Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

將 Anomali ThreatStream 與 Google SecOps 整合

本文說明如何將 Anomali ThreatStream 與 Google Security Operations (Google SecOps) 整合。

整合參數

請使用下列參數設定整合：

參數名稱	類型	預設值	為必填	說明
Web Root	字串	https://siemplify.threatstream.com	是	Anomali ThreatStream 執行個體的網頁根目錄。這個參數用於建立整合項目之間的報表連結。
API 根層級	字串	https://api.threatstream.com	是	Anomali ThreatStream 執行個體的 API 根層級。
電子郵件地址	字串	不適用	是	Anomali ThreatStream 帳戶的電子郵件地址。
API 金鑰	密碼	不適用	是	Anomali ThreatStream 帳戶的 API 金鑰。
驗證 SSL	核取方塊	已勾選	是	如果啟用，系統會驗證連至 Anomali ThreatStream 伺服器的 SSL 憑證是否有效。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「在工作區回應待處理動作」和「在案件中執行手動動作」。

為實體新增標記

在 Anomali ThreatStream 中為實體新增標記。

參數

參數名稱	類型	預設值	為必填	說明
標記	CSV	不適用	是	指定要新增至 Anomali ThreatStream 實體的標記清單，並以半形逗號分隔。

執行日期

這項動作會對下列實體執行：

雜湊
IP 位址
網址
電子郵件

動作結果

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

案件總覽

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功，且在實體中找到至少一個雜湊 (is_success=true)： "Successfully added tags to the following entities in Anomali ThreatStream:\n{0}".format(entity.identifier list) 如果找不到特定實體 (is_success=true)：「在 Anomali ThreatStream 中找不到下列實體\n：{0}」。format([entity.identifier]) 如果找不到所有實體 (is_success=false)：「找不到任何提供的實體。」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『將標記新增至實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)	一般

結果類型

說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (is_success=true)： "Successfully added tags to the following entities in Anomali ThreatStream:\n{0}".format(entity.identifier list)

如果找不到特定實體 (is_success=true)：「在 Anomali ThreatStream 中找不到下列實體\n：{0}」。format([entity.identifier])

如果找不到所有實體 (is_success=false)：「找不到任何提供的實體。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『將標記新增至實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

一般

充實實體

從 Anomali ThreatStream 擷取 IP、網址、雜湊、電子郵件地址的相關資訊。

參數

參數名稱	類型	預設值	為必填	說明
嚴重性門檻	DDL	低可能的值包括：極高高中低	是	指定實體的嚴重性門檻，達到該門檻就會標示為可疑。如果同一個實體有多筆記錄，系統會根據所有可用記錄中嚴重程度最高的記錄採取行動。
可信度門檻	整數	不適用	是	指定實體的可信度門檻，超過這個門檻就會標示為可疑。注意：上限為 100。如果實體有多筆記錄，系統會取平均值。有效記錄會優先顯示。
忽略誤判狀態	核取方塊	已取消勾選	否	如果啟用，動作會忽略偽陽性狀態，並根據嚴重性門檻和信賴度門檻，將實體標示為可疑。如果停用，無論是否通過嚴重程度門檻和「可信度門檻」條件，動作都不會將偽陽性實體標示為可疑。
將威脅類型新增至案件	核取方塊	已取消勾選	否	如果啟用，這項動作會將所有記錄中實體的威脅類型，新增為案件的標記。範例：apt
僅限可疑實體洞察	核取方塊	已取消勾選	是	如果啟用，動作只會為超過嚴重性門檻和可信度門檻的實體建立洞察。
建立洞察	核取方塊	已取消勾選	是	啟用後，系統會為每個處理過的實體新增一項深入分析。

執行日期

這項動作會對下列實體執行：

雜湊
IP 位址
網址
電子郵件

動作結果

JSON 結果

以下範例顯示使用「Enrich Entities」動作時，收到的 JSON 結果輸出內容：

{
  "results": [
    {
      "Entity": "8f42a5a1f2e1a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6g7h8",
      "EntityResult": [
        {
          "target_industry": [],
          "source": "Threat Intelligence Provider",
          "threatscore": 68,
          "threat_type": "malware",
          "trusted_circle_ids": [
            0
          ],
          "description": "Malware indicator description",
          "workgroups": [],
          "sort": [
            1713616121740,
            10000000001
          ],
          "resource_uri": "/api/v2/intelligence/10000000001/",
          "modified_ts": "2024-04-20T12:28:41.740Z",
          "update_id": 11111111111,
          "source_reported_confidence": 75,
          "type": "hash",
          "uuid": "00000000-0000-0000-0000-000000000000",
          "feed_id": 0,
          "retina_confidence": -1,
          "created_ts": "2024-04-20T12:14:12.356Z",
          "subtype": "SHA256",
          "id": 10000000001,
          "value": "8f42a5a1f2e1a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6g7h8",
          "itype": "mal_hash",
          "org": "ORG_NAME",
          "confidence": 75,
          "expiration_ts": "9999-12-31T00:00:00.000Z",
          "owner_organization_id": 0,
          "meta": {
            "severity": "medium",
            "detail2": "imported by system process"
          },
          "is_anonymous": true,
          "is_public": false,
          "asn": "",
          "status": "active",
          "can_add_public_tags": false,
          "tlp": "amber",
          "created_by": null,
          "rdns": null,
          "is_editable": false,
          "locations": [],
          "source_locations": [],
          "report_link": "https://threatstream.example.com/detail/hash/8f42a5a1f2e1a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6g7h8",
          "is_risky": true
        }
      ]
    },
    {
      "Entity": "e99a18c428cb38d5f260853678922e03",
      "EntityResult": [
        {
          "target_industry": [],
          "source": "Threat Intelligence Provider",
          "threatscore": 68,
          "threat_type": "malware",
          "trusted_circle_ids": [
            0
          ],
          "description": null,
          "workgroups": [],
          "sort": [
            1713615301656,
            10000000002
          ],
          "resource_uri": "/api/v2/intelligence/10000000002/",
          "modified_ts": "2024-04-20T12:15:01.656Z",
          "update_id": 11111111112,
          "source_reported_confidence": 75,
          "type": "md5",
          "uuid": "00000000-0000-0000-0000-000000000001",
          "feed_id": 0,
          "retina_confidence": -1,
          "created_ts": "2024-04-20T12:14:12.351Z",
          "subtype": "MD5",
          "id": 10000000002,
          "value": "e99a18c428cb38d5f260853678922e03",
          "itype": "mal_md5",
          "org": "ORG_NAME",
          "confidence": 75,
          "expiration_ts": "9999-12-31T00:00:00.000Z",
          "owner_organization_id": 0,
          "meta": {
            "severity": "medium",
            "detail2": "imported by system process"
          },
          "is_anonymous": true,
          "is_public": false,
          "asn": "",
          "status": "active",
          "can_add_public_tags": false,
          "tlp": "amber",
          "created_by": null,
          "rdns": null,
          "is_editable": false,
          "locations": [],
          "source_locations": [],
          "report_link": "https://threatstream.example.com/detail/hash/e99a18c428cb38d5f260853678922e03",
          "is_risky": true
        }
      ]
    }
  ],
  "is_risky": true
}

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

實體擴充

補充資料欄位名稱	邏輯 - 應用時機
id	JSON 格式 (如有)
狀態	JSON 格式 (如有)
itype	JSON 格式 (如有)
expiration_time	JSON 格式 (如有)
ip	JSON 格式 (如有)
feed_id	JSON 格式 (如有)
代理	JSON 格式 (如有)
uuid	JSON 格式 (如有)
retina_confidence	JSON 格式 (如有)
trusted_circle_ids	JSON 格式 (如有)
來源	JSON 格式 (如有)
latitude	JSON 格式 (如有)
類型	JSON 格式 (如有)
說明	JSON 格式 (如有)
標記	JSON 格式 (如有)
threat_score	JSON 格式 (如有)
source_confidence	JSON 格式 (如有)
modification_time	JSON 格式 (如有)
org_name	JSON 格式 (如有)
asn	JSON 格式 (如有)
creation_time	JSON 格式 (如有)
tlp	JSON 格式 (如有)
國家/地區	JSON 格式 (如有)
longitude	JSON 格式 (如有)
嚴重性	JSON 格式 (如有)
subtype	JSON 格式 (如有)
報表	JSON 格式 (如有)

案件總覽

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功，且至少有一個提供的實體已擴充 (is_success=true)：「已成功使用 Anomali ThreatStream 擴充下列實體：\n {0}」。format(entity.identifier list) 如果無法擴充特定實體 (is_success=true)：「動作無法使用 Anomali ThreatStream 擴充下列實體\n：{0}」。format([entity.identifier]) 如果無法擴充所有實體 (is_success=false)：「未擴充任何實體。」動作應失敗並停止執行應對手冊：如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『擴充實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果「Confidence Threshold」參數不在 0 至 100 的範圍內：「'Confidence Threshold' value should be in range from 0 to 100.」	一般
案件總覽表格	資料表名稱：相關分析連結：{entity_identifier} 表格欄：名稱連結	一般
案件總覽表格	根據擴充表格設定鍵	實體

結果類型

說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且至少有一個提供的實體已擴充 (is_success=true)：「已成功使用 Anomali ThreatStream 擴充下列實體：\n {0}」。format(entity.identifier list)

如果無法擴充特定實體 (is_success=true)：「動作無法使用 Anomali ThreatStream 擴充下列實體\n：{0}」。format([entity.identifier])

如果無法擴充所有實體 (is_success=false)：「未擴充任何實體。」

動作應失敗並停止執行應對手冊：

如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『擴充實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 至 100 的範圍內：「'Confidence Threshold' value should be in range from 0 to 100.」

一般

案件總覽表格

資料表名稱：相關分析連結：{entity_identifier}

表格欄：

名稱
連結

一般

案件總覽表格

根據擴充表格設定鍵

實體

取得相關關聯

從 Anomali ThreatStream 擷取實體相關關聯。

參數

參數名稱	類型	預設值	為必填	說明
退貨廣告活動	核取方塊	已勾選	否	如果啟用，動作會擷取相關廣告活動和詳細資料。
傳回威脅公告	核取方塊	已勾選	否	如果啟用，這項動作會擷取相關威脅公告和詳細資料。
傳回 Actor	核取方塊	已勾選	否	如果啟用，動作會擷取相關執行者和詳細資料。
返回攻擊模式	核取方塊	已勾選	否	如果啟用，動作會擷取相關攻擊模式和詳細資料。
傳回安全防護程序	核取方塊	已勾選	否	如果啟用，動作就會擷取相關應對措施和詳細資料。
傳回身分	核取方塊	已勾選	否	如果啟用，動作會擷取相關身分和詳細資料。
退貨事件	核取方塊	已勾選	否	如果啟用，動作會擷取相關事件和詳細資料。
退貨基礎架構	核取方塊	已勾選	否	如果啟用，動作會擷取相關基礎架構和詳細資料。
傳回入侵集	核取方塊	已勾選	否	如果啟用，這項動作會擷取相關入侵集和詳細資料。
退回惡意軟體	核取方塊	已勾選	否	如果啟用，這項動作會擷取相關惡意軟體和詳細資料。
傳回簽名	核取方塊	已勾選	否	如果啟用，動作會擷取相關簽章和詳細資料。
退貨工具	核取方塊	已勾選	否	啟用後，動作會擷取相關工具和詳細資料。
傳回 TTP	核取方塊	已勾選	否	如果啟用，這項動作會擷取相關 TTP 和詳細資料。
傳回安全漏洞	核取方塊	已勾選	否	如果啟用，動作會擷取相關安全漏洞和詳細資料。
建立廣告活動實體	核取方塊	已取消勾選	否	啟用後，這項動作會根據可用的廣告活動關聯建立實體。
建立 Actors 實體	核取方塊	已取消勾選	否	啟用後，動作會根據可用的執行者關聯建立實體。
建立簽名實體	核取方塊	已取消勾選	否	啟用後，這項動作會根據可用的簽名關聯建立實體。
建立安全漏洞實體	核取方塊	已取消勾選	否	啟用後，這項動作會根據可用的安全漏洞關聯建立實體。
建立洞察	核取方塊	已勾選	否	如果啟用，動作會根據結果建立洞察。
建立案件標記	核取方塊	已取消勾選	否	啟用後，這項動作會根據結果建立案件標記。
要傳回的關聯數量上限	整數	5	否	指定每種類型要傳回的關聯數量。預設值：5
要傳回的統計資料數量上限	整數	3	否	指定要傳回多少筆 IOC 相關熱門統計資料結果。注意：這項動作最多會處理 1,000 個與關聯項目相關的 IOC。如果提供 `0`，動作就不會嘗試擷取統計資料。

執行日期

這項動作會對下列實體執行：

雜湊
IP 位址
網址
電子郵件

動作結果

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

JSON 結果

{
    "campaign": [
        {
            "name": "Example 1",
            "id": 1
        },
        {
            "name": "Example 2",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}

案件總覽

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功，且找到至少一個實體間的關聯 (is_success=true)：「Successfully retrieved related associations from Anomali ThreatStream」如果找不到任何關聯 (is_success=false)：「找不到相關關聯。」非同步訊息：「正在等待擷取所有關聯詳細資料」動作應失敗並停止執行應對手冊：如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關關聯』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)	一般
案件總覽表格	表格名稱：「相關關聯項目」表格欄： ID 名稱類型狀態

結果類型

說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且找到至少一個實體間的關聯 (is_success=true)：「Successfully retrieved related associations from Anomali ThreatStream」

如果找不到任何關聯 (is_success=false)：「找不到相關關聯。」

非同步訊息：「正在等待擷取所有關聯詳細資料」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關關聯』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

一般

案件總覽表格

表格名稱：「相關關聯項目」

表格欄：

ID
名稱
類型
狀態

取得相關實體

根據 Anomali ThreatStream 中的關聯，擷取相關實體。

參數

參數名稱	類型	預設值	為必填	說明
可信度門檻	整數	不適用	是	指定可信度門檻。上限為 100。
搜尋威脅公告	核取方塊	已勾選	否	啟用後，動作會搜尋威脅公告。
搜尋發動者	核取方塊	已勾選	否	如果啟用，動作會搜尋演員。
搜尋攻擊模式	核取方塊	已勾選	否	啟用後，動作會搜尋攻擊模式。
搜尋廣告活動	核取方塊	已勾選	否	如果啟用，動作會搜尋廣告活動。
搜尋安全防護程序	核取方塊	已勾選	否	如果啟用，動作會搜尋行動方案。
搜尋身分	核取方塊	已勾選	否	啟用後，動作會搜尋身分。
搜尋事件	核取方塊	已勾選	否	啟用後，動作會搜尋事件。
搜尋基礎架構	核取方塊	已勾選	否	如果啟用，動作會搜尋基礎架構。
搜尋入侵集	核取方塊	已勾選	否	啟用後，動作會搜尋入侵集。
搜尋惡意軟體	核取方塊	已勾選	否	啟用後，動作會搜尋惡意軟體。
搜尋簽名	核取方塊	已勾選	否	啟用後，動作會搜尋簽章。
搜尋工具	核取方塊	已勾選	否	啟用後，動作會搜尋工具。
搜尋 TTP	核取方塊	已勾選	否	啟用後，動作會搜尋 TTP。
搜尋安全漏洞	核取方塊	已勾選	否	啟用後，動作會搜尋安全漏洞。
要傳回的實體數量上限	整數	50	否	指定每個實體類型要傳回的實體數量。

執行日期

這項動作會對下列實體執行：

雜湊
IP 位址
網址
電子郵件 (與電子郵件規則運算式相符的使用者實體)
威脅發動者
CVE

動作結果

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

JSON 結果

{
"{}_hashes.format(subtype)": [""],
"all_hashes": ["md5hash_1"],
"domains": [""]
"urls": []
"emails": []
"ips": []
}

案件總覽

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功，且在實體中找到至少一個雜湊 (is_success=true)：「Successfully retrieved related hashes from Anomali ThreatStream」如果找不到雜湊 (is_success=false)：「找不到相關雜湊。」動作應失敗並停止執行應對手冊：如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關雜湊』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果「Confidence Threshold」參數不在 0 到 100 的範圍內：「『Confidence Threshold』值應介於 0 到 100 之間。」	一般

結果類型

說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (is_success=true)：「Successfully retrieved related hashes from Anomali ThreatStream」

如果找不到雜湊 (is_success=false)：「找不到相關雜湊。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關雜湊』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 到 100 的範圍內：「『Confidence Threshold』值應介於 0 到 100 之間。」

一般

乒乓

測試與 Anomali ThreatStream 的連線。

參數

不適用

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作結果

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

案件總覽

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功：「已成功使用提供的連線參數連線至 Anomali ThreatStream 伺服器！」動作應失敗並停止執行應對手冊：如果未成功：「無法連線至 Anomali ThreatStream 伺服器！錯誤為 {0}".format(exception.stacktrace)	一般

結果類型

說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功：「已成功使用提供的連線參數連線至 Anomali ThreatStream 伺服器！」

動作應失敗並停止執行應對手冊：

如果未成功：「無法連線至 Anomali ThreatStream 伺服器！錯誤為 {0}".format(exception.stacktrace)

一般

移除實體的標記

移除 Anomali ThreatStream 中實體的標記。支援的實體：雜湊、網址、IP 位址、電子郵件地址 (與電子郵件規則運算式相符的使用者實體)。

參數

參數名稱	類型	預設值	為必填	說明
標記	CSV	不適用	是	指定要從 Anomali ThreatStream 實體中移除的標記清單，並以半形逗號分隔。

執行日期

這項動作會對下列實體執行：

雜湊
IP 位址
網址
電子郵件

動作結果

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

案件總覽

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功且至少有一個標記從一個實體中移除 (is_success=true)：「已成功從 Anomali ThreatStream 中的「{entity.identifier}」實體移除下列標記：\n{0}」。format(tags) 如果找不到實體的某個標記 (is_success=true)：「下列標記原本就不屬於 Anomali ThreatStream 中的『{entity.identifier}』實體：\n{0}」。format(tags) 如果找不到某個實體的所有標記 (is_success=true)：「提供的標記都不屬於 Anomali ThreatStream 中的『{entity.identifier}』實體。」如果找不到一個實體 (is_success=true)：「在 Anomali ThreatStream 中找不到下列實體\n：{0}」。format([entity.identifier]) 如果找不到所有實體 (is_success=false)：「找不到任何提供的實體。」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等，系統會回報：「執行『從實體中移除標記』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)	一般

結果類型

說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功且至少有一個標記從一個實體中移除 (is_success=true)：「已成功從 Anomali ThreatStream 中的「{entity.identifier}」實體移除下列標記：\n{0}」。format(tags)

如果找不到實體的某個標記 (is_success=true)：「下列標記原本就不屬於 Anomali ThreatStream 中的『{entity.identifier}』實體：\n{0}」。format(tags)

如果找不到某個實體的所有標記 (is_success=true)：「提供的標記都不屬於 Anomali ThreatStream 中的『{entity.identifier}』實體。」

如果找不到一個實體 (is_success=true)：「在 Anomali ThreatStream 中找不到下列實體\n：{0}」。format([entity.identifier])

如果找不到所有實體 (is_success=false)：「找不到任何提供的實體。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等，系統會回報：「執行『從實體中移除標記』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

一般

回報為誤判

將 Anomali ThreatStream 中的實體回報為偽陽性。支援的實體：雜湊、網址、IP 位址、電子郵件地址 (與電子郵件規則運算式相符的使用者實體)。

參數

參數名稱	類型	預設值	為必填	說明
原因	字串	不適用	是	請說明將實體標示為誤判的原因。
註解	字串	不適用	是	請提供其他資訊，說明您為何決定將實體標示為偽陽性。

執行日期

這項動作會對下列實體執行：

雜湊
IP 位址
網址
電子郵件地址 (與電子郵件規則運算式相符的使用者實體)

動作結果

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

案件總覽

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功，且在實體中找到至少一個雜湊 (is_success=true)： "Successfully reported the following entities as 偽陽性 in Anomali ThreatStream:\n{0}".format(entity.identifier list) 如果無法標示特定實體 (is_success=true)：「動作無法在 Anomali ThreatStream 中將下列實體回報為偽陽性：{0}」。format([entity.identifier]) 如果無法擴充所有實體 (is_success=false)：「沒有實體回報為偽陽性。」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『回報為誤判』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)	一般

結果類型

說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (is_success=true)： "Successfully reported the following entities as 偽陽性 in Anomali ThreatStream:\n{0}".format(entity.identifier list)

如果無法標示特定實體 (is_success=true)：「動作無法在 Anomali ThreatStream 中將下列實體回報為偽陽性：{0}」。format([entity.identifier])

如果無法擴充所有實體 (is_success=false)：「沒有實體回報為偽陽性。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『回報為誤判』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

一般

提交觀測項目

根據 IP、網址、雜湊、電子郵件實體，將觀測項目提交至 Anomali ThreatStream。支援的實體：雜湊、網址、IP 位址、電子郵件地址 (與電子郵件規則運算式相符的使用者實體)。

如何查看信任圈 ID

如要找出信任圈的 ID，請在 Anomali ThreatStream 上找出信任圈，然後按一下其名稱。網址列中顯示的網址會包含 ID，例如 https://siemplify.threatstream.com/search?trustedcircles=13.

參數

參數名稱	類型	預設值	為必填	說明
分類	DDL	私人可能的值包括：公開私人	是	指定觀測項目的分類。
威脅類型	DDL	APT 可能的值 APT 廣告軟體異常去識別化機器人 Brute C2 遭駭 Crypto 資料外洩 DDOS 動態 DNS 資料竊取漏洞攻擊詐欺駭客工具 I2P 參考用惡意軟體 P2P 已存放 Phish 掃描陷孔社群垃圾內容隱藏可疑 TOR VPS	是	指定觀測項目的威脅類型。
來源	字串	Siemplify	否	指定觀測項目的情報來源。
到期日期	整數	不適用	否	指定可觀測項目的到期日 (以天為單位)。如果未在此指定任何內容，動作會建立永不過期的觀測項目。
信任圈 ID	CSV	不適用	否	請指定信任圈 ID 清單，並以半形逗號分隔。系統會與這些信任圈分享可觀測項目。
TLP	DDL	請選取一項可能的值：請選取一項紅色綠色琥珀色白色	否	指定觀測項目的 TLP。
可信度	整數	不適用	否	指定觀測項目的可信度。注意：只有在貴組織建立觀測項目，並啟用「覆寫系統信賴度」時，這個參數才會生效。
覆寫系統信賴度	核取方塊	已取消勾選	否	如果啟用，建立的觀測項目會具有「信賴度」參數中指定的信賴度。注意：啟用這項參數後，就無法與信任圈和公開分享觀測項目。
匿名提交	核取方塊	已取消勾選	否	如果啟用，系統會匿名提交。
標記	CSV	不適用	否	指定要新增至觀測項目的標記，並以逗號分隔的清單表示。

執行日期

這項動作會對下列實體執行：

雜湊
IP 位址
網址
電子郵件

動作結果

指令碼執行結果

指令碼結果名稱	值選項	範例
is_success	True 或 False	is_success:False

JSON 結果

approved_jobs = [
    {
        "id":,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id":,
        "entity": {entity.identifier}
    }
]

案件總覽

結果類型說明類型

輸出訊息*

結果類型	說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功，且在實體中找到至少一個雜湊(is_success=true)：「Successfully submitted and approved the following entities in Anomali ThreatStream:\n{0}".format(entity.identifier list) 如果無法擴充部分實體 (遭拒實體) (is_success=true)：「動作無法成功提交並核准 Anomali ThreatStream 中的下列實體\n：{0}」。format([entity.identifier]) 如果無法為所有實體充實資料 (is_success=false)：「未成功將任何實體提交至 Anomali ThreatStream。」動作應失敗並停止執行應對手冊：如果回報了嚴重錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『提交觀測項目』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果回報 400 狀態碼：「Error executing action "Submit Observables". Reason: {0}''.format(message)	一般
	連結： `https://siemplify.threatstream.com/import/review/{jobid}`	實體

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊(is_success=true)：「Successfully submitted and approved the following entities in Anomali ThreatStream:\n{0}".format(entity.identifier list)

如果無法擴充部分實體 (遭拒實體) (is_success=true)：「動作無法成功提交並核准 Anomali ThreatStream 中的下列實體\n：{0}」。format([entity.identifier])

如果無法為所有實體充實資料 (is_success=false)：「未成功將任何實體提交至 Anomali ThreatStream。」

動作應失敗並停止執行應對手冊：

如果回報了嚴重錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『提交觀測項目』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 400 狀態碼：「Error executing action "Submit Observables". Reason: {0}''.format(message)

一般

連結：

https://siemplify.threatstream.com/import/review/{jobid}

實體

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Anomali ThreatStream - Observables 連接器

從 Anomali ThreatStream 提取觀測項目。

動態清單會使用來源名稱。

如要找出信任圈的 ID，請在 Anomali ThreatStream 上找到信任圈，然後按一下其名稱。網址列中顯示的網址會包含 ID，例如 https://siemplify.threatstream.com/search?trustedcircles=13。

連接器參數

使用下列參數設定連接器：

參數名稱	類型	預設值	為必填	說明
產品欄位名稱	字串	產品名稱	是	儲存產品名稱的欄位名稱。產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。預設值為 `Product Name`。
事件欄位名稱	字串	類型	是	決定事件名稱 (子類型) 的欄位名稱。
環境欄位名稱	字串	""	否	儲存環境名稱的欄位名稱。如果缺少環境欄位，連接器會使用預設值。
`Environment Regex Pattern`	字串	.*	否	規則運算式模式，用於對 `Environment Field Name` 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。使用預設值 `.*` 擷取必要的原始 `Environment Field Name` 值。如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒)	整數	300	是	執行目前指令碼的 Python 程序逾時限制。
API 根層級	字串	https://api.threatstream.com	是	Anomali ThreatStream 執行個體的 API 根目錄。
電子郵件地址	字串	不適用	是	Anomali ThreatStream 帳戶的電子郵件地址。
API 金鑰	密碼	不適用	是	Anomali ThreatStream 帳戶的 API 金鑰。
要擷取的最低嚴重性	字串	高	是	用於擷取觀測值的最低嚴重性。可能的值包括：低中高極高
要擷取的最低信賴度	整數	50	是	用於擷取觀測值的最低可信度。上限為 `100`。
來源動態饋給篩選器	CSV	不適用	否	列出要用於擷取觀測項目的動態饋給 ID，並以半形逗號分隔，例如 `515,4129`。
觀測項目類型篩選器	CSV	網址、網域、電子郵件、雜湊、IP、IPv6	否	以逗號分隔的清單，列出應擷取的觀測項目類型，例如 `URL, domain`。可能的值：`URL`、`domain`、`email`、`hash`、`ip`、`ipv6`
觀測項目狀態篩選器	CSV	有效	否	以半形逗號分隔的可觀測狀態清單，用於擷取新資料，例如 `active,inactive` 可能的值：`active`、`inactive`、`falsepos` 。
威脅類型篩選器	CSV	不適用	否	以半形逗號分隔的威脅類型清單，用於擷取觀測項目，例如 `adware,anomalous,anonymization,apt`。可能的值：`adware`、`anomalous`、`anonymization`、`apt`、`bot`、`brute`、`c2`、`compromised`、`crypto`、`data_leakage`、`ddos`、`dyn_dns`、`exfil`、`exploit`、`fraud`、`hack_tool`、`i2p`、`informational`、`malware`、`p2p`、`parked`、`phish`、`scan`、`sinkhole`、`spam`、`suppress`、`suspicious`、`tor`、`vps`
信任圈篩選器	CSV	不適用	否	列出要用於擷取可觀測項目的信任圈 ID，並以半形逗號分隔，例如 `146,147`。
標記名稱篩選器	CSV	不適用	否	以半形逗號分隔的標記名稱清單，與應與擷取作業搭配使用的觀測項目相關聯，例如 `Microsoft Credentials, Phishing`。
來源動態饋給分組	核取方塊	已取消勾選	否	啟用後，連接器會將來自相同來源的觀測項目，歸入同一個 Google SecOps 警告。
擷取資料的最早日期	整數	1	否	要擷取今天之前幾天的觀測項目。這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。
每則快訊的可觀測項目數量上限	整數	100	否	Google SecOps 警告中要納入的觀測項目數量。最多 200 個。
`Use whitelist as a blacklist`	核取方塊	已取消勾選	是	如果選取，連接器會將動態清單做為封鎖清單。
驗證 SSL	核取方塊	已取消勾選	是	如果選取，整合功能會在連線至 Anomali ThreatStream 伺服器時驗證 SSL 憑證。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼	不適用	否	用於驗證的 Proxy 密碼。

連接器規則

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。