Integra Gmail con Google SecOps

En este documento, se explica cómo integrar Gmail en Google Security Operations.

Casos de uso

La integración de Gmail usa las funciones de Google SecOps para admitir los siguientes casos de uso:

  • Contención automatizada de phishing: Busca y borra correos electrónicos maliciosos en toda la organización para evitar que los usuarios interactúen con agentes de amenazas.

  • Análisis forense de correos electrónicos: Recupera los encabezados, los archivos adjuntos y el contenido del cuerpo de los mensajes para analizarlos durante una investigación activa.

  • Notificación de incidentes: Automatiza la comunicación enviando alertas de seguridad, actualizaciones de investigaciones o instrucciones de solución a las partes interesadas directamente desde una guía.

  • Administración de buzones de correo: Enumera los mensajes de los usuarios o audita las etiquetas para identificar patrones en las campañas de phishing segmentadas.

Antes de comenzar

Antes de configurar la integración de Gmail en Google SecOps, completa los siguientes pasos de requisitos previos:

  1. Habilita la API de Gmail.

  2. Crea una cuenta de servicio.

  3. Delega la autoridad para todo el dominio a tu cuenta de servicio.

  4. Elige y configura uno de los siguientes métodos de autenticación:

    • Opción 1: Workload Identity (recomendado): Este método usa tokens de acceso temporales de corta duración a través de la identidad temporal como cuenta de servicio, por lo que no necesitas almacenar secretos.

    • Opción 2: Clave JSON de la cuenta de servicio: Este método se basa en un archivo de clave secreta estático y de larga duración. Usa este método solo si la autenticación de Workload Identity no está disponible en tu entorno.

Habilita la API de Gmail

Debes habilitar la API de Gmail en tu organización de Google Cloud para que la integración se comunique con Google Workspace.

  1. En la consola de Google Cloud , ve a Biblioteca.

    Ir a la biblioteca

  2. Busca y habilita la API de Gmail.

Crea una cuenta de servicio

Para crear una cuenta de servicio para la integración, completa los siguientes pasos:

  1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio.

    Ir a Cuentas de servicio

  2. Haz clic en addCrear cuenta de servicio.

  3. Proporciona un nombre (como "Integración de IAM de SecOps") y una descripción.

  4. Haz clic en Crear y continuar.

  5. Omite los pasos opcionales de asignación de roles y haz clic en Listo.

  6. Busca la cuenta de servicio en la lista y copia su ID de cliente (también llamado ID único) y su dirección de correo electrónico. Los necesitas para la delegación de todo el dominio.

Delega la autoridad para todo el dominio

Las cuentas de servicio no tienen sus propios buzones de correo. Debes delegar la autoridad en todo el dominio a la cuenta de servicio para que pueda actuar en nombre de los usuarios de tu organización.

  1. En la Consola del administrador de Google de tu dominio, ve al Menú principal > Seguridad > Control de acceso y datos > Controles de API.

  2. En el panel Delegación de todo el dominio, selecciona Administrar la delegación de todo el dominio.

  3. Haz clic en Agregar nueva.

  4. En el campo ID de cliente, ingresa el ID único (ID de cliente) de la cuenta de servicio que creaste.

  5. En el campo Permisos de OAuth, ingresa la siguiente lista de permisos delimitados por comas:

    https://mail.google.com/,
https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.group.member,
https://www.googleapis.com/auth/admin.directory.customer.readonly,
https://www.googleapis.com/auth/admin.directory.domain.readonly,
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/admin.directory.user.alias,
https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,
https://www.googleapis.com/auth/apps.groups.settings

  6. Haz clic en Autorizar.

Configura las credenciales de Workload Identity

Elige este método o el de clave JSON para autenticar la integración. Se recomienda usar Workload Identity porque utiliza tokens de acceso temporales de corta duración a través de la identidad temporal como cuenta de servicio.

Identifica la identidad única de la instancia

Para autenticarte con una Workload Identity, debes otorgar permiso a tu instancia de Google SecOps para que actúe en nombre de tu cuenta de servicio. Esto permite que la instancia acceda de forma segura a los recursos de Google Cloud .

  1. En Google SecOps, ve a Centro de contenido > Integraciones de respuesta.

  2. Selecciona la integración de Gmail y, luego, ingresa el correo electrónico de tu cuenta de servicio en Workload Identity Email.

  3. Haz clic en Guardar > Probar. Se espera que la prueba falle.

  4. Haz clic en close_small a la derecha de Prueba y busca en el mensaje de error el correo electrónico de identidad que comienza con gke-init-python@... o soar-python@....

  5. Copia esta dirección de correo electrónico única.

Autoriza la identidad de la instancia en Google Cloud

Una vez que hayas recuperado la identidad única de tu instancia de Google SecOps, debes autorizarla para que acceda a tus recursos deGoogle Cloud . Este paso permite que la plataforma actúe en nombre de la cuenta de servicio, genere tokens de corta duración y actúe en tu nombre sin claves estáticas.

  1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio.

    Ir a Cuentas de servicio

  2. Selecciona la cuenta de servicio de destino y ve a Permisos > Otorgar acceso.

  3. Pega la dirección de correo electrónico única en el campo Principales nuevas y asigna el rol de Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator).

Configura una clave JSON

Elige este método o el de Workload Identity para autenticar la integración. Usa el método de clave JSON solo si Workload Identity no está disponible en tu entorno. Workload Identity es el enfoque recomendado y más seguro. Este método se basa en un archivo de clave secreta estático y de larga duración que requiere administración y rotación manuales.

Usa el siguiente procedimiento para generar el archivo de claves JSON necesario para autenticar la integración:

  1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio y selecciona la cuenta de servicio que creaste.

    Ir a Cuentas de servicio

  2. Ve a la pestaña Claves.

  3. Haz clic en Agregar clave > Crear clave nueva.

  4. Selecciona JSON como el tipo de clave y haz clic en Crear. El navegador descarga el archivo JSON en tu computadora.

  5. Copia todo el contenido de este archivo y pégalo en Contenido del archivo JSON de la cuenta de servicio durante la configuración de la integración.

Parámetros de integración

La integración de Gmail requiere los siguientes parámetros:

Parámetro Descripción
Default Mailbox

Obligatorio.

Es la dirección de correo electrónico principal del usuario que usa la integración para enviar o recibir mensajes cuando no se proporciona un buzón de correo específico en una acción.
Service Account JSON File Content

Es opcional.

Es el contenido completo del archivo JSON de la clave de la cuenta de servicio.

Solo usa este parámetro si te autenticas con una clave JSON.
Workload Identity Email

Es opcional.

Es la dirección de correo electrónico del cliente de tu cuenta de servicio.

Usa este parámetro solo si te autenticas con una identidad de Workload.
Verify SSL

Obligatorio.

Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Gmail.

Habilitada de forma predeterminada.

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Agrega una etiqueta de correo electrónico

Usa la acción Agregar etiqueta de correo electrónico para agregar una etiqueta al correo electrónico especificado.

Esta acción es asíncrona. Ajusta el tiempo de espera de la acción en el entorno de desarrollo integrado (IDE) de Google SecOps según corresponda.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Agregar etiqueta de correo electrónico requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo del que se espera una respuesta, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración. Este parámetro acepta varios valores como una lista separada por comas.
Internet Message ID Optional

Es el ID del mensaje de Internet de un correo electrónico que se buscará.

Este parámetro acepta varios valores como una cadena separada por comas.

Si proporcionas el ID del mensaje de Internet, la acción ignorará los parámetros Subject Filter, Sender Filter y Time Frame (minutes).
Labels Filter Optional

Es una condición de filtro que especifica las etiquetas de correo electrónico que se deben buscar.

Este parámetro acepta varios valores como una cadena separada por comas.

El valor predeterminado es Inbox.

Puedes buscar correos electrónicos con etiquetas específicas, como label1, label2. Para buscar correos electrónicos que no tengan la etiqueta específica, usa el siguiente formato: -label1. Puedes configurar este parámetro para buscar correos electrónicos con y sin etiquetas específicas en una cadena, como label1, -label2, label3.
Subject Filter Optional

Es una condición de filtro que especifica el asunto del correo electrónico que se buscará.

Este filtro usa la lógica contains y requiere que especifiques los elementos de búsqueda con palabras completas. Este filtro no admite coincidencias parciales.
Sender Filter Optional

Es una condición de filtro que especifica el remitente del correo electrónico que se buscará.

Este filtro usa la lógica equals.
Time Frame (minutes) Optional

Es una condición de filtro que especifica el período en minutos para buscar correos electrónicos.

El valor predeterminado es de 60 minutos.
Email Status Optional

Es el estado del correo electrónico que se buscará.

Los valores posibles son los siguientes:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

El valor predeterminado es Both Read & Unread Messages.
Label Obligatorio

Es una etiqueta para actualizar el correo electrónico.

Este parámetro acepta varios valores como una lista separada por comas.

Si la etiqueta no existe en un buzón de correo, la acción la crea.

Resultados de la acción

La acción Agregar etiqueta de correo electrónico proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Agregar etiqueta de correo electrónico:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Mensajes de salida

La acción Agregar etiqueta de correo electrónico proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully updated labels for emails in the following mailboxes: MAILBOX_LIST

No emails were found based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

Update is pending for emails in the following mailboxes: MAILBOX_LIST

 La acción se realizó correctamente.
Error executing action "Add Email Label". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Agregar etiqueta de correo electrónico:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Borrar correo electrónico

Usa la acción Borrar correo electrónico para borrar uno o varios correos electrónicos del buzón según los criterios de búsqueda proporcionados. De forma predeterminada, esta acción mueve los correos electrónicos a la papelera. Puedes configurar la acción para borrar correos electrónicos de forma definitiva en lugar de moverlos a la papelera.

La acción Borrar correo electrónico es asíncrona. Ajusta el tiempo de espera de la acción en el IDE de Google SecOps según corresponda.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Borrar correo electrónico requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo del que se espera una respuesta, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración. Este parámetro acepta varios valores como una cadena separada por comas.
Labels Filter Optional

Es una condición de filtro que especifica las etiquetas de correo electrónico que se deben buscar.

Este parámetro acepta varios valores como una cadena separada por comas.

El valor predeterminado es Inbox.

Puedes buscar correos electrónicos con etiquetas específicas, como label1, label2. Para buscar correos electrónicos que no tengan la etiqueta específica, usa el siguiente formato: -label1. Puedes configurar este parámetro para buscar correos electrónicos con y sin etiquetas específicas en una cadena, como label1, -label2, label3.
Internet Message ID Optional

Es el ID del mensaje de Internet de un correo electrónico que se buscará.

Este parámetro acepta varios valores como una cadena separada por comas.

Si proporcionas el ID del mensaje de Internet, la acción ignorará los parámetros Subject Filter, Sender Filter, Labels Filter y Time Frame (minutes).
Subject Filter Optional

Es una condición de filtro que especifica el asunto del correo electrónico que se buscará.

Este filtro usa la lógica contains y requiere que especifiques los elementos de búsqueda con palabras completas. Este filtro no admite coincidencias parciales.
Sender Filter Optional

Es una condición de filtro que especifica el remitente del correo electrónico que se buscará.

Este filtro usa la lógica equals.
Time Frame (minutes) Optional

Es una condición de filtro que especifica el período en minutos para buscar correos electrónicos.

El valor predeterminado es de 60 minutos.
Email Status Optional

Es el estado del correo electrónico que se buscará.

Los valores posibles son los siguientes:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

El valor predeterminado es Both Read & Unread Messages.
Move to Trash Optional

Si se selecciona, la acción mueve los correos electrónicos a la Papelera y no busca en los correos electrónicos con la etiqueta Papelera, a menos que configures el parámetro Labels Filter para que incluya la siguiente etiqueta: Trash. Si no se selecciona, la acción ejecuta una búsqueda en todo el buzón de correo y borra los correos electrónicos de forma permanente.

Esta opción se selecciona de forma predeterminada.

Resultados de la acción

La acción Borrar correo electrónico proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Borrar correo electrónico:

{
"mailbox1": [DELETED_MESSAGE_ID_LIST],
"mailbox2": [DELETED_MESSAGE_ID_LIST]
}
Mensajes de salida

La acción Borrar correo electrónico proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully deleted emails in the following mailboxes: MAILBOX_LIST

No emails to delete based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

The action didn't find any emails based on the specified search criteria.

Pending deletion of emails in the following mailboxes: MAILBOX_LIST

 La acción se realizó correctamente.
Error executing action "Delete Email". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Borrar correo electrónico:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Reenviar correo electrónico

Usa la acción Reenviar correo electrónico para reenviar correos electrónicos, incluidos los que tienen conversaciones anteriores.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Reenviar correo electrónico requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo desde el que se enviará un correo electrónico, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración.
Internet Message ID Obligatorio

Es el ID del mensaje de Internet de un correo electrónico que se buscará.
Send To Obligatorio

Es una cadena de direcciones de correo electrónico separadas por comas para los destinatarios, como user1@example.com, user2@example.com.

CC Optional

Es una cadena de direcciones de correo electrónico separadas por comas para los destinatarios de correo electrónico con copia (CC), como user1@example.com, user2@example.com.
BCC Optional

Es una cadena de direcciones de correo electrónico separadas por comas para los destinatarios de correo electrónico con copia oculta (CCO), como user1@example.com, user2@example.com.
Subject Obligatorio

Es el asunto nuevo del correo electrónico que se reenviará.
Attachments Paths Optional

Es una cadena de rutas de acceso separadas por comas para los archivos adjuntos que se almacenan en el servidor de Google SecOps.
Mail Content Obligatorio

Es el cuerpo del correo electrónico.

Resultados de la acción

La acción Reenviar correo electrónico proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Reenviar correo electrónico:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Mensajes de salida

La acción Reenviar correo electrónico proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully forwarded the MESSAGE_ID email. La acción se realizó correctamente.
Error executing action "Forward Email". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Reenviar correo electrónico:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Ping

Usa la acción Ping para probar la conectividad con Gmail.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

La acción Ping proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully connected to the Google Gmail service with the provided connection parameters! La acción se realizó correctamente.
Failed to connect to the Google Gmail service! Error is ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Quita la etiqueta de correo electrónico

Usa la acción Quitar etiqueta de correo electrónico para quitar una etiqueta del correo electrónico especificado.

Esta acción es asíncrona. Ajusta el tiempo de espera de la acción en el IDE de Google SecOps según corresponda.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Quitar etiqueta de correo electrónico requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo del que se espera una respuesta, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración. Este parámetro acepta varios valores como una lista separada por comas.
Internet Message ID Optional

Es el ID del mensaje de Internet de un correo electrónico que se buscará.

Este parámetro acepta varios valores como una cadena separada por comas.

Si proporcionas el ID del mensaje de Internet, la acción ignorará los parámetros Subject Filter, Sender Filter y Time Frame (minutes).
Labels Filter Optional

Es una condición de filtro que especifica las etiquetas de correo electrónico que se deben buscar.

Este parámetro acepta varios valores como una cadena separada por comas.

El valor predeterminado es Inbox.

Puedes buscar correos electrónicos con etiquetas específicas, como label1, label2. Para buscar correos electrónicos que no tengan la etiqueta específica, usa el siguiente formato: -label1. Puedes configurar este parámetro para buscar correos electrónicos con y sin etiquetas específicas en una cadena, como label1, -label2, label3.
Subject Filter Optional

Es una condición de filtro que especifica el asunto del correo electrónico que se buscará.

Este filtro usa la lógica contains y requiere que especifiques los elementos de búsqueda con palabras completas. Este filtro no admite coincidencias parciales.
Sender Filter Optional

Es una condición de filtro que especifica el remitente del correo electrónico que se buscará.

Este filtro usa la lógica equals.
Time Frame (minutes) Optional

Es una condición de filtro que especifica el período en minutos para buscar correos electrónicos.

El valor predeterminado es de 60 minutos.
Email Status Optional

Es el estado del correo electrónico que se buscará.

Los valores posibles son los siguientes:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

El valor predeterminado es Both Read & Unread Messages.
Label Obligatorio

Es una etiqueta que se quitará de un correo electrónico.

Este parámetro acepta varios valores como una lista separada por comas. Para quitar todas las etiquetas del correo electrónico, configura el valor del parámetro como All.

Resultados de la acción

La acción Quitar etiqueta de correo electrónico proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Quitar etiqueta de correo electrónico:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@mail.gmail.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Mensajes de salida

La acción Quitar etiqueta de correo electrónico proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully updated labels for EMAIL_NUMBER emails in the MAILBOX_NAME mailbox.

The following labels don't exist in the MAILBOX_NAME mailbox: LABEL_LIST

None of the provided labels exists in the MAILBOX_NAME mailbox.

 La acción se realizó correctamente.
Error executing action "Remove Email Label". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Quitar etiqueta de correo electrónico:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Guarda el correo electrónico en el caso

Usa la acción Guardar correo electrónico en el caso para guardar correos electrónicos o archivos adjuntos de correos electrónicos en el muro de casos de acción en Google SecOps.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Guardar correo electrónico en el caso requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo del que se espera una respuesta, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración.
Internet Message ID Obligatorio

Es el ID del mensaje de Internet de un correo electrónico que se buscará.
Save Only Email Attachments Optional

Si se selecciona, la acción solo guarda los archivos adjuntos del correo electrónico especificado.

No se selecciona de forma predeterminada.
Attachment To Save Optional

Si seleccionaste el parámetro Save Only Email Attachments, la acción solo guarda los archivos adjuntos que especifiques en este parámetro.

Este parámetro acepta varios valores como una cadena separada por comas.
Base64 Encode Optional

Si se selecciona, la acción codifica el archivo de correo electrónico en un formato Base64.

No se selecciona de forma predeterminada.

Resultados de la acción

La acción Save Email To The Case proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos Disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Archivo adjunto del muro de casos

La acción Guardar correo electrónico en el caso guarda los correos electrónicos y los archivos adjuntos como evidencias de casos en Google SecOps.

En la siguiente tabla, se describen los archivos que guarda la acción:

Archivo guardado Nombre y formato
Correo electrónico EMAIL_SUBJECT.eml
Email attachment ATTACHMENT_NAME. ATTACHMENT_EXTENSION
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Guardar correo electrónico en el caso:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Mensajes de salida

La acción Guardar correo electrónico en el caso proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully saved the INTERNET_MESSAGE_ID email.

Successfully saved the following attachments from the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

The following attachments were not found in the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

 La acción se realizó correctamente.
Error executing action "Save Email To The Case". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Guardar correo electrónico en el caso:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Cómo buscar correos electrónicos

Usa la acción Buscar correos electrónicos para ejecutar la búsqueda de correos electrónicos en un buzón de correo especificado con los criterios de búsqueda proporcionados.

Esta acción es asíncrona. Ajusta el tiempo de espera de la acción en el IDE de Google SecOps según corresponda.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Buscar correos electrónicos requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo del que se espera una respuesta, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración. Este parámetro acepta varios valores como una lista separada por comas.
Labels Filter Optional

Es una condición de filtro que especifica las etiquetas de correo electrónico que se deben buscar.

Este parámetro acepta varios valores como una cadena separada por comas.

El valor predeterminado es Inbox.

Puedes buscar correos electrónicos con etiquetas específicas, como label1, label2. Para buscar correos electrónicos que no tengan la etiqueta específica, usa el siguiente formato: -label1. Puedes configurar este parámetro para buscar correos electrónicos con y sin etiquetas específicas en una cadena, como label1, -label2, label3.
Internet Message ID Optional

Es el ID del mensaje de Internet de un correo electrónico que se buscará.

Este parámetro acepta varios valores como una cadena separada por comas.

Si proporcionas el ID del mensaje de Internet, la acción ignorará los parámetros Subject Filter, Sender Filter, Labels Filter, Recipient Filter, Time Frame (minutes) y Email Status.
Subject Filter Optional

Es una condición de filtro que especifica el asunto del correo electrónico que se buscará.
Sender Filter Optional

Es una condición de filtro que especifica el remitente del correo electrónico que se buscará.
Recipient Filter Optional

Es una condición de filtro que especifica el destinatario del correo electrónico que se buscará.
Time Frame (minutes) Optional

Es una condición de filtro que especifica el período en minutos para buscar correos electrónicos.

El valor predeterminado es de 60 minutos.
Email Status Optional

Es el estado del correo electrónico que se buscará.

Los valores posibles son los siguientes:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

El valor predeterminado es Both Read & Unread Messages.
Headers To Return Optional

Es una lista separada por comas de los encabezados que se devolverán en el resultado de la acción.

La acción siempre devuelve los siguientes encabezados: date, from, to, cc, bcc, in-reply-to, reply-to, message-id y subject.

Si no proporcionas ningún valor, la acción devuelve todos los encabezados.

Este parámetro no distingue mayúsculas de minúsculas.
Return Email Body Optional

Si se selecciona, la acción devuelve el contenido completo del cuerpo de un correo electrónico en el resultado de la acción. Si no se selecciona, la información sobre los nombres de los archivos adjuntos en el correo electrónico no estará disponible.

No se selecciona de forma predeterminada.
Max Emails To Return Optional

Es la cantidad máxima de correos electrónicos que devolverá la acción.

El valor predeterminado es 50.

Resultados de la acción

La acción Buscar correos electrónicos proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos Disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Tabla del muro de casos

La acción Buscar correos electrónicos proporciona la siguiente tabla:

Título de la tabla: Correos electrónicos encontrados

Columnas:

  • Message_id
  • Fecha de recepción
  • Remitente
  • Destinatarios
  • Asunto
  • Fragmento del cuerpo del correo electrónico
  • Nombres de los archivos adjuntos
  • Opcional: Se encontró en el buzón de correo
Resultado de JSON

En el siguiente ejemplo, se describe el resultado en formato JSON que se recibe cuando se usa la acción Buscar correos electrónicos:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Mensajes de salida

La acción Buscar correos electrónicos proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully found emails in the following mailboxes: MAILBOX_LIST

No emails found in the following mailboxes: MAILBOX_LIST

Pending search for emails in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Please check the spelling.

The action was not able to find any emails based on the specified search criteria.

 La acción se realizó correctamente.
Error executing action "Search For Emails". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Buscar correos electrónicos:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Enviar correo electrónico

Usa la acción Enviar correo electrónico para enviar un correo electrónico según los parámetros proporcionados.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Enviar correo electrónico requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo desde el que se enviará un correo electrónico, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración.
Subject Obligatorio

Es el asunto del correo electrónico que se enviará.
Send To Obligatorio

Es una cadena de direcciones de correo electrónico separadas por comas para los destinatarios, como user1@example.com, user2@example.com.

CC Optional

Es una cadena de direcciones de correo electrónico separadas por comas para los destinatarios de correo electrónico con copia (CC), como user1@example.com, user2@example.com.
BCC Optional

Es una cadena de direcciones de correo electrónico separadas por comas para los destinatarios de correo electrónico con copia oculta (CCO), como user1@example.com, user2@example.com.
Attachments Paths Optional

Es una cadena de rutas de acceso separadas por comas para los archivos adjuntos que se almacenan en el servidor de Google SecOps.
Mail Content Obligatorio

Es el cuerpo del correo electrónico.
Reply-To Recipients Optional

Es una lista separada por comas de los destinatarios que se usarán en el encabezado Reply-To.

Usa el encabezado Reply-To para redireccionar los correos electrónicos de respuesta a la dirección de correo electrónico específica en lugar de la dirección del remitente que se indica en el campo From.

Resultados de la acción

La acción Enviar correo electrónico proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Enviar correo electrónico:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Mensajes de salida

La acción Enviar correo electrónico proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Email was sent successfully. La acción se realizó correctamente.
Error executing action "Send Email". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Enviar correo electrónico:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Enviar respuesta en la conversación

Usa la acción Enviar respuesta al hilo para enviar un mensaje como respuesta al hilo de correos electrónicos.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Enviar respuesta al hilo requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo del que se espera una respuesta, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración.
Internet Message ID Obligatorio

Es el ID del mensaje de Internet de un correo electrónico que se buscará.
Reply To Optional

Es una lista separada por comas de los correos electrónicos a los que se enviará la respuesta.

Si no proporcionas ningún valor y la casilla de verificación Reply All está desmarcada, la acción solo envía una respuesta al remitente del correo electrónico original. Si seleccionas el parámetro Reply All, la acción lo ignorará.
Reply All Optional

Si se selecciona, la acción envía una respuesta a todos los destinatarios relacionados con el correo electrónico original.

Este parámetro tiene prioridad sobre el parámetro Reply To.

No se selecciona de forma predeterminada.
Attachments Paths Optional

Es una cadena de rutas de acceso separadas por comas para los archivos adjuntos que se almacenan en el servidor de Google SecOps.
Mail Content Obligatorio

Es el cuerpo del correo electrónico.

Resultados de la acción

La acción Enviar respuesta al hilo proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Enviar respuesta al hilo:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Mensajes de salida

La acción Enviar respuesta al hilo proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully sent a thread reply to the INTERNET_MESSAGE_ID email. La acción se realizó correctamente.
Error executing action "Sent Thread Reply". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores de la salida del resultado de la secuencia de comandos cuando se usa la acción Enviar respuesta de conversación:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Espera la respuesta de la conversación

Usa la acción Wait For Thread Reply para esperar la respuesta del usuario en función de un correo electrónico enviado con la acción Send Email.

Esta acción es asíncrona. Ajusta el tiempo de espera de la acción en el IDE de Google SecOps según corresponda.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Wait For Thread Reply requiere los siguientes parámetros:

Parámetro Descripción
Mailbox Obligatorio

Un buzón de correo del que se espera una respuesta, como user@example.com.

De forma predeterminada, la acción usa el buzón de correo predeterminado que configuraste para la integración. Este parámetro acepta varios valores como una lista separada por comas.
Internet Message ID Obligatorio

Es el ID del mensaje de Internet de un correo electrónico para que la acción espere. Si el mensaje se envió con la acción Enviar correo electrónico, configura este parámetro con el marcador de posición SendEmail.JSONResult|message_id.

Para recuperar un ID de mensaje de Internet, usa la acción Buscar correos electrónicos.
Wait for All Recipients to Reply Optional

Si se selecciona, la acción espera las respuestas de todos los destinatarios hasta que se agote el tiempo de espera.

No se selecciona de forma predeterminada.
Fetch Response Attachments Optional

Si se selecciona y la respuesta del destinatario contiene archivos adjuntos, la acción recupera los archivos adjuntos del correo electrónico y los agrega como un archivo adjunto al muro del caso en Google SecOps.

No se selecciona de forma predeterminada.

Resultados de la acción

La acción Wait For Thread Reply proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Archivo adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Espera la respuesta del hilo:

[
   {
       "Entity": "reply@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "reply@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "reply@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Mensajes de salida

La acción Wait For Thread Reply proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Found replies from the following users: USERS

Waiting for replies from the following users: USERS

 La acción se realizó correctamente.
Error executing action "Wait For Thread Reply". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Esperar respuesta del hilo:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Conectores

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta Transferir tus datos (conectores).

Conector de Gmail

Usa el conector de Gmail para recuperar correos electrónicos de Gmail de un buzón de correo específico.

El conector de Gmail no transfiere correos electrónicos con una etiqueta Programado por los siguientes motivos:

  • El conector solo transfiere los correos electrónicos enviados. La etiqueta Programado significa que los correos electrónicos solo están programados, no enviados.
  • El conector requiere marcas de tiempo para recuperar los correos electrónicos. Los correos electrónicos programados no tienen marcas de tiempo.

Entradas del conector

El conector de Gmail requiere los siguientes parámetros:

Parámetro Descripción
Product Field Name Obligatorio

Es el nombre del campo en el que se almacena el nombre del producto.

El valor predeterminado es device_product.
Event Field Name Obligatorio

Es el nombre del campo que se usa para determinar el nombre del evento (subtipo).

El valor predeterminado es event_name.
Environment Field Name Optional

Es el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo de entorno, este se establece en "".

Environment Regex Pattern Optional

Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo de entorno con la lógica de expresiones regulares.

Usa el valor predeterminado .* para recuperar el valor Environment Field Name sin procesar requerido.

Si el patrón de expresión regular es nulo o está vacío, o el valor del entorno es nulo, el resultado final del entorno es "".
Email Exclude Pattern Optional

Es una expresión regular para excluir correos electrónicos específicos de la transferencia, como spam o noticias.

Este parámetro funciona con el asunto y el cuerpo de un correo electrónico. Por ejemplo, para excluir los correos electrónicos de respuesta automática de la transferencia, puedes configurar la siguiente expresión regular: (?i)(auto|no)(\s|-)?re(ply|sponse|sponder).
Script Timeout (Seconds) Obligatorio

Es el límite de tiempo de espera (en segundos) para el proceso de Python que ejecuta la secuencia de comandos actual.

El valor predeterminado es 300 segundos.
Service Account JSON File Content Optional

Es el contenido del archivo JSON de la clave de la cuenta de servicio.

Puedes configurar este parámetro o el parámetro Workload Identity Email.

Para configurar este parámetro, proporciona el contenido completo del archivo JSON de la clave de la cuenta de servicio que descargaste cuando creaste una cuenta de servicio.
Workload Identity Email Optional

Es la dirección de correo electrónico del cliente de tu cuenta de servicio.

Puedes configurar este parámetro o el parámetro Service Account JSON File Content.

Para actuar en nombre de cuentas de servicio con cargas de trabajo, otorga el rol Service Account Token Creator a tu cuenta de servicio de Google SecOps.
Disable Overflow Optional

Si se selecciona, el conector ignora el mecanismo de desbordamiento de Google SecOps durante la creación de alertas.

No se selecciona de forma predeterminada.
Default Mailbox Obligatorio

Una dirección de correo electrónico que se usará como buzón predeterminado para la integración, como user@example.com.
Labels Filter Optional

Son las etiquetas de los correos electrónicos que se transferirán a Google SecOps.

El conector admite etiquetas anidadas. Proporciona las etiquetas en un formato que sea aceptable para Gmail, como Inbox-label1-label2.
Email Status Optional

Es el estado del correo electrónico que se buscará.

Los valores posibles son los siguientes:

  • Both
  • Read
  • Unread
El valor predeterminado es Both.
Extract Headers Optional

Son los valores de encabezado que se filtrarán de la lista de internetMessageHeaders y se agregarán a un evento de Google SecOps.

De forma predeterminada, el conector agrega todos los encabezados al evento. Para agregar solo encabezados específicos, ingrésalos como una lista separada por comas, como DKIM-Siganture, Received, From. Para evitar que el conector agregue un encabezado, ingresa el valor None.

Este parámetro no distingue mayúsculas de minúsculas.
Attached Mail File Prefix Optional

Es un prefijo que se agregará a las claves de eventos extraídas (por ejemplo, to, from o subject) del archivo de correo electrónico adjunto que se recibió en el buzón de correo supervisado.

El valor predeterminado es attach.
Original Received Mail Prefix Optional

Es un prefijo que se agregará a las claves de eventos extraídas (por ejemplo, to, from o subject) del correo electrónico original recibido en el buzón de correo supervisado.

El valor predeterminado es orig.
Attach Original EML Optional

Si se selecciona, el conector adjunta el correo electrónico original a la información del caso como un archivo de lenguaje de marcado de elementos (EML).

No se selecciona de forma predeterminada.

Create Alert Per Attachment File Optional

Si se selecciona, el conector crea varias alertas, con una alerta para cada archivo de correo electrónico adjunto.

Este comportamiento es útil cuando procesas correos electrónicos con varios archivos de correo electrónico adjuntos y configuras la asignación de eventos de Google SecOps para crear entidades a partir de archivos de correo electrónico adjuntos.

No se selecciona de forma predeterminada.
Max Emails Per Cycle Optional

Es la cantidad máxima de correos electrónicos que se recuperarán en cada iteración del conector.

La cantidad máxima es 100. El valor predeterminado es 10.
Max Hours Backwards Optional

Es la cantidad de horas antes de la primera iteración del conector desde la que se recuperarán los incidentes. Este parámetro se aplica a la iteración inicial del conector después de que lo habilitas por primera vez o al valor de resguardo para una marca de tiempo del conector vencida.

El valor predeterminado es 24.
Case Name Template Optional

Un nombre de caso personalizado

Cuando configuras este parámetro, el conector agrega una clave nueva llamada custom_case_name al evento de Google SecOps.

Puedes proporcionar marcadores de posición con el siguiente formato: [name of the field].

Ejemplo: Phishing - [event_mailbox].

Para los marcadores de posición, el conector usa el primer evento de Google SecOps. El conector solo controla las claves que contienen el valor de cadena. Para configurar este parámetro, especifica los campos de evento sin prefijos.
Alert Name Template Optional

Un nombre de alerta personalizado.

Puedes proporcionar marcadores de posición con el siguiente formato: [name of the field].

Ejemplo: Phishing - [event_mailbox].

Para los marcadores de posición, el conector usa el primer evento de Google SecOps SOAR. El conector solo controla las claves que contienen el valor de cadena. Si no proporcionas ningún valor o una plantilla no válida, el conector usará el nombre de alerta predeterminado. Para configurar este parámetro, especifica los campos de evento sin prefijos.
Verify SSL Obligatorio

Si se selecciona, la integración verifica que el certificado SSL para conectarse a Gmail sea válido. Esta opción se selecciona de forma predeterminada.
Proxy Server Address Optional

Es la dirección del servidor proxy que se usará.
Proxy Username Optional

Es el nombre de usuario del proxy con el que se autenticará.
Proxy Password Optional

Es la contraseña del proxy con la que se realizará la autenticación.

Reglas del conector

El conector de Gmail admite la lista dinámica.

Para filtrar valores específicos del cuerpo y el asunto del correo electrónico, usa las expresiones regulares de la lista dinámica con el siguiente formato: key: regex, como subject: (?<=Subject: ).*. Por ejemplo, después de encontrar una coincidencia para la expresión regular subject: (?<=Subject: ).*, el conector crea un evento de alerta de Google SecOps y le agrega una clave nueva con el nombre subject. El nuevo valor de clave coincide con la expresión regular.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.