Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

将 Mandiant 威胁情报与 Google SecOps 集成

本文档介绍了如何将 Mandiant 威胁情报与 Google Security Operations 集成。

使用场景

Mandiant 威胁情报 集成使用 Google SecOps 功能来支持以下用例：

自动分类和评分：使用 Mandiant 严重程度评分 (M-Score) 丰富活跃案例中的实体（IP、哈希、主机名、网址），以自动确定可疑状态，并根据配置的阈值确定高风险指标的优先级。
威胁关联和调查：从指标（IP、哈希或网址）透视，以检索和关联相关的 Mandiant 对象，包括与观察到的活动关联的威胁执行者、恶意软件系列和漏洞 (CVE)。
主动搜寻和修复：使用已知恶意软件或威胁行为者名称（来自外部报告）检索所有相关的失陷指标 (IOC)，例如新识别的文件哈希或 IP，以便在整个环境中进行防御性屏蔽或主动搜寻。

准备工作

此集成提供原生平台功能，无需外部第三方 API 密钥或凭证即可进行身份验证。在开始之前，请确保已从 Google SecOps 实例中的内容中心安装集成。

集成参数

Mandiant 威胁情报集成需要以下参数：

参数	说明
`UI Root`	必填。 Mandiant 实例的界面根。
`API Root`	必填。 Mandiant 实例的 API 根。如需使用 Google Threat Intelligence 凭据进行身份验证，请输入以下值：`https://www.virustotal.com`。
`Client ID`	可选。 Mandiant 威胁情报账号的客户端 ID。如需在 Mandiant 威胁情报中生成客户端 ID，请依次前往账号设置 > API 访问权限和密钥 > 获取密钥 ID 和密钥。
`Client Secret`	可选。 Mandiant 威胁情报账号的客户端密钥。如需在 Mandiant 威胁情报中生成客户端密钥，请依次前往账号设置 > API 访问权限和密钥 > 获取密钥 ID 和密钥。
`GTI API Key`	可选。 Google Threat Intelligence 的 API 密钥。如需使用 Google Threat Intelligence 进行身份验证，请将 `API Root` 值设置为 `https://www.virustotal.com`。当您使用 Google Threat Intelligence API 密钥进行身份验证时，该密钥的优先级高于其他身份验证方法。
`Verify SSL`	必填。如果选中此选项，则集成会在连接到 Mandiant 威胁情报服务器时验证 SSL 证书。默认处于启用状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅在工作桌上响应待处理的操作和在案例中运行手动操作。

丰富实体

使用丰富实体操作，利用 Mandiant 威胁情报中的信息丰富实体。

此操作在以下 Google SecOps 实体上运行：

CVE
Domain
File Hash
Hostname
IP Address
Threat Actor
URL

操作输入

Enrich Entities 操作需要以下参数：

参数说明

参数	说明
`Severity Score Threshold`	必填。实体必须达到或超过的最低严重程度分数，才能被标记为可疑。该操作只能将以下指标标记为可疑： `Hostname` `IP Address` `File Hash` `URL` 最大值为 `100`。默认值为 `50`。
`Create Insight`	可选。如果选择此选项，该操作会创建一个数据分析，其中包含检索到的有关实体的所有信息。默认处于启用状态。
`Only Suspicious Entity Insight`	可选。如果选择此选项，该操作只会针对根据配置的严重级别阈值确定为可疑的实体生成数据分析。无论 `Threat Actor` 和 `Vulnerability` 实体的可疑状态如何，系统始终会为其创建数据分析。注意：必须为此参数启用 `Create Insight`。

Severity Score Threshold

必填。

实体必须达到或超过的最低严重程度分数，才能被标记为可疑。

该操作只能将以下指标标记为可疑：

Hostname
IP Address
File Hash
URL

最大值为 100。

默认值为 50。

Create Insight

可选。

如果选择此选项，该操作会创建一个数据分析，其中包含检索到的有关实体的所有信息。

默认处于启用状态。

Only Suspicious Entity Insight

可选。

如果选择此选项，该操作只会针对根据配置的严重级别阈值确定为可疑的实体生成数据分析。

无论 Threat Actor 和 Vulnerability 实体的可疑状态如何，系统始终会为其创建数据分析。

注意：必须为此参数启用 Create Insight。

操作输出

丰富实体操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
实体丰富化表	可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

实体丰富化表

下表列出了使用丰富实体操作时指标丰富的值：

扩充项字段	来源（JSON 密钥）	适用性
`first_seen`	`first_seen`	当 JSON 结果中提供时。
`last_seen`	`last_seen`	当 JSON 结果中提供时。
`sources`	包含唯一 `sources/source_name` 值的 CSV 文件。	当 JSON 结果中提供时。
`mscore`	`mscore`	当 JSON 结果中提供时。
`attributed_associations_{associated_associations/type}`	一个 CSV 文件，其中包含每种 `attributed_associations/type` 类型的 `attributed_associations/name` 密钥（每种类型一个密钥）。	当 JSON 结果中提供时。
`report_link`	精心打造。	当 JSON 结果中提供时。

下表列出了使用丰富实体操作时Threat Actors实体的丰富值：

扩充项字段	来源（JSON 密钥）	适用性
`motivations`	`motivations/name` 值的 CSV。	当 JSON 结果中提供时。
`aliases`	`aliases/name` 值的 CSV。	当 JSON 结果中提供时。
`industries`	`industries/name` 值的 CSV。	当 JSON 结果中提供时。
`malware`	`malware/name` 值的 CSV。	当 JSON 结果中提供时。
`locations\_source`	`locations/source/country/name` 值的 CSV。	当 JSON 结果中提供时。
`locations\_target`	`locations/target/name` 值的 CSV。	当 JSON 结果中提供时。
`cve`	`cve/cve\_id` 值的 CSV。	当 JSON 结果中提供时。
`description`	`description`	当 JSON 结果中提供时。
`last\_activity\_time`	`last\_activity\_time`	当 JSON 结果中提供时。
`report\_link`	精心打造。	当 JSON 结果中提供时。

下表列出了使用丰富实体操作时Vulnerability实体的丰富值：

扩充项字段	来源（JSON 密钥）	适用性
`sources`	`source_name` 值的 CSV。	当 JSON 结果中提供时。
`exploitation_state`	`exploitation_state`	当 JSON 结果中提供时。
`date_of_disclosure`	`date_of_disclosure`	当 JSON 结果中提供时。
`vendor_fix_references`	`vendor_fix_references/url`	当 JSON 结果中提供时。
`title`	`title`	当 JSON 结果中提供时。
`exploitation_vectors`	`exploitation_vectors` 值的 CSV。	当 JSON 结果中提供时。
`description`	`description`	当 JSON 结果中提供时。
`risk_rating`	`risk_rating`	当 JSON 结果中提供时。
`available_mitigation`	`available_mitigation` 值的 CSV。	当 JSON 结果中提供时。
`exploitation_consequence`	`exploitation_consequence`	当 JSON 结果中提供时。
`report_link`	Crafted	当 JSON 结果中提供时。

JSON 结果

以下示例展示了使用丰富实体操作时收到的指标的 JSON 结果输出：

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下示例展示了使用丰富实体操作时收到的 Threat Actor 实体的 JSON 结果输出：

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下示例展示了使用丰富实体操作时收到的 Vulnerability 实体的 JSON 结果输出：

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

输出消息

Enrich Entities 操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully enriched the following entities using information from Mandiant: ENTITY_ID` `Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID` `None of the provided entities were enriched.`	操作成功。
`Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

操作成功。

Error executing action MandiantThreatIntelligence - Enrich
      Entities. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表列出了使用丰富实体操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

丰富 IOC

使用丰富 IOC 操作从 Mandiant 检索有关特定 IOC 的威胁情报数据。

此操作不会在 Google SecOps 实体上运行。

操作输入

丰富 IOC 操作需要以下参数：

参数说明

参数	说明
`IOC Identifiers`	必填。要检索其威胁情报数据的 IOC 的逗号分隔列表。

IOC Identifiers

必填。

要检索其威胁情报数据的 IOC 的逗号分隔列表。

操作输出

Enrich IOCs 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用丰富 IOC 操作时收到的 JSON 结果输出：

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

输出消息

Enrich IOCs 操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully enriched the following IOCs using information from Mandiant: IOC_ID` `Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.` `No IOCs were enriched.`	操作成功。
`Error executing action "Enrich IOCs". Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

操作成功。

Error executing action "Enrich IOCs". Reason:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表列出了使用丰富 IOC 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

获取恶意软件详细信息

使用获取恶意软件详细信息操作，从 Mandiant 威胁情报获取有关恶意软件的信息。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取恶意软件详细信息操作需要以下参数：

参数	说明
`Malware Names`	必填。要扩充的恶意软件名称的逗号分隔列表。
`Create Insight`	可选。如果选择此选项，该操作会创建一个包含有关实体的所有检索到的信息的分析。默认处于启用状态。
`Fetch Related IOCs`	可选。如果选择此选项，该操作会提取与提供的恶意软件相关的指标。默认处于启用状态。
`Max Related IOCs To Return`	可选。该操作针对每个恶意软件条目处理的相关指标数量上限。默认值为 `100`。

操作输出

获取恶意软件详细信息操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取恶意软件详细信息操作时收到的 JSON 结果输出：

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

输出消息

获取恶意软件详细信息操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.` `Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.` `No malware information was found.`	操作成功。
`Error executing action "Get Malware Details". Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

操作成功。

Error executing action "Get Malware Details". Reason:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表列出了使用获取恶意软件详细信息操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

获取相关实体

使用 Get Related Entities 操作，根据 Mandiant 威胁情报中的信息，获取与实体相关的失陷指标 (IOC) 的详细信息。

此操作在以下 Google SecOps 实体上运行：

Domain
File Hash
Hostname
IP Address
Threat Actor
URL

操作输入

获取相关实体操作需要以下参数：

参数说明

参数	说明
`Lowest Severity Score`	必填。指标必须满足的最低严重级别分数，才能包含在结果中。最大值为 `100`。默认值为 `50`。
`Max IOCs To Return`	可选。该操作为每个已处理实体检索的 IOC 数量上限。默认值为 `100`。

Lowest Severity Score

必填。

指标必须满足的最低严重级别分数，才能包含在结果中。

最大值为 100。

默认值为 50。

Max IOCs To Return

可选。

该操作为每个已处理实体检索的 IOC 数量上限。

默认值为 100。

操作输出

获取相关实体操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取相关实体操作时收到的 JSON 结果输出：

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}

输出消息

获取相关实体操作可以返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID` `No related indicators were found for the following entities using information from Mandiant: ENTITY_ID` `No related indicators were found.`	操作成功。
`Error executing action "Get Related Entities". Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

操作成功。

Error executing action "Get Related Entities". Reason:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表列出了使用获取相关实体操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

Ping

使用 Ping 操作测试与 Mandiant 威胁情报的连接性。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

Ping 操作可能会返回以下输出消息：

输出消息消息说明

Successfully connected to the Mandiant server with the provided connection parameters! 操作成功。

输出消息	消息说明
`Successfully connected to the Mandiant server with the provided connection parameters!`	操作成功。
`Failed to connect to the Mandiant server! Error is ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Failed to connect to the Mandiant server! Error is
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`