Integra Siemplify ThreatFuse con Google SecOps

Questo documento spiega come integrare Siemplify ThreatFuse con Google Security Operations.

Casi d'uso

L'integrazione di Siemplify ThreatFuse utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Arricchisci le entità di rete e utente: recupera automaticamente i punteggi delle minacce, i livelli di confidenza e i metadati per IP, URL, hash ed email per identificare le attività dannose.

  • Scopri i dati sulle minacce correlate: scopri gli hash, i domini e gli indirizzi IP associati per mappare l'infrastruttura utilizzata dagli attori delle minacce.

  • Analizza le associazioni delle campagne: recupera i dettagli sulle campagne collegate, sulle famiglie di malware e sulle TTP per comprendere il contesto più ampio di un incidente.

  • Gestisci i feed di intelligence: invia nuovi osservabili a ThreatFuse o segnala falsi positivi direttamente dalla piattaforma per perfezionare i dati sulle minacce della tua organizzazione.

Prima di iniziare

Prima di configurare l'integrazione in Google SecOps, verifica i seguenti requisiti nel tuo ambiente Siemplify ThreatFuse (basato su Anomali ThreatStream):

  • Credenziali API: devi disporre di una chiave API valida e dell'indirizzo email associato al tuo account Anomali o ThreatFuse.

  • Recupero delle credenziali: per ottenere la chiave API, accedi al portale ThreatFuse, vai alla sezione Profilo utente e individua la scheda Informazioni API. Per i dettagli, consulta Impostazioni di Anomali ThreatStream.

  • Dettagli istanza: identifica la radice web e la radice API specifiche. In genere, per le istanze cloud, la radice dell'API è https://api.threatstream.com.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Root web Stringa https://siemplify.threatstream.com Sì Radice web dell'istanza Siemplify ThreatFuse. Questo parametro viene utilizzato per creare link ai report tra gli elementi di integrazione.
Root API Stringa https://api.threatstream.com Sì Radice API dell'istanza Siemplify ThreatFuse.
Indirizzo email Stringa N/D Sì Indirizzo email dell'account Siemplify ThreatFuse.
Chiave API Password N/D Sì Chiave API dell'account Siemplify ThreatFuse.
Verifica SSL Casella di controllo Selezionata Sì Se l'opzione è abilitata, verifica che il certificato SSL per la connessione al server Siemplify ThreatFuse sia valido.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Dindin

Testa la connettività a Siemplify ThreatFuse con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Esegui il

L'azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:


Se l'operazione va a buon fine: "Connessione al server Siemplify ThreatFuse eseguita con i parametri di connessione forniti"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:


In caso contrario: "Failed to connect to the Siemplify ThreatFuse server! Error is {0}".format(exception.stacktrace)

 Generale

Arricchisci le entità

Recupera informazioni su IP, URL, hash e indirizzi email da Siemplify ThreatFuse. Se vengono trovati più record per la stessa entità, l'azione eseguirà l'arricchimento utilizzando il record più recente.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Soglia di gravità DDL

Media

Valore possibile:

  • Molto alto
  • Alta
  • Medie
  • Bassa
 Sì

Specifica la soglia di gravità per l'entità, in modo da contrassegnarla come sospetta.

Se vengono trovati più record per la stessa entità, l'azione prende la gravità più elevata tra tutti i record disponibili.
Soglia di confidenza Numero intero N/D Sì

Specifica la soglia di confidenza per l'entità, in modo da contrassegnarla come sospetta.

Il valore massimo è 100.

Se vengono trovati più record per l'entità, l'azione prende la media.

I record attivi hanno la priorità.
Ignora lo stato di falso positivo Casella di controllo Deselezionata No

Se abilitata, l'azione ignora lo stato di falso positivo e contrassegna l'entità come sospetta in base ai parametri "Soglia di gravità" e "Soglia di confidenza".

Se l'opzione è disattivata, l'azione non etichetta mai le entità falso positivo come sospette, indipendentemente dal fatto che superino o meno le condizioni "Soglia di gravità" e "Soglia di confidenza".

Aggiungi tipo di minaccia alla richiesta Casella di controllo Deselezionata No

Se abilitata, l'azione aggiunge i tipi di minaccia dell'entità da tutti i record come tag al caso.

Esempio: apt
Solo insight sulle entità sospette Casella di controllo Deselezionata Sì Se abilitata, l'azione crea insight solo per le entità che hanno superato i parametri "Soglia di gravità" e "Soglia di confidenza".
Crea insight Casella di controllo Deselezionata Sì Se abilitata, l'azione aggiunge un insight per ogni entità elaborata.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Regex per nome utente con email

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
    "objects": [
        {
            "status": "inactive",
            "itype": "mal_md5",
            "expiration_ts": "2019-02-25T08:58:58.000Z",
            "ip": null,
            "is_editable": false,
            "feed_id": 2197,
            "update_id": 3328068779,
            "longitude": null,
            "org": "",
            "threat_type": "malware",
            "workgroups": [],
            "rdns": null,
            "confidence": 60,
            "uuid": "31d9ed97-9811-4b4b-9e2d-4b3f822eb37f",
            "subtype": "MD5",
            "trusted_circle_ids": [
                146,
                254
            ],
            "id": 51744433673,
            "source": "targetedthreats - OSINT",
            "owner_organization_id": 2,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1551097291170
            ],
            "description": null,
            "tags": [
                {
                    "id": "fvj",
                    "name": "Family=Code4HK"
                },
                {
                    "id": "zwz",
                    "name": "Report=https://malware.lu/articles/2014/09/29/analysis-of-code4hk.html"
                }
            ],
            "threatscore": 54,
            "source_reported_confidence": 60,
            "modified_ts": "2019-02-25T12:21:31.170Z",
            "is_public": false,
            "asn": "",
            "created_ts": "2018-11-27T09:00:33.468Z",
            "tlp": null,
            "is_anonymous": false,
            "country": null,
            "can_add_public_tags": false,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "retina_confidence": -1,
            "meta": {
                "detail2": "bifocals_deactivated_on_2019-02-25_09:30:00.127233",
                "severity": "high"
            },
            "resource_uri": "/api/v2/intelligence/51744433673/"
      "report_link": "https://siemplify.threatstream.com/detail/url/http:%2F%2Fsweetpineapple.co.za%2Fwp-admin%2Fuser%2Finternetbanking.suncorpbank.htm"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 191,
            "update_id": 5406560,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 90,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 5406560,
            "source": "SLC Alert Malware Domains",
            "owner_organization_id": 736,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1421928716491
            ],
            "description": null,
            "tags": [
                {
                    "name": "HITRUST"
                },
                {
                    "name": "Public-Threats"
                }
            ],
            "threatscore": 77,
            "source_reported_confidence": 60,
            "modified_ts": "2015-01-22T12:11:56.491Z",
            "org": "",
            "asn": "",
            "created_ts": "2015-01-22T12:11:56.491Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": true,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "severity": "high",
                "detail": "Public Threats,HITRUST"
            },
            "resource_uri": "/api/v2/intelligence/5406560/"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 0,
            "update_id": 59177,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 100,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 59177,
            "source": "Analyst",
            "owner_organization_id": 2,
            "import_session_id": 2325,
            "latitude": null,
            "type": "md5",
            "sort": [
                1412172414589
            ],
            "description": null,
            "tags": [
                {
                    "name": "apt_md5"
                },
                {
                    "name": "CN-APT"
                },
                {
                    "name": "IOS-Malware"
                },
                {
                    "name": "LadyBoyle"
                }
            ],
            "threatscore": 85,
            "source_reported_confidence": 0,
            "modified_ts": "2014-10-01T14:06:54.589Z",
            "org": "",
            "asn": "",
            "created_ts": "2014-10-01T14:06:40.858Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": false,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "detail2": "imported by user 1",
                "severity": "very-high",
                "detail": "LadyBoyle, IOS Malware, CN APT"
            },
            "resource_uri": "/api/v2/intelligence/59177/"
        }
    ],
    "is_risky": "true"
    "meta": {
        "total_count": 3,
        "offset": 0,
        "limit": 1000,
        "took": 27,
        "next": null
    }
}
Arricchimento delle entità
Nome del campo di arricchimento Logica: quando applicarle
TFuse_id Se disponibile in JSON
TFuse_status Se disponibile in JSON
TFuse_itype Se disponibile in JSON
TFuse_expiration_time Se disponibile in JSON
TFuse_ip Se disponibile in JSON
TFuse_feed_id Se disponibile in JSON
TFuse_confidence Se disponibile in JSON
TFuse_uuid Se disponibile in JSON
TFuse_retina_confidence Se disponibile in JSON
TFuse_trusted_circle_ids Se disponibile in JSON
TFuse_source Se disponibile in JSON
TFuse_latitude Se disponibile in JSON
TFuse_type Se disponibile in JSON
TFuse_description Se disponibile in JSON
TFuse_tags Se disponibile in JSON
TFuse_threat_score Se disponibile in JSON
TFuse_source_confidence Se disponibile in JSON
TFuse_modification_time Se disponibile in JSON
TFuse_org_name Se disponibile in JSON
TFuse_asn Se disponibile in JSON
TFuse_creation_time Se disponibile in JSON
TFuse_tlp Se disponibile in JSON
TFuse_country Se disponibile in JSON
TFuse_longitude Se disponibile in JSON
TFuse_severity Se disponibile in JSON
TFuse_subtype Se disponibile in JSON
TFuse_report Se disponibile in JSON
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e almeno una delle entità fornite viene arricchita (is_success=true): "Successfully enriched the following entities using Siemplify ThreatFuse: \n {0}".format(entity.identifier list)

Se non riesci ad arricchire entità specifiche (is_success=true): "Action was not able to enrich the following entities using Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Se l'arricchimento non riesce per tutte le entità (is_success=false): "Nessuna entità è stata arricchita."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Reason: {0}''.format(error.Stacktrace)

Se il parametro "Confidence Threshold" non è compreso nell'intervallo 0-100: "'Confidence Threshold' value should be in range from 0 to 100."

 Generale
CSV

Nome tabella: Link di analisi correlati: {entity_identifier}

Colonne della tabella:

  • Nome: mappato come chiave nella seconda risposta (ad esempio Virustotal)
  • Link: mappato come valore della chiave
Generale
CSV

Chiavi basate sulla tabella di arricchimento.

Il parametro No Enrichment Prefix (Prefisso senza arricchimento) è in maiuscolo.

 Generale

Recupera gli hash correlati alle entità in base alle associazioni in Siemplify ThreatFuse.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Soglia di confidenza Numero intero N/D Sì

Specifica la soglia di confidenza.

Massimo: 100
Cerca bollettini sulle minacce Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i bollettini sulle minacce.
Cerca attori Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli attori.
Cerca pattern di attacco Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra i pattern di attacco.
Campagne sulla rete di ricerca Casella di controllo Selezionata No Se attivata, l'azione cerca le campagne sulla rete di ricerca.
Cerca piani d'azione Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le linee d'azione.
Cerca identità Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le identità.
Cerca incidenti Casella di controllo Selezionata No Se abilitata, l'azione cerca tra gli incidenti.
Infrastrutture di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le infrastrutture.
Cerca set di intrusioni Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i set di intrusioni.
Cerca malware Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra i malware.
Cerca firme Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra le firme.
Strumenti di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli strumenti.
Cerca TTP Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra le TTP.
Cerca vulnerabilità Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le vulnerabilità.
Numero massimo di hash da restituire Numero intero 50 No Specifica il numero di hash da restituire.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Nome utente con espressioni regolari email
  • Aggressore
  • CVE

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
"{}_hashes".format(subtype): ["md5hash_1"],
"all_hashes": ["md5hash_1"]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e viene trovato almeno un hash tra le entità (is_success=true): "Successfully retrieved related hashes from Siemplify ThreatFuse"

Se non vengono trovati hash (is_success=false): "Non sono stati trovati hash correlati."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera hash correlati". Reason: {0}''.format(error.Stacktrace)

Se il parametro "Confidence Threshold" non è compreso nell'intervallo 0-100: "Il valore 'Confidence Threshold' deve essere compreso nell'intervallo da 0 a 100."

 Generale

Recupera gli URL correlati alle entità in base alle associazioni in Siemplify ThreatFuse.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Soglia di confidenza Numero intero N/D Sì

Specifica la soglia di confidenza.

Massimo: 100
Cerca bollettini sulle minacce Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i bollettini sulle minacce.
Cerca attori Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli attori.
Cerca pattern di attacco Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra i pattern di attacco.
Campagne sulla rete di ricerca Casella di controllo Selezionata No Se attivata, l'azione cerca le campagne sulla rete di ricerca.
Cerca piani d'azione Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le azioni.
Cerca identità Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le identità.
Cerca incidenti Casella di controllo Selezionata No Se abilitata, l'azione cerca tra gli incidenti.
Infrastrutture di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le infrastrutture.
Cerca set di intrusioni Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i set di intrusioni.
Cerca malware Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra i malware.
Cerca firme Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra le firme.
Strumenti di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli strumenti.
Cerca TTP Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra le TTP.
Cerca vulnerabilità Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le vulnerabilità.
Numero massimo di URL da restituire Numero intero 50 No Specifica il numero di URL da restituire.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Nome utente con espressioni regolari email
  • Aggressore
  • CVE

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione ha esito positivo e viene trovato almeno un URL relativo tra le entità (is_success=true): "Successfully retrieved related urls from Siemplify ThreatFuse."

Se non vengono trovati hash (is_success=false): "No related urls were found."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera URL correlati". Reason: {0}''.format(error.Stacktrace)

Se il parametro "Confidence Threshold" non è compreso nell'intervallo 0-100: "Il valore 'Confidence Threshold' deve essere compreso nell'intervallo da 0 a 100."

 Generale

Recupera i domini correlati alle entità in base alle associazioni in Siemplify ThreatFuse.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Soglia di confidenza Numero intero N/D Sì

Specifica la soglia di confidenza.

Massimo: 100
Cerca bollettini sulle minacce Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i bollettini sulle minacce.
Cerca attori Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli attori.
Cerca pattern di attacco Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra i pattern di attacco.
Campagne sulla rete di ricerca Casella di controllo Selezionata No Se attivata, l'azione cerca le campagne sulla rete di ricerca.
Cerca piani d'azione Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le azioni.
Cerca identità Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le identità.
Cerca incidenti Casella di controllo Selezionata No Se abilitata, l'azione cerca tra gli incidenti.
Infrastrutture di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le infrastrutture.
Cerca set di intrusioni Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i set di intrusioni.
Cerca malware Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra i malware.
Cerca firme Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra le firme.
Strumenti di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli strumenti.
Cerca TTP Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra le TTP.
Cerca vulnerabilità Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le vulnerabilità.
Numero massimo di domini da restituire Numero intero 50 No Specifica il numero di domini da restituire.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Nome utente con espressioni regolari email
  • Aggressore
  • CVE

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
"domains": ["www.google.com"]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e viene trovato almeno un hash tra le entità (issuccess=true): "Successfully retrieved related domains from Siemplify ThreatFuse."

Se non vengono trovati hash (issuccess=false): "Non sono stati trovati domini correlati."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera domini correlati". Reason: {0}''.format(error.Stacktrace)

Se il parametro "Confidence Threshold" non è compreso nell'intervallo 0-100: "Il valore 'Confidence Threshold' deve essere compreso nell'intervallo da 0 a 100."

 Generale

Recupera gli indirizzi email correlati alle entità in base alle associazioni in Siemplify ThreatFuse.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Soglia di confidenza Numero intero N/D Sì

Specifica la soglia di confidenza.

Massimo: 100

Cerca bollettini sulle minacce Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i bollettini sulle minacce.
Cerca attori Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli attori.
Cerca pattern di attacco Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra i pattern di attacco.
Campagne sulla rete di ricerca Casella di controllo Selezionata No Se attivata, l'azione cerca le campagne sulla rete di ricerca.
Cerca piani d'azione Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le azioni.
Cerca identità Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le identità.
Cerca incidenti Casella di controllo Selezionata No Se abilitata, l'azione cerca tra gli incidenti.
Infrastrutture di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le infrastrutture.
Cerca set di intrusioni Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i set di intrusioni.
Cerca malware Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra i malware.
Cerca firme Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra le firme.
Strumenti di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli strumenti.
Cerca TTP Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra le TTP.
Cerca vulnerabilità Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le vulnerabilità.
Numero massimo di domini da restituire Numero intero 50 No Specifica il numero di domini da restituire.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Nome utente con espressioni regolari email
  • Aggressore
  • CVE

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e viene trovato almeno un hash tra le entità (issuccess=true): "Successfully retrieved related email addresses from Siemplify ThreatFuse."

Se non vengono trovati hash (issuccess=false): "Non sono stati trovati indirizzi email correlati."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera indirizzi email correlati". Reason: {0}''.format(error.Stacktrace)

Se il parametro "Confidence Threshold" non è compreso nell'intervallo 0-100: "Il valore 'Confidence Threshold' deve essere compreso nell'intervallo da 0 a 100."

 Generale

Recupera gli indirizzi IP correlati alle entità in base alle associazioni in Siemplify ThreatFuse.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Soglia di confidenza Numero intero N/D Sì

Specifica la soglia di confidenza.

Massimo: 100

Cerca bollettini sulle minacce Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i bollettini sulle minacce.
Cerca attori Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli attori.
Cerca pattern di attacco Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra i pattern di attacco.
Campagne sulla rete di ricerca Casella di controllo Selezionata No Se attivata, l'azione cerca le campagne sulla rete di ricerca.
Cerca piani d'azione Casella di controllo Selezionata No Se abilitata, l'azione cerca tra i corsi d'azione.
Cerca identità Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le identità.
Cerca incidenti Casella di controllo Selezionata No Se abilitata, l'azione cerca tra gli incidenti.
Infrastrutture di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra le infrastrutture.
Cerca set di intrusioni Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra i set di intrusioni.
Cerca malware Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra i malware.
Cerca firme Casella di controllo Selezionata No Se l'opzione è attiva, l'azione esegue la ricerca tra le firme.
Strumenti di ricerca Casella di controllo Selezionata No Se abilitata, l'azione esegue ricerche tra gli strumenti.
Cerca TTP Casella di controllo Selezionata No Se abilitata, l'azione esegue la ricerca tra le TTP.
Cerca vulnerabilità Casella di controllo Selezionata No Se abilitata, l'azione cerca tra le vulnerabilità.
Numero massimo di domini da restituire Numero intero 50 No Specifica il numero di domini da restituire.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Nome utente con espressioni regolari email
  • Aggressore
  • CVE

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output\*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e viene trovato almeno un hash tra le entità (is_success=true): "Successfully retrieved related IPs from Siemplify ThreatFuse."

Se non vengono trovati hash (is_success=false): "Non sono stati trovati IP correlati".

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera IP correlati". Reason: {0}''.format(error.Stacktrace)

Se il parametro "Confidence Threshold" non è compreso nell'intervallo 0-100: "'Confidence Threshold' value should be in range from 0 to 100."

 Generale

Recupera le associazioni relative alle entità da Siemplify ThreatFuse.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Campagne di ritorno Casella di controllo Selezionata No Se attivata, l'azione recupera le campagne correlate e i relativi dettagli.
Bollettini sulle minacce di ritorno Casella di controllo Deselezionata No Se attivata, l'azione recupera i bollettini sulle minacce correlati e i relativi dettagli.
Return Actors Casella di controllo Deselezionata No Se abilitata, l'azione recupera gli attori correlati e i relativi dettagli.
Pattern di attacco di ritorno Casella di controllo Deselezionata No Se abilitata, l'azione recupera i pattern di attacco correlati e i relativi dettagli.
Restituisci i piani d'azione Casella di controllo Deselezionata No Se attivata, l'azione recupera i corsi d'azione correlati e i relativi dettagli.
Identità di ritorno Casella di controllo Deselezionata No Se abilitata, l'azione recupera le identità correlate e i relativi dettagli.
Incidenti di reso Casella di controllo Deselezionata No Se abilitata, l'azione recupera gli incidenti correlati e i relativi dettagli.
Infrastruttura di reso Casella di controllo Deselezionata No Se attivata, l'azione recupera l'infrastruttura correlata e i relativi dettagli.
Restituisci i set di intrusioni Casella di controllo Deselezionata No Se attivata, l'azione recupera i set di intrusioni correlati e i relativi dettagli.
restituzione del malware Casella di controllo Deselezionata No Se abilitata, l'azione recupera il malware correlato e i relativi dettagli.
Firme di reso Casella di controllo Deselezionata No Se abilitata, l'azione recupera le firme correlate e i relativi dettagli.
Strumenti di reso Casella di controllo Deselezionata No Se attivata, l'azione recupera gli strumenti correlati e i relativi dettagli.
TTP di ritorno Casella di controllo Deselezionata No Se abilitata, l'azione recupera i TTP correlati e i relativi dettagli.
Restituisci le vulnerabilità Casella di controllo Selezionata No Se abilitata, l'azione recupera le vulnerabilità correlate e i relativi dettagli.
Crea entità campagna Casella di controllo Deselezionata No Se abilitata, l'azione crea un'entità dalle associazioni "Campagna" disponibili.
Crea l'entità Actors Casella di controllo Deselezionata No Se abilitata, l'azione crea un'entità dalle associazioni "Attore" disponibili.
Crea entità firma Casella di controllo Deselezionata No Se attivata, l'azione crea un'entità dalle associazioni "Firma" disponibili.
Crea entità vulnerabilità Casella di controllo Deselezionata No Se abilitata, l'azione crea un'entità dalle associazioni "Vulnerabilità" disponibili.
Crea insight Casella di controllo Selezionata No Se abilitata, l'azione crea un insight in base ai risultati.
Crea tag richiesta Casella di controllo Selezionata No Se abilitata, l'azione crea tag della richiesta in base ai risultati.
Numero massimo di associazioni da restituire Numero intero N/D No Specifica il numero di associazioni da restituire per tipo.
Numero massimo di statistiche da restituire Numero intero 3 No

Specifica il numero di risultati statistici principali relativi agli IOC da restituire.

Nota: l'azione elabora un massimo di 1000 IOC correlati all'associazione. Se fornisci "0", l'azione non tenta di recuperare le informazioni statistiche.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Regex per nome utente con email

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
    "campaign": [
        {
            "name": "Coronavirus",
            "id": 1
        },
        {
            "name": "Bad campaign",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e viene trovata almeno un'associazione tra le entità (is_success=true): "Associazioni correlate recuperate correttamente da Siemplify ThreatFuse"

Se non vengono trovate associazioni (is_success=false): "Non sono state trovate associazioni correlate."

Messaggio asincrono: In attesa del recupero di tutti i dettagli dell'associazione"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera associazione correlata". Reason: {0}''.format(error.Stacktrace)

 Generale
CSV

Nome: "Associazioni correlate"

Colonne:

  • ID
  • Nome
  • Tipo (nome dell'associazione)
  • Stato (mappato come status/display_name)
 Generale

Invia osservabili

Invia un elemento osservabile a Siemplify ThreatFuse in base alle entità IP, URL, hash ed email.

Dove trovare gli ID delle cerchie attendibili

Per trovare l'ID di una cerchia di contatti fidati, individua la cerchia su Siemplify ThreatFuse e fai clic sul suo nome. L'URL visualizzato nella barra degli indirizzi mostra l'ID.

Ad esempio: https://siemplify.threatstream.com/search?trustedcircles=13.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Classificazione DDL

Privato

Valori possibili:

  • Pubblico
  • Privato
 Sì Specifica la classificazione dell'osservabile.
Tipo di minaccia DDL

APT

Valori possibili

  • APT
  • Adware
  • Anomali
  • Anonimizzazione
  • Bot
  • Brute
  • C2
  • Compromessi
  • Criptovalute
  • Fuga di dati
  • DDOS
  • DNS dinamico
  • Esfiltrazione
  • Exploit
  • Attività fraudolenta
  • Strumento di hacking
  • I2P
  • Informativo
  • Malware
  • P2
  • Parcheggiata
  • Phish
  • Scansione
  • Sinkhole
  • Social
  • Spam
  • Sopprimi
  • Contenuti sospetti
  • TOR
  • VPS
 Sì Specifica il tipo di minaccia per gli osservabili.
Origine Stringa Siemplify No Specifica l'origine di intelligence per l'osservabile.
Data di scadenza Numero intero N/D No

Specifica la data di scadenza in giorni per l'osservabile.

Se non viene specificato nulla, l'azione crea un osservabile che non scade mai.
ID della cerchia di fiducia CSV N/D No

Specifica un elenco separato da virgole di ID di cerchie attendibili.

Gli osservabili vengono condivisi con queste cerchie attendibili.

TLP DDL

Selezionane uno

Valori possibili:

  • Selezionane uno
  • Rosso
  • Verde
  • Ambra
  • Bianco
 No Specifica il TLP per gli osservabili.
Confidenza Numero intero N/D No

Specifica l'affidabilità dell'osservabile.

Nota: questo parametro funziona solo se crei osservabili nella tua organizzazione e se il parametro "Override System Confidence" (Esegui l'override dell'affidabilità del sistema) è abilitato.
Esegui l'override della confidenza del sistema Casella di controllo Deselezionata No

Se abilitata, gli osservabili creati hanno l'affidabilità specificata nel parametro "Affidabilità".

Nota: quando questo parametro è attivo, non puoi condividere gli osservabili nelle cerchie attendibili e pubblicamente.
Invio anonimo Casella di controllo Deselezionata No Se questa opzione è abilitata, l'azione effettua un invio anonimo.
Tag CSV N/D No Specifica un elenco separato da virgole di tag da aggiungere all'osservabile.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Regex per nome utente con email

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
approved_jobs = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e viene trovato almeno un hash tra le entità (is_success=true): "Successfully submitted and approved the following entities in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

Se l'operazione non riesce per alcune entità (entità rifiutate) (is_success=true): "Action was not able to successfully submit and approve the following entities in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Se l'arricchimento non riesce per tutte le entità (is_success=false): "Nessuna entità è stata inviata correttamente a Siemplify ThreatFuse."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Invia osservabile". Reason: {0}''.format(error.Stacktrace)

Se viene segnalato il codice di stato 400: "Errore durante l'esecuzione dell'azione "Invia osservabile". Reason: {0}''.format(message)

 Generale

Segnala come falso positivo

Segnala le entità in Siemplify ThreatFuse come falsi positivi.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Motivo Stringa N/D Sì Specifica il motivo per cui vuoi contrassegnare le entità come falsi positivi.
Commento Stringa N/D Sì Specifica informazioni aggiuntive relative alla tua decisione di contrassegnare l'entità come falso positivo.

Esegui il

Questa azione viene eseguita sulle seguenti entità:

  • Hash
  • Indirizzo IP
  • URL
  • Regex per nome utente con email

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine e viene trovato almeno un hash tra le entità (is_success=true): "Successfully reported the following entities as false positive in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

Se non riesci a contrassegnare entità specifiche (is_success=true): "Action was not able to report the following entities as false positive in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Se l'arricchimento non riesce per tutte le entità (issuccess=false): "Nessuna entità è stata segnalata come falso positivo."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Segnala come falso positivo". Reason: {0}''.format(error.Stacktrace)

 Generale

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importa i dati (connettori).

Siemplify ThreatFuse - Observables Connector

Estrai gli osservabili da Siemplify ThreatFuse.

Consigli

Quando configuri Config Connector, ti consigliamo di utilizzare un ambiente separato, in modo che gli analisti non vengano sommersi da tutti gli avvisi speculativi.

Dove trovare gli ID delle cerchie attendibili

Per trovare l'ID di una cerchia di contatti fidati, individua la cerchia su Siemplify ThreatFuse e fai clic sul suo nome. L'URL visualizzato nella barra degli indirizzi mostra l'ID.

Ad esempio: https://siemplify.threatstream.com/search?trustedcircles=13.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Obbligatorio Descrizione
Nome del campo del prodotto Stringa Nome prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa tipo Sì Inserisci il nome del campo di origine per recuperare il nome del campo dell'evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.

Pattern regex dell'ambiente

 Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 300 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Root API Stringa

https://api.threat
stream.com

 Sì Radice API dell'istanza Siemplify ThreatFuse.
Indirizzo email Stringa N/D Sì Indirizzo email dell'account Siemplify ThreatFuse.
Chiave API Password N/D Sì Chiave API dell'account Siemplify ThreatFuse.
Gravità minima da recuperare Stringa Alta Sì

La gravità più bassa che verrà utilizzata per recuperare gli osservabili.

Valori possibili:
Basso

Media

Alta

Molto alto
Confidenza minima per il recupero Numero intero 50 Sì

La confidenza minima che verrà utilizzata per recuperare gli osservabili. Il valore massimo è 100.
Filtro feed di origine CSV N/D No Elenco separato da virgole di ID feed da utilizzare per l'importazione degli osservabili. Esempio: 515,4129
Filtro per tipo di osservabile CSV url, domain, email, hash, ip, ipv6 No

Elenco separato da virgole dei tipi di osservabili che devono essere importati. Esempio: url, domain

Valori possibili: url, domain, email, hash, ip, ipv6
Filtro per stato osservabile CSV attivo No

Elenco separato da virgole degli stati osservabili da utilizzare per l'importazione di nuovi dati. Esempio: active,inactive

Valori possibili: active,inactive,falsepos
Filtro Tipo di minaccia CSV N/D No

Elenco separato da virgole dei tipi di minacce da utilizzare per l'importazione degli osservabili. Esempio: adware,anomalo,anonimizzazione,apt

Valori possibili:
аdware,anomalous,anonymization,
apt,bot,brute,c2,compromised,
crypto,data_leakage,ddos,dyn_dns,exfil,
exploit,fraud,hack_tool,i2p,informational,
malware,p2p,parked,phish,scan,sinkhole,spam,
suppress,suspicious,tor,vps
Filtro Cerchia di fiducia CSV N/D No

Elenco separato da virgole di ID di cerchie attendibili da utilizzare per l'importazione degli osservabili.

Esempio: 146,147
Filtro per nome tag CSV N/D No Elenco separato da virgole di nomi di tag associati agli osservabili da utilizzare con l'importazione. Esempio: credenziali Microsoft, phishing.
Raggruppamento dei feed di origine Casella di controllo Deselezionata No Se abilitato, il connettore raggrupperà gli osservabili della stessa origine nello stesso avviso di Siemplify.
Fetch Max Days Backwards (Recupera i giorni massimi precedenti) Numero intero 1 No Numero di giorni da cui recuperare gli osservabili.
Numero massimo di osservabili per avviso Numero intero 100 No Quanti osservabili devono far parte di un avviso Siemplify. Il valore massimo è 200.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se l'opzione è attiva, l'elenco dinamico verrà utilizzato come lista bloccata.
Verifica SSL Casella di controllo Deselezionata Sì Se l'opzione è attiva, verifica che il certificato SSL per la connessione al server Siemplify Threatfuse sia valido.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.