設定 SOAR Webhook

支援：

Google SecOps SOAR

Webhook 是輕量級解決方案，可將貴組織的警示擷取至 Google Security Operations SOAR 平台。

透過 Webhook 擷取的快訊會顯示在平台中，資訊與透過連接器擷取的快訊相同。

Google 建議使用來自相同來源的連接器或 Webhook，但不要同時使用兩者，以免建立重複案件。

Webhook 最適合需要基本對應邏輯的情境，連接器則適合進階且彈性的對應。

設定 Webhook 來擷取快訊

如要設定 Webhook 來擷取警告，請按照下列步驟操作：

1. 依序前往「SOAR Settings」>「Ingestion」>「Webhooks」。
2. 按一下「add 新增傳入 Webhook」。
3. 輸入新 Webhook 的名稱，然後選擇環境。
4. 按一下 [儲存]。儲存後，新 Webhook 會顯示在主頁面。
5. 複製 Webhook 網址並記下，稍後會用到。您需要在來源平台中輸入這個網址，做為 Webhook 目的地。

注意： Webhook 網址會在儲存後顯示。請立即複製這個網址，因為離開頁面後就無法再查看。您需要這個網址，才能在來源平台中設定 Webhook 目的地。如果儲存時未複製網址，請按一下「已快取」 產生新的網址，建立新的網址。

地圖資料

上傳 JSON 範例後，您可以使用「資料對應」部分，將來源 JSON 的欄位對應至 Google Security Operations SOAR 中的適當欄位。系統會處理原始 JSON，您則可透過使用者介面 (UI) 建立對應。

1. 在「資料對應」部分，按一下「上傳 JSON 範例」。請提供 Webhook 傳送的 JSON 酬載代表性樣本。
2. 將 Google Security Operations 欄位對應至 JSON 範例中的對應欄位。舉例來說，如要對應必要的 StartTime 欄位，您可以從 JSON 中選取時間戳記欄位，例如 Detections.Last.Update。
3. 使用運算式建構工具來篩選資料。舉例來說，您可以使用「日期格式」函式，將時間戳記轉換為所需的 Unix 紀元毫秒格式。詳情請參閱「使用運算式產生器」。
4. 在運算式產生器中點選「執行」，測試對應並查看結果。綠色勾號表示對應成功。
5. Webhook JSON 酬載必須包含建立案件和擷取警告所需的欄位。詳情請參閱「瞭解 Webhook JSON 結構定義」。
6. 對應所有必要欄位後，請按一下「儲存」，然後啟用 Webhook。

瞭解如何對應目標欄位

對應 JSON 資料時，您會對應至 Google Security Operations SOAR 中的標準化欄位。這些欄位會依類別整理，方便您正規化及建構傳入資料。資料對應使用者介面中可用的欄位，是以內部系統本體論為依據。主要類別包括：

• 實體欄位：用於系統可自動擷取及建立實體模型的資料點，例如 IP 位址、網域名稱、檔案雜湊和使用者名稱。對應至這些欄位可豐富快訊內容，並提升關聯性和樞紐分析功能。
• 一般事件欄位：用於一般事件中繼資料，例如時間戳記 (StartTime、EndTime)、事件說明或訊息，以及其他常見事件屬性。
• 技術和裝置中繼資料：使用這些欄位提供事件來源的技術詳細資料，例如回報裝置的供應商和產品 (DeviceVendor、DeviceProduct)、事件嚴重程度，以及其他類似的技術屬性。

在 Google Security Operations SOAR 使用者介面的資料對應工具中，瀏覽可用欄位，為 JSON 酬載中的每筆資料找出最合適的目標欄位。

瞭解 Webhook JSON 結構定義

為確保 Google Security Operations SOAR 正確擷取及處理快訊，Webhook JSON 酬載必須遵循特定結構。下表詳細說明 JSON 酬載中預期的主要欄位。

主要案件和快訊欄位

這些欄位代表要建立的警告或案件的頂層屬性。

欄位	類型	建議格式	必填	說明	範例
TicketId	字串	UUID	是	SOAR 平台中案件的內部全域專屬 ID (GUID)。 TicketId的「獨特性」規定為有條件限制，視DisplayId而定： 如果提供不重複的 DisplayId，TicketId 不必不重複。 如未提供 DisplayId，TicketId 就不得重複。 TicketId 的值通常與 DisplayId 相同。	"f7167971-f641-432f-a06f-ebca3caaa9dd"
SourceSystemName	字串	文字	是	將原始快訊傳送至 SOAR 的外部系統名稱，例如 SIEM 或端點偵測與應變 (EDR) 系統。	"Splunk"
Name	字串	文字	是	案件的標題或名稱，通常取自來源警告類型或摘要。	"Suspicious Login Attempt"
DeviceVendor	字串	文字	是	產生警示的裝置或產品供應商。也可以從事件資料對應。	"Palo Alto Networks"
RuleGenerator	字串	文字	是	來源系統中產生警告的規則名稱 (例如 SIEM 關聯規則)。	"Brute Force Attempt Detected"
StartTime	字串或整數	Epoch 毫秒 (UTC) 或 ISO8601 字串 (例如「2026-04-09T14:30:00Z」)	是	案件中最早的事件開始時間。如果提供整數，則必須採用 Unix 紀元時間 (以毫秒為單位)。	1670000000000或"2026-04-09T14:30:00Z"
Environment	字串	文字	否	這則快訊所屬的 SOAR 環境名稱。這項資訊必須與 SOAR 設定中定義的環境相符。	"Default Environment"
Description	字串	文字	否	案件或警告的簡短說明。	"Failed login followed by success from new IP"
DisplayId	字串	UUID 或字串	否	在 SOAR 使用者介面中用於顯示的 ID。 系統會檢查這個欄位，偵測重複的快訊。 如果 DisplayId 不是唯一值，系統就會拒絕警報，視為重複警報。DisplayId 的這項不重複檢查優先於 TicketId。 DisplayId 的值通常與 TicketId 相同。	"f7167971-f641-432f-a06f-ebca3caaa9dd"
Reason	字串	文字	否	建立或觸發快訊的原因。	"Unusual file access patterns detected."
DeviceProduct	字串	文字	否	產生快訊的供應商所提供的產品名稱。也可以從事件資料對應。	"Cortex XDR"
EndTime	字串或整數	Epoch 毫秒 (UTC) 或 ISO8601 字串 (例如「2026-04-09T14:30:00Z」)	否	案件中最新事件的結束時間。如果提供整數，必須以 Unix 紀元毫秒為單位。	1670000060000或"2026-04-09T14:31:00Z"
Priority	整數	0-100 TB	否	案件的優先程度。如未提供，預設為 40。(0-19：資訊性，20-39：低，40-59：中，60-79：高，80-100：嚴重)	80
EventsList	陣列	JSON 物件陣列	否	陣列，內含從來源接收的一或多個原始事件物件。請參閱「傳送原始事件資料」。	[ { ... }, { ... } ]
EventProduct	字串	文字	否	建立事件的產品。	"Cortex XDR"
EventName	字串	文字	否	活動的標題或名稱，通常取自來源快訊類型或摘要。	"Suspicious Login Attempt"

傳送原始事件資料 - EventsList 陣列

您應在 EventsList 陣列中，傳送代表事件的原始 JSON 酬載，因為這些事件來自來源系統。這個物件是 EventsList 陣列中的一個元素。然後使用資料對應 UI 對應 source_ip 和 timestamp 等欄位。

EventsList 陣列中的事件物件範例

{
  "event_id": "9a8b7c-1234-5678",
  "timestamp": "2026-07-01T07:29:50Z",
  "signature": "UserLoginFailed",
  "severity": "Medium",
  "user_name": "administrator",
  "source_ip": "192.168.1.50",
  "destination_ip": "10.0.0.10",
  "domain": "CORP",
  "status": "Failure",
  "Reason": "Wrong Password",
  "EventProduct": "Acme Firewall",
  "EventName": "Failed Login Attempt"
}

考量重點與最佳做法

• 時間戳記：在頂層使用 Unix 紀元毫秒，做為所有 StartTime 和 EndTime 欄位的值 (以整數表示)。在事件資料中，請提供來源的時間戳記，並在「資料對應」使用者介面中轉換。
• 必填欄位：請確認 JSON 酬載中包含「必要」欄中標示為「是」的所有欄位。
• EventsList 陣列：這個陣列非常重要，即使警報代表單一事件，也必須包裝在 EventsList 陣列中。
• 資料對應使用者介面：在「Webhook configuration」(Webhook 設定) 使用者介面中，使用資料對應工具將原始 JSON 中的欄位對應至適當的 Google Security Operations SOAR 欄位。
• 不重複性：每個新快訊的 DisplayId 必須不重複，以免去重。如果未提供 DisplayId，TicketId 就不得重複。
• 回應狀態：Webhooks Ingest 端點傳回 HTTP 200 OK 回應，代表已收到酬載，但不保證會建立快訊。在下游處理期間，快訊建立作業可能會因酬載結構或篩選規則而失敗。您可以使用「收集 SOAR 平台記錄」功能，追蹤下游處理狀態。
• 測試：在 SOAR 的「Webhook configuration」(Webhook 設定) 頁面中，使用「Upload JSON sample」(上傳 JSON 範例) 和「Testing」(測試) 分頁標籤，驗證酬載結構和對應。

事件時間戳記顯示注意事項：使用 Webhook 擷取事件資料時，快訊詳細資料清單中的時間戳記欄位顯示方式可能會有所不同。平台會嘗試設定與時間相關的欄位格式，並假設值是以 Epoch 毫秒為單位。 如果時間戳記欄位 (通常是名稱中含有「time」的欄位，例如「@timestamp」) 是以 epoch 毫秒以外的格式傳送 (例如「MM/DD/YYYY HH:MM:SS」或「YYYY-MM-DDTHH:MM:SSz」)，清單檢視畫面可能不會如預期顯示時間。這是因為系統會嘗試將其解讀為自 Epoch 起算的毫秒數。 如要查看 webhook 中傳送的原始值，請在事件清單中按兩下時間戳記欄位。 為確保平台顯示結果一致，請盡可能將來源系統設定為以 Epoch 毫秒為單位傳送時間值，或確認資料對應使用者介面中的轉換正確無誤。

測試 Webhook

在「測試」分頁中，您可以測試 Webhook 的端對端功能，並查看詳細的錯誤說明。

1. 在「測試」分頁中，複製 Webhook 網址。
2. 上傳含有相關資料的 JSON 檔案。
3. 按一下「執行」。結果會與輸出內容一併顯示。

設定 CrowdStrike 平台

本用途會引導您完成 CrowdStrike 中的步驟，讓 Webhook 開始將警告擷取至 Google SecOps 平台。

1. 在 CrowdStrike Falcon 資訊主頁中，前往 Falcon 商店並安裝 Webhooks 外掛程式。
2. 使用您從 Google SecOps 平台複製的名稱和 Webhook 網址設定 Webhook，然後按一下「儲存」。
3. 前往「工作流程」部分。
4. 按一下「建立工作流程」。
5. 選取觸發條件 (例如「新偵測結果」)，然後點選「下一步」。
6. 選取「新增動作」。
7. 在「自訂動作」部分，從「動作類型」選單中選取「通知」，然後從「動作」選單中選取「呼叫 Webhook」。
8. 選取您在初始步驟中新增的名稱和所有必要欄位，然後按一下「完成」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。