Security Center:Threatbook コンポーネント

パラメーター

説明

例

userId

関連付けられている Alibaba Cloud アカウント ID です。

XXX

cloudUserId

ThreatBook のアカウント ID です。詳細については、「Prerequisites」をご参照ください。

7f7c*************7fcca4

resource

分析レポートを取得するためのファイルハッシュです。サポートされているアルゴリズム：SHA256、SHA1、MD5。

44d88612*************1278abb02f

パラメーター

説明

multiengines

アンチウイルススキャンエンジンの検出結果です。次のフィールドを含む JSON オブジェクトです。

• result： 各スキャンエンジンの検出結果です。

  脅威なし：safe と表示されます。

  脅威が検出された場合： 具体的なウイルスラベルが返されます。

• scan_time: マルチエンジン スキャンの実行時刻、例: 2019-10-22 16:17:48。

summary

概要情報です。次のフィールドを含む JSON オブジェクトです。

• threat_level： 脅威レベルです。静的分析、マルチエンジンのアンチウイルススキャン、およびマルチサンドボックス環境の動的分析に基づく総合評価です。

  • malicious：悪意のある

  • suspicious: 不審

  • clean：安全

  • 不明: 不明

• malware_type： 脅威の分類です。完全なリストについては、「Threat classification」をご参照ください。

• malware_family： ウイルスファミリーです。例： Xorddos。

• is_whitelist： ファイルがホワイトリストに含まれているかどうかを示します。

  • true = ホワイトリストに登録済み。

  • false：ホワイトリストに登録されていません。

• submit_time: ファイルの提出時刻、例: 2019-01-22 17:36:21。

• file_name： ファイル名です。

• file_type： ファイルタイプです。

• sample_sha256： ファイルの SHA256 ハッシュです。

• md5： ファイルの MD5 ハッシュです。

• sha1： ファイルの SHA1 ハッシュです。

• scenes： シナリオ検知です。

  • サイバー犯罪：サイバー犯罪のサンプル。

  • CS_Detect: CobaltStrike のトロイの木馬のサンプル。

  • RT_Tools: レッドチーム ツール。

  • エクスプロイト：脆弱性の悪用。

  • HW202X: 重大なセキュリティイベントのサンプル、年は変動します。

• tag： タグです。次を含む JSON オブジェクトです。

  • s: 静的タグ。JSON 配列です。共通タグについては、。

  • x: ウイルス対策エンジンの検出タグ。

• threat_score： 数値の脅威スコアです。

• sandbox_type： この分析で使用されたサンドボックス環境です。

• sandbox_type_list： サンプルの分析に成功したすべてのサンドボックス環境のリストです。

• multi_engines： アンチウイルススキャンエンジンの検知率です。

signature

振る舞いシグネチャです。JSON 配列で、各項目には次の内容が含まれます。

• severity: 重要度レベル (整数。値が大きいほど重要度が高くなります)。

• references: 参照 (JSON 配列)。

• sig_class: シグネチャ分類。

• name：シグネチャ名。

• description：動作の説明。

• markcount: マーク数。

• marks：生の署名データ（JSON 配列）。

• families: サンプルファミリー (JSON 配列)。

• attck_id：ATT&CK ID。

• attck_info: ATT&CK の詳細 (JSON 配列)。

static

静的情報です (JSON オブジェクト)。

pstree

プロセスの挙動です。

network

ネットワーク挙動です。

• fingerprint：フィンガープリント情報 (JSON 配列)。

• tls：TLS プロトコル (JSON 配列)。

• udp: UDP プロトコル (JSON 配列)。

• dns_servers: DNS サービス（JSON 配列）。

• http：HTTP プロトコル (JSON 配列)。

• irc：IRC プロトコル (JSON 配列)。

• smtp: SMTP プロトコル (JSON 配列)。

• tcp: TCP プロトコル (JSON 配列)。

• smtp_ex: 拡張 SMTP プロトコルデータ (JSON 配列)。

• mitm: 中間者攻撃 (JSON 配列)。

• hosts: ネットワークホスト (JSON 配列)。

• dns: ドメインネームシステム (JSON 配列)。

• http_ex: 拡張 HTTP プロトコルデータ (JSON 配列)。

• domains：ドメイン名 (JSON 配列)。

• dead_hosts：停止したホスト (JSON 配列)。

• icmp：ICMP プロトコル（JSON 配列）。

• https_ex: 拡張 HTTPS プロトコルデータ (JSON 配列)。

dropped

ドロップされたファイルの挙動です。JSON 配列で、各項目には次の内容が含まれます。

• sha1：ファイルの SHA1 ハッシュ (文字列)。

• sha256: ファイルの SHA256 ハッシュ (文字列)。

• md5：ファイルの MD5 ハッシュ（文字列）。

• urls: 抽出された URL (JSON 配列)。

• size: ファイルサイズ (整数)。

• filepath：ファイルパス (文字列)。

• name：ファイル名 (文字列)。

• crc32: ファイルの CRC32 ハッシュ (文字列)。

• ssdeep: ファイルの SSDeep ハッシュ (文字列)。

• type：ファイルタイプ (文字列)。

• yara：YARA の結果 (JSON 配列)。

strings

文字列関連の情報です。JSON オブジェクトで、各項目には次の内容が含まれます。

• sha256: SHA256 ハッシュに基づく静的文字列に対応する、ファイルから抽出された文字列 (配列)。

• pcap：ネットワークトラフィックから抽出された文字列 (配列)。

permalink

Web サンドボックスレポートページの URL です。

パラメーター

説明

例

userId

関連付けられた Alibaba Cloud アカウント ID。

XXX

cloudUserId

ThreatBook のアカウント ID。詳細については、「前提条件」をご参照ください。

7f7c*************7fcca4

resource

IP アドレスまたはドメイン名。バッチあたり最大 100 個のリソースをクエリできます。複数の場合はカンマで区切ります。

test.com または 0.0.0.0:80

タイプ

パラメーター

説明

ip

is_malicious

IP アドレスに悪意があるかどうか。

• true = 悪意のある。

• false = 悪意がない。

confidence_level

信頼度。

• ハイ

• 中

• 低

severity

総合的な脅威の重大度。

• クリティカル

• 高

• ミディアム

• 低

• info （脅威なし）

judgments

侵害指標 (IOC) の悪意のある属性に基づく脅威タイプ：

• 悪意のあるタイプ：

  • C2 （遠隔操作）

  • シンクホール C2 (セキュリティ組織によってシンクホール化された C2 サーバー)

  • MiningPool (マイナープール)

  • CoinMiner （プライベートマイナープール）

  • マルウェア

• 悪意のないタイプ：

  • ホワイトリスト

  • Info （基本情報）

tags_classes

関連する脅威アクターまたはセキュリティイベント情報です。JSON 配列で、各項目には以下が含まれます：

• tags_type: タグカテゴリ。industry、gangs (脅威アクターグループ)、virus_family などです。

• tags: APT や OceanLotus などの特定の脅威アクターまたはセキュリティイベントのタグ。

permalink

脅威インテリジェンス詳細リンク：IP アドレスまたはドメイン名の完全な脅威インテリジェンス分析ページのパーマリンク。

domain

categories

• ドメイン名の分類です。この JSON オブジェクトには、以下のキーが含まれます：

  • first_cats：レベル 1 カテゴリ (配列)

  • second_cats: レベル 2 カテゴリ (文字列)

• その他のフィールドは、上記の ip と同じです。

パラメーター

説明

例

userId

関連する Alibaba Cloud アカウント ID です。

XXX

cloudUserId

ThreatBook アカウント ID です。詳細については、「前提条件」をご参照ください。

7f7c*************7fcca4

resource

IP アドレス。カンマ区切りで、1 バッチあたり最大 100 個の IP アドレスをクエリできます。

0.0.0.0

パラメーター

説明

basic

以下のフィールドを含む JSON オブジェクトです：

• carrier：キャリアまたはサービスプロバイダー。

• location：IP の位置情報 (JSON オブジェクト)：

  • country：国

  • country_code：国コード

  • province：都道府県

  • city：市区町村

  • lng：経度

  • lat：緯度

is_malicious

IP アドレスが悪意のあるものかどうかを示します。

• true = 悪意がある。

• false = 悪意がない。

confidence_level

インテリジェンスソースと信頼度モデルによって決定される信頼度です。

• low

• medium

• high

severity

インテリジェンスの危険レベルを示す脅威の重大度です。

• critical

• high

• medium

• low

• info (脅威なし)

judgments

脅威インテリジェンス分析から抽出された総合的な脅威タイプ (JSON 配列) です。

• 悪意のあるタイプ：

  • Spam

  • Zombie (侵害されたコンピューター)

  • Scanner

  • Exploit (脆弱性の悪用)

  • Botnet

  • Brute Force (ブルートフォース攻撃)

• 悪意がないタイプ：

  • Whitelist

  • Info (基本情報)

tags_classes

関連する脅威アクターやセキュリティイベントの情報を含む JSON 配列です。各項目には以下が含まれます：

• tags_type：タグのカテゴリです。例：industry、gangs (脅威アクターグループ)、virus_family。

• tags：特定の脅威アクターやセキュリティイベントのタグです。例：Mirai。

asn

ASN 情報です。以下を含む JSON オブジェクトで構成されます：

• number：ASN 番号。

• info：AS 名。

• rank：リスク値 (0～4、値が大きいほどリスクが高い)。

update_time

インテリジェンスの最終更新時刻です。

scene

アプリケーションシナリオです。例：専用線やデータセンター。

feature

アセットの特徴を含む JSON 配列です。各項目には以下が含まれます：

• category：分類。

• tag_name：特定のアセット特徴タグ。

• tag_desc：タグの説明。

entity

帰属先エンティティの情報を含む JSON 配列です。各項目には以下が含まれます：

• category：レベル 1 の分類です。

• type：レベル 2 の分類です。

• tag_name：特定のエンティティタグです。

• tag_desc：タグの説明です。

hist_behavior

攻撃行動の履歴を含む JSON 配列です。各項目には以下が含まれます：

• category：分類。

• tag_name：特定の攻撃行動タグ。

• tag_desc：タグの説明。

• vuln_id：カテゴリが Exploit の場合の特定の脆弱性 ID です。

evaluation

影響評価です。以下を含む JSON オブジェクトで構成されます：

• active：アクティビティレベル。

  • high

  • medium

  • low

• honeypot_hit：ハニーポットにキャプチャされたかどうかを示します。

  • true = ハニーポットによって捕捉された。

  • false = キャプチャされていない。

fraud

不正行為の情報を示す JSON 配列です。各項目には以下が含まれます：

• tag_name：特定の不正行為タグ。

• tag_desc：タグの説明。

permalink

IP アドレスのインテリジェンスクエリ結果ページの URL です。