整合 Google Threat Intelligence 與 Google SecOps

本文說明如何將 Google Threat Intelligence 與 Google Security Operations 整合。

事前準備

如要使用這項整合功能，您需要 API 金鑰。詳情請參閱「Google Threat Intelligence API 金鑰」。

整合參數

Google Threat Intelligence 整合功能需要下列參數：

參數 說明
API Root

這是必填欄位。

Google Threat Intelligence 執行個體的 API 根目錄。

預設值為 https://www.virustotal.com。
API Key

這是必填欄位。

Google Threat Intelligence API 金鑰。
ASM Project Name

選填。

要在整合作業中使用的 Mandiant Attack Surface Management (ASM) 專案名稱。必須提供這項參數，才能執行搜尋 ASM 實體、搜尋 ASM 問題和 更新 ASM 問題動作。

如未設定任何值，系統只會傳回主要專案中集合的快訊。
Active Group

選填。

多租戶環境的 Active Group (組織環境) ID。如果 ASM 專案位於主要組織以外的組織，就必須提供這項資訊。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Google Threat Intelligence 伺服器時驗證 SSL 憑證。

(預設為啟用)。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

新增 ASM 問題附註

使用「Add ASM Issue Note」動作，在 Google Threat Intelligence 的攻擊面管理 (ASM) 問題中附加技術附註。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add ASM Issue Note」動作需要下列參數：

參數 說明
Alert ID

這是必填欄位。

要更新的快訊 ID。
Text

這是必填欄位。

要附加至快訊的分析或附註內容。

動作輸出內容

「Add ASM Issue Note」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Add ASM Issue Note 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 動作成功。
Error executing action "Add ASM Issue Note". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add ASM Issue Note」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

為實體新增註解

使用「Add Comment To Entity」動作，在 Google Threat Intelligence 中為 Google SecOps 實體新增註解。

這項動作僅支援 MD5、SHA-1 和 SHA-256 雜湊。

這項動作會在下列 Google SecOps 實體上執行：

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • URL

動作輸入內容

「Add Comment To Entity」動作需要下列參數：

參數 說明
Comment

這是必填欄位。

要新增至所有支援實體的註解。

動作輸出內容

「Add Comment To Entity」(為實體新增註解) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Add Comment To Entity」動作時，收到的 JSON 結果輸出內容：

{
   "Status": "Done"
}

{
   "Status": "Not done"
}
輸出訊息

「Add Comment To Entity」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added comments to the following entities in Google Threat Intelligence: ENTITY_ID.

The action wasn't able to add comments to the following entities in Google Threat Intelligence: ENTITY_ID.

No comments were added to the provided entities in Google Threat Intelligence.

 動作成功。
Error executing action "Add Comment To Entity". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add Comment To Entity」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

新增標記至 DTM 快訊

使用「Add Tag To DTM Alert」，在 Google Threat Intelligence 的 Digital Threat Monitoring (DTM) 快訊中新增標記。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Tag To DTM Alert」動作需要下列參數：

參數 說明
Alert ID

這是必填欄位。

要更新的快訊專屬 ID。
Mode

選填。

標記更新的作業邏輯。

可能的值如下：

  • Append：將指定標記新增至快訊現有的標記清單。
  • Set：使用 Tags 中提供的標記，覆寫所有現有的快訊標記。

預設值為 Append。
Tags

這是必填欄位。

以半形逗號分隔的清單，列出要套用至快訊的標記。

動作輸出內容

「Add Tag To DTM Alert」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Tag To DTM Alert」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 動作成功。
Error executing action "Add Tag To DTM Alert". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add Tag To DTM Alert」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

新增實體投票

使用「Add Comment To Entity」動作，在 Google Threat Intelligence 中為 Google SecOps 實體新增投票。

這項動作僅支援 MD5、SHA-1 和 SHA-256 雜湊。

這項動作會在下列 Google SecOps 實體上執行：

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • URL

動作輸入內容

「Add Vote To Entity」動作需要下列參數：

參數 說明
Vote

這是必填欄位。

投票決定是否要新增至所有支援的實體。

可能的值如下：

  • Harmless
  • Malicious

預設值為 Malicious。

動作輸出內容

「Add Vote To Entity」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Add Vote To Entity」動作時，收到的 JSON 結果輸出內容：

{
   "Status": "Done"
}

{
   "Status": "Not done"
}
輸出訊息

Add Vote To Entity 動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added votes to the following entities in Google Threat Intelligence: ENTITY_ID.

Action wasn't able to add votess to the following entities in Google Threat Intelligence: ENTITY_ID.

No votes were added to the provided entities in Google Threat Intelligence.

 動作成功。
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add Vote To Entity」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

下載檔案

使用「下載檔案」動作，從 Google Threat Intelligence 下載檔案。

這項動作會在 Google SecOps Hash 實體上執行。

這項動作僅支援 MD5、SHA-1 和 SHA-256 雜湊。

動作輸入內容

「下載檔案」動作需要下列參數：

參數 說明
Download Folder Path

這是必填欄位。

儲存下載檔案的資料夾路徑。
Overwrite

這是必填欄位。

如果選取這個選項，當檔案名稱相同時，這項動作會以新檔案覆寫現有檔案。

(預設為啟用)。

動作輸出內容

「Download File」(下載檔案) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Download File」(下載檔案) 動作時，收到的 JSON 結果輸出內容：

{
    "absolute_file_paths": ["file_path_1","file_path_2"]
}
輸出訊息

「下載檔案」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully downloaded related files for the following entities in Google Threat Intelligence: ENTITY_ID.

No related files were found for the following entities in Google Threat Intelligence: ENTITY_ID.

No related files were found for the provided entities in Google Threat Intelligence.

 動作成功。
Error executing action "Download File". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

充實實體

使用「Enrich Entities」(充實實體) 動作，運用 Google Threat Intelligence 的資訊充實實體。

這項動作支援 MD5、SHA-1 和 SHA-256 雜湊。

這項動作會在下列 Google SecOps 實體上執行：

  • CVE
  • Domain
  • Hash (包括CHILDHASH和PARENTHASH)
  • Hostname
  • IP Address
  • Threat Actor
  • URL

動作輸入內容

「Enrich Entities」動作需要下列參數：

參數 說明
GTI Score

選填。

Google SecOps 實體必須達到 Google Threat Intelligence 分數下限，才會標示為可疑。系統會一併驗證這項條件和 Google Threat Intelligence 判定資訊。

這項參數僅支援 IP Address、URL、Hostname、Domain 和 Hash 實體。

如未提供任何值，動作會忽略 Google Threat Intelligence 分數值。

預設值為 60。
Engine Threshold

選填。

必須將實體標示為惡意或可疑的安全引擎數量下限，Google SecOps 才會將其標示為可疑。這項條件會與 Google Threat Intelligence 判定資訊一併驗證。

這項參數僅支援 IP Address、URL、Hostname、Domain 和 Hash 實體。

如果 Engine Allowlist 包含值，動作只會計算這些特定引擎的結果。

如未提供值，動作會忽略引擎計算結果。
Engine Percentage Threshold

選填。

必須將實體標示為惡意或可疑的安全引擎最低百分比，Google SecOps 才會將實體標示為可疑。

這項參數僅支援 IP Address、URL、Hostname、Domain 和 Hash 實體。

如果 Engine Allowlist 包含值，則動作只會計算這些特定引擎的百分比。

如果同時提供 Engine Threshold 和 Engine Percentage Threshold，系統會優先採用 Engine Threshold。

如未提供值，動作會忽略引擎計算結果。

最大值為 100。

最小值為 0。
Engine Allowlist

選填。

以半形逗號分隔的安全性引擎清單，用於擷取惡意資訊 (例如 AlienVault,Kaspersky)。

如未提供值，動作會從每個可用的引擎擷取結果。

如果引擎未傳回實體相關資訊，就不會納入 Engine Threshold 和 Engine Percentage Threshold 的計算範圍。
Resubmit Entity

選填。

如果選取這個選項，動作會重新提交實體進行分析，而不是使用先前動作執行時的實體資訊。

這項參數僅支援 URL 和 Hash 實體。

預設為未選取。
Resubmit After (Days)

選填。

動作在再次提交實體前等待的天數。如要使用這項參數，請選取 Resubmit Entity 參數。

預設值為 30。

這項參數僅支援 URL 和 Hash 實體。
Sandbox

選填。

以半形逗號分隔的沙箱名稱清單，例如 VirusTotal Jujubox, VirusTotal ZenBox, Microsoft Sysinternals, Tencent HABO。

這項參數僅支援 Hash 實體。

如未設定這項參數，動作會使用預設沙箱 VirusTotal Jujubox。
Retrieve Sandbox Analysis

選填。

如果選取這個選項，這項動作會擷取實體的沙箱分析結果，並在 JSON 結果中為每個沙箱建立獨立區段。

這項動作會傳回您在 Sandbox 參數中設定的沙箱資料。

這項參數僅支援 Hash 實體。

預設為未選取。
Fetch MITRE Details

選填。

如果選取，動作會傳回相關 MITRE 技術和戰術的資訊。

這個參數僅支援 Hash 實體。

預設為未選取。
Lowest MITRE Technique Severity

選填。

要傳回的最低 MITRE 技術嚴重性。

這項動作會將 Unknown 嚴重程度視為 Info。

這項參數僅支援 Hash 實體。

可能的值如下：

  • High
  • Medium
  • Low
  • Info

預設值為 Medium。

Retrieve Comments

選填。

如果選取，動作會擷取實體的註解。

這項參數支援下列實體：

  • Domain
  • Hash
  • Hostname
  • IP Address
  • URL
Widget Theme

選填。

套用至 IOC 擴增小工具的視覺樣式。

可能的值如下：

  • Dark
  • Dark Blue
  • Light

預設值為 Dark Blue。
Max Comments To Return

選填。

每次執行動作時，傳回的留言數量上限。

預設值為 10。

動作輸出內容

「Enrich Entities」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 可用
案件總覽表格 無法使用
實體擴充表格 可用
JSON 結果 可用
輸出訊息 可用
指令碼結果。 可用

「Enrich Entities」動作可傳回下列連結：

  • IOC：https://www.virustotal.com/gui/ENTITY_TYPE/ENTITY/detection

  • 威脅發動者： https://www.virustotal.com/gui/collection/threat-actor--ID

  • 安全漏洞： https://www.virustotal.com/gui/collection/vulnerability--ID

實體擴充表格
  1. 「Enrich Entities」(充實實體) 動作支援下列 IP 位址實體充實功能：
    2. 補充資料欄位 來源 (JSON 金鑰) 適用範圍
    GTI_id id JSON 結果中提供。
    GTI_owner as_owner JSON 結果中提供。
    GTI_asn asn JSON 結果中提供。
    GTI_continent continent JSON 結果中提供。
    GTI_country country JSON 結果中提供。
    GTI_harmless_count last_analysis_stats/harmless JSON 結果中提供。
    GTI_malicious_count last_analysis_stats/malicious JSON 結果中提供。
    GTI_suspicious_count last_analysis_stats/suspicious JSON 結果中提供。
    GTI_undetected_count last_analysis_stats/undetected JSON 結果中提供。
    GTI_certificate_valid_not_after validity/not_after JSON 結果中提供。
    GTI_certificate_valid_not_before validity/not_before JSON 結果中提供。
    GTI_reputation reputation JSON 結果中提供。
    GTI_tags Comma-separated list of tags JSON 結果中提供。
    GTI_malicious_vote_count total_votes/malicious JSON 結果中提供。
    GTI_harmless_vote_count total_votes/harmless JSON 結果中提供。
    GTI_report_link report_link JSON 結果中提供。
    GTI_widget_link widget_url JSON 結果中提供。
    GTI_threat_score gti_assessment.threat_score.value JSON 結果中提供。
    GTI_severity gti_assessment.severity.value JSON 結果中提供。
    GTI_normalised_categories CSV of gti_assessment.contributing_factors.normalised_categories JSON 結果中提供。
    GTI_verdict gti_assessment.verdict.value JSON 結果中提供。
    GTI_description gti_assessment.description JSON 結果中提供。
  2. 「Enrich Entities」動作支援下列網址實體擴充：
    3. 補充資料欄位 來源 (JSON 金鑰) 適用範圍
    GTI_id id JSON 結果中提供。
    GTI_title title JSON 結果中提供。
    GTI_last_http_response_code last_http_response_code JSON 結果中提供。
    GTI_last_http_response_content_length last_http_response_content_length JSON 結果中提供。
    GTI_threat_names Comma-separated list of threat_names JSON 結果中提供。
    GTI_harmless_count last_analysis_stats/harmless JSON 結果中提供。
    GTI_malicious_count last_analysis_stats/malicious JSON 結果中提供。
    GTI_suspicious_count last_analysis_stats/suspicious JSON 結果中提供。
    GTI_undetected_count last_analysis_stats/undetected JSON 結果中提供。
    GTI_reputation reputation JSON 結果中提供。
    GTI_tags Comma-separated list of tags JSON 結果中提供。
    GTI_malicious_vote_count total_votes/malicious JSON 結果中提供。
    GTI_harmless_vote_count total_votes/harmless JSON 結果中提供。
    GTI_report_link report_link JSON 結果中提供。
    GTI_widget_link widget_url JSON 結果中提供。
    GTI_threat_score gti_assessment.threat_score.value JSON 結果中提供。
    GTI_severity gti_assessment.severity.value JSON 結果中提供。
    GTI_normalised_categories CSV of gti_assessment.contributing_factors.normalised_categories JSON 結果中提供。
    GTI_verdict gti_assessment.verdict.value JSON 結果中提供。
    GTI_description gti_assessment.description JSON 結果中提供。
    GTI_category_{attributes/categories/json key} {attributes/categories/json key value} JSON 結果中提供。
  3. 「Enrich Entities」動作支援下列雜湊實體擴充：
    4. 補充資料欄位 來源 (JSON 金鑰) 適用範圍
    GTI_id id JSON 結果中提供。
    GTI_magic magic JSON 結果中提供。
    GTI_md5 md5 JSON 結果中提供。
    GTI_sha1 sha1 JSON 結果中提供。
    GTI_sha256 sha256 JSON 結果中提供。
    GTI_ssdeep ssdeep JSON 結果中提供。
    GTI_tlsh tlsh JSON 結果中提供。
    GTI_vhash vhash JSON 結果中提供。
    GTI_meaningful_name meaningful_name JSON 結果中提供。
    GTI_magic Comma-separated list of names JSON 結果中提供。
    GTI_harmless_count last_analysis_stats/harmless JSON 結果中提供。
    GTI_malicious_count last_analysis_stats/malicious JSON 結果中提供。
    GTI_suspicious_count last_analysis_stats/suspicious JSON 結果中提供。
    GTI_undetected_count last_analysis_stats/undetected JSON 結果中提供。
    GTI_reputation reputation JSON 結果中提供。
    GTI_tags Comma-separated list of tags JSON 結果中提供。
    GTI_malicious_vote_count total_votes/malicious JSON 結果中提供。
    GTI_harmless_vote_count total_votes/harmless JSON 結果中提供。
    GTI_report_link report_link JSON 結果中提供。
    GTI_widget_link widget_url JSON 結果中提供。
    GTI_threat_score gti_assessment.threat_score.value JSON 結果中提供。
    GTI_severity gti_assessment.severity.value JSON 結果中提供。
    GTI_normalized_categories CSV of gti_assessment.contributing_factors.normalised_categories JSON 結果中提供。
    GTI_verdict gti_assessment.verdict.value JSON 結果中提供。
    GTI_description gti_assessment.description JSON 結果中提供。
    GTI_exiftool_{json_key} GTI_exiftool_{json_key.value}
  4. 「Enrich Entities」動作支援下列網域/主機名稱實體擴充：
    5. 補充資料欄位 來源 (JSON 金鑰) 適用範圍
    GTI_id id JSON 結果中提供。
    GTI_harmless_count last_analysis_stats/harmless JSON 結果中提供。
    GTI_malicious_count last_analysis_stats/malicious JSON 結果中提供。
    GTI_suspicious_count last_analysis_stats/suspicious JSON 結果中提供。
    GTI_undetected_count last_analysis_stats/undetected JSON 結果中提供。
    GTI_reputation reputation JSON 結果中提供。
    GTI_tags Comma-separated list of tags JSON 結果中提供。
    GTI_malicious_vote_count total_votes/malicious JSON 結果中提供。
    GTI_harmless_vote_count total_votes/harmless JSON 結果中提供。
    GTI_report_link report_link JSON 結果中提供。
    GTI_widget_link widget_url JSON 結果中提供。
    GTI_threat_score gti_assessment.threat_score.value JSON 結果中提供。
    GTI_severity gti_assessment.severity.value JSON 結果中提供。
    GTI_normalized_categories CSV of gti_assessment.contributing_factors.normalised_categories JSON 結果中提供。
    GTI_verdict gti_assessment.verdict.value JSON 結果中提供。
    GTI_description gti_assessment.description JSON 結果中提供。
    GGTI_category_{attributes/categories/json key} {attributes/categories/json key value} JSON 結果中提供。
  5. 「Enrich Entities」動作支援下列「Threat Actor」實體擴充：
    6. 補充資料欄位 來源 (JSON 金鑰) 適用範圍
    GTI_motivations Csv of motivations/name JSON 結果中提供。
    GTI_aliases Csv of alt_names_details/value JSON 結果中提供。
    GTI_industries Csv of targeted_industries/value JSON 結果中提供。
    GTI_malware Csv of malware/name JSON 結果中提供。
    GTI_source_region CSV of source_regions_hierarchy/country JSON 結果中提供。
    GTI_target_region Csv of targeted_regions_hierarchy/country JSON 結果中提供。
    GTI_origin origin JSON 結果中提供。
    GTI_description description JSON 結果中提供。
    GTI_last_activity_time last_activity_time JSON 結果中提供。
    GTI_report_link We craft it. JSON 結果中提供。
  6. 「Enrich Entities」動作支援下列安全漏洞實體擴充：
    7. 補充資料欄位 來源 (JSON 金鑰) 適用範圍
    GTI_sources Csv of source_name JSON 結果中提供。
    GTI_exploitation_state exploitation_state JSON 結果中提供。
    GTI_date_of_disclosure date_of_disclosure JSON 結果中提供。
    GTI_vendor_fix_references vendor_fix_references/url JSON 結果中提供。
    GTI_exploitation_vectors Csv of exploitation_vectors JSON 結果中提供。
    GTI_description description JSON 結果中提供。
    GTI_risk_rating risk_rating JSON 結果中提供。
    GTI_available_mitigation CSV of available_mitigation JSON 結果中提供。
    GTI_exploitation_consequence exploitation_consequence JSON 結果中提供。
    GTI_report_link We craft it. JSON 結果中提供。
JSON 結果

以下範例顯示使用「Enrich Entities」動作時，IOC (IP、Hash、URL、Domain 和 Hostname 實體) 的 JSON 結果輸出：

{
   [
       {
           "Entity": "8b2e701e91101955c73865589a4c72999aeabc11043f7xxxxx",
           "EntityResult": {
               "is_risky": true, 
               "attributes": {
                   "authentihash": "ad56160b465f7bd1e7568640397f01fc4f8819ce6f0c141569xxxx",
                   "creation_date": 1410950077,
                   "downloadable": true,
                   "exiftool": {
                       "CharacterSet": "Unicode",
                       "CodeSize": "547xx",
                       "CompanyName": "MySQL, AB",
                       "EntryPoint": "0x39xx",
                       "FileDescription": "WinMerge Shell Integration",
                       "FileFlagsMask": "0x00xx",
                       "FileOS": "Windows NT 32-bit",
                       "FileSubtype": "0",
                       "FileType": "Win32 EXE",
                       "FileTypeExtension": "exe",
                       "FileVersion": "1.0.1.6",
                       "FileVersionNumber": "1.0.1.6",
                       "ImageFileCharacteristics": "Executable, 32-bit",
                       "ImageVersion": "0.0",
                       "InitializedDataSize": "199168",
                       "InternalName": "ShellExtension",
                       "LanguageCode": "English (U.S.)",
                       "LegalCopyright": "Copyright 2003-2013",
                       "LinkerVersion": "10.0",
                       "MIMEType": "application/octet-stream",
                       "MachineType": "Intel 386 or later, and compatibles",
                       "OSVersion": "5.1",
                       "ObjectFileType": "Executable application",
                       "OriginalFileName": "ShellExtension",
                       "PEType": "PE32",
                       "ProductName": "ShellExtension",
                       "ProductVersion": "1.0.1.6",
                       "ProductVersionNumber": "1.0.1.6",
                       "Subsystem": "Windows GUI",
                       "SubsystemVersion": "5.1",
                       "TimeStamp": "2014:09:17 10:34:37+00:00",
                       "UninitializedDataSize": "0"
                   },
                   "first_submission_date": 1411582812,
                   "last_analysis_date": 1606903659,
                   "last_analysis_results": {
                       "ALYac": {
                           "category": "malicious",
                           "engine_name": "ALYac",
                           "engine_update": "20201202",
                           "engine_version": "1.1.1.5",
                           "method": "blacklist",
                           "result": "Trojan.Foreign.Gen.2"
                       }
                   },
                   "last_analysis_stats": {
                       "confirmed-timeout": 0,
                       "failure": 0,
                       "harmless": 0,
                       "malicious": 61,
                       "suspicious": 0,
                       "timeout": 0,
                       "type-unsupported": 5,
                       "undetected": 10
                   },
                   "last_modification_date": 1606911051,
                   "last_submission_date": 1572934476,
                   "magic": "PE32 executable for MS Windows (GUI) Intel 80386 32-bit",
                   "md5": "9498ff82a64ff445398c8426exxxx",
                   "meaningful_name": "ShellExtension",
                   "names": [
                       "ShellExtension",
                       "ZeuS_binary_9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx.exe",
                       "9498ff82a64ff445398c8426exxxx",
                       "2420800",
                       "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxx.exe",
                       "sigchxxx.exe",
                       "malwxxx.exe"
                   ],
                   "reputation": -49,
                   "sha1": "36f9ca40b3ce96fcee1cf1d4a722293553xxxx",
                   "sha256": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1cxxxx",
                   "sigma_analysis_stats": {
                       "critical": 0,
                       "high": 0,
                       "low": 4,
                       "medium": 0
                   },
                   "sigma_analysis_summary": {
                       "Sigma Integrated Rule Set (GitHub)": {
                           "critical": 0,
                           "high": 0,
                           "low": 4,
                           "medium": 0
                       }
                   },
                   "signature_info": {
                       "copyright": "Copyright 2003-2013",
                       "description": "WinMerge Shell Integration",
                       "file version": "1.0.1.6",
                       "internal name": "ShellExtension",
                       "original name": "ShellExtension",
                       "product": "ShellExtension"
                   },
                   "size": 254976,
                   "ssdeep": "6144:Gz90qLc1zR98hUb4UdjzEwG+vqAWiR4EXePbix67CNzjX:Gz90qLc1lWhUbhVqxxxx",
                   "tags": [
                       "peexe",
                       "runtime-modules",
                       "direct-cpu-clock-access"
                   ],
                   "times_submitted": 8,
                   "tlsh": "T1DB44CF267660D833D0DF94316C75C3F9673BFC2123215A6B6A4417699E307Exxxx",
                   "total_votes": {
                       "harmless": 2,
                       "malicious": 7
                   },
                   "trid": [
                       {
                           "file_type": "Win32 Executable MS Visual C++ (generic)",
                           "probability": 54.3
                       },
                       {
                           "file_type": "Win16 NE executable (generic)",
                           "probability": 12.2
                       },
                       {
                           "file_type": "Win32 Dynamic Link Library (generic)",
                           "probability": 11.4
                       },
                       {
                           "file_type": "Win32 Executable (generic)",
                           "probability": 7.8
                       },
                       {
                           "file_type": "OS/2 Executable (generic)",
                           "probability": 3.5
                       }
                   ],
                   "type_description": "Win32 EXE",
                   "type_extension": "exe",
                   "type_tag": "peexe",
                   "unique_sources": 8,
                   "vhash": "025056657d755510804011z9005b9z25z1xxxx"
               },
               "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxxx",
               "links": {
                   "self": "https://www.virustotal.com/api/v3/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx"
               },
               "type": "file",
               "comments": [
                   {
                       "attributes": {
                           "date": 1595402790,
                           "html": "#malware #Zeus<br /><br />Full genetic report from Intezer Analyze:<br />https://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx<br /><br />#IntezerAnalyze",
                           "tags": [
                               "malware",
                               "zeus",
                               "intezeranalyze"
                           ],
                           "text": "#malware #Zeus\n\nFull genetic report from Intezer Analyze:\nhttps://analyze.intezer.com/#/files/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx\n\n#IntezerAnalyze",
                           "votes": {
                               "abuse": 0,
                               "negative": 0,
                               "positive": 0
                           }
                       },
                       "id": "f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxxx",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/comments/f-8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdbxxxx-9945xxx"
                       },
                       "type": "comment"
                   }
               ],
               "widget_url": "https://www.virustotal.com/ui/widget/html/OGIyZTcwMWU5MTEwMTk1NWM3Mzg2NTU4OWE0YzcyOTk5YWVhYmMxMTA0M2Y3MTJlMDVmZGIxYzE3YzRhYjE5YXx8ZmlsZXx8eyJiZDEiOiAiIzRkNjM4NSIsICJiZzEiOiAiIzMxM2Q1YSIsICJiZzIiOiAiIzIyMmM0MiIsICJmZzEiOiAiI2ZmZmZmZiIsICJ0eXBlIjogImRlZmF1bHQifXx8ZnVsbHx8Zm91bmR8fDE2NDY2NzIzOTN8fGI5OWQ3MTY5MGIzZGY5MmVjMWExNTZlMmQ1MjM3OWJhMGMxYzgyZTAwMjVkMTJmZjg5MWM2YzdjNxxxxxxxxxx",
               "related_mitre_tactics": [
                   {
                       "id": "TA0002",
                       "name": "Execution"
                   }
               ],
               "related_mitre_techniques": [
                   {
                       "id": "T1129",
                       "name": "Shared Modules",
                       "severity": "INFO"
                   }
               ],
               "sandboxes_analysis": {
                   "VirusTotal Jujubox": {
                       "attributes": {
                           "registry_keys_opened": [
                               "HKCU\\\\SOFTWARE\\\\Microsoft",
                               "SOFTWARE\\\\Microsoft\\\\Xuoc"
                           ],
                           "calls_highlighted": [
                               "GetTickCount"
                           ],
                           "tags": [
                               "DIRECT_CPU_CLOCK_ACCESS",
                               "RUNTIME_MODULES"
                           ],
                           "files_written": [
                               "C:\\\\Users\\\\<USER>\\\\AppData\\\\Roaming\\\\Uwcyi\\\\xeysv.exe"
                           ],
                           "mutexes_opened": [
                               "Local\\\\{159989F5-EED2-E258-7F7B-44xxxxxxxxxx}"
                           ],
                           "modules_loaded": [
                               "ADVAPI32.dll"
                           ],
                           "analysis_date": 1593005327,
                           "sandbox_name": "VirusTotal Jujubox",
                           "has_html_report": true,
                           "behash": "891a0af66a031b044dce08xxxxxxxxxx",
                           "has_evtx": false,
                           "text_highlighted": [
                               "C:\\\\Windows\\\\system32\\\\cmd.exe"
                           ],
                           "last_modification_date": 1593005327,
                           "has_memdump": false,
                           "mutexes_created": [
                               "Global\\\\{5995CC4B-E3B3-EBC8-9F85-4Bxxxxxxxxxx}"
                           ],
                           "has_pcap": true,
                           "files_opened": [
                               "C:\\\\Windows\\\\system32\\\\SXS.DLL"
                           ]
                       },
                       "type": "file_behaviour",
                       "id": "8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox",
                       "links": {
                           "self": "https://www.virustotal.com/api/v3/file_behaviours/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1xxxxxxxxxx_VirusTotal Jujubox"
                       }
                   }
               }
           }
       }
   ],
   "is_risky": true
}

以下範例顯示使用「Enrich Entities」動作時，收到的安全漏洞 JSON 結果輸出內容：

{
   "Entity": "CVE-2024-49138",
   "EntityResult": {
       "targeted_regions": [],
       "cwe": {
           "title": "Heap-based Buffer Overflow",
           "id": "CWE-122"
       },
       "exploitation_consequence": "Privilege Escalation",
       "source_regions_hierarchy": [],
       "name": "CVE-2024-49138",
       "cisa_known_exploited": {
           "ransomware_use": "Unknown",
           "added_date": 1733788800,
           "due_date": 1735603200
       },
       "analysis": "\n\nOn Dec. 10, 2024, Microsoft stated exploitation of this vulnerability was detected in the wild. For more information, please see [Microsoft's advisory.](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138)\n\n",
       "workarounds": [],
       "last_modification_date": 1738271466,
       "description": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
       "sources": [
           {
               "title": null,
               "name": "Cybersecurity and Infrastructure Security Agency (CISA)",
               "source_description": null,
               "unique_id": null,
               "url": "https://github.com/cisagov/vulnrichment/blob/develop/2024/49xxx/CVE-2024-49138.json",
               "md5": "d6f2c868480ebbdb413eb2d57524b324",
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": {
                       "base_score": 7.8,
                       "temporal_score": null,
                       "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
                   },
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733852988
           },
           {
               "title": "Microsoft Windows Common Log File System (CLFS) Driver Heap-Based Buffer Overflow Vulnerability",
               "name": "CISA",
               "source_description": "CISA's Known Exploited Vulnerabilities Catalog",
               "unique_id": null,
               "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog",
               "md5": null,
               "cvss": {
                   "cvssv2_0": null,
                   "cvssv3_x": null,
                   "cvssv3_x_translated": null,
                   "cvssv4_x": null
               },
               "published_date": 1733788800
           }
       ],
       "mitigations": [],
       "cve_id": "CVE-2024-49138",
       "creation_date": 1733853672,
       "detection_names": [],
       "risk_factors": [
           "Local Access Required",
           "User Permissions Required"
       ],
       "alt_names": [],
       "exploit_availability": "Publicly Available",
       "cpes": [
           {
               "end_rel": "<",
               "start_rel": null,
               "start_cpe": null,
               "end_cpe": {
                   "version": "10.0.10240.20857 x64",
                   "product": "Windows 10 1507",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_10_1507:10.0.10240.20857:*:*:*:*:*:x64:*"
               }
           }
       {
               "end_rel": "<",
               "start_rel": ">=",
               "start_cpe": {
                   "version": "10.0.0",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.0:*:*:*:*:*:*:*"
               },
               "end_cpe": {
                   "version": "10.0.20348.2908",
                   "product": "Windows Server 2022",
                   "vendor": "Microsoft",
                   "uri": "cpe:2.3:o:microsoft:windows_server_2022:10.0.20348.2908:*:*:*:*:*:*:*"
               }
           }
       ],
       "available_mitigation": [
           "Patch"
       ],
       "malware_roles": [],
       "counters": {
           "files": 1,
           "domains": 0,
           "ip_addresses": 0,
           "urls": 0,
           "iocs": 1,
           "subscribers": 1,
           "attack_techniques": 0
       },
       "collection_links": [],
       "domains_count": 0,
       "priority": "P0",
       "files_count": 1,
       "urls_count": 0,
       "alt_names_details": [],
       "affected_systems": [],
       "operating_systems": [],
       "first_seen_details": [],
       "targeted_informations": [],
       "recent_activity_summary": [
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0,
           0
       ],
       "merged_actors": [],
       "date_of_disclosure": 1733788800,
       "tags": [
           "media_attention",
           "observed_in_the_wild",
           "has_exploits",
           "was_zero_day"
       ],
       "last_seen_details": [],
       "epss": {
           "percentile": 0.25741,
           "score": 0.00054
       },
       "ip_addresses_count": 0,
       "autogenerated_tags": [],
       "private": true,
       "executive_summary": "\n\n* A Heap-based Buffer Overflow vulnerability exists that, when exploited, allows a local, privileged attacker to escalate privileges.\n* This vulnerability has been confirmed to be exploited in the wild. Weaponized code is publicly available.\n* Mandiant Intelligence considers this a Medium-risk vulnerability due to the potential for privilege escalation, offset by local access requirements and user permission requirements.\n* Mitigation options include a patch.\n",
       "summary_stats": {},
       "threat_scape": [],
       "exploitation_state": "Confirmed",
       "version_history": [
           {
               "version_notes": [
                   "priority: Added"
               ],
               "date": 1739529103
           }
       ],
       "origin": "Google Threat Intelligence",
       "references_count": 0,
       "capabilities": [],
       "targeted_industries": [],
       "motivations": [],
       "predicted_risk_rating": "MEDIUM",
       "cvss": {
           "cvssv3_x": {
               "base_score": 7.8,
               "temporal_score": 6.8,
               "vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C"
           }
       },
       "mve_id": "MVE-2024-33694",
       "status": "COMPUTED",
       "exploitation_vectors": [
           "Unspecified Local Vector"
       ],
       "risk_rating": "MEDIUM",
       "tags_details": [
           {
               "last_seen": null,
               "description": null,
               "value": "was_zero_day",
               "confidence": "possible",
               "first_seen": null
           }
       ],
       "mati_genids_dict": {
           "cve_id": "vulnerability--012f19f2-00d0-58c8-b981-8b6ce04a8f43",
           "mve_id": "vulnerability--c5ef5265-21d1-57ac-b960-5bf56f37d63f",
           "report_id": null
       },
       "technologies": [],
       "exploitation": {
           "exploit_release_date": 1736899200,
           "first_exploitation": 1733788800,
           "tech_details_release_date": null
       },
       "targeted_industries_tree": [],
       "subscribers_count": 1,
       "intended_effects": [],
       "collection_type": "vulnerability",
       "field_sources": [
           {
               "field": "cvss.cvssv3_x",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Cybersecurity and Infrastructure Security Agency (CISA)",
                   "field_type": "Ranked"
               }
           },
           {
               "field": "exploitation_state",
               "source": {
                   "sources": [],
                   "source_url": "",
                   "source_name": "Microsoft Corp.",
                   "field_type": "Severity"
               }
           }
       ],
       "vendor_fix_references": [
           {
               "title": "Windows Common Log File System Driver Elevation of Privilege Vulnerability",
               "name": "Microsoft Corp.",
               "source_description": null,
               "unique_id": null,
               "url": "https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49138",
               "md5": null,
               "cvss": null,
               "published_date": 1733817600
           }
       ],
       "targeted_regions_hierarchy": [],
       "top_icon_md5": [],
       "aggregations": {}
   }
}

以下範例顯示使用「Enrich Entities」動作時，威脅執行者的 JSON 結果輸出：

{
   "Entity": "APT42",
   "EntityResult": {
"threat_actor_id": "123123"
       "affected_systems": [],
       "targeted_regions_hierarchy": [
           {
               "region": "Oceania",
               "sub_region": "Australia and New Zealand",
               "country": "Australia",
               "country_iso2": "AU",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1630467976,
               "description": null,
               "source": null
           },
           {
               "region": "Europe",
               "sub_region": "Western Europe",
               "country": "Austria",
               "country_iso2": "AT",
               "confidence": "confirmed",
               "first_seen": 1630467976,
               "last_seen": 1705487116,
               "description": null,
               "source": null
           }
       ],
       "recent_activity_relative_change": -0.6340275969799531,
       "subscribers_count": 30,
       "version_history": [],
       "field_sources": [],
       "detection_names": [],
       "references_count": 82,
       "files_count": 1182,
       "workarounds": [],
       "threat_scape": [],
       "alt_names_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Avertium)"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "APT35 (Check Point)"
           }
       ],
       "description": "APT42 is an Iranian state-sponsored cyber espionage group tasked with conducting information collection and surveillance operations against individuals and organizations of strategic interest to the Iranian Government. The group's operations, which are designed to build trust and rapport with their victims, have included accessing the personal and corporate email accounts of government officials, former Iranian policymakers or political figures, members of the Iranian diaspora and opposition groups, journalists, and academics who are involved in research on Iran. The group has also deployed mobile malware capable of tracking victim locations, recording phone conversations, accessing videos and images, and extracting entire SMS inboxes.",
       "creation_date": 1428278400,
       "tags": [],
       "private": true,
       "available_mitigation": [],
       "name": "APT42",
       "origin": "Google Threat Intelligence",
       "mitigations": [],
       "merged_actors": [
           {
               "description": "threat-actor--a5ccf0a6-79ab-57cc-98b3-f8ee2e123071",
               "first_seen": 1691519658,
               "last_seen": 1691519658,
               "confidence": "confirmed",
               "value": "UNC4391"
           },
           {
               "description": "threat-actor--20ea26fa-d7ef-51c1-905f-28a2982a0bb5",
               "first_seen": 1659365630,
               "last_seen": 1659365630,
               "confidence": "confirmed",
               "value": "UNC788"
           },
           {
               "description": "threat-actor--f3e232d1-dfea-55f5-b1f0-e8e09c035ee2",
               "first_seen": 1704210115,
               "last_seen": 1704210115,
               "confidence": "confirmed",
               "value": "UNC4980"
           },
           {
               "description": "threat-actor--c7672fb1-f752-54fd-853e-5cbd49dc8187",
               "first_seen": 1670883116,
               "last_seen": 1670883116,
               "confidence": "confirmed",
               "value": "UNC4248"
           },
           {
               "description": "threat-actor--e5f884bd-cb76-5bed-a351-7984d6023b4a",
               "first_seen": 1682448032,
               "last_seen": 1682448032,
               "confidence": "confirmed",
               "value": "UNC4689"
           },
           {
               "description": "threat-actor--a28ebf5f-a384-55c0-a544-c5e4df56b136",
               "first_seen": 1693336040,
               "last_seen": 1693336040,
               "confidence": "confirmed",
               "value": "UNC4423"
           },
           {
               "description": "threat-actor--feb78504-3e56-5217-ad21-7dc9dab8974b",
               "first_seen": 1708987865,
               "last_seen": 1708987865,
               "confidence": "confirmed",
               "value": "UNC2440"
           },
           {
               "description": "threat-actor--d0f848d6-d92f-5147-9bf8-a3b5e93092ff",
               "first_seen": 1605743032,
               "last_seen": 1605743032,
               "confidence": "confirmed",
               "value": "UNC2013"
           },
           {
               "description": "threat-actor--284c29d0-575d-5410-a7f2-dab16e2a5863",
               "first_seen": 1605139211,
               "last_seen": 1605139211,
               "confidence": "confirmed",
               "value": "UNC1896"
           },
           {
               "description": "threat-actor--8d09d09c-6a09-56b5-86ad-c76f3a006d24",
               "first_seen": 1605744560,
               "last_seen": 1605744560,
               "confidence": "confirmed",
               "value": "UNC1137"
           },
           {
               "description": "threat-actor--9d0ac442-9a26-54d7-9061-af1ff9080071",
               "first_seen": 1605744040,
               "last_seen": 1605744040,
               "confidence": "confirmed",
               "value": "UNC978"
           },
           {
               "description": "threat-actor--1aa4e976-a6d0-57b8-861a-478d767f10f5",
               "first_seen": 1605137808,
               "last_seen": 1605137808,
               "confidence": "confirmed",
               "value": "UNC1900"
           },
           {
               "description": "threat-actor--237842b5-7aa3-5674-8c06-257d0f38c4d6",
               "first_seen": 1605136271,
               "last_seen": 1605136271,
               "confidence": "confirmed",
               "value": "UNC2086"
           },
           {
               "description": "threat-actor--bfdfb34f-5dea-5864-b80d-02b9cfeeb6d2",
               "first_seen": 1605128797,
               "last_seen": 1605128797,
               "confidence": "confirmed",
               "value": "UNC2087"
           },
           {
               "description": "threat-actor--cf4e7cfa-2707-5a4a-a543-ef32cd4f5d66",
               "first_seen": 1692622313,
               "last_seen": 1692622313,
               "confidence": "confirmed",
               "value": "UNC4439"
           },
           {
               "description": "threat-actor--60cccdf6-fad7-5706-92df-35aa6111923d",
               "first_seen": 1728393601,
               "last_seen": 1728393601,
               "confidence": "confirmed",
               "value": "UNC5246"
           }
       ],
       "intended_effects": [],
       "urls_count": 2617,
       "targeted_industries_tree": [
           {
               "industry_group": "Chemicals & Materials",
               "industry": null,
               "confidence": "confirmed",
               "first_seen": 1665304135,
               "last_seen": 1683023019,
               "description": null,
               "source": null
           }
       ],
       "alt_names": [
           "APT35 (Google)",
           "Charmingcypress (Volexity)",
           "Voidbalaur (Trend Micro)",
           "Yellow Garuda (PwC)",
           "GreenCharlie (Recorded Future)",
           "Cobalt Illusion (Dell SecureWorks)",
           "UNC788 (Facebook)",
           "Charmingkitten (Kaspersky)",
           "Charming Kitten (Certfa)",
           "APT35 (Avertium)",
           "Charming Kitten (CrowdStrike)",
           "TA453 (Proofpoint)",
           "Charming Kitten (ClearSky)",
           "Charmingkitten (Bitdefender)",
           "TAG-56 (Recorded Future)",
           "ITG18 (IBM)",
           "Charmingkitten (Volexity)",
           "Phosphorus (Check Point)",
           "APT35 (Check Point)",
           "CALANQUE (Google TAG)",
           "Mint Sandstorm (Microsoft)"
       ],
       "first_seen": 1428278400,
       "counters": {
           "files": 1182,
           "domains": 3888,
           "ip_addresses": 1670,
           "urls": 2617,
           "iocs": 9357,
           "subscribers": 30,
           "attack_techniques": 127
       },
       "collection_type": "threat-actor",
       "motivations": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Espionage"
           },
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "Surveillance"
           }
       ],
       "collection_links": [],
       "targeted_regions": [
           "GB",
           "BE",
           "AT",
           "IL",
           "LB",
           "UA",
           "EG",
           "AU",
           "AZ",
           "IT",
           "US",
           "IR",
           "BG",
           "TR",
           "AE",
           "NO",
           "MY"
       ],
       "source_regions_hierarchy": [
           {
               "region": "Asia",
               "sub_region": "Southern Asia",
               "country": "Iran, Islamic Republic Of",
               "country_iso2": "IR",
               "confidence": "confirmed",
               "first_seen": null,
               "last_seen": null,
               "description": null,
               "source": null
           }
       ],
       "malware_roles": [],
       "last_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2025-03-05T17:55:03.551Z"
           }
       ],
       "domains_count": 3888,
       "operating_systems": [],
       "source_region": "IR",
       "targeted_informations": [],
       "risk_factors": [],
       "tags_details": [],
       "ip_addresses_count": 1670,
       "capabilities": [],
       "targeted_industries": [],
       "vulnerable_products": "",
       "technologies": [],
       "recent_activity_summary": [
           1341,
           1083,
           839,
           656,
           852,
           1136,
           1693,
           1485,
           1304,
           767,
           893,
           772,
           1169,
           67
       ],
       "vendor_fix_references": [],
       "last_seen": 1741197303,
       "autogenerated_tags": [
           "upx",
           "cve-2004-0790",
           "contains-elf",
           "downloads-zip",
           "cve-2021-26084",
           "cve-1999-0016",
           "cve-2018-10561",
           "cve-2021-44228",
           "downloads-elf",
           "contains-embedded-js",
           "cve-2005-0068",
           "base64-embedded",
           "bobsoft",
           "cve-2022-30190",
           "opendir",
           "attachment",
           "cve-2014-3931",
           "cve-2020-7961",
           "contains-pe",
           "cve-2021-1675",
           "downloads-pe",
           "downloads-doc",
           "cve-2017-0199",
           "themida"
       ],
       "exploitation_vectors": [],
       "first_seen_details": [
           {
               "description": null,
               "first_seen": null,
               "last_seen": null,
               "confidence": "confirmed",
               "value": "2015-04-06T00:00:00Z"
           }
       ],
       "last_modification_date": 1741314287,
       "summary_stats": {
           "first_submission_date": {
               "min": 1234800101.0,
               "max": 1741187401.0,
               "avg": 1689528709.5449305
           },
           "last_submission_date": {
               "min": 1366635040.0,
               "max": 1741328711.0,
               "avg": 1714984562.318413
           },
           "files_detections": {
               "min": 0.0,
               "max": 70.0,
               "avg": 26.672566371681413
           },
           "urls_detections": {
               "min": 0.0,
               "max": 19.0,
               "avg": 7.352873563218389
           }
       },
       "status": "COMPUTED",
       "top_icon_md5": [
           "b8fabacf5f0ce868656ac7a1d38c7c99",
           "4aa5f091c9e667deb2123284461493e7",
           "03234c84e6474d7cc9ecf39b9812fac4"
       ]
   }
}
輸出訊息

「Enrich Entities」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following entities using Google Threat Intelligence: ENTITY_ID

The action wasn't able to enrich the following entities using Google Threat Intelligence: ENTITY_ID

The action didn't enrich any of the provided entities.

動作成功。
Error executing action "Enrich Entities". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Enrich Entities」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

充實 IOC

使用「Enrich IOCs」(充實 IoC) 動作，運用 Google Threat Intelligence 的資訊充實入侵指標 (IoC)。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Enrich IOCs」(充實 IOC) 動作需要下列參數：

參數 說明
IOC Type

選填。

要擴充的 IOC 類型。

可能的值如下：

  • Filehash
  • URL
  • Domain
  • IP Address

預設值為 Filehash。
IOCs

這是必填欄位。

以半形逗號分隔的 IOC 清單，用於擷取資料。
Widget Theme

選填。

套用至 IOC 擴增小工具的視覺樣式。

可能的值如下：

  • Dark
  • Dark Blue
  • Light

預設值為 Dark Blue。

動作輸出內容

「Enrich IOCs」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 可用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用

「Enrich IOCs」動作可為每個擴充實體提供下列連結：

名稱：Report Link

值：URL

案件總覽表格

「Enrich IOCs」(擴充 IOC) 動作可為每個擴充實體提供下列資料表：

資料表名稱：IOC_ID

表格欄：

  • 名稱
  • 類別
  • 方法
  • 結果
JSON 結果

以下範例顯示使用「Enrich IOCs」動作時，收到的 JSON 結果輸出內容：

{
    "ioc": {
        "identifier": "203.0.113.1",
        "details": {
            "attributes": {
                "categories": {
                    "Dr.Web": "known infection source/not recommended site",
                    "Forcepoint ThreatSeeker": "compromised websites",
                    "sophos": "malware repository, spyware and malware"
                },
                "first_submission_date": 1582300443,
                "html_meta": {},
                "last_analysis_date": 1599853405,
                "last_analysis_results": {
                    "EXAMPLELabs": {
                        "category": "harmless",
                        "engine_name": "EXAMPLELabs",
                        "method": "blacklist",
                        "result": "clean"
                    },
                    "Example": {
                        "category": "harmless",
                        "engine_name": "Example",
                        "method": "blacklist",
                        "result": "clean"
                    }
                },
                "last_analysis_stats": {
                    "harmless": 64,
                    "malicious": 6,
                    "suspicious": 1,
                    "timeout": 0,
                    "undetected": 8
                },
                "last_final_url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event",
                "last_http_response_code": 404,
                "last_http_response_content_length": 204,
                "last_http_response_content_sha256": "58df637d178e35690516bda9e41e245db836170f046041fdebeedd20eca61d9d",
                "last_http_response_headers": {
                    "connection": "keep-alive",
                    "content-length": "204",
                    "content-type": "text/html; charset=iso-8859-1",
                    "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                    "keep-alive": "timeout=60",
                    "server": "nginx"
                },
                "last_modification_date": 1599853921,
                "last_submission_date": 1599853405,
                "reputation": 0,
                "tags": [
                    "ip"
                ],
                "targeted_brand": {},
                "threat_names": [
                    "Mal/HTMLGen-A"
                ],
                "times_submitted": 3,
                "title": "404 Not Found",
                "total_votes": {
                    "harmless": 0,
                    "malicious": 0
                },
                "trackers": {},
                "url": "http://203.0.113.1/input/?mark=20200207-example.com/31mawe&tpl=example&engkey=bar+chart+click+event"
            },
            "id": "ID",
            "links": {
                "self": "https://www.virustotal.com/api/v3/urls/ID"
            },
            "type": "url",
        "report_link": "{generated report link}",
            "widget_url": "https: //www.virustotal.com/ui/widget/html/WIDGET_ID"
"widget_html"
        }
    }
}
輸出訊息

「Enrich IOCs」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following IOCs using Google Threat Intelligence: IOC_LIST

No information found for the following IOCs using Google Threat Intelligence: IOC_LIST

No information about IOCs was found.

 動作成功。
Error executing action "Enrich IOC". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Enrich IOCs」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

使用「Execute IOC Search」動作，在 Google Threat Intelligence 中執行 IOC 搜尋。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「執行 IOC 搜尋」動作需要下列參數：

參數 說明
Search Query

這是必填欄位。

要執行的搜尋查詢，例如 crowdsourced_yara_rule:*apt* and p:3+ and fs:2d+。
Max Results To Return

選填。

每次執行動作時，傳回的結果數量上限。

最大值為 200。

預設值為 50。

動作輸出內容

「執行 IOC 搜尋」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Execute IOC Search」動作時，收到的 JSON 結果輸出內容：

{
    "attributes":{
      "type_description":"Android",
      "tlsh":"T156B6128BF7885D2BC0B78136899A1136B76A8D254B43A3473548772C3EB32D44F6DBD8",
      "vhash":"8d145b883d0a7f814ba5b130454fbf36",
      "exiftool":{
        "ZipRequiredVersion":"20",
        "MIMEType":"application/zip",
        "ZipCRC":"0xf27716ce",
        "FileType":"ZIP",
        "ZipCompression":"Deflated",
        "ZipUncompressedSize":"46952",
        "ZipCompressedSize":"8913",
        "FileTypeExtension":"zip",
        "ZipFileName":"Example.xml",
        "ZipBitFlag":"0x0800",
        "ZipModifyDate":"2023:06:11 17:54:18"
      },
      "type_tags":[
        "executable",
        "mobile",
        "android",
        "apk"
      ],
      "crowdsourced_yara_results":["RESULTS_OMITTED"]
      "magic":"Zip archive data, at least v1.0 to extract, compression method=store",
      "permhash":"a3e0005ad57d3ff03e09e0d055ad10bcf28a58a04a8c2aeccdad2b9e9bc52434",
      "meaningful_name":"Example",
      "reputation":0
    },
    "type":"file",
    "id":"FILE_ID",
    "links":{
      "self":"https://www.virustotal.com/api/v3/files/FILE_ID"
    }
}
輸出訊息

「Execute IOC Search」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found results for the provided query in Google Threat Intelligence.

No results were found for the provided query in Google Threat Intelligence.

 動作成功。
Error executing action "Execute IOC Search". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「執行 IOC 搜尋」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得 ASM 實體詳細資料

使用「Get ASM Entity Details」動作，取得 Google Threat Intelligence 中 ASM 實體的相關資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get ASM Entity Details」動作需要下列參數：

參數 說明
Entity ID

這是必填欄位。

列出要取得詳細資料的實體 ID，並以半形逗號分隔。

動作輸出內容

「Get ASM Entity Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get ASM Entity Details」動作時，收到的 JSON 結果輸出內容：

{
 "uuid": "UUID",
 "dynamic_id": "Intrigue::Entity::Uri#http://192.0.2.73:80",
 "collection_name": "example_oum28bu",
 "alias_group": 8515,
 "aliases": [
   "http://192.0.2.73:80"
 ],
 "allow_list": false,
 "ancestors": [
   {
     "type": "Intrigue::Entity::NetBlock",
     "name": "192.0.2.0/24"
   }
 ],
 "category": null,
 "collection_naics": null,
 "confidence": null,
 "deleted": false,
 "deny_list": false,
 "details":
   <! CONTENT OMITTED >
   "http": {
     "code": 404,
     "title": "404 Not Found",
     "content": {
       "favicon_hash": null,
       "hash": null,
       "forms": false
     },
     "auth": {
       "any": false,
       "basic": false,
       "ntlm": false,
       "forms": false,
       "2fa": false
     }
   },
   "ports": {
     "tcp": [
       80
     ],
     "udp": [],
     "count": 1
   },
   "network": {
     "name": "Example, Inc.",
     "asn": 16509,
     "route": null,
     "type": null
   },
   "technology": {
     "cloud": true,
     "cloud_providers": [
       "Example Services"
     ],
     "cpes": [],
     "technologies": [],
     "technology_labels": []
   },
   "vulns": {
     "current_count": 0,
     "vulns": []
   }
 },
 {
 "tags": [],
 "id": 8620,
 "scoped_at": "2022-09-30 06:51:57 +0000",
 "detail_string": "Fingerprint: Nginx |  Title: 404 Not Found",
 "enrichment_tasks": [
   "enrich/uri",
   "sslcan"
 ],
 "generated_at": "2022-09-30T21:21:18Z"
}
輸出訊息

「Get ASM Entity Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details for the following entities using information from Google Threat Intelligence: ENTITY_ID

The action wasn't able to return details for the following entities using information from Google Threat Intelligence: ENTITY_ID

 動作成功。
Error executing action "Get ASM Entity Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get ASM Entity Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得圖表詳細資料

使用「Get Graph Details」動作，取得 Google Threat Intelligence 圖表的詳細資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Graph Details」動作需要下列參數：

參數 說明
Graph ID

這是必填欄位。

以半形逗號分隔的圖表 ID 清單，用於擷取詳細資料。
Max Links To Return

這是必填欄位。

每個圖表要傳回的連結數量上限。

預設值為 50。

動作輸出內容

「Get Graph Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「Get Graph Details」動作可為每個擴充實體提供下表：

資料表名稱：Graph GRAPH_ID Links

表格欄：

  • 來源
  • 目標
  • 連線類型
JSON 結果

以下範例顯示使用「Get Graph Details」動作時，收到的 JSON 結果輸出內容：

{
    "data": {
        "attributes": {
            "comments_count": 0,
            "creation_date": 1603219837,
            "graph_data": {
                "description": "Example LLC",
                "version": "api-5.0.0"
            },
            "last_modified_date": 1603219837,
            "links": [
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "last_serving_ip_address",
                    "source": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "network_location",
                    "source": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671"
                },
                {
                    "connection_type": "network_location",
                    "source": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "target": "203.0.113.3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "203.0.113.3",
                    "target": "relationships_communicating_files_20301133"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf"
                },
                {
                    "connection_type": "communicating_files",
                    "source": "relationships_communicating_files_20301133",
                    "target": "60bb6467ee465f23a15f17cd73f7ecb9db9894c5a3186081a1c70fdc6e7607d6"
                }
            ],
            "nodes": [
                {
                    "entity_attributes": {
                        "has_detections": false
                    },
                    "entity_id": "ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 0,
                    "text": "",
                    "type": "url",
                    "x": 51.22276722115952,
                    "y": 65.7811310194184
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_last_serving_ip_address_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 1,
                    "text": "",
                    "type": "relationship",
                    "x": 25.415664700492094,
                    "y": 37.66636498768037
                },
                {
                    "entity_attributes": {
                        "country": "US"
                    },
                    "entity_id": "203.0.113.3",
                    "fx": -19.03611541222395,
                    "fy": 24.958500220062717,
                    "index": 2,
                    "text": "",
                    "type": "ip_address",
                    "x": -19.03611541222395,
                    "y": 24.958500220062717
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_network_location_ea241b193c1bd89f999db9231359e7479bc2f05105ce43964955068c5d7c4671",
                    "index": 3,
                    "text": "",
                    "type": "relationship",
                    "x": 14.37403861978968,
                    "y": 56.85562691824892
                },
                {
                    "entity_attributes": {},
                    "entity_id": "relationships_communicating_files_20301133",
                    "index": 4,
                    "text": "",
                    "type": "relationship",
                    "x": -51.78097726144755,
                    "y": 10.087893225996158
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "4935cc8a4ff76d595e1bfab9fd2e6aa0f7c2fea941693f1ab4586eaba1528f47",
                    "index": 5,
                    "text": "",
                    "type": "file",
                    "x": -79.11606194776019,
                    "y": -18.475026322309112
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "peexe"
                    },
                    "entity_id": "c975794ff65c02b63fae1a94006a75294aac13277ca464e3ea7e40de5eda2b14",
                    "index": 6,
                    "text": "",
                    "type": "file",
                    "x": -64.80938048199627,
                    "y": 46.75892061191275
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "c7752154a2e894a4dec84833bee656357f4b84a9c7f601f586f79de667d8fe5c",
                    "index": 7,
                    "text": "",
                    "type": "file",
                    "x": -43.54064004476819,
                    "y": -28.547923020662786
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "692bb2ed1da43b0408c104b4ca4b4e97e15f3224e37dbea60214bcd991a2cfd3",
                    "index": 8,
                    "text": "",
                    "type": "file",
                    "x": -15.529860440278318,
                    "y": -2.068209789825876
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "74273ef55d8b7d23f7b058c7e47f3cbaf60c823a3e41ffb10e494917bad77381",
                    "index": 9,
                    "text": "",
                    "type": "file",
                    "x": -42.55971948293377,
                    "y": 46.937155845680415
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "html"
                    },
                    "entity_id": "f4f2f17c4df1b558cb80c8eab3edf5198970e9d87bd03943d4c2effafb696187",
                    "index": 10,
                    "text": "",
                    "type": "file",
                    "x": -62.447976875107706,
                    "y": -28.172418384729067
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "5edc8496869697aa229540bd6106b6679f6cfcbc6ee4837887183f470b49acb5",
                    "index": 11,
                    "text": "",
                    "type": "file",
                    "x": -89.0326649183805,
                    "y": -2.2638551448322484
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "1582da57cb082d3f6835158133aafb5f3b8dcc880a813be135a0ff8099cf0ee8",
                    "index": 12,
                    "text": "",
                    "type": "file",
                    "x": -26.35260716195174,
                    "y": -20.25669077264115
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "be4ccb1ca71a987f481c22a1a43de491353945d815c89cbcc06233d993ac73cf",
                    "index": 13,
                    "text": "",
                    "type": "file",
                    "x": -82.1415994911387,
                    "y": 34.89636762607467
                },
                {
                    "entity_attributes": {
                        "has_detections": true,
                        "type_tag": "android"
                    },
                    "entity_id": "ENTITY_ID",
                    "index": 14,
                    "text": "",
                    "type": "file",
                    "x": -90.87738694680043,
                    "y": 16.374462198116138
                }
            ],
            "private": false,
            "views_count": 30
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/graphs/ID"
        },
        "type": "graph"
    }
}
輸出訊息

「Get Graph Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details about the following graphs in Google Threat Intelligence: GRAPH_IDS

Action wasn't able to return details about the following graphs in Google Threat Intelligence: GRAPH_IDS

No information about the provided graphs was found.

 動作成功。
Error executing action "Get Graph Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Graph Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

使用「Get Related Associations」動作，取得與 Google Threat Intelligence 實體相關的關聯資訊 (報告、攻擊活動、集合、惡意軟體系列、軟體工具包、安全漏洞、威脅發動者)。

這項動作會在下列 Google SecOps 實體上執行：

  • IP address
  • URL
  • File hash
  • Hostname
  • Domain

動作輸入內容

「Get Related Associations」動作需要下列參數：

參數 說明
Association Types

選填。

以半形逗號分隔的關聯清單，用於傳回關聯。

系統會在所有其他關聯完成後處理報表。

可能的值如下：

  • Report
  • Campaign
  • Collection
  • Malware Family
  • Vulnerability
  • Threat Actor

如未提供任何值，這項動作會傳回所有關聯。
Create Entity

選填。

如果選取，這項動作會為相關威脅發動者、常見安全漏洞與弱點 (CVE) 和攻擊活動建立實體，並連結至原始實體。

系統只會建立 CVE、威脅發動者和廣告活動實體。
Max Associations To Return

選填。

每個實體要傳回的 IoC 數量上限。

最大值為 100。

預設值為 50。

動作輸出內容

「Get Related Associations」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果。 可用
JSON 結果

以下範例顯示使用「Get Related Associations」動作時，收到的 JSON 結果輸出內容：

{
   "Entity": "",
   "EntityResult": 
       {
           "campaign": [
               {
                   "id": "campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                   "type": "collection",
                   "links": {
                       "self": "https://www.virustotal.com/api/v3/collections/campaign--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p"
                   },
                   "attributes": {
                       "alt_names": [
                           "CAMPAIGN.ID.001"
                       ],
                       "alt_names_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "CAMPAIGN.ID.001",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "recent_activity_relative_change": 0.12215909090909083,
                       "description": "Security Research Team (SRT) has obtained intelligence surrounding an ongoing campaign involving the deployment of a Custom Infostealer followed by local reconnaissance and data exfiltration.\n\nBased on available intelligence, targeted organizations have been located in Western European countries, primarily within the Consulting and Manufacturing sectors; however, targeting appears opportunistic due to deployment methods. The campaign is being conducted by a threat actor SRT tracks as UNC9999 and assesses with high confidence to have financial motivations.",
                       "version_history": [],
                       "targeted_regions": [
                           "WE",
                           "NE"
                       ],
                       "private": true,
                       "subscribers_count": 0,
                       "last_seen": 1751241600,
                       "files_count": 2,
                       "first_seen_details": [
                           {
                               "description": "Observed First Activity of Campaign",
                               "last_seen": null,
                               "value": "2024-10-09T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "detection_names": [],
                       "targeted_industries": [],
                       "technologies": [],
                       "source_regions_hierarchy": [],
                       "references_count": 5,
                       "domains_count": 70,
                       "name": "Financial Actor Campaign Involving Custom Stealer for Data Exfiltration",
                       "intended_effects": [],
                       "creation_date": 1751304756,
                       "malware_roles": [],
                       "available_mitigation": [],
                       "last_seen_details": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "2025-06-30T00:00:00Z",
                               "first_seen": null,
                               "confidence": "unconfirmed"
                           }
                       ],
                       "summary_stats": {
                           "first_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750144019.0,
                               "avg": 1736406949.275
                           },
                           "last_submission_date": {
                               "min": 1724454065.0,
                               "max": 1750312785.0,
                               "avg": 1737423800.3916667
                           },
                           "files_detections": {
                               "min": 23.0,
                               "max": 23.0,
                               "avg": 23.0
                           },
                           "urls_detections": {
                               "min": 0.0,
                               "max": 19.0,
                               "avg": 3.9999999999999996
                           }
                       },
                       "is_content_translated": false,
                       "targeted_industries_tree": [
                           {
                               "industry_group": "Consulting",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Legal Services",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "industry_group": "Manufacturing & Logistics",
                               "industry": null,
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "threat_scape": [],
                       "ip_addresses_count": 10,
                       "collection_links": [],
                       "targeted_informations": [],
                       "operating_systems": [],
                       "urls_count": 118,
                       "first_seen": 1728432000,
                       "status": "COMPUTED",
                       "collection_type": "campaign",
                       "campaign_type": "INDIVIDUAL",
                       "recent_activity_summary": [
                           70,
                           17,
                           29,
                           17,
                           24,
                           14,
                           15,
                           25,
                           23,
                           44,
                           37,
                           25,
                           19,
                           36
                       ],
                       "exploitation_vectors": [],
                       "mitigations": [],
                       "vendor_fix_references": [],
                       "risk_factors": [],
                       "field_sources": [],
                       "motivations": [
                           {
                               "description": null,
                               "last_seen": null,
                               "value": "Monetary",
                               "first_seen": null,
                               "confidence": "confirmed"
                           }
                       ],
                       "tags": [],
                       "affected_systems": [],
                       "tags_details": [],
                       "top_icon_md5": [
                           "1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d",
                           "6d5c4b3a2f1e0d9c8b7a6f5e4d3c2b1a",
                           "3a4b5c6d1e2f3a4b5c6d1e2f3a4b5c6d"
                       ],
                       "counters": {
                           "files": 2,
                           "domains": 70,
                           "ip_addresses": 10,
                           "urls": 118,
                           "iocs": 200,
                           "subscribers": 0,
                           "attack_techniques": 22
                       },
                       "merged_actors": [],
                       "origin": "Security Research Team",
                       "capabilities": [],
                       "autogenerated_tags": [
                           "contains-sample-binary"
                       ],
                       "targeted_regions_hierarchy": [
                           {
                               "region": "Europe",
                               "sub_region": "Western Europe",
                               "country": "Example Country 1",
                               "country_iso2": "C1",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           },
                           {
                               "region": "Europe",
                               "sub_region": "Northern Europe",
                               "country": "Example Country 2",
                               "country_iso2": "C2",
                               "confidence": "confirmed",
                               "first_seen": null,
                               "last_seen": null,
                               "description": null,
                               "source": null
                           }
                       ],
                       "workarounds": [],
                       "last_modification_date": 1751406304
                   },
                   "context_attributes": {
                       "shared_with_me": false,
                       "role": "viewer"
                   }
               }
           ]
       }
   
}
輸出訊息

「Get Related Associations」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found associations for the following entities in Google Threat Intelligence: ENTITY_ID.

No related Associations were found for the following entities in Google Threat Intelligence: ENTITY_ID.

No related associations were found for the provided entities in Google Threat Intelligence.

 動作成功。
Error executing action "Get Related Associations". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Related Associations」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

使用「Get Related IOCs」動作，根據 Google Threat Intelligence 的資訊，取得與實體相關的 IOC 資訊。

這項動作僅支援 MD5、SHA-1 和 SHA-256 雜湊。

這項動作會在下列 Google SecOps 實體上執行：

  • IP address
  • URL
  • Hostname
  • Domain
  • Hash
  • Threat Actor

動作輸入內容

「Get Related IOCs」動作需要下列參數：

參數 說明
IOC Types

這是必填欄位。

以半形逗號分隔的 IOC 清單，用於擷取。

可能的值如下：IP、Hash、URL、Domain。
Max IOCs To Return

這是必填欄位。

每個實體所選 IOC 類型可傳回的 IOC 數量上限。

預設值為 40。

動作輸出內容

「Get Related IOCs」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果。 可用
JSON 結果

以下範例顯示使用「Get Related IOCs」動作時，收到的 JSON 結果輸出內容：

{
   "Entity": "ENTITY",
   "EntityResult": {
       "hash": [
           "HASH"
       ],
       "url": [
           "URL"
       ],
       "domain": [
           "DOMAIN"
       ],
       "ip": [
           "IP_ADDRESS"
       ]
   }
}
輸出訊息

「Get Related IOCs」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned related IOCs for the following entities in Google Threat Intelligence: ENTITY

No related IOCs were found for the following entities in Google Threat Intelligence: ENTITY.

No related IOCs were found for the provided entities.

 動作成功。
Error executing action "Get Related IOCs". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Related IOCs」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用「Ping」動作測試與 Google Threat Intelligence 的連線。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果。 可用
輸出訊息

Ping 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully connected to the Google Threat Intelligence server with the provided connection parameters!

 動作成功。
Failed to connect to the Google Threat Intelligence server! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

私人提交網址

使用「Private Submit URL」動作，在 Google Threat Intelligence 中提交網址進行私人掃描。

這項動作會在下列 Google SecOps 實體上執行：

  • URL

動作輸入內容

Private Submit URL 動作需要下列參數：

參數 說明
URL

選填。

以半形逗號分隔的網址清單，列出要掃描的網址。

系統會處理輸入的值，以及作業發現的所有網址實體。
Check Existing Submissions First

選填。

如果選取這項動作，系統會檢查網址是否有現有的公開或私人提交資訊。如果找到，動作會立即傳回資訊，略過提交流程。

預設為停用。
Resubmit After (Days)

選填。

網址上次公開分析日期後，必須經過的最少天數，才能重新提交網址。

預設值為 30。

動作輸出內容

「Private Submit URL」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 可用
案件總覽表格 無法使用
補充資訊表格 可用
JSON 結果 可用
輸出訊息 可用
指令碼結果。 可用

Private Submit URL 動作可能會傳回下列連結：

報表連結 URL： URL to the GTI UI displaying the submission details.

實體擴充表格

從公開提交內容擷取資料時，「Private Submit URL」動作支援下列網址實體擴充：

補充資料欄位 來源 (JSON 金鑰) 適用範圍
GTI_id id JSON 結果中提供。
GTI_title title JSON 結果中提供。
GTI_last_http_response_code last_http_response_code JSON 結果中提供。
GTI_last_http_response_content_length last_http_response_content_length JSON 結果中提供。
GTI_threat_names 以半形逗號分隔的threat_names清單 JSON 結果中提供。
GTI_harmless_count last_analysis_stats/harmless JSON 結果中提供。
GTI_malicious_count last_analysis_stats/malicious JSON 結果中提供。
GTI_suspicious_count last_analysis_stats/suspicious JSON 結果中提供。
GTI_undetected_count last_analysis_stats/undetected JSON 結果中提供。
GTI_reputation reputation JSON 結果中提供。
GTI_tags 以半形逗號分隔的tags清單 JSON 結果中提供。
GTI_malicious_vote_count total_votes/malicious JSON 結果中提供。
GTI_harmless_vote_count total_votes/harmless JSON 結果中提供。
GTI_report_link report link JSON 結果中提供。
GTI_widget_link widget_url JSON 結果中提供。
GTI_threat_score gti_assessment.threat_score.value JSON 結果中提供。
GTI_severity gti_assessment.severity.value JSON 結果中提供。
GTI_normalised_categories gti_assessment.contributing_factors.normalised_categories 的 CSV JSON 結果中提供。
GTI_verdict gti_assessment.verdict.value JSON 結果中提供。
GTI_description gti_assessment.description JSON 結果中提供。
GTI_category_{attributes/categories/json key} {attributes/categories/json key value} JSON 結果中提供。

從私人提交內容擷取資料時，「Private Submit URL」動作支援下列 URL 實體的實體擴充：

補充資料欄位 來源 (JSON 金鑰) 適用範圍
GTI_id id JSON 結果中提供。
GTI_title title JSON 結果中提供。
GTI_last_http_response_code last_http_response_code JSON 結果中提供。
GTI_last_http_response_content_length last_http_response_content_length JSON 結果中提供。
GTI_tags 以半形逗號分隔的tags清單 JSON 結果中提供。
GTI_report_link report link JSON 結果中提供。
GTI_widget_link widget_url JSON 結果中提供。
JSON 結果

以下範例顯示使用私人提交網址動作時，收到的 JSON 結果輸出：

{
   "Entity": "",
   "EntityResult": [
       {
           "data": {
               "id": "test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a",
               "type": "private_url",
               "links": {
                   "self": "https://www.googlethreatintelligence.com/api/v3/private/urls/test_id_1234567890abcdef1234567890abcdef1234567890abcdef1234567890a"
               },
               "attributes": {
                   "last_http_response_content_length": 23475,
                   "tags": [
                       "password-input",
                       "iframes",
                       "external-resources"
                   ],
                   "title": "Example Financial Institution",
                   "redirection_chain": [
                       "http://www.example-test-site.com/"
                   ],
                   "last_final_url": "https://www.example-test-site.com/",
                   "last_http_response_content_sha256": "test_sha256_000000000000000000000000000000000000000000000000000000000000",
                   "favicon": {
                       "raw_md5": "test_md5_0000000000000000000000000000",
                       "dhash": "075171c1878e82c0"
                   },
                   "last_http_response_code": 200,
                   "tld": "com",
                   "html_meta": {
                       "viewport": [
                           "width=device-width, initial-scale=1, shrink-to-fit=no"
                       ]
                   },
                   "expiration": 1760512221,
                   "last_http_response_headers": {
                       "cache-control": "no-store, no-cache, must-revalidate",
                       "content-encoding": "br",
                       "date": "Tue, 14 Oct 2025 07:10:28 GMT",
                       "expires": "Thu, 19 Nov 1981 08:52:00 GMT",
                       "platform": "hostinger",
                       "server": "LiteSpeed",
                       "vary": "Accept-Encoding",
                       "content-security-policy": "upgrade-insecure-requests",
                       "content-type": "text/html; charset=UTF-8",
                       "panel": "hpanel",
                       "pragma": "no-cache",
                       "x-powered-by": "PHP/7.3.33",
                       "alt-svc": "h3=\":443\"; ma=2592000, h3-29=\":443\"; ma=2592000, h3-Q050=\":443\"; ma=2592000, h3-Q046=\":443\"; ma=2592000, h3-Q043=\":443\"; ma=2592000, quic=\":443\"; ma=2592000; v=\"43,46\""
                   },
                   "url": "http://www.example-test-site.com/",
                   "outgoing_links": [
                       "https://www.jivochat.com/i_sa/?utm_source=www.solentrcu.com&utm_medium=link&utm_content=label_tooltip&utm_campaign=from_widget",
                       "https://code.jivosite.com/sounds/agent_message.mp3",
                       // ... other outgoing links maintained for structure
                   ]
               }
           }
       }
   ]
}
輸出訊息

Private Submit URL 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned information about the following URLs in Google Threat Intelligence: URLS.

Action couldn't find information about the following URLs in Google Threat Intelligence: URLS.

None of the provided URLs were processed in Google Threat Intelligence.

 動作成功。
Error executing action "Private Submit URL". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Private Submit URL」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

搜尋 ASM 實體

使用「Search ASM Entities」動作，在 Google Threat Intelligence 中搜尋 ASM 實體。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Search ASM Entities」(搜尋 ASM 實體) 動作需要下列參數：

參數 說明
Project Name

選填。

ASM 專案名稱。

如未設定值，動作會使用您為 ASM Project Name 整合參數設定的值。
Entity Name

選填。

以半形逗號分隔的實體名稱清單，用於尋找實體。

如果實體名稱含有 / 正斜線，這項動作會將其視為無效值。
Minimum Vulnerabilities Count

選填。

動作傳回實體所需的最低安全漏洞數量。
Minimum Issues Count

選填。

動作傳回實體所需的最低問題數量。
Tags

選填。

搜尋實體時要使用的標記名稱清單，以半形逗號分隔。
Max Entities To Return

選填。

要傳回的實體數量。

最大值為 200。預設值為 50。
Critical or High Issue

選填。

如果選取，動作只會傳回嚴重性為 High 和 Critical 的問題。

預設為未選取。

動作輸出內容

「Search ASM Entities」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Search ASM Entities」動作時，收到的 JSON 結果輸出內容：

{
 "id": "ID",
 "dynamic_id": "Intrigue::Entity::IpAddress#192.0.2.92",
 "alias_group": "1935953",
 "name": "192.0.2.92",
 "type": "Intrigue::Entity::IpAddress",
 "first_seen": "2022-02-02T01:44:46Z",
 "last_seen": "2022-02-02T01:44:46Z",
 "collection": "cpndemorange_oum28bu",
 "collection_type": "Intrigue::Collections::UserCollection",
 "collection_naics": [],
 "collection_uuid": "COLLECTION_UUID",
 "organization_uuid": "ORGANIZATION_UUID",
 "tags": [],
 "issues": [],
 "exfil_lookup_identifier": null,
 "summary": {
     "scoped": true,
     "issues": {
         "current_by_severity": {},
         "current_with_cve": 0,
         "all_time_by_severity": {},
         "current_count": 0,
         "all_time_count": 0,
         "critical_or_high": false
     },
     "task_results": [
         "search_shodan"
     ],
     "geolocation": {
         "city": "San Jose",
         "country_code": "US",
         "country_name": null,
         "latitude": "-121.8896",
         "asn": null
     },
     "ports": {
         "count": 0,
         "tcp": null,
         "udp": null
     },
     "resolutions": [
         "ec2-192-0-2-92.us-west-1.compute.example.com"
     ],
     "network": {
         "name": "EXAMPLE-02",
         "asn": "16509.0",
         "route": "2001:db8::/32",
         "type": null
     },
     "technology": {
         "cloud": true,
         "cloud_providers": [
             "Cloud Provider Name"
         ]
     }
 }
}
輸出訊息

「Search ASM Entities」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned entities based on the provided criteria in Google Threat Intelligence.

No entities were found based on the provided criteria in Google Threat Intelligence.

 動作成功。
Error executing action "Search ASM Entities". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Search ASM Entities」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

搜尋 ASM 問題

使用「Search ASM Issues」動作，在 Google Threat Intelligence 中搜尋 ASM 問題。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「搜尋 ASM 問題」動作需要下列參數：

參數 說明
Project Name

選填。

ASM 專案名稱。

如未設定值，動作會使用您為 ASM Project Name 整合參數設定的值。
Issue ID

選填。

以半形逗號分隔的問題 ID 清單，用於傳回詳細資料。
Entity ID

選填。

以半形逗號分隔的實體 ID 清單，用於尋找相關問題。
Entity Name

選填。

以半形逗號分隔的實體名稱清單，用於尋找相關問題。

如果實體名稱含有 / 正斜線，這項動作會將其視為無效值。
Time Parameter

選填。

設定問題時間的篩選器選項。

可能的值為 First Seen 和 Last Seen。

預設值為 First Seen。
Time Frame

選填。

篩選問題的時間範圍。如果選取 Custom，請設定 Start Time 參數。

可能的值如下：

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

預設值為 Last Hour。
Start Time

選填。

結果的開始時間。

如果您為 Time Frame 參數選取 Custom，則必須提供這個參數。

請以 ISO 8601 格式設定值。
End Time

選填。

結果的結束時間。

如果您為 Time Frame 參數選取 Custom，且未設定結束時間，這個參數會使用目前時間做為結束時間。

請以 ISO 8601 格式設定值。
Lowest Severity To Return

選填。

要傳回的問題最低嚴重性。

可能的值如下：

  • Select One
  • Critical
  • High
  • Medium
  • Low
  • Informational

預設值為 Select One。

如果選取「Select One」，這項篩選條件就不會套用至搜尋。
Status

選填。

搜尋的狀態篩選器。

可能的值為 Open、Closed 和 Select One。

預設值為 Select One。

如果選取「Select One」，這項篩選條件就不會套用至搜尋。
Tags

選填。

搜尋問題時要使用的標記名稱清單，以半形逗號分隔。
Max Issues To Return

這是必填欄位。

要傳回的問題數量。

最大值為 200。預設值為 50。

動作輸出內容

「搜尋 ASM 問題」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 可用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Search ASM Issues」動作時，收到的 JSON 結果輸出內容：

{
 "id": "ID",
 "uuid": "UUID",
 "dynamic_id": 20073997,
 "name": "exposed_ftp_service",
 "upstream": "intrigue",
 "last_seen": "2022-02-02T01:44:46.000Z",
 "first_seen": "2022-02-02T01:44:46.000Z",
 "entity_uid": "3443a638f951bdc23d3a089bff738cd961a387958c7f5e4975a26f12e544241f",
 "entity_type": "Intrigue::Entity::NetworkService",
 "entity_name": "192.0.2.204:24/tcp",
 "alias_group": "1937534",
 "collection": "example_oum28bu",
 "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
 "collection_type": "user_collection",
 "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
 "summary": {
     "pretty_name": "Exposed FTP Service",
     "severity": 3,
     "scoped": true,
     "confidence": "confirmed",
     "status": "open_new",
     "category": "misconfiguration",
     "identifiers": null,
     "status_new": "open",
     "status_new_detailed": "new",
     "ticket_list": null
 },
 "tags": []
}
輸出訊息

「Search ASM Issues」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned issues based on the provided criteria in Google Threat Intelligence.

No issues were found based on the provided criteria in Google Threat Intelligence.

 動作成功。
Error executing action "Search ASM Issues". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Search ASM Issues」(搜尋 ASM 問題) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

搜尋實體圖表

使用「Search Entity Graphs」動作，在 Google Threat Intelligence 中搜尋以 Google SecOps 實體為基礎的圖表。

這項動作僅支援 MD5、SHA-1 和 SHA-256 雜湊。

這項動作會在下列 Google SecOps 實體上執行：

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL
  • User

動作輸入內容

「Search Entity Graphs」(搜尋實體圖) 動作需要下列參數：

參數 說明
Sort Field

選填。

用於排序結果的欄位值。

可能的值如下：

  • Owner
  • Creation Date
  • Last Modified Date
  • Views Count
  • Comments Count

預設值為 Owner。
Max Graphs To Return

選填。

每次執行動作時，傳回的圖表數量上限。

預設值為 10。

動作輸出內容

「搜尋實體圖」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Search Entity Graphs」動作時，收到的 JSON 結果輸出內容：

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}
輸出訊息

「Search Entity Graphs」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned graphs based on the provided entities in Google Threat Intelligence.

Action wasn't able to successfully return graph based on the provided entities in Google Threat Intelligence. Reason: ERROR_REASON.

No graphs were found for the provided entities.

 動作成功。
Error executing action "Search Entity Graphs". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

搜尋圖表

使用「Search Graphs」動作，根據 Google Threat Intelligence 中的自訂篩選器搜尋圖表。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

Search Graphs 動作需要下列參數：

參數 說明
Query

這是必填欄位。

圖表的查詢篩選器。

舉例來說，如要搜尋所選期間內的圖表，請按照下列格式輸入查詢： creation_date:2018-11-1+creation_date:2018-11-12

如要進一步瞭解查詢，請參閱「如何建立查詢」、「圖表相關修飾符」和「節點相關修飾符」。
Sort Field

選填。

用於排序 VirusTotal 圖表的欄位值。

可能的值如下：

  • Comments Count
  • Creation Date
  • Last Modified Date
  • Owner
  • Views Count

預設值為 Owner。
Max Graphs To Return

選填。

每次執行動作時，傳回的圖表數量上限。

預設值為 10。

如何建立查詢

如要精確搜尋圖表結果，請建立包含圖表相關修飾符的查詢。如要改善搜尋結果，可以結合修飾符與 AND、OR 和 NOT 運算子。

日期和數字欄位支援 + 加號和 - 減號後置字串。加號後置字串會比對大於所提供值的值。減號後置字串會比對小於指定值的值。如果沒有後置字串，查詢會傳回完全比對的結果。

如要定義範圍，您可以在查詢中多次使用同一個修飾符。舉例來說，如要搜尋 2018-11-15 到 2018-11-20 之間建立的圖表，請使用下列查詢：

creation_date:2018-11-15+ creation_date:2018-11-20-

如果日期或月份開頭為 0，請移除查詢中的 0 字元。舉例來說，2018-11-01 的日期格式應為 2018-11-1。

下表列出可用於建構搜尋查詢的圖表相關修飾符：

修飾符名稱 說明 範例
id 依圖表 ID 篩選。 id:g675a2fd4c8834e288af
name 依圖表名稱篩選。 name:Example-name
owner 依使用者擁有的圖表篩選。 owner:example_user
group 依群組擁有的圖表篩選。 group:example
visible_to_user 依使用者可查看的圖表篩選。 visible_to_user:example_user
visible_to_group 依群組可查看的圖表篩選。 visible_to_group:example
private 依私人圖表篩選。 private:true、private:false
creation_date 依圖表建立日期篩選。 creation_date:2018-11-15
last_modified_date 依圖表最新修改日期篩選。 last_modified_date:2018-11-20
total_nodes 依包含特定節點數量的圖表篩選。 total_nodes:100
comments_count 依圖表中的留言數量篩選。 comments_count:10+
views_count 依圖表檢視次數篩選。 views_count:1000+

下表列出可用於建構搜尋查詢的圖表相關修飾符：

修飾符名稱 說明 範例
label 依含有特定標籤節點的圖表篩選。 label:Kill switch
file 依含有特定檔案的圖表篩選。 file:131f95c51cc819465fa17
domain 依包含特定網域的圖表篩選。 domain:example.com
ip_address 依包含特定 IP 位址的圖表篩選。 ip_address:203.0.113.1
url 依包含特定網址的圖表篩選。 url:https://example.com/example/
actor 依包含特定執行者的圖表篩選。 actor:example actor
victim 依含有特定受害者的圖表篩選。 victim:example_user
email 依包含特定電子郵件地址的圖表篩選。 email:user@example.com
department 依包含特定部門的圖表篩選。 department:engineers

動作輸出內容

「Search Graphs」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Search Graphs」動作時，收到的 JSON 結果輸出內容：

{
    "data": [
        {
            "attributes": {
                "graph_data": {
                    "description": "EXAMPLE",
                    "version": "5.0.0"
                }
            },
            "id": "ID"
        }
    ]
}
輸出訊息

「Search Graphs」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned graphs for the provided query in Google Threat Intelligence.

No graphs were found for the provided query.

 動作成功。
Error executing action "Search Graphs". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Search Graphs」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

設定 DTM 快訊分析

使用「Set DTM Alert Analysis」動作，定義 Google Threat Intelligence 中 Digital Threat Monitoring (DTM) 警告的分析。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Set DTM Alert Analysis」(設定 DTM 警示分析) 動作需要下列參數：

參數 說明
Alert ID

這是必填欄位。

要新增分析的警告 ID。
Text

這是必填欄位。

要新增至快訊的分析。
Attachment File Paths

選填。

以半形逗號分隔的檔案路徑清單，用於附加至快訊。

最多可上傳 10 個附件。

動作輸出內容

「Set DTM Alert Analysis」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果。 可用
輸出訊息

Set DTM Alert Analysis 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully updated the alert with the ID ALERT_ID in Google Threat Intelligence.

 動作成功。
Error executing action "Set DTM Alert Analysis". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Set DTM Alert Analysis」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

提交檔案

使用「提交檔案」動作提交檔案，並傳回 Google Threat Intelligence 的結果。

這項動作不會在 Google SecOps 實體上執行。

這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的指令碼逾時值。

動作輸入內容

「Submit File」動作需要下列參數：

參數 說明
GTI Score

選填。

Google Threat Intelligence 分數，用於在 JSON 結果中將 is_risky 屬性設為 true。這項條件會與 Google Threat Intelligence 判定資訊一併驗證。

如未提供值，動作會忽略 Google Threat Intelligence 分數。

預設值為 60。
Engine Threshold

選填。

必須將實體標示為惡意或可疑的安全性引擎數量下限，才能將 is_risky 屬性設為 true。這項條件會與 Google Threat Intelligence 判定資訊一併驗證。

如果 Engine Allowlist 包含值，系統只會計算這些特定引擎的結果。

如未提供值，動作會忽略引擎計數計算。
Engine Percentage Threshold

選填。

安全引擎將實體標示為惡意或可疑的最低百分比，以便將 is_risky 屬性設為 true (0 和 100)。

如果 Engine Allowlist 包含值，系統只會根據這些特定引擎計算百分比。

如果同時提供 Engine Threshold 和 Engine Percentage Threshold，系統會優先採用 Engine Threshold。

如未提供值，動作會忽略百分比計算。
Engine Allowlist

選填。

以半形逗號分隔的安全性引擎清單，用於判斷惡意程度 (例如 AlienVault,Kaspersky)。

如果引擎未傳回實體相關資訊，就不會納入 Engine Threshold 和 Engine Percentage Threshold 的計算範圍。

如未提供值，動作會從每個可用的引擎擷取結果。
External URLs

選填。

以半形逗號分隔的清單，列出要提交檔案的公開網址。如果同時提供「外部網址」和「檔案路徑」，這項動作會從這兩個輸入來源收集檔案。
File Paths

選填。

以半形逗號分隔的絕對檔案路徑清單。如果設定「Linux 伺服器位址」參數，這項動作會嘗試從遠端伺服器擷取檔案。如果同時提供「外部網址」和「檔案路徑」，這項動作會從這兩個輸入來源收集檔案。
Check Hash First

選用。預設：停用。

如果啟用，動作會先計算檔案的雜湊值，並搜尋是否有任何可用資訊。如果有的話，系統會傳回資訊，而不會顯示提交流程。
Resubmit After (Days)

選填。

重新提交檔案前，動作應等待的天數 (即使 GTI 資料庫中有該檔案的雜湊值)。

必須啟用 Check Hash First，才能使用這項參數。

預設值為 30。
Fetch MITRE Details

選填。

如果選取，動作會傳回相關 MITRE 技術和戰術的資訊。

預設為未選取。
Lowest MITRE Technique Severity

選填。

要傳回的最低 MITRE 技術嚴重性。

這項動作會將 Unknown 嚴重程度視為 Info。

這項參數僅支援雜湊實體。

預設值為 Low。
Private Submission

選填。

如果選取，這項動作會以私人模式提交檔案。

如要以不公開的方式提交檔案，則必須使用 VirusTotal Premium API。
Retrieve Comments

選填。

如果選取，這項動作會擷取提交檔案的相關註解。
Max Comments To Return

選填。

每次執行動作時傳回的留言數量上限。
Linux Server Address

選填。

檔案所在遠端 Linux 伺服器的 IP 位址。
Linux Username

選填。

檔案所在遠端 Linux 伺服器的使用者名稱。
Linux Password

選填。

檔案所在遠端 Linux 伺服器的密碼。
ZIP Password

選填。

壓縮資料夾的密碼，該資料夾內含要提交的檔案。

動作輸出內容

「Submit File」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 可用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果。 可用

Submit File 動作可能會傳回下列連結：

報表連結 PATH： URL

JSON 結果

以下範例顯示使用「Submit File」動作時，收到的 JSON 結果輸出內容：

{
    "data": {
        "attributes": {
            "categories": {
                "Dr.Web": "known infection source/not recommended site",
                "Forcepoint ThreatSeeker": "compromised websites",
                "sophos": "malware repository, spyware and malware"
            },
            "first_submission_date": 1582300443,
            "html_meta": {},
            "last_analysis_date": 1599853405,
            "last_analysis_results": {
                "ADMINUSLabs": {
                    "category": "harmless",
                    "engine_name": "ADMINUSLabs",
                    "method": "blacklist",
                    "result": "clean"
                },
                "AegisLab WebGuard": {
                    "category": "harmless",
                    "engine_name": "AegisLab WebGuard",
                    "method": "blacklist",
                    "result": "clean"
                },
            },
            "last_analysis_stats": {
                "harmless": 64,
                "malicious": 6,
                "suspicious": 1,
                "timeout": 0,
                "undetected": 8
            },
            "last_final_url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event",
            "last_http_response_code": 404,
            "last_http_response_content_length": 204,
            "last_http_response_content_sha256": "HASH_VALUE",
            "last_http_response_headers": {
                "connection": "keep-alive",
                "content-length": "204",
                "content-type": "text/html; charset=iso-8859-1",
                "date": "Fri, 11 Sep 2020 19:51:50 GMT",
                "keep-alive": "timeout=60",
                "server": "nginx"
            },
            "last_modification_date": 1599853921,
            "last_submission_date": 1599853405,
            "reputation": 0,
            "tags": [
                "ip"
            ],
            "targeted_brand": {},
            "threat_names": [
                "Mal/HTMLGen-A"
            ],
            "times_submitted": 3,
            "title": "404 Not Found",
            "total_votes": {
                "harmless": 0,
                "malicious": 0
            },
            "trackers": {},
            "url": "http://192.0.2.15/input/?mark=20200207-example.com/31mawe&tpl=ID&engkey=bar+chart+click+event"
        },
        "id": "ID",
        "links": {
            "self": "https://www.virustotal.com/api/v3/urls/ID"
        },
        "type": "url",
        "comments": [
"text": "attributes/text",
"date": "attributes/date"
]
    }
    "is_risky": true,
"related_mitre_techniques": [{"id": "T1071", "name": "", "severity": ""}],
"related_mitre_tactics": [{"id":"TA0011", "name": ""}],
"generated_ai_summary" : "summary_text_here…"
}
輸出訊息

「Submit File」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details about the following files using Google Threat Intelligence:PATHS.

The action wasn't able to return details about the following files using Google Threat Intelligence: PATHS.

The action wasn't able to find the following files: PATHS.

The action didn't retrieve any details about the files or none of the files were found.

The action is waiting for results for the following files: PATHS.

The action failed to fetch an AI summary for the following files: PATHS. To generate AI summary, check for sufficient permissions and try again.

 動作成功。
Error executing action "Submit File". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
Error executing action "Submit File". Reason: ERROR_REASON

沒有「檔案路徑」或「外部網址」值

「檔案路徑」或「外部網址」參數至少須有一個值。
指令碼執行結果

下表列出使用「Submit File」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新 ASM 問題

使用「Update ASM Issue」(更新 ASM 問題) 動作，在 Google Threat Intelligence 中更新 ASM 問題。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update ASM Issue」動作需要下列參數：

參數 說明
Issue ID

這是必填欄位。

要更新的問題 ID。
Status

這是必填欄位。

要為問題設定的新狀態。

可能的值如下：

  • Select One
  • New
  • Triaged
  • In Progress
  • Resolved
  • Duplicate
  • Out Of Scope
  • Not A Security Issue (Benign)
  • Risk Accepted
  • False Positive
  • Unable To Reproduce
  • Tracked Externally
  • Mitigated

預設值為 Select One。如果使用預設值，動作就會失敗。

動作輸出內容

「Update ASM Issue」(更新 ASM 問題) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Update ASM Issue」動作時，收到的 JSON 結果輸出內容：

{
    "success": true,
    "message": "Successfully reported status as open_new",
    "result": "open_new"
}
輸出訊息

「Update ASM Issue」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully updated issue with ID "ISSUE_ID" in Google Threat Intelligence. 動作成功。
Error executing action "Update ASM Issue". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Update ASM Issue」(更新 ASM 問題) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

更新 DTM 快訊

使用「Update DTM Alert」(更新 DTM 快訊) 動作，更新 Google Threat Intelligence 中的 Mandiant Digital Threat Monitoring 快訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update DTM Alert」(更新 DTM 警告) 動作需要下列參數：

參數 說明
Alert ID

這是必填欄位。

要更新的快訊 ID。
Status

選填。

要為快訊設定的新狀態。

可能的值如下：

  • Select One
  • New
  • Read
  • Resolved
  • Escalated
  • In Progress
  • No Action Required
  • Duplicate
  • Not Relevant
  • Tracked Externally

預設值為 Select One。如果使用預設值，動作就會失敗。

動作輸出內容

「Update DTM Alert」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Update DTM Alert」動作時，收到的 JSON 結果輸出內容：

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}
輸出訊息

「Update DTM Alert」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully updated alert with ID INCIDENT_ID in Google Threat Monitoring. 動作成功。
Error executing action "Update DTM Alert". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Update DTM Alert」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Google Threat Intelligence - DTM 快訊連接器

使用 Google Threat Intelligence - DTM Alerts 連接器，從 Google Threat Intelligence 擷取快訊。如要使用動態清單，請使用 alert_type 參數。

連接器輸入

Google Threat Intelligence - DTM Alerts Connector 需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。

預設值為 Product Name。
Event Field Name

這是必填欄位。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 event_type。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。

預設值為 ""。
Environment Regex Pattern

選填。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Script Timeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root

這是必填欄位。

Google Threat Intelligence 執行個體的 API 根目錄。

預設值為 https://www.virustotal.com。
API Key

這是必填欄位。

Google Threat Intelligence API 金鑰。
Lowest Severity To Fetch

選填。

要擷取的快訊最低嚴重性。

如未設定這項參數，連接器會擷取所有嚴重性等級的警告。

可能的值如下：

  • Low
  • Medium
  • High
Monitor ID Filter

選填。

以半形逗號分隔的監控 ID 清單，用於擷取快訊。
Monitor Name Filter

選填。

以半形逗號分隔的監控名稱清單，用於擷取警告。

如果有多個監控器使用相同名稱，連接器會從所有監控器擷取資料。

系統會使用「或」邏輯，一併評估這項參數和監控 ID 值。
Event Type Filter

選填。

以半形逗號分隔的事件類型清單，用於傳回事件。

輸入內容不區分大小寫。如未提供值，連接器會處理所有事件類型。

如要排除特定類型，請在前面加上驚嘆號 (例如 !event_type)。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。

(預設為啟用)。
Max Hours Backwards

這是必填欄位。

要擷取多久以前的快訊 (以小時為單位)。

這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。

預設值為 1。
Max Alerts To Fetch

這是必填欄位。

每次連接器疊代要處理的警告數量。

最大值為 25。預設值為 25。
Use dynamic list as a blocklist

這是必填欄位。

如果選取，連接器會將動態清單做為封鎖清單。

預設為未選取。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Google Threat Intelligence 伺服器時，驗證 SSL 憑證。

(預設為啟用)。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。
Anonymize Passwords

選填。

如果選取這個選項，連接器會將快訊資料中的密碼欄位匿名化，方法是以星號取代字元，只顯示第一個和最後一個字元。

連接器規則

Google Threat Intelligence - DTM Alerts Connector 支援 Proxy。

連接器事件

Google Threat Intelligence - DTM Alerts 連接器有兩種事件類型：以主要警示為基礎的事件，以及以主題為基礎的事件。

以下是根據主要快訊產生的連接器事件範例：

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "user@example.com",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "user@example.com",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://example.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

以下是根據主題建立的連接器事件範例：

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

Google Threat Intelligence - GTI 快訊連接器

使用 Google Threat Intelligence - GTI Alerts 連接器，從 Google Threat Intelligence 擷取 Google Threat Intelligence 暗網情報警告、發現項目、文件和相關聯實體。

這個連接器會使用動態清單篩選 detailType 值。

用途

Google Threat Intelligence - GTI Alerts 連接器可協助資安營運團隊，自動將暗網情報 (DWI) 和威脅警示擷取並分類至 Google SecOps。針對每個擷取的快訊，連接器會將主要快訊、相關發現項目、暗網文件和多值入侵指標 (IOC) 對應至不同的 Google SecOps 事件，以便自動調查及應變。

連接器輸入

使用下列參數設定這個連接器：

參數 說明
DeviceProductField

這是必填欄位。

決定裝置產品的欄位名稱。

預設值為 Product Name。
EventClassId

這是必填欄位。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 eventType。
PythonProcessTimeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。
Environment Regex Pattern

選填。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
API Root

這是必填欄位。

Google Threat Intelligence 執行個體的 API 根目錄，包括 Google Cloud 專案路徑 (例如 https://threatintelligence.googleapis.com/v1beta/projects/YOUR_PROJECT_ID)。

預設值為 https://threatintelligence.googleapis.com。
API Key

這是必填欄位。

Google Threat Intelligence API 金鑰。
Lowest Severity To Fetch

選填。

要擷取的快訊最低嚴重性。

如未設定這項參數，連接器會擷取所有嚴重性等級的警告。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
  • Informational
Alert Type Filter

選填。

以半形逗號分隔的暗網警示 detailType 值清單 (例如 data_leak, insider_threat, initial_access_broker, target_technology)。
Max Hours Backwards

這是必填欄位。

初始連接器疊代前，要擷取快訊的小時數。

預設值為 1。
Max Alerts To Fetch

這是必填欄位。

每個連接器疊代可處理的警告數量上限。

最大值為 100。

預設值為 25。
Use dynamic list as a blocklist

這是必填欄位。

如果選取，連接器會將動態清單做為封鎖清單。
Verify SSL

這是必填欄位。

如果選取，連接器會驗證用於連線至 Google Threat Intelligence 的 SSL 憑證是否有效。

(預設為啟用)。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。

(預設為啟用)。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。

Proxy 支援

連接器支援 Proxy。

連接器事件

以下範例顯示由 Google Threat Intelligence - GTI Alerts Connector 產生的自訂事件：

{
  "name": "projects/gti-project/alerts/alert-123",
  "displayName": "Leaked Credentials Alert",
  "detail_detailType": "leaked_credentials",
  "detail_leakedCredentials_severity": "HIGH",
  "severityAnalysis_severityLevel": "SEVERITY_LEVEL_HIGH",
  "priorityAnalysis_priorityLevel": "PRIORITY_LEVEL_HIGH",
  "aiSummary": "Leaked credentials detected for Cymbal Bank.",
  "audit_createTime": "2026-09-15T10:00:00Z",
  "audit_updateTime": "2026-09-15T10:00:00Z",
  "eventType": "Alert",
  "id": "projects/gti-project/alerts/alert-123",
  "title": "Leaked Credentials Alert",
  "alert_type": "leaked_credentials",
  "severity": "HIGH",
  "priority": "HIGH",
  "ai_summary": "Leaked credentials detected for Cymbal Bank.",
  "created_at": "2026-09-15T10:00:00Z"
}

Google Threat Intelligence - ASM Issues 連接器

使用 Google Threat Intelligence - ASM Issues Connector，從 Google Threat Intelligence 擷取 ASM 問題的相關資訊。如要使用動態清單篩選器，請使用 category 參數。

連接器輸入

Google Threat Intelligence - ASM Issues 連接器需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。

預設值為 Product Name。
Event Field Name

這是必填欄位。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 entity_type。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。

預設值為 ""。
Environment Regex Pattern

選填。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Script Timeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root

這是必填欄位。

Google Threat Intelligence 執行個體的 API 根目錄。

預設值為 https://www.virustotal.com。
API Key

這是必填欄位。

Google Threat Intelligence API 金鑰。
Project Name

選填。

ASM 專案名稱。

如未設定值，系統只會傳回主要專案中集合的快訊。
Active Group

選填。

多租戶環境的 Active Group (組織環境) ID。如果 ASM 專案位於主要組織以外的組織，就必須提供這項資訊。
Lowest Severity To Fetch

選填。

要擷取的快訊最低嚴重性。

如未設定這項參數，連接器會擷取所有嚴重性等級的警告。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
  • Informational
Issue Name Filter

選填。

以半形逗號分隔的問題清單，列出要擷取的問題。

輸入內容須區分大小寫。如果直接列出名稱，連接器會使用「包含」篩選器，只擷取相符的問題。

如要排除特定問題，請在名稱前加上驚嘆號 (例如 !issue_name)。

如未提供值，系統就不會套用篩選器，並會擷取所有問題。
Status Filter

選填。

以半形逗號分隔的問題狀態清單，用於擷取問題。

如未提供任何值，連接器只會處理未解決的問題。

可能的值如下：

  • Open
  • Closed

預設值為 Open。
Event Type Filter

選填。

以半形逗號分隔的事件類型清單，用於傳回事件。

輸入內容不區分大小寫。如未提供值，連接器會處理所有事件類型。

如要排除特定類型，請在前面加上驚嘆號 (例如 !event_type)。
Max Hours Backwards

這是必填欄位。

要擷取多久以前的快訊 (以小時為單位)。

這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。

預設值為 1。
Max Issues To Fetch

這是必填欄位。

每次連接器疊代要處理的問題數量。

最大值為 100。預設值為 10。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。

(預設為啟用)。
Use dynamic list as a blocklist

這是必填欄位。

如果選取，連接器會將動態清單做為封鎖清單。

預設為未選取。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Google Threat Intelligence 伺服器時，驗證 SSL 憑證。

(預設為啟用)。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。

連接器事件

Google Threat Intelligence - ASM Issues Connector 事件範例如下：

{
   "uuid": "UUID",
   "dynamic_id": 25590288,
   "entity_uid": "9bae9d6f931c5405ad95f0a51954cf8f7193664f0808aadc41c8b25e08eb9bc3",
   "alias_group": null,
   "category": "vulnerability",
   "confidence": "confirmed",
   "description": "A crafted request uri-path can cause mod_proxy to forward the request to an origin server chosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.",
   "details": {
       "added": "2021-10-15",
       "proof": "The following resolver IP Address: 203.0.113.132:50408 invoked a DNS Lookup with the following data <empty> at 2023-02-03T03:41:48Z using the UUID associated with this entity.",
       "status": "confirmed",
       "severity": 1,
       "references": [
           {
               "uri": "https://example.com/vuln/detail/CVE-2021-40438",
               "type": "description"
           },
           {
               "uri": "https://httpd.example.org/security/vulnerabilities_24.html",
               "type": "description"
           },
           {
               "uri": "https://example.com/cve-2021-40438",
               "type": "description"
           }
       ],
       "remediation": null
   },
   "first_seen": "2022-11-28T03:24:48.000Z",
   "identifiers": [
       {
           "name": "CVE-2021-40438",
           "type": "CVE"
       }
   ],
   "last_seen": "2023-02-03T03:41:48.000Z",
   "name": "cve_2021_40438",
   "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
   "scoped": true,
   "severity": 1,
   "source": null,
   "status": "open_in_progress",
   "ticket_list": null,
   "type": "standard",
   "uid": "UID",
   "upstream": "intrigue",
   "created_at": "2022-11-28T03:34:31.124Z",
   "updated_at": "2023-02-03T04:03:44.126Z",
   "entity_id": 298912419,
   "collection_id": 117139,
   "collection": "example_oum28bu",
   "collection_type": "user_collection",
   "collection_uuid": "511311a6-6ff4-4933-8f5b-f1f7df2f6a3e",
   "organization_uuid": "21d2d125-d398-4bcb-bae1-11aee14adcaf",
   "entity_name": "http://192.0.2.73:80",
   "entity_type": "Intrigue::Entity::Uri",  


   "Intrigue::Entity::Uri": "http://192.0.2.73:80",


   "summary": {
       "pretty_name": "Apache HTTP Server Side Request Forgery (CVE-2021-40438)",
       "severity": 1,
       "scoped": true,
       "confidence": "confirmed",
       "status": "open_in_progress",
       "category": "vulnerability",
       "identifiers": [
           {
               "name": "CVE-2021-40438",
               "type": "CVE"
               "CVE": "CVE-2021-40438"
           }
       ],
       "status_new": "open",
       "status_new_detailed": "in_progress",
       "ticket_list": null
   },
   "tags": []
}

Google Threat Intelligence - Livehunt 連接器

使用 Google Threat Intelligence - Livehunt 連接器，從 Google Threat Intelligence 擷取 Livehunt 通知和相關檔案的資訊。如要使用動態清單，請使用 rule_name 參數。

連接器輸入

Google Threat Intelligence - Livehunt 連接器需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。

預設值為 Product Name。
Event Field Name

這是必填欄位。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 type。
Environment Field Name

選填。

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。

預設值為 ""。
Environment Regex Pattern

選填。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
Script Timeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
API Root

這是必填欄位。

Google Threat Intelligence 執行個體的 API 根目錄。

預設值為 https://www.virustotal.com。
API Key

這是必填欄位。

Google Threat Intelligence API 金鑰。
Entity Type Filter

選填。

以逗號分隔的實體類型清單，用於篩選通知 (例如：file、url、domain、ip_address)。如果留空，系統會擷取所有實體類型。

預設值為 file。
Max Hours Backwards

這是必填欄位。

要擷取多久以前的快訊 (以小時為單位)。

這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。

預設值為 1。
Max Notifications To Fetch

這是必填欄位。

每個連接器疊代中要處理的通知數量。

預設值為 40。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。

(預設為啟用)。
Use dynamic list as a blocklist

這是必填欄位。

如果選取，連接器會將動態清單做為封鎖清單。

預設為未選取。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Google Threat Intelligence 伺服器時，驗證 SSL 憑證。

(預設為啟用)。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。

連接器規則

Google Threat Intelligence - Livehunt 連接器支援 Proxy。

連接器事件

Google Threat Intelligence - Livehunt 連接器事件範例如下：

{
    "attributes": {
        "type_description": "Win32 DLL",
        "tlsh": "T1E6A25B41AF6020B3EAF508F135F6D913A930B7110AA4C957774B86511FB4BC3BE7AA2D",
        "vhash": "124056651d15155bzevz36z1",
        <! CONTENT OMITTED >
        "last_analysis_date": 1645620534,
        "unique_sources": 8,
        "first_submission_date": 1562871116,
        "sha1": "3de080d32b14a88a5e411a52d7b43ff261b2bf5e",
        "ssdeep": "384:wBvtsqUFEjxcAfJ55oTiwO5xOJuqn2F9BITqGBRnYPLxDG4y8jm+:e1YOcAfGnOmJuqn2LBITqGfWDG4yR+",
        "md5": "6a796088cd3d1b1d6590364b9372959d",
        "magic": "PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bit",
        "last_analysis_stats": {
            "harmless": 0,
            "type-unsupported": 5,
            "suspicious": 0,
            "confirmed-timeout": 0,
            "timeout": 14,
            "failure": 4,
            "malicious": 0,
            "undetected": 49
        },
        "reputation": 0,
        "first_seen_itw_date": 1536433291
    },
    "type": "file",
    "id": "ID",
    "links": {
        "self": "https://www.virustotal.com/api/v3/files/ID"
    },
    "context_attributes": {
        "notification_id": "6425310189355008-7339e39660589ca2ec996c1c15ca5989-ID-1645620534",
        "notification_source_key": "KEY",
        "notification_tags": [
            "cve_pattern",
            "ID",
            "cverules"
        ],
        "ruleset_name": "cverules",
        "notification_source_country": "KR",
        "rule_name": "cve_pattern",
        "notification_snippet": "",
        "ruleset_id": "6425310189355008",
        "rule_tags": [],
        "notification_date": 1645620832,
        "match_in_subfile": false
    }
}

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。