Integrar o Siemplify ThreatFuse ao Google SecOps

Neste documento, explicamos como integrar o Siemplify ThreatFuse ao Google Security Operations.

Casos de uso

A integração do Siemplify ThreatFuse usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:

  • Enriquecer entidades de rede e de usuário: recupere automaticamente pontuações de ameaças, níveis de confiança e metadados de IPs, URLs, hashes e e-mails para identificar atividades maliciosas.

  • Descubra dados de ameaças relacionados: descubra hashes, domínios e endereços IP associados para mapear a infraestrutura usada por agentes de ameaças.

  • Analisar associações de campanhas: recupere detalhes sobre campanhas vinculadas, famílias de malware e TTPs para entender o contexto mais amplo de um incidente.

  • Gerenciar feeds de inteligência: envie novos observáveis para o ThreatFuse ou informe falsos positivos diretamente da plataforma para refinar os dados de ameaças da sua organização.

Antes de começar

Antes de configurar a integração no Google SecOps, verifique os seguintes requisitos no ambiente do Siemplify ThreatFuse (com tecnologia do Anomali ThreatStream):

  • Credenciais da API: é preciso ter uma chave de API válida e o endereço de e-mail associado à sua conta do Anomali ou do ThreatFuse.

  • Recuperação de credenciais: para receber sua chave de API, faça login no portal do ThreatFuse, acesse a seção Perfil do usuário e localize a guia Informações da API. Para mais detalhes, consulte Configurações do Anomali ThreatStream.

  • Detalhes da instância: identifique a raiz da Web e da API. Normalmente, para instâncias de nuvem, a raiz da API é https://api.threatstream.com.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Raiz da Web String https://siemplify.threatstream.com Sim Raiz da Web da instância do Siemplify ThreatFuse. Esse parâmetro é usado para criar links de relatórios em itens de integração.
Raiz da API String https://api.threatstream.com Sim Raiz da API da instância do Siemplify ThreatFuse.
Endereço de e-mail String N/A Sim Endereço de e-mail da conta do Siemplify ThreatFuse.
Chave de API Senha N/A Sim Chave de API da conta do Siemplify ThreatFuse.
Verificar SSL Caixa de seleção Selecionado Sim Se ativada, verifica se o certificado SSL para a conexão com o servidor do Siemplify ThreatFuse é válido.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Ping

Teste a conectividade com o Siemplify ThreatFuse usando os parâmetros fornecidos na página de configuração de integração na página do Google SecOps Content Hub.

Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:


Se der certo: "Conexão estabelecida com o servidor do Siemplify ThreatFuse usando os parâmetros de conexão fornecidos."

A ação deve falhar e interromper a execução de um playbook:


Se não for bem-sucedido: "Falha ao se conectar ao servidor do Siemplify ThreatFuse! O erro é {0}".format(exception.stacktrace)

 Geral

Enriquecer entidades

Recupere informações sobre IPs, URLs, hashes e endereços de e-mail do ThreatFuse do Siemplify. Se vários registros forem encontrados para a mesma entidade, a ação vai enriquecer usando o registro mais recente.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Limite de gravidade DDL

Média

Valor possível:

  • Muito alto
  • Alta
  • Médio
  • Baixo
 Sim

Especifique o limite de gravidade para a entidade, para marcá-la como suspeita.

Se vários registros forem encontrados para a mesma entidade, a ação vai considerar a gravidade mais alta entre todos os registros disponíveis.
Limite de confiança Inteiro N/A Sim

Especifique o limite de confiança para a entidade, para marcá-la como suspeita.

O máximo é 100.

Se vários registros forem encontrados para a entidade, a ação vai usar a média.

Os registros ativos têm prioridade.
Ignorar status de falso positivo Caixa de seleção Desmarcado Não

Se ativada, a ação ignora o status de falso positivo e marca a entidade como suspeita com base nos parâmetros "Limite de gravidade" e "Limite de confiança".

Se desativada, a ação nunca vai rotular entidades de falso positivo como suspeitas, independentemente de passarem ou não pelas condições "Limite de gravidade" e "Limite de confiança".

Adicionar tipo de ameaça ao caso Caixa de seleção Desmarcado Não

Se ativada, a ação adiciona tipos de ameaça da entidade de todos os registros como tags ao caso.

Exemplo: apt
Somente insight de entidade suspeita Caixa de seleção Desmarcado Sim Se ativada, a ação cria insights apenas para entidades que excederam os parâmetros "Limite de gravidade" e "Limite de confiança".
Criar insight Caixa de seleção Desmarcado Sim Se ativada, a ação adiciona um insight por entidade processada.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
    "objects": [
        {
            "status": "inactive",
            "itype": "mal_md5",
            "expiration_ts": "2019-02-25T08:58:58.000Z",
            "ip": null,
            "is_editable": false,
            "feed_id": 2197,
            "update_id": 3328068779,
            "longitude": null,
            "org": "",
            "threat_type": "malware",
            "workgroups": [],
            "rdns": null,
            "confidence": 60,
            "uuid": "31d9ed97-9811-4b4b-9e2d-4b3f822eb37f",
            "subtype": "MD5",
            "trusted_circle_ids": [
                146,
                254
            ],
            "id": 51744433673,
            "source": "targetedthreats - OSINT",
            "owner_organization_id": 2,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1551097291170
            ],
            "description": null,
            "tags": [
                {
                    "id": "fvj",
                    "name": "Family=Code4HK"
                },
                {
                    "id": "zwz",
                    "name": "Report=https://malware.lu/articles/2014/09/29/analysis-of-code4hk.html"
                }
            ],
            "threatscore": 54,
            "source_reported_confidence": 60,
            "modified_ts": "2019-02-25T12:21:31.170Z",
            "is_public": false,
            "asn": "",
            "created_ts": "2018-11-27T09:00:33.468Z",
            "tlp": null,
            "is_anonymous": false,
            "country": null,
            "can_add_public_tags": false,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "retina_confidence": -1,
            "meta": {
                "detail2": "bifocals_deactivated_on_2019-02-25_09:30:00.127233",
                "severity": "high"
            },
            "resource_uri": "/api/v2/intelligence/51744433673/"
      "report_link": "https://siemplify.threatstream.com/detail/url/http:%2F%2Fsweetpineapple.co.za%2Fwp-admin%2Fuser%2Finternetbanking.suncorpbank.htm"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 191,
            "update_id": 5406560,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 90,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 5406560,
            "source": "SLC Alert Malware Domains",
            "owner_organization_id": 736,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1421928716491
            ],
            "description": null,
            "tags": [
                {
                    "name": "HITRUST"
                },
                {
                    "name": "Public-Threats"
                }
            ],
            "threatscore": 77,
            "source_reported_confidence": 60,
            "modified_ts": "2015-01-22T12:11:56.491Z",
            "org": "",
            "asn": "",
            "created_ts": "2015-01-22T12:11:56.491Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": true,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "severity": "high",
                "detail": "Public Threats,HITRUST"
            },
            "resource_uri": "/api/v2/intelligence/5406560/"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 0,
            "update_id": 59177,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 100,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 59177,
            "source": "Analyst",
            "owner_organization_id": 2,
            "import_session_id": 2325,
            "latitude": null,
            "type": "md5",
            "sort": [
                1412172414589
            ],
            "description": null,
            "tags": [
                {
                    "name": "apt_md5"
                },
                {
                    "name": "CN-APT"
                },
                {
                    "name": "IOS-Malware"
                },
                {
                    "name": "LadyBoyle"
                }
            ],
            "threatscore": 85,
            "source_reported_confidence": 0,
            "modified_ts": "2014-10-01T14:06:54.589Z",
            "org": "",
            "asn": "",
            "created_ts": "2014-10-01T14:06:40.858Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": false,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "detail2": "imported by user 1",
                "severity": "very-high",
                "detail": "LadyBoyle, IOS Malware, CN APT"
            },
            "resource_uri": "/api/v2/intelligence/59177/"
        }
    ],
    "is_risky": "true"
    "meta": {
        "total_count": 3,
        "offset": 0,
        "limit": 1000,
        "took": 27,
        "next": null
    }
}
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
TFuse_id Quando disponível em JSON
TFuse_status Quando disponível em JSON
TFuse_itype Quando disponível em JSON
TFuse_expiration_time Quando disponível em JSON
TFuse_ip Quando disponível em JSON
TFuse_feed_id Quando disponível em JSON
TFuse_confidence Quando disponível em JSON
TFuse_uuid Quando disponível em JSON
TFuse_retina_confidence Quando disponível em JSON
TFuse_trusted_circle_ids Quando disponível em JSON
TFuse_source Quando disponível em JSON
TFuse_latitude Quando disponível em JSON
TFuse_type Quando disponível em JSON
TFuse_description Quando disponível em JSON
TFuse_tags Quando disponível em JSON
TFuse_threat_score Quando disponível em JSON
TFuse_source_confidence Quando disponível em JSON
TFuse_modification_time Quando disponível em JSON
TFuse_org_name Quando disponível em JSON
TFuse_asn Quando disponível em JSON
TFuse_creation_time Quando disponível em JSON
TFuse_tlp Quando disponível em JSON
TFuse_country Quando disponível em JSON
TFuse_longitude Quando disponível em JSON
TFuse_severity Quando disponível em JSON
TFuse_subtype Quando disponível em JSON
TFuse_report Quando disponível em JSON
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos uma das entidades fornecidas for enriquecida (is_success=true): "Successfully enriched the following entities using Siemplify ThreatFuse: \n {0}".format(entity.identifier list)

Se não for possível enriquecer entidades específicas (is_success=true): "Action was not able to enrich the following entities using Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Se houver falha na otimização de todas as entidades (is_success=false): "Nenhuma entidade foi otimizada."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Enriquecer entidades'. Motivo: {0}''.format(error.Stacktrace)

Se o parâmetro "Limite de confiança" não estiver no intervalo de 0 a 100: "O valor do 'Limite de confiança' precisa estar no intervalo de 0 a 100."

 Geral
CSV

Nome da tabela: links de análise relacionados: {entity_identifier}

Colunas da tabela:

  • Nome: mapeado como chave na segunda resposta (exemplo: Virustotal)
  • Link: mapeado como valor para a chave
Geral
CSV

Chaves com base na tabela de enriquecimento.

O parâmetro No Enrichment Prefix está em maiúsculas.

 Geral

Recupere hashes relacionados a entidades com base nas associações no Siemplify ThreatFuse.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Limite de confiança Inteiro N/A Sim

Especifique o limite de confiança.

Máximo: 100
Pesquisar boletins de ameaças Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os boletins de ameaças.
Atores de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os atores.
Pesquisar padrões de ataque Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os padrões de ataque.
Campanhas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa campanhas.
Pesquisar cursos de ação Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os cursos de ação.
Pesquisar identidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as identidades.
Pesquisar incidentes Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os incidentes.
Pesquisar infraestruturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre infraestruturas.
Pesquisar conjuntos de intrusão Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre conjuntos de intrusão.
Pesquisar malware Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre malwares.
Pesquisar assinaturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as assinaturas.
Ferramentas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as ferramentas.
Pesquisar TTPs Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as TTPs.
Pesquisar vulnerabilidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as vulnerabilidades.
Máximo de hashes a serem retornados Inteiro 50 Não Especifique o número de hashes a serem retornados.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail
  • Ator de ameaça
  • CVE

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
"{}_hashes".format(subtype): ["md5hash_1"],
"all_hashes": ["md5hash_1"]
}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos um hash entre as entidades for encontrado (is_success=true): "Successfully retrieved related hashes from Siemplify ThreatFuse"

Se nenhum hash for encontrado (is_success=false): "Nenhum hash relacionado foi encontrado."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Receber hashes relacionados'. Motivo: {0}''.format(error.Stacktrace)

Se o parâmetro "Limite de confiança" não estiver no intervalo de 0 a 100: "O valor do 'Limite de confiança' precisa estar no intervalo de 0 a 100."

 Geral

Recuperar URLs relacionados a entidades com base nas associações no Siemplify ThreatFuse.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Limite de confiança Inteiro N/A Sim

Especifique o limite de confiança.

Máximo: 100
Pesquisar boletins de ameaças Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os boletins de ameaças.
Atores de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os atores.
Pesquisar padrões de ataque Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os padrões de ataque.
Campanhas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa campanhas.
Pesquisar cursos de ação Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os cursos de ação.
Pesquisar identidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as identidades.
Pesquisar incidentes Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os incidentes.
Pesquisar infraestruturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre infraestruturas.
Pesquisar conjuntos de intrusão Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre conjuntos de intrusão.
Pesquisar malware Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre malwares.
Pesquisar assinaturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as assinaturas.
Ferramentas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as ferramentas.
Pesquisar TTPs Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as TTPs.
Pesquisar vulnerabilidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as vulnerabilidades.
Número máximo de URLs a serem retornados Inteiro 50 Não Especifique o número de URLs a serem retornados.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail
  • Ator de ameaça
  • CVE

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos um URL entre as entidades for encontrado (is_success=true): "Successfully retrieved related urls from Siemplify ThreatFuse."

Se nenhum hash for encontrado (is_success=false): "No related urls were found."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Receber URLs relacionados'. Motivo: {0}''.format(error.Stacktrace)

Se o parâmetro "Limite de confiança" não estiver no intervalo de 0 a 100: "O valor do 'Limite de confiança' precisa estar no intervalo de 0 a 100."

 Geral

Recuperar domínios relacionados à entidade com base nas associações no Siemplify ThreatFuse.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Limite de confiança Inteiro N/A Sim

Especifique o limite de confiança.

Máximo: 100
Pesquisar boletins de ameaças Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os boletins de ameaças.
Atores de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os atores.
Pesquisar padrões de ataque Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os padrões de ataque.
Campanhas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa campanhas.
Pesquisar cursos de ação Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os cursos de ação.
Pesquisar identidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as identidades.
Pesquisar incidentes Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os incidentes.
Pesquisar infraestruturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre infraestruturas.
Pesquisar conjuntos de intrusão Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre conjuntos de intrusão.
Pesquisar malware Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre malwares.
Pesquisar assinaturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as assinaturas.
Ferramentas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as ferramentas.
Pesquisar TTPs Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as TTPs.
Pesquisar vulnerabilidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as vulnerabilidades.
Número máximo de domínios a serem retornados Inteiro 50 Não Especifique o número de domínios que serão retornados.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail
  • Ator de ameaça
  • CVE

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
"domains": ["www.google.com"]
}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos um hash entre as entidades for encontrado (issuccess=true): "Successfully retrieved related domains from Siemplify ThreatFuse."

Se nenhum hash for encontrado (issuccess=false): "Nenhum domínio relacionado foi encontrado."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Receber domínios relacionados'. Motivo: {0}''.format(error.Stacktrace)

Se o parâmetro "Limite de confiança" não estiver no intervalo de 0 a 100: "O valor do 'Limite de confiança' precisa estar no intervalo de 0 a 100."

 Geral

Recuperar endereços de e-mail relacionados à entidade com base nas associações no Siemplify ThreatFuse.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Limite de confiança Inteiro N/A Sim

Especifique o limite de confiança.

Máximo: 100

Pesquisar boletins de ameaças Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os boletins de ameaças.
Atores de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os atores.
Pesquisar padrões de ataque Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os padrões de ataque.
Campanhas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa campanhas.
Pesquisar cursos de ação Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os cursos de ação.
Pesquisar identidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as identidades.
Pesquisar incidentes Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os incidentes.
Pesquisar infraestruturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre infraestruturas.
Pesquisar conjuntos de intrusão Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre conjuntos de intrusão.
Pesquisar malware Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre malwares.
Pesquisar assinaturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as assinaturas.
Ferramentas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as ferramentas.
Pesquisar TTPs Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as TTPs.
Pesquisar vulnerabilidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as vulnerabilidades.
Número máximo de domínios a serem retornados Inteiro 50 Não Especifique o número de domínios que serão retornados.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail
  • Ator de ameaça
  • CVE

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos um hash entre as entidades for encontrado (issuccess=true): "Successfully retrieved related email addresses from Siemplify ThreatFuse."

Se nenhum hash for encontrado (issuccess=false): "Nenhum endereço de e-mail relacionado foi encontrado."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Receber endereços de e-mail relacionados'. Motivo: {0}''.format(error.Stacktrace)

Se o parâmetro "Limite de confiança" não estiver no intervalo de 0 a 100: "O valor do 'Limite de confiança' precisa estar no intervalo de 0 a 100."

 Geral

Recuperar endereços IP relacionados à entidade com base nas associações no Siemplify ThreatFuse.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Limite de confiança Inteiro N/A Sim

Especifique o limite de confiança.

Máximo: 100

Pesquisar boletins de ameaças Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os boletins de ameaças.
Atores de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os atores.
Pesquisar padrões de ataque Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os padrões de ataque.
Campanhas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa campanhas.
Pesquisar cursos de ação Caixa de seleção Selecionado Não Se ativada, a ação vai pesquisar entre os cursos de ação.
Pesquisar identidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as identidades.
Pesquisar incidentes Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre os incidentes.
Pesquisar infraestruturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre infraestruturas.
Pesquisar conjuntos de intrusão Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre conjuntos de intrusão.
Pesquisar malware Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre malwares.
Pesquisar assinaturas Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as assinaturas.
Ferramentas de pesquisa Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as ferramentas.
Pesquisar TTPs Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as TTPs.
Pesquisar vulnerabilidades Caixa de seleção Selecionado Não Se ativada, a ação pesquisa entre as vulnerabilidades.
Número máximo de domínios a serem retornados Inteiro 50 Não Especifique o número de domínios que serão retornados.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail
  • Ator de ameaça
  • CVE

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída\*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos um hash entre as entidades for encontrado (is_success=true): "Successfully retrieved related IPs from Siemplify ThreatFuse."

Se nenhum hash for encontrado (is_success=false): "Nenhum IP relacionado foi encontrado".

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Receber IPs relacionados'. Motivo: {0}''.format(error.Stacktrace)

Se o parâmetro "Limite de confiança" não estiver no intervalo de 0 a 100: "O valor do 'Limite de confiança' precisa estar no intervalo de 0 a 100."

 Geral

Recuperar associações relacionadas a entidades do Siemplify ThreatFuse.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Campanhas de devolução Caixa de seleção Selecionado Não Se ativada, a ação vai buscar campanhas relacionadas e detalhes sobre elas.
Boletins de ameaças de devolução Caixa de seleção Desmarcado Não Se ativada, a ação busca boletins de ameaças relacionados e detalhes sobre eles.
Retornar atores Caixa de seleção Desmarcado Não Se ativada, a ação busca os atores relacionados e os detalhes sobre eles.
Retornar padrões de ataque Caixa de seleção Desmarcado Não Se ativada, a ação busca padrões de ataque relacionados e detalhes sobre eles.
Retornar cursos de ação Caixa de seleção Desmarcado Não Se ativada, a ação busca cursos de ação relacionados e detalhes sobre eles.
Identidades de retorno Caixa de seleção Desmarcado Não Se ativada, a ação vai buscar identidades relacionadas e detalhes sobre elas.
Incidentes de devolução Caixa de seleção Desmarcado Não Se ativada, a ação busca incidentes relacionados e detalhes sobre eles.
Infraestrutura de devolução Caixa de seleção Desmarcado Não Se ativada, a ação busca a infraestrutura relacionada e os detalhes sobre ela.
Retornar conjuntos de intrusão Caixa de seleção Desmarcado Não Se ativada, a ação busca conjuntos de intrusão relacionados e detalhes sobre eles.
Devolver malware Caixa de seleção Desmarcado Não Se ativada, a ação busca malware relacionado e detalhes sobre ele.
Retornar assinaturas Caixa de seleção Desmarcado Não Se ativada, a ação busca assinaturas relacionadas e detalhes sobre elas.
Ferramentas de devolução Caixa de seleção Desmarcado Não Se ativada, a ação busca ferramentas relacionadas e detalhes sobre elas.
TTPs de retorno Caixa de seleção Desmarcado Não Se ativada, a ação busca TTPs relacionados e detalhes sobre eles.
Retornar vulnerabilidades Caixa de seleção Selecionado Não Se ativada, a ação busca vulnerabilidades relacionadas e detalhes sobre elas.
Criar entidade de campanha Caixa de seleção Desmarcado Não Se ativada, a ação cria uma entidade com base nas associações de "Campanha" disponíveis.
Criar a entidade Actors Caixa de seleção Desmarcado Não Se ativada, a ação cria uma entidade com base nas associações de "Ator" disponíveis.
Criar entidade de assinatura Caixa de seleção Desmarcado Não Se ativada, a ação cria uma entidade com base nas associações de "Assinatura" disponíveis.
Criar entidade de vulnerabilidade Caixa de seleção Desmarcado Não Se ativada, a ação cria uma entidade com base nas associações de "Vulnerabilidade" disponíveis.
Criar insight Caixa de seleção Selecionado Não Se ativada, a ação cria um insight com base nos resultados.
Criar tag de caso Caixa de seleção Selecionado Não Se ativada, a ação cria tags de caso com base nos resultados.
Número máximo de associações a serem retornadas Inteiro N/A Não Especifique o número de associações a serem retornadas por tipo.
Número máximo de estatísticas a serem retornadas Inteiro 3 Não

Especifique o número de resultados estatísticos principais relacionados aos IOCs que serão retornados.

Observação: a ação processa no máximo 1.000 IOCs relacionados à associação. Se você fornecer "0", a ação não tentará buscar informações de estatísticas.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
    "campaign": [
        {
            "name": "Coronavirus",
            "id": 1
        },
        {
            "name": "Bad campaign",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos uma associação entre entidades for encontrada (is_success=true): "Successfully retrieved related associations from Siemplify ThreatFuse"

Se nenhuma associação for encontrada (is_success=false): "Nenhuma associação relacionada foi encontrada."

Mensagem assíncrona: aguardando a recuperação de todos os detalhes da associação"

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Get Related Association'. Motivo: {0}''.format(error.Stacktrace)

 Geral
CSV

Nome: "Associações relacionadas"

Colunas:

  • ID
  • Nome
  • Tipo (nome da associação)
  • Status (mapeado como status/display_name)
 Geral

Enviar observáveis

Envie um observável para o Siemplify ThreatFuse com base nas entidades de IP, URL, hash e e-mail.

Onde encontrar os IDs de círculos de confiança

Para encontrar o ID de um círculo de confiança, localize-o no Siemplify ThreatFuse e clique no nome dele. O URL exibido na barra de endereço mostra o ID.

Por exemplo: https://siemplify.threatstream.com/search?trustedcircles=13.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Classificação DDL

Particular

Valores possíveis:

  • Público
  • Particular
 Sim Especifique a classificação do observável.
Tipo de ameaça DDL

APT

Valores possíveis

  • APT
  • Adware
  • Anômalo
  • Anonimização
  • Bot
  • Brute
  • C2
  • Comprometido
  • Crypto
  • Vazamento de dados
  • DDOS
  • DNS dinâmico
  • Exfiltração
  • Exploit
  • Fraude
  • Ferramenta de invasão
  • I2P
  • Informativa
  • Malware
  • P2
  • Estacionado
  • Phish
  • Verificar
  • Sinkhole
  • Identidades
  • Spam
  • Suprimir
  • Suspeito
  • TOR
  • VPS
 Sim Especifique o tipo de ameaça para os observáveis.
Origem String Siemplify Não Especifique a fonte de inteligência para o observável.
Data de validade Inteiro N/A Não

Especifique a data de validade em dias para o observável.

Se nada for especificado aqui, a ação vai criar um observável que nunca expira.
IDs do círculo de confiança CSV N/A Não

Especifique uma lista separada por vírgulas de IDs de círculos confiáveis.

Os observáveis são compartilhados com esses círculos de confiança.

TLP DDL

Selecione uma opção.

Valores possíveis:

  • Selecione uma opção.
  • Vermelho
  • Verde
  • Âmbar
  • Branco
 Não Especifique o TLP para seus observáveis.
Confiança Inteiro N/A Não

Especifique qual deve ser a confiança para o observável.

Observação: esse parâmetro só funciona se você criar observáveis na sua organização e o parâmetro "Substituir confiança do sistema" estiver ativado.
Substituir a confiança do sistema Caixa de seleção Desmarcado Não

Se ativados, os observáveis criados terão a confiança especificada no parâmetro "Confiança".

Observação: não é possível compartilhar observáveis em círculos confiáveis e publicamente quando esse parâmetro está ativado.
Envio anônimo Caixa de seleção Desmarcado Não Se ativada, a ação faz um envio anônimo.
Tags CSV N/A Não Especifique uma lista separada por vírgulas de tags que você quer adicionar ao observável.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
approved_jobs = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos um hash entre as entidades for encontrado (is_success=true): "Successfully submitted and approved the following entities in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

Se houver falha em algumas entidades (entidades rejeitadas) (is_success=true): "Action was not able to successfully submit and approve the following entities in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Se houver falha no enriquecimento de todas as entidades (is_success=false): "Nenhuma entidade foi enviada ao Siemplify ThreatFuse."

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Enviar observável'. Motivo: {0}''.format(error.Stacktrace)

Se o código de status 400 for informado: "Erro ao executar a ação 'Enviar observável'. Motivo: {0}''.format(message)

 Geral

Denunciar como falso positivo

Relatar entidades no Siemplify ThreatFuse como falso positivo.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Motivo String N/A Sim Especifique o motivo pelo qual você quer marcar as entidades como falso positivo.
Comentário String N/A Sim Especifique outras informações relacionadas à sua decisão de marcar a entidade como falso positivo.

Corrida

Essa ação é executada nas seguintes entidades:

  • Hash
  • Endereço IP
  • URL
  • Nome de usuário com regexes de e-mail

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido e pelo menos um hash entre as entidades for encontrado (is_success=true): "Successfully reported the following entities as false positive in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

Se não for possível marcar entidades específicas (is_success=true): "Action was not able to report the following entities as false positive in Siemplify ThreatFuse\n: {0}".format([entity.identifier])

Se houver falha na otimização de todas as entidades (issuccess=false): "Nenhuma entidade foi informada como falso positivo".

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais erradas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Informar como falso positivo'. Motivo: {0}''.format(error.Stacktrace)

 Geral

Conectores

Para saber como configurar conectores no Google SecOps, consulte Ingerir seus dados (conectores).

Siemplify ThreatFuse - Conector de observáveis

Extraia observáveis do Siemplify ThreatFuse.

Recomendações

Ao configurar o Config Connector, recomendamos usar um ambiente separado para que os analistas não sejam inundados com todos os alertas especulativos.

Onde encontrar os IDs de círculos de confiança

Para encontrar o ID de um círculo de confiança, localize-o no Siemplify ThreatFuse e clique no nome dele. O URL exibido na barra de endereço mostra o ID.

Por exemplo, https://siemplify.threatstream.com/search?trustedcircles=13.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String Nome do produto Sim Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento String tipo Sim Insira o nome do campo de origem para recuperar o nome do campo de evento.
Nome do campo do ambiente String "" Não

Descreve o nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.

Padrão Regex do ambiente

 String .* Não

Um padrão de regex para ser executado no valor encontrado no campo "Nome do campo de ambiente".

O padrão é .* para capturar tudo e retornar o valor inalterado.

Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex.

Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite de script (segundos) Inteiro 300 Sim Limite de tempo limite para o processo do Python que executa o script atual.
Raiz da API String

https://api.threat
stream.com

 Sim Raiz da API da instância do Siemplify ThreatFuse.
Endereço de e-mail String N/A Sim Endereço de e-mail da conta do Siemplify ThreatFuse.
Chave de API Senha N/A Sim Chave de API da conta do Siemplify ThreatFuse.
Gravidade mais baixa para buscar String Alta Sim

A gravidade mais baixa que será usada para buscar observáveis.

Valores possíveis:
Baixo

Média

Alta

Muito alta
Menor confiança para buscar Inteiro 50 Sim

A menor confiança que será usada para buscar observáveis. O máximo é 100.
Filtro de feed de origem CSV N/A Não Lista separada por vírgulas de IDs de feed que devem ser usados para ingerir observáveis. Exemplo: 515,4129
Filtro de tipo observável CSV url, domain, email, hash, ip, ipv6 Não

Lista separada por vírgulas de tipos observáveis que precisam ser ingeridos. Exemplo: url, domain

Valores possíveis: url, domain, email, hash, ip, ipv6
Filtro de status observável CSV ativo Não

Lista separada por vírgulas de status observáveis que devem ser usados para ingerir novos dados. Exemplo: active,inactive

Valores possíveis: active,inactive,falsepos
Filtro de tipo de ameaça CSV N/A Não

Lista separada por vírgulas de tipos de ameaças que devem ser usados para ingerir observáveis. Exemplo: adware,anomalous,anonymization,apt

Valores possíveis:
аdware,anomalous,anonymization,
apt,bot,brute,c2,compromised,
crypto,data_leakage,ddos,dyn_dns,exfil,
exploit,fraud,hack_tool,i2p,informational,
malware,p2p,parked,phish,scan,sinkhole,spam,
suppress,suspicious,tor,vps
Filtro de círculo de confiança CSV N/A Não

Lista separada por vírgulas de IDs de círculos confiáveis que devem ser usados para ingerir observáveis.

Exemplo: 146,147
Filtro de nome da tag CSV N/A Não Lista separada por vírgulas de nomes de tags associados a observáveis que devem ser usados com a ingestão. Exemplo: credenciais da Microsoft, phishing.
Agrupamento de feeds de origem Caixa de seleção Desmarcado Não Se ativado, o conector vai agrupar os observáveis da mesma origem no mesmo alerta do Siemplify.
Buscar o máximo de dias anteriores Inteiro 1 Não Quantidade de dias para buscar observáveis.
Máximo de observáveis por alerta Inteiro 100 Não Quantos observáveis devem fazer parte de um alerta do Siemplify. O máximo é 200.
Usar a lista de permissões como uma lista de bloqueio Caixa de seleção Desmarcado Sim Se ativada, a lista dinâmica será usada como uma lista de bloqueio.
Verificar SSL Caixa de seleção Desmarcado Sim Se estiver ativado, verifique se o certificado SSL para a conexão com o servidor do Siemplify Threatfuse é válido.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String N/A Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha N/A Não A senha do proxy para autenticação.

Regras do conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.