ThreatQ

במסמך הזה מוסבר איך לשלב את ThreatQ עם Google SecOps.

הערות מוצר

לקוחות שיש להם גרסת PS של השילוב עם ThreatQ יצטרכו לעדכן את תרחישי השימוש שלהם כדי להתאים לגרסת השילוב החדשה. הפעולה 'קבלת פרטי אירוע' לא תעשיר ישויות. במקום זאת, יש לנו פעולות אחרות למטרה הזו.

הגדרת שילוב של ThreatQ ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String התיבה לא מסומנת לא שם המופע שרוצים להגדיר עבורו שילוב.
תיאור String התיבה לא מסומנת לא תיאור המופע.
ServerAddress String xx.xx.xx.xx כן הכתובת של המכונה ב-ThreatQ.
ClientId String לא רלוונטי כן מזהה לקוח ל-ThreatQ API
שם משתמש String לא רלוונטי כן כתובת האימייל של המשתמש.
סיסמה סיסמה לא רלוונטי כן הסיסמה של המשתמש המתאים.
הרצה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להריץ את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש (הסוכן) מרחוק.

פעולות

EnrichCVE

תיאור

העשרה של CVE באמצעות מידע מ-ThreatQ.

פרמטרים

שם סוג ברירת מחדל חובה תיאור
סף הניקוד מספר שלם 5 לא מגדירים את סף הציון המקובל לישות. אם הציון חורג מסף מסוים, הישות תסומן כחשודה.
הצגת מקורות תיבת סימון סימן אישור לא אם ההגדרה הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מקורות קשורים.
הצגת תגובות תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם תגובות קשורות.
הצגת מאפיינים תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מאפיינים קשורים.
סימון ישויות ברשימת ההיתרים כחשודות תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, הפעולה תסמן ישויות כחשודות אם הן עברו את הסף המותר, גם אם הישות נמצאת ברשימת ההיתרים ב-ThreatQ.

ריצה

הפעולה הזו מופעלת בישות CVE.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": {
            "total": 1,
            "data": [{
                "status": {
                    "description": "No longer poses a serious threat.",
                    "name": "Expired",
                    "id": 2
                },
                "hash": "f74ee458b6e12452a04c6595bb3cd2d9",
                "adversaries": [],
                "status_id": 2,
                "created_at": "2020-04-15 13:37:43",
                "type_id": 5,
                "updated_at": "2020-04-15 13:37:43",
                "value": "star@star.star",
                "id": 36,
                "touched_at": "2020-04-15 13:37:43",
                "sources": [{
                    "name": "Domain Tools",
                    "source_type": "plugins",
                    "creator_source_id": 8,
                    "created_at": "2020-04-15 13:37:43",
                    "indicator_type_id": 5,
                    "updated_at": "2020-04-15 13:37:43",
                    "indicator_status_id": 2,
                    "indicator_id": 36,
                    "published_at": "2020-04-15 13:37:43",
                    "reference_id": 1,
                    "source_id": 5,
                    "id": 44
                }],
                "published_at": "2020-04-15 13:37:43",
                "score": 0,
                "type": {
                    "class": "network",
                    "name": "Email Address",
                    "id": 5
                },
                "class": "network",
                "expired_at": "2020-04-15 13:37:43"
            }]},
        "Entity": "email@example.com"
    }
]

EnrichEmail

תיאור

העשרה של כתובת אימייל באמצעות מידע מ-ThreatQ.

פרמטרים

שם סוג ברירת מחדל חובה תיאור
סף הניקוד מספר שלם 5 לא מגדירים את סף הציון המקובל לישות. אם הציון חורג מסף מסוים, הישות תסומן כחשודה.
הצגת מקורות תיבת סימון סימן אישור לא אם ההגדרה הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מקורות קשורים.
הצגת תגובות תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם תגובות קשורות.
הצגת מאפיינים תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מאפיינים קשורים.
סימון ישויות ברשימת ההיתרים כחשודות תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, הפעולה תסמן ישויות כחשודות אם הן עברו את הסף המותר, גם אם הישות נמצאת ברשימת ההיתרים ב-ThreatQ.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": {
            "total": 1,
            "data": [{
                "status": {
                    "description": "No longer poses a serious threat.",
                    "name": "Expired",
                    "id": 2
                },
                "hash": "f74ee458b6e12452a04c6595bb3cd2d9",
                "adversaries": [],
                "status_id": 2,
                "created_at": "2020-04-15 13:37:43",
                "type_id": 5,
                "updated_at": "2020-04-15 13:37:43",
                "value": "star@star.star",
                "id": 36,
                "touched_at": "2020-04-15 13:37:43",
                "sources": [{
                    "name": "Domain Tools",
                    "source_type": "plugins",
                    "creator_source_id": 8,
                    "created_at": "2020-04-15 13:37:43",
                    "indicator_type_id": 5,
                    "updated_at": "2020-04-15 13:37:43",
                    "indicator_status_id": 2,
                    "indicator_id": 36,
                    "published_at": "2020-04-15 13:37:43",
                    "reference_id": 1,
                    "source_id": 5,
                    "id": 44
                }],
                "published_at": "2020-04-15 13:37:43",
                "score": 0,
                "type": {
                    "class": "network",
                    "name": "Email Address",
                    "id": 5
                },
                "class": "network",
                "expired_at": "2020-04-15 13:37:43"
            }]},
        "Entity": "email@example.com"
    }
]

EnrichHash

תיאור

העשרה של גיבוב באמצעות מידע מ-ThreatQ.

פרמטרים

שם סוג ברירת מחדל חובה תיאור
סף הניקוד מספר שלם 5 לא מגדירים את סף הציון המקובל לישות. אם הציון חורג מסף מסוים, הישות תסומן כחשודה.
הצגת מקורות תיבת סימון סימן אישור לא אם ההגדרה הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מקורות קשורים.
הצגת תגובות תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם תגובות קשורות.
הצגת מאפיינים תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מאפיינים קשורים.
סימון ישויות ברשימת ההיתרים כחשודות תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, הפעולה תסמן ישויות כחשודות אם הן עברו את הסף המותר, גם אם הישות נמצאת ברשימת ההיתרים ב-ThreatQ.

ריצה

הפעולה הזו מופעלת בישות Filehash.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": {
            "total": 1,
            "data": [{
                "status": {
                    "description": "Poses a threat and is being exported to detection tools.",
                    "name": "Active",
                    "id": 1
                },
                "hash": "8b168f614b40150266d304dbd5c78036",
                "adversaries": [],
                "status_id": 1,
                "created_at": "2020-03-11 11:26:32",
                "tags": ["malware", "trojan"],
                "updated_at": "2020-04-07 13:08:42",
                "value": "d41d8cd98f00b204e9800998ecf8427e",
                "id": 2,
                "touched_at": "2020-04-07 13:08:42",
                "sources": [{
                    "name": "Domain Tools",
                    "source_type": "plugins",
                    "creator_source_id": 8,
                    "created_at": "2020-03-15 15:04:31",
                    "indicator_type_id": 18,
                    "updated_at": "2020-03-15 15:04:31",
                    "indicator_status_id": 1,
                    "indicator_id": 2,
                    "published_at": "2020-03-15 15:04:31",
                    "reference_id": 1,
                    "source_id": 5,
                    "id": 7
                }, {
                    "name": "tip.labops@siemplify.co",
                    "source_type": "users",
                    "creator_source_id": 8,
                    "created_at": "2020-03-11 11:26:32",
                    "indicator_type_id": 18,
                    "updated_at": "2020-03-11 12:25:17",
                    "indicator_status_id": 1,
                    "indicator_id": 2,
                    "published_at": "2020-03-11 11:26:32",
                    "reference_id": 1,
                    "source_id": 8,
                    "id": 2
                }],
                "published_at": "2020-03-11 11:26:32",
                "score": 10,
                "comments": [{
                    "source_name": "tip.labops@siemplify.co",
                    "creator_source_id": 8,
                    "created_at": "2020-03-11 12:32:22",
                    "updated_at": "2020-03-11 12:32:22",
                    "value": "Comment",
                    "indicator_id": 2,
                    "id": 1
                }],
                "type_id": 18,
                "attributes": [{
                    "name": "Category",
                    "created_at": "2020-03-11 11:28:58",
                    "updated_at": "2020-03-11 11:28:58",
                    "value": "Malware",
                    "touched_at": "2020-03-11 11:28:58",
                    "indicator_id": 2,
                    "attribute_id": 1,
                    "id": 1
                }, {
                    "name": "VirusTotal: Permalink",
                    "created_at": "2020-03-11 12:34:47",
                    "updated_at": "2020-03-11 12:34:47",
                    "value": "https:\/\/www.virustotal.com\/file\/e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855\/analysis\/1583929494\/",
                    "touched_at": "2020-03-11 12:34:47",
                    "indicator_id": 2,
                    "attribute_id": 3,
                    "id": 2
                }],
                "type": {
                    "class": "host",
                    "name": "MD5",
                    "id": 18
                },
                "class": "host"
            }]},
        "Entity": "d41d8cd98f00b204e9800998ecf8427e"
    }, {
        "EntityResult": {
            "total": 1,
            "data": [{
                "status": {
                    "description": "No longer poses a serious threat.",
                    "name": "Expired",
                    "id": 2
                },
                "hash": "4ca64ed42f6f4e49f1775e5c63d371cd",
                "description": "<p>Test&nbsp;\u05D3 \u05DE\u05D5\u05E0\u05D7\u05D9\u05DD \u05DE\u05D5\u05E2\u05DE\u05D3\u05D9\u05DD \u05E9\u05DC, \u05D3\u05EA \u05D3\u05E4\u05D9\u05DD \u05DE\u05D0\u05DE\u05E8\u05E9\u05D9\u05D7\u05D4\u05E6\u05E4\u05D4 \u05D6\u05D0<\/p>",
                "adversaries": [],
                "status_id": 2,
                "created_at": "2020-04-08 12:47:35",
                "type_id": 23,
                "updated_at": "2020-04-09 08:00:35",
                "value": "8e545e1c31f91f777c894b3bd2c2e7d7044cc9dd",
                "id": 25,
                "touched_at": "2020-04-09 08:01:42",
                "sources": [{
                    "name": "Investigation1",
                    "source_type": "other_sources",
                    "creator_source_id": 8,
                    "created_at": "2020-04-08 12:47:35",
                    "indicator_type_id": 23,
                    "updated_at": "2020-04-08 12:47:35",
                    "indicator_status_id": 2,
                    "indicator_id": 25,
                    "published_at": "2020-04-08 12:47:35",
                    "reference_id": 1,
                    "source_id": 9,
                    "id": 27
                }, {
                    "name": "\u05D3\u05EA \u05D3\u05E4\u05D9\u05DD \u05DE\u05D0\u05DE\u05E8\u05E9\u05D9\u05D7\u05D4\u05E6\u05E4",
                    "source_type": "other_sources",
                    "creator_source_id": 8, "created_at": "2020-04-09 08:01:42",
                    "indicator_type_id": 23,
                    "updated_at": "2020-04-09 08:01:42",
                    "indicator_status_id": 2,
                    "indicator_id": 25,
                    "published_at": "2020-04-09 08:01:42",
                    "reference_id": 2,
                    "source_id": 10,
                    "id": 32
                }],
                "published_at": "2020-04-08 12:47:35",
                "score": 0,
                "type": {
                    "class": "host",
                    "name": "SHA-1",
                    "id": 23
                },
                "class": "host",
                "expired_at": "2020-04-08 12:47:35"
            }]},
        "Entity": "8e545e1c31f91f777c894b3bd2c2e7d7044cc9dd"
    }
]

הוספת פרטים לכתובת IP

תיאור

העשרה של כתובת IP באמצעות מידע מ-ThreatQ.

פרמטרים

שם סוג ברירת מחדל חובה תיאור
סף הניקוד מספר שלם 5 לא מגדירים את סף הציון המקובל לישות. אם הציון חורג מסף מסוים, הישות תסומן כחשודה.
הצגת מקורות תיבת סימון סימן אישור לא אם ההגדרה הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מקורות קשורים.
הצגת תגובות תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם תגובות קשורות.
הצגת מאפיינים תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מאפיינים קשורים.
סימון ישויות ברשימת ההיתרים כחשודות תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, הפעולה תסמן ישויות כחשודות אם הן עברו את הסף המותר, גם אם הישות נמצאת ברשימת ההיתרים ב-ThreatQ.

ריצה

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": {
            "total": 1,
            "data": [{
                "status": {
                    "description": "No longer poses a serious threat.",
                    "name": "Expired",
                    "id": 2
                },
                "hash": "cb8036b0a7a0ebeeff97a5fe620c4b2c",
                "description": "<p>\u05D3\u05EA \u05D3\u05E4\u05D9\u05DD \u05DE\u05D0\u05DE\u05E8\u05E9\u05D9\u05D7\u05D4\u05E6\u05E4<\/p>",
                "adversaries": [],
                "status_id": 2,
                "created_at": "2020-04-08 13:09:02",
                "type_id": 15,
                "updated_at": "2020-04-09 08:46:43",
                "value": "8.8.8.8",
                "id": 27,
                "touched_at": "2020-04-09 08:46:50",
                "sources": [{
                    "name": "\u05D3\u05EA \u05D3\u05E4\u05D9\u05DD \u05DE\u05D0\u05DE\u05E8\u05E9\u05D9\u05D7\u05D4\u05E6\u05E4",
                    "source_type": "other_sources",
                    "creator_source_id": 8,
                    "created_at": "2020-04-08 13:09:02",
                    "indicator_type_id": 15,
                    "updated_at": "2020-04-08 13:10:11",
                    "indicator_status_id": 2,
                    "indicator_id": 27,
                    "published_at": "2020-04-08 13:09:02",
                    "reference_id": 2,
                    "source_id": 10,
                    "id": 30
                }],
                "published_at": "2020-04-08 13:09:02",
                "score": 0,
                "comments": [{
                    "source_name": "example@mail.com",
                    "creator_source_id": 8,
                    "created_at": "2020-04-09 08:46:50",
                    "updated_at": "2020-04-09 08:46:50",
                    "value": "\u05D3\u05EA \u05D3\u05E4\u05D9\u05DD \u05DE\u05D0\u05DE\u05E8\u05E9\u05D9\u05D7\u05D4\u05E6\u05E4awdwqwq",
                    "indicator_id": 27,
                    "id": 5
                }],
                "attributes": [{
                    "name": "\u05D3\u05EA \u05D3\u05E4\u05D9\u05DD \u05DE\u05D0\u05DE\u05E8\u05E9\u05D9\u05D7\u05D4\u05E6\u05E4",
                    "created_at": "2020-04-09 08:46:26",
                    "updated_at": "2020-04-09 08:46:26",
                    "value": "hvvhv",
                    "touched_at": "2020-04-09 08:46:26",
                    "indicator_id": 27,
                    "attribute_id": 4,
                    "id": 6
                }],
                "type": {
                    "class": "network",
                    "name": "IP Address",
                    "id": 15
                },
                "class": "network",
                "expired_at": "2020-04-08 13:10:11"
            }]},
        "Entity": "8.8.8.8"
    }
]

כתובת URL להעשרה

תיאור

העשרה של כתובת URL באמצעות מידע מ-ThreatQ.

פרמטרים

שם סוג ברירת מחדל חובה תיאור
סף הניקוד מספר שלם 5 לא מגדירים את סף הציון המקובל לישות. אם הציון חורג מסף מסוים, הישות תסומן כחשודה.
הצגת מקורות תיבת סימון סימן אישור לא אם ההגדרה הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מקורות קשורים.
הצגת תגובות תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם תגובות קשורות.
הצגת מאפיינים תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תחזיר טבלה נוספת עם מאפיינים קשורים.
סימון ישויות ברשימת ההיתרים כחשודות תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, הפעולה תסמן ישויות כחשודות אם הן עברו את הסף המותר, גם אם הישות נמצאת ברשימת ההיתרים ב-ThreatQ.

ריצה

הפעולה הזו מופעלת בישות של כתובת ה-URL.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": {
            "total": 1,
            "data": [{
                "status": {
                    "description": "Poses a threat and is being exported to detection tools.",
                    "name": "Active",
                    "id": 1
                },
                "hash": "e216253c1198b44c99c6841899c68418",
                "adversaries": [],
                "status_id": 1,
                "created_at": "2020-04-08 08:59:59",
                "type_id": 30,
                "updated_at": "2020-04-08 08:59:59",
                "value": "example2.sk",
                "id": 19,
                "touched_at": "2020-04-08 08:59:59",
                "sources": [{
                    "name": "tip.labops@siemplify.co",
                    "source_type": "users",
                    "creator_source_id": 8,
                    "created_at": "2020-04-08 08:59:59",
                    "indicator_type_id": 30,
                    "updated_at": "2020-04-08 08:59:59",
                    "indicator_status_id": 1,
                    "indicator_id": 19,
                    "published_at": "2020-04-08 08:59:59",
                    "reference_id": 1,
                    "source_id": 8,
                    "id": 21
                }],
                "published_at": "2020-04-08 08:59:59",
                "score": 0,
                "expires_calculated_at": "2020-04-08 09:00:01",
                "type": {
                    "class": "network",
                    "name": "URL",
                    "id": 30
                },
                "class": "network"
            }]},
        "Entity": "example2.sk"
    }, {
        "EntityResult": {
            "total": 1,
            "data": [{
                "status": {
                    "description": "Poses a threat and is being exported to detection tools.",
                    "name": "Active",
                    "id": 1
                },
                "hash": "69d4269b838ce143e6f0656384c58ff8",
                "description": "<p>URL<\/p>",
                "adversaries": [],
                "status_id": 1,
                "created_at": "2020-03-15 15:49:04",
                "tags": ["URL"],
                "updated_at": "2020-03-15 15:51:13",
                "value": "www.example.com",
                "id": 7,
                "touched_at": "2020-03-15 15:51:13",
                "sources": [{
                    "name": "Emerging Threats",
                    "source_type": "plugins",
                    "creator_source_id": 8,
                    "created_at": "2020-03-15 15:49:04",
                    "indicator_type_id": 30,
                    "updated_at": "2020-03-15 15:49:04",
                    "indicator_status_id": 1,
                    "indicator_id": 7,
                    "published_at": "2020-03-15 15:49:04",
                    "reference_id": 2,
                    "source_id": 6,
                    "id": 9
                }],
                "published_at": "2020-03-15 15:49:04",
                "score": 0,
                "expires_calculated_at": "2020-03-15 15:50:02",
                "type_id": 30,
                "attributes": [{
                    "name": "Category",
                    "created_at": "2020-03-15 15:51:03",
                    "updated_at": "2020-03-15 15:51:03",
                    "value": "Malware",
                    "touched_at": "2020-03-15 15:51:03",
                    "indicator_id": 7,
                    "attribute_id": 1,
                    "id": 5
                }],
                "type": {
                    "class": "network",
                    "name": "URL",
                    "id": 30
                },
                "class": "network"
            }]},
        "Entity": "www.example.com"
    }
]

קבלת פרטים על אינדיקטור

תיאור

קבלת הפרטים של כתובת IP בפורמט CSV.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
null לא רלוונטי לא רלוונטי

פינג

תיאור

מאמתת שלמשתמש יש חיבור ל-ThreatQ דרך המכשיר שלו.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_connect נכון/לא נכון is_connect:False

יצירת אינדיקטור

תיאור

יוצרים אינדיקטור ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג האינדיקטור DDL

ASN

ערכים אפשריים:

ASN

Binary String

חסימת CIDR

CVE

כתובת אימייל

קובץ מצורף באימייל

נושא האימייל

מיפוי קבצים

נתיב הקובץ

שם הקובץ

FQDN

גיבוב חלקי

גיבוב GOST

Hash ION

כתובת IPv4

כתובת IPv6

כתובת MAC

MD5

Mutex

סיסמה

מפתח הרישום

שם השירות

גיבוב (hash) של קובץ

SHA-1

SHA-256

SHA-384

SHA-512

String

כתובת URL

נתיב כתובת ה-URL

סוכן משתמש

שם משתמש

X-Mailer

מספר סידורי של x509

נושא X509

 כן מציינים את סוג האינדיקטור החדש.
סטטוס DDL

פעיל

ערכים אפשריים:

פעיל

פג תוקף

עקיף

בדיקה

ברשימת ההיתרים

 כן מציינים את הסטטוס של האינדיקטור החדש.
תיאור String לא רלוונטי לא מציינים את התיאור של האינדיקטור החדש.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 1,
    "data": [
        {
            "id": 24,
            "type_id": 7,
            "status_id": 1,
            "class": "network",
            "hash": "ee8c2ae6818a9bb8c3b644ab1d3b2777",
            "value": "115.47.67.161",
            "description": "Kek",
            "last_detected_at": null,
            "expires_at": null,
            "expired_at": null,
            "expires_needs_calc": "Y",
            "expires_calculated_at": null,
            "created_at": "2020-07-20 07:26:52",
            "updated_at": "2020-07-20 07:35:06",
            "touched_at": "2020-07-20 07:35:06",
            "existing": "Y",
            "type": {
                "id": 7,
                "name": "Email Subject",
                "class": "network",
                "score": null,
                "wildcard_matching": "Y",
                "created_at": "2020-06-29 17:13:29",
                "updated_at": "2020-06-29 17:13:29"
            }
        }
    ]
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה בוצעה ללא שגיאות ולפחות אחת מהישויות שסופקו יצרה אינדיקטור (is_success = true):

print "Successfully created indicators in ThreatQ based on the following entities: \n {0}".format(entity.identifier list)

אם לא הצלחתם ליצור אינדיקטורים על סמך ישויות ספציפיות(is_success = true):

‪ print "Action was not able to create indicators in ThreatQ based on the following entities: \n{0}".format([entity.identifier])

אם ההעשרה נכשלה עבור כל הישויות (is_success = false):

הדפסה: "לא נוצרו אינדיקטורים".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "Create Indicator". הסיבה: {0}''.format(error.Stacktrace)

 כללי

יצירת יריב

תיאור

יוצרים יריב ב-ThreatQ.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו מופעלת בישות User.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "name": "Adversary Nameaa",
        "updated_at": "2020-07-20 08:21:34",
        "created_at": "2020-07-20 08:21:34",
        "id": 11
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה ולפחות אחת מהישויות שסופקו יצרה בהצלחה יריב (is_success = true):
print "Successfully created adversaries in ThreatQ based on the following entities: \n {0}".format(entity.identifier list)

אם לא הצלחת ליצור יריבים על סמך הישויות הספציפיות(is_success = true):
print "Action was not able to create adversaries in ThreatQ based on the following entities:\n {0}".format([entity.identifier])

אם ההעשרה נכשלה עבור כל הישויות (is_success = false):

הדפסה: "לא בוצע обогащение של אף יריב".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "Create Adversary". הסיבה: {0}''.format(error.Stacktrace)

 כללי

יצירת אירוע

תיאור

יוצרים אירוע ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
כותרת String לא רלוונטי כן מציינים את שם האירוע.
סוג האירוע DDL

מתקפת Spearphishing

ערכים אפשריים:

מתקפת Spearphishing

מקום שתייה לבעלי חיים

מתקפת הזרקת SQL

מתקפת DoS

תוכנה זדונית

רשימת צפייה

Command and Control

אנונימיזציה

זליגת נתונים

מאפייני המארח

אישור PKI שנפרץ

פריצה לחשבון

אירוע

תצפית

 כן מציינים את סוג האירוע.
האירוע התרחש בתאריך String לא רלוונטי כן מציינים מתי האירוע קרה. אם לא מוזן כלום בשדה הזה, הפעולה תשתמש בשעה הנוכחית. פורמט: YYYY-MM-DD hh:mm:ss

ריצה

הפעולה הזו לא מופעלת על סוגי ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "title": "Event Name",
        "type_id": 3,
        "happened_at": "2017-03-20 01:43:05",
        "hash": "e59c3274f3156b10aca1c8962a5880cb",
        "updated_at": "2020-07-20 08:40:53",
        "created_at": "2020-07-20 08:40:53",
        "touched_at": "2020-07-20 08:40:53",
        "id": 3,
        "type": {
            "id": 3,
            "name": "SQL Injection Attack",
            "user_editable": "N",
            "created_at": "2020-06-29 17:13:28",
            "updated_at": "2020-06-29 17:13:28"
        }
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה (is_success = true):
print "Successfully created event '{0}' in ThreatQ".format(title)

אם יצירת האירוע נכשלה (is_success = false):

הדפסה: 'האירוע {0} לא נוצר ב-ThreatQ. הסיבה: {1}".format(title, errors/[0].value)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "Create Event". הסיבה: {0}''.format(error.Stacktrace)

אם משתמשים בפורמט שעה שגוי:

print "Error executing action "Create Event". הסיבה: פורמט הזמן שגוי הועבר לפרמטר הפעולה 'התרחש בשעה'. הפורמט צריך להיות YYYY-MM-DD hh:mm:ss.''

 כללי

הוספת מאפיין

תיאור

הפעולה מוסיפה מאפיין לאובייקט.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג אובייקט DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

TTP

נקודת חולשה

 כן מציינים לאיזה סוג אובייקט צריך להוסיף את המאפיין.
מזהה אובייקט String לא רלוונטי כן מציינים את המזהה של האובייקט. לדוגמה, זה יכול להיות גיבוב MD5, כותרת האירוע, שם היריב וכו'.
סוג האינדיקטור DDL

ASN

ערכים אפשריים:

ASN

Binary String

חסימת CIDR

CVE

כתובת אימייל

קובץ מצורף באימייל

נושא האימייל

מיפוי קבצים

נתיב הקובץ

שם הקובץ

FQDN

גיבוב חלקי

גיבוב GOST

Hash ION

כתובת IPv4

כתובת IPv6

כתובת MAC

MD5

Mutex

סיסמה

מפתח הרישום

שם השירות

SHA-1

SHA-256

SHA-384

SHA-512

String

כתובת URL

נתיב כתובת ה-URL

סוכן משתמש

שם משתמש

X-Mailer

מספר סידורי של x509

נושא X509

 כן מציינים את סוג האינדיקטור. הפרמטר הזה משמש רק אם סוג האובייקט הוא 'אינדיקטור'
שם המאפיין String לא רלוונטי כן מציינים את שם המאפיין.
ערך תכונה String לא רלוונטי כן מציינים את ערך המאפיין
מקור המאפיין String לא רלוונטי לא מציינים את המקור של המאפיין.

ריצה

הפעולה הזו לא מופעלת על סוגי ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        {
            "attribute_id": 4,
            "value": "4012",
            "incident_id": 1,
            "id": 1,
            "created_at": "2020-07-20 13:29:29",
            "updated_at": "2020-07-20 13:29:29",
            "touched_at": "2020-07-20 13:29:29",
            "name": "321",
            "attribute": {
                "id": 4,
                "name": "321",
                "created_at": "2020-07-20 13:21:09",
                "updated_at": "2020-07-20 13:21:09"
            },
            "sources": [
                {
                    "id": 10,
                    "type": "other_sources",
                    "reference_id": 2,
                    "name": "123 User",
                    "tlp_id": null,
                    "created_at": "2020-07-20 13:29:29",
                    "updated_at": "2020-07-20 13:29:29",
                    "published_at": null,
                    "pivot": {
                        "incident_attribute_id": 1,
                        "source_id": 10,
                        "id": 1,
                        "creator_source_id": 8
                    }
                }
            ]
        }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה בוצעה ללא שגיאות (is_success = true):
print "Successfully added attribute '{0}' to '{1}' object in ThreatQ".format(Attribute Name, Object Type)

אם האובייקט לא נמצא (is_success = false):

הדפסה: "לא נמצא אובייקט '{0}' עם הערך '{1}' ב-ThreatQ".format(Object Type, Object identifier)

אם מדובר בשגיאה כללית (is_success = false):

‫Print "Action was not able to add attribute {0} to the ThreatQ object.".format(Attribute Name)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "Add Attribute". הסיבה: {0}''.format(error.Stacktrace)

 כללי

הוספת מקור

תיאור

הפעולה מוסיפה מקור לאובייקט.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג אובייקט DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

TTP

נקודת חולשה

 כן מציינים לאיזה סוג אובייקט צריך להוסיף את המקור.
מזהה אובייקט String לא רלוונטי כן מציינים את המזהה של האובייקט. לדוגמה, זה יכול להיות גיבוב MD5, כותרת האירוע, שם היריב וכו'.
סוג האינדיקטור DDL

ASN

ערכים אפשריים:

ASN

Binary String

חסימת CIDR

CVE

כתובת אימייל

קובץ מצורף באימייל

נושא האימייל

מיפוי קבצים

נתיב הקובץ

שם הקובץ

FQDN

גיבוב חלקי

גיבוב GOST

Hash ION

כתובת IPv4

כתובת IPv6

כתובת MAC

MD5

Mutex

סיסמה

מפתח הרישום

שם השירות

SHA-1

SHA-256

SHA-384

SHA-512

String

כתובת URL

נתיב כתובת ה-URL

סוכן משתמש

שם משתמש

X-Mailer

מספר סידורי של x509

נושא X509

 כן מציינים את סוג האינדיקטור. הפרמטר הזה משמש רק אם סוג האובייקט הוא 'אינדיקטור'.
שם המקור String לא רלוונטי כן מציינים את שם המקור.

ריצה

הפעולה הזו לא מופעלת על סוגי ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 1,
    "data": [
        {
            "id": 3,
            "incident_id": 1,
            "source_id": 11,
            "creator_source_id": 8,
            "tlp_id": null,
            "created_at": "2020-07-20 14:12:52",
            "updated_at": "2020-07-20 14:12:52",
            "published_at": null,
            "deleted_at": null,
            "existing": 0,
            "name": "321"
        }
    ]
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה בוצעה ללא שגיאות (is_success = true):
print "Successfully added source '{0}' to '{1}' object in ThreatQ".format(Source Name, Object Type)

אם האובייקט לא נמצא (is_success = false):

הדפסה: "לא נמצא אובייקט '{0}' עם הערך '{1}' ב-ThreatQ".format(Object Type, Object Value)

אם מדובר בשגיאה כללית (is_success = false):

הדפסה של 'לא הייתה אפשרות להוסיף את המקור {0} לאובייקט ThreatQ'.format(שם המקור)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "Add Source". הסיבה: {0}''.format(error.Stacktrace)

 כללי

תיאור

קישורי הפעולה מקשרים את כל הישויות ב-ThreatQ.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

  • CVE
  • כתובת IP
  • כתובת URL
  • Filehash
  • משתמש
  • כל הישויות שתואמות לביטוי הרגולרי של כתובת אימייל

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "id": 1,
        "type_id": 18,
        "status_id": 2,
        "class": "host",
        "hash": "6677d693422fbeb541397fb8554f4664",
        "value": "7815696ecbf1c96e6894b779456d330e",
        "description": null,
        "last_detected_at": null,
        "expires_at": null,
        "expired_at": "2020-07-21 09:05:56",
        "expires_needs_calc": "N",
        "expires_calculated_at": "2020-07-21 07:35:02",
        "created_at": "2020-07-19 09:17:20",
        "updated_at": "2020-07-21 09:05:56",
        "touched_at": "2020-07-21 09:05:56"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה ולפחות אחת מהישויות שסופקו קושרה בהצלחה (is_success = true):
print "Successfully linked the following entities in ThreatQ: \n {1}".format(entity.identifier list)

אם אחזור רשימת האובייקטים שקשורים לישויות ספציפיות נכשל(is_success = true):

print "Action was not able to link the following entities in ThreatQ: \n{0}".format([entity.identifier])

אם ההעשרה נכשלה עבור כל הישויות (is_success = false):

הדפסה: "לא קושרות ישויות".

אם צוינה רק ישות אחת:
הדפסת ההודעה 'לא קושרות ישויות. סיבה: צוינה רק ישות אחת'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת:

print "Error executing action "Link Entities". הסיבה: {0}''.format(error.Stacktrace)

 כללי

תיאור

קישורי הפעולה מקשרים את כל הישויות ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג אובייקט DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

משימה

כלי

TTP

נקודת חולשה

 כן מציינים את סוג האובייקט שאליו רוצים לקשר ישויות.
מזהה אובייקט String לא רלוונטי כן מציינים את המזהה של האובייקט שאליו רוצים לקשר ישויות. לדוגמה, זה יכול להיות גיבוב MD5, שם האירוע, שם היריב וכו'.
סוג האינדיקטור DDL

ASN

ערכים אפשריים:

ASN

Binary String

חסימת CIDR

CVE

כתובת אימייל

קובץ מצורף באימייל

נושא האימייל

מיפוי קבצים

נתיב הקובץ

שם הקובץ

FQDN

גיבוב חלקי

גיבוב GOST

Hash ION

כתובת IPv4

כתובת IPv6

כתובת MAC

MD5

Mutex

סיסמה

מפתח הרישום

שם השירות

SHA-1

SHA-256

SHA-384

SHA-512

String

כתובת URL

נתיב כתובת ה-URL

סוכן משתמש

שם משתמש

X-Mailer

מספר סידורי של x509

נושא X509

 לא מציינים את סוג האינדיקטור שאליו רוצים לקשר ישויות. הפרמטר הזה נמצא בשימוש רק אם Source Object Type הוא 'Indicator'.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

  • CVE
  • כתובת IP
  • כתובת URL
  • Filehash
  • משתמש
  • כל הישויות שתואמות לביטוי הרגולרי של כתובת אימייל

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "id": 1,
        "type_id": 18,
        "status_id": 2,
        "class": "host",
        "hash": "6677d693422fbeb541397fb8554f4664",
        "value": "7815696ecbf1c96e6894b779456d330e",
        "description": null,
        "last_detected_at": null,
        "expires_at": null,
        "expired_at": "2020-07-21 09:05:56",
        "expires_needs_calc": "N",
        "expires_calculated_at": "2020-07-21 07:35:02",
        "created_at": "2020-07-19 09:17:20",
        "updated_at": "2020-07-21 09:05:56",
        "touched_at": "2020-07-21 09:05:56"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם האובייקט לא נמצא (is_success = false):

הדפסה: "לא קושרות ישויות לאובייקט '{0}' עם הערך '{1}'. סיבה: האובייקט '{0}' עם הערך '{1}' לא נמצא ב-ThreatQ".format(Object Type, Object Value)

אם הפעולה הצליחה ולפחות אחת מהישויות שסופקו קושרה בהצלחה (is_success = true):
print "Successfully linked the following entities to object '{0}' with value '{1}' in ThreatQ: \n {2}".format(Object Type, Object Identifier, entity.identifier list)

אם אחזור רשימת האובייקטים שקשורים לישויות ספציפיות נכשל(is_success = true):

print "Action was not able to link the following entities to object '{0}' with value '{1}' in ThreatQ: \n{2}".format(Object Type, Object Identifier, [entity.identifier])

אם ההעשרה נכשלה עבור כל הישויות (is_success = false):

הדפסה: "No entities were linked to object '{0}' with value '{1}'.".format(Object Type, Object Identifier)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת:

print "Error executing action "Link Entities To Object". הסיבה: {0}''.format(error.Stacktrace)

 כללי

תיאור

קישורי פעולה בין שני אובייקטים ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג אובייקט המקור DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

משימה

כלי

TTP

נקודת חולשה

 כן מציינים את סוג אובייקט המקור.
מזהה אובייקט מקור String לא רלוונטי כן מציינים את המזהה של אובייקט המקור. לדוגמה, זה יכול להיות גיבוב MD5, שם האירוע, שם היריב וכו'.
סוג אינדיקטור המקור DDL

ASN

ערכים אפשריים:

ASN

Binary String

חסימת CIDR

CVE

כתובת אימייל

קובץ מצורף באימייל

נושא האימייל

מיפוי קבצים

נתיב הקובץ

שם הקובץ

FQDN

גיבוב חלקי

גיבוב GOST

Hash ION

כתובת IPv4

כתובת IPv6

כתובת MAC

MD5

Mutex

סיסמה

מפתח הרישום

שם השירות

SHA-1

SHA-256

SHA-384

SHA-512

String

כתובת URL

נתיב כתובת ה-URL

סוכן משתמש

שם משתמש

X-Mailer

מספר סידורי של x509

נושא X509

 לא מציינים את סוג אינדיקטור המקור. הפרמטר הזה משמש רק אם Source Object Type הוא 'Indicator'.
סוג אובייקט היעד DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

משימה

כלי

TTP

נקודת חולשה

 כן מציינים את סוג אובייקט היעד.
מזהה אובייקט היעד String לא רלוונטי כן מציינים את המזהה של אובייקט היעד. לדוגמה, זה יכול להיות גיבוב MD5, כותרת האירוע, שם היריב וכו'.
סוג אינדיקטור היעד DDL

ASN

ערכים אפשריים:

ASN

Binary String

חסימת CIDR

CVE

כתובת אימייל

קובץ מצורף באימייל

נושא האימייל

מיפוי קבצים

נתיב הקובץ

שם הקובץ

FQDN

גיבוב חלקי

גיבוב GOST

Hash ION

כתובת IPv4

כתובת IPv6

כתובת MAC

MD5

Mutex

סיסמה

מפתח הרישום

שם השירות

SHA-1

SHA-256

SHA-384

SHA-512

String

כתובת URL

נתיב כתובת ה-URL

סוכן משתמש

שם משתמש

X-Mailer

מספר סידורי של x509

נושא X509

 לא מציינים את סוג אינדיקטור היעד. הפרמטר הזה משמש רק אם סוג אובייקט היעד הוא 'אינדיקטור'.

ריצה

הפעולה הזו לא מופעלת על סוגי ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
            "id": 2,
            "value": "123123",
            "status_id": null,
            "type_id": null,
            "description": null,
            "started_at": "2020-07-20 12:27:00",
            "ended_at": "2020-07-20 12:27:00",
            "created_at": "2020-07-20 12:27:10",
            "updated_at": "2020-07-20 12:27:10",
            "touched_at": "2020-07-20 14:50:14",
            "object_id": 4,
            "object_code": "incident",
            "object_name": "Incident",
            "object_name_plural": "Incidents",
            "pivot": {
                "id": 18,
                "created_at": "2020-07-20 14:50:14",
                "updated_at": "2020-07-20 14:50:14"
            }
        }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה (is_success = true):
print "Successfully linked objects in ThreatQ"

אם האובייקט לא נמצא (is_success = false):

הדפסה: "לא נמצא אובייקט '{0}' עם הערך '{1}' ב-ThreatQ".format(Object Type, Object Value)

אם מדובר בשגיאה כללית (is_success = false):

print "Action was not able to link objects in ThreatQ."

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "Link Objects". הסיבה: {0}''.format(error.Stacktrace)

 כללי

תיאור

רשימות פעולות שקשורות לאובייקטים ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל האם Mנדרש תיאור
סוג אובייקט המקור DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

משימה

כלי

TTP

נקודת חולשה

 כן מציינים את סוג אובייקט המקור.
מזהה אובייקט מקור String לא רלוונטי כן מציינים את המזהה של אובייקט המקור. לדוגמה, זה יכול להיות גיבוב MD5, כותרת האירוע, שם היריב וכו'.
סוג אינדיקטור המקור DDL

ASN

ערכים אפשריים:

ASN

Binary String

חסימת CIDR

CVE

כתובת אימייל

קובץ מצורף באימייל

נושא האימייל

מיפוי קבצים

נתיב הקובץ

שם הקובץ

FQDN

גיבוב חלקי

גיבוב GOST

Hash ION

כתובת IPv4

כתובת IPv6

כתובת MAC

MD5

Mutex

סיסמה

מפתח הרישום

שם השירות

SHA-1

SHA-256

SHA-384

SHA-512

String

כתובת URL

נתיב כתובת ה-URL

סוכן משתמש

שם משתמש

X-Mailer

מספר סידורי של x509

נושא X509

 לא מציינים את סוג אינדיקטור המקור. הפרמטר הזה משמש רק אם Source Object Type הוא 'Indicator'.
סוג אובייקט קשור DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

משימה

כלי

TTP

נקודת חולשה

 כן מציינים את סוג האובייקט הקשור שצריך להחזיר.
המספר המקסימלי של אובייקטים קשורים להחזרה מספר שלם 50 לא מציינים כמה אובייקטים קשורים להחזיר.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 2,
    "data": [
        {
            "id": 1,
            "value": "Incident 1",
            "status_id": null,
            "type_id": null,
            "description": null,
            "started_at": "2020-07-09 06:15:00",
            "ended_at": "2020-07-09 06:15:00",
            "created_at": "2020-07-09 06:16:10",
            "updated_at": "2020-07-09 06:16:10",
            "touched_at": "2020-07-21 06:53:33",
            "deleted_at": null,
            "pivot": {
                "id": 20,
                "src_type": "indicator",
                "src_object_id": 1,
                "dest_type": "incident",
                "dest_object_id": 1,
                "created_at": "2020-07-21 06:53:33",
                "updated_at": "2020-07-21 06:53:33"
            }
        },
        {
            "id": 2,
            "value": "123123",
            "status_id": null,
            "type_id": null,
            "description": null,
            "started_at": "2020-07-20 12:27:00",
            "ended_at": "2020-07-20 12:27:00",
            "created_at": "2020-07-20 12:27:10",
            "updated_at": "2020-07-20 12:27:10",
            "touched_at": "2020-07-21 06:53:49",
            "deleted_at": null,
            "pivot": {
                "id": 21,
                "src_type": "indicator",
                "src_object_id": 1,
                "dest_type": "incident",
                "dest_object_id": 2,
                "created_at": "2020-07-21 06:53:49",
                "updated_at": "2020-07-21 06:53:49"
            }
        }
    ],
    "limit": 2,
    "offset": 0
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה (is_success = true):
print "Successfully listed related objects in ThreatQ."

אם אובייקט המקור לא נמצא (is_success = false):

print: "'{0}' object with value '{1}' was not found in ThreatQ.".format(Object Type, Object Value)

אם אין אובייקטים קשורים ל-Related Object Type : (is_success=false):

‫Print "No related {0} object were found.".format(Related Object Type)

אם מדובר בשגיאה כללית (is_success = false):

הדפסה של 'לא הייתה אפשרות לרשום אובייקטים קשורים ב-ThreatQ'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת:

print "Error executing action "List Related Objects". הסיבה: {0}''.format(error.Stacktrace)

 כללי

Case Wall Table

(Object type=Event)

שם הטבלה: אובייקטים קשורים מסוג Event

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תיאור (ממופה כתיאור)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

Case Wall Table

‫(Object type=File)

שם הטבלה: אובייקטים קשורים מסוג 'קובץ'

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תיאור (ממופה כתיאור)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

Case Wall Table

(Object type=Adversary)

שם הטבלה: אובייקטים קשורים מסוג Adversary

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תיאור (ממופה כתיאור)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

Case Wall Table

(כל סוג אובייקט אחר)

שם הטבלה: Related '{0}' objects (אובייקטים קשורים מסוג {0}).format(Destination Object Type)

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כערך)
  • תיאור (ממופה כתיאור)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

תיאור

רשימות של פעולות שקשורות לאובייקטים של ישויות ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל האם Mנדרש תיאור
סוג אובייקט קשור DDL

יריב

ערכים אפשריים:

יריב

דפוס התקפה

מסע פרסום

מהלך פעולה

אירוע

Exploit Target

קובץ

זהות

אירוע

אינדיקטור

קבוצת פריצה

תוכנה זדונית

דיווח

חתימה

משימה

כלי

TTP

נקודת חולשה

 כן מציינים את סוג האובייקט הקשור שצריך להחזיר.
המספר המקסימלי של אובייקטים קשורים להחזרה מספר שלם 50 לא מציינים כמה אובייקטים קשורים להחזיר. מספר החשבונות המקסימלי הוא 1,000. זוהי מגבלה של ThreatQ.

ריצה

הפעולה הזו מופעלת בכל סוגי הישויות.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה מקור (מפתח JSON) לוגיקה – מתי להחיל
TQ_related_{0}_id.format(Related object type) id אם הוא זמין בתוצאת ה-JSON.
TQ_related_{0}_value.format(Related object type)

עם ערך מסוים.

אם סוג האובייקט שקשור לאירוע הוא event ו-file:

כותרת

אם סוג האובייקט הקשור = יריב:

name

 אם הוא זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 2,
    "data": [   
        {
            "id": 1,
            "value": "Incident 1",
            "status_id": null,
            "type_id": null,
            "description": null,
            "started_at": "2020-07-09 06:15:00",
            "ended_at": "2020-07-09 06:15:00",
            "created_at": "2020-07-09 06:16:10",
            "updated_at": "2020-07-09 06:16:10",
            "touched_at": "2020-07-21 06:53:33",
            "deleted_at": null,
            "pivot": {
                "id": 20,
                "src_type": "indicator",
                "src_object_id": 1,
                "dest_type": "incident",
                "dest_object_id": 1,
                "created_at": "2020-07-21 06:53:33",
                "updated_at": "2020-07-21 06:53:33"
            }
        },
        {
            "id": 2,
            "value": "123123",
            "status_id": null,
            "type_id": null,
            "description": null,
            "started_at": "2020-07-20 12:27:00",
            "ended_at": "2020-07-20 12:27:00",
            "created_at": "2020-07-20 12:27:10",
            "updated_at": "2020-07-20 12:27:10",
            "touched_at": "2020-07-21 06:53:49",
            "deleted_at": null,
            "pivot": {
                "id": 21,
                "src_type": "indicator",
                "src_object_id": 1,
                "dest_type": "incident",
                "dest_object_id": 2,
                "created_at": "2020-07-21 06:53:49",
                "updated_at": "2020-07-21 06:53:49"
            }
        }
    ],
    "limit": 2,
    "offset": 0
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה בוצעה בהצלחה ולפחות אחת מהישויות שסופקו יצרה אינדיקטור (is_success = true):
print "Successfully listed related '{0}' objects in ThreatQ for the following entities: \n {1}".format(related object type, entity.identifier list)

אם לא ניתן להציג רשימה של אובייקטים שקשורים לישויות ספציפיות(is_success = true):
print "Action was not able to list related '{0}' objects in ThreatQ for the following entities: \n{0}".format(related object type, [entity.identifier])

אם ההעשרה נכשלה עבור כל הישויות (is_success = false):

הדפסה: "לא נמצאו אובייקטים קשורים".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "List Related Objects". הסיבה: {0}''.format(error.Stacktrace)

 כללי

Case Wall Table

(Object type=Event)

שם הטבלה: אובייקטים קשורים מסוג Event עבור {מזהה הישות}

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

Case Wall Table

‫(Object type=File)

שם הטבלה: אובייקטים קשורים מסוג File עבור {מזהה הישות}

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תיאור (ממופה כתיאור)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

Case Wall Table

(Object type=Adversary)

שם הטבלה: אובייקטים קשורים מסוג Adversary (יריב) עבור {מזהה הישות}

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תיאור (ממופה כתיאור)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

Case Wall Table

(כל סוג אובייקט אחר)

שם הטבלה: 'Related '{0}' objects for {entity identifier}'.format(Destination Object Type)

עמודות הטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כערך)
  • תיאור (ממופה כתיאור)
  • תאריך יצירה (ממופה כ-created_at)
  • Updated At (מופה כ-updated_at)
 כללי

יצירת אובייקט

תיאור

יוצרים אובייקט ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג אובייקט DDL

דפוס התקפה

ערכים אפשריים:

דפוס התקפה

מסע פרסום

מהלך פעולה

Exploit Target

זהות

אירוע

קבוצת פריצה

תוכנה זדונית

דיווח

כלי

TTP

נקודת חולשה

 כן מציינים את סוג האובייקט.
ערך String לא רלוונטי כן מציינים את הערך של האובייקט החדש.
תיאור String לא רלוונטי לא מציינים תיאור לאובייקט החדש.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה מקור (מפתח JSON) לוגיקה – מתי להחיל
TQ_related_{0}_id.format(Related object type) id אם הוא זמין בתוצאת ה-JSON.
TQ_related_{0}_value.format(Related object type)

עם ערך מסוים.

אם סוג האובייקט שקשור לאירוע הוא event ו-file:

כותרת

אם סוג האובייקט הקשור = יריב:

name

 אם הוא זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "value": "Adversary Nameaaa",
        "description": "Koko",
        "updated_at": "2020-07-21 08:46:55",
        "created_at": "2020-07-21 08:46:55",
        "id": 2,
        "object_id": 1,
        "object_code": "campaign",
        "object_name": "Campaign",
        "object_name_plural": "Campaigns"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

if successful (is_success = true):
print "Successfully created new {0} object in ThreatQ.".format(object_type,)

אם יצירת הפעולה החדשה נכשלה (is_success = false):

הדפסה: "לא הייתה אפשרות ליצור אובייקט {0} חדש ב-ThreatQ".format(object_type)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

ההודעה "Error executing action "Create Object". הסיבה: {0}''.format(error.Stacktrace)

 כללי

קבלת פרטים על תוכנות זדוניות

תיאור

הפעולה מחזירה מידע על תוכנות זדוניות על סמך ישויות מ-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מידע נוסף String לא רלוונטי לא מציינים אילו שדות נוספים צריך לכלול בתשובה. הערכים האפשריים: adversaries, attackPattern, campaign, courseOfAction, attachments, attributes, comments, events, indicators, signatures, sources, status, tags, type, watchlist, exploitTarget, identity, incident, intrusionSet, malware, report, tool, ttp, vulnerability, tasks

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה מקור (מפתח JSON) לוגיקה – מתי להחיל
TQ_malware_id id אם הוא זמין בתוצאת ה-JSON.
TQ_malware_status_id status_id אם הוא זמין בתוצאת ה-JSON.
TQ_malware_type_id type_id אם הוא זמין בתוצאת ה-JSON.
TQ_malware_description description אם הוא זמין בתוצאת ה-JSON.
TQ_malware_created_at created_at אם הוא זמין בתוצאת ה-JSON.
TQ_malware_updated_at updated_at אם הוא זמין בתוצאת ה-JSON.
תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 1,
    "data": [
        {
            "id": 1,
            "value": "Investigation1",
            "status_id": null,
            "type_id": null,
            "description": "<p>Investigation1</p>\n",
            "created_at": "2020-07-08 15:59:20",
            "updated_at": "2020-07-08 15:59:20",
            "touched_at": "2020-07-20 14:46:42",
            "object_id": 9,
            "object_code": "malware",
            "object_name": "Malware",
            "object_name_plural": "Malware",
            "adversaries": [],
            "attack_pattern": [],
            "campaign": [],
            "course_of_action": [],
            "attachments": [],
            "attributes": [],
            "comments": [],
            "events": [],
            "indicators": [],
            "signatures": [],
            "sources": [
                {
                    "id": 5,
                    "type": "plugins",
                    "reference_id": 1,
                    "name": "Domain Tools",
                    "tlp_id": null,
                    "created_at": "2020-07-08 15:59:20",
                    "updated_at": "2020-07-08 15:59:20",
                    "published_at": null,
                    "pivot": {
                        "malware_id": 1,
                        "source_id": 5,
                        "id": 1,
                        "creator_source_id": 8
                    }
                }
            ],
            "status": null,
            "tags": [],
            "type": null,
            "watchlist": [],
            "exploit_target": [],
            "identity": [],
            "incident": [],
            "intrusion_set": [],
            "malware": [],
            "report": [],
            "tool": [],
            "ttp": [],
            "vulnerability": [],
            "tasks": [
                {
                    "id": 5,
                    "name": "Task2",
                    "description": "<p>Task2</p>\n",
                    "status_id": 1,
                    "priority": "Low",
                    "assignee_source_id": 8,
                    "creator_source_id": 8,
                    "due_at": null,
                    "completed_at": null,
                    "assigned_at": "2020-07-09 06:25:54",
                    "created_at": "2020-07-09 06:25:54",
                    "updated_at": "2020-07-09 06:25:54",
                    "pivot": {
                        "id": 9,
                        "created_at": "2020-07-09 06:25:55",
                        "updated_at": "2020-07-09 06:25:55"
                    }
                }
            ]
        }
    ]
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה בוצעה בהצלחה ולפחות אחת מהישויות שסופקו עברה העשרה (is_success = true):
print "Successfully enriched the following entities: \n {1}".format(related object type, entity.identifier list)

אם לא ניתן להציג רשימה של אובייקטים שקשורים לישויות ספציפיות(is_success = true):
print "Action was not able to enrich the following entities: \n{0}".format(related object type, [entity.identifier])

אם ההעשרה נכשלה עבור כל הישויות (is_success = false):

הדפסה: "לא בוצעו העשרות של ישויות".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

‫print "Error executing action "Get Malware Details". הסיבה: {0}''.format(error.Stacktrace)

 כללי
קישור

שם: פרטים על {entity}

Link:https://{server_ip}malware/{id}/details

הצגת רשימת האירועים

תיאור

רשימת אירועים מ-ThreatQ.‌

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שדות נוספים CSV יריבים, קבצים מצורפים, מאפיינים, הערות, אירועים, אינדיקטורים, חתימות, מקורות, דיוג ממוקד, תגים, סוג, רשימת מעקב. לא מציינים אילו שדות נוספים צריך לכלול בתשובה. ערכים אפשריים: adversaries, attachments, attributes, comments, events, indicators, signatures, sources, spearphish, tags, type, watchlist.
שדה המיון DDL

מזהה

ערכים אפשריים:

מזהה

כותרת

נוצר בשעה

עודכן בתאריך

האירוע התרחש בתאריך

 לא מציינים באיזה שדה להשתמש למיון האירועים.
כיוון המיון DDL

סדר עולה

ערכים אפשריים: עולה

סדר יורד

 לא מציינים את כיוון המיון.
מספר מקסימלי של אירועים להחזרה מספר שלם 50 לא מציינים כמה אירועים להחזיר.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 1,
    "data": [
        {
            "id": 1,
            "type_id": 4,
            "title": "Test",
            "description": null,
            "happened_at": "2020-07-19 09:19:00",
            "hash": "78f58dacd9c215003911a09d5b3e810d",
            "created_at": "2020-07-19 09:19:39",
            "updated_at": "2020-07-19 09:19:39",
            "touched_at": "2020-07-19 09:20:22",
            "adversaries": [],
            "attachments": [],
            "attributes": [],
            "comments": [],
            "events": [],
            "indicators": [
                {
                    "id": 1,
                    "type_id": 18,
                    "status_id": 1,
                    "class": "host",
                    "hash": "6677d693422fbeb541397fb8554f4664",
                    "value": "7815696ecbf1c96e6894b779456d330e",
                    "description": null,
                    "last_detected_at": null,
                    "expires_at": null,
                    "expired_at": null,
                    "expires_needs_calc": "N",
                    "expires_calculated_at": "2020-07-19 11:10:02",
                    "created_at": "2020-07-19 09:17:20",
                    "updated_at": "2020-07-19 09:17:20",
                    "touched_at": "2020-07-19 11:08:48",
                    "pivot": {
                        "id": 11,
                        "created_at": "2020-07-19 09:19:39",
                        "updated_at": "2020-07-19 09:19:39"
                    }
                },
                {
                    "id": 2,
                    "type_id": 18,
                    "status_id": 1,
                    "class": "host",
                    "hash": "65b9aa337a73fa71b88bd613c1f4d06d",
                    "value": "7815696ecbf1c96e6894b779456d3301",
                    "description": null,
                    "last_detected_at": null,
                    "expires_at": null,
                    "expired_at": null,
                    "expires_needs_calc": "N",
                    "expires_calculated_at": "2020-07-19 09:25:02",
                    "created_at": "2020-07-19 09:17:43",
                    "updated_at": "2020-07-19 09:17:43",
                    "touched_at": "2020-07-19 09:20:22",
                    "pivot": {
                        "id": 12,
                        "created_at": "2020-07-19 09:20:22",
                        "updated_at": "2020-07-19 09:20:22"
                    }
                }
            ],
            "signatures": [],
            "sources": [
                {
                    "id": 6,
                    "type": "plugins",
                    "reference_id": 2,
                    "name": "Emerging Threats",
                    "tlp_id": null,
                    "created_at": "2020-07-19 09:19:39",
                    "updated_at": "2020-07-19 09:19:39",
                    "published_at": null,
                    "pivot": {
                        "event_id": 1,
                        "source_id": 6,
                        "id": 1,
                        "creator_source_id": 8
                    }
                }
            ],
            "spearphish": null,
            "tags": [],
            "type": {
                "id": 4,
                "name": "DoS Attack",
                "user_editable": "N",
                "created_at": "2020-06-29 17:13:28",
                "updated_at": "2020-06-29 17:13:28"
            },
            "watchlist": []
        }
    ]
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה והנתונים זמינים (is_success=true):

print "Successfully listed ThreatQ events."

אם התגובה נכשלה ולא הוחזרו אירועים (is_success=false):

‫print "No events were found in ThreatQ."

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "List Events". הסיבה: {0}''.format(error.Stacktrace)

אם צוין שדה לא תקין בפרמטר Additional Fields:

print "Error executing action "List Events". הסיבה: צוין שדה לא חוקי בפרמטר 'שדות נוספים'. ‪'''.format(error.Stacktrace)"

 כללי
טבלת קיר בפורמט CSV

שם הטבלה: ThreatQ Events

עמודה בטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תאריך יצירה (ממופה כ-created_at)
  • עדכון בשעה (ממופה כ-updated_at)
  • תיאור (ממופה כתיאור)
 כללי

הצגת רשימת האינדיקטורים

תיאור

רשימת האינדיקטורים מ-ThreatQ.‌‌

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שדות נוספים CSV יריבים, קבצים מצורפים, מאפיינים, הערות, אירועים, אינדיקטורים, חתימות, מקורות, דיוג ממוקד, תגים, סוג, רשימת מעקב. לא מציינים אילו שדות נוספים צריכים להיכלל בתגובה. הערכים האפשריים: adversaries, attachments, attributes, comments, events, indicators, score, signatures, sources, status, tags, type, watchlist.
שדה המיון DDL

מזהה

ערכים אפשריים:

מזהה

כותרת

נוצר בשעה

עודכן בתאריך

האירוע התרחש בתאריך

 לא מציינים באיזה שדה להשתמש למיון האינדיקטורים.
כיוון המיון DDL

סדר עולה

ערכים אפשריים: עולה

סדר יורד

 לא מציינים את כיוון המיון.
מספר מקסימלי של אירועים להחזרה מספר שלם 50 לא מציינים כמה אינדיקטורים להחזיר.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 8,
    "data": [
        {
            "id": 1,
            "name": "Abra Cadabra",
            "created_at": "2020-07-19 09:33:29",
            "updated_at": "2020-07-19 09:33:29",
            "touched_at": "2020-07-19 09:33:29",
            "adversaries": [],
            "attachments": [],
            "attributes": [],
            "comments": [],
            "description": null,
            "events": [],
            "indicators": [
                {
                    "id": 1,
                    "type_id": 18,
                    "status_id": 1,
                    "class": "host",
                    "hash": "6677d693422fbeb541397fb8554f4664",
                    "value": "7815696ecbf1c96e6894b779456d330e",
                    "description": null,
                    "last_detected_at": null,
                    "expires_at": null,
                    "expired_at": null,
                    "expires_needs_calc": "N",
                    "expires_calculated_at": "2020-07-19 11:10:02",
                    "created_at": "2020-07-19 09:17:20",
                    "updated_at": "2020-07-19 09:17:20",
                    "touched_at": "2020-07-19 11:08:48",
                    "pivot": {
                        "id": 13,
                        "created_at": "2020-07-19 09:33:29",
                        "updated_at": "2020-07-19 09:33:29"
                    }
                }
            ],
            "plugins": [],
            "plugin_actions": [],
            "signatures": [],
            "sources": [
                {
                    "id": 8,
                    "type": "users",
                    "reference_id": 1,
                    "name": "tip.labops@siemplify.co",
                    "tlp_id": null,
                    "created_at": "2020-07-19 09:33:29",
                    "updated_at": "2020-07-19 09:33:29",
                    "published_at": null,
                    "pivot": {
                        "adversary_id": 1,
                        "source_id": 8,
                        "id": 1,
                        "creator_source_id": 8
                    }
                }
            ],
            "tags": [],
            "value_weight": null,
            "watchlist": []
        }
    ]
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה והנתונים זמינים (is_success=true):

print "Successfully listed ThreatQ adversaries."

אם אין נתונים זמינים (is_success=false):

הדפסה של "לא נמצאו יריבים ב-ThreatQ".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "List Adversaries". הסיבה: {0}''.format(error.Stacktrace)

​

אם צוין שדה לא תקין בפרמטר Additional Fields:

print "Error executing action "List Adversaries". הסיבה: צוין שדה לא חוקי בפרמטר 'שדות נוספים'. ‪'''.format(error.Stacktrace)"

 כללי
טבלת קיר בפורמט CSV

שם הטבלה: ThreatQ Indicators

עמודה בטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תאריך יצירה (ממופה כ-created_at)
  • עדכון בשעה (ממופה כ-updated_at)
  • תיאור (ממופה כתיאור)
 כללי

הצגת רשימה של יריבים

תיאור

הצגת רשימה של יריבים מ-ThreatQ.‌

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שדות נוספים CSV יריבים, קבצים מצורפים, מאפיינים, הערות, אירועים, אינדיקטורים, חתימות, מקורות, דיוג ממוקד, תגים, סוג, רשימת מעקב. לא מציינים אילו שדות נוספים צריכים להיכלל בתגובה. הערכים האפשריים: adversaries, attachments, attributes, comments, events, indicators, score, signatures, sources, status, tags, type, watchlist.
שדה המיון DDL

מזהה

ערכים אפשריים:

מזהה

כותרת

נוצר בשעה

עודכן בתאריך

האירוע התרחש בתאריך

 לא מציינים באיזה שדה להשתמש למיון היריבים.
כיוון המיון DDL

סדר עולה

ערכים אפשריים: עולה

סדר יורד

 לא מציינים את כיוון המיון.
מספר מקסימלי של אירועים להחזרה מספר שלם 50 לא מציינים כמה אינדיקטורים להחזיר.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "total": 3,
    "data": [
        {
            "id": 3,
            "type_id": 27,
            "status_id": 1,
            "class": "network",
            "hash": "6677d693422fbeb541397fb8554f4664",
            "value": "7815696ecbf1c96e6894b779456d330e",
            "description": null,
            "last_detected_at": null,
            "expires_at": null,
            "expired_at": null,
            "expires_needs_calc": "N",
            "expires_calculated_at": "2020-07-19 11:10:02",
            "created_at": "2020-07-19 11:08:48",
            "updated_at": "2020-07-19 11:08:48",
            "touched_at": "2020-07-19 11:08:48",
            "adversaries": [],
            "attachments": [],
            "attributes": [],
            "comments": [],
            "events": [],
            "indicators": [
                {
                    "id": 1,
                    "type_id": 18,
                    "status_id": 1,
                    "class": "host",
                    "hash": "6677d693422fbeb541397fb8554f4664",
                    "value": "7815696ecbf1c96e6894b779456d330e",
                    "description": null,
                    "last_detected_at": null,
                    "expires_at": null,
                    "expired_at": null,
                    "expires_needs_calc": "N",
                    "expires_calculated_at": "2020-07-19 11:10:02",
                    "created_at": "2020-07-19 09:17:20",
                    "updated_at": "2020-07-19 09:17:20",
                    "touched_at": "2020-07-19 11:08:48",
                    "pivot": {
                        "id": 15,
                        "created_at": "2020-07-19 11:08:48",
                        "updated_at": "2020-07-19 11:08:48"
                    }
                }
            ],
            "score": {
                "indicator_id": 3,
                "generated_score": "0.00",
                "manual_score": null,
                "score_config_hash": "7f8b888a2d2b462310d5227aa75e8c4a78973a96",
                "created_at": "2020-07-19 11:08:48",
                "updated_at": "2020-07-19 11:08:48"
            },
            "signatures": [],
            "sources": [
                {
                    "id": 8,
                    "type": "users",
                    "reference_id": 1,
                    "name": "tip.labops@siemplify.co",
                    "tlp_id": null,
                    "created_at": "2020-07-19 11:08:48",
                    "updated_at": "2020-07-19 11:08:48",
                    "published_at": null,
                    "pivot": {
                        "indicator_id": 3,
                        "source_id": 8,
                        "id": 3,
                        "creator_source_id": 8
                    }
                }
            ],
            "status": {
                "id": 1,
                "name": "Active",
                "description": "Poses a threat and is being exported to detection tools.",
                "user_editable": "N",
                "visible": "Y",
                "include_in_export": "Y",
                "protected": "Y",
                "created_at": "2020-06-29 17:14:34",
                "updated_at": "2020-06-29 17:14:34"
            },
            "tags": [],
            "type": {
                "id": 27,
                "name": "String",
                "class": "network",
                "score": null,
                "wildcard_matching": "Y",
                "created_at": "2020-06-29 17:13:29",
                "updated_at": "2020-06-29 17:13:29"
            },
            "watchlist": []
        }
    ]
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה והנתונים זמינים (is_success=true):

print "Successfully listed ThreatQ indicators."

​

אם אין נתונים זמינים (is_success=false):

הדפסה של 'לא נמצאו אינדיקטורים ב-ThreatQ'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "List Indicators". הסיבה: {0}''.format(error.Stacktrace)

​

אם צוין שדה לא תקין בפרמטר Additional Fields:

print "Error executing action "List Indicators". הסיבה: צוין שדה לא חוקי בפרמטר 'שדות נוספים'. ‪'''.format(error.Stacktrace)"

 כללי
טבלת קיר בפורמט CSV

שם הטבלה: ThreatQ Indicators

עמודה בטבלה:

  • מזהה (ממופה כ-id)
  • שם (ממופה כשם)
  • תאריך יצירה (ממופה כ-created_at)
  • עדכון בשעה (ממופה כ-updated_at)
  • תיאור (ממופה כתיאור)
 כללי

עדכון הסטטוס של האינדיקטור

תיאור

הסטטוס של האינדיקטור מתעדכן ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל האם Mנדרש תיאור
סטטוס DDL

פעיל

ערכים אפשריים:

פעיל

פג תוקף

עקיף

בדיקה

ברשימת ההיתרים

 נכון מציינים את הסטטוס החדש של האינדיקטור.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "id": 1,
        "type_id": 18,
        "status_id": 2,
        "class": "host",
        "hash": "6677d693422fbeb541397fb8554f4664",
        "value": "7815696ecbf1c96e6894b779456d330e",
        "description": null,
        "last_detected_at": null,
        "expires_at": null,
        "expired_at": "2020-07-21 09:05:56",
        "expires_needs_calc": "N",
        "expires_calculated_at": "2020-07-21 07:35:02",
        "created_at": "2020-07-19 09:17:20",
        "updated_at": "2020-07-21 09:05:56",
        "touched_at": "2020-07-21 09:05:56"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה (is_success = true):
print "Successfully updated status for the indicator with value '{0}' in ThreatQ.".format(indicator value)

אם לא נמצא אינדיקטור (is_success = false):
הפונקציה מחזירה את המחרוזת "לא הייתה אפשרות לעדכן את הסטטוס של האינדיקטור עם הערך '{0}' ב-ThreatQ. הסיבה: לא נמצא אינדיקטור עם הערך '{0}' והסוג '{1}' ב-ThreatQ".format(indicator value, indicator type)

אם הפעולה נכשלה בגלל שגיאה כללית(is_success = false):

הדפסה: 'לא הייתה אפשרות לעדכן את הסטטוס של האינדיקטור עם הערך '{0}' ב-ThreatQ'.format(indicator value)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת:

print "Error executing action "Update Indicator Status". הסיבה: {0}''.format(error.Stacktrace)

 כללי

עדכון ציון האינדיקטור

תיאור

האינדיקטור של עדכוני הפעולות מעדכן את הניקוד ב-ThreatQ.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
Score DDL

‫"7 – בינוני"

ערכים אפשריים:

‫"0 – נמוך מאוד"

‫"1 – נמוך מאוד"

‫'2 – נמוך מאוד'

‫"3 – נמוך מאוד"

‫4 – נמוך מאוד

‫"5 – נמוך"

‫"6 - Low"

‫"7 – בינוני"

‫"8 – בינוני"

‫"9 – גבוהה"

‫'10 – גבוה מאוד'

 כן מציינים את הניקוד החדש של האינדיקטור.
אימות הציון DDL

התוצאה הגבוהה ביותר

ערכים אפשריים:

התוצאה הגבוהה ביותר

אילוץ עדכון

 כן מציינים באיזה סוג של אימות ניקוד צריך להשתמש. אם מצוין 'הציון הכי גבוה', הפעולה תשווה את הערכים הנוכחיים ותעדכן רק את הציון של האינדיקטור, אם הציון שצוין גבוה מהציון הנוכחי שנוצר ומהציון הידני. אם מציינים 'עדכון מאולץ', הפעולה תעדכן את הניקוד של האינדיקטור בלי להשוות את הערכים הנוכחיים.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "indicator_id": 2,
        "generated_score": "5.00",
        "manual_score": 1,
        "score_config_hash": "7f8b888a2d2b462310d5227aa75e8c4a78973a96",
        "created_at": "2020-07-19 09:17:43",
        "updated_at": "2020-07-21 09:25:27"
    }
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה (is_success = true):
print "Successfully updated score for the indicator with value '{0}' in ThreatQ.".format(indicator value)

אם הערך של Score Validation (אימות הציון) הוא Highest Score (הציון הכי גבוה) והציון שצוין בפרמטר הפעולה קטן מהציון הנוכחי: (is_success = false):

print "Action didn't update score for the indicator with value '{0}' in ThreatQ. הסיבה: הציון הנוכחי גבוה יותר.".format(indicator value)

אם לא נמצא אינדיקטור (is_success = false):

print "Action was not able to update score for the indicator with value '{0}' in ThreatQ. סיבה: לא נמצא ב-ThreatQ אינדיקטור עם הערך '{0}' והסוג '{1}'.".format(indicator value, indicator type)

אם הפעולה נכשלה בגלל שגיאה כללית(is_success = false):

הדפסה: "לא הייתה אפשרות לעדכן את הניקוד של האינדיקטור עם הערך '{0}' ב-ThreatQ".format(ערך האינדיקטור)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מופיעה שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר:

print "Error executing action "Update Indicator Score". הסיבה: {0}''.format(error.Stacktrace)

 כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.