Gmail

In diesem Dokument finden Sie eine Anleitung zur Integration von Gmail in Google Security Operations SOAR.

Integrationsversion: 1.0

Hinweise

Um die Integration nutzen zu können, benötigen Sie ein Google Cloud -Dienstkonto. Sie können ein vorhandenes Dienstkonto verwenden oder ein neues erstellen. Außerdem muss die Gmail API in der Google Cloud Organisation aktiviert sein.

Dienstkonto erstellen

Eine Anleitung zum Erstellen eines Dienstkontos finden Sie unter Dienstkonten erstellen.

Wenn Sie ein Dienstkonto zur Authentifizierung bei Google Cloudverwenden, können Sie einen Dienstkontoschlüssel in JSON erstellen und den Inhalt der heruntergeladenen JSON-Datei bei der Konfiguration der Integrationsparameter angeben.

Aus Sicherheitsgründen empfehlen wir, anstelle eines Dienstkontoschlüssels eine E-Mail-Adresse für die Workload Identity zu verwenden. Weitere Informationen zu den Workload Identitys finden Sie unter Identitäten für Arbeitslasten.

Domainweite Befugnisse an Ihr Dienstkonto delegieren

  1. Rufen Sie in der Admin-Konsole Ihrer Domain das -Hauptmenü > „Sicherheit“ > „Zugriffs- und Datenkontrolle“ > „API-Steuerung“ auf.
  2. Wählen Sie im Bereich Domainweite Delegierung die Option Domainweite Delegierung verwalten aus.
  3. Klicken Sie auf Neu hinzufügen.
  4. Geben Sie im Feld Client-ID die Client-ID ein, die Sie in den vorherigen Schritten zum Erstellen des Dienstkontos erhalten haben.

  5. Geben Sie im Feld OAuth-Bereiche die folgende durch Kommas getrennte Liste der für die Integration erforderlichen Bereiche ein:

        "https://mail.google.com/",
    "https://www.googleapis.com/auth/cloud-platform",
    "https://www.googleapis.com/auth/admin.directory.user",
    "https://www.googleapis.com/auth/admin.directory.group.member",
    "https://www.googleapis.com/auth/admin.directory.customer.readonly",
    "https://www.googleapis.com/auth/admin.directory.domain.readonly",
    "https://www.googleapis.com/auth/admin.directory.group",
    "https://www.googleapis.com/auth/admin.directory.orgunit",
    "https://www.googleapis.com/auth/admin.directory.user.alias",
    "https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly",
    "https://www.googleapis.com/auth/apps.groups.settings"

  6. Klicken Sie auf Autorisieren.

Gmail in Google SecOps SOAR einbinden

Für die Gmail-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Service Account JSON File Content Optional

Der Inhalt der JSON-Datei des Dienstkontoschlüssels. Sie können entweder diesen Parameter oder den Parameter Workload Identity Email konfigurieren.

Geben Sie zum Konfigurieren dieses Parameters den vollständigen Inhalt der JSON-Datei des Dienstkontoschlüssels an, die Sie beim Erstellen eines Dienstkontos heruntergeladen haben.
Default Mailbox Erforderlich

Ein Standardpostfach, das in der Integration verwendet werden soll.
Workload Identity Email Optional

Die Client-E-Mail-Adresse Ihrer Arbeitslastidentität.

Sie können diesen Parameter oder den Parameter Service Account JSON File Content konfigurieren.

Wenn Sie die Identität von Dienstkonten mit der E‑Mail-Adresse der Workload Identity übernehmen möchten, weisen Sie Ihrem Dienstkonto die Rolle Service Account Token Creator zu. Weitere Informationen zu Workload Identitys und deren Verwendung finden Sie unter Identitäten für Arbeitslasten.
Verify SSL Optional

Wenn diese Option ausgewählt ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zu Gmail gültig ist.

Dieser Parameter ist standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen in Ihrem Arbeitsbereich reagieren und Manuelle Aktion ausführen.

E-Mail-Label hinzufügen

Mit der Aktion E-Mail-Label hinzufügen können Sie der angegebenen E-Mail ein Label hinzufügen.

Diese Aktion ist asynchron. Passen Sie das Zeitlimit für die Aktion in der integrierten Entwicklungsumgebung (IDE) von Google SecOps entsprechend an.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion E‑Mail-Label hinzufügen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, in dem Sie auf eine Antwort warten, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben. Für diesen Parameter können mehrere Werte als durch Kommas getrennte Liste angegeben werden.
Internet Message ID Optional

Die Internet-Nachrichten-ID einer E‑Mail, nach der gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Wenn Sie die Internet-Mitteilungs-ID angeben, werden die Parameter Subject Filter, Sender Filter und Time Frame (minutes) von der Aktion ignoriert.
Labels Filter Optional

Eine Filterbedingung, die die E‑Mail-Labels angibt, nach denen gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Der Standardwert ist Inbox.

Sie können nach E‑Mails mit bestimmten Labels suchen, z. B. label1, label2. Wenn Sie nach E‑Mails suchen möchten, die das bestimmte Label nicht haben, verwenden Sie das folgende Format: -label1. Sie können diesen Parameter so konfigurieren, dass in einem String nach E‑Mails mit und ohne bestimmte Labels gesucht wird, z. B. label1, -label2, label3.
Subject Filter Optional

Eine Filterbedingung, die den E‑Mail-Betreff angibt, nach dem gesucht werden soll.

Dieser Filter verwendet die contains-Logik und erfordert, dass Sie Suchbegriffe in vollständigen Wörtern angeben. Dieser Filter unterstützt keine teilweisen Übereinstimmungen.
Sender Filter Optional

Eine Filterbedingung, die den E‑Mail-Absender angibt, nach dem gesucht werden soll.

Für diesen Filter wird die equals-Logik verwendet.
Time Frame (minutes) Optional

Eine Filterbedingung, die den Zeitraum in Minuten angibt, in dem nach E‑Mails gesucht werden soll.

Der Standardwert ist 60 Minuten.
Email Status Optional

Der Status der E-Mail, nach der gesucht werden soll.

Folgende Werte sind möglich:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Der Standardwert ist Both Read & Unread Messages.
Label Erforderlich

Ein Label, mit dem die E‑Mail-Adresse aktualisiert werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennte Liste angegeben werden.

Wenn das Label in einem Postfach nicht vorhanden ist, wird es durch die Aktion erstellt.

Aktionsausgaben

Die Aktion E‑Mail-Label hinzufügen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion E-Mail-Label hinzufügen empfangen wird:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Ausgabemeldungen

Die Aktion E‑Mail-Label hinzufügen gibt die folgenden Ausgabenachrichten aus:

Ausgabemeldung Nachrichtenbeschreibung

Successfully updated labels for emails in the following mailboxes: MAILBOX_LIST

No emails were found based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

Update is pending for emails in the following mailboxes: MAILBOX_LIST

 Die Aktion wurde ausgeführt.
Error executing action "Add Email Label". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion E-Mail-Label hinzufügen beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

E-Mails löschen

Mit der Aktion E‑Mail löschen können Sie eine oder mehrere E‑Mails aus dem Postfach löschen, die den angegebenen Suchkriterien entsprechen. Standardmäßig werden E‑Mails durch diese Aktion in den Papierkorb verschoben. Sie können die Aktion so konfigurieren, dass E‑Mails endgültig gelöscht werden, anstatt in den Papierkorb verschoben zu werden.

Die Aktion E-Mail löschen ist asynchron. Passen Sie das Zeitlimit für die Aktion in der Google SecOps IDE entsprechend an.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion E‑Mail löschen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, in dem Sie auf eine Antwort warten, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben. Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.
Labels Filter Optional

Eine Filterbedingung, die die E‑Mail-Labels angibt, nach denen gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Der Standardwert ist Inbox.

Sie können nach E‑Mails mit bestimmten Labels suchen, z. B. label1, label2. Wenn Sie nach E‑Mails suchen möchten, die das bestimmte Label nicht haben, verwenden Sie das folgende Format: -label1. Sie können diesen Parameter so konfigurieren, dass in einem String nach E‑Mails mit und ohne bestimmte Labels gesucht wird, z. B. label1, -label2, label3.
Internet Message ID Optional

Die Internet-Nachrichten-ID einer E‑Mail, nach der gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Wenn Sie die Internet-Nachrichten-ID angeben, werden die Parameter Subject Filter, Sender Filter, Labels Filter und Time Frame (minutes) von der Aktion ignoriert.
Subject Filter Optional

Eine Filterbedingung, die den E‑Mail-Betreff angibt, nach dem gesucht werden soll.

Dieser Filter verwendet die contains-Logik und erfordert, dass Sie Suchbegriffe in vollständigen Wörtern angeben. Dieser Filter unterstützt keine teilweisen Übereinstimmungen.
Sender Filter Optional

Eine Filterbedingung, die den E‑Mail-Absender angibt, nach dem gesucht werden soll.

Für diesen Filter wird die equals-Logik verwendet.
Time Frame (minutes) Optional

Eine Filterbedingung, die den Zeitraum in Minuten angibt, in dem nach E‑Mails gesucht werden soll.

Der Standardwert ist 60 Minuten.
Email Status Optional

Der Status der E-Mail, nach der gesucht werden soll.

Folgende Werte sind möglich:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Der Standardwert ist Both Read & Unread Messages.
Move to Trash Optional

Wenn diese Option ausgewählt ist, werden E‑Mails in den Papierkorb verschoben. E‑Mails mit dem Label Papierkorb werden nur durchsucht, wenn Sie den Parameter Labels Filter so konfigurieren, dass das folgende Label enthalten ist: Trash. Wenn diese Option nicht ausgewählt ist, wird die Aktion für das gesamte Postfach ausgeführt und E-Mails werden endgültig gelöscht.

Standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion E‑Mail löschen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion E-Mail löschen empfangen wird:

{
"mailbox1": [DELETED_MESSAGE_ID_LIST],
"mailbox2": [DELETED_MESSAGE_ID_LIST]
}
Ausgabemeldungen

Die Aktion E‑Mail löschen gibt die folgenden Ausgabemeldungen aus:

Ausgabemeldung Nachrichtenbeschreibung

Successfully deleted emails in the following mailboxes: MAILBOX_LIST

No emails to delete based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

The action didn't find any emails based on the specified search criteria.

Pending deletion of emails in the following mailboxes: MAILBOX_LIST

 Die Aktion wurde ausgeführt.
Error executing action "Delete Email". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion E-Mail löschen beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

E‑Mail weiterleiten

Mit der Aktion E-Mail weiterleiten können Sie E-Mails weiterleiten, auch solche mit vorherigen Konversationen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion E‑Mail weiterleiten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, von dem aus eine E‑Mail gesendet werden kann, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben.
Internet Message ID Erforderlich

Die Internet-Nachrichten-ID einer E‑Mail, nach der gesucht werden soll.
Send To Erforderlich

Ein durch Kommas getrennter String mit E‑Mail-Adressen für die E‑Mail-Empfänger, z. B. user1@example.com, user2@example.com.

CC Optional

Ein durch Kommas getrennter String mit E‑Mail-Adressen für die Cc-Empfänger, z. B. user1@example.com, user2@example.com.
BCC Optional

Ein durch Kommas getrennter String mit E‑Mail-Adressen für die BCC-Empfänger (Blind Carbon Copy), z. B. user1@example.com, user2@example.com.
Subject Erforderlich

Der neue Betreff für eine weiterzuleitende E‑Mail.
Attachments Paths Optional

Ein durch Kommas getrennter String mit Pfaden für Dateianhänge, die auf dem Google SecOps-Server gespeichert sind.
Mail Content Erforderlich

Der Inhalt der E‑Mail.

Aktionsausgaben

Die Aktion E‑Mail weiterleiten bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion E-Mail weiterleiten empfangen wird:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Ausgabemeldungen

Die Aktion E-Mail weiterleiten gibt die folgenden Ausgabenachrichten aus:

Ausgabemeldung Nachrichtenbeschreibung
Successfully forwarded the MESSAGE_ID email. Die Aktion wurde ausgeführt.
Error executing action "Forward Email". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion E‑Mail weiterleiten beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Gmail zu testen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
Ausgabemeldungen

Die Aktion Ping gibt die folgenden Ausgabenachrichten aus:

Ausgabemeldung Nachrichtenbeschreibung
Successfully connected to the Google Gmail service with the provided connection parameters! Die Aktion wurde ausgeführt.
Failed to connect to the Google Gmail service! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

E-Mail-Label entfernen

Mit der Aktion E‑Mail-Label entfernen können Sie ein Label aus der angegebenen E‑Mail entfernen.

Diese Aktion ist asynchron. Passen Sie das Zeitlimit für die Aktion in der Google SecOps IDE entsprechend an.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion E-Mail-Label entfernen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, in dem Sie auf eine Antwort warten, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben. Für diesen Parameter können mehrere Werte als durch Kommas getrennte Liste angegeben werden.
Internet Message ID Optional

Die Internet-Nachrichten-ID einer E‑Mail, nach der gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Wenn Sie die Internet-Mitteilungs-ID angeben, werden die Parameter Subject Filter, Sender Filter und Time Frame (minutes) von der Aktion ignoriert.
Labels Filter Optional

Eine Filterbedingung, die die E‑Mail-Labels angibt, nach denen gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Der Standardwert ist Inbox.

Sie können nach E‑Mails mit bestimmten Labels suchen, z. B. label1, label2. Wenn Sie nach E‑Mails suchen möchten, die das bestimmte Label nicht haben, verwenden Sie das folgende Format: -label1. Sie können diesen Parameter so konfigurieren, dass in einem String nach E‑Mails mit und ohne bestimmte Labels gesucht wird, z. B. label1, -label2, label3.
Subject Filter Optional

Eine Filterbedingung, die den E‑Mail-Betreff angibt, nach dem gesucht werden soll.

Dieser Filter verwendet die contains-Logik und erfordert, dass Sie Suchbegriffe in vollständigen Wörtern angeben. Dieser Filter unterstützt keine teilweisen Übereinstimmungen.
Sender Filter Optional

Eine Filterbedingung, die den E‑Mail-Absender angibt, nach dem gesucht werden soll.

Für diesen Filter wird die equals-Logik verwendet.
Time Frame (minutes) Optional

Eine Filterbedingung, die den Zeitraum in Minuten angibt, in dem nach E‑Mails gesucht werden soll.

Der Standardwert ist 60 Minuten.
Email Status Optional

Der Status der E-Mail, nach der gesucht werden soll.

Folgende Werte sind möglich:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Der Standardwert ist Both Read & Unread Messages.
Label Erforderlich

Ein Label, das aus einer E‑Mail entfernt werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennte Liste angegeben werden. Wenn Sie alle Labels aus der E‑Mail entfernen möchten, konfigurieren Sie den Parameterwert als All.

Aktionsausgaben

Die Aktion E‑Mail-Label entfernen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion E-Mail-Label entfernen empfangen wird:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@mail.gmail.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Ausgabemeldungen

Die Aktion E‑Mail-Label entfernen gibt die folgenden Ausgabemeldungen zurück:

Ausgabemeldung Nachrichtenbeschreibung

Successfully updated labels for EMAIL_NUMBER emails in the MAILBOX_NAME mailbox.

The following labels don't exist in the MAILBOX_NAME mailbox: LABEL_LIST

None of the provided labels exists in the MAILBOX_NAME mailbox.

 Die Aktion wurde ausgeführt.
Error executing action "Remove Email Label". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion E-Mail-Label entfernen beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

E‑Mail im Fall speichern

Mit der Aktion Save Email To The Case (E‑Mail im Fall speichern) können Sie E‑Mails oder E‑Mail-Anhänge in der Case Wall in Google SecOps speichern.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion E-Mail im Fall speichern sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, in dem Sie auf eine Antwort warten, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben.
Internet Message ID Erforderlich

Die Internet-Nachrichten-ID einer E‑Mail, nach der gesucht werden soll.
Save Only Email Attachments Optional

Wenn diese Option ausgewählt ist, werden nur Anhänge aus der angegebenen E‑Mail gespeichert.

Diese Option ist standardmäßig nicht ausgewählt.
Attachment To Save Optional

Wenn Sie den Parameter Save Only Email Attachments ausgewählt haben, werden mit der Aktion nur Anhänge gespeichert, die Sie in diesem Parameter angeben.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.
Base64 Encode Optional

Wenn diese Option ausgewählt ist, wird die E‑Mail-Datei in ein Base64-Format codiert.

Diese Option ist standardmäßig nicht ausgewählt.

Aktionsausgaben

Die Aktion E-Mail im Kundenserviceticket speichern bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
Anhang im Fall-Repository

Mit der Aktion Save Email To The Case (E‑Mail im Fall speichern) werden E‑Mails und Anhänge als Fallbeweise in Google SecOps gespeichert.

In der folgenden Tabelle werden die Dateien beschrieben, die durch die Aktion gespeichert werden:

Gespeicherte Datei Name und Format
E-Mail EMAIL_SUBJECT.eml
Email attachment ATTACHMENT_NAME. ATTACHMENT_EXTENSION
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die beim Verwenden der Aktion Save Email To The Case (E-Mail im Kundenvorgang speichern) empfangen wird:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Ausgabemeldungen

Die Aktion Save Email To The Case (E-Mail im Kundenvorgang speichern) gibt die folgenden Ausgabenachrichten aus:

Ausgabemeldung Nachrichtenbeschreibung

Successfully saved the INTERNET_MESSAGE_ID email.

Successfully saved the following attachments from the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

The following attachments were not found in the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

 Die Aktion wurde ausgeführt.
Error executing action "Save Email To The Case". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Save Email To The Case (E‑Mail im Kundenvorgang speichern) beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

Nach E‑Mails suchen

Mit der Aktion Nach E‑Mails suchen können Sie in einem angegebenen Postfach anhand der angegebenen Suchkriterien nach E‑Mails suchen.

Diese Aktion ist asynchron. Passen Sie das Zeitlimit für die Aktion in der Google SecOps IDE entsprechend an.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Nach E-Mails suchen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, in dem Sie auf eine Antwort warten, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben. Für diesen Parameter können mehrere Werte als durch Kommas getrennte Liste angegeben werden.
Labels Filter Optional

Eine Filterbedingung, die die E‑Mail-Labels angibt, nach denen gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Der Standardwert ist Inbox.

Sie können nach E‑Mails mit bestimmten Labels suchen, z. B. label1, label2. Wenn Sie nach E‑Mails suchen möchten, die das bestimmte Label nicht haben, verwenden Sie das folgende Format: -label1. Sie können diesen Parameter so konfigurieren, dass in einem String nach E‑Mails mit und ohne bestimmte Labels gesucht wird, z. B. label1, -label2, label3.
Internet Message ID Optional

Die Internet-Nachrichten-ID einer E‑Mail, nach der gesucht werden soll.

Für diesen Parameter können mehrere Werte als durch Kommas getrennter String angegeben werden.

Wenn Sie die Internet-Mitteilungs-ID angeben, werden die Parameter Subject Filter, Sender Filter, Labels Filter, Recipient Filter, Time Frame (minutes) und Email Status von der Aktion ignoriert.
Subject Filter Optional

Eine Filterbedingung, die den E‑Mail-Betreff angibt, nach dem gesucht werden soll.
Sender Filter Optional

Eine Filterbedingung, die den E‑Mail-Absender angibt, nach dem gesucht werden soll.
Recipient Filter Optional

Eine Filterbedingung, die den E‑Mail-Empfänger angibt, nach dem gesucht werden soll.
Time Frame (minutes) Optional

Eine Filterbedingung, die den Zeitraum in Minuten angibt, in dem nach E‑Mails gesucht werden soll.

Der Standardwert ist 60 Minuten.
Email Status Optional

Der Status der E-Mail, nach der gesucht werden soll.

Folgende Werte sind möglich:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Der Standardwert ist Both Read & Unread Messages.
Headers To Return Optional

Eine durch Kommas getrennte Liste der Header, die in der Aktionsausgabe zurückgegeben werden sollen.

Die Aktion gibt immer die folgenden Header zurück: date, from, to, cc, bcc, in-reply-to, reply-to, message-id und subject.

Wenn Sie keinen Wert angeben, werden alle Header zurückgegeben.

Bei diesem Parameter muss die Groß- und Kleinschreibung nicht berücksichtigt werden.
Return Email Body Optional

Wenn diese Option ausgewählt ist, gibt die Aktion den vollständigen Inhalt des E‑Mail-Texts in der Aktionsausgabe zurück. Wenn diese Option nicht ausgewählt ist, sind die Informationen zu den Namen der Anhänge in der E‑Mail nicht verfügbar.

Diese Option ist standardmäßig nicht ausgewählt.
Max Emails To Return Optional

Die maximale Anzahl von E-Mails, die für die Aktion zurückgegeben werden sollen.

Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Nach E-Mails suchen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
Tabelle „Fall-Repository“

Die Aktion Nach E-Mails suchen enthält die folgende Tabelle:

Tabellentitel: Gefundene E-Mails

Spalten:

  • Message_id
  • Received Date
  • Sender
  • Empfänger
  • Subject
  • Snippet für E‑Mail-Text
  • Namen von Anhängen
  • Optional: Im Postfach gefunden
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Search For Emails (E‑Mails suchen) empfangen wird:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Ausgabemeldungen

Die Aktion Nach E-Mails suchen gibt die folgenden Ausgabemeldungen aus:

Ausgabemeldung Nachrichtenbeschreibung

Successfully found emails in the following mailboxes: MAILBOX_LIST

No emails found in the following mailboxes: MAILBOX_LIST

Pending search for emails in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Please check the spelling.

The action was not able to find any emails based on the specified search criteria.

 Die Aktion wurde ausgeführt.
Error executing action "Search For Emails". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Search For Emails (Nach E-Mails suchen) beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

E-Mail senden

Mit der Aktion E-Mail senden können Sie eine E-Mail basierend auf den angegebenen Parametern senden.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion E‑Mail senden sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, von dem aus eine E‑Mail gesendet werden kann, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben.
Subject Erforderlich

Der Betreff für eine zu sendende E-Mail.
Send To Erforderlich

Ein durch Kommas getrennter String mit E‑Mail-Adressen für die E‑Mail-Empfänger, z. B. user1@example.com, user2@example.com.

CC Optional

Ein durch Kommas getrennter String mit E‑Mail-Adressen für die Cc-Empfänger, z. B. user1@example.com, user2@example.com.
BCC Optional

Ein durch Kommas getrennter String mit E‑Mail-Adressen für die BCC-Empfänger, z. B. user1@example.com, user2@example.com
Attachments Paths Optional

Ein durch Kommas getrennter String mit Pfaden für Dateianhänge, die auf dem Google SecOps-Server gespeichert sind.
Mail Content Erforderlich

Der Inhalt der E‑Mail.
Reply-To Recipients Optional

Eine durch Kommas getrennte Liste von Empfängern, die im Header Reply-To verwendet werden sollen.

Verwenden Sie den Reply-To-Header, um Antwort-E-Mails an die angegebene E-Mail-Adresse weiterzuleiten, anstatt an die Absenderadresse, die im Feld From angegeben ist.

Aktionsausgaben

Die Aktion E‑Mail senden bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion E-Mail senden empfangen wird:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Ausgabemeldungen

Die Aktion E-Mail senden gibt die folgenden Ausgabenachrichten zurück:

Ausgabemeldung Nachrichtenbeschreibung
Email was sent successfully. Die Aktion wurde ausgeführt.
Error executing action "Send Email". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion E-Mail senden beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

Antwort auf Unterhaltung senden

Mit der Aktion Thread-Antwort senden können Sie eine Nachricht als Antwort auf die E‑Mail-Konversation senden.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Send Thread Reply (Antwort auf Thread senden) sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, in dem Sie auf eine Antwort warten, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben.
Internet Message ID Erforderlich

Die Internet-Nachrichten-ID einer E‑Mail, nach der gesucht werden soll.
Reply To Optional

Eine durch Kommas getrennte Liste der E‑Mail-Adressen, an die die Antwort gesendet werden soll.

Wenn Sie keinen Wert angeben und das Kästchen Reply All deaktiviert ist, wird nur eine Antwort an den ursprünglichen Absender der E‑Mail gesendet. Wenn Sie den Parameter Reply All auswählen, wird er von der Aktion ignoriert.
Reply All Optional

Wenn diese Option ausgewählt ist, wird eine Antwort an alle Empfänger der ursprünglichen E‑Mail gesendet.

Dieser Parameter hat Vorrang vor dem Parameter Reply To.

Diese Option ist standardmäßig nicht ausgewählt.
Attachments Paths Optional

Ein durch Kommas getrennter String mit Pfaden für Dateianhänge, die auf dem Google SecOps-Server gespeichert sind.
Mail Content Erforderlich

Der Inhalt der E‑Mail.

Aktionsausgaben

Die Aktion Antwort auf Thread senden bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Send Thread Reply (Antwort auf Thread senden) empfangen wird:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Ausgabemeldungen

Die Aktion Antwort auf Thread senden gibt die folgenden Ausgabenachrichten zurück:

Ausgabemeldung Nachrichtenbeschreibung
Successfully sent a thread reply to the INTERNET_MESSAGE_ID email. Die Aktion wurde ausgeführt.
Error executing action "Sent Thread Reply". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Antwort auf Thread senden beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

Auf Thread-Antwort warten

Mit der Aktion Auf Antwort im Thread warten können Sie auf die Antwort des Nutzers auf eine E-Mail warten, die mit der Aktion E-Mail senden gesendet wurde.

Diese Aktion ist asynchron. Passen Sie das Zeitlimit für die Aktion in der Google SecOps IDE entsprechend an.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion Auf Thread-Antwort warten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Mailbox Erforderlich

Ein Postfach, in dem Sie auf eine Antwort warten, z. B. user@example.com.

Standardmäßig wird für die Aktion das Standardpostfach verwendet, das Sie für die Integration konfiguriert haben. Für diesen Parameter können mehrere Werte als durch Kommas getrennte Liste angegeben werden.
Internet Message ID Erforderlich

Die Internet-Nachrichten-ID einer E‑Mail, auf die gewartet werden soll. Wenn die Nachricht mit der Aktion E-Mail senden gesendet wurde, konfigurieren Sie diesen Parameter mit dem Platzhalter SendEmail.JSONResult|message_id.

Verwenden Sie die Aktion Nach E-Mails suchen, um eine Internet-Nachrichten-ID abzurufen.
Wait for All Recipients to Reply Optional

Wenn diese Option ausgewählt ist, wartet die Aktion auf Antworten von allen Empfängern, bis das Zeitlimit erreicht ist.

Diese Option ist standardmäßig nicht ausgewählt.
Fetch Response Attachments Optional

Wenn diese Option ausgewählt ist und die Antwort des Empfängers Anhänge enthält, werden die E‑Mail-Anhänge abgerufen und als Anhang zur Fallwand in Google SecOps hinzugefügt.

Nicht standardmäßig ausgewählt.

Aktionsausgaben

Die Aktion Auf Thread-Antwort warten bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Auf Thread-Antwort warten empfangen wird:

[
   {
       "Entity": "reply@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "reply@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "reply@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Ausgabemeldungen

Die Aktion Auf Thread-Antwort warten gibt die folgenden Ausgabenachrichten zurück:

Ausgabemeldung Nachrichtenbeschreibung

Found replies from the following users: USERS

Waiting for replies from the following users: USERS

 Die Aktion wurde ausgeführt.
Error executing action "Wait For Thread Reply". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Auf Threadantwort warten beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

Connectors

Eine ausführliche Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Gmail-Connector

Mit dem Gmail Connector können Sie Gmail-E‑Mails aus einem bestimmten Postfach abrufen.

Mit dem Gmail Connector werden E-Mails mit dem Label Scheduled (Geplant) aus folgenden Gründen nicht aufgenommen:

  • Der Connector erfasst nur gesendete E-Mails. Das Label Geplant bedeutet, dass E‑Mails nur geplant, aber nicht gesendet werden.
  • Der Connector benötigt Zeitstempel, um E‑Mails abzurufen. Geplante E‑Mails haben keine Zeitstempel.

Connector-Eingaben

Für den Gmail Connector sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Product Field Name Erforderlich

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Standardwert ist device_product.
Event Field Name Erforderlich

Der Feldname, der zum Bestimmen des Ereignisnamens (Untertyp) verwendet wird.

Der Standardwert ist event_name.
Environment Field Name Optional

Der Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, wird die Umgebung auf "" gesetzt.

Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird. Mit diesem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis "".
Email Exclude Pattern Optional

Ein regulärer Ausdruck, um bestimmte E‑Mails wie Spam oder Newsletter von der Aufnahme auszuschließen.

Dieser Parameter funktioniert sowohl mit dem Betreff als auch mit dem Text einer E‑Mail. Wenn Sie beispielsweise E-Mails mit automatischen Antworten aus der Aufnahme ausschließen möchten, können Sie den folgenden regulären Ausdruck konfigurieren: (?i)(auto|no)(\s|-)?re(ply|sponse|sponder).
Script Timeout (Seconds) Erforderlich

Das Zeitlimit (in Sekunden) für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.

Der Standardwert beträgt 300 Sekunden.
Service Account JSON File Content Optional

Der Inhalt der JSON-Datei des Dienstkontoschlüssels.

Sie können diesen Parameter oder den Parameter Workload Identity Email konfigurieren.

Geben Sie zum Konfigurieren dieses Parameters den vollständigen Inhalt der JSON-Datei des Dienstkontoschlüssels an, die Sie beim Erstellen eines Dienstkontos heruntergeladen haben.
Workload Identity Email Optional

Die Client-E‑Mail-Adresse Ihres Dienstkontos.

Sie können diesen Parameter oder den Parameter Service Account JSON File Content konfigurieren.

Wenn Sie die Identität von Dienstkonten mit Arbeitslasten übernehmen möchten, weisen Sie Ihrem Google SecOps-Dienstkonto die Rolle Service Account Token Creator zu.
Disable Overflow Optional

Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus beim Erstellen von Benachrichtigungen.

Diese Option ist standardmäßig nicht ausgewählt.
Default Mailbox Erforderlich

Eine E-Mail-Adresse, die als Standardpostfach für die Integration verwendet werden soll, z. B. user@example.com.
Labels Filter Optional

Die Labels der E‑Mails, die in Google SecOps aufgenommen werden sollen.

Der Connector unterstützt verschachtelte Labels. Geben Sie die Labels in einem für Gmail zulässigen Format an, z. B. Inbox-label1-label2.
Email Status Optional

Der Status der E-Mail, nach der gesucht werden soll.

Folgende Werte sind möglich:

  • Both
  • Read
  • Unread
Der Standardwert ist Both.
Extract Headers Optional

Header-Werte, die aus der internetMessageHeaders-Liste gefiltert und einem Google SecOps-Ereignis hinzugefügt werden sollen.

Standardmäßig werden alle Header dem Ereignis hinzugefügt. Wenn Sie nur bestimmte Header hinzufügen möchten, geben Sie sie als durch Kommas getrennte Liste ein, z. B. DKIM-Siganture, Received, From. Wenn der Connector keinen Header hinzufügen soll, geben Sie den Wert None ein.

Bei diesem Parameter muss die Groß- und Kleinschreibung nicht berücksichtigt werden.
Attached Mail File Prefix Optional

Ein Präfix, das den extrahierten Ereignisschlüsseln (z. B. to, from oder subject) aus der angehängten E-Mail-Datei hinzugefügt werden soll, die im überwachten Postfach empfangen wurde.

Der Standardwert ist attach.
Original Received Mail Prefix Optional

Ein Präfix, das den extrahierten Ereignisschlüsseln (z. B. to, from oder subject) aus der ursprünglichen E-Mail hinzugefügt werden soll, die im überwachten Postfach empfangen wurde.

Der Standardwert ist orig.
Attach Original EML Optional

Bei Auswahl dieser Option wird die ursprüngliche E‑Mail als EML-Datei (Elements Markup Language) an die Fallinformationen angehängt.

Diese Option ist standardmäßig nicht ausgewählt.

Create Alert Per Attachment File Optional

Wenn diese Option ausgewählt ist, werden vom Connector mehrere Benachrichtigungen erstellt, nämlich eine für jede angehängte E‑Mail-Datei.

Dieses Verhalten ist nützlich, wenn Sie E‑Mails mit mehreren angehängten E‑Mail-Dateien verarbeiten und die Google SecOps-Ereigniszuordnung so festlegen, dass Entitäten aus angehängten E‑Mail-Dateien erstellt werden.

Diese Option ist standardmäßig nicht ausgewählt.
Max Emails Per Cycle Optional

Die maximale Anzahl von E-Mails, die für jede Connector-Iteration abgerufen werden sollen.

Die maximale Anzahl beträgt 100. Der Standardwert ist 10.
Max Hours Backwards Optional

Anzahl der Stunden vor der ersten Connector-Iteration, aus der Vorfälle abgerufen werden sollen. Dieser Parameter gilt für den ersten Connector-Durchlauf, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel.

Der Standardwert ist 24.
Case Name Template Optional

Ein benutzerdefinierter Fallname.

Wenn Sie diesen Parameter konfigurieren, fügt der Connector dem Google SecOps-Ereignis einen neuen Schlüssel namens custom_case_name hinzu.

Sie können Platzhalter im folgenden Format angeben: [name of the field].

Beispiel: Phishing - [event_mailbox].

Bei Platzhaltern wird das erste Google SecOps-Ereignis verwendet. Der Connector verarbeitet nur Schlüssel, die den Stringwert enthalten. Wenn Sie diesen Parameter konfigurieren möchten, geben Sie Ereignisfelder ohne Präfixe an.
Alert Name Template Optional

Ein benutzerdefinierter Name für die Benachrichtigung.

Sie können Platzhalter im folgenden Format angeben: [name of the field].

Beispiel: Phishing - [event_mailbox].

Für Platzhalter verwendet der Connector das erste Google SecOps SOAR-Ereignis. Der Connector verarbeitet nur Schlüssel, die den Stringwert enthalten. Wenn Sie keinen Wert oder eine ungültige Vorlage angeben, verwendet der Connector den Standardnamen für Benachrichtigungen. Wenn Sie diesen Parameter konfigurieren möchten, geben Sie Ereignisfelder ohne Präfixe an.
Verify SSL Erforderlich

Wenn diese Option ausgewählt ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zu Gmail gültig ist. Standardmäßig ausgewählt.
Proxy Server Address Optional

Die Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Der Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Gmail Connector unterstützt die dynamische Liste.

Wenn Sie bestimmte Werte aus dem E‑Mail-Text und ‑Betreff filtern möchten, verwenden Sie die regulären Ausdrücke für dynamische Listen im folgenden Format: key: regex, z. B. subject: (?<=Subject: ).*. Nachdem beispielsweise eine Übereinstimmung für den regulären Ausdruck subject: (?<=Subject: ).* gefunden wurde, erstellt der Connector ein Google SecOps-Benachrichtigungsereignis und fügt ihm einen neuen Schlüssel mit dem Namen subject hinzu. Der neue Schlüsselwert entspricht dem regulären Ausdruck.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten