將 MITRE ATT&CK 與 Google Security Operations 整合

本文說明如何將 MITRE ATT&CK 與 Google Security Operations (Google SecOps) 整合。

用途

MITRE ATT&CK 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 戰術威脅關聯：自動識別與快訊中觀察到的特定惡意攻擊技術或戰術相關的入侵集 (已知威脅群組)，立即提供活動背後威脅執行者的背景資訊。

  • 緩解措施差距分析：針對標記的攻擊技術，自動擷取並分析 MITRE ATT&CK 架構中可用的相關緩解措施。資安團隊可藉此確認目前的防禦控制措施是否足夠，或是否需要修補或導入工具。

  • 事件資訊強化與優先順序：直接在案件牆中加入詳細技術資訊 (包括說明、偵測方法和資料來源)，強化安全性事件，協助分析師快速瞭解攻擊方法，並優先處理應變步驟。

  • 歷來技術分析：依據 ID (例如 T1050) 搜尋任何 MITRE ATT&CK 技術的完整詳細資料，有助於主動搜尋威脅，並提供資安訓練和報告所需的權威知識。

事前準備

這項整合功能提供原生平台功能，不需要外部第三方 API 金鑰或憑證即可進行驗證。開始之前，請確認已從 Google SecOps 執行個體的內容中心安裝整合項目。

整合參數

MITRE ATT&CK 整合需要下列參數：

參數 說明
API Root

這是必填欄位。

MITRE ATT&CK CTI 存放區執行個體的網址。
Verify SSL

選填。

如果選取，整合功能會在連線至 MITRE ATT&CK 伺服器時驗證 SSL 憑證。

(預設為啟用)。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

取得相關入侵

使用「Get Associated Intrusions」動作，擷取與特定 MITRE ATT&CK 技術相關聯的入侵集 (已知攻擊者群組) 資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Associated Intrusions」動作需要下列參數：

參數 說明
Technique ID

這是必填欄位。

用於尋找相關入侵集的 ID (ID、名稱或外部 ID)。
Identifier Type

這是必填欄位。

Technique ID 中提供的 ID 類型。

可能的值如下：

  • Attack Name (例如 Access Token Manipulation)
  • Attack ID (例如 attack-pattern--478...)
  • External Attack ID (例如 T1050)

預設值為 Attack ID。
Max Intrusions to Return

選填。

要擷取的入侵集數量上限。

預設值為 20。

動作輸出內容

「Get Associated Intrusions」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Associated Intrusions」動作時，收到的 JSON 結果輸出內容：

[
{
    "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
    "description":"[ADVERSARY GROUP 01](https://attack.mitre.org/groups/G0001) is a threat group that has been active since at least 2014. The group ...",
    "created":"2017-12-14T16:46:06.044Z",
    "x_mitre_contributors":["Security Researcher A, Organization B"],
    "modified":"2019-07-17T13:11:37.402Z",
    "name":"ADVERSARY GROUP 01",
    "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_version":"2.0",
    "aliases":["ADVERSARY-01","ThreatGroup A","CyberSquad X","T-C-00"],
    "type":"intrusion-set",
    "id":"intrusion-set--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
    "external_references":
    [
        {
            "url":"https://attack.mitre.org/groups/G0001",
            "source_name":"mitre-attack",
            "external_id":"G0001"
        },{
            "source_name":"ADVERSARY GROUP 01",
            "description":"(Citation: SecurityVendor A May 2017) (Citation: Research Org B Nov 2017)(Citation: SecurityFirm C May 2017)"
        }]},{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 02",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 02](https://attack.mitre.org/groups/G0002) is a cyber espionage group with...",
            "modified":"2019-03-22T19:57:36.804Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references": [
                {
                    "url":"https://attack.mitre.org/groups/G0002",
                    "source_name":"mitre-attack",
                    "external_id":"G0002"
                },{
                    "source_name":"ADVERSARY GROUP 02",
                    "description":"(Citation: Trend Research Daserf Nov 2017)"
                }],
            "x_mitre_version":"1.0",
            "type":"intrusion-set",
            "id":"intrusion-set--b1c2d3e4-f5g6-7h8i-9j0k-1l2m3n4o5p6q",
            "aliases":["ADVERSARY-02","ResearchGroup Z","Tango"]
        },{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 03",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 03](https://attack.mitre.org/groups/G0003) is a cyber espionage group that has been ...",
            "modified":"2019-05-03T16:42:19.026Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references":
          [{
              "url":"https://attack.mitre.org/groups/G0003",
              "source_name":"mitre-attack",
              "external_id":"G0003"
          },{
              "source_name":"ADVERSARY GROUP 03",
              "description":"(Citation: ClearSky Analysis March 2017) (Citation: ClearSky Report July 2017) (Citation: Research Nov 2015)"
          },],
            "x_mitre_version":"1.1",
            "type":"intrusion-set",
            "id":"intrusion-set--c1d2e3f4-g5h6-7i8j-9k0l-1m2n3o4p5q6r",
            "aliases":["ADVERSARY-03"]
        }
]
指令碼執行結果

下表列出使用「Get Associated Intrusions」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得緩解措施

使用「Get Mitigations」(取得緩解措施) 動作，擷取與特定 MITRE ATT&CK 技術相關聯的緩解策略。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Mitigations」動作需要下列參數：

參數 說明
Technique ID

這是必填欄位。

用於尋找 MITRE ATT&CK 技術相關緩解措施的 ID (名稱、內部 ID 或外部 ID)。
Identifier Type

這是必填欄位。

Technique ID 中提供的 ID 類型。

可能的值如下：

  • Attack Name (例如 Access Token Manipulation)
  • Attack ID (例如 attack-pattern--478...)
  • External Attack ID (例如 T1050)

預設值為 Attack ID。
Max Mitigations to Return

選填。

要擷取的緩解控制項數量上限。

預設值為 20。

動作輸出內容

「Get Mitigations」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Mitigations」動作時，收到的 JSON 結果輸出內容：

[
    {
        "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
        "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Resource A 2010), such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where applicable. (Citation: Tech Ref E)",
        "created": "2018-10-17T00:14:20.652Z",
        "x_mitre_deprecated": true,
        "modified": "2019-07-24T14:26:14.411Z",
        "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
        "external_references": [
            {
                "url": "https://attack.mitre.org/mitigations/T9000",
                "source_name": "mitre-attack",
                "external_id": "T9000"
            },
            {
                "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                "source_name": "Resource A 2010",
                "description": "General Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
            },
            {
                "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                "source_name": "Security Blog C 2016",
                "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
            },
            {
                "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                "source_name": "Security Guide D 2014",
                "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
            },
            {
                "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                "source_name": "Tech Ref E 2008",
                "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
            },
            {
                "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                "source_name": "Tech Ref F",
                "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
            }
        ],
        "x_mitre_version": "1.0",
        "type": "course-of-action",
        "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
        "name": "File Encryption Mitigation"
    }
]
指令碼執行結果

下表列出使用「Get Mitigations」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得技術詳細資料

使用「Get Technique Details」動作，擷取特定 MITRE ATT&CK 技術的完整詳細資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Technique Details」動作需要下列參數：

參數 說明
Technique Identifier

這是必填欄位。

以半形逗號分隔的 ID 清單 (名稱、內部 ID 或外部 ID)，用於尋找 MITRE ATT&CK 技術的詳細資訊。
Identifier Type

這是必填欄位。

Technique Identifier 中提供的 ID 類型。

可能的值如下：

  • Attack Name (範例：Access Token Manipulation)
  • Attack ID (範例：attack-pattern--478...)
  • External Attack ID (範例：T1050)

預設值為 Attack ID。
Create Insights

選填。

如果選取，這項動作會為每個處理過的 MITRE ATT&CK 技術產生個別的安全性深入分析。

預設為停用。

動作輸出內容

「Get Technique Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Technique Details」動作時，收到的 JSON 結果輸出內容：

{
    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
    "external_references": [
        {
            "url": "https://attack.mitre.org/techniques/T9000",
            "external_id": "T9000",
            "source_name": "mitre-attack"
        },
        {
            "url": "http://www.security-research.org/~author/DetectingEncryptedTraffic.pdf",
            "source_name": "Research Group A 2013",
            "description": "Author, H., Co-Author, C., & Co-Author, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
        },
        {
            "url": "https://generic-wiki.org/FileSignatures",
            "source_name": "Wiki File Header Signatures",
            "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
        }
    ],
    "created": "2017-05-31T21:30:30.26Z",
    "x_mitre_platforms": ["Linux", "macOS", "Windows"],
    "type": "attack-pattern",
    "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques may be used to transfer the encrypted information out of the network, such as [Exfiltration Over C2 Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternate Protocol](https://attack.mitre.org/techniques/T1048)",
    "kill_chain_phases": [
        {
            "phase_name": "exfiltration",
            "kill_chain_name": "mitre-attack"
        }
    ],
    "modified": "2018-10-17T00:14:20.652Z",
    "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_network_requirements": false,
    "x_mitre_version": "1.0",
    "x_mitre_data_sources": ["File monitoring", "Process monitoring", "Process command-line parameters", "Binary file metadata"],
    "x_mitre_detection": "Encrypted files and related execution software can be detected through various means. Monitoring processes and command-line arguments for known encryption utilities may reveal suspicious activity. A process loading a key operating system DLL may be utilized to perform encryption. \\n\\nNetwork traffic analysis can reveal high entropy data indicative of encrypted transmission (Citation: Research Group A 2013). If the communications channel is unencrypted, network intrusion or DLP systems can detect encrypted files in transit by analyzing file headers (Citation: Wiki File Header Signatures).",
    "name": "Data Encryption for Exfiltration"
}
指令碼執行結果

下表列出使用「Get Technique Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得技術詳細資料

使用「Get Techniques Details」(取得技術詳細資料) 動作，擷取 MITRE ATT&CK 技術的完整詳細資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Techniques Details」動作需要下列參數：

參數 說明
Technique Identifier

這是必填欄位。

以半形逗號分隔的 ID 清單 (名稱、內部 ID 或外部 ID)，用於尋找 MITRE ATT&CK 技術的詳細資訊。
Identifier Type

這是必填欄位。

Technique Identifier 中提供的 ID 類型。

可能的值如下：

  • Name (範例：Access Token Manipulation)
  • ID (範例：attack-pattern--478...)
  • External ID (範例：T1050)

預設值為 ID。

動作輸出內容

「Get Techniques Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Techniques Details」動作時，收到的 JSON 結果輸出內容：

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
            "external_references": [
                {
                    "url": "https://attack.mitre.org/techniques/T9000",
                    "external_id": "T9000",
                    "source_name": "mitre-attack"
                },
                {
                    "url": "http://www.security-research.org/~author/encrypted-botnet-traffic.pdf",
                    "source_name": "Research Group A 2013",
                    "description": "Author, H., Co-Author, C., & Massey, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
                },
                {
                    "url": "https://generic-wiki.org/FileHeaderSignatures",
                    "source_name": "Wiki File Header Signatures",
                    "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
                }
            ],
            "created": "2017-05-31T21:30:30.26Z",
            "x_mitre_platforms": ["Linux", "macOS", "Windows"],
            "type": "attack-pattern",
            "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques likely apply as well to transfer the information out of the network, such as [Exfiltration Over Command and Control Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048)",
            "kill_chain_phases": [
                {
                    "phase_name": "exfiltration",
                    "kill_chain_name": "mitre-attack"
                }
            ],
            "modified": "2018-10-17T00:14:20.652Z",
            "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
            "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "x_mitre_network_requirements": false,
            "x_mitre_version": "1.0",
            "x_mitre_data_sources": [
                "File monitoring",
                "Process monitoring",
                "Process command-line parameters",
                "Binary file metadata"
            ],
            "x_mitre_detection": "Encryption software and encrypted files can be detected in many ways. Common utilities that may be present on the system or brought in by an adversary may be detectable through process monitoring and monitoring for command-line arguments for known encryption utilities. This may yield a significant amount of benign events, depending on how systems in the environment are typically used. The encryption key is often stated within command-line invocation of the software. A process that loads the Windows DLL crypt32.dll may be used to perform encryption, decryption, or verification of file signatures. Network traffic may also be analyzed for entropy to determine if encrypted data is being transmitted. (Citation: Research Group A 2013) If the communications channel is unencrypted, encrypted files of known file types can be detected in transit during exfiltration with a network intrusion detection or data loss prevention system analyzing file headers. (Citation: Wiki File Header Signatures)",
            "name": "Data Encryption for Exfiltration"
        }
    }
]
輸出訊息

「Get Techniques Details」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Retrieved detailed information about the following techniques: TECHNIQUES.

Action wasn't able to retrieve detailed information about the following techniques: TECHNIQUES

Action wasn't able to find the provided techniques.

 動作成功。
Error executing action "Get Technique Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Techniques Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得技術緩解措施

使用「Get Techniques Mitigations」動作，擷取與指定 MITRE 攻擊技術清單相關聯的緩解策略。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Techniques Mitigations」動作需要下列參數：

參數 說明
Technique ID

這是必填欄位。

以逗號分隔的清單 (名稱、內部 ID 或外部 ID)，用於尋找 MITRE ATT&CK 技術的相關緩解措施。
Identifier Type

這是必填欄位。

Technique ID 中提供的 ID 類型。

可能的值如下：

  • Attack Name (範例：Access Token Manipulation)
  • Attack ID (範例：attack-pattern--478...)
  • External Attack ID (範例：T1050)

預設值為 Attack ID。
Max Mitigations to Return

選填。

要擷取的緩解控制項數量上限。

預設值為 20。

動作輸出內容

「Get Techniques Mitigations」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Techniques Mitigations」動作時，收到的 JSON 結果輸出內容：

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "mitigations": [
                {
                    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
                    "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Research Org A 2010) such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where appropriate. (Citation: Tech Ref E)",
                    "created": "2018-10-17T00:14:20.652Z",
                    "x_mitre_deprecated": true,
                    "modified": "2019-07-24T14:26:14.411Z",
                    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
                    "external_references": [
                        {
                            "url": "https://attack.mitre.org/mitigations/T9000",
                            "source_name": "mitre-attack",
                            "external_id": "T9000"
                        },
                        {
                            "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                            "source_name": "Research Org A 2010",
                            "description": "Generic Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
                        },
                        {
                            "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                            "source_name": "Security Blog C 2016",
                            "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
                        },
                        {
                            "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                            "source_name": "Security Guide D 2014",
                            "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
                        },
                        {
                            "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                            "source_name": "Tech Ref E 2008",
                            "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
                        },
                        {
                            "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                            "source_name": "Tech Ref F",
                            "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
                        }
                    ],
                    "x_mitre_version": "1.0",
                    "type": "course-of-action",
                    "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                    "name": "File Encryption Mitigation"
                }
            ]
        }
    }
]
輸出訊息

「Get Techniques Mitigations」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved mitigations for the following techniques: TECHNIQUES.

Action wasn't able to to find mitigations for the following techniques: TECHNIQUES

 動作成功。
Error executing action "Get Techniques Mitigations". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Techniques Mitigations」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

乒乓

使用「連線偵測 (ping)」動作，測試與 MITRE ATT&CK 的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。