将 Anomali 与 Google SecOps 集成

本文档介绍了如何将 Anomali 与 Google Security Operations (Google SecOps) 集成。

准备工作

如需获取个人 API 密钥，请完成以下步骤：

  1. 登录您的 Anomali ThreatStream 账号。

  2. 点击 My API Keys。

  3. 复制 API 密钥值，并将其粘贴到 Google SecOps 中配置实例对话框的“API 密钥”参数字段中。

网络

函数 默认端口 方向 协议
API 多值 出站 apikey

集成参数

使用以下参数配置集成：

参数名称 类型 默认值 是否为必需参数 说明
实例名称 字符串 不适用 否 您打算为之配置集成的实例的名称。
说明 字符串 不适用 否 实例的说明。
API 根 字符串 https://api.threatstream.com/api 是 Anomali 实例的地址。
用户名 字符串 user@domain.com 是 应使用哪个用户的电子邮件地址来连接到 Anomali。
密码 密码 不适用 是 相应用户的密码。
API 密钥 字符串 不适用 是 在 AlienVault 控制台中生成的 API 密钥。
远程运行 复选框 尚未核查 否 选中相应字段，以便远程运行配置的集成。选中后，系统会显示用于选择远程用户（客服人员）的选项。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作台页面中处理待处理的操作和执行人工处置措施。

获取威胁信息

使用 Anomali ThreatStream 中的信息丰富实体。支持的实体：IP、网址、哈希、电子邮件地址（与电子邮件正则表达式匹配的用户实体）。

参数

参数名称 类型 默认值 是否为必需参数 说明
限制 字符串 10 是 指定每个实体要返回的记录数。
严重程度阈值 DDL

中

可能的值：

  • 很高
  • 高
  • 中
  • 低
 否 指定实体的严重程度阈值，以便将其标记为可疑。如果针对同一实体找到多条记录，系统将根据所有可用记录中严重程度最高的记录采取相应措施。
置信度阈值 整数 50 否 指定实体的置信度阈值，以便将其标记为可疑。注意：最大值为 100。如果为实体找到多条记录，操作将取平均值。有效记录具有优先权。默认值：50。
忽略“误报”状态 复选框 尚未核查 否 如果启用，操作将忽略假正例状态，并根据严重程度阈值和置信度阈值将实体标记为可疑。如果停用，无论假正例实体是否满足严重程度阈值和置信度阈值条件，操作都不会将其标记为可疑。

运行于

此操作适用于以下实体：

  • IP 地址
  • 网址
  • 哈希
  • 电子邮件地址（与电子邮件正则表达式匹配的用户实体）

操作结果

实体丰富
名称 逻辑 - 应用场景
id 如果存在于 JSON 结果中，则返回
状态 如果存在于 JSON 结果中，则返回
itype 如果存在于 JSON 结果中，则返回
expiration_time 如果存在于 JSON 结果中，则返回
ip 如果存在于 JSON 结果中，则返回
feed_id 如果存在于 JSON 结果中，则返回
置信度 如果存在于 JSON 结果中，则返回
uuid 如果存在于 JSON 结果中，则返回
retina_confidence 如果存在于 JSON 结果中，则返回
trusted_circle_ids 如果存在于 JSON 结果中，则返回
来源 如果存在于 JSON 结果中，则返回
纬度 如果存在于 JSON 结果中，则返回
类型 如果存在于 JSON 结果中，则返回
说明 如果存在于 JSON 结果中，则返回
标签 如果存在于 JSON 结果中，则返回
threat_score 如果存在于 JSON 结果中，则返回
source_confidence 如果存在于 JSON 结果中，则返回
modification_time 如果存在于 JSON 结果中，则返回
org_name 如果存在于 JSON 结果中，则返回
asn 如果存在于 JSON 结果中，则返回
creation_time 如果存在于 JSON 结果中，则返回
tlp 如果存在于 JSON 结果中，则返回
国家/地区 如果存在于 JSON 结果中，则返回
longitude 如果存在于 JSON 结果中，则返回
和程度上减少 如果存在于 JSON 结果中，则返回
子类型 如果存在于 JSON 结果中，则返回
脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False
JSON 结果
    {
        "Entity": "ENTITY_ID",
        "EntityResult": {
            "Info": [{
                "source_created": null,
                "status": "inactive",
                "itype": "mal_domain",
                "expiration_ts": "2020-11-28T13:29:57.000Z",
                "ip": "192.0.2.1",
                "is_editable": false,
                "feed_id": 1111111,
                "update_id": 1111111111,
                "longitude": -0.1223454,
                "is_public": true,
                "threat_type": "malware",
                "workgroups": [],
                "rdns": null,
                "confidence": 11111,
                "uuid": "UUID",
                "retina_confidence": 1111111,
                "trusted_circle_ids": null,
                "id": 111111111111111110000,
                "source": "COVID19 Cyber Threat Coalition Blocklist - Domains",
                "owner_organization_id": 111,
                "import_session_id": null,
                "source_modified": null,
                "type": "domain",
                "sort": [1607193157800, "56224953198"],
                "description": null,
                "tags": [{
                    "id": "wu6",
                    "name": "Blocklist"
                }, {
                    "id": "pvj",
                    "name": "Coronavirus"
                }, {
                    "id": "01i",
                    "name": "COVID-19"
                }, {
                    "id": "o70",
                    "name": "Malicious"
                }, {
                    "id": "fk0",
                    "name": "Source:COVID19-Cyber-Threat-Coalition"
                }],
                "threatscore": 11111,
                "source_reported_confidence": 11111,
                "modified_ts": "2020-12-05T18:32:37.800Z",
                "org": "Namecheap",
                "asn": "11111111",
                "created_ts": "2020-10-29T13:33:24.904Z",
                "tlp": null,
                "is_anonymous": false,
                "latitude": 51.4964,
                "country": "GB",
                "can_add_public_tags": false,
                "value": "VALUE",
                "subtype": null,
                "meta": {
                    "registration_updated": "2020-10-24T22:16:59+00:00",
                    "detail2": "bifocals_deactivated_on_2020-12-05_18:30:00.085789",
                    "severity": "high",
                    "registration_created": "2020-10-24T22:16:42+00:00"
                },
                "resource_uri": "/api/v2/intelligence/"
            }],
            "Campaigns": [{
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.200283",
                    "from_id": "ID"
                }],
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-15T04:24:55.428496",
                "end_date": "2020-03-23T16:05:00.761000",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:19.892072",
                "name": "Coronavirus (COVID-19)",
                "objective": null,
                "organization": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "publication_status": "published",
                "published_ts": "2020-04-06T21:40:24.452312",
                "resource_uri": "/api/v1/campaign/",
                "source_created": null,
                "source_modified": null,
                "start_date": "2020-01-30T13:10:00.070000",
                "status": {
                    "display_name": "Ongoing",
                    "id": 1,
                    "resource_uri": "/api/v1/campaignstatus/1/"
                },
                "tags": ["Malware", "Fraud", "Phishing", "COVID-19", "Coronavirus", "Scams"],
                "tags_v2": [{
                    "id": "wqe",
                    "name": "Coronavirus"
                }, {
                    "id": "hlg",
                    "name": "COVID-19"
                }, {
                    "id": "74i",
                    "name": "Phishing"
                }, {
                    "id": "0y2",
                    "name": "Malware"
                }, {
                    "id": "u63",
                    "name": "Scams"
                }, {
                    "id": "1er",
                    "name": "Fraud"
                }],
                "tlp": "white",
                "uuid": "UUID",
                "workgroups": []
            }],
            "Tip": [{
                "all_circles_visible": true,
                "association_info": [{
                    "comment": null,
                    "created": "2020-10-29T13:33:29.212118",
                    "from_id": "ID"
                }],
                "body_content_type": "richtext",
                "campaign": null,
                "can_add_public_tags": true,
                "circles": [],
                "created_ts": "2020-03-19T04:23:35.714929",
                "feed_id": 0,
                "id": "ID",
                "is_anonymous": true,
                "is_cloneable": "yes",
                "is_editable": true,
                "is_email": false,
                "is_public": true,
                "modified_ts": "2021-02-02T02:38:20.061912",
                "name": "Coronavirus (COVID-19) Cyber Threats",
                "original_source": null,
                "original_source_id": null,
                "owner_org": {
                    "id": 0,
                    "name": "Analyst",
                    "title": "Analyst"
                },
                "parent": null,
                "published_ts": "2020-05-25T18:39:36.890647",
                "resource_uri": "/api/v1/ID/",
                "source_created": null,
                "source_modified": null,
                "starred_by_me": false,
                "starred_total_count": 5,
                "status": "published",
                "tags": ["Scams", "HCL-", "Malware"],
                "tags_v2": [{
                    "id": "ID",
                    "name": "Coronavirus"
                }, {
                    "id": "ID",
                    "name": "COVID-19"
                }, {
                    "id": "ID",
                    "name": "Phishing"
                }],
                "threat_actor": null,
                "tlp": "white",
                "ttp": null,
                "uuid": "UUID",
                "votes": {
                    "me": null,
                    "total": 0
                },
                "watched_by_me": false,
                "watched_total_count": 11111,
                "workgroups": []
            }],
            "Actors": [],
            "Incidents": [],
            "TTP": []
        }
    }
案例墙
结果类型 说明 类型
输出消息*

如果某个实体有可用数据 (is_success=true)：“Successfully returned information about the following entities from Anomali ThreatStream: {entity.identifier}”（已成功从 Anomali ThreatStream 返回有关以下实体的信息：{entity.identifier}）

如果某个实体没有可用数据（is_success=true）：“Action 无法从 Anomali ThreatStream 返回有关以下实体的信息：{entity.identifier}”

如果并非所有实体都可使用（is_success=false）：“没有实体得到丰富。

严重错误（失败）：执行操作“获取威胁信息”时出错。原因：{error traceback}”

 常规

Ping

测试与 Anomali ThreatStream 的连接。

参数

不适用

运行于

此操作会针对所有实体运行。

操作结果

脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False

从 Anomali ThreatStream 检索实体相关联的关联。

参数

参数名称 类型 默认值 是否为必需参数 说明
退回广告系列 复选框 勾选 否 如果启用，操作将提取相关广告系列及其详细信息。
返回威胁公告 复选框 勾选 否 如果启用，操作将提取相关的威胁公告及其详细信息。
返回演员 复选框 勾选 否 如果启用，操作将提取相关演员及其详细信息。
返回攻击模式 复选框 勾选 否 如果启用，操作将提取相关的攻击模式及其详细信息。
返回行动方案 复选框 勾选 否 如果启用，操作将提取相关行动方案及其详细信息。
返回身份 复选框 勾选 否 如果启用，操作将提取相关身份及其详细信息。
返回突发事件 复选框 勾选 否 如果启用，操作将提取相关突发事件及其详细信息。
返回基础设施 复选框 勾选 否 如果启用，操作将提取相关基础架构及其详细信息。
返回入侵集 复选框 勾选 否 如果启用，操作将提取相关的入侵集及其详细信息。
返回恶意软件 复选框 勾选 否 如果启用，操作将提取相关恶意软件及其详细信息。
退回签名 复选框 勾选 否 如果启用，操作将提取相关签名及其详细信息。
返回工具 复选框 勾选 否 如果启用，操作将提取相关工具及其详细信息。
返回 TTP 复选框 勾选 否 如果启用，该操作将提取相关 TTP 及其详细信息。
返回漏洞 复选框 勾选 否 如果启用，操作将提取相关漏洞及其详细信息。
创建广告系列实体 复选框 尚未核查 否 如果启用，操作将根据可用的广告系列关联创建实体。
创建演员实体 复选框 尚未核查 否 如果启用，操作将根据可用的 Actor 关联创建实体。
创建签名实体 复选框 尚未核查 否 如果启用，操作将根据可用的签名关联创建实体。
创建漏洞实体 复选框 尚未核查 否 如果启用，操作将根据可用的漏洞关联创建实体。
要返回的关联数量上限 整数 5 否 指定每种类型的关联数量。

运行于

此操作适用于以下实体：

  • 哈希
  • IP 地址
  • 网址
  • 电子邮件

操作结果

脚本结果
脚本结果名称 值选项 示例
成功 True 或 False success:False
JSON 结果
{
    "campaign": [
        {
            "name": "Example 1",
            "id": 1
        },
        {
            "name": "Example 2",
            "id": 2
        }
    ],
    "actor": [
        {
            "name": "Actor 1",
            "id": 1
        },
        {
            "name": "Actor 2",
            "id": 2
        }
    ],
    "attackpattern": [
        {
            "name": "Pattern 1",
            "id": 1
        },
        {
            "name": "Pattern 2",
            "id": 2
        }
    ],
    "courseofaction": [
        {
            "name": "Course of Action 1",
            "id": 1
        },
        {
            "name": "Course Of Action 2",
            "id": 2
        }
    ],
    "identity": [
        {
            "name": "Identity 1",
            "id": 1
        },
        {
            "name": "Identity 2",
            "id": 2
        }
    ],
    "incident": [
        {
            "name": "Incident 1",
            "id": 1
        },
        {
            "name": "Incident 2",
            "id": 2
        }
    ],
    "infrastructure": [
        {
            "name": "Infrustructure 1",
            "id": 1
        },
        {
            "name": "Infrustructure 2",
            "id": 2
        }
    ],
    "intrusionset": [
        {
            "name": "Intrusion set 1",
            "id": 1
        },
        {
            "name": "Intrusion set 2",
            "id": 2
        }
    ],
    "malware": [
        {
            "name": "Malware 1",
            "id": 1
        },
        {
            "name": "Malware 2",
            "id": 2
        }
    ],
    "signature": [
        {
            "name": "Signature 1",
            "id": 1
        },
        {
            "name": "Signature 2",
            "id": 2
        }
    ],
    "tool": [
        {
            "name": "Tool 1",
            "id": 1
        },
        {
            "name": "Tool 2",
            "id": 2
        }
    ],
    "ttp": [
        {
            "name": "TTP 1",
            "id": 1
        },
        {
            "name": "TTP 2",
            "id": 2
        }
    ],
    "vulnerability": [
        {
            "name": "Vulnerability 1",
            "id": 1
        },
        {
            "name": "Vulnerability 2",
            "id": 2
        }
    ],
}
案例墙
结果类型 说明 类型
输出消息*

操作不应失败，也不应停止 playbook 执行：

如果成功且至少找到一个实体间的关联 (is_success=true)：“Successfully retrieved related associations from Anomali”（已成功从 Anomali 检索到相关关联）

如果未找到任何关联（is_success=false）：“未找到任何相关联的关联。”

异步消息：“正在等待检索所有关联详情”

操作应失败并停止 playbook 执行：

如果报告了严重错误（例如凭据错误、无法连接到服务器、其他错误）：“Error executing action "Get Related Association". 原因：{0}''.format(error.Stacktrace)

 常规
“案例墙”表格

表格名称：“相关联的关联对象”

表格列：

  • ID
  • 名称
  • 类型
  • 状态

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。