将 Anomali 与 Google SecOps 集成

本文档介绍了如何将 Anomali 与 Google Security Operations (Google SecOps) 集成。

准备工作

如需获取个人 API 密钥，请完成以下步骤：

  1. 登录您的 Anomali ThreatStream 账号。

  2. 点击我的 API 密钥。

  3. 复制 API 密钥值，并将其粘贴到 Google SecOps 的配置实例对话框中的“API 密钥”参数字段中。

网络

函数 默认端口 方向 协议
API 多个值 出站 apikey

集成参数

使用以下参数配置集成：

参数名称 类型 默认值 为必填项 说明
实例名称 字符串 不适用 否 您要为其配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 https://api.threatstream.com/api 是 Anomali 实例的地址。
用户名 字符串 user@domain.com 是 应使用该用户的电子邮件地址连接到 Anomali。
密码 密码 不适用 是 相应用户的密码。
API 密钥 字符串 不适用 是 在 AlienVault 控制台中生成的 API 密钥。
远程运行 复选框 尚未核查 否 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

获取威胁信息

使用 Anomali ThreatStream 中的信息丰富实体。支持的实体： IP、网址、哈希、电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数

参数名称 类型 默认值 为必填项 说明
限制 字符串 10 是 指定每个实体要返回的记录数。
严重级别阈值 DDL

中

可能的值：

  • 非常高
  • 高
  • 中
  • 低
 否 指定实体的严重级别阈值，以便将其标记为可疑。如果针对同一实体找到多条记录，操作将采用所有可用记录中的最高严重级别。
置信度阈值 整数 50 否 指定实体的置信度阈值，以便将其标记为可疑。注意：上限为 100。如果为实体找到多条记录，操作将取平均值。有效记录具有优先权。默认值：50。
忽略误报状态 复选框 尚未核查 否 如果启用，操作将忽略假正例状态，并根据严重程度阈值和置信度阈值将实体标记为可疑。如果停用，则无论假正例实体是否通过严重程度阈值和置信度阈值条件，操作都不会将其标记为可疑。

运行时间

此操作将在以下实体上运行：

  • IP 地址
  • 网址
  • 哈希
  • 邮箱（与邮箱正则表达式匹配的用户实体）

操作结果

实体丰富化
名称 逻辑 - 应用场景
id 如果存在于 JSON 结果中，则返回
状态 如果存在于 JSON 结果中，则返回
itype 如果存在于 JSON 结果中，则返回
expiration_time 如果存在于 JSON 结果中，则返回
ip 如果存在于 JSON 结果中，则返回
feed_id 如果存在于 JSON 结果中，则返回
智能体 如果存在于 JSON 结果中，则返回
uuid 如果存在于 JSON 结果中，则返回
retina_confidence 如果存在于 JSON 结果中，则返回
trusted_circle_ids 如果存在于 JSON 结果中，则返回
来源 如果存在于 JSON 结果中，则返回
纬度 如果存在于 JSON 结果中，则返回
类型 如果存在于 JSON 结果中，则返回
说明 如果存在于 JSON 结果中，则返回
标签 如果存在于 JSON 结果中，则返回
threat_score 如果存在于 JSON 结果中，则返回
source_confidence 如果存在于 JSON 结果中，则返回
modification_time 如果存在于 JSON 结果中，则返回
org_name 如果存在于 JSON 结果中，则返回
asn 如果存在于 JSON 结果中，则返回
creation_time 如果存在于 JSON 结果中，则返回
tlp 如果存在于 JSON 结果中，则返回
国家/地区 如果存在于 JSON 结果中，则返回
longitude 如果存在于 JSON 结果中，则返回
severity 如果存在于 JSON 结果中，则返回
subtype 如果存在于 JSON 结果中，则返回
脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False
JSON 结果
    {
        "Entity": "ENTITY_ID",
        "EntityResult": {
            "Info": [{
                "source_created": null,
                "status": "inactive",
                "itype": "mal_domain",
                "expiration_ts": "2020-11-28T13:29:57.000Z",
                "ip": "192.0.2.1",
                "is_editable": false,
                "feed_id": 1111111,
                "update_id": 1111111111,
                "longitude": -0.1223454,
                "is_public": true,
                "threat_type": "malware",
                "workgroups": [],
                "rdns": null,
                "confidence": 11111,
                "uuid": "UUID",
                "retina_confidence": 1111111,
                "trusted_circle_ids": null,
                "id": 111111111111111110000,
                "source": "COVID19 Cyber Threat Coalition Blocklist - Domains",
                "owner_organization_id": 111,
                "import_session_id": null,
                "source_modified": null,
                "type": "domain",
                "sort": [1607193157800, "56224953198"],
                "description": null,
                "tags": [{
                    "id": "wu6",
                    "name": "Blocklist"
                }, {
                    "id": "pvj",
                    "name": "Coronavirus"
                }, {
                    "id": "01i",
                    "name": "COVID-19"
                }, {
                    "id": "o70",
                    "name": "Malicious"
                }, {
                    "id": "fk0",
                    "name": "Source:COVID19-Cyber-Threat-Coalition"
                }],
                "threatscore": 11111,
                "source_reported_confidence": 11111,
                "modified_ts": "2020-12-05T18:32:37.800Z",
                "org": "Namecheap",
                "asn": "11111111",
                "created_ts": "2020-10-29T13:33:24.904Z",
                "tlp": null,
                "is_anonymous": false,
                "latitude": 51.4964,
                "country": "GB",
                "can_add_public_tags": false,
                "value": "VALUE",
                "subtype": null,
                "meta": {
                    "registration_updated": "2020-10-24T22:16:59+00:00",
                    "detail2": "bifocals_deactivated_on_2020-12-05_18:30:00.085789",
                    "severity": "high",
                    "registration_created": "2020-10-24T22:16:42+00:00"
                },
                "resource_uri": "/api/v2/intelligence/"
            }],
            "Campaigns": [{
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.200283",
                    "from_id": "ID"
                }],
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-15T04:24:55.428496",
                "end_date": "2020-03-23T16:05:00.761000",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:19.892072",
                "name": "Coronavirus (COVID-19)",
                "objective": null,
                "organization": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "publication_status": "published",
                "published_ts": "2020-04-06T21:40:24.452312",
                "resource_uri": "/api/v1/campaign/",
                "source_created": null,
                "source_modified": null,
                "start_date": "2020-01-30T13:10:00.070000",
                "status": {
                    "display_name": "Ongoing",
                    "id": 1,
                    "resource_uri": "/api/v1/campaignstatus/1/"
                },
                "tags": ["Malware", "Fraud", "Phishing", "COVID-19", "Coronavirus", "Scams"],
                "tags_v2": [{
                    "id": "wqe",
                    "name": "Coronavirus"
                }, {
                    "id": "hlg",
                    "name": "COVID-19"
                }, {
                    "id": "74i",
                    "name": "Phishing"
                }, {
                    "id": "0y2",
                    "name": "Malware"
                }, {
                    "id": "u63",
                    "name": "Scams"
                }, {
                    "id": "1er",
                    "name": "Fraud"
                }],
                "tlp": "white",
                "uuid": "UUID",
                "workgroups": []
            }],
            "Tip": [{
                "all_circles_visible": true,
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.212118",
                    "from_id": "ID"
                }],
                "body_content_type": "richtext",
                "campaign": null,
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-19T04:23:35.714929",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_editable": true,
                "is_email": false,
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:20.061912",
                "name": "Coronavirus (COVID-19) Cyber Threats",
                "original_source": null,
                "original_source_id": null,
                "owner_org": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "parent": null,
                "published_ts": "2020-05-25T18:39:36.890647",
                "resource_uri": "/api/v1/ID/",
                "source_created": null,
                "source_modified": null,
                "starred_by_me": false,
                "starred_total_count": 5,
                "status": "published",
                "tags": ["Scams", "HCL-", "Malware"],
                "tags_v2": [{
                    "id": "ID",
                    "name": "Coronavirus"
                }, {
                    "id": "ID",
                    "name": "COVID-19"
                }, {
                    "id": "ID",
                    "name": "Phishing"
                }],
                "threat_actor": null,
                "tlp": "white",
                "ttp": null,
                "uuid": "UUID",
                "votes": {
                    "me": null,
                    "total": 0
                },
                "watched_by_me": false,
                "watched_total_count": 11111,
                "workgroups": []
            }],
            "Actors": [],
            "Incidents": [],
            "TTP": []
        }
    }
案例墙
结果类型 说明 类型
输出消息*

如果一个实体有可用数据 (is_success=true)：“已成功从 Anomali ThreatStream 返回以下实体的信息：{entity.identifier}”

如果某个实体没有可用数据 (is_success=true)：“操作无法从 Anomali ThreatStream 返回以下实体的信息：{entity.identifier}”

如果并非所有实体都可用 (is_success=false)：“未扩充任何实体。

严重错误（失败）：执行操作“获取威胁信息”时出错。原因：{error traceback}”

 常规

Ping

测试与 Anomali ThreatStream 的连接。

参数

不适用

运行时间

此操作会在所有实体上运行。

操作结果

脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False

从 Anomali ThreatStream 检索实体相关关联。

参数

参数名称 类型 默认值 为必填项 说明
退货广告系列 复选框 勾选 否 如果启用，操作将提取相关广告系列及其详细信息。
返回威胁公告 复选框 勾选 否 如果启用，操作将提取相关威胁公告及其详细信息。
回归演员 复选框 勾选 否 如果启用，操作将提取相关演员及其详细信息。
返回攻击模式 复选框 勾选 否 如果启用，操作将提取相关的攻击模式及其详细信息。
退货操作过程 复选框 勾选 否 如果启用，操作将提取相关行动方案及其详细信息。
退货身份 复选框 勾选 否 如果启用，操作将提取相关身份及其详细信息。
退货突发事件 复选框 勾选 否 如果启用，操作将提取相关突发事件及其详细信息。
退货基础设施 复选框 勾选 否 如果启用，操作将提取相关基础设施及其详细信息。
返回入侵集 复选框 勾选 否 如果启用，操作将提取相关的入侵集及其详细信息。
返回恶意软件 复选框 勾选 否 如果启用，此操作将提取相关恶意软件及其详细信息。
返回签名 复选框 勾选 否 如果启用，操作将提取相关签名及其详细信息。
退货工具 复选框 勾选 否 如果启用，操作将提取相关工具及其详细信息。
退货 TTP 复选框 勾选 否 如果启用，操作将提取相关 TTP 及其详细信息。
返回漏洞 复选框 勾选 否 如果启用，操作将提取相关漏洞及其详细信息。
创建广告系列实体 复选框 尚未核查 否 如果启用，操作将根据可用的广告系列关联创建实体。
创建 Actors 实体 复选框 尚未核查 否 如果启用，操作将根据可用的 Actor 关联创建实体。
创建签名实体 复选框 尚未核查 否 如果启用，操作将根据可用的签名关联创建实体。
创建漏洞实体 复选框 尚未核查 否 如果启用，此操作将根据可用的漏洞关联创建实体。
返回的关联数量上限 整数 5 否 指定每种类型要返回的关联数量。

运行时间

此操作将在以下实体上运行：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件

操作结果

脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False
JSON 结果
{
    "campaign": [
        {
            "name": "Example 1",
            "id": 1
        },
        {
            "name": "Example 2",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少找到一个跨实体关联 (is_success=true)：“已成功从 Anomali 检索到相关关联”

如果未找到任何关联 (is_success=false)：“未找到任何相关关联。”

异步消息：“正在等待检索所有关联详细信息”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器等），则会显示以下消息：“执行‘获取相关关联’操作时出错。Reason: {0}''.format(error.Stacktrace)

 常规
案例墙表格

表格名称：“相关关联对象”

表列：

  • ID
  • 名称
  • 类型
  • 状态

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。