將 Siemplify ThreatFuse 與 Google SecOps 整合

本文說明如何將 Siemplify ThreatFuse 與 Google Security Operations 整合。

用途

Siemplify ThreatFuse 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 充實網路和使用者實體：自動擷取 IP、網址、雜湊和電子郵件的威脅分數、信賴水準和中繼資料，以識別惡意活動。

  • 探索相關威脅資料：找出相關雜湊、網域和 IP 位址，對應威脅執行者使用的基礎架構。

  • 分析活動關聯：擷取連結活動、惡意軟體系列和 TTP 的詳細資料，瞭解事件的整體背景。

  • 管理情報動態饋給：將新的可觀測項目提交至 ThreatFuse，或直接從平台回報誤判，藉此精確調整貴組織的威脅資料。

事前準備

在 Google SecOps 中設定整合功能前，請先確認 Siemplify ThreatFuse (採用 Anomali ThreatStream 技術) 環境符合下列需求：

  • API 憑證：您必須具備有效的 API 金鑰，以及與 Anomali 或 ThreatFuse 帳戶相關聯的電子郵件地址。

  • 擷取憑證：如要取得 API 金鑰，請登入 ThreatFuse 入口網站，前往「使用者個人資料」部分，然後找出「API Information」分頁。詳情請參閱「Anomali ThreatStream 設定」。

  • 執行個體詳細資料：找出特定的網頁根目錄和 API 根目錄。一般來說，雲端執行個體的 API 根目錄是 https://api.threatstream.com。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填 說明
Web Root 字串 https://siemplify.threatstream.com 是 Siemplify ThreatFuse 執行個體的網頁根目錄。這個參數用於建立整合項目之間的報表連結。
API 根層級 字串 https://api.threatstream.com 是 Siemplify ThreatFuse 執行個體的 API 根目錄。
電子郵件地址 字串 不適用 是 Siemplify ThreatFuse 帳戶的電子郵件地址。
API 金鑰 密碼 不適用 是 Siemplify ThreatFuse 帳戶的 API 金鑰。
驗證 SSL 核取方塊 已勾選 是 如果啟用，系統會驗證連至 Siemplify ThreatFuse 伺服器的 SSL 憑證是否有效。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

乒乓

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 Siemplify ThreatFuse 的連線能力。

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：


如果成功：「Successfully connected to the Siemplify ThreatFuse server with the provided connection parameters!」

動作應失敗並停止執行應對手冊：


如果未成功：「Failed to connect to the Siemplify ThreatFuse server! 錯誤為 {0}".format(exception.stacktrace)

 一般

充實實體

從 Siemplify ThreatFuse 擷取 IP、網址、雜湊、電子郵件地址的相關資訊。如果找到多筆相同實體的記錄，這項動作會使用最新記錄來充實資料。

參數

參數顯示名稱 類型 預設值 為必填 說明
嚴重性門檻 DDL

中

可能的值：

  • 極高
  • 高
  • 中
  • 低
 是

指定實體的嚴重性門檻，以便將其標示為可疑。

如果同一個實體有多筆記錄，系統會採用所有可用記錄中嚴重程度最高的記錄。
可信度門檻 整數 不適用 是

指定實體的可信度門檻，將其標示為可疑。

上限為 100。

如果實體有多筆記錄，動作會取平均值。

有效記錄會優先顯示。
忽略誤判狀態 核取方塊 已取消勾選 否

如果啟用，這項動作會忽略偽陽性狀態，並根據「嚴重性門檻」和「信賴度門檻」參數，將實體標示為可疑。

如果停用，無論是否通過「嚴重性門檻」和「信賴度門檻」條件，這項動作都不會將偽陽性實體標示為可疑。
將威脅類型新增至案件 核取方塊 已取消勾選 否

如果啟用，這項動作會將所有記錄中實體的威脅類型，新增為案件的標記。

範例：apt
僅限可疑實體洞察 核取方塊 已取消勾選 是 啟用後，這項動作只會為超過「嚴重性門檻」和「信賴度門檻」參數的實體建立深入分析。
建立洞察 核取方塊 已取消勾選 是 啟用後，這項動作會為每個處理過的實體新增一項深入分析。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
{
    "objects": [
        {
            "status": "inactive",
            "itype": "mal_md5",
            "expiration_ts": "2019-02-25T08:58:58.000Z",
            "ip": null,
            "is_editable": false,
            "feed_id": 2197,
            "update_id": 3328068779,
            "longitude": null,
            "org": "",
            "threat_type": "malware",
            "workgroups": [],
            "rdns": null,
            "confidence": 60,
            "uuid": "31d9ed97-9811-4b4b-9e2d-4b3f822eb37f",
            "subtype": "MD5",
            "trusted_circle_ids": [
                146,
                254
            ],
            "id": 51744433673,
            "source": "targetedthreats - OSINT",
            "owner_organization_id": 2,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1551097291170
            ],
            "description": null,
            "tags": [
                {
                    "id": "fvj",
                    "name": "Family=Code4HK"
                },
                {
                    "id": "zwz",
                    "name": "Report=https://malware.lu/articles/2014/09/29/analysis-of-code4hk.html"
                }
            ],
            "threatscore": 54,
            "source_reported_confidence": 60,
            "modified_ts": "2019-02-25T12:21:31.170Z",
            "is_public": false,
            "asn": "",
            "created_ts": "2018-11-27T09:00:33.468Z",
            "tlp": null,
            "is_anonymous": false,
            "country": null,
            "can_add_public_tags": false,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "retina_confidence": -1,
            "meta": {
                "detail2": "bifocals_deactivated_on_2019-02-25_09:30:00.127233",
                "severity": "high"
            },
            "resource_uri": "/api/v2/intelligence/51744433673/"
      "report_link": "https://siemplify.threatstream.com/detail/url/http:%2F%2Fsweetpineapple.co.za%2Fwp-admin%2Fuser%2Finternetbanking.suncorpbank.htm"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 191,
            "update_id": 5406560,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 90,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 5406560,
            "source": "SLC Alert Malware Domains",
            "owner_organization_id": 736,
            "import_session_id": null,
            "latitude": null,
            "type": "md5",
            "sort": [
                1421928716491
            ],
            "description": null,
            "tags": [
                {
                    "name": "HITRUST"
                },
                {
                    "name": "Public-Threats"
                }
            ],
            "threatscore": 77,
            "source_reported_confidence": 60,
            "modified_ts": "2015-01-22T12:11:56.491Z",
            "org": "",
            "asn": "",
            "created_ts": "2015-01-22T12:11:56.491Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": true,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "severity": "high",
                "detail": "Public Threats,HITRUST"
            },
            "resource_uri": "/api/v2/intelligence/5406560/"
        },
        {
            "status": "active",
            "itype": "apt_md5",
            "expiration_ts": "9999-12-31T00:00:00+00:00",
            "ip": null,
            "is_editable": false,
            "feed_id": 0,
            "update_id": 59177,
            "value": "15e5143e1c843b4836d7b6d5424fb4a5",
            "is_public": true,
            "threat_type": "apt",
            "workgroups": [],
            "rdns": null,
            "confidence": 100,
            "uuid": null,
            "retina_confidence": -1,
            "trusted_circle_ids": null,
            "id": 59177,
            "source": "Analyst",
            "owner_organization_id": 2,
            "import_session_id": 2325,
            "latitude": null,
            "type": "md5",
            "sort": [
                1412172414589
            ],
            "description": null,
            "tags": [
                {
                    "name": "apt_md5"
                },
                {
                    "name": "CN-APT"
                },
                {
                    "name": "IOS-Malware"
                },
                {
                    "name": "LadyBoyle"
                }
            ],
            "threatscore": 85,
            "source_reported_confidence": 0,
            "modified_ts": "2014-10-01T14:06:54.589Z",
            "org": "",
            "asn": "",
            "created_ts": "2014-10-01T14:06:40.858Z",
            "tlp": null,
            "is_anonymous": null,
            "country": null,
            "can_add_public_tags": false,
            "longitude": null,
            "subtype": "MD5",
            "meta": {
                "detail2": "imported by user 1",
                "severity": "very-high",
                "detail": "LadyBoyle, IOS Malware, CN APT"
            },
            "resource_uri": "/api/v2/intelligence/59177/"
        }
    ],
    "is_risky": "true"
    "meta": {
        "total_count": 3,
        "offset": 0,
        "limit": 1000,
        "took": 27,
        "next": null
    }
}
實體充實
補充資料欄位名稱 邏輯 - 應用時機
TFuse_id JSON 格式 (如有)
TFuse_status JSON 格式 (如有)
TFuse_itype JSON 格式 (如有)
TFuse_expiration_time JSON 格式 (如有)
TFuse_ip JSON 格式 (如有)
TFuse_feed_id JSON 格式 (如有)
TFuse_confidence JSON 格式 (如有)
TFuse_uuid JSON 格式 (如有)
TFuse_retina_confidence JSON 格式 (如有)
TFuse_trusted_circle_ids JSON 格式 (如有)
TFuse_source JSON 格式 (如有)
TFuse_latitude JSON 格式 (如有)
TFuse_type JSON 格式 (如有)
TFuse_description JSON 格式 (如有)
TFuse_tags JSON 格式 (如有)
TFuse_threat_score JSON 格式 (如有)
TFuse_source_confidence JSON 格式 (如有)
TFuse_modification_time JSON 格式 (如有)
TFuse_org_name JSON 格式 (如有)
TFuse_asn JSON 格式 (如有)
TFuse_creation_time JSON 格式 (如有)
TFuse_tlp JSON 格式 (如有)
TFuse_country JSON 格式 (如有)
TFuse_longitude JSON 格式 (如有)
TFuse_severity JSON 格式 (如有)
TFuse_subtype JSON 格式 (如有)
TFuse_report JSON 格式 (如有)
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且至少有一個提供的實體已擴充 (is_success=true)： "Successfully enriched the following entities using Siemplify ThreatFuse: \n {0}".format(entity.identifier list)

如果無法擴充特定實體 (is_success=true)： "Action was not able to enrich the following entities using Siemplify ThreatFuse\n: {0}".format([entity.identifier])

如果無法擴充所有實體 (is_success=false)：「未擴充任何實體。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『擴充實體』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 至 100 的範圍內： 「『Confidence Threshold』值應介於 0 至 100 之間。」

 一般
CSV

資料表名稱：相關分析連結：{entity_identifier}

表格欄：

  • 名稱：在第二個回應中對應為鍵 (例如 VirusTotal)
  • 連結： 對應為鍵的值
 一般
CSV

依據擴充表格設定鍵。

「No Enrichment Prefix」參數為大寫。

 一般

根據 Siemplify ThreatFuse 中的關聯，擷取實體相關雜湊。

參數

參數顯示名稱 類型 預設值 為必填 說明
可信度門檻 整數 不適用 是

指定可信度門檻。

上限：100
搜尋威脅公告 核取方塊 已勾選 否 啟用後，這項動作會搜尋威脅公告。
搜尋發動者 核取方塊 已勾選 否 如果啟用，這項動作會搜尋執行者。
搜尋攻擊模式 核取方塊 已勾選 否 啟用後，這項動作會搜尋攻擊模式。
搜尋廣告活動 核取方塊 已勾選 否 如果啟用，動作會搜尋廣告活動。
搜尋安全防護程序 核取方塊 已勾選 否 啟用後，這項動作會搜尋行動方案。
搜尋身分 核取方塊 已勾選 否 啟用後，這項動作會搜尋身分。
搜尋事件 核取方塊 已勾選 否 啟用後，這項動作會搜尋事件。
搜尋基礎架構 核取方塊 已勾選 否 啟用後，這項動作會搜尋基礎架構。
搜尋入侵集 核取方塊 已勾選 否 啟用後，這項動作會搜尋入侵集。
搜尋惡意軟體 核取方塊 已勾選 否 啟用後，這項動作會搜尋惡意軟體。
搜尋簽名 核取方塊 已勾選 否 如果啟用，這項動作會搜尋簽章。
搜尋工具 核取方塊 已勾選 否 啟用後，這項動作會搜尋工具。
搜尋 TTP 核取方塊 已勾選 否 啟用後，這項動作會搜尋 TTP。
搜尋安全漏洞 核取方塊 已勾選 否 啟用後，這項動作會搜尋安全漏洞。
要傳回的雜湊數量上限 整數 50 否 指定要傳回的雜湊數量。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式
  • 威脅發動者
  • CVE

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
{
"{}_hashes".format(subtype): ["md5hash_1"],
"all_hashes": ["md5hash_1"]
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (is_success=true)：「Successfully retrieved related hashes from Siemplify ThreatFuse」

如果找不到雜湊 (is_success=false)：「找不到相關雜湊。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等： 「執行『取得相關雜湊』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 至 100 的範圍內：「'Confidence Threshold' value should be in range from 0 to 100.」

 一般

根據 Siemplify ThreatFuse 中的關聯，擷取實體相關網址。

參數

參數顯示名稱 類型 預設值 為必填 說明
可信度門檻 整數 不適用 是

指定可信度門檻。

上限：100
搜尋威脅公告 核取方塊 已勾選 否 啟用後，這項動作會搜尋威脅公告。
搜尋發動者 核取方塊 已勾選 否 如果啟用，這項動作會搜尋執行者。
搜尋攻擊模式 核取方塊 已勾選 否 啟用後，這項動作會搜尋攻擊模式。
搜尋廣告活動 核取方塊 已勾選 否 如果啟用，動作會搜尋廣告活動。
搜尋安全防護程序 核取方塊 已勾選 否 啟用後，這項動作會搜尋行動方案。
搜尋身分 核取方塊 已勾選 否 啟用後，這項動作會搜尋身分。
搜尋事件 核取方塊 已勾選 否 啟用後，這項動作會搜尋事件。
搜尋基礎架構 核取方塊 已勾選 否 啟用後，這項動作會搜尋基礎架構。
搜尋入侵集 核取方塊 已勾選 否 啟用後，這項動作會搜尋入侵集。
搜尋惡意軟體 核取方塊 已勾選 否 啟用後，這項動作會搜尋惡意軟體。
搜尋簽名 核取方塊 已勾選 否 如果啟用，這項動作會搜尋簽章。
搜尋工具 核取方塊 已勾選 否 啟用後，這項動作會搜尋工具。
搜尋 TTP 核取方塊 已勾選 否 啟用後，這項動作會搜尋 TTP。
搜尋安全漏洞 核取方塊 已勾選 否 啟用後，這項動作會搜尋安全漏洞。
要傳回的網址數量上限 整數 50 否 指定要傳回的網址數量。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式
  • 威脅發動者
  • CVE

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個網址 (is_success=true)：「Successfully retrieved related urls from Siemplify ThreatFuse.」

如果找不到雜湊 (is_success=false)：「找不到相關網址。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等： 「執行『取得相關網址』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 至 100 的範圍內：「'Confidence Threshold' value should be in range from 0 to 100.」

 一般

根據 Siemplify ThreatFuse 中的關聯，擷取實體相關網域。

參數

參數顯示名稱 類型 預設值 為必填 說明
可信度門檻 整數 不適用 是

指定可信度門檻。

上限：100
搜尋威脅公告 核取方塊 已勾選 否 啟用後，這項動作會搜尋威脅公告。
搜尋發動者 核取方塊 已勾選 否 如果啟用，這項動作會搜尋執行者。
搜尋攻擊模式 核取方塊 已勾選 否 啟用後，這項動作會搜尋攻擊模式。
搜尋廣告活動 核取方塊 已勾選 否 如果啟用，動作會搜尋廣告活動。
搜尋安全防護程序 核取方塊 已勾選 否 啟用後，這項動作會搜尋行動方案。
搜尋身分 核取方塊 已勾選 否 啟用後，這項動作會搜尋身分。
搜尋事件 核取方塊 已勾選 否 啟用後，這項動作會搜尋事件。
搜尋基礎架構 核取方塊 已勾選 否 啟用後，這項動作會搜尋基礎架構。
搜尋入侵集 核取方塊 已勾選 否 啟用後，這項動作會搜尋入侵集。
搜尋惡意軟體 核取方塊 已勾選 否 啟用後，這項動作會搜尋惡意軟體。
搜尋簽名 核取方塊 已勾選 否 如果啟用，這項動作會搜尋簽章。
搜尋工具 核取方塊 已勾選 否 啟用後，這項動作會搜尋工具。
搜尋 TTP 核取方塊 已勾選 否 啟用後，這項動作會搜尋 TTP。
搜尋安全漏洞 核取方塊 已勾選 否 啟用後，這項動作會搜尋安全漏洞。
要傳回的網域數量上限 整數 50 否 指定要傳回的網域數量。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式
  • 威脅發動者
  • CVE

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
{
"domains": ["www.google.com"]
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (issuccess=true)：「Successfully retrieved related domains from Siemplify ThreatFuse.」

如果找不到雜湊 (issuccess=false)：「找不到相關網域。」

動作應失敗並停止執行應對手冊：

如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關網域』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 至 100 的範圍內：「'Confidence Threshold' value should be in range from 0 to 100.」

 一般

根據 Siemplify ThreatFuse 中的關聯，擷取與實體相關的電子郵件地址。

參數

參數顯示名稱 類型 預設值 為必填 說明
可信度門檻 整數 不適用 是

指定可信度門檻。

上限：100

搜尋威脅公告 核取方塊 已勾選 否 啟用後，這項動作會搜尋威脅公告。
搜尋發動者 核取方塊 已勾選 否 如果啟用，這項動作會搜尋執行者。
搜尋攻擊模式 核取方塊 已勾選 否 啟用後，這項動作會搜尋攻擊模式。
搜尋廣告活動 核取方塊 已勾選 否 如果啟用，動作會搜尋廣告活動。
搜尋安全防護程序 核取方塊 已勾選 否 啟用後，這項動作會搜尋行動方案。
搜尋身分 核取方塊 已勾選 否 啟用後，這項動作會搜尋身分。
搜尋事件 核取方塊 已勾選 否 啟用後，這項動作會搜尋事件。
搜尋基礎架構 核取方塊 已勾選 否 啟用後，這項動作會搜尋基礎架構。
搜尋入侵集 核取方塊 已勾選 否 啟用後，這項動作會搜尋入侵集。
搜尋惡意軟體 核取方塊 已勾選 否 啟用後，這項動作會搜尋惡意軟體。
搜尋簽名 核取方塊 已勾選 否 如果啟用，這項動作會搜尋簽章。
搜尋工具 核取方塊 已勾選 否 啟用後，這項動作會搜尋工具。
搜尋 TTP 核取方塊 已勾選 否 啟用後，這項動作會搜尋 TTP。
搜尋安全漏洞 核取方塊 已勾選 否 啟用後，這項動作會搜尋安全漏洞。
要傳回的網域數量上限 整數 50 否 指定要傳回的網域數量。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式
  • 威脅發動者
  • CVE

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (issuccess=true)：「Successfully retrieved related email addresses from Siemplify ThreatFuse.」

如果找不到雜湊 (issuccess=false)：「找不到相關電子郵件地址。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關電子郵件地址』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 至 100 的範圍內：「『Confidence Threshold』值應介於 0 至 100 之間。」

 一般

根據 Siemplify ThreatFuse 中的關聯，擷取與實體相關的 IP 位址。

參數

參數顯示名稱 類型 預設值 為必填 說明
可信度門檻 整數 不適用 是

指定可信度門檻。

上限：100

搜尋威脅公告 核取方塊 已勾選 否 啟用後，這項動作會搜尋威脅公告。
搜尋發動者 核取方塊 已勾選 否 如果啟用，這項動作會搜尋執行者。
搜尋攻擊模式 核取方塊 已勾選 否 啟用後，這項動作會搜尋攻擊模式。
搜尋廣告活動 核取方塊 已勾選 否 如果啟用，動作會搜尋廣告活動。
搜尋安全防護程序 核取方塊 已勾選 否 啟用後，系統會搜尋行動方案。
搜尋身分 核取方塊 已勾選 否 啟用後，這項動作會搜尋身分。
搜尋事件 核取方塊 已勾選 否 啟用後，這項動作會搜尋事件。
搜尋基礎架構 核取方塊 已勾選 否 啟用後，這項動作會搜尋基礎架構。
搜尋入侵集 核取方塊 已勾選 否 啟用後，這項動作會搜尋入侵集。
搜尋惡意軟體 核取方塊 已勾選 否 啟用後，這項動作會搜尋惡意軟體。
搜尋簽名 核取方塊 已勾選 否 如果啟用，這項動作會搜尋簽章。
搜尋工具 核取方塊 已勾選 否 啟用後，這項動作會搜尋工具。
搜尋 TTP 核取方塊 已勾選 否 啟用後，這項動作會搜尋 TTP。
搜尋安全漏洞 核取方塊 已勾選 否 啟用後，這項動作會搜尋安全漏洞。
要傳回的網域數量上限 整數 50 否 指定要傳回的網域數量。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式
  • 威脅發動者
  • CVE

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
{
"urls": ["https://www.google.com/url?q=http:/wzFgw"]
}
案件總覽
結果類型 值/說明 類型
輸出訊息\*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (is_success=true)：「Successfully retrieved related IPs from Siemplify ThreatFuse.」

如果找不到雜湊 (is_success=false)：「找不到相關 IP。」

動作應失敗並停止執行應對手冊：

如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等： 「執行『取得相關 IP』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果「Confidence Threshold」參數不在 0 至 100 的範圍內： 「『Confidence Threshold』值應介於 0 至 100 之間。」

 一般

從 Siemplify ThreatFuse 擷取實體相關關聯。

參數

參數顯示名稱 類型 預設值 為必填 說明
退貨廣告活動 核取方塊 已勾選 否 啟用後，這項動作會擷取相關攻擊活動和詳細資料。
傳回威脅公告 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關威脅公告和詳細資料。
傳回 Actor 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關執行者和詳細資料。
返回攻擊模式 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關攻擊模式和詳細資料。
傳回安全防護程序 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關行動方案和詳細資料。
傳回身分 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關身分和詳細資料。
退貨事件 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關事件和詳細資料。
退貨基礎架構 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關基礎架構和詳細資料。
傳回入侵集 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關入侵集和詳細資料。
退回惡意軟體 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關惡意軟體和詳細資料。
傳回簽名 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關簽章和詳細資料。
退貨工具 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關工具和詳細資料。
傳回 TTP 核取方塊 已取消勾選 否 啟用後，這項動作會擷取相關 TTP 和詳細資料。
傳回安全漏洞 核取方塊 已勾選 否 啟用後，這項動作會擷取相關安全漏洞和詳細資料。
建立廣告活動實體 核取方塊 已取消勾選 否 啟用後，這項動作會根據可用的「廣告活動」關聯建立實體。
建立 Actors 實體 核取方塊 已取消勾選 否 啟用後，這項動作會根據可用的「執行者」關聯建立實體。
建立簽名實體 核取方塊 已取消勾選 否 如果啟用，這項動作會根據可用的「簽名」關聯建立實體。
建立安全漏洞實體 核取方塊 已取消勾選 否 如果啟用，這項動作會根據可用的「安全漏洞」關聯建立實體。
建立洞察 核取方塊 已勾選 否 如果啟用，這項動作會根據結果建立洞察。
建立案件標記 核取方塊 已勾選 否 如果啟用，這項動作會根據結果建立案件標記。
要傳回的關聯數量上限 整數 不適用 否 指定每種類型要傳回的關聯數量。
要傳回的統計資料數量上限 整數 3 否

指定要傳回的 IOC 相關熱門統計資料結果數量。

注意：這項動作最多可處理 1,000 個與關聯項目相關的 IOC。如果提供「0」，動作就不會嘗試擷取統計資料。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
{
    "campaign": [
        {
            "name": "Coronavirus",
            "id": 1
        },
        {
            "name": "Bad campaign",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且找到至少一個實體間的關聯 (is_success=true)：「Successfully retrieved related associations from Siemplify ThreatFuse」

如果找不到關聯 (is_success=false)： 「找不到相關關聯。」

非同步訊息：正在等待擷取所有關聯詳細資料

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得相關關聯』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
CSV

名稱：「相關關聯」

欄：

  • ID
  • 名稱
  • 類型 (關聯名稱)
  • 狀態 (對應為 status/display_name)
 一般

提交觀測項目

根據 IP、網址、雜湊、電子郵件實體，將觀測項目提交至 Siemplify ThreatFuse。

如何查看信任圈 ID

如要找出信任圈的 ID，請在 Siemplify ThreatFuse 上找出信任圈，然後按一下其名稱。網址列中顯示的網址會包含 ID。

例如：https://siemplify.threatstream.com/search?trustedcircles=13。

參數

參數顯示名稱 類型 預設值 為必填 說明
分類 DDL

私人

可能的值：

  • 公開
  • 私人
 是 指定觀測項目的分類。
威脅類型 DDL

APT

可能的值

  • APT
  • 廣告軟體
  • 異常
  • 去識別化
  • 機器人
  • Brute
  • C2
  • 遭駭
  • Crypto
  • 資料外洩
  • DDOS
  • 動態 DNS
  • 資料竊取
  • 漏洞攻擊
  • 詐欺
  • 駭客工具
  • I2P
  • 參考用
  • 惡意軟體
  • P2
  • 已存放
  • Phish
  • 掃描
  • 陷孔
  • 社群
  • 垃圾內容
  • 隱藏
  • 可疑
  • TOR
  • VPS
 是 指定觀測項目的威脅類型。
來源 字串 Siemplify 否 指定觀測項目的情報來源。
到期日期 整數 不適用 否

指定可觀測項目的到期日 (以天為單位)。

如果未指定，動作會建立永不過期的觀測項目。
信任圈 ID CSV 不適用 否

請指定信任圈 ID 清單，並以半形逗號分隔。

觀測項目會與這些信任圈分享。
TLP DDL

請選取一項

可能的值：

  • 請選取一項
  • 紅色
  • 綠色
  • 琥珀色
  • 白色
 否 指定觀測項目的 TLP。
可信度 整數 不適用 否

指定可觀測項目的可信度。

注意：只有在貴組織建立觀測項目，且啟用「覆寫系統信賴度」參數時，這項參數才會生效。
覆寫系統信賴度 核取方塊 已取消勾選 否

如果啟用，建立的觀測項目會具有「Confidence」參數中指定的信賴度。

注意：啟用這項參數後，就無法與信任圈和公開分享觀測項目。
匿名提交 核取方塊 已取消勾選 否 如果啟用，這項動作會匿名提交。
標記 CSV 不適用 否 指定要新增至觀測項目的標記，並以逗號分隔的清單表示。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項 範例
is_success True/False is_success=False
JSON 結果
approved_jobs = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
    jobs_with_excluded_entities = [
    {
        "id": 123123,
        "entity": {entity.identifier}
    }
]
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (is_success=true)： 「已成功在 Siemplify ThreatFuse 中提交並核准下列實體：\n{0}」。format(entity.identifier list)

如果部分實體失敗 (遭拒實體) (is_success=true)：「Action was not able to successfully submit and approve the following entities in Siemplify ThreatFuse\n: {0}」.format([entity.identifier])

如果無法為所有實體充實資料 (is_success=false)： 「未成功將任何實體提交至 Siemplify ThreatFuse。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等： 「執行『提交觀測項目』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)

如果回報 400 狀態碼：「Error executing action "Submit Observable". Reason: {0}''.format(message)

 一般

回報為誤判

將 Siemplify ThreatFuse 中的實體回報為偽陽性。

參數

參數顯示名稱 類型 預設值 為必填 說明
原因 字串 不適用 是 請說明將實體標示為誤判的原因。
註解 字串 不適用 是 請提供其他資訊，說明您為何決定將實體標示為偽陽性。

執行日期

這項動作會對下列實體執行：

  • 雜湊
  • IP 位址
  • 網址
  • 使用者名稱與電子郵件規則運算式

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值/說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功，且在實體中找到至少一個雜湊 (is_success=true)： "Successfully reported the following entities as false positive in Siemplify ThreatFuse:\n{0}".format(entity.identifier list)

如果無法標示特定實體 (is_success=true)：「Action was not able to report the following entities as 偽陽性 in Siemplify ThreatFuse : {0}」。format([entity.identifier])

如果無法為所有實體充實資料 (issuccess=false)：「沒有實體回報為偽陽性。」

動作應失敗並停止執行應對手冊：

如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『回報為偽陽性』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Siemplify ThreatFuse - Observables 連接器

從 Siemplify ThreatFuse 提取觀測項目。

建議

設定連接器時，建議使用獨立環境，以免分析師收到大量推測性警示。

如何查看信任圈 ID

如要找出信任圈的 ID，請在 Siemplify ThreatFuse 上找到信任圈，然後按一下其名稱。網址列中顯示的網址會包含 ID。

例如：https://siemplify.threatstream.com/search?trustedcircles=13。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，即可擷取產品欄位名稱。
事件欄位名稱 字串 類型 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。

環境規則運算式模式

 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果會是預設環境。
指令碼逾時 (秒) 整數 300 是 執行目前指令碼的 Python 程序逾時限制。
API 根層級 字串

https://api.threat
stream.com

 是 Siemplify ThreatFuse 執行個體的 API 根目錄。
電子郵件地址 字串 不適用 是 Siemplify ThreatFuse 帳戶的電子郵件地址。
API 金鑰 密碼 不適用 是 Siemplify ThreatFuse 帳戶的 API 金鑰。
要擷取的最低嚴重性 字串 高 是

用於擷取觀測值的最低嚴重性。

可能的值：
低

中

高

極高
要擷取的最低信賴度 整數 50 是

用於擷取觀測值的最低可信度。上限為 100。
來源動態饋給篩選器 CSV 不適用 否 列出要用於擷取觀測項目的動態饋給 ID，並以半形逗號分隔。範例：515,4129
觀測項目類型篩選器 CSV url、domain、email、hash、ip、ipv6 否

以半形逗號分隔的清單，列出應擷取的觀測項目類型。範例：網址、網域

可能的值：url、domain、email、hash、ip、ipv6
觀測項目狀態篩選器 CSV 有效 否

以半形逗號分隔的觀測狀態清單，用於擷取新資料。範例：active,inactive

可能的值：active、inactive、falsepos
威脅類型篩選器 CSV 不適用 否

列出威脅類型並以半形逗號分隔，告訴系統應使用哪些威脅類型擷取觀測項目。範例：аdware,anomalous,anonymization,apt

可能的值：
аdware、anomalous、anonymization、
apt、bot、brute、c2、compromised、
crypto、data_leakage、ddos、dyn_dns、exfil、
exploit、fraud、hack_tool、i2p、informational、
malware、p2p、parked、phish、scan、sinkhole、spam、
suppress、suspicious、tor、vps
信任圈篩選器 CSV 不適用 否

列出要用於擷取可觀測項目的信任圈 ID，並以半形逗號分隔。

範例：146,147
標記名稱篩選器 CSV 不適用 否 以半形逗號分隔的標記名稱清單，與應與擷取作業搭配使用的觀測項目相關聯。例如：Microsoft 憑證、網路釣魚。
來源動態饋給分組 核取方塊 已取消勾選 否 啟用後，連接器會將來自相同來源的觀測項目歸入同一個 Siemplify 快訊。
擷取資料的最早日期 整數 1 否 擷取可觀測項目的天數。
每則快訊的可觀測項目數量上限 整數 100 否 一個 Siemplify 警告應包含多少個觀測項目。上限為 200。
將許可清單當做封鎖清單使用 核取方塊 已取消勾選 是 如果啟用，動態清單會做為封鎖清單使用。
驗證 SSL 核取方塊 已取消勾選 是 如果已啟用，請確認連至 Siemplify Threatfuse 伺服器的 SSL 憑證有效。
Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。