本頁面由 Cloud Translation API 翻譯而成。

Mandiant

整合版本：6.0

在 Google Security Operations 中設定 Mandiant 整合

請參閱這篇說明文章，瞭解在 Google SecOps 中設定整合功能的詳細操作說明。

整合參數

請使用下列參數設定整合：

參數顯示名稱	類型	預設值	是否為必要項目	說明
UI 根目錄	字串	https://advantage.mandiant.com	是	Mandiant 執行個體的 UI 根目錄。
API 根層級	字串	https://api.intelligence.mandiant.com	是	Mandiant 執行個體的 API 根目錄。
用戶端 ID	密碼	不適用	否	Mandiant 帳戶的用戶端 ID。
CA 憑證檔案	字串	不適用	否	Mandiant 帳戶的用戶端密鑰。
驗證 SSL	核取方塊	已取消勾選	是	如果啟用，系統會驗證連至 Mandiant 伺服器的連線 SSL 憑證是否有效。

如何產生用戶端 ID 和用戶端密鑰

依序前往「Settings」->「API Access and Keys」，然後點按「Get Key ID and Secret」。

應用實例

充實實體。

動作

乒乓

說明

使用 Google Security Operations Marketplace 分頁中整合設定頁面提供的參數，測試與 Mandiant 的連線。

參數

不適用

執行時間

這項動作不會在實體上執行，也沒有強制輸入參數。

動作執行結果

指令碼執行結果

指令碼結果名稱	價值選項	示例
is_success	True/False	is_success=False

JSON 結果

N/A

實體擴充

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功：「Successfully connected to the Mandiant server with the provided connection parameters!」(已使用提供的連線參數成功連線至 Mandiant 伺服器！) 動作應會失敗並停止執行應對手冊：如果未成功：「Failed to connect to the Mandiant server! 錯誤為「{0}」。format(exception.stacktrace)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功：「Successfully connected to the Mandiant server with the provided connection parameters!」(已使用提供的連線參數成功連線至 Mandiant 伺服器！)

動作應會失敗並停止執行應對手冊：

如果未成功：「Failed to connect to the Mandiant server! 錯誤為「{0}」。format(exception.stacktrace)

一般

充實實體

說明

使用 Mandiant 的資訊擴充實體。支援的實體：主機名稱、IP 位址、網址、檔案雜湊、威脅發動者、安全漏洞。

參數

參數顯示名稱	類型	預設值	是否為必要項目	說明
嚴重性分數門檻	整數	50	是	指定用來將實體標示為可疑的最低嚴重性分數。注意：只有指標 (主機名稱、IP 位址、檔案雜湊、網址) 可以標示為可疑。上限：100
建立洞察資料	核取方塊	已勾選	否	如果啟用，這項動作會建立洞察資料，其中包含實體的所有擷取資訊。
僅限可疑實體洞察資料	核取方塊	已取消勾選	否	啟用後，這項動作只會為可疑實體建立洞察資料。注意：「建立洞察」參數應設為啟用。即使「威脅行為者」和「安全漏洞」實體未標示為可疑，系統也會建立相關深入分析。

參數顯示名稱

類型

預設值

是否為必要項目

說明

嚴重性分數門檻

整數

是

指定用來將實體標示為可疑的最低嚴重性分數。

注意：只有指標 (主機名稱、IP 位址、檔案雜湊、網址) 可以標示為可疑。

上限：100

建立洞察資料

核取方塊

已勾選

否

如果啟用，這項動作會建立洞察資料，其中包含實體的所有擷取資訊。

僅限可疑實體洞察資料

核取方塊

已取消勾選

否

啟用後，這項動作只會為可疑實體建立洞察資料。

注意：「建立洞察」參數應設為啟用。

即使「威脅行為者」和「安全漏洞」實體未標示為可疑，系統也會建立相關深入分析。

執行時間

這項動作會對下列實體執行：

主機名稱
IP 位址
網址
檔案雜湊
威脅發動者
安全漏洞

動作執行結果

指令碼執行結果

指令碼結果名稱	價值選項	示例
is_success	True/False	is_success=False

JSON 結果

指標的 JSON 結果

{
    "Entity": "173.254.xx.xx",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ipv4--da5b1f26-cf25-5a61-9c93-xxxxx",
      "type": "ipv4",
      "value": "173.254.xx.xx",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

威脅行為者的 JSON 結果

{
    "Entity": "APxxxxx",
    "EntityResult": {
      "motivations": [
        {
          "id": "motivation--1b8ca82a-7cff-5622-bedd-xxxx",
          "name": "Espionage",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "identity--cc593632-0c42-500c-8d0b-xxxxx",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "identity--8768c9d0-830d-5c94-88d1-xxxxxxx",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--09673ebc-9fbf-5ab0-9130-xxxxx",
          "name": "AGEDMOAT",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--a2de25d8-beae-5e86-b10e-xxxxxx",
          "name": "ZERODUE",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--57e5ea29-1c08-5f80-b28e-xxxxx",
          "name": "ANGRYIP",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--02178345-7a8a-546a-b82f-xxxxx",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--c80cc2c3-c5b6-5769-b228-xxxxx",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--26e2c717-7772-5ad5-8f0c-xxxxx",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--a509dfc8-789b-595b-a201-xxxxx",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--7b33370b-da4b-5c48-9741-xxxxx",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--9488166d-6469-5e54-ba5f-xxxxx",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--8cb90843-f69a-5aa6-95dc-xxxxx",
          "cve_id": "CVE-2009-xxxx",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-xxxxx",
      "name": "APxxxx",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

漏洞的 JSON 結果

  {
    "Entity": "CVE-2022-xxxx",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;NetWeaver Application Server for ABAP&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "https://wiki.scn.company.com/wiki/pages/viewpage.action?pageId=596902035",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "59690xxxx"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--27efc4f2-4d7b-5d39-a96f-xxxxx",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/311xxxxx",
          "name": "Company A (311xxxx) Security Update Information",
          "unique_id": "311xxxxx"
        }
      ],
      "title": "Company A NetWeaver Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "netweaver_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a netweaver_as_abap 7.31",
          "cpe": "cpe:2.3:a:aompany a:netweaver_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;NetWeaver Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-2022-xxxx",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ipv4--da5b1f26-xxxx-5a61-9c93-6dxxxxxxxxxx"
    }
  }

實體擴充

指標的擴充資料表 - 前置字串 Mandiant_

補充資料欄位名稱	來源 (JSON 金鑰)	邏輯 - 應用時機
first_seen	first_seen	以 JSON 格式提供時
last_seen	last_seen	以 JSON 格式提供時
來源	不重複「sources/source_name」的 CSV 檔案	以 JSON 格式提供時
mscore	mscore	以 JSON 格式提供時
attributed_associations_{associated_associations/type}	每個 attributed_associations/type 的 CSV 格式 attributed_associations/name，因此每個類型各有一個鍵。例如，所有惡意軟體都集中在一個位置。	以 JSON 格式提供時
report_link	精心打造。	以 JSON 格式提供時

威脅發動者擴充資料表 - 前置字串 Mandiant_

補充資料欄位名稱	來源 (JSON 金鑰)	邏輯 - 應用時機
動機	動機/名稱的 CSV 檔案	以 JSON 格式提供時
別名	別名/名稱的 CSV 檔案	以 JSON 格式提供時
產業	產業/名稱的 CSV 檔案	以 JSON 格式提供時
惡意軟體	惡意軟體/名稱的 CSV 檔案	以 JSON 格式提供時
locations\_source	地點/來源/國家/名稱的 CSV 檔案	以 JSON 格式提供時
locations\_target	地點/目標/名稱的 CSV 檔案	以 JSON 格式提供時
cve	CVE/cve\_id 的 CSV 檔案	以 JSON 格式提供時
說明	說明	以 JSON 格式提供時
last\_activity\_time	last\_activity\_time	以 JSON 格式提供時
report\_link	精心打造。	以 JSON 格式提供時

安全漏洞的擴充資料表 - 前置字串 Mandiant_

補充資料欄位名稱	來源 (JSON 金鑰)	邏輯 - 應用時機
來源	source_name 的 CSV 檔案	以 JSON 格式提供時
exploitation_state	exploitation_state	以 JSON 格式提供時
date_of_disclosure	date_of_disclosure	以 JSON 格式提供時
vendor_fix_references	vendor_fix_references/url	以 JSON 格式提供時
title	title	以 JSON 格式提供時
exploitation_vectors	exploitation_vectors 的 CSV 檔案	以 JSON 格式提供時
說明	說明	以 JSON 格式提供時
risk_rating	risk_rating	以 JSON 格式提供時
available_mitigation	available_mitigation 的 CSV 檔案	以 JSON 格式提供時
exploitation_consequence	exploitation_consequence	以 JSON 格式提供時
report_link	精心打造。	以 JSON 格式提供時

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果某個實體有資料 (is_success=true)：「已使用來自 Mandiant 的資訊，成功擴充下列實體：{entity.identifier}。」如果某個實體沒有資料 (is_success=true)："Action wasn't able to enrich the following entities using information from Mandiant: {entity.identifier}." 如果所有實體都沒有資料 (is_success=false)：「提供的實體皆未經過擴充。」動作應會失敗並停止執行應對手冊：如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「執行『Enrich Entities』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"	一般
案件總覽表格	資料表名稱：{entity.identifier} 資料表資料欄：鍵值	實體

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果某個實體有資料 (is_success=true)：「已使用來自 Mandiant 的資訊，成功擴充下列實體：{entity.identifier}。」

如果某個實體沒有資料 (is_success=true)："Action wasn't able to enrich the following entities using information from Mandiant: {entity.identifier}."

如果所有實體都沒有資料 (is_success=false)：「提供的實體皆未經過擴充。」

動作應會失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「執行『Enrich Entities』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

一般

案件總覽表格

資料表名稱：{entity.identifier}

資料表資料欄：

實體

取得相關實體

說明

使用 Mandiant 的資訊，取得與實體相關的 IOC 資訊。支援的實體：主機名稱、IP 位址、網址、檔案雜湊、威脅發動者。

參數

參數顯示名稱	類型	預設值	是否為必要項目	說明
最低嚴重程度分數	整數	50	是	指定用於傳回相關指標的最低嚴重程度分數。上限：100
要傳回的 IOC 數量上限	整數	100	否	指定動作需要處理的每個實體指標數量。

參數顯示名稱

類型

預設值

是否為必要項目

說明

最低嚴重程度分數

整數

是

指定用於傳回相關指標的最低嚴重程度分數。

上限：100

要傳回的 IOC 數量上限

整數

100

否

指定動作需要處理的每個實體指標數量。

執行時間

這項動作會對下列實體執行：

主機名稱
IP 位址
網址
檔案雜湊
威脅發動者

動作執行結果

指令碼執行結果

指令碼結果名稱	價值選項	示例
is_success	True/False	is_success=False

JSON 結果

{
    "hash": [{value}],
    "url": [{value}],
    "fqdn": [{value}],
    "ip": [{value}],
    "email": [{value}]
}

實體擴充

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果某個實體有資料 (is_success=true)：「Successfully returned related indicators for the following entities using information from Mandiant: {entity.identifier}.」(已使用 Mandiant 的資訊，成功傳回下列實體的相關指標：{entity.identifier}。) 如果某個實體沒有資料 (is_success=true)：「根據 Mandiant 的資訊，下列實體沒有相關指標：{entity.identifier}。」如果並非所有實體都有資料 (is_success=false)：「找不到相關指標」。動作應會失敗並停止執行應對手冊：如果系統回報嚴重錯誤 (例如憑證錯誤、無法連線至伺服器或其他錯誤)：「執行動作『取得相關實體』時發生錯誤。Reason: {0}''.format(error.Stacktrace)"	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果某個實體有資料 (is_success=true)：「Successfully returned related indicators for the following entities using information from Mandiant: {entity.identifier}.」(已使用 Mandiant 的資訊，成功傳回下列實體的相關指標：{entity.identifier}。)

如果某個實體沒有資料 (is_success=true)：「根據 Mandiant 的資訊，下列實體沒有相關指標：{entity.identifier}。」

如果並非所有實體都有資料 (is_success=false)：「找不到相關指標」。

動作應會失敗並停止執行應對手冊：

如果系統回報嚴重錯誤 (例如憑證錯誤、無法連線至伺服器或其他錯誤)：「執行動作『取得相關實體』時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

一般

充實 IOC

說明

取得 Mandiant 提供的 IOC 資訊。

參數

參數顯示名稱	類型	預設值	是否為必要項目	說明
IOC ID	CSV	不適用	是	指定需要擴充的 IOC 清單 (以半形逗號分隔)。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼結果名稱	價值選項	示例
is_success	True/False	is_success=False

JSON 結果

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--0ac5c1db-8ad6-54b8-b4b9-c32fc738c54a",
            "name": "APT1",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--25667188-bcf5-5abc-b1cc-caabfa18e2b3",
    "type": "fqdn",
    "value": "agru.qpoe.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}

實體擴充

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果某個 IOC 有資料 (is_success=true)：「Successfully enriched the following IOCs using information from Mandiant: {ioc .identifier}.」(已使用 Mandiant 的資訊成功擴充下列 IOC：{ioc .identifier}。) 如果某個 IOC 沒有資料 (is_success=true)：「Action wasn't able to enrich the following IOCs using information from Mandiant: {ioc .identifier}.」(Action 無法使用 Mandiant 的資訊擴充下列 IOC：{ioc .identifier}。) 如果並非所有 IOC 都有資料 (is_success=false)：「No IOCs were enriched.」(未增補任何 IOC)。動作應會失敗並停止執行應對手冊：如果系統回報嚴重錯誤 (例如憑證錯誤、無法連線至伺服器等)，請按照下列步驟操作：「Error executing action "Get Related Entities". 原因：{0}''.format(error.Stacktrace)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果某個 IOC 有資料 (is_success=true)：「Successfully enriched the following IOCs using information from Mandiant: {ioc .identifier}.」(已使用 Mandiant 的資訊成功擴充下列 IOC：{ioc .identifier}。)

如果某個 IOC 沒有資料 (is_success=true)：「Action wasn't able to enrich the following IOCs using information from Mandiant: {ioc .identifier}.」(Action 無法使用 Mandiant 的資訊擴充下列 IOC：{ioc .identifier}。)

如果並非所有 IOC 都有資料 (is_success=false)：「No IOCs were enriched.」(未增補任何 IOC)。

動作應會失敗並停止執行應對手冊：

如果系統回報嚴重錯誤 (例如憑證錯誤、無法連線至伺服器等)，請按照下列步驟操作：「Error executing action "Get Related Entities". 原因：{0}''.format(error.Stacktrace)

一般

取得惡意軟體詳細資料

說明

取得 Mandiant 提供的惡意軟體資訊。

參數

參數顯示名稱	類型	預設值	是否為必要項目	說明
惡意軟體名稱	CSV	不適用	是	指定要擴充的惡意軟體名稱清單 (以半形逗號分隔)。
建立洞察資料	核取方塊	已勾選	否	如果啟用，這項動作會建立洞察資料，其中包含實體的所有擷取資訊。
擷取相關 IOC	核取方塊	已勾選	否	啟用後，這項動作會擷取與所提供惡意軟體相關的指標。
要傳回的相關 IOC 數量上限	整數	100	否	指定每個惡意軟體需要處理的指標數量。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼結果名稱	價值選項	示例
is_success	True/False	is_success=False

JSON 結果

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--96f82012-c77e-5887-bee9-69aec0b88578",
    "name": "PHOTOMINER",
    "description": "PHOTOMINER is a Windows-based modular cryptocurrency mining malware that communicates over HTTP.",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}

實體擴充

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果某個惡意軟體有可用資料 (is_success=true)：「已使用 Mandiant 的資訊，成功擴充下列惡意軟體：{惡意軟體名稱}。」如果無法取得某個惡意軟體的資料 (is_success=true)：「Action wasn't able to enrich the following malware using information from Mandiant: {malware name}」。如果所有惡意軟體都沒有資料 (is_success=false)：「找不到惡意軟體資訊。」動作應會失敗並停止執行應對手冊：如果系統回報嚴重錯誤 (例如憑證錯誤、無法連線至伺服器或其他錯誤)，請按照下列步驟操作：「Error executing action "Get Malware Details"」。Reason: {0}''.format(error.Stacktrace)"	一般
案件總覽表格	表格名稱：惡意軟體結果資料表資料欄：名稱 - 名稱說明 - 說明別名 - {aliases/name} 的 CSV 檔案上次活動時間 - {last_activity_time}	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果某個惡意軟體有可用資料 (is_success=true)：「已使用 Mandiant 的資訊，成功擴充下列惡意軟體：{惡意軟體名稱}。」

如果無法取得某個惡意軟體的資料 (is_success=true)：「Action wasn't able to enrich the following malware using information from Mandiant: {malware name}」。

如果所有惡意軟體都沒有資料 (is_success=false)：「找不到惡意軟體資訊。」

動作應會失敗並停止執行應對手冊：

如果系統回報嚴重錯誤 (例如憑證錯誤、無法連線至伺服器或其他錯誤)，請按照下列步驟操作：「Error executing action "Get Malware Details"」。Reason: {0}''.format(error.Stacktrace)"

一般

案件總覽表格

表格名稱：惡意軟體結果

資料表資料欄：

名稱 - 名稱
說明 - 說明
別名 - {aliases/name} 的 CSV 檔案
上次活動時間 - {last_activity_time}

一般

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。