Integra ThreatFuse de Siemplify con Google SecOps

En este documento, se explica cómo integrar Siemplify ThreatFuse con Google Security Operations.

Casos de uso

La integración de Siemplify ThreatFuse usa las funciones de Google SecOps para admitir los siguientes casos de uso:

  • Enriquece las entidades de red y de usuario: Recupera automáticamente las puntuaciones de amenazas, los niveles de confianza y los metadatos de las IPs, las URLs, los hashes y los correos electrónicos para identificar la actividad maliciosa.

  • Descubre datos de amenazas relacionados: Descubre hashes, dominios y direcciones IP asociados para mapear la infraestructura que usan los agentes de amenazas.

  • Analiza las asociaciones de campañas: Recupera detalles sobre las campañas vinculadas, las familias de malware y las TTP para comprender el contexto más amplio de un incidente.

  • Administra feeds de inteligencia: Envía nuevos observables a ThreatFuse o informa falsos positivos directamente desde la plataforma para definir mejor los datos de amenazas de tu organización.

Antes de comenzar

Antes de configurar la integración en Google SecOps, verifica los siguientes requisitos en tu entorno de Siemplify ThreatFuse (con tecnología de Anomali ThreatStream):

  • Credenciales de la API: Debes tener una clave de API válida y la dirección de correo electrónico asociada con tu cuenta de Anomali o ThreatFuse.

  • Recuperación de credenciales: Para obtener tu clave de API, accede al portal de ThreatFuse, ve a la sección Perfil de usuario y busca la pestaña Información de la API. Para obtener más detalles, consulta Configuración de Anomali ThreatStream.

  • Detalles de la instancia: Identifica la raíz web y la raíz de la API específicas. Por lo general, para las instancias de Cloud, la raíz de la API es https://api.threatstream.com.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz web String https://siemplify.threatstream.com Sí Es la raíz web de la instancia de Siemplify ThreatFuse. Este parámetro se usa para crear vínculos de informes en los elementos de integración.
Raíz de la API String https://api.threatstream.com Sí Es la raíz de la API de la instancia de ThreatFuse de Siemplify.
Dirección de correo electrónico String N/A Sí Es la dirección de correo electrónico de la cuenta de Siemplify ThreatFuse.
Clave de API Contraseña N/A Sí Es la clave de API de la cuenta de Siemplify ThreatFuse.
Verificar SSL Casilla de verificación Marcado Sí Si se habilita, verifica que el certificado SSL para la conexión con el servidor de Siemplify ThreatFuse sea válido.

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Ping

Prueba la conectividad con Siemplify ThreatFuse con los parámetros proporcionados en la página de configuración de la integración en la página de Google SecOps Content Hub.

Fecha de ejecución

La acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:


Si se realiza correctamente: "Successfully connected to the Siemplify ThreatFuse server with the provided connection parameters!"

La acción debería fallar y detener la ejecución de una guía:


Si no se realiza correctamente: "Failed to connect to the Siemplify ThreatFuse server! Error is {0}".format(exception.stacktrace)

 General

Enriquece entidades

Recupera información sobre IPs, URLs, hashes y direcciones de correo electrónico de ThreatFuse de Siemplify. Si se encuentran varios registros para la misma entidad, la acción se enriquecerá con el registro más reciente.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Umbral de gravedad DDL

Media

Valor posible:

  • Muy alto
  • Alta
  • Media
  • Baja
 Sí

Especifica el umbral de gravedad de la entidad para marcarla como sospechosa.

Si se encuentran varios registros para la misma entidad, la acción toma la gravedad más alta de todos los registros disponibles.
Umbral de confianza Número entero N/A Sí

Especifica el umbral de confianza de la entidad para marcarla como sospechosa.

El máximo es 100.

Si se encuentran varios registros para la entidad, la acción toma el promedio.

Los registros activos tienen prioridad.
Ignora el estado de falso positivo Casilla de verificación Desmarcado No

Si está habilitada, la acción ignora el estado de falso positivo y marca la entidad como sospechosa según los parámetros "Umbral de gravedad" y "Umbral de confianza".

Si se inhabilita, la acción nunca etiquetará las entidades de falsos positivos como sospechosas, independientemente de si cumplen o no con las condiciones de "Umbral de gravedad" y "Umbral de confianza".

Agregar tipo de amenaza al caso Casilla de verificación Desmarcado No

Si se habilita, la acción agrega los tipos de amenazas de la entidad de todos los registros como etiquetas al caso.

Ejemplo: apt
Solo estadísticas de entidades sospechosas Casilla de verificación Desmarcado Sí Si está habilitada, la acción crea estadísticas solo para las entidades que superaron los parámetros "Umbral de gravedad" y "Umbral de confianza".
Crea estadísticas Casilla de verificación Desmarcado Sí Si está habilitada, la acción agrega una estadística por entidad procesada.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
    "objects": [
        {
            "status": "inactive",
            "itype": "mal_md5",
            "expiration_ts": "2019-02-25T08:58:58.000Z",
            "ip": null,
            "is_editable": false,
            "feed_id": 2197,
            "update_id": 3328068779,
            "longitude": null,
            "org": "",
            "threat_type": "malware",
            "workgroups": [],
            "rdns": null,
            "confidence": 60,
            "uuid": "31d9ed97-9811-4b4b-9e2d-4b3f822eb37f",
            "subtype": "MD5",
            "trusted_circle_ids": [
                146,
                254
            ],
            "id": 51744433673,
            "source": "targetedthreats - OSINT",
            "owner_organization_id": 2,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1551097291170
            ],
            "description": null,
            "tags": [
                {
                    "id": "fvj",
                    "name": "Family=Code4HK"
                },
                {
                    "id": "zwz",
                    "name": "Report=https://malware.lu/articles/2014/09/29/analysis-of-code4hk.html"
                }
            ],
            "threatscore": 54,
            "source_reported_confidence": 60,
            "modified_ts": "2019-02-25T12:21:31.170Z",
            "is_public": false,
            "asn": "",
            "created_ts": "2018-11-27T09:00:33.468Z",
            "tlp": null,
            "is_anonymous": false,
            "country": null,
            "can_add_public_tags": false,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "retina_confidence": -1,
            "meta": {
                "detail2": "bifocals_deactivated_on_2019-02-25_09:30:00.127233",
                "severity": "high"
            },
            "resource_uri": "/api/v2/intelligence/51744433673/"
      "report_link": "https://siemplify.threatstream.com/detail/url/http:%2F%2Fsweetpineapple.co.za%2Fwp-admin%2Fuser%2Finternetbanking.suncorpbank.htm"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 191,
            "update_id": 5406560,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 90,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 5406560,
            "source": "SLC Alert Malware Domains",
            "owner_organization_id": 736,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1421928716491
            ],
            "description": null,
            "tags": [
                {
                    "name": "HITRUST"
                },
                {
                    "name": "Public-Threats"
                }
            ],
            "threatscore": 77,
            "source_reported_confidence": 60,
            "modified_ts": "2015-01-22T12:11:56.491Z",
            "org": "",
            "asn": "",
            "created_ts": "2015-01-22T12:11:56.491Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": true,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "severity": "high",
                "detail": "Public Threats,HITRUST"
            },
            "resource_uri": "/api/v2/intelligence/5406560/"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 0,
            "update_id": 59177,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 100,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 59177,
            "source": "Analyst",
            "owner_organization_id": 2,
            "import_session_id": 2325,
            "latitude": null,
            "type": "md5",
            "sort": [
                1412172414589
            ],
            "description": null,
            "tags": [
                {
                    "name": "apt_md5"
                },
                {
                    "name": "CN-APT"
                },
                {
                    "name": "IOS-Malware"
                },
                {
                    "name": "LadyBoyle"
                }
            ],
            "threatscore": 85,
            "source_reported_confidence": 0,
            "modified_ts": "2014-10-01T14:06:54.589Z",
            "org": "",
            "asn": "",
            "created_ts": "2014-10-01T14:06:40.858Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": false,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "detail2": "imported by user 1",
                "severity": "very-high",
                "detail": "LadyBoyle, IOS Malware, CN APT"
            },
            "resource_uri": "/api/v2/intelligence/59177/"
        }
    ],
    "is_risky": "true"
    "meta": {
        "total_count": 3,
        "offset": 0,
        "limit": 1000,
        "took": 27,
        "next": null
    }
}
Enriquecimiento de entidades
Nombre del campo de enriquecimiento Lógica: Cuándo aplicarla
TFuse_id Cuando está disponible en JSON
TFuse_status Cuando está disponible en JSON
TFuse_itype Cuando está disponible en JSON
TFuse_expiration_time Cuando está disponible en JSON
TFuse_ip Cuando está disponible en JSON
TFuse_feed_id Cuando está disponible en JSON
TFuse_confidence Cuando está disponible en JSON
TFuse_uuid Cuando está disponible en JSON
TFuse_retina_confidence Cuando está disponible en JSON
TFuse_trusted_circle_ids Cuando está disponible en JSON
TFuse_source Cuando está disponible en JSON
TFuse_latitude Cuando está disponible en JSON
TFuse_type Cuando está disponible en JSON
TFuse_description Cuando está disponible en JSON
TFuse_tags Cuando está disponible en JSON
TFuse_threat_score Cuando está disponible en JSON
TFuse_source_confidence Cuando está disponible en JSON
TFuse_modification_time Cuando está disponible en JSON
TFuse_org_name Cuando está disponible en JSON
TFuse_asn Cuando está disponible en JSON
TFuse_creation_time Cuando está disponible en JSON
TFuse_tlp Cuando está disponible en JSON
TFuse_country Cuando está disponible en JSON
TFuse_longitude Cuando está disponible en JSON
TFuse_severity Cuando está disponible en JSON
TFuse_subtype Cuando está disponible en JSON
TFuse_report Cuando está disponible en JSON
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se realiza correctamente y se enriquece al menos una de las entidades proporcionadas (is_success=true): "Successfully enriched the following entities using Siemplify ThreatFuse: \n {0}".format(entity.identifier list)

Si no se enriquecen entidades específicas (is_success=true): "Action was not able to enrich the following entities using Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Si no se enriquecen todas las entidades (is_success=false): "No se enriqueció ninguna entidad".

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error grave, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)

Si el parámetro "Confidence Threshold" no está en el rango de 0 a 100: "El valor de 'Confidence Threshold' debe estar en el rango de 0 a 100".

 General
CSV

Nombre de la tabla: Vínculos de análisis relacionados: {entity_identifier}

Columnas de la tabla:

  • Name: Se asigna como clave en la segunda respuesta (ejemplo: Virustotal).
  • Vínculo: asignado como valor a la clave
General
CSV

Son las claves basadas en la tabla de enriquecimiento.

El parámetro No Enrichment Prefix se escribe con mayúscula.

 General

Recupera los hashes relacionados con la entidad según las asociaciones en Siemplify ThreatFuse.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Umbral de confianza Número entero N/A Sí

Especifica el umbral de confianza.

Máximo: 100
Buscar boletines de amenazas Casilla de verificación Marcado No Si está habilitada, la acción busca entre los boletines de amenazas.
Buscar actores Casilla de verificación Marcado No Si está habilitada, la acción busca entre los actores.
Buscar patrones de ataque Casilla de verificación Marcado No Si se habilita, la acción busca entre los patrones de ataque.
Campañas de Búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca campañas.
Buscar planes de acción Casilla de verificación Marcado No Si está habilitada, la acción busca entre los cursos de acción.
Buscar identidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las identidades.
Buscar incidentes Casilla de verificación Marcado No Si está habilitada, la acción busca entre los incidentes.
Infraestructuras de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las infraestructuras.
Buscar conjuntos de intrusiones Casilla de verificación Marcado No Si está habilitada, la acción busca entre los conjuntos de intrusiones.
Búsqueda de software malicioso Casilla de verificación Marcado No Si se habilita, la acción busca entre el software malicioso.
Firmas de búsqueda Casilla de verificación Marcado No Si está habilitada, la acción busca entre las firmas.
Herramientas de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las herramientas.
Buscar TTP Casilla de verificación Marcado No Si está habilitada, la acción busca entre las TTP.
Busca vulnerabilidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las vulnerabilidades.
Cantidad máxima de hashes que se devolverán Número entero 50 No Especifica la cantidad de hashes que se devolverán.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico
  • Agente de amenazas
  • CVE

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
"{}_hashes".format(subtype): ["md5hash_1"],
"all_hashes": ["md5hash_1"]
}
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se realiza correctamente y se encuentra al menos un hash en las entidades (is_success=true): "Successfully retrieved related hashes from Siemplify ThreatFuse"

Si no se encuentran hashes (is_success=false): "No related hashes were found."

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error executing action "Get Related Hashes". Reason: {0}''.format(error.Stacktrace)

Si el parámetro "Confidence Threshold" no está en el rango de 0 a 100: "El valor de 'Confidence Threshold' debe estar en el rango de 0 a 100".

 General

Recupera las URLs relacionadas con la entidad según las asociaciones en Siemplify ThreatFuse.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Umbral de confianza Número entero N/A Sí

Especifica el umbral de confianza.

Máximo: 100
Buscar boletines de amenazas Casilla de verificación Marcado No Si está habilitada, la acción busca entre los boletines de amenazas.
Buscar actores Casilla de verificación Marcado No Si está habilitada, la acción busca entre los actores.
Buscar patrones de ataque Casilla de verificación Marcado No Si se habilita, la acción busca entre los patrones de ataque.
Campañas de Búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca campañas.
Buscar planes de acción Casilla de verificación Marcado No Si se habilita, la acción busca entre los cursos de acción.
Buscar identidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las identidades.
Buscar incidentes Casilla de verificación Marcado No Si está habilitada, la acción busca entre los incidentes.
Infraestructuras de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las infraestructuras.
Buscar conjuntos de intrusiones Casilla de verificación Marcado No Si está habilitada, la acción busca entre los conjuntos de intrusiones.
Búsqueda de software malicioso Casilla de verificación Marcado No Si se habilita, la acción busca entre el software malicioso.
Firmas de búsqueda Casilla de verificación Marcado No Si está habilitada, la acción busca entre las firmas.
Herramientas de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las herramientas.
Buscar TTP Casilla de verificación Marcado No Si está habilitada, la acción busca entre las TTP.
Busca vulnerabilidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las vulnerabilidades.
Cantidad máxima de URLs que se devolverán Número entero 50 No Especifica la cantidad de URLs que se mostrarán.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico
  • Agente de amenazas
  • CVE

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se ejecuta correctamente y se encuentra al menos una URL en las entidades (is_success=true): "Successfully retrieved related urls from Siemplify ThreatFuse."

Si no se encuentran hashes (is_success=false): "No related urls were found."

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error executing action "Get Related URLs". Reason: {0}''.format(error.Stacktrace)

Si el parámetro "Confidence Threshold" no está en el rango de 0 a 100: "El valor de 'Confidence Threshold' debe estar en el rango de 0 a 100".

 General

Recupera dominios relacionados con entidades según las asociaciones en ThreatFuse de Siemplify.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Umbral de confianza Número entero N/A Sí

Especifica el umbral de confianza.

Máximo: 100
Buscar boletines de amenazas Casilla de verificación Marcado No Si está habilitada, la acción busca entre los boletines de amenazas.
Buscar actores Casilla de verificación Marcado No Si está habilitada, la acción busca entre los actores.
Buscar patrones de ataque Casilla de verificación Marcado No Si se habilita, la acción busca entre los patrones de ataque.
Campañas de Búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca campañas.
Buscar planes de acción Casilla de verificación Marcado No Si se habilita, la acción busca entre los cursos de acción.
Buscar identidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las identidades.
Buscar incidentes Casilla de verificación Marcado No Si está habilitada, la acción busca entre los incidentes.
Infraestructuras de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las infraestructuras.
Buscar conjuntos de intrusiones Casilla de verificación Marcado No Si está habilitada, la acción busca entre los conjuntos de intrusiones.
Búsqueda de software malicioso Casilla de verificación Marcado No Si se habilita, la acción busca entre el software malicioso.
Firmas de búsqueda Casilla de verificación Marcado No Si está habilitada, la acción busca entre las firmas.
Herramientas de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las herramientas.
Buscar TTP Casilla de verificación Marcado No Si está habilitada, la acción busca entre las TTP.
Busca vulnerabilidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las vulnerabilidades.
Cantidad máxima de dominios que se devolverán Número entero 50 No Especifica la cantidad de dominios que se devolverán.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico
  • Agente de amenazas
  • CVE

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
"domains": ["www.google.com"]
}
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se ejecuta correctamente y se encuentra al menos un hash en las entidades (issuccess=true): "Successfully retrieved related domains from Siemplify ThreatFuse."

Si no se encuentran hashes (issuccess=false): "No related domains were found."

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error grave, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Obtener dominios relacionados". Reason: {0}''.format(error.Stacktrace)

Si el parámetro "Confidence Threshold" no está en el rango de 0 a 100: "El valor de 'Confidence Threshold' debe estar en el rango de 0 a 100".

 General

Recupera las direcciones de correo electrónico relacionadas con la entidad según las asociaciones en Siemplify ThreatFuse.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Umbral de confianza Número entero N/A Sí

Especifica el umbral de confianza.

Máximo: 100

Buscar boletines de amenazas Casilla de verificación Marcado No Si está habilitada, la acción busca entre los boletines de amenazas.
Buscar actores Casilla de verificación Marcado No Si está habilitada, la acción busca entre los actores.
Buscar patrones de ataque Casilla de verificación Marcado No Si se habilita, la acción busca entre los patrones de ataque.
Campañas de Búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca campañas.
Buscar planes de acción Casilla de verificación Marcado No Si se habilita, la acción busca entre los cursos de acción.
Buscar identidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las identidades.
Buscar incidentes Casilla de verificación Marcado No Si está habilitada, la acción busca entre los incidentes.
Infraestructuras de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las infraestructuras.
Buscar conjuntos de intrusiones Casilla de verificación Marcado No Si está habilitada, la acción busca entre los conjuntos de intrusiones.
Búsqueda de software malicioso Casilla de verificación Marcado No Si se habilita, la acción busca entre el software malicioso.
Firmas de búsqueda Casilla de verificación Marcado No Si está habilitada, la acción busca entre las firmas.
Herramientas de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las herramientas.
Buscar TTP Casilla de verificación Marcado No Si está habilitada, la acción busca entre las TTP.
Busca vulnerabilidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las vulnerabilidades.
Cantidad máxima de dominios que se devolverán Número entero 50 No Especifica la cantidad de dominios que se devolverán.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico
  • Agente de amenazas
  • CVE

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se realiza correctamente y se encuentra al menos un hash en las entidades (issuccess=true): "Successfully retrieved related email addresses from Siemplify ThreatFuse."

Si no se encuentran hashes (issuccess=false): "No se encontraron direcciones de correo electrónico relacionadas".

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Obtener direcciones de correo electrónico relacionadas". Reason: {0}''.format(error.Stacktrace)

Si el parámetro "Confidence Threshold" no está en el rango de 0 a 100: "'Confidence Threshold' value should be in range from 0 to 100."

 General

Recupera las direcciones IP relacionadas con la entidad según las asociaciones en ThreatFuse de Siemplify.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Umbral de confianza Número entero N/A Sí

Especifica el umbral de confianza.

Máximo: 100

Buscar boletines de amenazas Casilla de verificación Marcado No Si está habilitada, la acción busca entre los boletines de amenazas.
Buscar actores Casilla de verificación Marcado No Si está habilitada, la acción busca entre los actores.
Buscar patrones de ataque Casilla de verificación Marcado No Si se habilita, la acción busca entre los patrones de ataque.
Campañas de Búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca campañas.
Buscar planes de acción Casilla de verificación Marcado No Si se habilita, la acción busca entre los cursos de acción.
Buscar identidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las identidades.
Buscar incidentes Casilla de verificación Marcado No Si está habilitada, la acción busca entre los incidentes.
Infraestructuras de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las infraestructuras.
Buscar conjuntos de intrusiones Casilla de verificación Marcado No Si está habilitada, la acción busca entre los conjuntos de intrusiones.
Búsqueda de software malicioso Casilla de verificación Marcado No Si se habilita, la acción busca entre el software malicioso.
Firmas de búsqueda Casilla de verificación Marcado No Si está habilitada, la acción busca entre las firmas.
Herramientas de búsqueda Casilla de verificación Marcado No Si se habilita, la acción busca entre las herramientas.
Buscar TTP Casilla de verificación Marcado No Si está habilitada, la acción busca entre las TTP.
Busca vulnerabilidades Casilla de verificación Marcado No Si está habilitada, la acción busca entre las vulnerabilidades.
Cantidad máxima de dominios que se devolverán Número entero 50 No Especifica la cantidad de dominios que se devolverán.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico
  • Agente de amenazas
  • CVE

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida\*

La acción no debería fallar ni detener la ejecución de una guía:

Si se ejecuta correctamente y se encuentra al menos un hash en las entidades (is_success=true): "Successfully retrieved related IPs from Siemplify ThreatFuse".

Si no se encuentran hashes (is_success=false): "No related IPs were found."

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error executing action "Get Related IPs". Reason: {0}''.format(error.Stacktrace)

Si el parámetro "Confidence Threshold" no está en el rango de 0 a 100: "El valor de 'Confidence Threshold' debe estar en el rango de 0 a 100".

 General

Recupera asociaciones relacionadas con entidades de Siemplify ThreatFuse.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Campañas de devoluciones Casilla de verificación Marcado No Si está habilitada, la acción recupera las campañas relacionadas y sus detalles.
Devuelve boletines de amenazas Casilla de verificación Desmarcado No Si está habilitada, la acción recupera los boletines de amenazas relacionados y los detalles sobre ellos.
Actores de retorno Casilla de verificación Desmarcado No Si está habilitada, la acción recupera los actores relacionados y los detalles sobre ellos.
Devuelve patrones de ataque Casilla de verificación Desmarcado No Si está habilitada, la acción recupera los patrones de ataque relacionados y los detalles sobre ellos.
Devolver planes de acción Casilla de verificación Desmarcado No Si está habilitada, la acción recupera los cursos de acción relacionados y los detalles sobre ellos.
Identidades de retorno Casilla de verificación Desmarcado No Si está habilitada, la acción recupera las identidades relacionadas y los detalles sobre ellas.
Devuelve incidentes Casilla de verificación Desmarcado No Si está habilitada, la acción recupera los incidentes relacionados y los detalles sobre ellos.
Devolución de infraestructura Casilla de verificación Desmarcado No Si está habilitada, la acción recupera la infraestructura relacionada y los detalles sobre ella.
Devolver conjuntos de intrusiones Casilla de verificación Desmarcado No Si está habilitada, la acción recupera los conjuntos de intrusiones relacionados y los detalles sobre ellos.
Devolver el malware Casilla de verificación Desmarcado No Si está habilitada, la acción recupera el malware relacionado y los detalles sobre él.
Firmas de devolución Casilla de verificación Desmarcado No Si está habilitada, la acción recupera las firmas relacionadas y los detalles sobre ellas.
Herramientas de devolución Casilla de verificación Desmarcado No Si está habilitada, la acción recupera las herramientas relacionadas y los detalles sobre ellas.
TTP de devolución Casilla de verificación Desmarcado No Si está habilitada, la acción recupera las TTP relacionadas y los detalles sobre ellas.
Devuelve vulnerabilidades Casilla de verificación Marcado No Si está habilitada, la acción recupera las vulnerabilidades relacionadas y los detalles sobre ellas.
Crea una entidad de campaña Casilla de verificación Desmarcado No Si se habilita, la acción crea una entidad a partir de las asociaciones de "Campaña" disponibles.
Crea la entidad Actors Casilla de verificación Desmarcado No Si habilitas esta opción, la acción creará una entidad a partir de las asociaciones de "Actor" disponibles.
Crea una entidad de firma Casilla de verificación Desmarcado No Si se habilita, la acción crea una entidad a partir de las asociaciones de "Firma" disponibles.
Crea una entidad de vulnerabilidad Casilla de verificación Desmarcado No Si se habilita, la acción crea una entidad a partir de las asociaciones de "Vulnerabilidad" disponibles.
Crea estadísticas Casilla de verificación Marcado No Si está habilitada, la acción crea una estadística basada en los resultados.
Crea una etiqueta de caso Casilla de verificación Marcado No Si se habilita, la acción crea etiquetas de casos según los resultados.
Cantidad máxima de asociaciones que se devolverán Número entero N/A No Especifica la cantidad de asociaciones que se devolverán por tipo.
Cantidad máxima de estadísticas para devolver Número entero 3 No

Especifica la cantidad de resultados de estadísticas principales sobre los IOC que se mostrarán.

Nota: La acción procesa un máximo de 1,000 IOC relacionados con la asociación. Si proporcionas "0", la acción no intentará recuperar la información de las estadísticas.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
    "campaign": [
        {
            "name": "Coronavirus",
            "id": 1
        },
        {
            "name": "Bad campaign",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se ejecuta correctamente y se encuentra al menos una asociación entre entidades (is_success=true): "Successfully retrieved related associations from Siemplify ThreatFuse"

Si no se encuentran asociaciones (is_success=false): "No se encontraron asociaciones relacionadas".

Mensaje asíncrono: Esperando que se recuperen todos los detalles de la asociación"

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Obtener asociación relacionada". Reason: {0}''.format(error.Stacktrace)

 General
CSV

Nombre: "Asociaciones relacionadas"

Columnas:

  • ID
  • Nombre
  • Tipo (nombre de la asociación)
  • Estado (asignado como status/display_name)
 General

Envía observables

Envía un observable a ThreatFuse de Siemplify según las entidades de IP, URL, hash y correo electrónico.

Dónde encontrar los IDs de los círculos de confianza

Para encontrar el ID de un círculo de confianza, ubica el círculo de confianza en Siemplify ThreatFuse y haz clic en su nombre. La URL que aparece en la barra de direcciones muestra el ID.

Por ejemplo: https://siemplify.threatstream.com/search?trustedcircles=13.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Clasificación DDL

Privado

Valores posibles:

  • Público
  • Privado
 Sí Especifica la clasificación del observable.
Tipo de amenaza DDL

APT

Valores posibles

  • APT
  • Software con anuncios
  • Anómalos
  • Anonimización
  • Bot
  • Brute
  • C2
  • Vulnerado
  • Crypto
  • Filtración de datos
  • DDOS
  • DNS dinámico
  • Exfil
  • Exploit
  • Fraude
  • Herramienta de hackeo
  • I2P
  • Informativa
  • Software malicioso
  • P2
  • Estacionado
  • Phish
  • Escaneo
  • Sumidero
  • Social
  • Spam
  • Suprimir
  • Sospechoso
  • TOR
  • VPS
 Sí Especifica el tipo de amenaza para los observables.
Fuente String Siemplify No Especifica la fuente de inteligencia para el observable.
Fecha de vencimiento Número entero N/A No

Especifica la fecha de vencimiento en días para el observable.

Si no se especifica nada aquí, la acción crea un observable que nunca vence.
IDs de círculos de confianza CSV N/A No

Especifica una lista separada por comas de los IDs de círculos de confianza.

Los observables se comparten con esos círculos de confianza.

TLP DDL

Selecciona una opción

Valores posibles:

  • Selecciona una opción
  • Rojo
  • Verde
  • Ámbar
  • Blanco
 No Especifica el TLP para tus observables.
Confianza Número entero N/A No

Especifica cuál debe ser la confianza para el observable.

Nota: Este parámetro solo funciona si creas observables en tu organización y el parámetro "Anular confianza del sistema" está habilitado.
Anular el umbral de confianza del sistema Casilla de verificación Desmarcado No

Si está habilitado, los observables creados tienen la confianza especificada en el parámetro "Confianza".

Nota: No puedes compartir observables en círculos de confianza ni de forma pública cuando este parámetro está habilitado.
Envío anónimo Casilla de verificación Desmarcado No Si está habilitada, la acción realiza un envío anónimo.
Etiquetas CSV N/A No Especifica una lista separada por comas de las etiquetas que deseas agregar al observable.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
approved_jobs = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se ejecuta correctamente y se encuentra al menos un hash en las entidades (is_success=true): "Successfully submitted and approved the following entities in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

Si falla para algunas entidades (entidades rechazadas) (is_success=true): "Action was not able to successfully submit and approve the following entities in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Si no se enriquecen todas las entidades (is_success=false): "No se envió ninguna entidad correctamente a Siemplify ThreatFuse".

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión al servidor, entre otros: "Error executing action "Submit Observable". Motivo: {0}''.format(error.Stacktrace)

Si se informa el código de estado 400: "Error executing action "Submit Observable". Motivo: {0}''.format(message)

 General

Informar como falso positivo

Informa entidades en Siemplify ThreatFuse como falsos positivos.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Motivo String N/A Sí Especifica el motivo por el que quieres marcar las entidades como falsos positivos.
Comentario String N/A Sí Especifica información adicional relacionada con tu decisión de marcar la entidad como falso positivo.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Hash
  • Dirección IP
  • URL
  • Nombre de usuario con expresiones regulares de correo electrónico

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debería fallar ni detener la ejecución de una guía:

Si se ejecuta correctamente y se encuentra al menos un hash en las entidades (is_success=true): "Successfully reported the following entities as false positive in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

Si no se pueden marcar entidades específicas (is_success=true): "Action was not able to report the following entities as false positive in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Si no se puede enriquecer para todas las entidades (issuccess=false): "No entities were reported as false positive."

La acción debería fallar y detener la ejecución de una guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión al servidor, entre otros: "Error al ejecutar la acción "Informar como falso positivo". Reason: {0}''.format(error.Stacktrace)

 General

Conectores

Para obtener más información sobre cómo configurar conectores en Google SecOps, consulta Transferir tus datos (conectores).

Siemplify ThreatFuse: Conector de observables

Extrae observables de Siemplify ThreatFuse.

Recomendaciones

Cuando configures Config Connector, se recomienda usar un entorno independiente para que los analistas no se vean inundados con todas las alertas especulativas.

Dónde encontrar los IDs de los círculos de confianza

Para encontrar el ID de un círculo de confianza, ubícalo en Siemplify ThreatFuse y haz clic en su nombre. La URL que aparece en la barra de direcciones muestra el ID.

Por ejemplo: https://siemplify.threatstream.com/search?trustedcircles=13.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo del producto String Nombre del producto Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento String tipo Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo de evento.
Nombre del campo del entorno String "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo de entorno, el entorno es el predeterminado.

Patrón de regex del entorno

 String .* No

Es un patrón de regex que se ejecuta en el valor que se encuentra en el campo "Nombre del campo de entorno".

El valor predeterminado es .* para capturar todo y devolver el valor sin cambios.

Se usa para permitir que el usuario manipule el campo de entorno a través de la lógica de regex.

Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Tiempo de espera de la secuencia de comandos (segundos) Número entero 300 Sí Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API String

https://api.threat
stream.com

 Sí Es la raíz de la API de la instancia de ThreatFuse de Siemplify.
Dirección de correo electrónico String N/A Sí Es la dirección de correo electrónico de la cuenta de Siemplify ThreatFuse.
Clave de API Contraseña N/A Sí Clave de API de la cuenta de ThreatFuse de Siemplify.
Gravedad más baja para recuperar String Alta Sí

Es la gravedad más baja que se usará para recuperar observables.

Valores posibles:
Bajo

Media

Alta

Muy alta
Nivel de confianza más bajo para recuperar Número entero 50 Sí

Es el nivel de confianza más bajo que se usará para recuperar observables. El máximo es 100.
Filtro de feed de origen CSV N/A No Es una lista separada por comas de los IDs de feeds que se deben usar para transferir observables. Ejemplo: 515,4129
Filtro de tipo de observable CSV url, domain, email, hash, ip, ipv6 No

Es una lista separada por comas de los tipos de observables que se deben transferir. Ejemplo: url, domain

Valores posibles: url, domain, email, hash, ip, ipv6
Filtro de estado observable CSV activo No

Es una lista separada por comas de los estados observables que se deben usar para transferir datos nuevos. Ejemplo: active,inactive

Valores posibles: active,inactive,falsepos
Filtro de tipo de amenaza CSV N/A No

Es una lista separada por comas de los tipos de amenazas que se deben usar para transferir observables. Ejemplo: аdware,anomalous,anonymization,apt

Valores posibles:
аdware,anomalous,anonymization,
apt,bot,brute,c2,compromised,
crypto,data_leakage,ddos,dyn_dns,exfil,
exploit,fraud,hack_tool,i2p,informational,
malware,p2p,parked,phish,scan,sinkhole,spam,
suppress,suspicious,tor,vps
Filtro de círculo de confianza CSV N/A No

Es una lista separada por comas de los IDs de círculos de confianza que se deben usar para transferir observables.

Ejemplo: 146,147
Filtro de nombre de etiqueta CSV N/A No Es una lista separada por comas de nombres de etiquetas asociados con observables que se deben usar con la transferencia. Ejemplo: Credenciales de Microsoft, phishing.
Agrupamiento de feeds de fuentes Casilla de verificación Desmarcado No Si está habilitado, el conector agrupará los observables de la misma fuente en la misma alerta de Siemplify.
Cantidad máxima de días de recuperación hacia atrás Número entero 1 No Es la cantidad de días desde los que se recuperarán los observables.
Cantidad máxima de observables por alerta Número entero 100 No Cuántos observables deben formar parte de una alerta de Siemplify. El máximo es 200.
Usa la lista de entidades permitidas como una lista de entidades rechazadas Casilla de verificación Desmarcado Sí Si se habilita, la lista dinámica se usará como lista de entidades bloqueadas.
Verificar SSL Casilla de verificación Desmarcado Sí Si está habilitado, verifica que el certificado SSL para la conexión con el servidor de Siemplify Threatfuse sea válido.
Dirección del servidor proxy String N/A No Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy String N/A No Es el nombre de usuario del proxy con el que se autenticará.
Contraseña del proxy Contraseña N/A No Es la contraseña del proxy con la que se realizará la autenticación.

Reglas del conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.