将 Anomali ThreatStream 与 Google SecOps 集成

本文档介绍了如何将 Anomali ThreatStream 与 Google Security Operations (Google SecOps) 集成。

集成参数

使用以下参数配置集成：

参数名称 类型 默认值 为必填项 说明
Web 根 字符串 https://siemplify.threatstream.com 是

Anomali ThreatStream 实例的 Web 根目录。

此参数用于在集成项之间创建报告链接。
API 根 字符串 https://api.threatstream.com 是 Anomali ThreatStream 实例的 API 根。
电子邮件地址 字符串 不适用 是 Anomali ThreatStream 账号的邮箱。
API 密钥 密码 不适用 是 Anomali ThreatStream 账号的 API 密钥。
验证 SSL 复选框 勾选 是 如果启用，则会验证与 Anomali ThreatStream 服务器的连接所使用的 SSL 证书是否有效。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

为实体添加标记

在 Anomali ThreatStream 中为实体添加标记。

参数

参数名称 类型 默认值 为必填项 说明
标记 CSV 不适用 是 指定需要添加到 Anomali ThreatStream 中实体的逗号分隔列表。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且在实体中找到至少一个哈希 (is_success=true)： “Successfully added tags to the following entities in Anomali ThreatStream:\n{0}”。format(entity.identifier list)

如果未找到特定实体 (is_success=true)： "The following entities were not found in Anomali ThreatStream\n: {0}".format([entity.identifier])

如果未找到所有实体 (is_success=false)：“未找到任何提供的实体。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘向实体添加标记’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规

丰富实体

从 Anomali ThreatStream 检索有关 IP、网址、哈希值、电子邮件地址的信息。

参数

参数名称 类型 默认值 为必填项 说明
严重级别阈值 DDL

低

可能的值：

  • 非常高
  • 高
  • 中
  • 低
 是 指定实体的严重级别阈值，以便将其标记为可疑。如果针对同一实体找到多条记录，操作将采用所有可用记录中的最高严重级别。
置信度阈值 整数 不适用 是 指定实体的置信度阈值，以便将其标记为可疑。注意：上限为 100。如果为实体找到多条记录，操作将取平均值。有效记录具有更高优先级。
忽略误报状态 复选框 尚未核查 否 如果启用，操作将忽略假正例状态，并根据严重程度阈值和置信度阈值将实体标记为可疑。如果停用，则无论假正例实体是否通过严重程度阈值和“置信度阈值”条件，操作都不会将其标记为可疑。
向支持请求添加威胁类型 复选框 尚未核查 否 如果启用，操作会将所有记录中实体的威胁类型作为标签添加到案例中。示例：apt
仅限可疑实体分析 复选框 尚未核查 是 如果启用，操作将仅为超出严重程度阈值和置信度阈值的实体创建数据分析。
创建分析洞见 复选框 尚未核查 是 如果启用，该操作将为每个处理的实体添加一条数据分析。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件

操作结果

JSON 结果

以下示例展示了使用丰富实体操作时收到的 JSON 结果输出：

{
  "results": [
    {
      "Entity": "8f42a5a1f2e1a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6g7h8",
      "EntityResult": [
        {
          "target_industry": [],
          "source": "Threat Intelligence Provider",
          "threatscore": 68,
          "threat_type": "malware",
          "trusted_circle_ids": [
            0
          ],
          "description": "Malware indicator description",
          "workgroups": [],
          "sort": [
            1713616121740,
            10000000001
          ],
          "resource_uri": "/api/v2/intelligence/10000000001/",
          "modified_ts": "2024-04-20T12:28:41.740Z",
          "update_id": 11111111111,
          "source_reported_confidence": 75,
          "type": "hash",
          "uuid": "00000000-0000-0000-0000-000000000000",
          "feed_id": 0,
          "retina_confidence": -1,
          "created_ts": "2024-04-20T12:14:12.356Z",
          "subtype": "SHA256",
          "id": 10000000001,
          "value": "8f42a5a1f2e1a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6g7h8",
          "itype": "mal_hash",
          "org": "ORG_NAME",
          "confidence": 75,
          "expiration_ts": "9999-12-31T00:00:00.000Z",
          "owner_organization_id": 0,
          "meta": {
            "severity": "medium",
            "detail2": "imported by system process"
          },
          "is_anonymous": true,
          "is_public": false,
          "asn": "",
          "status": "active",
          "can_add_public_tags": false,
          "tlp": "amber",
          "created_by": null,
          "rdns": null,
          "is_editable": false,
          "locations": [],
          "source_locations": [],
          "report_link": "https://threatstream.example.com/detail/hash/8f42a5a1f2e1a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6g7h8",
          "is_risky": true
        }
      ]
    },
    {
      "Entity": "e99a18c428cb38d5f260853678922e03",
      "EntityResult": [
        {
          "target_industry": [],
          "source": "Threat Intelligence Provider",
          "threatscore": 68,
          "threat_type": "malware",
          "trusted_circle_ids": [
            0
          ],
          "description": null,
          "workgroups": [],
          "sort": [
            1713615301656,
            10000000002
          ],
          "resource_uri": "/api/v2/intelligence/10000000002/",
          "modified_ts": "2024-04-20T12:15:01.656Z",
          "update_id": 11111111112,
          "source_reported_confidence": 75,
          "type": "md5",
          "uuid": "00000000-0000-0000-0000-000000000001",
          "feed_id": 0,
          "retina_confidence": -1,
          "created_ts": "2024-04-20T12:14:12.351Z",
          "subtype": "MD5",
          "id": 10000000002,
          "value": "e99a18c428cb38d5f260853678922e03",
          "itype": "mal_md5",
          "org": "ORG_NAME",
          "confidence": 75,
          "expiration_ts": "9999-12-31T00:00:00.000Z",
          "owner_organization_id": 0,
          "meta": {
            "severity": "medium",
            "detail2": "imported by system process"
          },
          "is_anonymous": true,
          "is_public": false,
          "asn": "",
          "status": "active",
          "can_add_public_tags": false,
          "tlp": "amber",
          "created_by": null,
          "rdns": null,
          "is_editable": false,
          "locations": [],
          "source_locations": [],
          "report_link": "https://threatstream.example.com/detail/hash/e99a18c428cb38d5f260853678922e03",
          "is_risky": true
        }
      ]
    }
  ],
  "is_risky": true
}
脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
实体丰富化
扩充项字段名称 逻辑 - 适用场景
id 当 JSON 中有可用数据时
状态 当 JSON 中有可用数据时
itype 当 JSON 中有可用数据时
expiration_time 当 JSON 中有可用数据时
ip 当 JSON 中有可用数据时
feed_id 当 JSON 中有可用数据时
智能体 当 JSON 中有可用数据时
uuid 当 JSON 中有可用数据时
retina_confidence 当 JSON 中有可用数据时
trusted_circle_ids 当 JSON 中有可用数据时
来源 当 JSON 中有可用数据时
纬度 当 JSON 中有可用数据时
类型 当 JSON 中有可用数据时
说明 当 JSON 中有可用数据时
标签 当 JSON 中有可用数据时
threat_score 当 JSON 中有可用数据时
source_confidence 当 JSON 中有可用数据时
modification_time 当 JSON 中有可用数据时
org_name 当 JSON 中有可用数据时
asn 当 JSON 中有可用数据时
creation_time 当 JSON 中有可用数据时
tlp 当 JSON 中有可用数据时
国家/地区 当 JSON 中有可用数据时
longitude 当 JSON 中有可用数据时
severity 当 JSON 中有可用数据时
subtype 当 JSON 中有可用数据时
报告 当 JSON 中有可用数据时
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少有一个提供的实体已丰富 (is_success=true)：“Successfully enriched the following entities using Anomali ThreatStream: \n {0}”。format(entity.identifier list)

如果未能丰富特定实体 (is_success=true)： "Action was not able to enrich the following entities using Anomali ThreatStream\n: {0}".format([entity.identifier])

如果未能丰富所有实体 (is_success=false)：“未丰富任何实体。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action 'Enrich Entities'. Reason: {0}''.format(error.Stacktrace)

如果“置信度阈值”参数不在 0-100 范围内：“‘置信度阈值’值应在 0 到 100 之间。”

 常规
案例墙表格

表名称：Related Analysis Links: {entity_identifier}

表列：

  • 名称
  • 链接
 常规
案例墙表格 基于丰富表的键 实体

从 Anomali ThreatStream 检索实体相关关联。

参数

参数名称 类型 默认值 为必填项 说明
退货广告系列 复选框 勾选 否 如果启用，操作将提取相关广告系列及其详细信息。
返回威胁公告 复选框 勾选 否 如果启用，操作将提取相关威胁公告及其详细信息。
回归演员 复选框 勾选 否 如果启用，操作将提取相关演员及其详细信息。
返回攻击模式 复选框 勾选 否 如果启用，操作将提取相关的攻击模式及其详细信息。
退货操作过程 复选框 勾选 否 如果启用，操作将提取相关行动方案及其详细信息。
退货身份 复选框 勾选 否 如果启用，操作将提取相关身份及其详细信息。
退货突发事件 复选框 勾选 否 如果启用，操作将提取相关突发事件及其详细信息。
退货基础设施 复选框 勾选 否 如果启用，操作将提取相关基础设施及其详细信息。
返回入侵集 复选框 勾选 否 如果启用，操作将提取相关的入侵集及其详细信息。
返回恶意软件 复选框 勾选 否 如果启用，此操作将提取相关恶意软件及其详细信息。
返回签名 复选框 勾选 否 如果启用，操作将提取相关签名及其详细信息。
退货工具 复选框 勾选 否 如果启用，操作将提取相关工具及其详细信息。
退货 TTP 复选框 勾选 否 如果启用，操作将提取相关 TTP 及其详细信息。
返回漏洞 复选框 勾选 否 如果启用，操作将提取相关漏洞及其详细信息。
创建广告系列实体 复选框 尚未核查 否 如果启用，操作将根据可用的广告系列关联创建实体。
创建 Actors 实体 复选框 尚未核查 否 如果启用，操作将根据可用的 Actor 关联创建实体。
创建签名实体 复选框 尚未核查 否 如果启用，操作将根据可用的签名关联创建实体。
创建漏洞实体 复选框 尚未核查 否 如果启用，此操作将根据可用的漏洞关联创建实体。
创建分析洞见 复选框 勾选 否 如果启用，操作将根据结果创建数据分析。
创建支持请求标记 复选框 尚未核查 否 如果启用，操作将根据结果创建案例标签。
返回的关联数量上限 整数 5 否 指定每种类型要返回的关联数量。默认值：5
返回的统计信息数上限 整数 3 否 指定要返回的 IOC 相关热门统计信息结果的数量。注意：该操作最多会处理与关联相关的 1,000 个 IOC。如果您提供 0，则操作不会尝试提取统计信息。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
JSON 结果
{
    "campaign": [
        {
            "name": "Example 1",
            "id": 1
        },
        {
            "name": "Example 2",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少找到一个跨实体关联 (is_success=true)：“已成功从 Anomali ThreatStream 检索到相关关联”

如果未找到任何关联 (is_success=false)：“未找到任何相关关联。”

异步消息：“正在等待检索所有关联详细信息”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“执行‘获取相关关联’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规
案例墙表格

表格名称：“相关关联对象”

表列：

  • ID
  • 名称
  • 类型
  • 状态

根据 Anomali ThreatStream 中的关联检索相关实体。

参数

参数名称 类型 默认值 为必填项 说明
置信度阈值 整数 不适用 是 指定置信度阈值。最大值为 100。
搜索威胁公告 复选框 勾选 否 如果启用，操作将在威胁公告中搜索。
搜索演员 复选框 勾选 否 如果启用，操作将在参与者中搜索。
搜索攻击模式 复选框 勾选 否 如果启用，操作将在攻击模式中搜索。
搜索广告系列 复选框 勾选 否 如果启用，操作将搜索广告系列。
搜索行动方案 复选框 勾选 否 如果启用，操作将在行动方案中搜索。
搜索身份 复选框 勾选 否 如果启用，操作将在身份中搜索。
搜索突发事件 复选框 勾选 否 如果启用，操作将在突发事件中搜索。
搜索基础架构 复选框 勾选 否 如果启用，操作将在基础架构中搜索。
搜索入侵集 复选框 勾选 否 如果启用，操作将在入侵集中进行搜索。
搜索恶意软件 复选框 勾选 否 如果启用，操作将在恶意软件中搜索。
搜索签名 复选框 勾选 否 如果启用，操作将在签名中搜索。
搜索工具 复选框 勾选 否 如果启用，操作将在工具中搜索。
搜索 TTP 复选框 勾选 否 如果启用，操作将在 TTP 中搜索。
搜索漏洞 复选框 勾选 否 如果启用，操作将在漏洞中搜索。
要返回的实体数上限 整数 50 否 指定每种实体类型要返回的实体数量。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件（与电子邮件正则表达式匹配的用户实体）
  • 威胁行为者
  • CVE

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
JSON 结果
{
"{}_hashes.format(subtype)": [""],
"all_hashes": ["md5hash_1"],
"domains": [""]
"urls": []
"emails": []
"ips": []
}
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且在实体中找到至少一个哈希 (is_success=true)：“已成功从 Anomali ThreatStream 检索相关哈希”

如果未找到哈希值 (is_success=false)：“未找到相关哈希值。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“Error executing action "Get Related Hashes". Reason: {0}''.format(error.Stacktrace)

如果“置信度阈值”参数不在 0-100 范围内：“‘置信度阈值’值应在 0 到 100 之间。”

 常规

Ping

测试与 Anomali ThreatStream 的连接。

参数

不适用

运行时间

此操作不会对实体运行，也没有强制性输入参数。

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功：“已使用提供的连接参数成功连接到 Anomali ThreatStream 服务器！”

操作应失败并停止 playbook 执行：

如果不成功：“Failed to connect to the Anomali ThreatStream server! 错误为 {0}”。format(exception.stacktrace)

 常规

从实体中移除标记

从 Anomali ThreatStream 中的实体中移除标记。支持的实体：哈希、网址、IP 地址、电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数

参数名称 类型 默认值 为必填项 说明
标记 CSV 不适用 是 指定需要从 Anomali ThreatStream 中的实体中移除的标记的逗号分隔列表。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少从一个实体中移除了一个标签 (is_success=true)：“Successfully removed the following tags from the "{entity.identifier}" entity in Anomali ThreatStream:\n{0}”.format(tags)

If one tag is not found for one entity (is_success=true): "The following tags were already not a part of "{entity.identifier}" entity in Anomali ThreatStream:\n{0}".format(tags)

如果未找到某个实体 (is_success=true) 的所有标记：“提供的标记均不属于 Anomali ThreatStream 中的‘{entity.identifier}’实体。”

如果未找到一个实体 (is_success=true)： "The following entities were not found in Anomali ThreatStream\n: {0}".format([entity.identifier])

如果未找到所有实体 (is_success=false)：“未找到任何提供的实体。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘从实体中移除标记’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规

报告为假正例

将 Anomali ThreatStream 中的实体报告为假正例。支持的实体： 哈希、网址、IP 地址、电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数

参数名称 类型 默认值 为必填项 说明
原因 字符串 不适用 是 指定您要将实体标记为假正例的原因。
评论 字符串 不适用 是 指定与您将实体标记为假正例的决定相关的其他信息。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 邮箱（与邮箱正则表达式匹配的用户实体）

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且在实体中找到至少一个哈希 (is_success=true)：“已成功在 Anomali ThreatStream 中将以下实体报告为假正例：\n{0}”。format(entity.identifier list)

如果未能标记特定实体 (is_success=true)：“Action was not able to report the following entities as 假正例 in Anomali ThreatStream : {0}”。format([entity.identifier])

如果未能丰富所有实体 (is_success=false)：“未报告任何实体为假正例。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘报告为假正例’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规

提交可观测对象

根据 IP、网址、哈希、电子邮件实体向 Anomali ThreatStream 提交可观察对象。支持的实体：哈希值、网址、IP 地址、电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

在哪里可以找到可信圈子 ID

如需查找可信圈子的 ID，请在 Anomali ThreatStream 上找到该可信圈子，然后点击其名称。地址栏中显示的网址会显示 ID，例如 https://siemplify.threatstream.com/search?trustedcircles=13.

参数

参数名称 类型 默认值 为必填项 说明
分类 DDL

专用

可能的值：

  • 公开
  • 专用
 是 指定可观察对象的分类。
威胁类型 DDL

APT

可能的值

  • APT
  • 广告软件
  • 异常
  • 匿名化
  • 聊天机器人
  • Brute
  • C2
  • 已破解
  • Crypto
  • 数据泄露
  • DDOS
  • 动态 DNS
  • 数据渗漏
  • 漏洞利用
  • 欺诈
  • 黑客工具
  • I2P
  • 参考信息
  • 恶意软件
  • P2P
  • 暂时搁置
  • Phish
  • 扫描
  • 天坑
  • 社交
  • 垃圾内容
  • 禁止
  • 可疑
  • TOR
  • VPS
 是 指定可观察对象的威胁类型。
来源 字符串 Siemplify 否 指定可观测对象的情报来源。
失效日期 整数 不适用 否 以天为单位指定可观测对象的失效日期。如果此处未指定任何内容，操作将创建一个永不过期的可观察对象。
可信圈子 ID CSV 不适用 否 指定以英文逗号分隔的受信任圈子 ID 列表。可观测对象将与这些受信任的圈子共享。
TLP DDL

选择一项

可能的值：

  • 选择一项
  • 红色
  • 绿色
  • 琥珀色
  • 白色
 否 为可观测对象指定 TLP。
置信度 整数 不适用 否 指定可观测对象的置信度。注意：只有在您在组织中创建可观测对象，并且需要启用“覆盖系统置信度”时，此参数才会生效。
替换系统置信度 复选框 尚未核查 否 如果启用，创建的可观测对象将具有在“置信度”参数中指定的置信度。注意：启用此参数后，您无法在可信圈子中公开分享可观测对象。
匿名提交 复选框 尚未核查 否 如果启用，操作将进行匿名提交。
标记 CSV 不适用 否 指定要添加到可观测对象的逗号分隔列表标签。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件

操作结果

脚本结果
脚本结果名称 值选项 示例
is_success True 或 False is_success:False
JSON 结果
approved_jobs = [
    {
        "id":,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id":,
        "entity": {entity.identifier}
    }
]
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且在实体中找到至少一个哈希(is_success=true)：“Successfully submitted and approved the following entities in Anomali ThreatStream:\n{0}”。format(entity.identifier list)

如果未能丰富某些实体（被拒绝的实体）(is_success=true)：“Action was not able to successfully submit and approve the following entities in Anomali ThreatStream\n: {0}”。format([entity.identifier])

如果未能为所有实体丰富信息 (is_success=false)：“未能成功向 Anomali ThreatStream 提交任何实体。”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等）：“执行‘提交可观测数据’操作时出错。Reason: {0}''.format(error.Stacktrace)

如果报告了 400 状态代码：“执行‘提交可观测对象’操作时出错。Reason: {0}''.format(message)

 常规

链接：

https://siemplify.threatstream.com/import/review/{jobid}

 实体

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

Anomali ThreatStream - Observables 连接器

从 Anomali ThreatStream 中拉取可观测对象。

动态列表中使用的是来源名称。

如需查找可信圈子的 ID，请在 Anomali ThreatStream 上找到该可信圈子，然后点击其名称。地址栏中显示的网址会显示 ID，例如 https://siemplify.threatstream.com/search?trustedcircles=13。

连接器参数

使用以下参数配置连接器：

参数名称 类型 默认值 为必填项 说明
产品字段名称 字符串 产品名称 是

存储商品名称的字段的名称。

商品名称主要影响映射。为了简化和改进连接器的映射过程，默认值会解析为代码中引用的后备值。默认情况下，此参数的任何无效输入都会解析为回退值。

默认值为 Product Name。
事件字段名称 字符串 类型 是

决定事件名称（子类型）的字段名称。
环境字段名称 字符串 “” 否

存储环境名称的字段的名称。

如果缺少环境字段，连接器将使用默认值。
Environment Regex Pattern 字符串 .* 否

要对 Environment Field Name 字段中找到的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。

使用默认值 .* 检索所需的原始 Environment Field Name 值。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒） 整数 300 是 运行当前脚本的 Python 进程的超时限制。
API 根 字符串 https://api.threatstream.com 是 Anomali ThreatStream 实例的 API 根。
电子邮件地址 字符串 不适用 是 Anomali ThreatStream 账号的邮箱。
API 密钥 密码 不适用 是 Anomali ThreatStream 账号的 API 密钥。
要提取的最低严重级别 字符串 高 是

用于提取可观测对象的最低严重级别。

可能的值：

  • 低
  • 中
  • 高
  • 非常高
要提取的最低置信度 整数 50 是 用于提取可观测对象的最低置信度。最多可以有 100 个账号。
来源 Feed 过滤条件 CSV 不适用 否 应使用 Feed ID 的逗号分隔列表来注入可观测对象，例如 515,4129。
可观察类型过滤条件 CSV 网址、域名、邮箱、哈希值、IP、IPv6 否

应提取的可观测类型的逗号分隔列表，例如 URL, domain。

可能的值：URL、domain、email、hash、ip、ipv6
可观察状态过滤条件 CSV 有效 否

逗号分隔列表，其中包含应用于注入新数据的可观察状态，例如 active,inactive

可能的值：active、inactive、falsepos

。
威胁类型过滤条件 CSV 不适用 否

应使用逗号分隔列表的威胁类型来注入可观测对象，例如 adware,anomalous,anonymization,apt。

可能的值：adware、anomalous、anonymization、apt、bot、brute、c2、compromised、crypto、data_leakage、ddos、dyn_dns、exfil、exploit、fraud、hack_tool、i2p、informational、malware、p2p、parked、phish、scan、sinkhole、spam、suppress、suspicious、tor、vps
可信圈子过滤条件 CSV 不适用 否

逗号分隔列表，其中包含应用于注入可观测对象的受信任圈子 ID，例如 146,147。
标记名称过滤条件 CSV 不适用 否 与应在提取时使用的可观测对象关联的标记名称的英文逗号分隔列表，例如 Microsoft Credentials, Phishing。
来源 Feed 分组 复选框 尚未核查 否 启用后，连接器会将来自同一来源的可观测对象归入同一 Google SecOps 提醒。
提取回溯天数上限 整数 1 否

检索可观测对象时要回溯的天数。

此参数可应用于您首次启用连接器后的初始连接器迭代，或应用于过期连接器时间戳的后备值。
每个提醒的可观测对象数量上限 整数 100 否 Google SecOps 提醒中要包含的可观测对象数量。 允许的最大值为 200。
Use whitelist as a blacklist 复选框 尚未核查 是

如果选中，连接器会将动态列表用作屏蔽名单。
验证 SSL 复选框 尚未核查 是 如果选中此选项，则集成会在连接到 Anomali ThreatStream 服务器时验证 SSL 证书。
代理服务器地址 字符串 不适用 否 要使用的代理服务器的地址。
代理用户名 字符串 不适用 否 用于进行身份验证的代理用户名。
代理密码 密码 不适用 否 用于进行身份验证的代理密码。

连接器规则

此连接器支持代理。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。