为支持请求创建自定义字段

支持范围：

本文档介绍了如何创建和管理自定义字段，以及如何将其用于高级报告。 借助自定义字段，管理员可以向请求和提醒添加特定信息。 您可以使用自定义字段表单 widget 来整理这些自定义字段，该 widget 用于定义案例和提醒的默认视图。然后，分析师可以根据自定义字段的配置范围，直接从案例和提醒的概览标签页中将信息输入到此 widget 中。

创建自定义字段

管理员最多可以创建 1,000 个自定义字段。自定义字段一经保存，便无法修改其范围、类型或名称。如需创建自定义字段，请执行以下操作：

  1. 依次前往设置 > 调查 > 自定义字段。
  2. 点击添加 添加以创建新的自定义字段。
  3. 选择范围，然后选择案例、提醒或全部（两者）。范围字段为必填字段，且自定义字段创建后便无法更改。
  4. 输入自定义字段名称。名称字段为必填项，且在自定义字段创建后无法更改。

  5. 在列表中，选择自定义字段类型：

    • 自由文本：输入任意文本，最多 1,024 个字符。
    • 单选按钮：提供两个可自定义的选项供用户选择。
    • 单选：包含单个选项的列表。 此类型最多支持 1,024 个字符，每个选项名称最多 255 个字符。
    • 多选：包含多个选项的列表。 此类型最多支持 1,024 个字符，每个选项名称最多 255 个字符。
    • 日历：日期和时间字段。默认格式为 DD/MM/YYYY HH:MM:SS。

  6. 点击保存。

应用场景：使用自定义字段增强防钓鱼式攻击能力

此用例概述了定义三个自定义字段（单选按钮、单选列表和日历）的步骤，以及如何将它们添加到自定义字段表单微件中。这些字段会为默认提醒视图添加有关钓鱼式攻击提醒的更多信息。

定义“假正例”自定义字段

  1. 在范围部分，选择提醒。
  2. 在名称字段中，输入 False Positive。
  3. 在类型列表中，选择单选按钮。
  4. 在选项字段中，输入 True Positive（然后按 Enter 键），再输入 False Positive（然后按 Enter 键）。
  5. 点击保存。

定义“用户操作”自定义字段

  1. 点击添加，创建另一个新的自定义字段。
  2. 在范围部分，选择提醒。
  3. 在名称字段中，输入用户操作。
  4. 在类型列表中，选择单选。
  5. 在选项字段中，输入 Clicked（然后按 Enter 键）、Reported（然后按 Enter 键），再输入 Ignored（然后按 Enter 键）。
  6. 点击保存。

定义“报告时间”自定义字段

  1. 点击添加，创建另一个新的自定义字段。
  2. 在范围部分，选择提醒。
  3. 在名称字段中，输入 Report Time。
  4. 在类型列表中，选择日历。
  5. 点击保存。

向提醒级 widget 添加自定义字段

定义自定义字段后，将其添加到自定义字段表单微件中。 每个 widget 最多可包含 50 个自定义字段。以下步骤展示了如何将您之前创建的三个自定义字段添加到自定义字段表单 widget 中，以丰富默认提醒视图。

  1. 依次前往设置 > 调查 > 视图 > 默认提醒视图。系统会打开默认提醒视图，其中包含可用的微件。
  2. 在常规标签页中，将自定义字段表单 widget 拖动到默认提醒视图。
  3. 在自定义字段表单 widget 中，点击设置配置以打开其设置。
  4. 在微件标题字段中，输入 True or False Positive Alert。
  5. 选择管理自定义字段。
  6. 选中假正例、用户操作和报告时间复选框，然后点击保存。系统会将这些自定义字段添加到自定义字段表单微件中。
  7. 点击强制切换开关。
  8. 选择保存以保存配置并关闭窗口。
  9. 点击 Save View。

使用“自定义字段表单”微件

将自定义字段添加到自定义字段表单 widget 后，该 widget 会显示在案例和提醒的概览标签页中。然后，分析人员可以直接输入所需信息。基于前面的示例，请按照以下步骤使用该微件：

  1. 在提醒概览标签页上，选择自定义字段 widget，然后点击 修改。
  2. 为三个自定义字段填写相关信息：
    • 假正例：选择单选按钮，指明提醒是true还是false。
    • 用户操作：选择已点击、已举报或已忽略。
    • 报告时间：选择报告提醒的日期。
  3. 点击保存。

在 playbook 中使用自定义字段

您可以在 playbook 操作和占位符中使用您在此页面上定义的自定义字段。 如需详细了解 playbook 操作，请参阅将 Siemplify 与 Google SecOps 集成。

自定义字段的占位符

自定义字段位于自定义字段占位符类别下。请对这些占位符使用以下格式：

  • \[AlertCustom.{custom field name}\]
  • \[CaseCustom.{custom field name}\]

在高级报告中使用自定义字段

为支持请求创建的自定义字段可用于高级报告，以便从数据中获得更深入的分析。

注意：高级报告仅支持范围为支持请求的自定义字段。

在 Looker 中为单选值创建自定义字段

如需在 Looker 报告中引用单选自定义字段（例如 "Country"），请使用以下 LookML 公式作为计算字段：


    if(
      contains(${vw_cases_custom_values.custom_field_json},"\"Country\":"),
      replace(
      replace(
      replace(
        if(position(
          replace(
            ${vw_cases_custom_values.custom_field_json},
            substring(
              ${vw_cases_custom_values.custom_field_json},
              0,
              ( position(
                ${vw_cases_custom_values.custom_field_json},
                "\"Country\":")
                +
                length("\"Country\":")
              )
            ),
            ""
          ),
          "\","
        )>0,

        substring(
          replace(
            ${vw_cases_custom_values.custom_field_json},
            substring(
              ${vw_cases_custom_values.custom_field_json},
              0,
              ( position(
                ${vw_cases_custom_values.custom_field_json},
                "\"Country\":")
                +
                length("\"Country\":")
              )
            ),
            ""
          ),
          0,
          position(
            replace(
              ${vw_cases_custom_values.custom_field_json},
              substring(
                ${vw_cases_custom_values.custom_field_json},
                0,
                ( position(
                  ${vw_cases_custom_values.custom_field_json},
                  "\"Country\":")
                  +
                  length("\"Country\":")
                )
              ),
              ""
            ),
            "\","
          )
        ),
        replace(
          ${vw_cases_custom_values.custom_field_json},
          substring(
            ${vw_cases_custom_values.custom_field_json},
            0,
            ( position(
              ${vw_cases_custom_values.custom_field_json},
              "\"Country\":")
              +
              length("\"Country\":")
            )
          ),
          ""
        )),
        " \"",
        ""
      ),
      "\"",
      ""
    ),
    "}",""),
    null
    )

在 Looker 中为多选值创建自定义字段

如需在 Looker 报告中引用多选自定义字段（例如 "Department"），请使用以下 LookML 公式作为计算字段：


    if(contains(${vw_cases_custom_values.custom_field_json},"\"Department\""),

    substring(

    replace(
    replace(

    substring(${vw_cases_custom_values.custom_field_json},
    position(
    ${vw_cases_custom_values.custom_field_json},
    "\"Department\""),length(${vw_cases_custom_values.custom_field_json}))


    ,"\", \"Department\":\"",","),

    "\"Department\":\"","")


    ,0, position(replace(
    replace(

    substring(${vw_cases_custom_values.custom_field_json},
    position(
    ${vw_cases_custom_values.custom_field_json},
    "\"Department\""),length(${vw_cases_custom_values.custom_field_json}))


    ,"\", \"Department\":\"",","),

    "\"Department\":\"",""),"\"")-1)

    , null)

在 Looker 中过滤自定义字段

若要在 Looker 中有效过滤自定义字段，您需要根据使用的是 Look 还是信息中心来选择合适的方法。

在 Look 中过滤

如需在 Look 中过滤单选和多选自定义字段，您可以直接使用通过上述公式创建的自定义维度字段。

在信息中心内过滤

如需在信息中心内过滤自定义字段，您必须从探索中引用底层 JSON 值，并在过滤器中使用适当的值，如下所示：

  • 单选字段：例如，如需过滤国家/地区自定义字段为 China 的支持请求，请使用过滤条件：%"Country": "China"%（确切语法可能会因 Looker 版本而略有不同）。
  • 多选字段：如需使用信息中心过滤多选字段，请引用并使用 JSON 值和适当的语法，这些值和语法可能会因过滤需求而异（例如，匹配任何或所有选定值）。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。