שילוב של Siemplify ThreatFuse עם Google SecOps

במאמר הזה מוסבר איך לשלב את Siemplify ThreatFuse עם Google Security Operations.

תרחישים לדוגמה

השילוב של Siemplify ThreatFuse משתמש ביכולות של Google SecOps כדי לתמוך בתרחישי השימוש הבאים:

  • העשרת ישויות של רשתות ומשתמשים: אחזור אוטומטי של ציוני איומים, רמות סמך ומטא-נתונים של כתובות IP, כתובות URL, גיבובים וכתובות אימייל כדי לזהות פעילות זדונית.

  • גילוי נתונים קשורים על איומים: חשיפת ערכי גיבוב (hash), דומיינים וכתובות IP משויכים כדי למפות את התשתית שבה משתמשים גורמי האיום.

  • ניתוח קמפיינים קשורים: אחזור פרטים על קמפיינים מקושרים, משפחות של תוכנות זדוניות ו-TTPs כדי להבין את ההקשר הרחב יותר של אירוע.

  • ניהול פידים של מודיעין: שולחים תצפיות חדשות ל-ThreatFuse או מדווחים על תוצאות חיוביות מוטעות ישירות מהפלטפורמה כדי לשפר את נתוני האיומים של הארגון.

לפני שמתחילים

לפני שמגדירים את השילוב ב-Google SecOps, צריך לוודא שהדרישות הבאות מתקיימות בסביבת Siemplify ThreatFuse (שמופעלת על ידי Anomali ThreatStream):

  • פרטי כניסה ל-API: צריך מפתח API תקין ואת כתובת האימייל שמשויכת לחשבון Anomali או ThreatFuse.

  • אחזור פרטי כניסה: כדי לקבל את מפתח ה-API, נכנסים לפורטל ThreatFuse, עוברים לקטע User Profile (פרופיל משתמש) ומחפשים את הכרטיסייה API Information (מידע על ה-API). פרטים נוספים זמינים במאמר הגדרות של Anomali ThreatStream.

  • פרטי המכונה: מזהים את שורש האינטרנט ושורש ה-API הספציפיים שלכם. בדרך כלל, במכונות בענן, שורש ה-API הוא https://api.threatstream.com.

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
הרמה הבסיסית (root) של האתר String https://siemplify.threatstream.com כן הרמה הבסיסית (root) של האינטרנט במכונה של Siemplify ThreatFuse. הפרמטר הזה משמש ליצירת קישורים לדוחות בין פריטי השילוב.
הרמה הבסיסית (root) של ה-API String https://api.threatstream.com כן שורש ה-API של המכונה של Siemplify ThreatFuse.
כתובת אימייל String לא רלוונטי כן כתובת האימייל של החשבון ב-Siemplify ThreatFuse.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של חשבון Siemplify ThreatFuse.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, המערכת מאמתת שאישור ה-SSL לחיבור לשרת Siemplify ThreatFuse תקף.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

פינג

בודקים את הקישוריות ל-Siemplify ThreatFuse באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב ב-Google SecOps Content Hub.

ריצה

הפעולה לא פועלת על ישויות, ואין לה פרמטרים חובה לקלט.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:


אם החיבור הצליח: "Successfully connected to the Siemplify ThreatFuse server with the provided connection parameters!"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:


אם התגובה נכשלה: "Failed to connect to the Siemplify ThreatFuse server!‎ השגיאה היא {0}".format(exception.stacktrace)

 כללי

העשרת ישויות

אחזור מידע על כתובות IP, כתובות URL, גיבובים וכתובות אימייל מ-Siemplify ThreatFuse. אם נמצאו כמה רשומות לאותה ישות, הפעולה תעשיר את הנתונים באמצעות הרשומה האחרונה.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף החומרה DDL

בינוני

ערך אפשרי:

  • גבוהה מאוד
  • גבוהה
  • בינוני
  • נמוכה
 כן

מציינים את סף החומרה של הישות כדי לסמן אותה כחשודה.

אם נמצאו כמה רשומות לאותה ישות, הפעולה תתייחס לרמת החומרה הגבוהה ביותר מבין כל הרשומות הזמינות.
סף רמת הסמך מספר שלם לא רלוונטי כן

צריך לציין את סף הוודאות של הישות כדי לסמן אותה כחשודה.

המספר המקסימלי הוא 100.

אם נמצאו כמה רשומות של הישות, הפעולה מחשבת את הממוצע.

רשומות פעילות מקבלות עדיפות.
התעלמות מסטטוס של תוצאה חיובית כוזבת תיבת סימון התיבה לא מסומנת לא

אם האפשרות הזו מופעלת, הפעולה מתעלמת מהסטטוס "חיובי כוזב" ומסמנת את הישות כחשודה על סמך הפרמטרים "סף חומרה" ו"סף רמת סמך".

אם הפעולה מושבתת, היא אף פעם לא מסמנת ישויות חיוביות מוטעות כחשודות, גם אם הן עומדות בתנאים של "סף החומרה" ו "סף הסבירות".

הוספת סוג האיום לפנייה תיבת סימון התיבה לא מסומנת לא

אם הפעולה מופעלת, היא מוסיפה לפנייה את סוגי האיומים של הישות מכל הרשומות בתור תגים.

דוגמה: דירה
תובנה רק לגבי ישות חשודה תיבת סימון התיבה לא מסומנת כן אם הפעולה מופעלת, היא יוצרת תובנות רק לגבי ישויות שחרגו מהפרמטרים "סף חומרה" ו "סף ודאות".
יצירת תובנה תיבת סימון התיבה לא מסומנת כן אם ההגדרה מופעלת, הפעולה מוסיפה תובנה לכל ישות שעברה עיבוד.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
    "objects": [
        {
            "status": "inactive",
            "itype": "mal_md5",
            "expiration_ts": "2019-02-25T08:58:58.000Z",
            "ip": null,
            "is_editable": false,
            "feed_id": 2197,
            "update_id": 3328068779,
            "longitude": null,
            "org": "",
            "threat_type": "malware",
            "workgroups": [],
            "rdns": null,
            "confidence": 60,
            "uuid": "31d9ed97-9811-4b4b-9e2d-4b3f822eb37f",
            "subtype": "MD5",
            "trusted_circle_ids": [
                146,
                254
            ],
            "id": 51744433673,
            "source": "targetedthreats - OSINT",
            "owner_organization_id": 2,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1551097291170
            ],
            "description": null,
            "tags": [
                {
                    "id": "fvj",
                    "name": "Family=Code4HK"
                },
                {
                    "id": "zwz",
                    "name": "Report=https://malware.lu/articles/2014/09/29/analysis-of-code4hk.html"
                }
            ],
            "threatscore": 54,
            "source_reported_confidence": 60,
            "modified_ts": "2019-02-25T12:21:31.170Z",
            "is_public": false,
            "asn": "",
            "created_ts": "2018-11-27T09:00:33.468Z",
            "tlp": null,
            "is_anonymous": false,
            "country": null,
            "can_add_public_tags": false,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "retina_confidence": -1,
            "meta": {
                "detail2": "bifocals_deactivated_on_2019-02-25_09:30:00.127233",
                "severity": "high"
            },
            "resource_uri": "/api/v2/intelligence/51744433673/"
      "report_link": "https://siemplify.threatstream.com/detail/url/http:%2F%2Fsweetpineapple.co.za%2Fwp-admin%2Fuser%2Finternetbanking.suncorpbank.htm"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 191,
            "update_id": 5406560,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 90,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 5406560,
            "source": "SLC Alert Malware Domains",
            "owner_organization_id": 736,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1421928716491
            ],
            "description": null,
            "tags": [
                {
                    "name": "HITRUST"
                },
                {
                    "name": "Public-Threats"
                }
            ],
            "threatscore": 77,
            "source_reported_confidence": 60,
            "modified_ts": "2015-01-22T12:11:56.491Z",
            "org": "",
            "asn": "",
            "created_ts": "2015-01-22T12:11:56.491Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": true,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "severity": "high",
                "detail": "Public Threats,HITRUST"
            },
            "resource_uri": "/api/v2/intelligence/5406560/"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 0,
            "update_id": 59177,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 100,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 59177,
            "source": "Analyst",
            "owner_organization_id": 2,
            "import_session_id": 2325,
            "latitude": null,
            "type": "md5",
            "sort": [
                1412172414589
            ],
            "description": null,
            "tags": [
                {
                    "name": "apt_md5"
                },
                {
                    "name": "CN-APT"
                },
                {
                    "name": "IOS-Malware"
                },
                {
                    "name": "LadyBoyle"
                }
            ],
            "threatscore": 85,
            "source_reported_confidence": 0,
            "modified_ts": "2014-10-01T14:06:54.589Z",
            "org": "",
            "asn": "",
            "created_ts": "2014-10-01T14:06:40.858Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": false,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "detail2": "imported by user 1",
                "severity": "very-high",
                "detail": "LadyBoyle, IOS Malware, CN APT"
            },
            "resource_uri": "/api/v2/intelligence/59177/"
        }
    ],
    "is_risky": "true"
    "meta": {
        "total_count": 3,
        "offset": 0,
        "limit": 1000,
        "took": 27,
        "next": null
    }
}
העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
TFuse_id כשהוא זמין ב-JSON
TFuse_status כשהוא זמין ב-JSON
TFuse_itype כשהוא זמין ב-JSON
TFuse_expiration_time כשהוא זמין ב-JSON
TFuse_ip כשהוא זמין ב-JSON
TFuse_feed_id כשהוא זמין ב-JSON
TFuse_confidence כשהוא זמין ב-JSON
TFuse_uuid כשהוא זמין ב-JSON
TFuse_retina_confidence כשהוא זמין ב-JSON
TFuse_trusted_circle_ids כשהוא זמין ב-JSON
TFuse_source כשהוא זמין ב-JSON
TFuse_latitude כשהוא זמין ב-JSON
TFuse_type כשהוא זמין ב-JSON
TFuse_description כשהוא זמין ב-JSON
TFuse_tags כשהוא זמין ב-JSON
TFuse_threat_score כשהוא זמין ב-JSON
TFuse_source_confidence כשהוא זמין ב-JSON
TFuse_modification_time כשהוא זמין ב-JSON
TFuse_org_name כשהוא זמין ב-JSON
TFuse_asn כשהוא זמין ב-JSON
TFuse_creation_time כשהוא זמין ב-JSON
TFuse_tlp כשהוא זמין ב-JSON
TFuse_country כשהוא זמין ב-JSON
TFuse_longitude כשהוא זמין ב-JSON
TFuse_severity כשהוא זמין ב-JSON
TFuse_subtype כשהוא זמין ב-JSON
TFuse_report כשהוא זמין ב-JSON
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ולפחות אחת מהישויות שסופקו הועשרה (is_success=true): "Successfully enriched the following entities using Siemplify ThreatFuse: \n {0}".format(entity.identifier list)

אם לא הצליח להעשיר ישויות ספציפיות (is_success=true): "Action was not able to enrich the following entities using Siemplify ThreatFuse\n: {0}".format([entity.identifier])

אם העשרת הנתונים נכשלה בכל הישויות (is_success=false): "לא הועשרו נתונים של ישויות".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "העשרת ישויות". הסיבה: {0}''.format(error.Stacktrace)

אם הפרמטר "Confidence Threshold" לא נמצא בטווח 0-100: "הערך של 'Confidence Threshold' צריך להיות בטווח שבין 0 ל-100".

 כללי
CSV

שם הטבלה: קישורים לניתוחים קשורים: {entity_identifier}

עמודות בטבלה:

  • שם: ממופה כמפתח בתגובה השנייה (לדוגמה, Virustotal)
  • קישור: ממופה כערך למפתח
כללי
CSV

מפתחות שמבוססים על טבלת ההעשרה.

הפרמטר No Enrichment Prefix (ללא קידומת העשרה) כתוב באותיות רישיות.

 כללי

אחזור גיבובים שקשורים לישויות על סמך השיוכים ב-Siemplify ThreatFuse.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף רמת הסמך מספר שלם לא רלוונטי כן

מציינים את סף הסמך.

מקסימום: 100
חיפוש עדכונים על איומים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוך עלוני מידע על איומים.
חיפוש שחקנים תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת בין שחקנים.
חיפוש דפוסי התקפה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דפוסי התקפה.
קמפיינים לרשת החיפוש תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת קמפיינים.
חיפוש דרכי פעולה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דרכי הפעולה.
חיפוש זהויות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הזהויות.
חיפוש אירועים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין האירועים.
תשתיות חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין תשתיות.
חיפוש קבוצות פריצה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין קבוצות של פריצות.
חיפוש תוכנות זדוניות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוכנות זדוניות.
חיפוש חתימות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין החתימות.
כלי חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הכלים.
חיפוש TTPs תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת ב-TTPs.
חיפוש נקודות חולשה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין נקודות חולשה.
מספר מקסימלי של ערכי גיבוב (hash) להחזרה מספר שלם 50 לא מציינים את מספר הגיבובים שרוצים להחזיר.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל
  • גורם איום
  • CVE

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
"{}_hashes".format(subtype): ["md5hash_1"],
"all_hashes": ["md5hash_1"]
}
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצא לפחות גיבוב אחד בין הישויות (is_success=true): "Successfully retrieved related hashes from Siemplify ThreatFuse"

אם לא נמצאו ערכי גיבוב (is_success=false): "לא נמצאו ערכי גיבוב קשורים".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "קבלת ערכי גיבוב קשורים". הסיבה: {0}''.format(error.Stacktrace)

אם הפרמטר "Confidence Threshold" (סף רמת הסמך) לא נמצא בטווח שבין 0 ל-100: "הערך של 'Confidence Threshold' צריך להיות בטווח שבין 0 ל-100".

 כללי

אחזור כתובות URL שקשורות לישות על סמך השיוכים ב-Siemplify ThreatFuse.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף רמת הסמך מספר שלם לא רלוונטי כן

מציינים את סף הסמך.

מקסימום: 100
חיפוש עדכונים על איומים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוך עלוני מידע על איומים.
חיפוש שחקנים תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת בין שחקנים.
חיפוש דפוסי התקפה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דפוסי התקפה.
קמפיינים לרשת החיפוש תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת קמפיינים.
חיפוש דרכי פעולה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דרכי הפעולה.
חיפוש זהויות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הזהויות.
חיפוש אירועים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין האירועים.
תשתיות חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין תשתיות.
חיפוש קבוצות פריצה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין קבוצות של פריצות.
חיפוש תוכנות זדוניות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוכנות זדוניות.
חיפוש חתימות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין החתימות.
כלי חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הכלים.
חיפוש TTPs תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת ב-TTPs.
חיפוש נקודות חולשה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין נקודות החולשה.
מספר מקסימלי של כתובות URL להחזרה מספר שלם 50 לא מציינים את מספר כתובות ה-URL שרוצים לקבל.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל
  • גורם איום
  • CVE

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצאה לפחות כתובת URL אחת בישויות (is_success=true): "Successfully retrieved related urls from Siemplify ThreatFuse."

אם לא נמצאו ערכי גיבוב (is_success=false): "לא נמצאו כתובות URL קשורות".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת כתובות URL קשורות'. הסיבה: {0}''.format(error.Stacktrace)

אם הפרמטר "Confidence Threshold" (סף רמת הסמך) לא נמצא בטווח שבין 0 ל-100: "הערך של 'Confidence Threshold' צריך להיות בטווח שבין 0 ל-100".

 כללי

אחזור דומיינים שקשורים לישויות על סמך השיוכים ב-Siemplify ThreatFuse.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף רמת הסמך מספר שלם לא רלוונטי כן

מציינים את סף הסמך.

מקסימום: 100
חיפוש עדכונים על איומים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוך עלוני מידע על איומים.
חיפוש שחקנים תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת בין שחקנים.
חיפוש דפוסי התקפה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דפוסי התקפה.
קמפיינים לרשת החיפוש תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת קמפיינים.
חיפוש דרכי פעולה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דרכי הפעולה.
חיפוש זהויות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הזהויות.
חיפוש אירועים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין האירועים.
תשתיות חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין תשתיות.
חיפוש קבוצות פריצה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין קבוצות של פריצות.
חיפוש תוכנות זדוניות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוכנות זדוניות.
חיפוש חתימות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין החתימות.
כלי חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הכלים.
חיפוש TTPs תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת ב-TTPs.
חיפוש נקודות חולשה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין נקודות החולשה.
מספר הדומיינים המקסימלי להחזרה מספר שלם 50 לא מציינים את מספר הדומיינים שרוצים להחזיר.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל
  • גורם איום
  • CVE

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
"domains": ["www.google.com"]
}
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצא לפחות גיבוב אחד בין הישויות (issuccess=true): "Successfully retrieved related domains from Siemplify ThreatFuse."‎

אם לא נמצאו ערכי גיבוב (issuccess=false): "לא נמצאו דומיינים קשורים".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת דומיינים קשורים'. הסיבה: {0}''.format(error.Stacktrace)

אם הפרמטר "Confidence Threshold" (סף רמת הסמך) לא נמצא בטווח שבין 0 ל-100: "הערך של 'Confidence Threshold' צריך להיות בטווח שבין 0 ל-100".

 כללי

אחזור כתובות אימייל שקשורות לישות על סמך השיוכים ב-Siemplify ThreatFuse.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף רמת הסמך מספר שלם לא רלוונטי כן

מציינים את סף הסמך.

מקסימום: 100

חיפוש עדכונים על איומים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוך עלוני מידע על איומים.
חיפוש שחקנים תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת בין שחקנים.
חיפוש דפוסי התקפה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דפוסי התקפה.
קמפיינים לרשת החיפוש תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת קמפיינים.
חיפוש דרכי פעולה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דרכי הפעולה.
חיפוש זהויות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הזהויות.
חיפוש אירועים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין האירועים.
תשתיות חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין תשתיות.
חיפוש קבוצות פריצה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין קבוצות של פריצות.
חיפוש תוכנות זדוניות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוכנות זדוניות.
חיפוש חתימות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין החתימות.
כלי חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הכלים.
חיפוש TTPs תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת ב-TTPs.
חיפוש נקודות חולשה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין נקודות החולשה.
מספר הדומיינים המקסימלי להחזרה מספר שלם 50 לא מציינים את מספר הדומיינים שרוצים להחזיר.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל
  • גורם איום
  • CVE

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצא לפחות גיבוב אחד בין הישויות (issuccess=true): "Successfully retrieved related email addresses from Siemplify ThreatFuse."

אם לא נמצאו ערכי גיבוב (issuccess=false): "לא נמצאו כתובות אימייל קשורות".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת כתובות אימייל קשורות'. הסיבה: {0}''.format(error.Stacktrace)

אם הפרמטר "Confidence Threshold" לא נמצא בטווח 0-100: "'Confidence Threshold' value should be in range from 0 to 100."

 כללי

אחזור כתובות IP שקשורות לישות על סמך השיוכים ב-Siemplify ThreatFuse.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סף רמת הסמך מספר שלם לא רלוונטי כן

מציינים את סף הסמך.

מקסימום: 100

חיפוש עדכונים על איומים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוך עלוני מידע על איומים.
חיפוש שחקנים תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת בין שחקנים.
חיפוש דפוסי התקפה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דפוסי התקפה.
קמפיינים לרשת החיפוש תיבת סימון סימן אישור לא אם האפשרות מופעלת, הפעולה מחפשת קמפיינים.
חיפוש דרכי פעולה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין דרכי הפעולה.
חיפוש זהויות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הזהויות.
חיפוש אירועים תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין האירועים.
תשתיות חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין תשתיות.
חיפוש קבוצות פריצה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין קבוצות של פריצות.
חיפוש תוכנות זדוניות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בתוכנות זדוניות.
חיפוש חתימות תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין החתימות.
כלי חיפוש תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין הכלים.
חיפוש TTPs תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת ב-TTPs.
חיפוש נקודות חולשה תיבת סימון סימן אישור לא אם ההגדרה מופעלת, הפעולה מחפשת בין נקודות החולשה.
מספר הדומיינים המקסימלי להחזרה מספר שלם 50 לא מציינים את מספר הדומיינים שרוצים להחזיר.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל
  • גורם איום
  • CVE

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט\*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצא לפחות גיבוב אחד בין הישויות (is_success=true): "Successfully retrieved related IPs from Siemplify ThreatFuse."

אם לא נמצאו גיבובים (is_success=false): "לא נמצאו כתובות IP קשורות".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "קבלת כתובות IP קשורות". הסיבה: {0}''.format(error.Stacktrace)

אם הפרמטר "Confidence Threshold" לא נמצא בטווח 0-100: "הערך של 'Confidence Threshold' צריך להיות בטווח שבין 0 ל-100".

 כללי

אחזור שיוכים שקשורים לישות מ-Siemplify ThreatFuse.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
קמפיינים להחזרת לקוחות תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת קמפיינים קשורים ופרטים עליהם.
החזרת עדכוני איומים תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת עלוני מידע קשורים על איומים ופרטים עליהם.
החזרת שחקנים תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת שחקנים קשורים ופרטים עליהם.
דפוסי התקפה חוזרים תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת דפוסי תקיפה קשורים ופרטים עליהם.
החזרת דרכי פעולה תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת את דרכי הפעולה הקשורות ופרטים עליהן.
זהויות החזרה תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת זהויות קשורות ופרטים עליהן.
אירועי החזרה תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת אירועים קשורים ופרטים עליהם.
תשתית החזרה תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת תשתית קשורה ופרטים עליה.
החזרת קבוצות פריצה תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת קבוצות פריצה קשורות ופרטים עליהן.
תוכנה זדונית מסוג Return תיבת סימון התיבה לא מסומנת לא אם ההגדרה מופעלת, הפעולה מאחזרת תוכנות זדוניות קשורות ופרטים לגביהן.
חתימות על החזרות תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת חתימות קשורות ופרטים עליהן.
כלים להחזרת מוצרים תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת כלים קשורים ופרטים עליהם.
החזרת TTPs תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא מאחזרת את ה-TTPs הקשורים ופרטים עליהם.
החזרת נקודות חולשה תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא מאחזרת נקודות חולשה קשורות ופרטים לגביהן.
יצירת ישות של קמפיין תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הפעולה יוצרת ישות מתוך השיוכים הזמינים של "קמפיין".
יצירת ישות של שחקנים תיבת סימון התיבה לא מסומנת לא אם הפעולה מופעלת, היא יוצרת ישות מתוך השיוכים הזמינים של "הגורם המבצע".
יצירת ישות חתימה תיבת סימון התיבה לא מסומנת לא אם ההגדרה מופעלת, הפעולה יוצרת ישות מתוך השיוכים הזמינים של "חתימה".
יצירת ישות של נקודת חולשה תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הפעולה יוצרת ישות מתוך השיוכים הזמינים של "נקודת חולשה".
יצירת תובנה תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא יוצרת תובנה על סמך התוצאות.
יצירת תג לבקשת תמיכה תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא יוצרת תגי פניות על סמך התוצאות.
מספר השיוכים המקסימלי להחזרה מספר שלם לא רלוונטי לא מציינים את מספר השיוכים שיוחזרו לכל סוג.
מספר הנתונים הסטטיסטיים המקסימלי להחזרה מספר שלם 3 לא

מציינים את מספר התוצאות הסטטיסטיות המובילות שרוצים לקבל לגבי ה-IOC.

הערה: הפעולה מעבדת עד 1,000 מזהי IOC שקשורים לשיוך. אם תזינו "0", הפעולה לא תנסה לאחזר מידע סטטיסטי.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
    "campaign": [
        {
            "name": "Coronavirus",
            "id": 1
        },
        {
            "name": "Bad campaign",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצא לפחות שיוך אחד בין ישויות (is_success=true): "Successfully retrieved related associations from Siemplify ThreatFuse"

אם לא נמצאו שיוכים (is_success=false): "לא נמצאו שיוכים קשורים".

הודעה אסינכרונית: בהמתנה לאחזור של כל פרטי השיוך"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת שיוך קשור'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
CSV

שם: "שיוכים קשורים"

עמודות:

  • מזהה
  • שם
  • סוג (שם האיגוד)
  • סטטוס (ממופה כ-status/display_name)
 כללי

שליחת נתונים שניתנים למדידה

שליחת אובייקט שניתן לצפייה אל Siemplify ThreatFuse על סמך הישויות של כתובת ה-IP, כתובת ה-URL, ה-Hash והאימייל.

איפה אפשר למצוא את המזהים של המעגלים המהימנים

כדי למצוא את המזהה של מעגל מהימן, מאתרים את המעגל המהימן ב-Siemplify ThreatFuse ולוחצים על השם שלו. המזהה מופיע בכתובת ה-URL שמוצגת בסרגל הכתובות.

לדוגמה: https://siemplify.threatstream.com/search?trustedcircles=13.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סיווג DDL

פרטי

ערכים אפשריים:

  • גלוי לכולם
  • פרטי
 כן מציינים את הסיווג של האובייקט הניתן לצפייה.
סוג האיום DDL

APT

ערכים אפשריים

  • APT
  • תוכנת פרסום
  • חריגים
  • אנונימיזציה
  • בוט
  • Brute
  • C2
  • בסיכון
  • מטבעות וירטואליים
  • זליגת נתונים
  • DDOS
  • עדכון DNS דינמי
  • Exfil
  • ניצול
  • הונאה
  • כלי פריצה
  • I2P
  • לצורך מידע
  • תוכנה זדונית
  • P2
  • בהמתנה
  • Phish
  • סריקה
  • בולען
  • רשתות חברתיות
  • ספאם
  • הסתרה
  • חשודה
  • TOR
  • VPS
 כן מציינים את סוג האיום של האובייקטים הניתנים לצפייה.
מקור String Siemplify לא מציינים את מקור המידע של האובייקט הניתן למעקב.
תאריך תפוגה מספר שלם לא רלוונטי לא

מציינים את תאריך התפוגה בימים של האובייקט הניתן למעקב.

אם לא מציינים כאן כלום, הפעולה יוצרת תצפית שתוקפה לא יפוג אף פעם.
מזהי מעגלים מהימנים CSV לא רלוונטי לא

צריך לציין רשימה של מזהי מעגלים מהימנים, מופרדים בפסיקים.

התצפיות משותפות עם המעגלים המהימנים האלה.

TLP DDL

יש לבחור טווח

ערכים אפשריים:

  • יש לבחור טווח
  • אדום
  • ירוק
  • חום-צהבהב
  • לבן
 לא מציינים את ה-TLP של הנתונים הניתנים לצפייה.
רמת סמך מספר שלם לא רלוונטי לא

צריך לציין את רמת הסבירות של האובייקט הניתן למעקב.

הערה: הפרמטר הזה פועל רק אם יוצרים אובייקטים ניתנים למעקב בארגון והפרמטר Override System Confidence מופעל.
שינוי רמת הסמך של המערכת תיבת סימון התיבה לא מסומנת לא

אם המדיניות מופעלת, התצפיות שנוצרות כוללות את רמת הסמך שצוינה בפרמטר "רמת סמך".

הערה: כשהפרמטר הזה מופעל, אי אפשר לשתף תצפיות במעגלים מהימנים ובאופן ציבורי.
שליחה אנונימית תיבת סימון התיבה לא מסומנת לא אם ההגדרה הזו מופעלת, הפעולה שולחת את הטופס באופן אנונימי.
תגים CSV לא רלוונטי לא ציינו רשימה מופרדת בפסיקים של תגים שאתם רוצים להוסיף לאובייקט הניתן למעקב.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
approved_jobs = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצא לפחות גיבוב אחד בין הישויות (is_success=true): "Successfully submitted and approved the following entities in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

אם הפעולה נכשלה עבור ישויות מסוימות (ישויות שנדחו) (is_success=true): "Action was not able to successfully submit and approve the following entities in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

אם ההעשרה נכשלה לכל הישויות (is_success=false): "No entities were successfully submitted to Siemplify ThreatFuse."

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'שליחת Observable'. הסיבה: {0}''.format(error.Stacktrace)

אם מדווח קוד הסטטוס 400: "Error executing action "Submit Observable".‎ הסיבה: {0}''.format(message)

 כללי

דיווח על תוצאה חיובית כוזבת

דיווח על ישויות ב-Siemplify ThreatFuse כתוצאה חיובית כוזבת.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סיבה String לא רלוונטי כן ציינו את הסיבה לכך שאתם רוצים לסמן ישויות כתוצאה חיובית כוזבת.
תגובה String לא רלוונטי כן ציינו מידע נוסף שקשור להחלטה שלכם לסמן את הישות כחיובית מוטעית.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • גיבוב (hash)
  • כתובת IP
  • כתובת URL
  • שם משתמש עם ביטויים רגולריים של אימייל

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך
is_success is_success=False
is_success is_success=True
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ונמצא לפחות גיבוב אחד בין הישויות (is_success=true): "Successfully reported the following entities as false positive in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

אם לא הצלחתם לסמן ישויות ספציפיות (is_success=true): "Action was not able to report the following entities as false positive in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

אם ההעשרה נכשלה בכל הישויות (issuccess=false): "לא דווח על ישויות כחיוביות מוטעות".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Report As False Positive".‎ הסיבה: {0}''.format(error.Stacktrace)

 כללי

מחברים

איך מגדירים מחברים ב-Google SecOps?

‫Siemplify ThreatFuse – מחבר Observables

שליפת נתונים ניתנים לצפייה מ-Siemplify ThreatFuse.

המלצות

כשמגדירים את המחבר, מומלץ להשתמש בסביבה נפרדת כדי שהאנליסטים לא יוצפו בכל ההתראות הספקולטיביות.

איפה אפשר למצוא את המזהים של המעגלים המהימנים

כדי למצוא את המזהה של מעגל מהימן, מאתרים את המעגל המהימן ב-Siemplify ThreatFuse ולוחצים על השם שלו. המזהה מופיע בכתובת ה-URL שמוצגת בסרגל הכתובות.

לדוגמה: https://siemplify.threatstream.com/search?trustedcircles=13.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע String סוג כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.

תבנית ביטוי רגולרי של סביבה

 String .* לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".

ברירת המחדל היא .* כדי לתפוס הכול ולהחזיר את הערך ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 300 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String

https://api.threat
stream.com

 כן שורש ה-API של המכונה של Siemplify ThreatFuse.
כתובת אימייל String לא רלוונטי כן כתובת האימייל של החשבון ב-Siemplify ThreatFuse.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של החשבון ב-Siemplify ThreatFuse.
רמת החומרה הנמוכה ביותר לאחזור String גבוהה כן

רמת החומרה הנמוכה ביותר שתשמש לאחזור של נתונים ניתנים לצפייה.

ערכים אפשריים:
נמוך

בינוני

גבוהה

גבוהה מאוד
רמת הסמך הנמוכה ביותר לאחזור מספר שלם 50 כן

רמת הסמך הנמוכה ביותר שתשמש לאחזור של אובייקטים ניתנים לצפייה. המספר המקסימלי הוא 100.
מסנן פיד המקור CSV לא רלוונטי לא רשימה מופרדת בפסיקים של מזהי פידים שצריך להשתמש בהם כדי להטמיע אובייקטים ניתנים לצפייה. דוגמה: 515,4129
מסנן לפי סוג הנתון שניתן לצפות בו CSV url, domain, email, hash, ip, ipv6 לא

רשימה מופרדת בפסיקים של סוגי אובייקטים שניתנים למעקב שצריך להטמיע. דוגמה: url, domain

ערכים אפשריים: url, ‏ domain, ‏ email, ‏ hash, ‏ ip, ‏ ipv6
מסנן סטטוסים של תצפיות CSV פעיל לא

רשימה מופרדת בפסיקים של סטטוסים שניתן לצפות בהם, שצריך להשתמש בהם כדי להטמיע נתונים חדשים. דוגמה: active,inactive

ערכים אפשריים: active,‏ inactive,‏ falsepos
מסנן סוג האיום CSV לא רלוונטי לא

רשימה מופרדת בפסיקים של סוגי איומים שצריך להשתמש בהם כדי להטמיע אובייקטים ניתנים לצפייה. דוגמה: аdware,anomalous,anonymization,apt

ערכים אפשריים:
аdware,anomalous,anonymization,
apt,bot,brute,c2,compromised,
crypto,data_leakage,ddos,dyn_dns,exfil,
exploit,fraud,hack_tool,i2p,informational,
malware,p2p,parked,phish,scan,sinkhole,spam,
suppress,suspicious,tor,vps
מסנן למעגל מהימן CSV לא רלוונטי לא

רשימה מופרדת בפסיקים של מזהי מעגלים מהימנים שצריך להשתמש בהם כדי להטמיע תצפיות.

דוגמה: 146,147
מסנן לפי שם התג CSV לא רלוונטי לא רשימה מופרדת בפסיקים של שמות תגים שמשויכים לאובייקטים שניתנים למעקב, שצריך להשתמש בהם בהטמעה. דוגמה: פרטי כניסה למיקרוסופט, פישינג.
קיבוץ פידים של מקורות תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, המחבר יקבץ תצפיות מאותו מקור באותה התראה ב-Siemplify.
אחזור מספר הימים המקסימלי אחורה מספר שלם 1 לא מספר הימים שמהם המערכת תאחזר את הנתונים שניתנים למדידה.
מספר מקסימלי של פריטים שניתנים למעקב בכל התראה מספר שלם 100 לא כמה אובייקטים ניתנים לצפייה צריכים להיות חלק מהתראה אחת של Siemplify. המספר המקסימלי הוא 200.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון התיבה לא מסומנת כן אם המדיניות מופעלת, הרשימה הדינמית תשמש כרשימת חסימה.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Siemplify Threatfuse תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא כתובת שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא רלוונטי לא הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.