Crea campos personalizados para los casos
En este documento, se describe cómo crear y administrar campos personalizados, y cómo usarlos para generar informes avanzados. Los campos personalizados permiten que los administradores agreguen información específica a los casos y las alertas. Puedes organizar estos campos personalizados con un widget de formulario de campos personalizados, que define las vistas predeterminadas para los casos y las alertas. Luego, los analistas pueden ingresar información directamente en este widget desde la pestaña Descripción general de los casos y las alertas, según el alcance configurado del campo personalizado.
Cómo crear un campo personalizado
Los administradores pueden crear hasta 1,000 campos personalizados. Una vez que se guarda un campo personalizado, no puedes modificar su Alcance, Tipo ni Nombre. Para crear un campo personalizado, haz lo siguiente:
- Ve a Configuración > Investigación > Campos personalizados.
- Haz clic en Agregar Agregar para crear un campo personalizado nuevo.
- Selecciona Alcance y, luego, Caso, Alerta o Todo (ambos). El campo Permiso es obligatorio y no se puede cambiar una vez que se crea el campo personalizado.
- Ingresa un nombre de campo personalizado. El campo Nombre es obligatorio y no se puede cambiar después de crear el campo personalizado.
En la lista, selecciona un Tipo de campo personalizado:
- Texto libre: Ingresa cualquier texto, de hasta 1,024 caracteres.
- Botón de selección: Proporciona dos opciones personalizables para seleccionar.
- Selección única: Es una lista con una sola opción para seleccionar. Este tipo admite un máximo de 1,024 caracteres, y cada nombre de opción está limitado a 255 caracteres.
- Selección múltiple: Es una lista con varias opciones para seleccionar. Este tipo admite un máximo de 1,024 caracteres, y cada nombre de opción está limitado a 255 caracteres.
- Calendar: Es un campo de fecha y hora. El formato predeterminado es
DD/MM/YYYY HH:MM:SS.
Haz clic en Guardar.
Caso de uso: Usa campos personalizados para mejorar la resistencia al phishing
En este caso de uso, se describen los pasos para definir tres campos personalizados: un botón de selección, una lista de selección única y un calendario, y cómo agregarlos al widget Formulario de campo personalizado. Estos campos enriquecen la vista de alertas predeterminada con información adicional para las alertas de phishing.
Define el campo personalizado Falso positivo
- En Alcance, selecciona Alerta.
- En el campo Nombre, ingresa
False Positive. - En la lista Tipo, selecciona Botón de selección.
- En el campo Opciones, ingresa
True Positive(luego, presiona Intro) y, luego, ingresaFalse Positive(luego, presiona Intro). - Haz clic en Guardar.
Define el campo personalizado Acción del usuario
- Haz clic en Agregar para crear otro campo personalizado nuevo.
- En Alcance, selecciona Alerta.
- En el campo Name, ingresa User Action.
- En la lista Tipo, selecciona Selección única.
- En el campo Opciones, ingresa
Clicked(luego, presiona Intro),Reported(luego, presiona Intro) y, luego,Ignored(luego, presiona Intro). - Haz clic en Guardar.
Define el campo personalizado Hora del informe
- Haz clic en Agregar para crear otro campo personalizado nuevo.
- En Alcance, selecciona Alerta.
- En el campo Nombre, ingresa
Report Time. - En la lista Tipo, selecciona Calendario.
- Haz clic en Guardar.
Agrega campos personalizados al widget de nivel de alerta
Después de definir los campos personalizados, agrégalos al widget Custom Fields Form. Cada widget puede contener hasta cincuenta campos personalizados. En los siguientes pasos, se muestra cómo agregar los tres campos personalizados que creaste antes al widget Formulario de campos personalizados para enriquecer la vista de alertas predeterminada.
- Ve a Configuración > Investigación > Vistas > Vista de alertas predeterminada. Se abrirá la vista de alertas predeterminada con los widgets disponibles.
- En la pestaña General, arrastra el widget Custom Fields Form a la Default Alert View.
- En el widget Custom Fields Form, haz clic en Settings Configuration para abrir su configuración.
- En el campo Título del widget, ingresa
True or False Positive Alert. - Selecciona Administrar campos personalizados.
- Selecciona las casillas de verificación Falso positivo, Acción del usuario y Hora del informe y, luego, haz clic en Guardar. El sistema agrega estos campos personalizados al widget Formulario de campos personalizados.
- Haz clic en el botón de activación Obligatorio.
- Selecciona Guardar para guardar la configuración y cerrar la ventana.
- Haz clic en Guardar vista.
Usa el widget Formulario de campos personalizados
Después de agregar campos personalizados al widget Formulario de campos personalizados, este aparecerá en la pestaña Descripción general de los casos y las alertas. Luego, los analistas pueden ingresar directamente la información requerida. A partir del ejemplo anterior, sigue estos pasos para usar el widget:
- En la pestaña Descripción general de la alerta, selecciona el widget Campos personalizados y haz clic en Editar.
- Completa la información pertinente para los tres campos personalizados:
- Falso positivo: Selecciona el botón de selección para indicar si la alerta es un positivo
trueofalse. - Acción del usuario: Selecciona Se hizo clic, Se denunció o Se ignoró.
- Hora del informe: Selecciona la fecha en que se informó la alerta.
- Falso positivo: Selecciona el botón de selección para indicar si la alerta es un positivo
- Haz clic en Guardar.
Usa campos personalizados en las guías
Puedes usar los campos personalizados que definas en esta página como parte de las acciones y los marcadores de posición de la guía. Para obtener más información sobre las acciones de las guías, consulta Integra Siemplify con Google SecOps.
Marcadores de posición para campos personalizados
Los campos personalizados están disponibles en la categoría de marcador de posición Campos personalizados. Usa el siguiente formato para estos marcadores de posición:
\[AlertCustom.{custom field name}\]\[CaseCustom.{custom field name}\]
Cómo usar campos personalizados en informes avanzados
Los campos personalizados creados para los casos se pueden usar en informes avanzados para obtener estadísticas más detalladas de tus datos.
Nota: Los informes avanzados solo admiten campos personalizados que tengan un alcance de Caso.
Crea campos personalizados para valores de selección única en Looker
Para hacer referencia a un campo personalizado de selección única (por ejemplo, "Country") en un
informe de Looker, usa la siguiente fórmula de LookML como un campo
calculado:
if(
contains(${vw_cases_custom_values.custom_field_json},"\"Country\":"),
replace(
replace(
replace(
if(position(
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
),
"\","
)>0,
substring(
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
),
0,
position(
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
),
"\","
)
),
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
)),
" \"",
""
),
"\"",
""
),
"}",""),
null
)
Crea campos personalizados para valores de selección múltiple en Looker
Para hacer referencia a un campo personalizado de selección múltiple (por ejemplo, "Department") en un informe de Looker, usa la siguiente fórmula de LookML como un campo calculado:
if(contains(${vw_cases_custom_values.custom_field_json},"\"Department\""),
substring(
replace(
replace(
substring(${vw_cases_custom_values.custom_field_json},
position(
${vw_cases_custom_values.custom_field_json},
"\"Department\""),length(${vw_cases_custom_values.custom_field_json}))
,"\", \"Department\":\"",","),
"\"Department\":\"","")
,0, position(replace(
replace(
substring(${vw_cases_custom_values.custom_field_json},
position(
${vw_cases_custom_values.custom_field_json},
"\"Department\""),length(${vw_cases_custom_values.custom_field_json}))
,"\", \"Department\":\"",","),
"\"Department\":\"",""),"\"")-1)
, null)
Filtra campos personalizados en Looker
Para filtrar campos personalizados de manera eficaz en Looker, el método que uses dependerá de si estás trabajando con una vista o un panel.
Cómo filtrar en una vista
Para filtrar los campos personalizados de selección única y múltiple en una vista, puedes usar directamente el campo de dimensión personalizada creado con las fórmulas anteriores.
Filtrado en paneles
Para filtrar campos personalizados en los paneles, debes hacer referencia al valor JSON subyacente de Explorar y usar los valores adecuados en el filtro, de la siguiente manera:
- Campos de selección única: Por ejemplo, para filtrar los casos
en los que el campo personalizado País es
China, usa la condición de filtro:%"Country": "China"%(en la que la sintaxis exacta puede variar un poco según la versión de Looker). - Campos de selección múltiple: Para filtrar campos de selección múltiple con paneles, haz referencia al valor JSON y usa la sintaxis adecuada, que puede variar según tus necesidades de filtrado (por ejemplo, coincidir con cualquiera o todos los valores seleccionados).
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.