コンテンツにスキップ

Threat Intelligence GraphQL API の利用開始🔗

重要

続行する前に、動作する client_id と client_secret を取得するために、API Authentication の手順を完了してください。

地域

XDR APIにアクセスするためのURLは、お客様の環境が展開されているリージョンによって異なる場合があります。

  • US1— https://api.ctpx.secureworks.com
  • US2— https://api.delta.taegis.secureworks.com
  • US3— https://api.foxtrot.taegis.secureworks.com
  • EU1— https://api.echo.taegis.secureworks.com
  • EU2— https://api.golf.taegis.secureworks.com

このXDR APIドキュメントの例では、https://api.ctpx.secureworks.com を使用しています。別のリージョンをご利用の場合は、適切なURLに置き換えてください。

Secureworks Counter Threat Unit™ (CTU) は、お客様に脅威のコンテキストを提供するための脅威インテリジェンス公開情報を提供します。これらの公開情報は、Threat Intelligence API を通じて取得できます。

注意

Threat Intelligence API は約4時間ごとに更新されますが、その間隔内で更新が提供されることは保証されません。

Threat Intelligence API の操作🔗

タイプ別に Watchlist インジケーターをダウンロードする🔗

以下の CTU 脅威インテリジェンスインジケーターフィードは高信頼度のリストとして識別されており、そのため threat watchlist TI API エンドポイントを使用して取得できます。

  • CTU Botnet Indicators IP List - MSS
  • CTU Threat Group Indicators IP List - MSS
  • Third Party Threat Group Indicators IP List - MSS
  • CTU Botnet Indicators Domain List - MSS
  • CTU Threat Group Indicators Domain List - MSS
  • Third Party Threat Group Indicators Domain List - MSS

MSS リストは、自動ブロックおよび検出に適した高精度のインジケーターを含む脅威アクティビティに関連しています。ドメイン Watchlist を取得するには、以下を実行します。

query threatWatchlist($type: ThreatParentType! = "DOMAIN")
{
    threatWatchlist(type: $type)
    {
        type spec_version id sharing_id source_sharing_id target_sharing_id created modified description src_desc tgt_desc mitre_attack_categories relationship_type source_ref target_ref confidence indicator_class label tags start_time stop_time source_internal reference
    }
}

最新の脅威インテリジェンス公開情報をダウンロードする🔗

query threatLatestPublications($from: Int! = 0, $size: Int! = 3)
{
    threatLatestPublications(from: $from, size: $size)
    {
        id Type Name Description Published Content TLP VID ReportID Reference Category Language
    }
}

インジケーター別の脅威インテリジェンス🔗

脅威インテリジェンス API を使用して、対象のインジケーターに対応する CTU 脅威インテリジェンスレポート、脅威グループ、および/または関連するマルウェアファミリーを取得できます（そのインジケーターがデータセット内の前述の脅威オブジェクトと関連している場合）。

query threatIndicatorIntelligence($ID: String!)
{
    threatIndicatorIntelligence(ID: $ID)
    {
        indicator { type spec_version id sharing_id name description created modified indicator_types pattern pattern_type pattern_version mitre_attack_categories valid_from valid_until kill_chain_phases { kill_chain_name phase_name } score original_indicator indicator_class ipv4 label dns { Domain Hostname Subdomain Tld } whois { DomainName RegistrarName ContactEmail WhoisServer NameServers CreatedDate UpdatedDate ExpiresDate StandardRegCreatedDate StandardRegUpdatedDate StandardRegExpiresDate Status AuditAuditUpdatedDate RegistrantEmail RegistrantName RegistrantOrganization RegistrantStreet1 RegistrantCity RegistrantState RegistrantPostalCode RegistrantCountry RegistrantFax RegistrantTelephone AdministrativeContactEmail AdministrativeContactName AdministrativeContactOrganization AdministrativeContactStreet1 AdministrativeContactCity AdministrativeContactState AdministrativeContactPostalCode AdministrativeContactCountry AdministrativeContactFax AdministrativeContactTelephone } url_info { Query Scheme Port Path RequestURI } tags location { Longitude Latitude } } identities { identity { type spec_version id sharing_id name description created modified roles identity_class sectors contact_information natural_key download_URL internal confidence reason label tags } relationship { type spec_version id sharing_id source_sharing_id target_sharing_id created modified description src_desc tgt_desc mitre_attack_categories relationship_type source_ref target_ref confidence indicator_class label tags start_time stop_time source_internal reference } } reports { report { type spec_version id name description created modified published object_refs content sharing_id tags } relationship { type spec_version id sharing_id source_sharing_id target_sharing_id created modified description src_desc tgt_desc mitre_attack_categories relationship_type source_ref target_ref confidence indicator_class label tags start_time stop_time source_internal reference } } malware { malware { type spec_version id sharing_id name description created modified malware_types family aliases kill_chain_phases { kill_chain_name phase_name } first_seen last_seen operating_system_refs architecture_execution_envs implementation_languages capabilities sample_refs label tags public_summary solution technical_details } relationship { type spec_version id sharing_id source_sharing_id target_sharing_id created modified description src_desc tgt_desc mitre_attack_categories relationship_type source_ref target_ref confidence indicator_class label tags start_time stop_time source_internal reference } } groups { group { type spec_version id sharing_id name Objectives Aliases Tools Motivation IntendedEffect TargetSectors Description ActiveSince LastKnownActivity tags } relationship { type spec_version id sharing_id source_sharing_id target_sharing_id created modified description src_desc tgt_desc mitre_attack_categories relationship_type source_ref target_ref confidence indicator_class label tags start_time stop_time source_internal reference } }
    }
}

次のステップ🔗

詳細については、Threat Intelligence GraphQL API ドキュメント を参照してください。