AliyunThreatIntelligence コンポーネントは、Alibaba Cloud の脅威インテリジェンスクエリ機能を提供します。
機能概要
操作 | 説明 | 利用シーン |
describeInformation | Alibaba Cloud の脅威インテリジェンスをクエリします。 | IP アドレス、ファイル、またはその他のエンティティが悪意のあるものかどうかを確認します。 |
構成例
このトピックでは、ThreatIntelligence コンポーネントの各操作に対するパラメーター構成例を示します。これらの例をテスト用プレイブックとしてインポートし、ビジュアルフローエディターを使用して操作パラメーターをテストし、コンポーネントの動作を確認できます。詳細については、「プレイブックのインポート」をご参照ください。
続行する前に、例のデータを JSON ファイルとして保存してください。
パラメーターの説明
パラメーター | 説明 |
entityType | インテリジェンスの種類です。有効な値：ip、file、domain。 |
entityValue |
|
出力例
IP タイプ
出力パラメーター
パラメーター | 説明 |
Intelligences | 脅威インテリジェンスイベント情報で、JSON 文字列形式です。JSON のフィールドは以下のとおりです：
|
Whois | IP アドレスの Whois 情報。 |
RequestId | Alibaba Cloud がこのリクエストに対して生成した一意の識別子。 |
AttackPreferenceTop5 | 当該 IP が攻撃した上位 5 つの業界ターゲット。
|
Confidence | 判定結果に対する信頼度です。信頼度の値が高いほど、結果（ThreatLevel フィールドで示される）に対する確信度が高くなります。信頼度が 90 を超える結果は、一般的に正確であると見なされます。脅威レベルおよび信頼度がともに高い指標は遮断対象とし、正常な結果（ThreatLevel = 0）はトラフィックを許可します。 有効範囲：0–100
|
ThreatTypes | 脅威インテリジェンスおよびセキュリティイベント分析から導き出されたリスクタグ（例：リモート制御、マルウェア）です。このパラメーターは JSON 文字列です。JSON のフィールドは以下のとおりです：
|
Scenario | 当該 IP に適用可能な攻撃シナリオ。
|
Ip | 基本的な IP 情報で、JSON 文字列形式です。JSON のフィールドは以下のとおりです：
|
ThreatLevel | マッチ時に生じる潜在的な被害を示す脅威レベルです。5 段階（高リスク、中リスク、低リスク、正常、不明）があります。このフィールドを Confidence と組み合わせて、対応策を決定してください。信頼度が高く高リスクと判定されたデータは遮断し、正常（ホワイトリスト）のエントリは許可してください。
|
AttackCntByThreatType | MITRE ATT&CK ステージごとの攻撃回数です。このパラメーターは JSON 配列です。配列のフィールドは以下のとおりです：
|
例
{
"Context": "",
"Group": "",
"Whois": "",
"AttackCntByThreatType": [
{
"event_cnt": 1,
"threat_type": "Application layer intrusion"
}
],
"ThreatLevel": -1,
"Confidence": "",
"Ip": {
"country": "",
"province": "",
"city": "",
"ip": "127.0.0.1",
"isp": "",
"asn": "",
"asn_label": ""
},
"ThreatTypes": "",
"Intelligences": [],
"AttackPreferenceTop5": [
{
"event_cnt": 2407,
"industry_name": "IoT",
"gmt_last_attack": "2021-12-15 23:59:15"
},
{
"event_cnt": 4813,
"industry_name": "製造業",
"gmt_last_attack": "2021-12-15 23:59:49"
},
{
"event_cnt": 2240,
"industry_name": "金融業",
"gmt_last_attack": "2021-12-15 23:59:41"
},
{
"event_cnt": 16954,
"industry_name": "小売業",
"gmt_last_attack": "2021-12-15 23:59:31"
},
{
"event_cnt": 28764,
"industry_name": "インターネット業界",
"gmt_last_attack": "2021-12-15 23:59:48"
}
],
"Scenario": ""
}ファイルタイプ
出力パラメーター
パラメーター | 説明 |
Intelligences | 脅威インテリジェンスイベントで、JSON 配列形式です。配列要素には、DDoS 攻撃型トロイの木馬、マイニングプログラム、ネットワーク層侵入、ネットワークサービススキャン、ネットワーク共有の発見、マイニングプール、エクスプロイト、ダークウェブ活動、悪意のあるログイン、悪意のあるダウンロード元、C&C サーバー、WebShell、Web 攻撃などが含まれます。 |
RequestI | Alibaba Cloud がこのリクエストに対して生成した一意の識別子。 |
FileHash | ファイルのハッシュ値。 |
ThreatTypes | 脅威インテリジェンスおよびセキュリティイベント分析から導き出されたリスクおよびサーバータグです。このパラメーターは配列です。各要素には以下の項目が含まれます：
|
Basic | 基本的なファイル情報で、JSON 文字列形式です。JSON のフィールドは以下のとおりです：
|
ThreatLevel | 脅威レベル。
|
例
{
"Intelligences": [
"DDoS 攻撃型トロイの木馬"
],
"RequestId": "3F2BBCA2-4EE5-456F-****-DE0B69CAFD71",
"FileHash": "02e6b7cf0d34c6eac05*****751208b",
"ThreatTypes": [
{
"threat_type_desc": "DDoS 攻撃型トロイの木馬",
"risk_type": 1,
"threat_type": "DDoS"
}
],
"Basic": {
"sha1": "",
"virus_result": "1",
"sandbox_result": "-1",
"sha256": "",
"sha512": "",
"virus_name": "自己変異型トロイの木馬",
"source": "aegis"
},
"ThreatLevel": "2",
"Sandbox": ""
}ドメインタイプ
出力パラメーター
パラメーター | 説明 |
Intelligences | 詳細な脅威インテリジェンスイベントで、JSON 配列形式です。JSON のフィールドは以下のとおりです：
|
Domain | ドメイン名。 |
SslCert | ドメインにバインドされた SSL 証明書情報で、JSON 文字列形式です。 |
AttackPreferenceTop5 | 当該ドメインを経由して攻撃された Web サイトの上位 5 つの業界。このパラメーターは JSON 配列です。JSON のフィールドは以下のとおりです：
|
ThreatTypes | 当該ドメインに関連する詳細な脅威インテリジェンスデータで、JSON 配列形式です。各配列要素には以下の項目が含まれます：
|
Confidence | 判定結果に対する信頼度です。信頼度の値が高いほど、結果（ThreatLevel フィールドで示される）に対する確信度が高くなります。信頼度が 90 を超える結果は、一般的に正確であると見なされます。脅威レベルおよび信頼度がともに高い指標は遮断対象とし、正常な結果（ThreatLevel = 0）はトラフィックを許可します。 有効範囲：60–100
|
ThreatLevel | マッチ時に生じる潜在的な被害を示す脅威レベルです。5 段階（高リスク、中リスク、低リスク、正常、不明）があります。このフィールドを Confidence と組み合わせて、対応策を決定してください。信頼度が高く高リスクと判定されたデータは遮断し、正常（ホワイトリスト）のエントリは許可してください。
|
AttackCntByThreatType | MITRE ATT&CK ステージごとの攻撃回数です。このパラメーターは JSON 配列です。配列のフィールドは以下のとおりです：
|
Whois | ドメインの Whois 情報。 |
RequestId | Alibaba Cloud がこのリクエストに対して生成した一意の識別子。 |
Scenario | 当該ドメインに適用可能な攻撃シナリオ。以下のいずれか 1 つ以上の値が該当します：
|
Basic | 基本的なドメイン情報で、JSON オブジェクト形式です。フィールドは以下のとおりです：
|
例
{
"Intelligences": [
{
"last_find_time": "2020-06-17 03:54:23",
"threat_type_l2": "悪意のあるダウンロード元",
"first_find_time": "2020-01-01 00:59:52",
"source": "aliyun"
},
{
"last_find_time": "2020-11-10 14:45:12",
"threat_type_l2": "rexxx.exe による悪意のあるファイル実行",
"first_find_time": "2017-09-22 11:15:00",
"source": "aliyun"
}
],
"Domain": "example.com",
"SslCert": {
"serial_number": "183954751680****4",
"validity_end": "2029-12-02 06:00:31",
"issuer": "example.ca"
},
"AttackPreferenceTop5": "[{\"event_cnt\":586,\"industry_name\":\"ゲーム業界\",\"gmt_last_attack\":\"2020-06-14 21:54:04\"}]",
"ThreatTypes": [
{
"threat_type_desc": "悪意のあるダウンロード元",
"last_find_time": "2020-06-17 03:54:23",
"risk_type": 3,
"scenario": "侵害指標",
"threat_type": "悪意のあるダウンロード元",
"first_find_time": "2020-01-01 00:59:52",
"attck_stage": "delivery"
},
{
"threat_type_desc": "Regsvr32 実行",
"last_find_time": "2020-11-10 14:45:12",
"risk_type": 3,
"scenario": "侵害指標",
"threat_type": "Regsvr32",
"first_find_time": "2017-09-22 11:15:00",
"attck_stage": "defense evasion"
}
],
"Confidence": "95",
"ThreatLevel": "2",
"AttackCntByThreatType": {
"event_cnt": 27,
"threat_type": "ネットワーク層侵入"
},
"Context": "",
"Whois": {
"registrant_phone": "",
"registrar": "XX 技術有限公司",
"registrar_url": "",
"whois_server": "whois.cnnic.cn",
"admin_phone": "",
"registrar_phone": "",
"registrant_email": "",
"admin_email": "",
"admin_organization": "",
"tech_name": "",
"registrant_city": "",
"tech_street": "",
"tech_phone": "",
"dnssec": "unsigned",
"admin_province": "",
"tech_organization": "",
"registrant_country": "",
"admin_city": "",
"registrant_province": "",
"admin_street": "",
"tech_email": "",
"nameservers": "ns4.myhostadmin.net,ns1.myhostadmin.net,ns2.myhostadmin.net,ns3.myhostadmin.net,ns5.myhostadmin.net,ns6.myhostadmin.net",
"registrar_email": "",
"domain_status": "ok",
"domain": "example.com",
"tech_city": "",
"registrant_name": "",
"registrant_organization": "",
"tech_country": "",
"registrant_street": "",
"admin_name": "",
"tech_province": "",
"admin_country": ""
},
"RequestId": "718747A4-9A75-4130-88F9-C9B47350B7F5",
"Scenario": "侵害指標",
"Basic": {
"ip_cnt": "36",
"domain": "example.com",
"child_domain_cnt": "18",
"sld_domain": "example.com",
"malicious_ip_cnt": "28",
"malicious_child_domain_cnt": "4"
},
"Group": ""
}