Mandiant

Versión de integración: 6.0

Configurar la integración de Mandiant en Google Security Operations

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la interfaz de usuario Cadena https://advantage.mandiant.com Sí Raíz de la interfaz de usuario de la instancia de Mandiant.
Raíz de la API Cadena https://api.intelligence.mandiant.com Sí Raíz de la API de la instancia de Mandiant.
ID de cliente Contraseña N/A No ID de cliente de la cuenta de Mandiant.
Archivo de certificado de AC Cadena N/A No Secreto de cliente de la cuenta de Mandiant.
Verificar SSL Casilla Desmarcada Sí Si está habilitada, verifica que el certificado SSL de la conexión al servidor de Mandiant sea válido.

Cómo generar un ID de cliente y un secreto de cliente

Ve a Configuración -> Acceso a la API y claves y haz clic en Obtener ID y secreto de la clave.

Casos prácticos

Enriquecer entidades.

Acciones

Ping

Descripción

Prueba la conectividad con Mandiant con los parámetros proporcionados en la página de configuración de la integración de la pestaña Google Security Operations Marketplace.

Parámetros

N/A

Fecha de ejecución

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success=False
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se realiza correctamente: "Successfully connected to the Mandiant server with the provided connection parameters!" ("Se ha conectado correctamente al servidor de Mandiant con los parámetros de conexión proporcionados").

La acción debería fallar y detener la ejecución de la guía:

Si no se resuelve correctamente: "No se ha podido conectar con el servidor de Mandiant. Error: {0}".format(exception.stacktrace)"

 General

Enriquecer entidades

Descripción

Enriquece las entidades con información de Mandiant. Entidades admitidas: nombre de host, dirección IP, URL, hash de archivo, agente de amenazas y vulnerabilidad.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Umbral de puntuación de gravedad Entero 50 Sí

Especifica la puntuación de gravedad más baja que se usa para marcar la entidad como sospechosa.

Nota: Solo se pueden marcar como sospechosos los indicadores (nombre de host, dirección IP, hash de archivo y URL).

Máximo: 100
Crear estadística Casilla Marcada No Si se habilita, la acción crea una estadística que contiene toda la información recuperada sobre la entidad.
Solo estadísticas de entidades sospechosas Casilla Desmarcada No

Si se habilita, la acción solo crea una estadística para las entidades sospechosas.

Nota: El parámetro "Create Insight" debe estar habilitado.

También se crean estadísticas de las entidades "Amenaza" y "Vulnerabilidad", aunque no estén marcadas como sospechosas.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Nombre de host
  • Dirección IP
  • URL
  • Hash de archivo
  • Atacante
  • Vulnerabilidad

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success=False
Resultado de JSON
Resultado JSON de indicadores
{
    "Entity": "173.254.xx.xx",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ipv4--da5b1f26-cf25-5a61-9c93-xxxxx",
      "type": "ipv4",
      "value": "173.254.xx.xx",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }
Resultado JSON de Threat Actor
{
    "Entity": "APxxxxx",
    "EntityResult": {
      "motivations": [
        {
          "id": "motivation--1b8ca82a-7cff-5622-bedd-xxxx",
          "name": "Espionage",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "identity--cc593632-0c42-500c-8d0b-xxxxx",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "identity--8768c9d0-830d-5c94-88d1-xxxxxxx",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--09673ebc-9fbf-5ab0-9130-xxxxx",
          "name": "AGEDMOAT",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--a2de25d8-beae-5e86-b10e-xxxxxx",
          "name": "ZERODUE",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--57e5ea29-1c08-5f80-b28e-xxxxx",
          "name": "ANGRYIP",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--02178345-7a8a-546a-b82f-xxxxx",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--c80cc2c3-c5b6-5769-b228-xxxxx",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--26e2c717-7772-5ad5-8f0c-xxxxx",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--a509dfc8-789b-595b-a201-xxxxx",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--7b33370b-da4b-5c48-9741-xxxxx",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--9488166d-6469-5e54-ba5f-xxxxx",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--8cb90843-f69a-5aa6-95dc-xxxxx",
          "cve_id": "CVE-2009-xxxx",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-xxxxx",
      "name": "APxxxx",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }
Resultado JSON de la vulnerabilidad
  {
    "Entity": "CVE-2022-xxxx",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;NetWeaver Application Server for ABAP&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "https://wiki.scn.company.com/wiki/pages/viewpage.action?pageId=596902035",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "59690xxxx"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--27efc4f2-4d7b-5d39-a96f-xxxxx",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/311xxxxx",
          "name": "Company A (311xxxx) Security Update Information",
          "unique_id": "311xxxxx"
        }
      ],
      "title": "Company A NetWeaver Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "netweaver_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a netweaver_as_abap 7.31",
          "cpe": "cpe:2.3:a:aompany a:netweaver_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;NetWeaver Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-2022-xxxx",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }
Enriquecimiento de entidades

Tabla de enriquecimiento de indicadores: prefijo Mandiant_

Nombre del campo de enriquecimiento Fuente (clave JSON) Lógica: cuándo aplicar
first_seen first_seen Cuando esté disponible en JSON
last_seen last_seen Cuando esté disponible en JSON
sources CSV de "sources/source_name" únicos Cuando esté disponible en JSON
mscore mscore Cuando esté disponible en JSON
attributed_associations_{associated_associations/type}

CSV de attributed_associations/name por attributed_associations/type, por lo que hay una clave por tipo.

Por ejemplo, todo el malware está en un mismo lugar.

 Cuando esté disponible en JSON
report_link Se ha creado. Cuando esté disponible en JSON

Tabla de enriquecimiento de atacantes: prefijo Mandiant_

Nombre del campo de enriquecimiento Fuente (clave JSON) Lógica: cuándo aplicar
motivaciones CSV de motivaciones/nombre Cuando esté disponible en JSON
aliases CSV de alias o nombre Cuando esté disponible en JSON
sectores CSV de sectores o nombres Cuando esté disponible en JSON
se instale malware CSV de malware o nombre Cuando esté disponible en JSON
locations\_source CSV de ubicaciones, fuentes, países o nombres Cuando esté disponible en JSON
locations\_target CSV de ubicaciones, objetivos o nombres Cuando esté disponible en JSON
CVE CSV de cve/cve\_id Cuando esté disponible en JSON
description description Cuando esté disponible en JSON
last\_activity\_time last\_activity\_time Cuando esté disponible en JSON
report\_link Se ha creado. Cuando esté disponible en JSON

Tabla de enriquecimiento de vulnerabilidades: prefijo Mandiant_

Nombre del campo de enriquecimiento Fuente (clave JSON) Lógica: cuándo aplicar
sources CSV de source_name Cuando esté disponible en JSON
exploitation_state exploitation_state Cuando esté disponible en JSON
date_of_disclosure date_of_disclosure Cuando esté disponible en JSON
vendor_fix_references vendor_fix_references/url Cuando esté disponible en JSON
title title Cuando esté disponible en JSON
exploitation_vectors CSV de exploitation_vectors Cuando esté disponible en JSON
description description Cuando esté disponible en JSON
risk_rating risk_rating Cuando esté disponible en JSON
available_mitigation CSV de available_mitigation Cuando esté disponible en JSON
exploitation_consequence exploitation_consequence Cuando esté disponible en JSON
report_link Se ha creado. Cuando esté disponible en JSON
Estadísticas

N/A

Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si hay datos disponibles para una entidad (is_success=true): "Se han enriquecido correctamente las siguientes entidades con información de Mandiant: {entity.identifier}."

Si no hay datos disponibles para una entidad (is_success=true): "No se ha podido enriquecer la siguiente entidad con información de Mandiant: {entity.identifier}".

Si los datos no están disponibles para todas las entidades (is_success=false): "None of the provided entities were enriched." ("Ninguna de las entidades proporcionadas se ha enriquecido").

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, falta de conexión con el servidor u otro: "Error al ejecutar la acción "Enrich Entities". Motivo: {0}''.format(error.Stacktrace)"

 General
Tabla del panel de casos

Título de la tabla: {entity.identifier}

Columnas de tabla:

  • Clave
  • Valor
 Entidad

Descripción

Obtener información sobre los IOC relacionados con entidades a partir de la información de Mandiant. Entidades admitidas: nombre de host, dirección IP, URL, hash de archivo y agente de amenazas.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Puntuación de gravedad más baja Entero 50 Sí

Especifica la puntuación de gravedad más baja que se usa para devolver indicadores relacionados.

Máximo: 100
Número máximo de IOCs que se devolverán Entero 100 No Especifica el número de indicadores que debe procesar la acción por entidad.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Nombre de host
  • Dirección IP
  • URL
  • Hash de archivo
  • Atacante

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success=False
Resultado de JSON
{
    "hash": [{value}],
    "url": [{value}],
    "fqdn": [{value}],
    "ip": [{value}],
    "email": [{value}]
}
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si hay datos disponibles para una entidad (is_success=true): "Se han devuelto correctamente los indicadores relacionados de las siguientes entidades con información de Mandiant: {entity.identifier}."

Si no hay datos disponibles para una entidad (is_success=true): "No se han encontrado indicadores relacionados con las siguientes entidades usando información de Mandiant: {entity.identifier}."

Si no hay datos disponibles de todas las entidades (is_success=false): "No se han encontrado indicadores relacionados".

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Get Related Entities". Motivo: {0}''.format(error.Stacktrace)"

 General

Enriquecer IOCs

Descripción

Obtén información sobre los IOCs de Mandiant.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Identificadores de IOC CSV N/A Sí Especifica una lista separada por comas de IOCs que deban enriquecerse.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success=False
Resultado de JSON
{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-c32fc738c54a",
            "name": "APT1",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--25667188-bcf5-5abc-b1cc-caabfa18e2b3",
    "type": "fqdn",
    "value": "agru.qpoe.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si hay datos disponibles para un indicador de compromiso (is_success=true): "Se han enriquecido correctamente los siguientes indicadores de compromiso con información de Mandiant: {ioc .identifier}".

Si no hay datos disponibles para un IOC (is_success=true): "Action wasn't able to enrich the following IOCs using information from Mandiant: {ioc .identifier}." ("No se ha podido enriquecer la siguiente información de IOCs con datos de Mandiant: {ioc .identifier}.").

Si no hay datos disponibles para todos los indicadores de compromiso (is_success=false): "No se ha enriquecido ningún IOC".

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error, se muestra el mensaje "Error al ejecutar la acción "Get Related Entities". Motivo: {0}''.format(error.Stacktrace)

 General

Obtener detalles del malware

Descripción

Obtén información sobre malware de Mandiant.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombres de malware CSV N/A Sí Especifica una lista separada por comas de nombres de malware que deban enriquecerse.
Crear estadística Casilla Marcada No Si se habilita, la acción crea una estadística que contiene toda la información recuperada sobre la entidad.
Obtener IOCs relacionados Casilla Marcada No Si está habilitada, la acción obtiene indicadores relacionados con el malware proporcionado.
Número máximo de IOCs relacionados que se devolverán Entero 100 No Especifica el número de indicadores que debe procesar la acción por malware.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success=False
Resultado de JSON
{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--96f82012-c77e-5887-bee9-69aec0b88578",
    "name": "PHOTOMINER",
    "description": "PHOTOMINER is a Windows-based modular cryptocurrency mining malware that communicates over HTTP.",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si hay datos disponibles para un malware (is_success=true): "Se ha enriquecido correctamente el siguiente malware con información de Mandiant: {nombre del malware}".

Si no hay datos disponibles para un malware (is_success=true): "Action wasn't able to enrich the following malware using information from Mandiant: {malware name}." ("No se ha podido enriquecer el siguiente malware con información de Mandiant: {nombre del malware}").

Si no hay datos disponibles de todo el malware (is_success=false): "No se ha encontrado información sobre malware".

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error, se mostrará el mensaje "Error al ejecutar la acción "Obtener detalles del malware". Motivo: {0}''.format(error.Stacktrace)"

 General
Tabla del panel de casos

Nombre de la tabla: Malware Results

Columnas de tabla:

  • Nombre - nombre
  • Descripción - description
  • Alias: archivo CSV de {aliases/name}
  • Hora de la última actividad: {last_activity_time}
 General

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.