Active Directory in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Active Directory in Google Security Operations einbinden.

Anwendungsfälle

Bei der Active Directory-Integration werden Google SecOps-Funktionen für die folgenden Anwendungsfälle verwendet:

  • Nutzer aktivieren und deaktivieren:Deaktivieren Sie ein potenziell kompromittiertes Nutzerkonto, um weiteren unbefugten Zugriff zu verhindern.

  • Passwörter zurücksetzen:Das Nutzerpasswort wird automatisch in Active Directory zurückgesetzt und der Nutzer wird über die Änderung benachrichtigt.

  • Gruppen verwalten:Fügen Sie den entsprechenden Sicherheitsgruppen basierend auf der Rolle der Nutzer neue Nutzer hinzu und sorgen Sie dafür, dass die Nutzer die richtigen Zugriffsberechtigungen haben.

  • Nutzerinformationen abrufen:Rufen Sie Nutzerdetails wie Gruppenmitgliedschaften, den Zeitpunkt der letzten Anmeldung und Kontaktdaten für ein bestimmtes Nutzerkonto ab.

  • Offboarding automatisieren:Konten deaktivieren, aus Gruppen entfernen und Dateieigentümerschaft übertragen, wenn ein Mitarbeiter ausscheidet.

Hinweis

Bevor Sie die Active Directory-Integration in Google SecOps konfigurieren, müssen Sie prüfen, ob Ihre Netzwerkumgebung, Active Directory Domain Services (AD DS) und Dienstkontoanmeldedaten alle betrieblichen Voraussetzungen erfüllen.

So bereiten Sie Ihre Umgebung für die Integration vor:

  1. Netzwerkverbindung und DNS-Auflösung zwischen Ihrer Google SecOps-Instanz (oder dem Remote Agent) und Ihren Active Directory-Domaincontrollern prüfen.

  2. Wenn Sie eine Verbindung über LDAPS (Port 636) herstellen (für das Zurücksetzen von Passwörtern erforderlich), müssen Sie Verzeichniszertifikate konfigurieren. Wenn Sie eine interne Zertifizierungsstelle (Certificate Authority, CA) verwenden, halten Sie Ihr Stamm- oder Zwischen-CA-Zertifikat für die Base64-Codierung bereit.

  3. Erstellen Sie ein dediziertes Active Directory-Dienstkonto, das dem Prinzip der geringsten Berechtigung (Principle of Least Privilege, PoLP) entspricht.

  4. Sehen Sie sich die Berechtigungen für erforderliche Aktionen an, um die Attribute und Zugriffsrechte zu ermitteln, die für die jeweiligen Playbooks erforderlich sind, die Sie ausführen möchten.

  5. Delegieren Sie Berechtigungen für die Zielorganisationseinheiten (OUs) mit Active Directory-Nutzern und -Computern (ADUC) oder PowerShell (dsacls). Achten Sie darauf, dass das Dienstkonto expliziten Lese- und Schreibzugriff auf das Attribut userAccountControl hat.

Netzwerk- und DNS-Anforderungen

Google SecOps kommuniziert direkt mit Active Directory-Domänencontrollern über das Lightweight Directory Access Protocol (LDAP oder LDAPS) über TCP.

Ihre Netzwerkumgebung muss die folgenden Verbindungsregeln erfüllen:

  • Portverbindung: Achten Sie darauf, dass Ihre Netzwerkfirewalls und Ihr Routing die ausgehende Kommunikation von Google SecOps (oder Ihrem Remote Agent) zu Ihren Active Directory-Domaincontrollern über die folgenden Ports zulassen:

    • LDAP (Standard): Offener Port 389/TCP für unverschlüsselte LDAP-Kommunikation.
    • LDAPS (empfohlen – für Passwörter erforderlich): Öffnen Sie den Port 636/TCP (oder Ihren benutzerdefinierten SSL/TLS-Port). LDAPS ist für verschlüsselten Verzeichnisverkehr erforderlich und für Aktionen zur Passwortänderung wie Nutzerpasswort festlegen obligatorisch.

  • DNS- und Hostnamensauflösung: Active Directory erfordert eine genaue Hostnamensauflösung, die mit SSL/TLS-Zertifikaten und Verzeichnisdienstbindungen übereinstimmt. Wenn Ihre Domain durch einen voll qualifizierten DNS-Namen über Ihre interne DNS-Einrichtung aufgelöst wird, ist keine zusätzliche Hostkonfiguration erforderlich. Wenn die DNS-Auflösung in Ihrem Remote-Agent-Container-Image nicht verfügbar ist, konfigurieren Sie die Datei /etc/hosts.

/etc/hosts-Datei konfigurieren

Active Directory erfordert eine genaue Hostnamensauflösung, die mit SSL/TLS-Zertifikaten und Verzeichnisdienstbindungen übereinstimmt. Wenn Ihr Remote-Agent den Active Directory-Domaincontroller nicht über DNS auflösen kann, ordnen Sie den Host manuell zu.

So konfigurieren Sie die Datei /etc/hosts:

  1. Öffnen Sie /etc/hosts in einem Texteditor mit Administratorberechtigungen:

    sudo vi /etc/hosts

  2. Fügen Sie einen Eintrag hinzu, der die IP-Adresse des Domaincontrollers seinem vollqualifizierten Domainnamen (FQDN) zuordnet:

    192.0.2.195 dc01.example.local

  3. Speichern und schließen Sie die Datei.

Wenn Sie kein CA-Zertifikat für die Integration benötigen, fahren Sie mit der Konfiguration der Authentifizierungs- und Dienstkontoanforderungen fort. Andernfalls konfigurieren Sie Ihr CA-Zertifikat.

(Optional) CA-Zertifikat konfigurieren

Wenn Sie über LDAPS (Port 636) eine Verbindung mit Zertifikaten herstellen, die von einer privaten oder internen Zertifizierungsstelle ausgestellt wurden, geben Sie bei der Einrichtung den base64-codierten Zertifikatsstring an, um eine vertrauenswürdige TLS-Verbindung herzustellen.

Führen Sie die folgenden Schritte aus, um das CA-Zertifikat zu konfigurieren und hochzuladen:

  1. Codieren Sie Ihre PEM-formatierte Zertifikatsdatei:

    • Linux: bash base64 -w 0 mycert.crt

    • macOS: bash base64 -i mycert.crt

  2. Kopieren Sie den vollständigen Ausgabestring (einschließlich codierter Header) und fügen Sie ihn in das Feld CA Certificate File – parsed into Base64 String in der Integrationskonfiguration von Google SecOps ein.

  3. Legen Sie den Parameter Server auf den FQDN des Domaincontrollers (nicht auf seine IP-Adresse) fest, damit der Hostname mit dem allgemeinen Namen (Common Name, CN) oder dem alternativen Antragstellernamen (Subject Alternative Name, SAN) im Zertifikat übereinstimmt.

  4. Klicken Sie auf Testen, um den TLS-Handshake zu validieren.

Anforderungen an die Authentifizierung und Dienstkonten

Bei der Active Directory-Integration erfolgt die Authentifizierung mit standardmäßigen AD DS-Anmeldedaten.

Achten Sie darauf, dass Ihre Authentifizierungseinrichtung den folgenden Sicherheitsrichtlinien entspricht:

  • Dediziertes Dienstkonto: Erstellen Sie ein dediziertes Dienstkonto (z. B. svc_secops_ad) speziell für automatisierte Google SecOps-Playbooks. Verwenden Sie keine interaktiven Nutzerkonten oder integrierten Domainadministratorkonten.

  • Nutzername: Der Nutzername kann als User Principal Name (UPN) (z. B. svc_secops@example.local) oder als Down-Level Logon Name (EXAMPLE\svc_secops) angegeben werden.

  • PoLP: Fügen Sie das Dienstkonto nicht privilegierten integrierten Gruppen wie Domain Admins, Enterprise Admins oder Account Operators hinzu. Gewähren Sie stattdessen detaillierte Berechtigungen für bestimmte Organisationseinheiten, in denen sich Nutzer-, Computer- oder Gruppenobjekte befinden.

Aktionsberechtigungen konfigurieren (geringste Berechtigung)

Gewähren Sie dem authentifizierenden Dienstkonto die spezifischen Active Directory-Berechtigungen und den LDAP-Attributzugriff, die für die Aktionen erforderlich sind, die von Ihren Playbooks ausgeführt werden.

In der folgenden Tabelle finden Sie die Mindestberechtigungen für Active Directory-Aktionen:

Aktionsname Erforderliche AD DS-Berechtigung / erweitertes Recht Zielobjektklasse Beschreibung / Attributbereich
Ping Read Property Nutzer, Domainwurzel Fragt das konfigurierte Dienstkontoobjekt (sAMAccountName, userPrincipalName, mail) ab, um die Verzeichnisverbindung und die Anmeldedaten zu validieren.
Entitäten anreichern
  • List Contents
  • Read Property (Zielattribute: userAccountControl, sAMAccountName, mail, memberOf, lockoutTime, pwdLastSet)
 Nutzer, Computer, Gruppe Fragt Nutzer- und Computerattribute ab und löst verschachtelte Gruppenmitgliedschaften auf. Erfordert Read Property auf userAccountControl, um Fehler durch Null-Indexierung zu vermeiden.
Konto deaktivieren
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 Nutzer Liest und legt das ACCOUNTDISABLE-Flag (0x0002) für das Zielnutzerobjekt fest.
Konto aktivieren
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 Nutzer Liest und entfernt das ACCOUNTDISABLE-Flag (0x0002) für das Zielnutzerobjekt.
Computer deaktivieren
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 Computer Liest und legt das ACCOUNTDISABLE-Flag für das Zielcomputerobjekt fest.
Computer aktivieren
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 Computer Liest und löscht das ACCOUNTDISABLE-Flag für das Zielcomputerobjekt.
Gesperrtes Konto entsperren Write Property: lockoutTime Nutzer Legt das Attribut lockoutTime auf 0 fest, um ein gesperrtes Nutzerkonto zu entsperren.
Passwortaktualisierung erzwingen Write Property: pwdLastSet Nutzer Legt das Attribut pwdLastSet auf 0 fest, damit der Nutzer bei der nächsten Anmeldung sein Passwort ändern muss.
Nutzerpasswort festlegen
  • Erweitertes Recht: Reset Password (User-Force-Change-Password)
  • (Optional) Write Property: unicodePwd
 Nutzer Setzt das Passwort des Zielnutzers zurück. Erfordert LDAPS (Port 636) oder StartTLS.
Nutzer zur Gruppe hinzufügen
  • Read Property: member
  • Write Property: member
 Gruppe Fügt den Distinguished Name (distinguishedName) des Zielnutzers dem Attribut member der Gruppe hinzu.
Nutzer aus Gruppe entfernen
  • Read Property: member
  • Write Property: member
 Gruppe Entfernt den Distinguished Name (distinguishedName) des Zielnutzers aus dem Attribut member der Gruppe.
Nutzer-Organisationseinheit ändern
  • Delete Child Object (Nutzer) in der Quell-OE
  • Create Child Object (Nutzer) in der Ziel-OE
  • Write Property: name, distinguishedName
 Organisationseinheit (OE), Nutzer Verschiebt Nutzerobjekte zwischen Organisationseinheiten mit LDAP modify_dn.
Host-OE ändern
  • Delete Child Object (Computer) in der Quellorganisationseinheit
  • Create Child Object (Computer) in der Ziel-OE
  • Write Property: name, distinguishedName
 Organisationseinheit (OE), Computer Verschiebt Computerobjekte zwischen Organisationseinheiten mit LDAP modify_dn.
Attribute eines AD-Nutzers aktualisieren Write Property für Zielattribute wie mail, title, department, telephoneNumber, description oder manager Nutzer Ändert die angegebenen Attributwerte für das Zielnutzerobjekt.
Attribute eines AD-Hosts aktualisieren Write Property für Zielattribute wie description oder location Computer Ändert die angegebenen Attributwerte für das Zielcomputerobjekt.
Gruppenmitglieder abrufen
  • List Contents
  • Read Property: member, sAMAccountName, distinguishedName
 Gruppe, Nutzer, Computer Fragt die Gruppenmitgliedschaft und Attribute von Mitgliedskonten ab.
Kontaktdaten des Managers abrufen
  • Read Property: manager
  • Read Property: mail, displayName, telephoneNumber, title
 Nutzer Liest das Attribut manager aus dem Zielnutzerobjekt und ruft die Kontaktdaten des Managers ab.
Is User In Group (Nutzer ist in Gruppe)
  • Read Property: memberOf, sAMAccountName
 Nutzer, Gruppe Prüft, ob ein Nutzerkonto zur angegebenen Sicherheits- oder Verteilergruppe gehört.
Nutzergruppen auflisten
  • Read Property: memberOf, sAMAccountName
 Nutzer, Gruppe Gibt die Liste aller Gruppen zurück, die dem angegebenen Nutzerkonto zugewiesen sind.
Active Directory durchsuchen
  • List Contents
  • Read Property für abgefragte Attribute
 Nutzer, Computer, Gruppe, OE Führt benutzerdefinierte LDAP-Filterabfragen für den Verzeichnis-Subtree aus.

Berechtigungen in Active Directory delegieren

Wenn Sie das Prinzip der geringsten Berechtigung ohne umfassende Administratorrechte durchsetzen möchten, verwenden Sie ADUC oder PowerShell und dsacls, um Berechtigungen für Zielorganisationseinheiten mit standardmäßigen Active Directory-Verwaltungstools zu delegieren.

Steuerung mit ADUC delegieren

Wenn Sie lieber eine grafische Benutzeroberfläche verwenden möchten, können Sie objekt- und eigenschaftsspezifische Berechtigungen mit dem Assistenten zur Delegierung der Steuerung in ADUC delegieren.

Führen Sie den Assistenten in der Zielorganisationseinheit aus, um die spezifischen Objekt- und Berechtigungseigenschaften zu gewähren, die für die Kontoverwaltung erforderlich sind, z. B. zum Lesen und Schreiben von Kontosteuerungsflags, zum Zurücksetzen von Passwörtern und zum Entsperren von Konten.

Eine detaillierte Anleitung zum Ausführen des Assistenten finden Sie in der Microsoft-Dokumentation unter Delegation of Control in AD DS on Windows Server.

Steuerung mit PowerShell und dsacls delegieren

Wenn Sie lieber die Befehlszeile verwenden oder die Zuweisung von Berechtigungen automatisieren und per Script ausführen möchten, verwenden Sie PowerShell zusammen mit dem integrierten dsacls.exe-Befehlszeilentool.

Führen Sie die folgenden Befehlsbeispiele auf einer Administrator-Workstation oder einem Domaincontroller aus und ersetzen Sie dabei Ihre Zielorganisationseinheit und den Namen des Dienstkontos:

  • Lese- und Schreibzugriff für userAccountControl gewähren (Nutzerkonten deaktivieren/aktivieren und Anreicherungsfehler verhindern): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;user"
  • Lese- und Schreibberechtigung für userAccountControl für Computerobjekte erteilen (Computer deaktivieren/aktivieren): powershell dsacls.exe "OU=Computers,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;computer"
  • Berechtigungen zum Entsperren von Konten erteilen (lockoutTime): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:WP;lockoutTime;user"
  • Berechtigungen zum Erzwingen von Passwortänderungen erteilen (pwdLastSet): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:WP;pwdLastSet;user"
  • Rechte zum Zurücksetzen des Passworts gewähren (erweitertes Recht Reset Password): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:CA;Reset Password;user"
  • Berechtigungen zum Ändern der Mitgliedschaft für eine Sicherheitsgruppe gewähren: powershell dsacls.exe "CN=SecOps-Quarantine,OU=Groups,DC=example,DC=local" /G "EXAMPLE\svc_secops_ad:RPWP;member;group"

Weitere Informationen zur Syntax und zu Parameterschaltern finden Sie in der Microsoft-Dokumentation zu dsacls.

Integrationsparameter

Für die Active Directory-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Server

Erforderlich.

Der Hostname, DNS-Name oder die IP-Adresse des Active Directory-Servers. Die Integration kommuniziert über das LDAP-Protokoll.

Wenn Sie einen benutzerdefinierten Port verwenden möchten, hängen Sie ihn an die Adresse an (z. B. mydomain.com:636).

Standardmäßig wird bei aktivierter SSL/TLS-Verschlüsselung Port 636 und bei deaktivierter SSL/TLS-Verschlüsselung Port 389 verwendet.
Username

Erforderlich.

Die E-Mail-Adresse des Nutzers, der mit Active Directory verbunden werden soll, z. B. user@example.com.

Für diesen Parameter kann auch das Attribut userPrincipalName verwendet werden.
Domain

Erforderlich.

Der vollständige DNS-Pfad zu Ihrer Domain im Netzwerk-Namespace.

Geben Sie zur Konfiguration dieses Parameters den vollqualifizierten Domainnamen (Fully Qualified Domain Name, FQDN) Ihrer Domain im folgenden Format ein: SUBDOMAIN.ROOT_DOMAIN.

Wenn Ihre interne Active Directory-Domain beispielsweise example.local ist, lautet der einzugebende FQDN example.local. Wenn Ihre interne Active Directory-Domain corp.example.com ist, lautet der einzugebende FQDN corp.example.com.
Password

Erforderlich.

Das Passwort für das Nutzerkonto.
Custom Query Fields

Optional.

Benutzerdefinierte Felder der Active Directory-Integration, z. B. customField1, customField2.
CA Certificate File - parsed into Base64 String

Optional.

Der in das Base64-Format codierte String der CA-Zertifikatsdatei, den Sie bei der Konfiguration des CA-Zertifikats erhalten haben. Geben Sie zum Konfigurieren dieses Parameters den vollständigen BASE64_ENCODED_CERTIFICATE_STRING-Wert ein.
Use SSL

Optional.

Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Active Directory-Server validiert.

Bei Auswahl wird für die Integration das sichere LDAPS (Port 636) verwendet. Wenn nicht ausgewählt, wird standardmäßiges LDAP (Port 389) verwendet.

Diese Option ist standardmäßig nicht ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen über „Mein Arbeitsbereich“ bearbeiten und Manuelle Maßnahme ausführen.

Nutzer einer Gruppe hinzufügen

Mit der Aktion Nutzer zu Gruppe hinzufügen können Sie Nutzer zu Gruppen hinzufügen.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Nutzer zur Gruppe hinzufügen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Group Name

Erforderlich.

Eine durch Kommas getrennte Liste der Gruppen, denen Nutzer hinzugefügt werden sollen.

Aktionsausgaben

Die Aktion Nutzer zu Gruppe hinzufügen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Nutzer zur Gruppe hinzufügen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully added the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID

The following users were already a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID

Action wasn't able to add the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID

No users were added to the group "GROUP_NAME" in Active Directory.

No users were added to the provided groups in Active Directory.

 Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Add User to Group". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle finden Sie den Wert für die Ausgabe des Skriptergebnisses, wenn Sie die Aktion Nutzer der Gruppe hinzufügen verwenden:

Name des Scriptergebnisses Wert
is_success True oder False

Host-OE ändern

Mit der Aktion Host-OE ändern können Sie die OE eines Hosts ändern.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Für die Aktion Change Host OU sind die folgenden Parameter erforderlich:

Parameter Beschreibung
OU Name

Erforderlich.

Der Name der neuen Organisationseinheit für Nutzer.

Aktionsausgaben

Die Aktion Host-Organisationseinheit ändern liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Change Host OU (Organisationseinheit des Hosts ändern) aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Nutzer-OE ändern

Mit der Aktion Nutzer-OE ändern können Sie die OE eines Nutzers ändern.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Change User OU sind die folgenden Parameter erforderlich:

Parameter Beschreibung
OU Name

Erforderlich.

Der Name der neuen Organisationseinheit für Nutzer.

Aktionsausgaben

Die Aktion Change User OU (Organisationseinheit des Nutzers ändern) liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle finden Sie den Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Change User OU (Organisationseinheit des Nutzers ändern):

Name des Scriptergebnisses Wert
is_success True oder False

Konto deaktivieren

Verwenden Sie die Aktion Konto deaktivieren, um ein Nutzerkonto zu deaktivieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Konto deaktivieren liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Konto deaktivieren verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Computer deaktivieren

Mit der Aktion Computer deaktivieren können Sie ein Computerkonto deaktivieren.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Computer deaktivieren bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Computer deaktivieren verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Konto aktivieren

Verwenden Sie die Aktion Konto aktivieren, um ein Nutzerkonto zu aktivieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Konto aktivieren liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Skriptergebnis-Ausgabe bei Verwendung der Aktion Konto aktivieren aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Computer aktivieren

Verwenden Sie die Aktion Computer aktivieren, um ein Computerkonto zu aktivieren.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Computer aktivieren bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Computer aktivieren verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Entitäten anreichern

Verwenden Sie die Aktion Enrich Entities (Entitäten anreichern), um die Entitäten Hostname oder Username mit Active Directory-Properties anzureichern.

Diese Aktion ist asynchron. Passen Sie bei Bedarf den Zeitüberschreitungswert für das Script in der Google SecOps IDE für die Aktion an.

Die Aktion Entitäten anreichern wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • User
  • Hostname

Aktionseingaben

Für die Aktion Enrich Entities sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mark entities as internal

Erforderlich.

Wenn diese Option ausgewählt ist, werden die erfolgreich angereicherten Einheiten automatisch als interne Einheiten markiert.
Specific Attribute Names To Enrich With

Optional.

Eine durch Kommas getrennte Liste von Attributnamen, mit denen die Einheiten angereichert werden sollen.

Wenn Sie keinen Wert festlegen, werden Entitäten durch die Aktion mit allen verfügbaren Attributen angereichert. Wenn ein Attribut mehrere Werte enthält, werden alle verfügbaren Werte hinzugefügt.

Bei diesem Parameter wird zwischen Groß- und Kleinschreibung unterschieden.
Should Case Wall table be filtered by the specified attributes?

Optional.

Wenn diese Option ausgewählt ist, werden in der Tabelle des Fall-Repositorys nur Attribute angezeigt, die Sie im Parameterwert Specific Attribute Names To Enrich With angegeben haben.

Diese Option ist standardmäßig nicht ausgewählt.
Should JSON result be filtered by the specified attributes?

Optional.

Wenn diese Option ausgewählt ist, werden im JSON-Ergebnis nur Attribute zurückgegeben, die Sie im Parameterwert Specific Attribute Names To Enrich With angegeben haben.

Diese Option ist standardmäßig nicht ausgewählt.
Connection Timeout

Optional.

Zeitlimit für Netzwerkverbindungen in Sekunden.

Der Standardwert ist 10.
Receive Timeout

Optional.

Zeitlimit für den Netzwerkempfang in Sekunden.

Der Standardwert ist 60.

Aktionsausgaben

Die Aktion Enrich Entities (Entitäten anreichern) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Tabelle zur Anreicherung von Rechtssubjekten Verfügbar
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
Entitätsanreicherung

Die Aktion Entitäten anreichern unterstützt die folgenden Entitätenanreicherungen:

Name des Anreicherungsfelds Logik
AD_primaryGroupID Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_logonCount Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_cn Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_countryCode Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectClass Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_userPrincipalName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_adminCount Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lastLogonTimestamp Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_manager Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_instanceType Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_distinguishedName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_dSCorePropagationData Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_msDS-SupportedEncryptionTypes Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectSid Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_whenCreated Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_uSNCreated Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lockoutTime Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_badPasswordTime Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_pwdLastSet Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectCategory Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lastLogon Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectGUID Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_whenChanged Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_badPwdCount Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_accountExpires Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_displayName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_name Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_memberOf Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_codePage Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_userAccountControl Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountType Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_uSNChanged Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_sn Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_givenName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lastLogoff Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Enrich Entities (Entitäten anreichern) empfangen wird:

[
    {
        "EntityResult": {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["user@example.com"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example user"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"
                          ]},
        "Entity": "user@example.com"
    }
]
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Enrich Entities (Entitäten anreichern) verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Passwortaktualisierung erzwingen

Mit der Aktion Passwortaktualisierung erzwingen können Sie festlegen, dass ein Nutzer sein Passwort bei der nächsten Anmeldung ändern muss.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Passwortaktualisierung erzwingen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Passwortaktualisierung erzwingen verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Gruppenmitglieder abrufen

Mit der Aktion Get Group Members (Gruppenmitglieder abrufen) können Sie die Mitglieder einer angegebenen Active Directory-Gruppe abrufen.

Diese Aktion unterstützt das Abrufen von Nutzer- und Hostnamenmitgliedern sowie die Suche in verschachtelten Gruppen.

Aktionseingaben

Für die Aktion Get Group Members (Gruppenmitglieder abrufen) sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Group Name

Erforderlich.

Der Name der Gruppe, die die aufgeführten Mitglieder enthält.
Members Type

Erforderlich.

Der Mitgliedstyp der Gruppe.

Der Standardwert ist User.
Perform Nested Search

Optional.

Wenn diese Option ausgewählt ist, werden zusätzliche Details zu den Gruppen abgerufen, die Teil der Hauptgruppe sind.

Diese Option ist standardmäßig nicht ausgewählt.
Limit

Erforderlich.

Die maximale Anzahl der Einträge, die aus Active Directory abgerufen werden sollen.

Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Get Group Members (Gruppenmitglieder abrufen) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Group Members (Gruppenmitglieder abrufen) empfangen wird:

[
  {
    "cn":"Example User1",
    "displayName":"Example User1",
    "distinguishedName":"CN=Example User1,OU=User Accounts,DC=example,DC=local"
  },
  {
    "cn":"Example User2",
    "displayName":"Example User2",
    "distinguishedName":"CN=Example User2,CN=Users,DC=example,DC=local"
  },
  {
    "cn":"Example User3",
    "displayName":"Example User3",
    "distinguishedName":"CN=Example User3,CN=Users,DC=example,DC=local"
  }
]
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Get Group Members (Gruppenmitglieder abrufen) aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Kontaktdaten des Administrators abrufen

Verwenden Sie die Aktion Get Manager Contact Details (Kontaktdaten des Vorgesetzten abrufen), um die Kontaktdaten des Vorgesetzten aus Active Directory abzurufen.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Get Manager Contact Details (Kontaktdaten des Managers abrufen) liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Tabelle zur Anreicherung von Rechtssubjekten Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Entitätsanreicherung

Die Aktion Get Manager Contact Details (Kontaktdaten des Managers abrufen) unterstützt die folgenden Entitätsanreicherungen:

Name des Anreicherungsfelds Logik
AD_Manager_Name Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_Manager_phone Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_primaryGroupID Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_logonCount Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_cn Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_countryCode Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectClass Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_userPrincipalName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_adminCount Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lastLogonTimestamp Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_manager Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_instanceType Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_distinguishedName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_dSCorePropagationData Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_msDS-SupportedEncryptionTypes Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectSid Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_whenCreated Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_uSNCreated Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lockoutTime Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_badPasswordTime Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_pwdLastSet Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectCategory Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lastLogon Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_objectGUID Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_whenChanged Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_badPwdCount Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_accountExpires Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_displayName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_name Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_memberOf Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_codePage Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_userAccountControl Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountType Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_uSNChanged Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_sn Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_givenName Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
AD_lastLogoff Die Aktion gibt den Wert zurück, sofern er im JSON-Ergebnis vorhanden ist.
JSON-Ergebnis

Im folgenden Beispiel sehen Sie die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Get Manager Contact Details (Kontaktdaten des Managers abrufen) zurückgegeben wird:

[
   {
        "EntityResult":
        {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["user@example.com"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["{id}"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example"],
            "name": ["user"],
            "memberOf": ["CN= u05e7 u05d1 u05d5 u05e6 u05d4  u05d1 u05e2 u05d1 u05e8 u05d9 u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "user@example.com"
    }
]
Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

All entities were processed successfully.

Some entities were processed successfully and some weren't. Please check the action log for further information.

No entities were processed.

 Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Get Manager Contact Details". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get Manager Contact Details (Kontaktdaten des Managers abrufen) verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Nutzer ist in Gruppe

Mit der Aktion Nutzer ist Mitglied der Gruppe können Sie prüfen, ob der Nutzer Mitglied einer bestimmten Gruppe ist.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Nutzer ist Mitglied der Gruppe sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Group Name

Erforderlich.

Der Name der zu prüfenden Gruppe, z. B. administrators.

Aktionsausgaben

Die Aktion Is User in Group (Nutzer ist in Gruppe) gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Is User in Group (Nutzer ist Mitglied der Gruppe) empfangen wird:

[
    {
        "EntityResult": true,
        "Entity": "USER1@EXAMPLE.COM"
    }, {
        "EntityResult": false,
        "Entity": "USER2@EXAMPLE.COM"
    }, {
        "EntityResult": true,
        "Entity": "USER3@EXAMPLE.COM"
    }
]
Scriptergebnis

In der folgenden Tabelle finden Sie den Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Is User in Group (Ist Nutzer in Gruppe):

Name des Scriptergebnisses Wert
is_success True oder False

Nutzergruppen auflisten

Mit der Aktion List User Groups (Nutzergruppen auflisten) können Sie eine Liste aller in Active Directory verfügbaren Nutzergruppen abrufen.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Nutzergruppen auflisten gibt die folgenden Ausgaben zurück:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Nutzergruppen auflisten empfangen wird:

[
    {
        "EntityResult": ["Domain Users"],
        "Entity": "user@example.com"
    }
]
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzergruppen auflisten verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Active Directory zu testen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Scriptergebnisses Wert
is_success True oder False

Gesperrtes Konto freigeben

Verwenden Sie die Aktion Release Locked Account (Gesperrtes Konto entsperren), um ein gesperrtes Konto zu entsperren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Release Locked Account (Gesperrtes Konto entsperren) gibt Folgendes aus:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Release Locked Account verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Nutzer aus Gruppe entfernen

Mit der Aktion Nutzer aus Gruppe entfernen können Sie den Nutzer aus Gruppen entfernen.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Nutzer aus Gruppe entfernen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Group Name

Erforderlich.

Eine durch Kommas getrennte Liste der Gruppen, aus denen die Nutzer entfernt werden sollen.

Aktionsausgaben

Die Aktion Nutzer aus Gruppe entfernen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Nutzer aus Gruppe entfernen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully removed the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID

The following users were not a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID

Action wasn't able to remove the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID

No users were removed from the group "GROUP_NAME" in Active Directory.

No users were removed from the provided groups in Active Directory.

 Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Remove User From Group". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle finden Sie den Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Nutzer aus Gruppe entfernen:

Name des Scriptergebnisses Wert
is_success True oder False

Active Directory durchsuchen

Mit der Aktion Active Directory durchsuchen können Sie Active Directory mit einer angegebenen Abfrage durchsuchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Active Directory durchsuchen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Query String

Erforderlich.

Der Abfragestring, der in Active Directory ausgeführt werden soll.
Limit

Optional.

Die maximale Anzahl der Einträge, die aus Active Directory abgerufen werden sollen.

Aktionsausgaben

Die Aktion Active Directory durchsuchen liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Active Directory durchsuchen empfangen wird:

[
      {
        "primaryGroupID": [
          513
        ],
        "logonCount": [
          6505
        ],
        "cn": [
          "user name"
        ],
        "countryCode": [
          0
        ],
        "objectClass": [
          "top",
          "person",
          "organizationalPerson"
        ],
        "userPrincipalName": [
          "user@example.com"
        ],
        "adminCount": [
          1
        ],
        "lastLogonTimestamp": [
          "2019-01-09 08:42:03.540783+00:00"
        ],
        "manager": [
          "CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"
        ],
        "instanceType": [
          4
        ],
        "distinguishedName": [
          "CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "dSCorePropagationData": [
          "2019-01-14 14:39:16+00:00"
        ],
        "msDS-SupportedEncryptionTypes": [
          0
        ],
        "objectSid": [
          "ID"
        ],
        "whenCreated": [
          "2011-11-07 08:00:44+00:00"
        ],
        "uSNCreated": [
          7288202
        ],
        "lockoutTime": [
          "1601-01-01 00:00:00+00:00"
        ],
        "badPasswordTime": [
          "date"
        ],
        "pwdLastSet": [
          "date"
        ],
        "sAMAccountName": [
          "example"
        ],
        "objectCategory": [
          "CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"
        ],
        "lastLogon": [
          "2019-01-14 17:13:54.463070+00:00"
        ],
        "objectGUID": [
          "GUID"
        ],
        "whenChanged": [
          "2019-01-14 16:49:01+00:00"
        ],
        "badPwdCount": [
          1
        ],
        "accountExpires": [
          "9999-12-31 23:59:59.999999"
        ],
        "displayName": [
          "example"
        ],
        "name": [
          "user"
        ],
        "memberOf": [
          "CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL",
          "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL",
          "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "codePage": [
          0
        ],
        "userAccountControl": [
          111
        ],
        "sAMAccountType": [
          805306368
        ],
        "uSNChanged": [
          15301168
        ],
        "sn": [
          "example"
        ],
        "givenName": [
          "user"
        ],
        "lastLogoff": [
          "1601-01-01 00:00:00+00:00"
        ]
      }
    ]
Ausgabenachrichten

Die Aktion Active Directory durchsuchen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully performed the query "QUERY_STRING" in Active Directory.

No results to show following the query: "QUERY_STRING".

 Die Aktion wurde erfolgreich ausgeführt.
Error executing action "Search Active Directory". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Active Directory durchsuchen verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Nutzerpasswort festlegen

Verwenden Sie die Aktion Nutzerpasswort festlegen, um das Nutzerpasswort zu konfigurieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Nutzerpasswort festlegen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
New Password

Erforderlich.

Ein neuer Passwortwert.

Aktionsausgaben

Die Aktion Nutzerpasswort festlegen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle finden Sie den Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Nutzerpasswort festlegen:

Name des Scriptergebnisses Wert
is_success True oder False

Attribute eines AD-Hosts aktualisieren

Mit der Aktion Attribute eines AD-Hosts aktualisieren können Sie die Attribute für die aktuellen Hosts in Active Directory aktualisieren.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Für die Aktion Attribute eines AD-Hosts aktualisieren sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Attribute Name

Erforderlich.

Der Name des Attributs, das aktualisiert werden soll, z. B. Description.
Attribute Value

Erforderlich.

Ein neuer Wert für das Attribut.

Aktionsausgaben

Die Aktion Attribute eines AD-Hosts aktualisieren liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Attribute eines AD-Hosts aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Active Directory - Following entities were updated successfully: ENTITY_ID_LIST.

No suitable entities were found.

 Die Aktion wurde erfolgreich ausgeführt.
Failed to update the ATTRIBUTE_NAME for the following entities: ENTITY_ID_LIST.

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Attribute eines AD-Hosts aktualisieren verwendet wird:

Name des Scriptergebnisses Wert
is_success True oder False

Attribute eines AD-Nutzers aktualisieren

Mit der Aktion Attribute eines AD-Nutzers aktualisieren können Sie die Attribute für die aktuellen Nutzer in Active Directory aktualisieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Attribute eines AD-Nutzers aktualisieren sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Attribute Name

Erforderlich.

Der Name des Attributs, das aktualisiert werden soll, z. B. Description.
Attribute Value

Erforderlich.

Ein neuer Wert für das Attribut.

Aktionsausgaben

Die Aktion Attribute eines AD-Nutzers aktualisieren liefert die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Attribute eines AD-Nutzers aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Active Directory - Following entities were updated successfully: ENTITY_ID_LIST.

No suitable entities were found.

 Die Aktion wurde erfolgreich ausgeführt.
Failed to update the ATTRIBUTE_NAME for the following entities: ENTITY_ID_LIST.

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle finden Sie den Wert für die Ausgabe des Skriptergebnisses, wenn Sie die Aktion Attribute eines AD-Nutzers aktualisieren verwenden:

Name des Scriptergebnisses Wert
is_success True oder False

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten