Intégrer EmailV2 à Google SecOps

Ce document explique comment intégrer EmailV2 à Google Security Operations (Google SecOps).

Remarque : Cette intégration utilise un ou plusieurs composants Open Source. Vous pouvez télécharger une copie du code source complet de cette intégration à partir du bucket de stockage.

Cas d'utilisation

L'intégration EmailV2 utilise les fonctionnalités de Google SecOps pour prendre en charge les cas d'utilisation suivants :

• Tri et notification d'hameçonnage : automatisez le processus d'envoi d'e-mails de notification aux destinataires, y compris aux utilisateurs externes, et configurez des playbooks asynchrones pour attendre les réponses des utilisateurs (par exemple, la confirmation d'une tentative d'hameçonnage).

• Enrichissement et conservation des données d'incident : recherchez dans une boîte aux lettres les messages associés en fonction de critères (comme l'expéditeur ou l'objet) et enregistrez toutes les pièces jointes des e-mails suspects directement dans le mur de l'incident pour l'analyse d'investigation et la conservation des données.

• Gestion et confinement des boîtes aux lettres : déplacez automatiquement les e-mails malveillants ou triés de la boîte de réception vers des dossiers de quarantaine ou d'archive, ou supprimez définitivement les e-mails qui correspondent à des filtres spécifiques (par exemple, en supprimant toutes les copies d'un e-mail contenant un logiciel malveillant connu dans plusieurs dossiers).

• Réponse et collaboration dans un fil de discussion : envoyez une réponse immédiate ou structurée dans un fil de discussion existant à l'aide de l'action "Envoyer une réponse au fil de discussion", afin que toutes les parties concernées soient informées des mises à jour de sécurité pertinentes.

Avant de commencer

Pour permettre à l'intégration EmailV2 de se connecter à votre serveur de messagerie, vous devez vous assurer que la boîte aux lettres configurée accorde l'accès aux applications tierces à l'aide d'IMAP/SMTP.

Si vous utilisez un compte Gmail ou Google Workspace, vous devez utiliser un mot de passe d'application pour vous authentifier. Les mots de passe de compte standards ne fonctionnent pas pour les connexions IMAP/SMTP aux serveurs Google .

Pour utiliser un mot de passe d'application, assurez-vous que les conditions suivantes sont remplies :

1. Activez la validation en deux étapes : les mots de passe d'application ne peuvent être générés que si la validation en deux étapes est activée sur votre compte Google . Pour en savoir plus, consultez Activer la validation en deux étapes.

2. Générez un mot de passe d'application à 16 chiffres : créez un code secret unique pour l'intégration. Pour en savoir plus, consultez Se connecter avec des mots de passe d'application.

Remarque : Pour les serveurs de messagerie autres queGoogle , assurez-vous que l'accès IMAP et SMTP est activé dans les paramètres de votre fournisseur de messagerie.

Accès réseau à IMAP/SMTP

Pour accéder aux e-mails reçus et les traiter à l'aide d'IMAP, et pour envoyer des e-mails sortants à l'aide de SMTP, vous devez disposer d'un accès réseau utilisant les identifiants du compte configuré.

Configuration réseau requise

Fonction	Port par défaut	Direction	Protocole
Communication avec le serveur de messagerie	Multivalues	Sortant	IMAP/SMTP

Paramètres d'intégration

L'intégration EmailV2 nécessite les paramètres suivants :

Paramètre	Description
IMAP - Use SSL	Facultatif. Si cette option est sélectionnée, l'action active la communication sécurisée (SSL/TLS) lors de la connexion au serveur IMAP. Cette option est activée par défaut.
SMTP - Use Authentication	Facultatif. Si cette option est sélectionnée, l'action active l'authentification pour la connexion SMTP. Cette opération est requise lorsque le serveur SMTP n'est pas dans une configuration de "relais ouvert" et nécessite des identifiants pour envoyer des e-mails sortants. Cette option est activée par défaut.
Sender's Address	Obligatoire. Adresse e-mail de la boîte aux lettres utilisée par l'intégration pour envoyer et recevoir des messages.
Sender's Display Name	Obligatoire. Nom qui s'affiche en tant qu'expéditeur lorsque l'intégration envoie des e-mails.
SMTP Server Address	Facultatif. Nom d'hôte DNS ou adresse IP du serveur SMTP utilisé pour envoyer des e-mails, par exemple smtp.gmail.com.
SMTP Port	Facultatif. Numéro de port utilisé pour se connecter au serveur SMTP, par exemple 587 ou 465.
IMAP Server Address	Facultatif. Nom d'hôte DNS ou adresse IP du serveur IMAP requis pour récupérer les e-mails reçus, par exemple imap.gmail.com.
IMAP Port	Facultatif. Numéro de port utilisé pour se connecter au serveur IMAP, par exemple 993.
Username	Obligatoire. Nom d'utilisateur requis pour l'authentification auprès du serveur de messagerie (généralement l'adresse e-mail complète).
Password	Obligatoire. Mot de passe requis pour l'authentification auprès du serveur de messagerie. Pour les comptes Gmail ou Google Workspace, vous devez saisir le mot de passe d'application à 16 chiffres généré dans les paramètres de sécurité de votre compte Google.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Supprimer des messages

Utilisez l'action Supprimer l'e-mail pour supprimer de la boîte aux lettres les e-mails qui correspondent aux critères de recherche spécifiés. Vous pouvez utiliser cette action pour supprimer le premier e-mail correspondant trouvé ou tous les e-mails correspondants.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Supprimer l'e-mail nécessite les paramètres suivants :

Paramètre	Description
Folder Name	Obligatoire. Liste des dossiers de boîte aux lettres dans lesquels l'action recherche des e-mails, séparés par une virgule.
Message IDs	Facultatif. Liste d'ID de messages spécifiques à rechercher et à supprimer, séparés par une virgule. Si elle est fournie, cette liste remplace Subject Filter, Sender Filter et Recipient Filter.
Subject Filter	Facultatif. Objet utilisé pour affiner la recherche d'e-mails correspondants.
Sender Filter	Facultatif. Adresse d'un expéditeur utilisée pour rechercher les e-mails correspondants.
Recipient Filter	Facultatif. Adresse d'un destinataire utilisée pour rechercher les e-mails correspondants.
Days Back	Facultatif. Période (en jours) pendant laquelle l'action recherche les e-mails à supprimer. La période est calculée avec une précision d'un jour. La valeur 0 limite la recherche aux e-mails reçus uniquement au cours de la journée en cours. La valeur par défaut est 0.
Delete all matching emails	Facultatif. Si cette option est sélectionnée, l'action supprime tous les e-mails correspondant aux critères spécifiés. Sinon, elle ne supprime que la première correspondance. Désactivé par défaut

Sorties de l'action

L'action Supprimer l'e-mail fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Supprimer l'e-mail :

{
    "deleted_emails": {
        "email_1_deleted": {
            "message_id": "<[e-mail]>",
            "deleted_from_folder": "Inbox",
            "subject": "Suspicious Login Alert - Deleted",
            "sender": "[e-mail]",
            "timestamp": "2025-11-20T14:30:00Z"
        },
        "email_2_deleted": {
            "message_id": "<[e-mail]>",
            "deleted_from_folder": "Spam",
            "subject": "Phishing Offer",
            "sender": "[e-mail]",
            "timestamp": "2025-11-15T09:15:00Z"
        }
    }
}

Messages de sortie

L'action Supprimer l'e-mail peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
NUMBER_OF_DELETED_EMAILS email(s) were deleted successfully Failed to find emails for deletion!	L'action a réussi.
Error deleting emails ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Supprimer l'e-mail :

Nom du résultat du script	Valeur
is_success	true ou false

DownloadEmailAttachments

Utilisez l'action Télécharger les pièces jointes d'un e-mail pour récupérer les pièces jointes d'e-mails spécifiques et les enregistrer dans un chemin d'accès désigné sur le serveur Google SecOps.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Télécharger les pièces jointes d'un e-mail nécessite les paramètres suivants :

Paramètre	Description
Folder Name	Obligatoire. Liste d'éléments séparés par une virgule des dossiers de la boîte aux lettres dans lesquels l'action recherche l'e-mail. La valeur par défaut est Inbox.
Download Path	Obligatoire. Chemin d'accès sur le serveur Google SecOps où les pièces jointes téléchargées sont enregistrées.
Message IDs	Facultatif. Liste d'ID de messages à partir desquels télécharger les pièces jointes, séparés par une virgule.
Subject filter	Facultatif. Objet utilisé pour affiner la recherche de l'e-mail.

Sorties de l'action

L'action Télécharger les pièces jointes d'un e-mail fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Télécharger les pièces jointes d'un e-mail peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Downloaded NUMBER_OF_ATTACHMENTS attachments. ATTACHMENT_PATHS	L'action a réussi.
failed to download email attachments, the error is: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Télécharger les pièces jointes d'un e-mail :

Nom du résultat du script	Valeur
attachments_local_paths	Chaîne de chemins d'accès complets séparés par une virgule vers les pièces jointes enregistrées.

Transférer l'e-mail

Utilisez l'action Transférer l'e-mail pour envoyer un e-mail existant, y compris le contenu de son fil de discussion précédent, à de nouveaux destinataires en fournissant l'ID de message unique de l'e-mail d'origine.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Transférer l'e-mail nécessite les paramètres suivants :

Paramètre	Description
Folder Name	Obligatoire. Dossiers de la boîte aux lettres dans lesquels se trouve l'e-mail d'origine. Fournissez une liste d'éléments séparés par une virgule si vous vérifiez plusieurs dossiers. Le nom du dossier doit correspondre exactement à celui du dossier IMAP. Si le nom du dossier contient des espaces, il doit être entouré de guillemets doubles. La valeur par défaut est Inbox.
Message ID of the email to forward	Obligatoire. L'message_id unique de l'e-mail existant que l'action transfère.
Recipients	Obligatoire. Liste d'adresses e-mail principales des nouveaux destinataires, séparées par une virgule.
CC	Facultatif. Liste d'adresses e-mail à inclure dans le champ "Cc", séparées par une virgule.
BCC	Facultatif. Liste d'adresses e-mail à inclure dans le champ "Cci", séparées par une virgule.
Subject	Obligatoire. Objet de l'e-mail transféré.
Content	Facultatif. Contenu supplémentaire à inclure dans le corps de l'e-mail transféré.
Return message id for the forwarded email	Facultatif. Si cette option est sélectionnée, l'action renvoie l'ID de message unique de l'e-mail nouvellement transféré dans le résultat JSON. Désactivé par défaut
Attachment Paths	Facultatif. Liste de chemins d'accès aux fichiers sur le serveur pour les pièces jointes supplémentaires, séparés par une virgule.

Sorties de l'action

L'action Transférer l'e-mail fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Transférer l'e-mail :

{
   "Date"
   "message_id"
   "Recipient"
}

Messages de sortie

L'action Transférer l'e-mail peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Email was forwarded successfully. Mail was forwarded successfully. Mail message ID is: MESSAGE_ID	L'action a réussi.
Failed to forward the email! The Error is ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Transférer l'e-mail :

Nom du résultat du script	Valeur
is_success	true ou false

Déplacer l'e-mail vers un dossier

Utilisez l'action Déplacer l'e-mail vers un dossier pour transférer des e-mails d'un dossier source spécifié vers un autre dossier de destination dans la boîte aux lettres.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Déplacer l'e-mail vers un dossier nécessite les paramètres suivants :

Paramètre	Description
Source Folder Name	Obligatoire. Nom du dossier source à partir duquel les e-mails sont déplacés.
Destination Folder Name	Obligatoire. Nom du dossier de destination vers lequel les e-mails sont déplacés.
Message IDs	Facultatif. Liste d'ID de messages spécifiques à rechercher et à déplacer, séparés par une virgule. Si elle est fournie, cette liste remplace Subject Filter.
Subject Filter	Facultatif. Objet utilisé pour affiner la recherche d'e-mails correspondants.
Only Unread	Facultatif. Si cette option est sélectionnée, la recherche limite les résultats aux e-mails non lus. Désactivé par défaut

Sorties de l'action

L'action Déplacer l'e-mail vers un dossier fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Déplacer l'e-mail vers un dossier :

{
    "emails": {
        "email_1": {
            "message_id": "<[e-mail]>",
            "received": "Mon, 24 Nov 2025 10:00:00 +0000",
            "sender": "[e-mail]",
            "recipients": "[e-mail]",
            "subject": "Phishing Alert: Urgent Action Required",
            "plaintext_body": "Original alert content...",
            "moved_from_folder": "Inbox",
            "moved_to_folder": "Quarantine"
        },
        "email_2": {
            "message_id": "<[e-mail]>",
            "received": "Sun, 23 Nov 2025 14:30:00 +0000",
            "sender": "[e-mail]",
            "recipients": "[e-mail]",
            "subject": "System Update Notification",
            "plaintext_body": "System update successful...",
            "moved_from_folder": "Inbox",
            "moved_to_folder": "Archive"
        }
    }
}

Messages de sortie

L'action Déplacer l'e-mail vers un dossier peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
NUMBER_OF_MOVED_EMAILS mails were successfully moved from SOURCE_FOLDER à DESTINATION_FOLDER No mails were found matching the search criteria!	L'action a réussi.
Error search emails: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Déplacer l'e-mail vers un dossier :

Nom du résultat du script	Valeur
is_success	true ou false

Ping

Utilisez l'action Ping pour tester la connectivité à Email V2.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Remarque : Cette action effectue des tests de connectivité distincts pour IMAP et SMTP.

L'action renvoie un résultat global positif si au moins un serveur est configuré et réussit la vérification, tout en signalant les parties ignorées ou non configurées.

Elle renvoie un échec global si toutes les vérifications configurées échouent, en affichant toutes les erreurs associées.

Si IMAP et SMTP ne sont pas configurés, une erreur est renvoyée.

Message de sortie	Description du message
Successfully connected to the email server server with the provided connection parameters!	L'action a réussi.
Failed to connect to the IMAP server! Error is ERROR_REASON Failed to connect to the SMTP server! Error is ERROR_REASON SMTP (or IMAP) configuration is needed to execute action. Please configure STMP (or IMAP) on integration configuration page in Content Hub.	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
is_success	true ou false

Enregistrer les pièces jointes des e-mails dans la demande

Utilisez l'action Enregistrer les pièces jointes des e-mails dans la demande pour récupérer et enregistrer automatiquement les pièces jointes d'e-mails spécifiques de la boîte aux lettres directement sur le mur de la demande actuelle.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Enregistrer les pièces jointes de l'e-mail dans la demande nécessite les paramètres suivants :

Paramètre	Description
Folder Name	Obligatoire. Liste des dossiers de la boîte aux lettres dans lesquels l'action recherche l'e-mail, séparés par une virgule.
Message ID	Facultatif. ID de message unique de l'e-mail à partir duquel télécharger les pièces jointes.
Attachment To Save	Facultatif. Nom spécifique de la pièce jointe en cours d'enregistrement. Si aucune valeur n'est fournie, l'action enregistre toutes les pièces jointes de l'e-mail dans le mur de la demande.

Sorties de l'action

L'action Enregistrer les pièces jointes des e-mails dans la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Enregistrer les pièces jointes de l'e-mail dans la demande :

{
    "saved_attachments_from_email": {
        "message_id": "<[e-mail]>",
        "subject": "Email with Malicious Attachment",
        "sender": "[e-mail]",
        "attachments_saved": [
            {
                "file_name": "Invoice_Q3_2025.pdf",
                "file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82",
                "saved_to_case_wall": "True"
            },
            {
                "file_name": "Report_Data.docx",
                "file_hash_md5": "b3e0c1a9f8d7c6b5a4e3d2c1b0a9f8e7",
                "saved_to_case_wall": "True"
            }
        ]
    }
}

Messages de sortie

L'action Enregistrer les pièces jointes de l'e-mail dans la demande peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully saved the following attachments from the email MESSAGE_ID: MESSAGE_INFO	L'action a réussi.
Failed to save the email attachments to the case, the error is: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Enregistrer les pièces jointes de l'e-mail dans la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Rechercher un e-mail

Utilisez l'action Rechercher un e-mail pour trouver des e-mails spécifiques dans la boîte aux lettres configurée à l'aide de différents critères de filtrage.

L'action récupère les détails des messages correspondants dans un fichier JSON, qui peut être utilisé pour une analyse automatisée ou manuelle ultérieure.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Rechercher un e-mail nécessite les paramètres suivants :

Paramètre	Description
Folder Name	Obligatoire. Liste des dossiers de boîte aux lettres dans lesquels l'action recherche des e-mails, séparés par une virgule. La valeur par défaut est Inbox.
Subject Filter	Facultatif. Objet utilisé pour affiner la recherche d'e-mails correspondants.
Sender Filter	Facultatif. Adresse d'un expéditeur utilisée pour rechercher les e-mails correspondants.
Recipient Filter	Facultatif. Adresse d'un destinataire utilisée pour rechercher les e-mails correspondants.
Time frame (minutes)	Obligatoire. Période (en minutes) pendant laquelle la recherche d'e-mails est effectuée. La valeur par défaut est 60.
Only Unread	Facultatif. Si cette option est sélectionnée, la recherche ne récupère que les e-mails non lus. Ils sont désactivés par défaut
Max Emails To Return	Obligatoire. Nombre maximal d'e-mails renvoyés par l'action. La valeur par défaut est 100.

Sorties de l'action

L'action Rechercher un e-mail fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Rechercher un e-mail :

{
    "emails": {
        "email_1": {
            "message id": "<CAJP=[e-mail]>",
            "received": "Mon, 26 Aug 2019 03:20:13 -0700 (PDT)",
            "sender": "[e-mail]",
            "recipients": "[e-mail],[e-mail]",
            "subject": "Cool offer",
            "plaintext_body": "Hi, ...",
            "attachmment_1": "pdfdocument.pdf",
            "attachment_1_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82"
        },
        "email_2": {
            "message id": "<WEAA=[e-mail]>",
            "received": "Wen, 21 Aug 2019 03:20:13 -0700 (PDT)",
            "sender": "[e-mail]",
            "recipients": "[e-mail]",
            "subject": "Cool offer",
            "plaintext_body": "Hi, ...",
            "attachmment_1": "photo.jpg",        "attachment_1_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82",
            "attachmment_2": "word_document.docx",
            "attachment_2_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82"
        }
    }
}

Messages de sortie

L'action Rechercher un e-mail peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Search found NUMBER_OF_FOUND_EMAILS emails based on the provided search criteria Search didn't found any matching emails	L'action a réussi.
Search didn't completed successfully due to error: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur du résultat du script lors de l'utilisation de l'action Rechercher un e-mail :

Nom du résultat du script	Valeur
is_success	true ou false

Envoyer un e-mail

Utilisez l'action Envoyer un e-mail pour envoyer des e-mails à plusieurs destinataires à partir de la boîte aux lettres configurée.

Cette action renvoie éventuellement l'ID du message, qui peut ensuite être utilisé par l'action Attendre un e-mail de l'utilisateur pour suivre les réponses des utilisateurs et contrôler l'exécution du playbook.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Envoyer un e-mail nécessite les paramètres suivants :

Paramètre	Description
Recipients	Obligatoire. Adresses e-mail des destinataires principaux. S'il y a plusieurs adresses, séparez-les par une virgule.
CC	Facultatif. Adresses e-mail à inclure dans le champ "Copie carbone" (CC). S'il y a plusieurs adresses, séparez-les par une virgule.
Bcc	Facultatif. Adresses e-mail à inclure dans le champ "Copie carbone invisible" (Cci). S'il y a plusieurs adresses, séparez-les par une virgule.
Subject	Obligatoire. Objet de l'e-mail.
Content	Obligatoire. Contenu du corps de l'e-mail.
Return message id for the sent email	Facultatif. Si cette option est sélectionnée, l'action renvoie l'ID de message unique dans le résultat JSON. Cet ID peut être utilisé par l'action Attendre un e-mail de l'utilisateur pour suivre les réponses. Désactivé par défaut
Attachments Paths	Facultatif. Liste de chemins d'accès absolus aux fichiers sur le serveur pour les pièces jointes, séparés par une virgule.

Sorties de l'action

L'action Envoyer un e-mail fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Envoyer un e-mail :

Remarque : Vous devez activer Return message id for the sent email pour récupérer l'message_id unique dans le résultat JSON, qui est requis pour les actions dépendantes.

{
    "message_id": "<[e-mail]>"
}

Messages de sortie

L'action Envoyer un e-mail peut renvoyer les messages de sortie suivants :

Remarque : Cette action effectue des tests de connectivité distincts pour IMAP et SMTP.

L'action renvoie un résultat global positif si au moins un serveur est configuré et réussit la vérification, tout en indiquant les parties ignorées ou non configurées.

Elle renvoie un échec global si toutes les vérifications configurées échouent, en affichant toutes les erreurs associées.

Si ni IMAP ni SMTP ne sont configurés, une erreur est renvoyée.

Message de sortie	Description du message
Mail sent successfully. Mail sent successfully. Mail message ID is: MESSAGE_ID	L'action a réussi.
Execution Failed: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Envoyer un e-mail :

Nom du résultat du script	Valeur
is_success	true ou false

Envoyer une réponse au fil de discussion

Utilisez l'action Envoyer une réponse au fil de discussion pour envoyer un nouveau message en réponse à un fil de discussion existant à l'aide de l'ID du message d'origine.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Envoyer une réponse au fil de discussion nécessite les paramètres suivants :

Paramètre	Description
Message ID	Obligatoire. Identifiant unique du message auquel la réponse est envoyée.
Folder Name	Obligatoire. Liste des dossiers de la boîte aux lettres dans lesquels l'action recherche l'e-mail d'origine, séparés par une virgule. Le nom du dossier doit correspondre exactement à celui du dossier IMAP. Si le nom contient des espaces, il doit être placé entre guillemets doubles (par exemple, "[Gmail]/Tous les messages"). La valeur par défaut est Inbox.
Content	Obligatoire. Contenu du corps du message de réponse.
Attachment Paths	Facultatif. Liste de chemins d'accès aux fichiers sur le serveur pour les pièces jointes à inclure dans la réponse, séparés par une virgule.
Reply All	Facultatif. Si cette option est sélectionnée, la réponse est envoyée à tous les destinataires du fil de discussion d'origine. Ce paramètre est prioritaire sur Reply To. Cette option est activée par défaut.
Reply To	Facultatif. Liste d'adresses e-mail spécifiques séparées par une virgule pour recevoir la réponse. Si Reply All est désactivé et qu'aucune valeur n'est fournie, la réponse n'est envoyée qu'à l'expéditeur de l'e-mail d'origine.

Sorties de l'action

L'action Envoyer une réponse au fil de discussion fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Envoyer une réponse au fil de discussion :

{
    "message_id": "<162556278608.14165.480701790user@example>",
    "recipients": "[e-mail]"
}

Messages de sortie

L'action Envoyer une réponse au fil de discussion peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully sent reply to the message with ID MESSAGE_ID in Exchange.	L'action a réussi.
Error executing action "Send Thread Reply". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Envoyer une réponse au fil de discussion :

Nom du résultat du script	Valeur
is_success	true ou false

Attendre l'e-mail de l'utilisateur

Utilisez l'action Attendre un e-mail de l'utilisateur pour suspendre l'exécution du playbook et surveiller une boîte aux lettres pour obtenir une réponse à un message précédemment envoyé par l'action Envoyer un e-mail.

Cette action ne s'exécute pas sur les entités Google SecOps.

Remarque : Cette action est asynchrone. Ajustez la valeur du délai avant expiration du script dans l'IDE Google SecOps si nécessaire.

Entrées de l'action

L'action Attendre un e-mail de l'utilisateur nécessite les paramètres suivants :

Paramètre	Description
Email Message_id	Obligatoire. ID de message unique de l'e-mail envoyé pour lequel l'action suit les réponses. Si le message a été envoyé à l'aide de l'action "Envoyer un e-mail", veuillez sélectionner SendEmail.JSONResult.message_id comme espace réservé.
Email Date	Obligatoire. Code temporel indiquant l'envoi de l'e-mail d'origine. L'action utilise cette valeur pour calculer la fenêtre de réponse. Si le message a été envoyé à l'aide de l'action "Envoyer un e-mail", utilisez l'espace réservé SendEmail.JSONResult.email_date.
Email Recipients	Obligatoire. Liste d'adresses e-mail de destinataires séparées par une virgule, dont l'action attend une réponse. Si le message a été envoyé à l'aide de l'action "Envoyer un e-mail", utilisez l'espace réservé SendEmail.JSONResult.email_date.
Wait stage timeout (minutes)	Facultatif. Durée (en minutes) pendant laquelle l'action attend une réponse avant de marquer l'étape d'attente comme expirée. La valeur par défaut est 1440.
Wait for all recipients to reply?	Facultatif. Si cette option est sélectionnée, le playbook attend les réponses de tous les destinataires pour continuer. Sinon, il continue après avoir reçu la première réponse. Cette option est activée par défaut.
Wait stage exclude pattern	Facultatif. Modèle d'expression régulière utilisé pour exclure certaines réponses (telles que les messages d'absence du bureau automatisés) des réponses valides.
Folder to check for reply	Facultatif. Liste d'éléments séparés par une virgule des dossiers de la boîte aux lettres dans lesquels l'action recherche la réponse de l'utilisateur. Ce paramètre est sensible à la casse. La valeur par défaut est Inbox.
Fetch Response Attachments	Facultatif. Si cette option est sélectionnée, toutes les pièces jointes incluses dans la réponse du destinataire sont enregistrées en tant que pièces jointes pour le résultat de l'action. Désactivé par défaut

Sorties de l'action

L'action Attendre un e-mail de l'utilisateur fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Attendre un e-mail de l'utilisateur :

{
    "Responses":
    {[
     "[e-mail]": "Approved",
     "[e-mail]": "",
     "[e-mail]": ""
     ]}
}

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Attendre un e-mail de l'utilisateur :

Nom du résultat du script	Valeur
is_success	true ou false

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (par exemple, plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements distincts et uniques.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'élément unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

Connecteur de messagerie IMAP générique

Utilisez le connecteur de messagerie IMAP générique pour vous connecter régulièrement à une messagerie IMAP afin de vérifier si une boîte aux lettres spécifiée contient de nouveaux e-mails. Le connecteur traite les nouveaux e-mails en temps quasi réel, en les traduisant en alertes et en cas contextualisés sur la plate-forme Google SecOps.

Limites et problèmes connus

1. Pièces jointes Outlook (.eml) : il est possible que le connecteur ne traite pas les pièces jointes converties au format .eml par Microsoft Outlook si des en-têtes essentiels sont manquants. Google SecOps crée toujours une alerte pour l'e-mail, mais sans événement basé sur la pièce jointe. Le journal suivant indique ce problème :

   Error Code 1: Encountered an email object with missing headers. Please
   visit documentation portal for more details.
   

2. Noms de fichiers manquants : lors du traitement des fichiers de messagerie joints qui n'ont pas de nom de fichier dans les en-têtes d'e-mail, le connecteur attribue un nom de fichier d'espace réservé unique : Undefined_{UUID}.eml, ce qui permet à la pièce jointe d'apparaître en tant qu'événement dans Google SecOps.

Transfert de demandes par e-mail

Google SecOps communique avec le serveur de messagerie pour rechercher et ingérer les e-mails, puis les transfère vers la plate-forme pour une traduction et une contextualisation en temps quasi réel sous forme d'alertes de sécurité.

Règles du connecteur

• Le connecteur utilise SSL/TLS pour garantir une communication chiffrée avec le serveur de messagerie.
• Le connecteur permet de se connecter au serveur de messagerie à l'aide d'un proxy pour le trafic IMAP et IMAPS.
• Le connecteur permet de rechercher des e-mails dans plusieurs dossiers de boîte aux lettres. Le paramètre Folder accepte une liste de noms de dossiers séparés par une virgule et sensibles à la casse.
• Le connecteur est compatible avec l'encodage Unicode, ce qui lui permet de traiter les e-mails envoyés dans des langues autres que l'anglais.

Entrées du connecteur

Le connecteur de messagerie IMAP générique nécessite les paramètres suivants :

Paramètre	Description
Default Environment	Facultatif. Nom de l'environnement auquel les alertes ingérées sont attribuées.
Run Every	Facultatif. Fréquence à laquelle le connecteur s'exécute pour rechercher de nouveaux e-mails. La valeur par défaut est 00:00:10:00 (10 minutes).
Product Field Name	Obligatoire. Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est Product Name.
Event Field Name	Obligatoire. Nom du champ qui détermine le nom de l'événement (sous-type). La valeur par défaut est event_name_mail_type.
Additional headers to extract from emails	Facultatif. Liste de champs d'en-tête personnalisés séparés par une virgule à extraire de l'e-mail lors du traitement du connecteur.
Script Timeout (Seconds)	Obligatoire. Délai avant expiration, en secondes, du processus Python qui exécute le script actuel. La valeur par défaut est 60.
IMAP Server Address	Obligatoire. Adresse IP ou nom d'hôte DNS du serveur IMAP auquel se connecter. La valeur par défaut est imap.gmail.com.
IMAP Port	Obligatoire. Numéro de port utilisé pour se connecter au serveur IMAP. La valeur par défaut est 993.
Username	Obligatoire. Nom d'utilisateur de la boîte aux lettres à partir de laquelle le connecteur extrait les e-mails. La valeur par défaut est username.
Password	Obligatoire. Mot de passe de la boîte aux lettres utilisée pour extraire les e-mails. La valeur par défaut est 1.
Folder to check for emails	Obligatoire. Liste de dossiers de boîte aux lettres séparés par une virgule dans lesquels le connecteur recherche des e-mails. Ce paramètre est sensible à la casse. La valeur par défaut est Inbox.
Server Time Zone	Facultatif. Fuseau horaire configuré sur le serveur de messagerie. La valeur par défaut est UTC.
Environment Regex Pattern	Facultatif. Modèle d'expression régulière utilisé pour manipuler les données du champ d'événement et extraire le nom de l'environnement.
IMAP USE SSL	Facultatif. Si cette option est sélectionnée, le connecteur utilise SSL/TLS pour établir une connexion IMAP sécurisée au serveur de messagerie. Cette option est activée par défaut.
Unread Emails Only	Facultatif. Si cette option est sélectionnée, le connecteur n'extrait que les e-mails non lus. Cette option est activée par défaut.
Mark Emails as Read	Facultatif. Si cette option est sélectionnée, les e-mails sont marqués comme lus une fois qu'ils ont été récupérés par le connecteur. Cette option est activée par défaut.
Attach Original EML	Facultatif. Si cette option est sélectionnée, le message d'origine est joint à l'alerte créée sous la forme d'un fichier .eml. Désactivé par défaut
Regex expressions to handle forwarded emails	Facultatif. Chaîne JSON d'une ligne contenant des modèles d'expressions régulières pour extraire les champs d'origine de l'objet, de l'expéditeur et du destinataire des e-mails transférés.
Exclusion Body Regex	Facultatif. Modèle d'expression régulière utilisé pour exclure les e-mails de l'ingestion si le contenu du corps correspond au modèle, par exemple ([N|n]ewsletter)|([O|o]ut of office).
Exclusion Subject Regex	Facultatif. Modèle d'expression régulière utilisé pour exclure les e-mails de l'ingestion si l'objet correspond au modèle, par exemple ([N|n]ewsletter)|([O|o]ut of office).
Offset Time In Days	Obligatoire. Nombre maximal de jours en arrière pour lesquels le connecteur récupère les e-mails (période maximale). Cette valeur sert également de remplacement pour l'exécution initiale ou si le code temporel du connecteur expire, ce qui garantit l'ingestion des alertes pour la période de désactivation. La valeur par défaut est 5.
Max Emails Per Cycle	Obligatoire. Nombre maximal d'e-mails que le connecteur traite au cours d'un même cycle d'interrogation. La valeur par défaut est 10.
Proxy Server Address	Facultatif. Adresse du serveur proxy à utiliser.
Proxy Username	Facultatif. Nom d'utilisateur pour l'authentification du serveur proxy.
Proxy Password	Facultatif. Mot de passe pour l'authentification du serveur proxy.
Create a Separate Siemplify Alert per Attached Mail File?	Facultatif. Si cette option est sélectionnée, le connecteur crée une alerte distincte pour chaque fichier d'e-mail joint trouvé dans un message. Cette option est utile lorsque le mappage d'événements est configuré pour créer des entités à partir de fichiers d'e-mails joints. Désactivé par défaut
Original Received Mail Prefix	Facultatif. Un préfixe (tel que orig) ajouté aux clés extraites (à, de, objet, etc.) de l'e-mail d'origine reçu dans la boîte aux lettres surveillée. La valeur par défaut est orig.
Attached Mail File Prefix	Facultatif. Un préfixe (tel que attach) ajouté aux clés extraites (à, de, objet, etc.) des fichiers de messagerie joints trouvés dans l'e-mail. La valeur par défaut est attach.

Remarque : Le connecteur permet d'extraire des valeurs spécifiques des e-mails à l'aide d'expressions régulières définies dans la zone Liste dynamique (souvent appelée "Règles d'extraction"). Pour extraire une valeur, utilisez le format suivant : Desired Display Name: matching regex.

Pour extraire les URL du corps de l'e-mail afin de les créer en tant qu'entités, insérez :

none urls: http[s]?://(?:[a-zA-Z]|[0-9]|[$-_@.&+]|[!*(),]|(?:%0-9a-fA-F))+

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.