配置单元/Cortext在analyzer脚本中添加可观察内容

Question

在Hive/Cortex中，我解析一个可观察到的，具体地说是一个.eml文件。解析器提取其中的所有IP和域，并将它们保存在变量中。现在，我想将这些提取的IP和域保存在新的Observable中，并将它们添加到活动案例中。（用于在其上运行其他分析仪…）

不幸的是，我不知道如何从分析器（.py）中保存观测值，在文档中也找不到任何线索。。。欢迎任何帮助

Answer 1

您需要实现artifacts方法来返回定义这些可观测值的数组。您可以从Analyzer类中使用build_artifact实用程序方法

看看：https://github.com/TheHive-Project/Cortex-Analyzers/blob/master/analyzers/EmlParser/parse.py#L47