建立案件自訂欄位
本文說明如何建立及管理自訂欄位，以及如何將這些欄位用於進階報表。管理員可以透過自訂欄位，在案件和警告中新增特定資訊。 您可以使用「Custom Fields Form」(自訂欄位表單) 小工具整理這些自訂欄位，定義案件和快訊的預設檢視畫面。分析人員可以根據自訂欄位的設定範圍，直接在案件和警告的「Overview」(總覽) 分頁中，將資訊輸入這個小工具。
建立自訂欄位
管理員最多可以建立 1,000 個自訂欄位。自訂欄位儲存後，就無法修改「Scope」(範圍)、「Type」(類型) 或「Name」(名稱)。如要建立自訂欄位，請按照下列步驟操作：
- 依序前往「設定」>「調查」>「自訂欄位」。
- 按一下「新增」，建立新的自訂欄位。
- 依序選取「範圍」和「案件」、「快訊」或「全部」(兩者皆選)。「Scope」為必填欄位，自訂欄位建立後即無法變更。
- 輸入自訂欄位名稱。「名稱」為必填欄位，自訂欄位建立後即無法變更。
在清單中選取自訂欄位「類型」：
- 任意文字：輸入任何文字，最多 1,024 個半形字元。
- 圓形按鈕：提供兩個可自訂的選項。
- 單選：只有一個選項可選的清單。這種類型最多支援 1,024 個字元，每個選項名稱最多 255 個字元。
- 複選：列出多個選項供使用者選取。這種類型最多支援 1,024 個字元，每個選項名稱最多 255 個字元。
- 日曆：日期和時間欄位。預設格式為
DD/MM/YYYY HH:MM:SS。
按一下「儲存」。
用途：使用自訂欄位強化網路釣魚防護
本用途說明定義三個自訂欄位的步驟：圓形按鈕、單選清單和日曆，以及如何將這些欄位新增至「Custom Field Form」小工具。這些欄位會為預設快訊檢視畫面，提供網路釣魚快訊的額外資訊。
定義「偽陽性」自訂欄位
- 在「範圍」部分，選取「警告」。
- 在「Name」(名稱) 欄位中，輸入
False Positive。 - 在「Type」清單中，選取「圓形按鈕」。
- 在「Options」(選項) 欄位中輸入
True Positive(然後按下 Enter 鍵)，接著輸入False Positive(然後按下 Enter 鍵)。 - 按一下「儲存」。
定義「使用者動作」自訂欄位
- 按一下「新增」，建立另一個新的自訂欄位。
- 在「範圍」部分，選取「警告」。
- 在「Name」欄位中，輸入「User Action」。
- 在「Type」清單中，選取「Single Select」。
- 在「Options」(選項) 欄位中，依序輸入
Clicked(然後按 Enter 鍵)、Reported(然後按 Enter 鍵) 和Ignored(然後按 Enter 鍵)。 - 按一下「儲存」。
定義 Report Time 自訂欄位
- 按一下「新增」，建立另一個新的自訂欄位。
- 在「範圍」部分，選取「警告」。
- 在「Name」(名稱) 欄位中，輸入
Report Time。 - 在「Type」清單中，選取「Calendar」。
- 按一下「儲存」。
在快訊層級小工具中新增自訂欄位
定義自訂欄位後，請將這些欄位新增至「自訂欄位表單」小工具。每個小工具最多可容納五十個自訂欄位。下列步驟說明如何將先前建立的三個自訂欄位，新增至「Custom Fields Form」(自訂欄位表單) 小工具，充實預設快訊檢視畫面。
- 依序前往「設定」>「調查」>「檢視畫面」>「預設快訊檢視畫面」。「預設快訊檢視畫面」會隨即開啟，並顯示可用的小工具。
- 在「一般」分頁中，將「自訂欄位表單」小工具拖曳至「預設快訊檢視畫面」。
- 在「Custom Fields Form」小工具中，依序點選「設定」「設定」開啟設定。
- 在「Widget Title」(小工具標題) 欄位中，輸入
True or False Positive Alert。 - 選取「管理自訂欄位」。
- 勾選「False Positive」(偽陽性)、「User Action」(使用者動作) 和「Report Time」(回報時間) 核取方塊，然後按一下「Save」(儲存)。系統會將這些自訂欄位新增至「Custom Fields Form」小工具。
- 按一下「Mandatory」(強制) 切換按鈕。
- 選取「儲存」，儲存設定並關閉視窗。
- 按一下 [Save View] (儲存視圖)。
使用自訂欄位表單小工具
在「Custom Fields Form」(自訂欄位表單) 小工具中新增自訂欄位後，該小工具就會顯示在案件和快訊的「Overview」(總覽) 分頁中。分析師可以直接輸入必要資訊。延續上一個範例，請按照下列步驟使用小工具：
- 在「Alert Overview」分頁中，選取「Custom Fields」小工具，然後按一下「編輯」圖示 。
- 在三個自訂欄位中填入相關資訊：
- 偽陽性：選取圓形按鈕，指出警告是
true還是false陽性。 - 使用者動作：選取「已點擊」、「已回報」或「已忽略」。
- 回報時間：選取回報快訊的日期。
- 偽陽性：選取圓形按鈕，指出警告是
- 按一下「儲存」。
在教戰手冊中使用自訂欄位
您可以在這個頁面定義自訂欄位，並用於應對手冊動作和預留位置。 如要進一步瞭解工作手冊動作，請參閱「將 Siemplify 與 Google SecOps 整合」。
自訂欄位的預留位置
自訂欄位位於「Custom Fields」預留位置類別下方。請使用下列格式：
\[AlertCustom.{custom field name}\]\[CaseCustom.{custom field name}\]
在進階報表中使用自訂欄位
為案件建立的自訂欄位可用於進階報表，從資料中取得更深入的洞察資訊。
注意：進階報表僅支援範圍為「案件」的自訂欄位。
在 Looker 建立單選值的自訂欄位
如要在 Looker 報表中參照單選自訂欄位 (例如 "Country")，請使用下列 LookML 公式做為計算欄位：
if(
contains(${vw_cases_custom_values.custom_field_json},"\"Country\":"),
replace(
replace(
replace(
if(position(
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
),
"\","
)>0,
substring(
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
),
0,
position(
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
),
"\","
)
),
replace(
${vw_cases_custom_values.custom_field_json},
substring(
${vw_cases_custom_values.custom_field_json},
0,
( position(
${vw_cases_custom_values.custom_field_json},
"\"Country\":")
+
length("\"Country\":")
)
),
""
)),
" \"",
""
),
"\"",
""
),
"}",""),
null
)
在 Looker 建立多選值的自訂欄位
如要在 Looker 報表中參照多選自訂欄位 (例如 "Department")，請使用下列 LookML 公式做為計算欄位：
if(contains(${vw_cases_custom_values.custom_field_json},"\"Department\""),
substring(
replace(
replace(
substring(${vw_cases_custom_values.custom_field_json},
position(
${vw_cases_custom_values.custom_field_json},
"\"Department\""),length(${vw_cases_custom_values.custom_field_json}))
,"\", \"Department\":\"",","),
"\"Department\":\"","")
,0, position(replace(
replace(
substring(${vw_cases_custom_values.custom_field_json},
position(
${vw_cases_custom_values.custom_field_json},
"\"Department\""),length(${vw_cases_custom_values.custom_field_json}))
,"\", \"Department\":\"",","),
"\"Department\":\"",""),"\"")-1)
, null)
在 Looker 篩選自訂欄位
在 Looker 中，篩選自訂欄位的方法取決於您使用的是 Look 圖表還是資訊主頁。
在 Look 中篩選
如要在 Look 中篩選單選和多選自訂欄位，可以直接使用透過上述公式建立的自訂維度欄位。
篩選資訊主頁
如要在資訊主頁篩選自訂欄位，您必須參照「探索」中的基礎 JSON 值，並在篩選器中使用適當的值，如下所示：
- 單選欄位：舉例來說，如要篩選「國家/地區」自訂欄位為
China的案件，請使用篩選條件：%"Country": "China"%(確切語法可能因 Looker 版本而略有不同)。 - 複選欄位：如要使用資訊主頁篩選複選欄位，請參照並使用 JSON 值和適當語法，這可能會因篩選需求而異 (例如比對任何或所有選取的值)。
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。