管理案件

支援的服務：

本文將說明您可以對案件執行的各種操作，包括更新狀態或優先順序、管理相關警告、產生報表，以及執行個別或大量操作，簡化案件處理流程。

將案件標示為重要

如要醒目顯示案件，可以將案件標示為重要。您也可以在同一個選單中移除「重要」標記。

如要將案件標示為重要，請按照下列步驟操作：

  • 按一下「format_list_bulleted 案件動作」，選取要標記的案件，然後選取「標示為重要」。案件旁會顯示黃色 arrow_drop_up。

將案件標示為事件

如果指派給你的案件很緊急，需要立即處理，請將案件標示為「事件」。系統會自動執行以下動作：

  • 將案件優先順序設為「重大」
  • 將案件階段變更為「事件」
  • 將案件指派給資安營運中心經理
  • 傳送通知給所有分析人員

如要將案件標示為事件，請按照下列步驟操作：

  1. 在「Cases」(案件) 頁面中，前往相關案件。
  2. 按一下 format_list_bulleted 「Case Actions」(案件動作)，然後選取「Incident」(事件)。
  3. 在「Confirmation」(確認) 對話方塊中，按一下「Yes」(是)。頁面會重新整理，新的事件會顯示在案件清單中，並附有事件圖示和紅色重大側欄。案件會自動指派給具備資安營運中心管理員角色的使用者。

變更案件階段

如果案件指派給您，您可以根據團隊的工作流程更新案件階段。

如要變更案件階段，請按照下列步驟操作：

  1. 從佇列中選取案件。
  2. 按一下「format_list_bulleted 案件動作」 format_list_bulleted ，然後選取「階段」。
  3. 選取下列其中一個階段：
    • 分類：案件建立時的初始階段。這是預設選項。
    • 評估：案件會提報至下一層級進行評估。
    • 調查：案件已指派給快訊和實體的主動調查。
    • 改善：案件已標記為需要修正 SOC 偵測規則或後續審查。
    • 研究：案件會指派給更深入的調查，以瞭解貴組織的外部存取或威脅行為。
    • 事件：重大事件的最終案件階段。選取「事件」後，即無法變更。
  4. 按一下「儲存」。

變更案件優先順序

如要變更案件優先順序，請按照下列步驟操作：

  1. 從佇列中選取案件。
  2. 按一下 format_list_bulleted 「Case Actions」(案件動作)，然後選取「Priority」(優先順序)。
  3. 請選擇下列其中一個等級，每個等級都有對應的案件顏色指標：
    • 提醒 (灰色)
    • 低 (藍色)
    • 中 (黃色)
    • 高 (橘色)
    • 重大 (紅色)
  4. 按一下 [確定]。案件優先順序已變更。
  5. 選用：按一下色票，即可變更案件列顏色。

下載案件報告

您可以下載 DOC、XLSX 或 CSV 格式的案件報告。報表包含下列詳細資料：

  • 案件詳細資料
  • 警告、實體和深入分析
  • 使用者和系統活動
  • 應對手冊動作和案件活動
  • 案件牆中包含的所有項目

如要下載報表，請按照下列步驟操作：

  1. 從佇列中選取案件。
  2. 按一下 format_list_bulleted 「案件動作」，然後選取「檢舉」。
  3. 在「選取報表類型」對話方塊中，選取檔案類型，然後按一下「選取」。
  4. 開啟下載的檔案即可查看報表。

管理案件中的警告

如要管理案件中的特定快訊，請按照下列步驟操作：

  1. 在「快訊選項」選單 (位於舊版介面的「快訊」分頁，或新版介面的快訊詳細資料導覽匣/畫布中)，按一下 more_vert「快訊選項」。
  2. 選取其中一個可用選項：
    • 探索快訊：如要進一步瞭解「快訊結果」頁面，請按一下「調查快訊」。
    • 擷取警告做為測試案例：點選「擷取警告做為測試案例」，在系統中新增測試案例。系統會將其標示為「測試案例」，以便識別。擷取的警告不會顯示在資訊主頁和報表中，也不會與其他警告分組。
    • 變更優先順序：建議您變更快訊的優先順序，而非案件的優先順序。變更警告優先順序不會影響案件的優先順序。詳情請參閱「變更警告優先順序，而非案件優先順序」。
    • 移動警告：如果獲派的案件有多個警告，可以將警告移至新案件或將警告移至現有案件。如果選取「將警告移至現有案件」，請從選單中選擇目的地案件，然後按一下「移動」。
    • 管理警告偵測規則：僅適用於 Google Security Operations 使用者。
      • 如果規則是預先定義的 Google SecOps 規則，系統會將您重新導向至「規則偵測」頁面。詳情請參閱「在『規則偵測』檢視畫面中篩選資料」。
      • 如果規則是客戶規則，系統會將您重新導向至「規則編輯器」頁面。詳情請參閱「使用規則編輯器管理規則」。
      • 關閉警告：關閉案件中的警告。從「原因」、「根本原因」或「實用性」欄位中選取值。
        • 「實用性」欄位僅適用於 Google SecOps 使用者，可協助規則分析師根據客戶輸入內容，取得更精確的警告規則意見回饋。
        • 案件中已關閉的快訊會顯示為無法使用，並加上「已關閉」標記。只有在案件中還有其他快訊，且案件已指派給您時，才能關閉快訊。
      • 新增實體：手動將現有或新的實體新增至快訊。

在案件中執行手動動作

從內容中心安裝對應的整合項目後，即可使用手動動作和應對手冊動作。

如要在案件中執行手動動作，請按照下列步驟操作：

  1. 在所選案件中，按一下「manualactionicon 手動處置」。
  2. 在「手動動作」對話方塊中，選取所需動作。例如，依序選取「VirusTotalV3」>「Enrich URL」。輸入必要資訊。
  3. 選取要套用動作的快訊和實體。
  4. 按一下「執行」，案件牆就會顯示動作詳細資料。

在 Google SecOps 中模擬案件

您可以模擬案件，並填入系統產生的預設警告。模擬案件適用於測試環境或示範。

您也可以建立自訂案例，或使用後置字串為「.CASE」的檔案，匯入 JSON 格式的現有案例。

如要模擬案件，請按照下列步驟操作：

  1. 在「案件佇列」標題中，按一下「新增案件」圖示 ，然後選取「模擬案件」。
  2. 在「Simulate Cases」對話方塊中，從清單中選取案件。
  3. 按一下 [Create] (建立)。

新建客服案件

如要建立新的模擬案件，請按照下列步驟操作：

  1. 在「Simulate Cases」(模擬案件) 對話方塊中，按一下 「Add or import case」(新增或匯入案件)，然後點選「Add New Case」(新增案件)。
  2. 在「Add New Case」對話方塊中，輸入「Source/SIEM Name」、「Rule Name」(規則產生器)、「Alert Product」、「Alert Name」、「事件名稱」
  3. 您也可以視需要提供：
    • 其他快訊欄位
    • 更多事件欄位
  4. 按一下 [儲存]。案件會顯示在「模擬案件」清單中。
  5. 選取新建立的案件，然後按一下「建立」。
  6. 選取目標環境，然後按一下「模擬」。新案件會顯示在佇列中。

將案件匯入 JSON 檔案

如要將案件匯入 JSON 檔案，請按照下列步驟操作：

  1. 在「模擬案件」對話方塊中，依序點選 「新增或匯入案件」和「匯入案件」。
  2. 選取所需案件，然後按一下「開啟」。案件會以 JSON 格式匯入。

對多個案件執行批次操作

您可以在案件佇列或「搜尋」頁面，對多個案件執行批次操作。

可用的批次操作包括：

  • 匯出為 CSV：以 CSV 格式下載所選案件和中繼資料的清單，方便離線查看或製作報表。
  • 關閉案件：您可以透過各種介面選項關閉案件，包括案件詳細資料頁面、案件佇列 (並排和清單檢視) 和「搜尋」頁面。案件解決後，即可結案。
  • 重新開啟案件：重新開啟先前已結案的案件，繼續調查或採取後續行動。
  • 變更優先順序：更新所選案件的優先順序 (低、中、高或重大)，反映緊急或嚴重程度。
  • 指派案件：將案件指派給特定使用者或群組，以便進一步調查。
  • 新增標記：為選取的案件套用一或多個標記，以便篩選、分類或套用自動化規則。
  • 合併案件：將多個相關案件合併為單一案件，減少重複並集中調查。
  • 變更階段：更新所選案件的階段，反映進度或狀態。

如要執行批次動作，請按照下列步驟操作：

  1. 前往「調查」，然後點選「SOAR 搜尋」(或前往「案件」頁面的案件佇列)。
  2. 選取相關案件的時間範圍。
  3. 使用所需篩選器選取案件。
  4. 勾選核取方塊，套用相關篩選條件 >「套用」。
  5. 在「結果」清單中，勾選要修改的案件。
  6. 從「搜尋結果」選單中選取動作。

快速操作

您可以使用「快速操作」小工具定義可重複使用的動作，並直接從案件和警告執行。無論是舊版或強化版體驗，您都可以在應對手冊中，將這個小工具新增至案件檢視畫面、警告檢視畫面和自訂快訊檢視畫面。

您可以視需要定義快速操作的參數。如有提供，您可以在執行前查看及修改。如果留空，則必須在執行階段填寫參數。

如果在設定快速操作後移除整合，對應的「快速操作」按鈕會隱藏，且小工具會在設定檢視畫面中標示，表示缺少整合。

如需設定操作說明，請參閱下列文章：

用途：設定快速操作，調查惡意檔案

這個用途說明如何建立快速操作，協助調查案件中可能惡意的檔案。

新增「快速操作」小工具

  1. 依序前往「設定」>「調查」>「檢視畫面」。
  2. 選取「預設案件檢視畫面」。
  3. 選取「一般」分頁標籤。
  4. 將「快速操作」小工具拖曳到「預設案件檢視」。

設定小工具

  1. 按一下「設定」「設定」。
  2. 在「快速操作」側邊導覽匣中，輸入 File Investigation 做為小工具標題。
  3. 在小工具說明中輸入 Quickly scan file hashes.
  4. 選用：選擇小工具寬度。
  5. 按一下 [進階設定]。
  6. 在「條件」部分，定義顯示小工具的條件。如要只在案件標記 malicious-file 時顯示小工具，請使用條件 Case.Tags 包含 malicious-file。

新增「掃描雜湊」按鈕

  1. 在「文字」中，您可以直接在小工具中提供指示或背景資訊。在這個用途中，請新增下列文字：Use the 'Scan Hash' button to check suspicious files.
  2. 在「Buttons」中，按一下「+ Add New Button」，建立新的快速操作。最多可新增六個按鈕，每個按鈕對應不同的快速操作。
  3. 在隨即顯示的「Add Button」對話方塊中，設定快速操作 (Scan Hash)：
    • Name: Scan Hash
    • 按鈕顏色：選擇顏色。
    • 動作：在「動作」清單的「VirusTotal」部分中，選取「掃描雜湊」。
    • 選用：選擇 VirusTotal 的相關執行個體。
    • 選用：在「參數」中定義「雜湊」參數：
      雜湊：[Case.FileHash]
  4. 在「Add Button」對話方塊中，按一下「Close」。
  5. 在「快速操作」側邊導覽匣中，按一下「儲存」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。