整合 Anomali 與 Google SecOps

本文說明如何將 Anomali 與 Google Security Operations (Google SecOps) 整合。

事前準備

如要取得個人 API 金鑰，請完成下列步驟：

  1. 登入 Anomali ThreatStream 帳戶。

  2. 點選「我的 API 金鑰」。

  3. 複製 API 金鑰值，然後貼到 Google SecOps「Configure Instance」對話方塊的「Api Key」參數欄位。

網路

函式 預設通訊埠 方向 通訊協定
API 多重值 傳出 apikey

整合參數

請使用下列參數設定整合：

參數名稱 類型 預設值 為必填 說明
執行個體名稱 字串 不適用 否 要設定整合的執行個體名稱。
說明 字串 不適用 否 執行個體的說明。
API 根 字串 https://api.threatstream.com/api 是 Anomali 執行個體的位址。
使用者名稱 字串 user@domain.com 是 使用者的電子郵件地址，用於連線至 Anomali。
密碼 密碼 不適用 是 對應使用者的密碼。
API 金鑰 字串 不適用 是 在 AlienVault 控制台產生的 API 金鑰。
遠端執行 核取方塊 已取消勾選 否 勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

取得威脅資訊

使用 Anomali ThreatStream 的資訊充實實體。支援的實體：IP、網址、雜湊、電子郵件地址 (符合電子郵件規則運算式的使用者實體)。

參數

參數名稱 類型 預設值 為必填 說明
限制 字串 10 是 指定每個實體要傳回的記錄數量。
嚴重性門檻 DDL

中

可能的值包括：

  • 極高
  • 高
  • 中
  • 低
 否 指定實體的嚴重性門檻，達到該門檻就會標示為可疑。如果同一個實體有多筆記錄，系統會根據所有可用記錄中嚴重程度最高的記錄採取行動。
可信度門檻 整數 50 否 指定實體的可信度門檻，超過這個門檻就會標示為可疑。注意：上限為 100。如果實體有多筆記錄，系統會取平均值。有效記錄會優先顯示。預設值：50。
忽略誤判狀態 核取方塊 已取消勾選 否 如果啟用，動作會忽略偽陽性狀態，並根據嚴重性門檻和信賴度門檻，將實體標示為可疑。如果停用，無論是否通過嚴重性門檻和可信度門檻條件，動作都不會將偽陽性實體標示為可疑。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 網址
  • 雜湊
  • 電子郵件地址 (符合電子郵件規則運算式的使用者實體)

動作結果

實體擴充
名稱 邏輯 - 應用時機
id 如果 JSON 結果中存在，則傳回
狀態 如果 JSON 結果中存在，則傳回
itype 如果 JSON 結果中存在，則傳回
expiration_time 如果 JSON 結果中存在，則傳回
ip 如果 JSON 結果中存在，則傳回
feed_id 如果 JSON 結果中存在，則傳回
代理 如果 JSON 結果中存在，則傳回
uuid 如果 JSON 結果中存在，則傳回
retina_confidence 如果 JSON 結果中存在，則傳回
trusted_circle_ids 如果 JSON 結果中存在，則傳回
來源 如果 JSON 結果中存在，則傳回
latitude 如果 JSON 結果中存在，則傳回
類型 如果 JSON 結果中存在，則傳回
說明 如果 JSON 結果中存在，則傳回
標記 如果 JSON 結果中存在，則傳回
threat_score 如果 JSON 結果中存在，則傳回
source_confidence 如果 JSON 結果中存在，則傳回
modification_time 如果 JSON 結果中存在，則傳回
org_name 如果 JSON 結果中存在，則傳回
asn 如果 JSON 結果中存在，則傳回
creation_time 如果 JSON 結果中存在，則傳回
tlp 如果 JSON 結果中存在，則傳回
國家/地區 如果 JSON 結果中存在，則傳回
longitude 如果 JSON 結果中存在，則傳回
嚴重性 如果 JSON 結果中存在，則傳回
subtype 如果 JSON 結果中存在，則傳回
指令碼執行結果
指令碼結果名稱 值選項 範例
成功 True 或 False success:False
JSON 結果
    {
        "Entity": "ENTITY_ID",
        "EntityResult": {
            "Info": [{
                "source_created": null,
                "status": "inactive",
                "itype": "mal_domain",
                "expiration_ts": "2020-11-28T13:29:57.000Z",
                "ip": "192.0.2.1",
                "is_editable": false,
                "feed_id": 1111111,
                "update_id": 1111111111,
                "longitude": -0.1223454,
                "is_public": true,
                "threat_type": "malware",
                "workgroups": [],
                "rdns": null,
                "confidence": 11111,
                "uuid": "UUID",
                "retina_confidence": 1111111,
                "trusted_circle_ids": null,
                "id": 111111111111111110000,
                "source": "COVID19 Cyber Threat Coalition Blocklist - Domains",
                "owner_organization_id": 111,
                "import_session_id": null,
                "source_modified": null,
                "type": "domain",
                "sort": [1607193157800, "56224953198"],
                "description": null,
                "tags": [{
                    "id": "wu6",
                    "name": "Blocklist"
                }, {
                    "id": "pvj",
                    "name": "Coronavirus"
                }, {
                    "id": "01i",
                    "name": "COVID-19"
                }, {
                    "id": "o70",
                    "name": "Malicious"
                }, {
                    "id": "fk0",
                    "name": "Source:COVID19-Cyber-Threat-Coalition"
                }],
                "threatscore": 11111,
                "source_reported_confidence": 11111,
                "modified_ts": "2020-12-05T18:32:37.800Z",
                "org": "Namecheap",
                "asn": "11111111",
                "created_ts": "2020-10-29T13:33:24.904Z",
                "tlp": null,
                "is_anonymous": false,
                "latitude": 51.4964,
                "country": "GB",
                "can_add_public_tags": false,
                "value": "VALUE",
                "subtype": null,
                "meta": {
                    "registration_updated": "2020-10-24T22:16:59+00:00",
                    "detail2": "bifocals_deactivated_on_2020-12-05_18:30:00.085789",
                    "severity": "high",
                    "registration_created": "2020-10-24T22:16:42+00:00"
                },
                "resource_uri": "/api/v2/intelligence/"
            }],
            "Campaigns": [{
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.200283",
                    "from_id": "ID"
                }],
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-15T04:24:55.428496",
                "end_date": "2020-03-23T16:05:00.761000",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:19.892072",
                "name": "Coronavirus (COVID-19)",
                "objective": null,
                "organization": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "publication_status": "published",
                "published_ts": "2020-04-06T21:40:24.452312",
                "resource_uri": "/api/v1/campaign/",
                "source_created": null,
                "source_modified": null,
                "start_date": "2020-01-30T13:10:00.070000",
                "status": {
                    "display_name": "Ongoing",
                    "id": 1,
                    "resource_uri": "/api/v1/campaignstatus/1/"
                },
                "tags": ["Malware", "Fraud", "Phishing", "COVID-19", "Coronavirus", "Scams"],
                "tags_v2": [{
                    "id": "wqe",
                    "name": "Coronavirus"
                }, {
                    "id": "hlg",
                    "name": "COVID-19"
                }, {
                    "id": "74i",
                    "name": "Phishing"
                }, {
                    "id": "0y2",
                    "name": "Malware"
                }, {
                    "id": "u63",
                    "name": "Scams"
                }, {
                    "id": "1er",
                    "name": "Fraud"
                }],
                "tlp": "white",
                "uuid": "UUID",
                "workgroups": []
            }],
            "Tip": [{
                "all_circles_visible": true,
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.212118",
                    "from_id": "ID"
                }],
                "body_content_type": "richtext",
                "campaign": null,
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-19T04:23:35.714929",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_editable": true,
                "is_email": false,
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:20.061912",
                "name": "Coronavirus (COVID-19) Cyber Threats",
                "original_source": null,
                "original_source_id": null,
                "owner_org": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "parent": null,
                "published_ts": "2020-05-25T18:39:36.890647",
                "resource_uri": "/api/v1/ID/",
                "source_created": null,
                "source_modified": null,
                "starred_by_me": false,
                "starred_total_count": 5,
                "status": "published",
                "tags": ["Scams", "HCL-", "Malware"],
                "tags_v2": [{
                    "id": "ID",
                    "name": "Coronavirus"
                }, {
                    "id": "ID",
                    "name": "COVID-19"
                }, {
                    "id": "ID",
                    "name": "Phishing"
                }],
                "threat_actor": null,
                "tlp": "white",
                "ttp": null,
                "uuid": "UUID",
                "votes": {
                    "me": null,
                    "total": 0
                },
                "watched_by_me": false,
                "watched_total_count": 11111,
                "workgroups": []
            }],
            "Actors": [],
            "Incidents": [],
            "TTP": []
        }
    }
案件總覽
結果類型 說明 類型
輸出訊息*

如果一個實體有資料 (is_success=true)：「已成功從 Anomali ThreatStream 傳回下列實體的資訊：{entity.identifier}」

如果沒有任何實體的資料 (is_success=true)：「動作無法從 Anomali ThreatStream 傳回下列實體的資訊：{entity.identifier}」

如果所有實體都不適用 (is_success=false)：「No entities were enriched.

重大錯誤 (失敗)：執行「取得威脅資訊」動作時發生錯誤。原因：{error traceback}」

 一般

乒乓

測試與 Anomali ThreatStream 的連線。

參數

不適用

執行日期

這項操作會對所有實體執行。

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
成功 True 或 False success:False

從 Anomali ThreatStream 擷取實體相關關聯。

參數

參數名稱 類型 預設值 為必填 說明
退貨廣告活動 核取方塊 已勾選 否 如果啟用，動作會擷取相關廣告活動和詳細資料。
傳回威脅公告 核取方塊 已勾選 否 如果啟用，這項動作會擷取相關威脅公告和詳細資料。
傳回 Actor 核取方塊 已勾選 否 如果啟用，動作會擷取相關執行者和詳細資料。
返回攻擊模式 核取方塊 已勾選 否 如果啟用，動作會擷取相關攻擊模式和詳細資料。
傳回安全防護程序 核取方塊 已勾選 否 如果啟用，動作就會擷取相關應對措施和詳細資料。
傳回身分 核取方塊 已勾選 否 如果啟用，動作會擷取相關身分和詳細資料。
退貨事件 核取方塊 已勾選 否 如果啟用，動作會擷取相關事件和詳細資料。
退貨基礎架構 核取方塊 已勾選 否 如果啟用，動作會擷取相關基礎架構和詳細資料。
傳回入侵集 核取方塊 已勾選 否 如果啟用，這項動作會擷取相關入侵集和詳細資料。
退回惡意軟體 核取方塊 已勾選 否 如果啟用，這項動作會擷取相關惡意軟體和詳細資料。
傳回簽名 核取方塊 已勾選 否 如果啟用，動作會擷取相關簽章和詳細資料。
退貨工具 核取方塊 已勾選 否 啟用後，動作會擷取相關工具和詳細資料。
傳回 TTP 核取方塊 已勾選 否 如果啟用，這項動作會擷取相關 TTP 和詳細資料。
傳回安全漏洞 核取方塊 已勾選 否 如果啟用，動作會擷取相關安全漏洞和詳細資料。
建立廣告活動實體 核取方塊 已取消勾選 否 啟用後，這項動作會根據可用的廣告活動關聯建立實體。
建立 Actors 實體 核取方塊 已取消勾選 否 啟用後，動作會根據可用的執行者關聯建立實體。
建立簽名實體 核取方塊 已取消勾選 否 啟用後，這項動作會根據可用的簽名關聯建立實體。
建立安全漏洞實體 核取方塊 已取消勾選 否 啟用後，這項動作會根據可用的安全漏洞關聯建立實體。
要傳回的關聯數量上限 整數 5 否 指定每種類型要傳回的關聯數量。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 電子郵件

動作結果

指令碼執行結果
指令碼結果名稱 值選項 範例
成功 True 或 False success:False
JSON 結果
{
    "campaign": [
        {
            "name": "Example 1",
            "id": 1
        },
        {
            "name": "Example 2",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且找到至少一個實體間的關聯 (is_success=true)：「已成功從 Anomali 擷取相關關聯」

如果找不到關聯 (is_success=false)：「找不到相關關聯。」

非同步訊息：「正在等待擷取所有關聯詳細資料」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關關聯』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

表格名稱：「相關關聯項目」

表格欄：

  • ID
  • 名稱
  • 類型
  • 狀態

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。