設定 SOAR Webhook

支援的服務：

Google SecOps SOAR

Webhook 是輕量級解決方案，可將貴組織的警示擷取至 Google Security Operations SOAR 平台。

透過 Webhook 擷取的快訊會顯示在平台上，資訊與使用連接器擷取的快訊相同。

Google 建議使用來自相同來源的連接器或 Webhook，但不要同時使用兩者，以免建立重複的案件。

Webhook 最適合需要基本對應邏輯的情境，而連接器則更適合進階且彈性的對應。

設定 Webhook 來擷取快訊

如要設定 Webhook 來擷取警告，請按照下列步驟操作：

1. 依序前往「設定」>「資料管理」>「SOAR Webhook」。
2. 按一下「新增」圖示 「新增傳入 Webhook」。
3. 輸入新 Webhook 的名稱，並選擇環境。
4. 按一下 [儲存]。儲存後，新的 Webhook 會顯示在主頁面上。
5. 複製 Webhook 網址並記下，稍後會用到。您必須在來源平台中輸入這個網址，做為 Webhook 目的地。

注意：儲存後，系統會顯示 Webhook 網址。請立即複製這個網址，因為離開頁面後就無法再查看。您需要使用這個網址，在來源平台中設定 Webhook 目的地。如果未複製網址就儲存，請依序點選「快取」和「產生新的網址」，建立新的網址。

地圖資料

上傳 JSON 範例後，您可以使用「資料對應」部分，將來源 JSON 的欄位對應至 Google Security Operations SOAR 中的適當欄位。系統會處理原始 JSON，您則使用使用者介面 (UI) 建立對應。

1. 在「資料對應」部分，按一下「上傳 JSON 範例」。請提供 Webhook 傳送的 JSON 酬載代表性樣本。
2. 將 Google Security Operations 欄位對應至 JSON 範例中的相應欄位。舉例來說，如要對應必要的 StartTime 欄位，可以從 JSON 中選取時間戳記欄位，例如 Detections.Last.Update。
3. 使用運算式建立工具精簡資料。舉例來說，您可以使用「日期格式」函式，將時間戳記轉換為必要的 Unix 紀元毫秒格式。詳情請參閱「使用運算式建立工具」。
4. 在運算式建立工具中，按一下「執行」測試對應並查看結果。綠色勾號表示對應成功。
5. Webhook JSON 酬載必須包含建立案件和擷取快訊所需的欄位。詳情請參閱「瞭解 Webhook JSON 結構定義」。
6. 對應所有必要欄位後，按一下「儲存」，然後啟用 Webhook。

瞭解對應目標欄位

對應 JSON 資料時，您會對應至 Google Security Operations SOAR 中的標準化欄位。這些欄位會依類別整理，協助您正規化及建構傳入的資料。資料對應使用者介面中的可用欄位，取決於內部系統本體。主要類別包括：

• 實體欄位：用於系統可自動擷取及建立實體模型的資料點，例如 IP 位址、網域名稱、檔案雜湊和使用者名稱。對應至這些欄位可豐富快訊內容，並改善關聯和透視功能。
• 一般事件欄位：用於一般事件中繼資料，例如時間戳記 (StartTime、EndTime)、事件說明或訊息，以及其他常見事件屬性。
• 技術和裝置中繼資料：使用這些欄位，提供事件來源的技術詳細資料，例如回報裝置的供應商和產品 (DeviceVendor、DeviceProduct)、事件嚴重性，以及其他類似的技術屬性。

在 Google Security Operations SOAR UI 的資料對應工具中，探索可用欄位，找出最適合 JSON 酬載中各項資料的目標欄位。

瞭解 Webhook JSON 結構定義

為確保 Google Security Operations SOAR 正確擷取及處理快訊，Webhook JSON 酬載必須遵循特定結構。下表詳細列出 JSON 酬載中應包含的主要欄位。

主要案件和警告欄位

這些欄位代表要建立的快訊或案件的頂層屬性。

欄位	類型	建議格式	必填	說明	範例
TicketId	字串	UUID	是	SOAR 平台中案件的內部全域專屬 ID (GUID)。 TicketId 的不重複性要求為條件式，取決於 DisplayId： 如果提供不重複的 DisplayId，TicketId 就不必是唯一值。 如未提供 DisplayId，TicketId 不得重複。 TicketId 的值通常與 DisplayId 相同。	"f7167971-f641-432f-a06f-ebca3caaa9dd"
SourceSystemName	字串	文字	是	將原始警告傳送至 SOAR 的外部系統名稱，例如 SIEM 或端點偵測與應變 (EDR) 系統。	"Splunk"
Name	字串	文字	是	案件的標題或名稱，通常取自來源警告類型或摘要。	"Suspicious Login Attempt"
DeviceVendor	字串	文字	是	產生快訊的裝置或產品供應商。這項資訊也可以從事件資料對應。	"Palo Alto Networks"
RuleGenerator	字串	文字	是	產生警告的來源系統規則名稱 (例如 SIEM 關聯規則)。	"Brute Force Attempt Detected"
StartTime	字串或整數	Epoch 毫秒 (世界標準時間) 或 ISO8601 字串 (例如「2026-04-09T14:30:00Z」)	是	案件中最早事件的開始時間。如果提供整數，則必須採用 Unix 紀元時間 (以毫秒為單位)。	1670000000000或"2026-04-09T14:30:00Z"
Environment	字串	文字	否	這個警告所屬的 SOAR 環境名稱。這必須與「設定」中定義的環境相符。	"Default Environment"
Description	字串	文字	否	案件或警告的簡短說明。	"Failed login followed by success from new IP"
DisplayId	字串	UUID 或字串	否	在 SOAR UI 中用於顯示的 ID。 系統會檢查這個欄位的主鍵，偵測重複的警告。 如果 DisplayId 不是不重複的值，系統會將快訊視為重複而拒絕。DisplayId 的不重複性檢查優先於 TicketId。 DisplayId 的值通常與 TicketId 相同。	"f7167971-f641-432f-a06f-ebca3caaa9dd"
Reason	字串	文字	否	建立或觸發快訊的原因。	"Unusual file access patterns detected."
DeviceProduct	字串	文字	否	產生警告的供應商產品名稱。這項資訊也可以從事件資料對應。	"Cortex XDR"
EndTime	字串或整數	Epoch 毫秒 (世界標準時間) 或 ISO8601 字串 (例如「2026-04-09T14:30:00Z」)	否	案件中最新事件的結束時間。如果提供整數，則必須採用 Unix 紀元時間 (以毫秒為單位)。	1670000060000或"2026-04-09T14:31:00Z"
Priority	整數	0-100 TB	否	案件的優先順序。如未提供，預設為 40。(0-19：資訊性，20-39：低，40-59：中，60-79：高，80-100：嚴重)	80
EventsList	陣列	JSON 物件陣列	否	包含一或多個從來源接收的原始事件物件陣列。請參閱「傳送原始事件資料」。	[ { ... }, { ... } ]
EventProduct	字串	文字	否	建立事件的產品。	"Cortex XDR"
EventName	字串	文字	否	事件的標題或名稱，通常取自來源快訊類型或摘要。	"Suspicious Login Attempt"

傳送原始事件資料 - EventsList 陣列

您應傳送原始 JSON 酬載，代表來自 EventsList 陣列中來源系統的事件。這個物件是 EventsList 陣列中的一個元素。接著，您可以使用資料對應 UI 對應 source_ip 和 timestamp 等欄位。

EventsList 陣列中的事件物件範例

{
  "event_id": "9a8b7c-1234-5678",
  "timestamp": "2026-07-01T07:29:50Z",
  "signature": "UserLoginFailed",
  "severity": "Medium",
  "user_name": "administrator",
  "source_ip": "192.168.1.50",
  "destination_ip": "10.0.0.10",
  "domain": "CORP",
  "status": "Failure",
  "Reason": "Wrong Password",
  "EventProduct": "Acme Firewall",
  "EventName": "Failed Login Attempt"
}

考量重點和最佳做法

• 時間戳記：頂層的所有 StartTime 和 EndTime 欄位，請使用 Unix 紀元毫秒 (整數)。在事件資料中，請提供來源的時間戳記，並在資料對應使用者介面中轉換。
• 必填欄位：請確認 JSON 酬載中包含「必填」欄標示為「是」的所有欄位。
• EventsList 陣列：這個陣列至關重要，即使快訊代表單一事件，也必須納入 EventsList 陣列。
• 資料對應 UI：使用 Webhook 設定 UI 中的資料對應工具，將原始 JSON 中的欄位對應至適當的 Google Security Operations SOAR 欄位。
• 不重複性：每則新快訊的 DisplayId 必須不重複，以免去重。如果未提供 DisplayId，TicketId 不得重複。
• 回應狀態：Webhooks Ingest 端點傳回 HTTP 200 OK 回應，代表已收到酬載，但不保證會建立快訊。在下游處理期間，快訊建立作業可能會因酬載結構或篩選規則而失敗。您可以使用「收集 SOAR 平台記錄」功能，追蹤下游處理狀態。
• 測試：在 SOAR 的「Webhook 設定」頁面中，使用「上傳 JSON 範例」和「測試」分頁，驗證酬載結構和對應關係。

事件時間戳記顯示注意事項：使用 Webhook 擷取事件資料時，快訊詳細資料清單中的時間戳記欄位顯示方式可能會有所不同。平台會嘗試設定看似與時間相關的欄位格式，並假設值是以 Epoch 毫秒為單位。 如果時間戳記欄位 (通常名稱中包含「time」，例如「@timestamp」) 的傳送格式不是 Epoch 毫秒 (例如「MM/DD/YYYY HH:MM:SS」或「YYYY-MM-DDTHH:MM:SSz」)，清單檢視畫面可能無法正常顯示時間。這是因為系統會嘗試將其解讀為自 Epoch 起算的毫秒數。 在事件清單中，按兩下時間戳記欄位，即可查看 Webhook 傳送的原始值。 為確保平台上的顯示結果一致，請盡可能將來源系統設為以 Epoch 毫秒為單位傳送時間值，或確認資料對應 UI 中的轉換正確無誤。

測試 Webhook

在「測試」分頁中，您可以測試 Webhook 的端對端功能，並查看詳細的錯誤說明。

1. 在「測試」分頁中，複製 Webhook 網址。
2. 上傳含有相關資料的 JSON 檔案。
3. 按一下「執行」。結果會與輸出內容一併顯示。

設定 CrowdStrike 平台

本用途會逐步說明如何在 CrowdStrike 中設定 Webhook，開始將警示擷取至 Google SecOps 平台。

1. 在 CrowdStrike Falcon 資訊主頁中，前往 Falcon 商店並安裝 Webhook 外掛程式。
2. 設定 Webhook，輸入名稱和從 Google SecOps 平台複製的 Webhook 網址，然後按一下「Save」。
3. 前往「Workflows」部分。
4. 按一下「建立工作流程」。
5. 選取觸發條件 (例如「New detection」)，然後點選「Next」。
6. 選取「新增動作」。
7. 在「Customize action」(自訂動作) 部分，從「Action type」(動作類型) 選單中選取「Notifications」(通知)，然後從「Action」(動作) 選單中選取「Call webhook」(呼叫 Webhook)。
8. 選取您在初始步驟中新增的名稱和所有必要欄位，然後按一下「完成」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。