Integre o Mandiant Threat Intelligence com o SecOps da Google

Este documento fornece orientações sobre como integrar a Mandiant Threat Intelligence com o Google Security Operations (Google SecOps).

Versão da integração: 11.0

Parâmetros de integração

A integração do Mandiant Threat Intelligence requer os seguintes parâmetros:

Parâmetros Descrição
UI Root Obrigatório

A raiz da IU da instância do Mandiant.

O valor predefinido é https://advantage.mandiant.com.
API Root Obrigatório

A raiz da API da instância do Mandiant.

O valor predefinido é https://api.intelligence.mandiant.com.

Para autenticar com credenciais do Google Threat Intelligence, introduza o seguinte valor: https://www.virustotal.com.
Client ID Opcional

O ID de cliente da conta do Mandiant Threat Intelligence.

Para gerar o ID do cliente no Mandiant Threat Intelligence, aceda a Definições da conta > Acesso e chaves da API > Obter ID da chave e segredo.
Client Secret Opcional

O segredo do cliente da conta do Mandiant Threat Intelligence.

Para gerar o segredo do cliente no Mandiant Threat Intelligence, aceda a Definições da conta > Acesso e chaves da API > Obtenha o ID da chave e o segredo.
GTI API Key Opcional

A chave da API do Google Threat Intelligence.

Para fazer a autenticação com a Google Threat Intelligence, defina o valor do parâmetro API Root como https://www.virustotal.com.

Quando faz a autenticação através da chave da API Google Threat Intelligence, esta tem prioridade sobre outros métodos de autenticação.
Verify SSL Obrigatório

Se selecionada, a integração verifica se o certificado SSL para a ligação ao servidor Mandiant é válido.

Selecionado por predefinição.

Para ver instruções sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Se necessário, pode fazer alterações numa fase posterior. Depois de configurar uma instância de integração, pode usá-la em manuais de soluções. Para mais informações sobre a configuração e o suporte de várias instâncias, consulte o artigo Suporte de várias instâncias.

Ações

Para mais informações sobre ações, consulte os artigos Responda a ações pendentes a partir do seu espaço de trabalho e Execute uma ação manual.

Enriquecer entidades

Use a ação Enrich Entities para enriquecer entidades com as informações da Mandiant Threat Intelligence. Esta ação só suporta hashes MD5, SHA-1 e SHA-256.

A ação Enrich Entities é executada nas seguintes entidades do Google SecOps:

  • Hostname
  • IP Address
  • URL
  • File Hash
  • Threat Actor
  • Vulnerability

Dados de ações

A ação Enrich Entities requer os seguintes parâmetros:

Parâmetro Descrição
Severity Score Threshold Obrigatório

A pontuação de gravidade mais baixa para marcar a entidade como suspeita.

A ação pode marcar como suspeitos os seguintes indicadores: hostname, IP address, file hash e url.

O valor predefinido é 50. O valor máximo é 100.
Create Insight Opcional

Se esta opção for selecionada, a ação cria uma estatística que contém todas as informações obtidas sobre a entidade.

Selecionado por predefinição.
Only Suspicious Entity Insight Opcional

Se selecionada, a ação cria estatísticas apenas para entidades suspeitas.

Se selecionar este parâmetro, também deve selecionar o parâmetro Create Insight. A ação cria estatísticas para as entidades Threat Actor e Vulnerability, mesmo que estas entidades não estejam marcadas como suspeitas.

Resultados da ação

A ação Ping fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento de entidades Disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Enriquecimento de entidades

A tabela seguinte lista os valores para o enriquecimento de indicadores quando usa a ação Enrich Entities:

Nome do campo de enriquecimento Origem (chave JSON) Aplicabilidade
first_seen first_seen Aplicável quando está disponível em JSON.
last_seen last_seen Aplicável quando está disponível em JSON.
sources Um ficheiro CSV de valores sources/source_name únicos. Aplicável quando está disponível em JSON.
mscore mscore Aplicável quando está disponível em JSON.
attributed_associations_{associated_associations/type} Um ficheiro CSV de chaves attributed_associations/name para cada tipo de attributed_associations/type (uma chave para cada tipo). Aplicável quando está disponível em JSON.
report_link Criado. Aplicável quando está disponível em JSON.

A tabela seguinte lista os valores para o enriquecimento da entidade Threat Actors quando usa a ação Enrich Entities:

Nome do campo de enriquecimento Origem (chave JSON) Aplicabilidade
motivations CSV de valores motivations/name. Aplicável quando está disponível em JSON.
aliases CSV de valores aliases/name. Aplicável quando está disponível em JSON.
industries CSV de valores industries/name. Aplicável quando está disponível em JSON.
malware CSV de valores malware/name. Aplicável quando está disponível em JSON.
locations\_source CSV de valores locations/source/country/name. Aplicável quando está disponível em JSON.
locations\_target CSV de valores locations/target/name. Aplicável quando está disponível em JSON.
cve CSV de valores cve/cve\_id. Aplicável quando está disponível em JSON.
description description Aplicável quando está disponível em JSON.
last\_activity\_time last\_activity\_time Aplicável quando está disponível em JSON.
report\_link Criado. Aplicável quando está disponível em JSON.

A tabela seguinte lista os valores para o enriquecimento da entidade Vulnerability quando usa a ação Enrich Entities:

Nome do campo de enriquecimento Origem (chave JSON) Aplicabilidade
sources CSV de valores source_name. Aplicável quando está disponível em JSON.
exploitation_state exploitation_state Aplicável quando está disponível em JSON.
date_of_disclosure date_of_disclosure Aplicável quando está disponível em JSON.
vendor_fix_references vendor_fix_references/url Aplicável quando está disponível em JSON.
title title Aplicável quando está disponível em JSON.
exploitation_vectors CSV de valores exploitation_vectors. Aplicável quando está disponível em JSON.
description description Aplicável quando está disponível em JSON.
risk_rating risk_rating Aplicável quando está disponível em JSON.
available_mitigation CSV de valores available_mitigation. Aplicável quando está disponível em JSON.
exploitation_consequence exploitation_consequence Aplicável quando está disponível em JSON.
report_link Criado Aplicável quando está disponível em JSON.
Resultado JSON

O exemplo seguinte mostra o resultado JSON para os indicadores recebidos quando usa a ação Enrich Entities:

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

O exemplo seguinte mostra o resultado JSON da entidade Threat Actor recebida quando usa a ação Enrich Entities:

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

O exemplo seguinte mostra o resultado JSON da entidade Vulnerability recebida quando usa a ação Enrich Entities:

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
Mensagens de saída

A ação Enrich Entities pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 A ação foi bem-sucedida.
Error executing action "Enrich Entities". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Enrich Entities:

Nome do resultado do script Valor
is_success True ou False

Enriqueça IOCs

Use a ação Enriquecer IOCs para obter informações sobre IOCs da Mandiant Threat Intelligence.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Enrich IOCs requer os seguintes parâmetros:

Parâmetro Descrição
IOC Identifiers Obrigatório

Uma lista de IOCs separada por vírgulas para enriquecer.

Resultados da ação

A ação Enrich IOCs fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Enrich IOCs:

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
Mensagens de saída

A ação Enrich IOCs pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 A ação foi bem-sucedida.
Error executing action "Enrich IOCs". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Enrich IOCs:

Nome do resultado do script Valor
is_success True ou False

Obtenha detalhes do software malicioso

Use a ação Get Malware Details para obter informações sobre software malicioso do Mandiant Threat Intelligence.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

A ação Get Malware Details requer os seguintes parâmetros:

Parâmetro Descrição
Malware Names Obrigatório

Uma lista separada por vírgulas de nomes de software malicioso para enriquecer.
Create Insight Opcional

Se esta opção for selecionada, a ação cria uma estatística que contém todas as informações obtidas sobre a entidade.
Fetch Related IOCs Opcional

Se selecionada, a ação obtém indicadores relacionados com o software malicioso fornecido.
Max Related IOCs To Return Opcional

O número de indicadores que a ação processa para cada software malicioso.

O valor predefinido é 100.

Resultados da ação

A ação Get Malware Details fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Get Malware Details:

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
Mensagens de saída

A ação Get Malware Details pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 A ação foi bem-sucedida.
Error executing action "Get Malware Details". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte indica o valor do resultado do script quando usa a ação Get Malware Details:

Nome do resultado do script Valor
is_success True ou False

Use a ação Get Related Entities para obter detalhes sobre indicadores de comprometimento (IOCs) relacionados com entidades que usam informações do Mandiant Threat Intelligence.

Esta ação é executada nas seguintes entidades do Google SecOps:

  • Hostname
  • IP Address
  • URL
  • File Hash
  • Threat Actor

Dados de ações

A ação Get Related Entities requer os seguintes parâmetros:

Parâmetro Descrição
Lowest Severity Score Obrigatório

A pontuação de gravidade mais baixa para devolver indicadores relacionados.

O valor predefinido é 50. O valor máximo é 100.
Max IOCs To Return Opcional

O número de indicadores que a ação processa para cada entidade.

O valor predefinido é 100.

Resultados da ação

A ação Get Related Entities fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte mostra o resultado JSON recebido quando usa a ação Get Related Entities:

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
Mensagens de saída

A ação Get Related Entities pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 A ação foi bem-sucedida.
Error executing action "Get Related Entities". Reason: ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Get Related Entities:

Nome do resultado do script Valor
is_success True ou False

Tchim-tchim

Use a ação Ping para testar a conetividade com o Mandiant Threat Intelligence.

Esta ação não é executada em entidades do Google SecOps.

Dados de ações

Nenhum.

Resultados da ação

A ação Ping fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Ping pode devolver as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully connected to the Mandiant server with the provided connection parameters! A ação foi bem-sucedida.
Failed to connect to the Mandiant server! Error is ERROR_REASON

A ação falhou.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte lista o valor do resultado do script quando usa a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.