitäten fehlschlägt (abgelehnte Entitäten) (is_success=true): „Die Aktion konnte die folgenden Entitäten in Siemplify ThreatFuse nicht erfolgreich senden und genehmigen:\n{0}“.format([entity.identifier])

Wenn die Anreicherung für alle Entitäten fehlschlägt (is_success=false): „Es wurden keine Entitäten erfolgreich an Siemplify ThreatFuse gesendet.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Observable senden‘. Grund: {0}''.format(error.Stacktrace)

Wenn der Statuscode 400 gemeldet wird: „Fehler beim Ausführen der Aktion ‚Submit Observable‘. Grund: {0}''.format(message)

 Allgemein

Als falsch positiv melden

Entitäten in Siemplify ThreatFuse als falsch positiv melden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Grund String – Ja Geben Sie den Grund an, warum Sie Entitäten als falsch positiv markieren möchten.
Kommentar String – Ja Geben Sie zusätzliche Informationen zu Ihrer Entscheidung an, die Einheit als falsch positiv zu markieren.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • Hash
  • IP-Adresse
  • URL
  • Reguläre Ausdrücke für Nutzernamen mit E‑Mail-Adressen

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn mindestens ein Hash für Entitäten gefunden wird (is_success=true): „Die folgenden Entitäten wurden erfolgreich als Falsch-Positiv in Siemplify ThreatFuse gemeldet:\n{0}“.format(entity.identifier list)

Wenn bestimmte Entitäten nicht als Falsch positiv markiert werden können (is_success=true): „Action was not able to report the following entities as false positive in Siemplify ThreatFuse\n: {0}“.format([entity.identifier])

Wenn die Anreicherung für alle Entitäten fehlschlägt (issuccess=false): „Es wurden keine Entitäten als falsch positiv gemeldet.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder „Sonstiges“ gemeldet wird: „Fehler beim Ausführen der Aktion ‚Als Falsch positiv melden‘. Grund: {0}''.format(error.Stacktrace)

 Allgemein

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Siemplify ThreatFuse – Observables Connector

Beobachtbare Elemente aus Siemplify ThreatFuse abrufen

Empfehlungen

Bei der Konfiguration des Connectors empfiehlt es sich, eine separate Umgebung zu verwenden, damit Analysten nicht mit allen spekulativen Benachrichtigungen überflutet werden.

Wo finde ich die IDs von vertrauenswürdigen Kreisen?

Suchen Sie den vertrauenswürdigen Kreis in Siemplify ThreatFuse und klicken Sie auf seinen Namen, um die ID zu finden. Die in der Adressleiste angezeigte URL enthält die ID.

Beispiel: https://siemplify.threatstream.com/search?trustedcircles=13.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String Typ Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.

Regex-Muster für Umgebung

 String .* Nein

Ein regulärer Ausdruck, der auf den Wert im Feld „Name des Umgebungsfelds“ angewendet werden soll.

Der Standardwert ist „.*“, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, damit der Nutzer das Feld „Umgebung“ über Regex-Logik bearbeiten kann.

Wenn das reguläre Ausdrucksmuster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 300 Ja Zeitlimit für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.
API-Stamm String

https://api.threat
stream.com

 Ja API-Stammverzeichnis der Siemplify ThreatFuse-Instanz.
E-Mail-Adresse String – Ja E-Mail-Adresse des Siemplify ThreatFuse-Kontos.
API-Schlüssel Passwort – Ja API-Schlüssel des Siemplify ThreatFuse-Kontos.
Niedrigster abzurufender Schweregrad String Hoch Ja

Niedrigster Schweregrad, der zum Abrufen von Observables verwendet wird.

Mögliche Werte:
Niedrig

Mittel

Hoch

Sehr hoch
Niedrigste Konfidenz zum Abrufen Ganzzahl 50 Ja

Niedrigste Konfidenz, die zum Abrufen von Observables verwendet wird. Der Höchstwert ist 100.
Quellfeedfilter CSV – Nein Durch Kommas getrennte Liste der Feed-IDs, die zum Erfassen von Observables verwendet werden sollen. Beispiel: 515,4129
Filter für beobachtbaren Typ CSV url, domain, email, hash, ip, ipv6 Nein

Durch Kommas getrennte Liste der zu erfassenden beobachtbaren Typen. Beispiel: url, domain

Mögliche Werte: url, domain, email, hash, ip, ipv6
Filter für beobachtbaren Status CSV Aktiv Nein

Eine durch Kommas getrennte Liste der beobachtbaren Status, die zum Erfassen neuer Daten verwendet werden sollen. Beispiel: active,inactive

Mögliche Werte: active,inactive,falsepos
Filter für Bedrohungstyp CSV – Nein

Eine durch Kommas getrennte Liste der Bedrohungstypen, die zum Erfassen von Observables verwendet werden sollen. Beispiel: аdware,anomalous,anonymization,apt

Mögliche Werte:
adware,anomalous,anonymization,
apt,bot,brute,c2,compromised,
crypto,data_leakage,ddos,dyn_dns,exfil,
exploit,fraud,hack_tool,i2p,informational,
malware,p2p,parked,phish,scan,sinkhole,spam,
suppress,suspicious,tor,vps
Filter für vertrauenswürdige Kreise CSV – Nein

Durch Kommas getrennte Liste der vertrauenswürdigen Kreis-IDs, die zum Erfassen von Observables verwendet werden sollen.

Beispiel: 146,147
Filter für Tag-Namen CSV – Nein Durch Kommas getrennte Liste von Tagnamen, die mit Observables verknüpft sind, die für die Aufnahme verwendet werden sollen. Beispiel: Microsoft-Anmeldedaten, Phishing.
Quellfeed-Gruppierung Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden beobachtbare Elemente aus derselben Quelle im selben Siemplify-Hinweis gruppiert.
Maximale Anzahl der Tage für den Rücklauf Ganzzahl 1 Nein Anzahl der Tage, ab denen Observables abgerufen werden sollen.
Maximale Anzahl von Beobachtungen pro Benachrichtigung Ganzzahl 100 Nein Wie viele Observables sollten Teil einer Siemplify-Benachrichtigung sein? Der Höchstwert beträgt 200.
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die dynamische Liste als Blockierliste verwendet.
SSL überprüfen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Siemplify Threatfuse-Server gültig ist.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten