整合 Mandiant 威脅情報與 Google SecOps

本文說明如何將 Mandiant 威脅情報與 Google Security Operations 整合。

用途

Mandiant Threat Intelligence 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 自動分類和評分：使用 Mandiant 嚴重程度分數 (M-Score) 充實有效案件中的實體 (IP、雜湊、主機名稱、網址)，根據設定的門檻自動判斷可疑狀態，並優先處理高風險指標。

  • 威脅關聯與調查：從指標 (IP、雜湊或網址) 擷取及關聯相關聯的 Mandiant 物件，包括與觀察到的活動連結的威脅發動者、惡意軟體系列和安全漏洞 (CVE)。

  • 主動獵捕和修復：使用已知惡意軟體或威脅執行者名稱 (來自外部報告)，擷取所有相關入侵指標 (IOC)，例如新識別的檔案雜湊或 IP，以便在整個環境中進行防禦性封鎖或主動獵捕。

事前準備

這項整合功能提供原生平台功能，不需要外部第三方 API 金鑰或憑證即可進行驗證。開始之前，請確認已從 Google SecOps 執行個體的內容中心安裝整合項目。

整合參數

Mandiant 威脅情報整合功能需要下列參數：

參數 說明
UI Root

這是必填欄位。

Mandiant 執行個體的 UI 根目錄。
API Root

這是必填欄位。

Mandiant 執行個體的 API 根目錄。

如要使用 Google Threat Intelligence 憑證進行驗證，請輸入下列值：https://www.virustotal.com。
Client ID

選填。

Mandiant 威脅情報帳戶的用戶端 ID。

如要在 Mandiant 威脅情報產生用戶端 ID，請依序前往 「Account settings」(帳戶設定) >「API access and keys」(API 存取權和金鑰) >「Get key ID and secret」(取得金鑰 ID 和密鑰)。
Client Secret

選填。

Mandiant 威脅情報帳戶的用戶端密鑰。

如要在 Mandiant 威脅情報中產生用戶端密鑰，請依序前往「Account settings」(帳戶設定) >「API access and keys」(API 存取權和金鑰) >「Get key ID and secret」(取得金鑰 ID 和密鑰)。
GTI API Key

選填。

Google Threat Intelligence 的 API 金鑰。

如要使用 Google Threat Intelligence 進行驗證，請將 API Root 值設為 https://www.virustotal.com。

使用 Google Threat Intelligence API 金鑰驗證時，系統會優先採用此方法，而非其他驗證方式。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Mandiant 威脅情報伺服器時驗證 SSL 憑證。

(預設為啟用)。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

充實實體

使用「Enrich Entities」(充實實體) 動作，利用 Mandiant 威脅情報的資訊充實實體。

這項動作會在下列 Google SecOps 實體上執行：

  • CVE
  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

動作輸入內容

「Enrich Entities」動作需要下列參數：

參數 說明
Severity Score Threshold

這是必填欄位。

實體必須達到或超過最低嚴重性分數，才會標示為可疑。

這項動作只能將下列指標標示為可疑：

  • Hostname
  • IP Address
  • File Hash
  • URL

最大值為 100。

預設值為 50。
Create Insight

選填。

如果選取，這項動作會建立一項洞察，其中包含擷取到的所有實體相關資訊。

(預設為啟用)。
Only Suspicious Entity Insight

選填。

如果選取這個選項，系統只會根據設定的嚴重性門檻，為判定為可疑的實體產生洞察資料。

無論 Threat Actor 和 Vulnerability 實體是否可疑，系統一律會為其建立深入分析。

動作輸出內容

「Enrich Entities」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
實體擴充表格 可用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
實體擴充表格

下表列出使用「Enrich Entities」動作時，指標擴充的值：

補充資料欄位 來源 (JSON 金鑰) 適用範圍
first_seen first_seen JSON 結果中提供。
last_seen last_seen JSON 結果中提供。
sources 不重複 sources/source_name 值的 CSV 檔案。 JSON 結果中提供。
mscore mscore JSON 結果中提供。
attributed_associations_{associated_associations/type} CSV 檔案，內含每個 attributed_associations/type 類型的 attributed_associations/name 金鑰 (每個類型一個金鑰)。 JSON 結果中提供。
report_link Crafted。 JSON 結果中提供。

下表列出使用「Enrich Entities」動作時，Threat Actors 實體的擴充值：

補充資料欄位 來源 (JSON 金鑰) 適用範圍
motivations CSV 檔案，內含 motivations/name 個值。 JSON 結果中提供。
aliases CSV 檔案，內含 aliases/name 個值。 JSON 結果中提供。
industries CSV 檔案，內含 industries/name 個值。 JSON 結果中提供。
malware CSV 檔案，內含 malware/name 個值。 JSON 結果中提供。
locations\_source CSV 檔案，內含 locations/source/country/name 個值。 JSON 結果中提供。
locations\_target CSV 檔案，內含 locations/target/name 個值。 JSON 結果中提供。
cve CSV 檔案，內含 cve/cve\_id 個值。 JSON 結果中提供。
description description JSON 結果中提供。
last\_activity\_time last\_activity\_time JSON 結果中提供。
report\_link Crafted。 JSON 結果中提供。

下表列出使用「Enrich Entities」動作時，Vulnerability 實體的擴充值：

補充資料欄位 來源 (JSON 金鑰) 適用範圍
sources CSV 檔案，內含 source_name 個值。 JSON 結果中提供。
exploitation_state exploitation_state JSON 結果中提供。
date_of_disclosure date_of_disclosure JSON 結果中提供。
vendor_fix_references vendor_fix_references/url JSON 結果中提供。
title title JSON 結果中提供。
exploitation_vectors CSV 檔案，內含 exploitation_vectors 個值。 JSON 結果中提供。
description description JSON 結果中提供。
risk_rating risk_rating JSON 結果中提供。
available_mitigation CSV 檔案，內含 available_mitigation 個值。 JSON 結果中提供。
exploitation_consequence exploitation_consequence JSON 結果中提供。
report_link Crafted JSON 結果中提供。
JSON 結果

以下範例顯示使用「Enrich Entities」動作時，收到的指標 JSON 結果輸出內容：

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下範例顯示使用「Enrich Entities」動作時，Threat Actor 實體收到的 JSON 結果輸出內容：

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下範例顯示使用「Enrich Entities」動作時，收到的 Vulnerability 實體 JSON 結果輸出內容：

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
輸出訊息

「Enrich Entities」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 動作成功。
Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Enrich Entities」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

充實 IOC

使用「Enrich IOCs」(充實 IOC) 動作，從 Mandiant 擷取特定 IOC 的威脅情報資料。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Enrich IOCs」(充實 IOC) 動作需要下列參數：

參數 說明
IOC Identifiers

這是必填欄位。

以半形逗號分隔的 IOC 清單，用於擷取威脅情報資料。

動作輸出內容

「Enrich IOCs」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Enrich IOCs」動作時，收到的 JSON 結果輸出內容：

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
輸出訊息

「Enrich IOCs」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 動作成功。
Error executing action "Enrich IOCs". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Enrich IOCs」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得惡意軟體詳細資料

使用「Get Malware Details」動作，從 Mandiant 威脅情報取得惡意軟體相關資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Malware Details」動作需要下列參數：

參數 說明
Malware Names

這是必填欄位。

以半形逗號分隔的惡意軟體名稱清單，用於擴充。
Create Insight

選填。

如果選取，這項動作會建立洞察，其中包含擷取到的所有實體相關資訊。

(預設為啟用)。
Fetch Related IOCs

選填。

如果選取，這項動作會擷取與所提供惡意軟體相關的指標。

(預設為啟用)。
Max Related IOCs To Return

選填。

動作針對每個惡意軟體項目處理的相關指標數量上限。

預設值為 100。

動作輸出內容

「取得惡意軟體詳細資料」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Malware Details」動作時，收到的 JSON 結果輸出內容：

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
輸出訊息

「Get Malware Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 動作成功。
Error executing action "Get Malware Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Malware Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

使用「Get Related Entities」動作，根據 Mandiant 威脅情報的資訊，取得與實體相關的入侵指標 (IOC) 詳細資料。

這項動作會在下列 Google SecOps 實體上執行：

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

動作輸入內容

「Get Related Entities」(取得相關實體) 動作需要下列參數：

參數 說明
Lowest Severity Score

這是必填欄位。

指標必須達到的最低嚴重程度分數，才會納入結果。

最大值為 100。

預設值為 50。
Max IOCs To Return

選填。

動作為每個處理實體擷取的 IOC 數量上限。

預設值為 100。

動作輸出內容

「Get Related Entities」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Related Entities」動作時，收到的 JSON 結果輸出內容：

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
輸出訊息

「Get Related Entities」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 動作成功。
Error executing action "Get Related Entities". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Related Entities」(取得相關實體) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

乒乓

使用「Ping」動作，測試與 Mandiant Threat Intelligence 的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Ping 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the Mandiant server with the provided connection parameters! 動作成功。
Failed to connect to the Mandiant server! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。