管理案件和快訊中的標記

支援的國家/地區：

Google SecOps SOAR

本文說明如何在 Google Security Operations 案件中管理標記。

標記可協助分類及整理案件，方便篩選及分析。系統可根據預先定義的規則自動指派，也可以從案件和快訊檢視畫面手動新增。

雖然可以從個別案件中移除標籤，但除非管理員從「案件資料」>「標籤」設定的表格中移除標籤，否則標籤本身仍會保留在系統的自動完成清單中。

您可能也想匯入標記，例如從測試環境遷移至正式環境，或是為了備份。詳情請參閱「匯入代碼」。

管理案件和快訊中的標記

標記可協助你追蹤及分類案件。您可以依標記搜尋案件，快速找出所需案件。

您可以在下列位置管理代碼：

• 案件或快訊：手動新增及移除特定案件或個別快訊的標記。
• 主選單：依序點選「設定」>「案件資料」>「標記」。 詳情請參閱「建立自動標記規則」。
• 應對手冊：使用代碼觸發條件，根據代碼名稱觸發應對手冊。 您也可以在劇本區塊中新增案件標記：選取劇本區塊，按一下「開啟步驟選取」，然後在「觸發條件」分頁中選取「標記名稱」。

注意：如要新增或管理案件標記，除了標準案件管理權限外，環境中也必須啟用服務水準協議 (SLA) 模組。

為案件新增標記

如要為案件新增標記，請按照下列步驟操作：

1. 前往「案件」頁面，然後選取要加上標籤的案件。
2. 按一下「銷售」 管理代碼。
3. 在「管理標記」對話方塊中，輸入標記名稱並按下 Enter 鍵，或從清單中選取標記並按一下「新增」。

為快訊新增標記

如要為快訊新增標記，請按照下列步驟操作：

1. 前往「案件」頁面，然後選取案件。
2. 選取要加上標籤的快訊。
3. 依序按一下 more_vert 「快訊選項」和「管理標記」。
4. 在「管理標記」對話方塊中，輸入標記名稱並按下 Enter 鍵，或從清單中選取標記並按一下「新增」。

注意：建立新標籤 (系統中尚未存在的標籤) 與附加現有標籤的權限，取決於您的特定使用者權限。

案件變更時的警示標記行為

在案件管理動作期間，手動指派的快訊層級標記仍會附加至特定快訊：

• 移動快訊：如果將快訊移至其他案件，手動指派給該快訊的所有標記都會一併移動。
• 合併案件：合併案件後，合併案件中的個別警示會保留手動指派的警示層級標記。

注意：警報層級標記僅適用於內建資訊主頁。 舊版報表不支援這些屬性。

設定代碼

匯入代碼

如要匯入代碼，請按照下列步驟操作：

1. 依序前往「SOAR 設定」>「案件資料」>「標記」。
2. 按一下 vertical_align_bottom 「下載範本」。CSV 檔案會顯示必要的代碼匯入結構。
3. 輸入代碼資訊。
4. 按一下「登入」 匯入。匯入的代碼應會顯示在平台中。

注意：「已指派的標記」和「搜尋名稱」之間是多對多關係。也就是說，一個「指派的標籤」可與多個「搜尋名稱」建立關聯，而一個「搜尋名稱」也可與多個「指派的標籤」建立關聯。舉例來說，如果 SIEM 將警報標記為「資料外洩」或「Symantec DLP - Financial Information - Network」，Google SecOps 就會為這些警報指派相同的「DLP」標記。

從自動完成功能中移除標記

如要避免自動完成建議顯示標記，請從案件資料設定的「標記」表格中移除標記。

1. 依序前往「SOAR Settings」>「Case Data」>「Tags」。
2. 在表格中找到標記，然後依序點選「刪除」「刪除」。

注意：從「標記」表格中刪除標記後，系統會將其從自動完成建議中移除，但不會從已套用該標記的案件或快訊中移除。

建立自動標記規則

如要建立規則，根據特定條件自動將標記指派給傳入的快訊，請按照下列步驟操作：

1. 依序前往「SOAR 設定」>「案件資料」>「標記」。
2. 按一下「新增」 「新增代碼」。
3. 在「代碼名稱」欄位中，輸入代碼名稱。
4. 從「實體」、「產品」、「規則產生器」和「供應商」中選取比對來源。
5. 從選單中選擇限定符，定義值的比對方式：
• 包含
• exact
• 開頭為
• 結尾為
6. 選取特定實體或產品來源。視需要輸入適當的「屬性」和「值」。你也可以選取「產品」、「規則產生器」或「供應商」。
7. 選取代碼的優先順序。
   注意：Google SecOps 會合併優先順序與其他快訊、實體和事件，因此這裡的優先順序並非絕對值。
8. 選用：如要，請選取「可以是案件名稱」。選取這個選項後，如果標記符合條件，系統就會將其指派為案件標題。
9. 按一下 [儲存]。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。