将 Mandiant Threat Intelligence 与 Google SecOps 集成

本文档介绍了如何将 Mandiant Threat Intelligence 与 Google Security Operations 集成。

使用场景

Mandiant Threat Intelligence 集成使用 Google SecOps 功能来支持以下用例：

  • 自动分诊和评分：使用 Mandiant 严重程度分数（M 分数）丰富有效支持请求中的实体（IP、哈希、主机名、网址），以根据配置的阈值自动确定可疑状态并确定高风险指标的优先级。

  • 威胁关联和调查：从指标（IP、哈希或网址）透视，以检索和关联相关的 Mandiant 对象，包括与观测到的活动相关联的威胁正文、恶意软件系列和漏洞 (CVE)。

  • 主动搜寻和补救：使用已知的恶意软件或威胁行动者名称（来自外部报告）检索所有相关的入侵指标 (IOC)，例如新发现的文件哈希或 IP，以便在整个环境中进行防御性屏蔽或主动搜寻。

准备工作

此集成提供原生平台功能，不需要外部第三方 API 密钥或凭据进行身份验证。在开始之前，请确保已从 Google SecOps 实例中的内容中心安装集成。

集成参数

Mandiant 威胁情报集成需要以下参数：

参数 说明
UI Root

必填。

Mandiant 实例的界面根。
API Root

必填。

Mandiant 实例的 API 根目录。

如需使用 Google Threat Intelligence 凭据进行身份验证，请输入以下值：https://www.virustotal.com。
Client ID

可选。

Mandiant 威胁情报账号的客户端 ID。

如需在 Mandiant Threat Intelligence 中生成客户端 ID，请依次前往账号设置 > API 访问权限和密钥 > 获取密钥 ID 和密钥。
Client Secret

可选。

Mandiant Threat Intelligence 账号的客户端密钥。

如需在 Mandiant Threat Intelligence 中生成客户端密钥，请依次前往账号设置 > API 访问权限和密钥 > 获取密钥 ID 和密钥。
GTI API Key

可选。

Google Threat Intelligence 的 API 密钥。

如需使用 Google Threat Intelligence 进行身份验证，请将 API Root 值设置为 https://www.virustotal.com。

当您使用 Google Threat Intelligence API 密钥进行身份验证时，该方法会优先于其他身份验证方法。
Verify SSL

必填。

如果选择此项，集成会在连接到 Mandiant Threat Intelligence 服务器时验证 SSL 证书。

默认处于启用状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作台页面中处理待处理的操作和执行人工处置措施。

丰富实体

使用 Enrich Entities 操作，通过 Mandiant Threat Intelligence 中的信息来丰富实体。

此操作可在以下 Google SecOps 实体上运行：

  • CVE
  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

操作输入

丰富实体操作需要以下参数：

参数 说明
Severity Score Threshold

必填。

实体必须达到或超过的最低严重程度得分，才能被标记为可疑。

该操作只能将以下指标标记为可疑：

  • Hostname
  • IP Address
  • File Hash
  • URL

最大值为 100。

默认值为 50。
Create Insight

可选。

如果选择此选项，该操作会创建一个包含有关实体的所有检索到的信息的洞见。

默认处于启用状态。
Only Suspicious Entity Insight

可选。

如果选择此操作，则该操作仅针对根据配置的严重程度阈值确定为可疑的实体生成数据洞见。

无论 Threat Actor 和 Vulnerability 实体的可疑状态如何，系统都会始终为其创建数据分析。

操作输出

丰富实体操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
实体丰富表 可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
实体丰富表

下表列出了使用丰富实体操作时，指示器丰富功能的各个值：

扩充项字段 来源（JSON 键） 适用性
first_seen first_seen 当 JSON 结果中提供相应信息时。
last_seen last_seen 当 JSON 结果中提供相应信息时。
sources 包含唯一 sources/source_name 值的 CSV 文件。 当 JSON 结果中提供相应信息时。
mscore mscore 当 JSON 结果中提供相应信息时。
attributed_associations_{associated_associations/type} 一个包含所有 attributed_associations/type 类型（每种类型一个密钥）的 attributed_associations/name 密钥的 CSV 文件。 当 JSON 结果中提供相应信息时。
report_link 精心制作。 当 JSON 结果中提供相应信息时。

下表列出了使用 Enrich Entities 操作时 Threat Actors 实体的丰富值：

扩充项字段 来源（JSON 键） 适用性
motivations 一个包含 motivations/name 值的 CSV。 当 JSON 结果中提供相应信息时。
aliases 一个包含 aliases/name 值的 CSV。 当 JSON 结果中提供相应信息时。
industries 一个包含 industries/name 值的 CSV。 当 JSON 结果中提供相应信息时。
malware 一个包含 malware/name 值的 CSV。 当 JSON 结果中提供相应信息时。
locations\_source 一个包含 locations/source/country/name 值的 CSV。 当 JSON 结果中提供相应信息时。
locations\_target 一个包含 locations/target/name 值的 CSV。 当 JSON 结果中提供相应信息时。
cve 一个包含 cve/cve\_id 值的 CSV。 当 JSON 结果中提供相应信息时。
description description 当 JSON 结果中提供相应信息时。
last\_activity\_time last\_activity\_time 当 JSON 结果中提供相应信息时。
report\_link 精心制作。 当 JSON 结果中提供相应信息时。

下表列出了使用 Enrich Entities 操作时 Vulnerability 实体的丰富值：

扩充项字段 来源（JSON 键） 适用性
sources 一个包含 source_name 值的 CSV。 当 JSON 结果中提供相应信息时。
exploitation_state exploitation_state 当 JSON 结果中提供相应信息时。
date_of_disclosure date_of_disclosure 当 JSON 结果中提供相应信息时。
vendor_fix_references vendor_fix_references/url 当 JSON 结果中提供相应信息时。
title title 当 JSON 结果中提供相应信息时。
exploitation_vectors 一个包含 exploitation_vectors 值的 CSV。 当 JSON 结果中提供相应信息时。
description description 当 JSON 结果中提供相应信息时。
risk_rating risk_rating 当 JSON 结果中提供相应信息时。
available_mitigation 一个包含 available_mitigation 值的 CSV。 当 JSON 结果中提供相应信息时。
exploitation_consequence exploitation_consequence 当 JSON 结果中提供相应信息时。
report_link 精心制作 当 JSON 结果中提供相应信息时。
JSON 结果

以下示例展示了使用丰富实体操作时收到的指标的 JSON 结果输出：

{
    "Entity": "192.0.2.1",
    "EntityResult": {
      "first_seen": "2022-03-22T21:46:43.000Z",
      "last_seen": "2022-05-22T00:58:48.000Z",
      "sources": [
        {
          "first_seen": "2022-03-22T21:46:46.000+0000",
          "last_seen": "2022-03-24T19:12:57.000+0000",
          "osint": false,
          "category": [],
          "source_name": "Mandiant"
        }
      ],
      "mscore": 100,
      "attributed_associations": [
        {
          "id": "malware--f1151a22-9d9c-589d-90ad-xxxxx",
          "name": "EMOTET",
          "type": "malware"
        }
      ],
      "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "microsoft": false,
        "microsoft-office365": false,
        "crl-hostname": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "dax30": false,
        "public-dns-v4": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": false,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "alexa_1M": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": false,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": true,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
      },
      "id": "ID",
      "type": "ipv4",
      "value": "192.0.2.1",
      "is_publishable": true,
      "last_updated": "2022-05-22T01:04:46.098Z",
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下示例展示了使用丰富实体操作时收到的 Threat Actor 实体的 JSON 结果输出：

{
    "Entity": "ENTITY_ID",
    "EntityResult": {
      "motivations": [
        {
          "id": "ID",
          "name": "Example",
          "attribution_scope": "confirmed"
        }
      ],
      "aliases": [
        {
          "name": "Comment Crew (Internet)",
          "attribution_scope": "confirmed"
        }
      ],
      "industries": [
        {
          "id": "ID",
          "name": "Aerospace & Defense",
          "attribution_scope": "confirmed"
        },
        {
          "id": "ID",
          "name": "Transportation",
          "attribution_scope": "confirmed"
        }
      ],
      "observed": [
        {
          "earliest": "2003-06-20T12:00:00.000Z",
          "recent": "2015-10-20T00:00:00.000Z",
          "attribution_scope": "confirmed"
        }
      ],
      "malware": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE1",
          "attribution_scope": "confirmed"
        },
        {
          "id": "malware--ID",
          "name": "EXAMPLE2",
          "attribution_scope": "confirmed"
        }
      ],
      "tools": [
        {
          "id": "malware--ID",
          "name": "EXAMPLE3",
          "attribution_scope": "confirmed"
        }
      ],
      "suspected_attribution": [],
      "locations": {
        "source": [
          {
            "region": {
              "id": "location--ID",
              "name": "Asia",
              "attribution_scope": "confirmed"
            },
            "sub_region": {
              "id": "location--ID",
              "name": "East Asia",
              "attribution_scope": "confirmed"
            },
            "country": {
              "id": "location--ID",
              "name": "China",
              "iso2": "CN",
              "attribution_scope": "confirmed"
            }
          }
        ],
        "target": [
          {
            "id": "location--ID",
            "name": "Belgium",
            "iso2": "be",
            "region": "Europe",
            "sub-region": "West Europe",
            "attribution_scope": "confirmed"
          }
        ],
        "target_sub_region": [
          {
            "id": "location--ID",
            "name": "East Asia",
            "key": "eastasia",
            "region": "Asia",
            "attribution_scope": "confirmed"
          }
        ],
        "target_region": [
          {
            "id": "location--ID",
            "name": "Africa",
            "key": "africa",
            "attribution_scope": "confirmed"
          }
        ]
      },
      "cve": [
        {
          "id": "vulnerability--ID",
          "cve_id": "CVE-ID",
          "attribution_scope": "confirmed"
        }
      ],
      "associated_uncs": [],
      "id": "threat-actor--ID",
      "name": "Example",
      "description": "A description of the threat actor",
      "type": "threat-actor",
      "last_updated": "2022-05-29T05:30:48.000Z",
      "last_activity_time": "2015-10-20T00:00:00.000Z",
      "audience": [
        {
          "name": "intel_fusion",
          "license": "INTEL_RBI_FUS"
        }
      ],
      "is_publishable": true,
      "counts": {
        "reports": 171,
        "malware": 92,
        "cve": 1,
        "associated_uncs": 0,
        "aliases": 4,
        "industries": 16,
        "attack_patterns": 111
      },
      "intel_free": true,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }

以下示例展示了使用丰富实体操作时收到的 Vulnerability 实体的 JSON 结果输出：

  {
    "Entity": "CVE-ID",
    "EntityResult": {
      "exploits": [],
      "vulnerable_products": "<p>The following vendors/products have been reported as vulnerable:</p>\\n<ul>\\n<li>Company A:&nbsp;Example Application Server&nbsp;7.01, 7.02, 7.11, 7.30, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, and 7.86</li>\\n</ul>",
      "sources": [
        {
          "source_description": "Company A Security Patch Day – January 2022",
          "source_name": "Company A",
          "url": "URL",
          "date": "2022-01-11T17:00:00.000Z",
          "unique_id": "ID"
        }
      ],
      "exploitation_state": "No Known",
      "date_of_disclosure": "2022-01-11T07:00:00.000Z",
      "id": "vulnerability--ID",
      "vendor_fix_references": [
        {
          "url": "https://launchpad.support.company.com/#/notes/ID",
          "name": "Company A ID Security Update Information",
          "unique_id": "ID"
        }
      ],
      "title": "Company A Example Application Server 7.86 Unspecified Vulnerability",
      "exploitation_vectors": [
        "General Network Connectivity"
      ],
      "was_zero_day": false,
      "vulnerable_cpes": [
        {
          "technology_name": "example_as_abap 7.31",
          "vendor_name": "Company A",
          "cpe_title": "company a example_as_abap 7.31",
          "cpe": "cpe:2.3:a:company a:example_as_abap:7.31:*:*:*:*:*:*:*"
        }
      ],
      "executive_summary": "<p>An unspecified vulnerability exists within Company A&nbsp;Example Application Server 7.86 and earlier that, when exploited, allows an authenticated attacker to remotely access potentially sensitive information. Exploit code is not publicly available. Mitigation options include a vendor fix.</p>",
      "cwe": "Unknown",
      "description": null,
      "cve_id": "CVE-ID",
      "risk_rating": "LOW",
      "observed_in_the_wild": false,
      "common_vulnerability_scores": {
        "v2.0": {
          "access_complexity": "LOW",
          "temporal_score": 3,
          "confidentiality_impact": "PARTIAL",
          "report_confidence": "CONFIRMED",
          "base_score": 4,
          "access_vector": "NETWORK",
          "vector_string": "AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C",
          "integrity_impact": "NONE",
          "availability_impact": "NONE",
          "remediation_level": "OFFICIAL_FIX",
          "authentication": "SINGLE",
          "exploitability": "UNPROVEN"
        }
      },
      "available_mitigation": [
        "Patch"
      ],
      "exploitation_consequence": "Information Disclosure",
      "analysis": "<p>Mandiant Threat Intelligence considers this a Low-risk vulnerability because of the privileges required and the limited impact upon exploitation.</p>",
      "audience": [
        "intel_vuln"
      ],
      "publish_date": "2022-01-11T18:24:00.000Z",
      "workarounds": null,
      "type": "vulnerability",
      "is_publishable": true,
      "associated_actors": [],
      "associated_malware": [],
      "intel_free": false,
      "report_link": "https://advantage.mandiant.com/indicator/ipv4/ID"
    }
  }
输出消息

丰富实体操作可以返回以下输出消息：

输出消息 消息说明

Successfully enriched the following entities using information from Mandiant: ENTITY_ID

Action wasn't able to enrich the following entities using information from Mandiant: ENTITY_ID

None of the provided entities were enriched.

 操作成功。
Error executing action MandiantThreatIntelligence - Enrich Entities. Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用丰富实体操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

丰富 IOC

使用 Enrich IOCs 操作从 Mandiant 检索有关特定 IOC 的威胁情报数据。

此操作不适用于 Google SecOps 实体。

操作输入

丰富 IOC 操作需要以下参数：

参数 说明
IOC Identifiers

必填。

要检索威胁情报数据的 IOC 的英文逗号分隔列表。

操作输出

丰富 IOC 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用丰富 IOC 操作时收到的 JSON 结果输出：

{
    "first_seen": "2011-09-12T12:23:13.000Z",
    "last_seen": "2011-09-12T12:23:13.000Z",
    "sources": [
        {
            "first_seen": "2011-09-12T12:23:13.000+0000",
            "last_seen": "2011-09-12T12:23:13.000+0000",
            "osint": false,
            "category": [],
            "source_name": "Mandiant"
        }
    ],
    "mscore": 47,
    "attributed_associations": [
        {
            "id": "threat-actor--ID",
            "name": "Example",
            "type": "threat-actor"
        }
    ],
    "misp": {
        "smtp-receiving-ips": false,
        "covid": false,
        "eicar.com": false,
        "majestic_million": false,
        "sinkholes": false,
        "alexa": false,
        "cisco_top1000": false,
        "crl-hostname": false,
        "microsoft-office365": false,
        "microsoft": false,
        "googlebot": false,
        "microsoft-azure-germany": false,
        "microsoft-attack-simulator": false,
        "microsoft-azure": false,
        "rfc5735": false,
        "tranco10k": false,
        "public-dns-v4": false,
        "dax30": false,
        "dynamic-dns": false,
        "public-dns-v6": false,
        "covid-19-cyber-threat-coalition-whitelist": false,
        "common-ioc-false-positive": false,
        "cisco_1M": false,
        "google-gmail-sending-ips": false,
        "microsoft-azure-china": false,
        "stackpath": false,
        "google": false,
        "cloudflare": false,
        "moz-top500": false,
        "tranco": false,
        "tlds": true,
        "university_domains": false,
        "smtp-sending-ips": false,
        "cisco_top20k": false,
        "empty-hashes": false,
        "nioc-filehash": false,
        "amazon-aws": false,
        "url-shortener": false,
        "microsoft-office365-ip": false,
        "microsoft-win10-connection-endpoints": false,
        "microsoft-azure-us-gov": false,
        "majestic_million_1M": false,
        "mozilla-CA": false,
        "whats-my-ip": false,
        "microsoft-office365-cn": false,
        "vpn-ipv6": false,
        "rfc3849": false,
        "rfc6761": false,
        "security-provider-blogpost": false,
        "cisco_top5k": false,
        "apple": false,
        "public-dns-hostname": false,
        "mozilla-IntermediateCA": false,
        "rfc1918": false,
        "ti-falsepositives": false,
        "akamai": false,
        "bank-website": false,
        "automated-malware-analysis": false,
        "rfc6598": false,
        "alexa_1M": false,
        "google-gcp": false,
        "ovh-cluster": false,
        "multicast": false,
        "phone_numbers": false,
        "fastly": false,
        "cisco_top10k": false,
        "second-level-tlds": true,
        "wikimedia": false,
        "disposable-email": false,
        "common-contact-emails": false,
        "vpn-ipv4": false,
        "ipv6-linklocal": false,
        "covid-19-krassi-whitelist": false,
        "crl-ip": false
    },
    "id": "fqdn--ID",
    "type": "fqdn",
    "value": "example.com",
    "is_publishable": true,
    "is_exclusive": true,
    "last_updated": "2022-02-21T13:20:27.176Z"
}
输出消息

丰富 IOC 操作可以返回以下输出消息：

输出消息 消息说明

Successfully enriched the following IOCs using information from Mandiant: IOC_ID

Action wasn't able to enrich the following IOCs using information from Mandiant: IOC_ID.

No IOCs were enriched.

 操作成功。
Error executing action "Enrich IOCs". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Enrich IOCs 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取恶意软件详细信息

使用 Get Malware Details 操作从 Mandiant Threat Intelligence 获取有关恶意软件的信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取恶意软件详细信息操作需要以下参数：

参数 说明
Malware Names

必填。

要扩充的恶意软件名称的英文逗号分隔列表。
Create Insight

可选。

如果选择此操作，系统会创建一个包含有关实体的所有检索到的信息的分析。

默认处于启用状态。
Fetch Related IOCs

可选。

如果选择此项，该操作会提取与所提供的恶意软件相关的指示器。

默认处于启用状态。
Max Related IOCs To Return

可选。

操作针对每个恶意软件条目处理的相关指标的最大数量。

默认值为 100。

操作输出

获取恶意软件详细信息操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取恶意软件详情操作时收到的 JSON 结果输出：

{
    "inherently_malicious": 1,
    "operating_systems": [
        "Windows"
    ],
    "aliases": [],
    "capabilities": [
        {
            "name": "Allocates memory",
            "description": "Capable of allocating memory. "
        }
    ],
    "detections": [],
    "yara": [],
    "roles": [
        "Cryptocurrency Miner"
    ],
    "malware": [],
    "actors": [],
    "cve": [],
    "id": "malware--ID",
    "name": "EXAMPLE",
    "description": "Example description",
    "type": "malware",
    "last_updated": "2022-04-13T02:59:30.000Z",
    "last_activity_time": "2022-04-13T02:59:30.000Z",
    "audience": [
        {
            "name": "intel_fusion",
            "license": "INTEL_RBI_FUS"
        }
    ],
    "is_publishable": true,
    "counts": {
        "reports": 0,
        "capabilities": 26,
        "malware": 0,
        "actors": 0,
        "detections": 0,
        "cve": 0,
        "aliases": 0,
        "industries": 5,
        "attack_patterns": 19
    },
    "intel_free": false
}
输出消息

获取恶意软件详细信息操作可以返回以下输出消息：

输出消息 消息说明

Successfully enriched the following malware using information from Mandiant: MALWARE_NAME.

Action wasn't able to enrich the following malware using information from Mandiant: MALWARE_NAME.

No malware information was found.

 操作成功。
Error executing action "Get Malware Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Malware Details 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

使用 Get Related Entities 操作，通过 Mandiant Threat Intelligence 中的信息获取与实体相关的入侵指标 (IOC) 的详细信息。

此操作可在以下 Google SecOps 实体上运行：

  • Domain
  • File Hash
  • Hostname
  • IP Address
  • Threat Actor
  • URL

操作输入

获取相关实体操作需要以下参数：

参数 说明
Lowest Severity Score

必填。

指示器必须达到的最低严重程度得分才能包含在结果中。

最大值为 100。

默认值为 50。
Max IOCs To Return

可选。

操作为每个已处理的实体检索的 IOC 数量上限。

默认值为 100。

操作输出

获取相关实体操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取相关实体操作时收到的 JSON 结果输出：

{
    "hash": "VALUE",
    "url": "VALUE",
    "fqdn": "VALUE",
    "ip": "VALUE",
    "email": "VALUE"
}
输出消息

获取相关实体操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned related indicators for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found for the following entities using information from Mandiant: ENTITY_ID

No related indicators were found.

 操作成功。
Error executing action "Get Related Entities". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Related Entities 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

Ping

使用 Ping 操作测试与 Mandiant Threat Intelligence 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作可以返回以下输出消息：

输出消息 消息说明
Successfully connected to the Mandiant server with the provided connection parameters! 操作成功。
Failed to connect to the Mandiant server! Error is ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。