שילוב של Gmail עם Google SecOps

במאמר הזה מוסבר איך לשלב את Gmail עם Google Security Operations.

תרחישים לדוגמה

השילוב של Gmail משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:

  • הכלה אוטומטית של פישינג: חיפוש ומחיקה של אימיילים זדוניים בכל הארגון כדי למנוע אינטראקציה של המשתמשים עם גורמים זדוניים.

  • ניתוח פורנזי של אימיילים: אחזור של כותרות, קבצים מצורפים ותוכן של גוף ההודעה לצורך ניתוח במהלך חקירה פעילה.

  • התראות על אירועים: שליחה אוטומטית של התראות אבטחה, עדכונים על חקירות או הוראות לתיקון בעיות לבעלי העניין ישירות מתוך הפלייבוק.

  • ניהול תיבת הדואר: הצגת רשימה של הודעות המשתמשים או תוויות הביקורת כדי לזהות דפוסים בקמפיינים ממוקדים של פישינג.

לפני שמתחילים

לפני שמגדירים את השילוב של Gmail ב-Google SecOps, צריך לבצע את השלבים הבאים:

  1. מפעילים את Gmail API.

  2. יוצרים חשבון שירות.

  3. הענקת גישה ברמת הדומיין לחשבון השירות.

  4. בוחרים אחת משיטות האימות הבאות ומגדירים אותה:

    • אפשרות 1: Workload Identity (מומלץ): בשיטה הזו משתמשים בטוקני גישה זמניים לטווח קצר באמצעות התחזות לחשבון שירות, כך שלא צריך לאחסן סודות.

    • אפשרות 2: מפתח JSON של חשבון שירות: השיטה הזו מסתמכת על קובץ מפתח סודי סטטי לטווח ארוך. השתמשו בשיטה הזו רק אם אימות של Workload Identity לא זמין בסביבה שלכם.

הפעלת Gmail API

כדי שהשילוב יתקשר עם Google Workspace, צריך להפעיל את Gmail API Google Cloud בארגון.

  1. במסוף Google Cloud , נכנסים לדף Library.

    מעבר לספרייה

  2. מחפשים את Gmail API ומפעילים אותו.

יצירה של חשבון שירות

כדי ליצור חשבון שירות לשילוב, מבצעים את השלבים הבאים:

  1. במסוף Google Cloud , נכנסים לדף IAM & Admin > Service Accounts.

    לדף Service accounts

  2. לוחצים על addCreate service account.

  3. נותנים שם (למשל, "SecOps IAM Integration") ותיאור.

  4. לוחצים על Create and continue.

  5. מדלגים על השלבים האופציונליים של הקצאת התפקידים ולוחצים על Done.

  6. מאתרים את חשבון השירות ברשימה ומעתיקים את מזהה הלקוח שלו (נקרא גם מזהה ייחודי) ואת כתובת האימייל. הם נדרשים להענקת גישה ברמת הדומיין.

הענקת גישה ברמת הדומיין

לחשבונות שירות אין תיבות דואר משלהם. אתם צריכים להעניק לחשבון השירות הרשאות גישה ברמת הדומיין כדי שהוא יוכל להתחזות למשתמשים בארגון.

  1. במסוף Google Admin של הדומיין, נכנסים אל התפריט הראשי > אבטחה > שליטה בגישה ובנתונים > אמצעי בקרה לממשקי API.

  2. בחלונית Domain wide delegation, בוחרים באפשרות Manage Domain Wide Delegation.

  3. לוחצים על הוספה.

  4. בשדה Client ID, מזינים את מזהה ייחודי (מזהה הלקוח) של חשבון השירות שיצרתם.

  5. בשדה OAuth Scopes, מזינים את רשימת ההיקפים הבאה, מופרדים בפסיקים:

    https://mail.google.com/,
https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.group.member,
https://www.googleapis.com/auth/admin.directory.customer.readonly,
https://www.googleapis.com/auth/admin.directory.domain.readonly,
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/admin.directory.user.alias,
https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,
https://www.googleapis.com/auth/apps.groups.settings

  6. לוחצים על Authorize.

הגדרת פרטי הכניסה של Workload Identity

כדי לאמת את השילוב, אפשר לבחור בשיטה הזו או בשיטת מפתח ה-JSON. השימוש ב-Workload Identity הוא הגישה המומלצת, כי הוא משתמש באסימוני גישה זמניים לטווח קצר באמצעות התחזות לחשבון שירות.

זיהוי המופע הייחודי של הזהות

כדי לבצע אימות באמצעות Workload Identity, צריך לתת למכונה של Google SecOps הרשאה להתחזות לחשבון השירות. כך המכונה יכולה לגשת בצורה מאובטחת למשאבים של Google Cloud .

  1. ב-Google SecOps, עוברים אל Content Hub > Response Integrations.

  2. בוחרים את השילוב של Gmail ומזינים את כתובת האימייל של חשבון השירות בשדה Workload Identity Email.

  3. לוחצים על שמירה > בדיקה. הבדיקה צפויה להיכשל.

  4. לוחצים על close_small משמאל ל-Test ומחפשים בהודעת השגיאה את כתובת האימייל של הזהות שמתחילה ב-gke-init-python@... או ב-soar-python@....

  5. מעתיקים את כתובת האימייל הייחודית הזו.

אישור זהות המכונה ב- Google Cloud

אחרי שמאחזרים את הזהות הייחודית של המכונה של Google SecOps, צריך לתת לה הרשאה לגשת למשאבים שלGoogle Cloud . השלב הזה מאפשר לפלטפורמה להתחזות לחשבון השירות, ליצור אסימונים לטווח קצר ולפעול בשמכם בלי מפתחות סטטיים.

  1. במסוף Google Cloud , נכנסים לדף IAM & Admin > Service Accounts.

    לדף Service accounts

  2. בוחרים את חשבון השירות הרצוי ועוברים אל Permissions > Grant Access.

  3. מדביקים את כתובת האימייל הייחודית בשדה New principals ומקצים את התפקיד Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

הגדרת מפתח JSON

כדי לאמת את השילוב, בוחרים בשיטה הזו או בשיטת Workload Identity. השתמשו בשיטת מפתח ה-JSON רק אם Workload Identity לא זמין בסביבה שלכם. הגישה המומלצת והמאובטחת יותר היא להשתמש ב-Workload Identity. השיטה הזו מסתמכת על קובץ מפתח סודי סטטי לטווח ארוך, שצריך לנהל ולהחליף באופן ידני.

כדי ליצור את קובץ מפתח ה-JSON שנדרש לאימות השילוב, פועלים לפי השלבים הבאים:

  1. במסוף Google Cloud , נכנסים לדף IAM & Admin > Service Accounts ובוחרים את חשבון השירות שיצרתם.

    לדף Service accounts

  2. עוברים לכרטיסייה Keys.

  3. לוחצים על Add key > Create new key.

  4. בוחרים באפשרות JSON בתור סוג המפתח ולוחצים על Create. הדפדפן מוריד את קובץ ה-JSON למחשב.

  5. מעתיקים את כל התוכן של הקובץ הזה ומדביקים אותו בשדה Service Account JSON File Content (תוכן קובץ ה-JSON של חשבון השירות) במהלך הגדרת השילוב.

פרמטרים של שילוב

השילוב של Gmail דורש את הפרמטרים הבאים:

פרמטר תיאור
Default Mailbox

חובה.

כתובת האימייל הראשית של המשתמש שהשילוב משתמש בה כדי לשלוח או לקבל הודעות כשלא צוינה תיבת דואר ספציפית בפעולה.
Service Account JSON File Content

זה שינוי אופציונלי.

התוכן המלא של קובץ ה-JSON של מַפְתח חשבון השירות.

השתמשו בפרמטר הזה רק אם אתם מבצעים אימות באמצעות מפתח JSON.
Workload Identity Email

זה שינוי אופציונלי.

כתובת האימייל של הלקוח בחשבון השירות.

צריך להשתמש בפרמטר הזה רק אם מבצעים אימות באמצעות Workload Identity.
Verify SSL

חובה.

אם בוחרים באפשרות הזו, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Gmail.

מופעלת כברירת מחדל.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

הוספת תווית לאימייל

משתמשים בפעולה הוספת תווית לאימייל כדי להוסיף תווית לאימייל שצוין.

הפעולה הזו היא אסינכרונית. צריך לשנות את זמן הקצוב לתפוגה של הפעולה בסביבת הפיתוח המשולבת (IDE) של Google SecOps בהתאם.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה הוספת תווית לאימייל דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר שבה מחכים לתשובה, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב. הפרמטר הזה מקבל כמה ערכים כרשימה מופרדת בפסיקים.
Internet Message ID אופציונלי

מזהה ההודעה באינטרנט של האימייל שרוצים לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

אם מספקים את מזהה ההודעה באינטרנט, הפעולה מתעלמת מהפרמטרים Subject Filter,‏ Sender Filter ו-Time Frame (minutes).
Labels Filter אופציונלי

תנאי סינון שמציין את תוויות האימייל שצריך לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

ערך ברירת המחדל הוא Inbox.

אתם יכולים לחפש אימיילים עם תוויות ספציפיות, כמו label1, label2. כדי לחפש אימיילים שאין להם תווית מסוימת, משתמשים בפורמט הבא: -label1. אפשר להגדיר את הפרמטר הזה כדי לחפש אימיילים עם תוויות ספציפיות ובלי תוויות ספציפיות במחרוזת אחת, כמו label1, -label2, label3.
Subject Filter אופציונלי

תנאי סינון שמציין את נושא האימייל שצריך לחפש.

המסנן הזה משתמש בלוגיקה של contains וצריך לציין בו פריטי חיפוש במילים מלאות. המסנן הזה לא תומך בהתאמות חלקיות.
Sender Filter אופציונלי

תנאי סינון שמציין את שולח האימייל שצריך לחפש.

המסנן הזה משתמש בלוגיקה של equals.
Time Frame (minutes) אופציונלי

תנאי סינון שמציין את מסגרת הזמן בדקות לחיפוש אימיילים.

ערך ברירת המחדל הוא 60 דקות.
Email Status אופציונלי

סטטוס האימייל שרוצים לחפש.

הערכים האפשריים הם:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

ערך ברירת המחדל הוא Both Read & Unread Messages.
Label חובה

תווית לעדכון האימייל.

הפרמטר הזה מקבל כמה ערכים כרשימה מופרדת בפסיקים.

אם התווית לא קיימת בתיבת דואר, הפעולה יוצרת את התווית.

ערכי פלט של פעולות

הפעולה הוספת תווית לאימייל מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Add Email Label:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
הודעות פלט

הפעולה הוספת תווית לאימייל מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully updated labels for emails in the following mailboxes: MAILBOX_LIST

No emails were found based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

Update is pending for emails in the following mailboxes: MAILBOX_LIST

 הפעולה בוצעה בהצלחה.
Error executing action "Add Email Label". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הוספת תווית לאימייל:

שם תוצאת הסקריפט ערך
is_success True או False

מחיקת האימייל

הפעולה מחיקת אימייל מאפשרת למחוק אימייל אחד או יותר מתיבת הדואר, על סמך קריטריוני החיפוש שצוינו. כברירת מחדל, הפעולה הזו מעבירה את האימיילים לאשפה. אתם יכולים להגדיר את הפעולה כך שהאימיילים יימחקו באופן סופי במקום לעבור לאשפה.

הפעולה Delete Email היא אסינכרונית. צריך לשנות בהתאם את הזמן הקצוב לתפוגה של הפעולה ב-Google SecOps IDE.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה מחיקת אימייל דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר שבה מחכים לתשובה, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב. הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
Labels Filter אופציונלי

תנאי סינון שמציין את תוויות האימייל שצריך לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

ערך ברירת המחדל הוא Inbox.

אתם יכולים לחפש אימיילים עם תוויות ספציפיות, כמו label1, label2. כדי לחפש אימיילים שאין להם תווית מסוימת, משתמשים בפורמט הבא: -label1. אפשר להגדיר את הפרמטר הזה כדי לחפש אימיילים עם תוויות ספציפיות ובלי תוויות ספציפיות במחרוזת אחת, כמו label1, -label2, label3.
Internet Message ID אופציונלי

מזהה ההודעה באינטרנט של האימייל שרוצים לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

אם מספקים את מזהה ההודעה באינטרנט, הפעולה מתעלמת מהפרמטרים Subject Filter,‏ Sender Filter,‏ Labels Filter ו-Time Frame (minutes).
Subject Filter אופציונלי

תנאי סינון שמציין את נושא האימייל שצריך לחפש.

המסנן הזה משתמש בלוגיקה של contains וצריך לציין בו פריטי חיפוש במילים מלאות. המסנן הזה לא תומך בהתאמות חלקיות.
Sender Filter אופציונלי

תנאי סינון שמציין את שולח האימייל שצריך לחפש.

המסנן הזה משתמש בלוגיקה של equals.
Time Frame (minutes) אופציונלי

תנאי סינון שמציין את מסגרת הזמן בדקות לחיפוש אימיילים.

ערך ברירת המחדל הוא 60 דקות.
Email Status אופציונלי

סטטוס האימייל שרוצים לחפש.

הערכים האפשריים הם:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

ערך ברירת המחדל הוא Both Read & Unread Messages.
Move to Trash אופציונלי

אם בוחרים באפשרות הזו, הפעולה מעבירה אימיילים לאשפה ולא מחפשת באימיילים עם התווית אשפה, אלא אם מגדירים את הפרמטר Labels Filter כך שיכלול את התווית הבאה: Trash. אם לא בוחרים את האפשרות הזו, הפעולה מבצעת חיפוש בכל תיבת הדואר ומוחקת את האימיילים באופן סופי.

האפשרות הזו מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה מחיקת אימייל מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Delete Email:

{
"mailbox1": [DELETED_MESSAGE_ID_LIST],
"mailbox2": [DELETED_MESSAGE_ID_LIST]
}
הודעות פלט

הפעולה מחיקת אימייל מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully deleted emails in the following mailboxes: MAILBOX_LIST

No emails to delete based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

The action didn't find any emails based on the specified search criteria.

Pending deletion of emails in the following mailboxes: MAILBOX_LIST

 הפעולה בוצעה בהצלחה.
Error executing action "Delete Email". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה מחיקת אימייל:

שם תוצאת הסקריפט ערך
is_success True או False

העברת אימייל

אפשר להשתמש בפעולה העברת אימייל כדי להעביר אימיילים, כולל אימיילים עם שרשורים קודמים.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה העברת אימייל דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר לשליחת אימייל, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב.
Internet Message ID חובה

מזהה ההודעה באינטרנט של האימייל שרוצים לחפש.
Send To חובה

מחרוזת של כתובות אימייל שמופרדות בפסיקים, למשל user1@example.com, user2@example.com.

CC אופציונלי

מחרוזת מופרדת בפסיקים של כתובות אימייל של נמענים בשדה "עותק" (CC), למשל user1@example.com, user2@example.com.
BCC אופציונלי

מחרוזת מופרדת בפסיקים של כתובות אימייל של נמענים בעותק מוסתר (BCC), למשל user1@example.com, user2@example.com.
Subject חובה

הנושא החדש של האימייל שרוצים להעביר.
Attachments Paths אופציונלי

מחרוזת של נתיבים מופרדים בפסיקים לקבצים מצורפים שמאוחסנים בשרת Google SecOps.
Mail Content חובה

גוף האימייל.

ערכי פלט של פעולות

הפעולה העברת אימייל מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה העברת אימייל:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
הודעות פלט

הפעולה העברת אימייל מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully forwarded the MESSAGE_ID email. הפעולה בוצעה בהצלחה.
Error executing action "Forward Email". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה העברת אימייל:

שם תוצאת הסקריפט ערך
is_success True או False

פינג

משתמשים בפעולה פינג כדי לבדוק את הקישוריות ל-Gmail.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה פינג מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה פינג מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully connected to the Google Gmail service with the provided connection parameters! הפעולה בוצעה בהצלחה.
Failed to connect to the Google Gmail service! Error is ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה פינג:

שם תוצאת הסקריפט ערך
is_success True או False

הסרת תווית של אימייל

משתמשים בפעולה הסרת תווית מאימייל כדי להסיר תווית מהאימייל שצוין.

הפעולה הזו היא אסינכרונית. צריך לשנות בהתאם את הזמן הקצוב לתפוגה של הפעולה ב-Google SecOps IDE.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה הסרת תווית אימייל דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר שבה מחכים לתשובה, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב. הפרמטר הזה מקבל כמה ערכים כרשימה מופרדת בפסיקים.
Internet Message ID אופציונלי

מזהה ההודעה באינטרנט של האימייל שרוצים לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

אם מספקים את מזהה ההודעה באינטרנט, הפעולה מתעלמת מהפרמטרים Subject Filter,‏ Sender Filter ו-Time Frame (minutes).
Labels Filter אופציונלי

תנאי סינון שמציין את תוויות האימייל שצריך לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

ערך ברירת המחדל הוא Inbox.

אתם יכולים לחפש אימיילים עם תוויות ספציפיות, כמו label1, label2. כדי לחפש אימיילים שאין להם תווית מסוימת, משתמשים בפורמט הבא: -label1. אפשר להגדיר את הפרמטר הזה כדי לחפש אימיילים עם תוויות ספציפיות ובלי תוויות ספציפיות במחרוזת אחת, כמו label1, -label2, label3.
Subject Filter אופציונלי

תנאי סינון שמציין את נושא האימייל שצריך לחפש.

המסנן הזה משתמש בלוגיקה של contains וצריך לציין בו פריטי חיפוש במילים מלאות. המסנן הזה לא תומך בהתאמות חלקיות.
Sender Filter אופציונלי

תנאי סינון שמציין את שולח האימייל שצריך לחפש.

המסנן הזה משתמש בלוגיקה של equals.
Time Frame (minutes) אופציונלי

תנאי סינון שמציין את מסגרת הזמן בדקות לחיפוש אימיילים.

ערך ברירת המחדל הוא 60 דקות.
Email Status אופציונלי

סטטוס האימייל שרוצים לחפש.

הערכים האפשריים הם:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

ערך ברירת המחדל הוא Both Read & Unread Messages.
Label חובה

תווית שרוצים להסיר מאימייל.

הפרמטר הזה מקבל כמה ערכים כרשימה מופרדת בפסיקים. כדי להסיר את כל התוויות מהאימייל, מגדירים את ערך הפרמטר בתור All.

ערכי פלט של פעולות

הפעולה הסרת תווית מאימייל מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Remove Email Label:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@mail.gmail.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
הודעות פלט

הפעולה הסרת תווית אימייל מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully updated labels for EMAIL_NUMBER emails in the MAILBOX_NAME mailbox.

The following labels don't exist in the MAILBOX_NAME mailbox: LABEL_LIST

None of the provided labels exists in the MAILBOX_NAME mailbox.

 הפעולה בוצעה בהצלחה.
Error executing action "Remove Email Label". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הסרת תווית אימייל:

שם תוצאת הסקריפט ערך
is_success True או False

שמירת האימייל בפנייה

משתמשים בפעולה Save Email To The Case כדי לשמור אימייל או קבצים מצורפים לאימייל ב-Case Wall של הפעולה ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה שמירת האימייל בפנייה דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר שבה מחכים לתשובה, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב.
Internet Message ID חובה

מזהה ההודעה באינטרנט של האימייל שרוצים לחפש.
Save Only Email Attachments אופציונלי

אם האפשרות הזו נבחרת, הפעולה שומרת רק קבצים מצורפים מהאימייל שצוין.

האפשרות הזו לא מסומנת כברירת מחדל.
Attachment To Save אופציונלי

אם בחרתם בפרמטר Save Only Email Attachments, הפעולה שומרת רק את הקבצים שציינתם בפרמטר הזה.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
Base64 Encode אופציונלי

אם בוחרים באפשרות הזו, הפעולה מקודדת את קובץ האימייל בפורמט base64.

האפשרות הזו לא מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה Save Email To The Case מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז יש גישה
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
חיבור לקיר של המארז

הפעולה Save Email To The Case שומרת אימיילים וקבצים מצורפים כראיות לבקשת תמיכה ב-Google SecOps.

בטבלה הבאה מתוארים הקבצים שהפעולה שומרת:

הקובץ נשמר שם ופורמט
אימייל EMAIL_SUBJECT.eml
Email attachment ATTACHMENT_NAME. ATTACHMENT_EXTENSION
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Save Email To The Case:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
הודעות פלט

הפעולה שמירת האימייל בפנייה מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully saved the INTERNET_MESSAGE_ID email.

Successfully saved the following attachments from the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

The following attachments were not found in the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

 הפעולה בוצעה בהצלחה.
Error executing action "Save Email To The Case". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה שמירת אימייל בפנייה:

שם תוצאת הסקריפט ערך
is_success True או False

חיפוש אימיילים

משתמשים בפעולה חיפוש אימיילים כדי לחפש אימיילים בתיבת דואר ספציפית לפי הקריטריונים שצוינו.

הפעולה הזו היא אסינכרונית. צריך לשנות בהתאם את הזמן הקצוב לתפוגה של הפעולה ב-Google SecOps IDE.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה חיפוש אימיילים דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר שבה מחכים לתשובה, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב. הפרמטר הזה מקבל כמה ערכים כרשימה מופרדת בפסיקים.
Labels Filter אופציונלי

תנאי סינון שמציין את תוויות האימייל שצריך לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

ערך ברירת המחדל הוא Inbox.

אתם יכולים לחפש אימיילים עם תוויות ספציפיות, כמו label1, label2. כדי לחפש אימיילים שאין להם תווית מסוימת, משתמשים בפורמט הבא: -label1. אפשר להגדיר את הפרמטר הזה כדי לחפש אימיילים עם תוויות ספציפיות ובלי תוויות ספציפיות במחרוזת אחת, כמו label1, -label2, label3.
Internet Message ID אופציונלי

מזהה ההודעה באינטרנט של האימייל שרוצים לחפש.

הפרמטר הזה מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

אם מציינים את מזהה ההודעה באינטרנט, הפעולה מתעלמת מהפרמטרים Subject Filter,‏ Sender Filter,‏ Labels Filter,‏ Recipient Filter,‏ Time Frame (minutes) ו-Email Status.
Subject Filter אופציונלי

תנאי סינון שמציין את נושא האימייל שצריך לחפש.
Sender Filter אופציונלי

תנאי סינון שמציין את שולח האימייל שצריך לחפש.
Recipient Filter אופציונלי

תנאי סינון שמציין את נמען האימייל שצריך לחפש.
Time Frame (minutes) אופציונלי

תנאי סינון שמציין את מסגרת הזמן בדקות לחיפוש אימיילים.

ערך ברירת המחדל הוא 60 דקות.
Email Status אופציונלי

סטטוס האימייל שרוצים לחפש.

הערכים האפשריים הם:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

ערך ברירת המחדל הוא Both Read & Unread Messages.
Headers To Return אופציונלי

רשימה מופרדת בפסיקים של כותרות שיוחזרו בפלט של הפעולה.

הפעולה תמיד מחזירה את הכותרות הבאות: date, from, to, cc, bcc, in-reply-to, reply-to, message-id ו-subject.

אם לא מציינים ערך, הפעולה מחזירה את כל הכותרות.

הפרמטר הזה לא תלוי-רישיות.
Return Email Body אופציונלי

אם בוחרים באפשרות הזו, הפעולה מחזירה את כל התוכן של גוף האימייל בפלט הפעולה. אם לא בוחרים באפשרות הזו, המידע על שמות הקבצים המצורפים באימייל לא זמין.

האפשרות הזו לא מסומנת כברירת מחדל.
Max Emails To Return אופציונלי

המספר המקסימלי של אימיילים שהפעולה תחזיר.

ערך ברירת המחדל הוא 50.

ערכי פלט של פעולות

הפעולה חיפוש אימיילים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

הפעולה חיפוש אימיילים מספקת את הטבלה הבאה:

כותרת הטבלה: אימיילים שנמצאו

עמודות:

  • Message_id
  • תאריך קבלה
  • השולח
  • נמענים
  • נושא
  • קטע מתוכן האימייל
  • שמות הקבצים המצורפים
  • אופציונלי: נמצא בתיבת הדואר
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה חיפוש אימיילים:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
הודעות פלט

הפעולה חיפוש אימיילים מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully found emails in the following mailboxes: MAILBOX_LIST

No emails found in the following mailboxes: MAILBOX_LIST

Pending search for emails in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Please check the spelling.

The action was not able to find any emails based on the specified search criteria.

 הפעולה בוצעה בהצלחה.
Error executing action "Search For Emails". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה חיפוש אימיילים:

שם תוצאת הסקריפט ערך
is_success True או False

שלח אימייל

משתמשים בפעולה שליחת אימייל כדי לשלוח אימייל על סמך הפרמטרים שצוינו.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה שליחת אימייל דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר לשליחת אימייל, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב.
Subject חובה

הנושא של האימייל שרוצים לשלוח.
Send To חובה

מחרוזת של כתובות אימייל שמופרדות בפסיקים, למשל user1@example.com, user2@example.com.

CC אופציונלי

מחרוזת מופרדת בפסיקים של כתובות אימייל של נמענים בשדה "עותק" (CC), למשל user1@example.com, user2@example.com.
BCC אופציונלי

מחרוזת מופרדת בפסיקים של כתובות אימייל של נמענים בעותק מוסתר (BCC), למשל user1@example.com, user2@example.com
Attachments Paths אופציונלי

מחרוזת של נתיבים מופרדים בפסיקים לקבצים מצורפים שמאוחסנים בשרת Google SecOps.
Mail Content חובה

גוף האימייל.
Reply-To Recipients אופציונלי

רשימה מופרדת בפסיקים של נמענים לשימוש בכותרת Reply-To.

משתמשים בכותרת Reply-To כדי להפנות את התשובות לאימיילים לכתובת האימייל הספציפית, במקום לכתובת השולח שצוינה בשדה From.

ערכי פלט של פעולות

הפעולה שליחת אימייל מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Send Email:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
הודעות פלט

הפעולה שליחת אימייל מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Email was sent successfully. הפעולה בוצעה בהצלחה.
Error executing action "Send Email". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה שליחת אימייל:

שם תוצאת הסקריפט ערך
is_success True או False

שליחת תשובה לשרשור

משתמשים בפעולה Send Thread Reply כדי לשלוח הודעה כתשובה לשרשור האימיילים.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה שליחת תשובה לשרשור דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר שבה מחכים לתשובה, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב.
Internet Message ID חובה

מזהה ההודעה באינטרנט של האימייל שרוצים לחפש.
Reply To אופציונלי

רשימה מופרדת בפסיקים של כתובות אימייל שאליהן תישלח התשובה.

אם לא תזינו ערך כלשהו ותיבת הסימון Reply All לא תהיה מסומנת, הפעולה תשלח תשובה רק לשולח האימייל המקורי. אם בוחרים את הפרמטר Reply All, הפעולה מתעלמת ממנו.
Reply All אופציונלי

אם בוחרים באפשרות הזו, הפעולה שולחת תשובה לכל הנמענים שקשורים לאימייל המקורי.

לפרמטר הזה יש עדיפות על פני הפרמטר Reply To.

האפשרות הזו לא מסומנת כברירת מחדל.
Attachments Paths אופציונלי

מחרוזת של נתיבים מופרדים בפסיקים לקבצים מצורפים שמאוחסנים בשרת Google SecOps.
Mail Content חובה

גוף האימייל.

ערכי פלט של פעולות

הפעולה שליחת תשובה בשרשור מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה שליחת תשובה לשרשור:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
הודעות פלט

הפעולה שליחת תשובה לשרשור מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully sent a thread reply to the INTERNET_MESSAGE_ID email. הפעולה בוצעה בהצלחה.
Error executing action "Sent Thread Reply". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה שליחת תשובה לשרשור:

שם תוצאת הסקריפט ערך
is_success True או False

המתנה לתשובה בשרשור

משתמשים בפעולה המתנה לתשובה בשרשור כדי להמתין לתשובה של המשתמש על סמך אימייל שנשלח באמצעות הפעולה שליחת אימייל.

הפעולה הזו היא אסינכרונית. צריך לשנות בהתאם את הזמן הקצוב לתפוגה של הפעולה ב-Google SecOps IDE.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה המתנה לתשובה בשרשור דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mailbox חובה

תיבת דואר שבה מחכים לתשובה, למשל user@example.com.

כברירת מחדל, הפעולה משתמשת בתיבת הדואר שמוגדרת כברירת מחדל לשילוב. הפרמטר הזה מקבל כמה ערכים כרשימה מופרדת בפסיקים.
Internet Message ID חובה

מזהה ההודעה באינטרנט של אימייל שהפעולה צריכה להמתין לו. אם ההודעה נשלחה באמצעות הפעולה שליחת אימייל, מגדירים את הפרמטר הזה באמצעות הפלייסהולדר SendEmail.JSONResult|message_id.

כדי לאחזר מזהה הודעה באינטרנט, משתמשים בפעולה חיפוש אימיילים.
Wait for All Recipients to Reply אופציונלי

אם האפשרות הזו נבחרת, הפעולה ממתינה לתגובות מכל הנמענים עד שהזמן הקצוב לתפוגה נגמר.

האפשרות הזו לא מסומנת כברירת מחדל.
Fetch Response Attachments אופציונלי

אם בוחרים באפשרות הזו והתשובה של הנמען מכילה קבצים מצורפים, הפעולה מאחזרת את הקבצים המצורפים לאימייל ומוסיפה אותם כקובץ מצורף לקיר של הבקשה ב-Google SecOps.

האפשרות הזו לא מסומנת כברירת מחדל.

ערכי פלט של פעולות

הפעולה המתנה לתשובה בשרשור מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה המתנה לתשובה בשרשור:

[
   {
       "Entity": "reply@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "reply@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "reply@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
הודעות פלט

הפעולה המתנה לתשובה בשרשור מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Found replies from the following users: USERS

Waiting for replies from the following users: USERS

 הפעולה בוצעה בהצלחה.
Error executing action "Wait For Thread Reply". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Wait For Thread Reply:

שם תוצאת הסקריפט ערך
is_success True או False

מחברים

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הטמעת הנתונים (מחברים).

מחבר Gmail

משתמשים במחבר Gmail כדי לאחזר אימיילים ב-Gmail מתיבת דואר נכנס ספציפית.

המחבר של Gmail לא מטמיע אימיילים עם התווית מתוזמן מהסיבות הבאות:

  • המחבר מטמיע רק אימיילים שנשלחו. התווית מתוזמן מציינת שהאימיילים רק מתוזמנים, ולא נשלחים.
  • כדי לאחזר אימיילים, המחבר צריך חותמות זמן. להודעות אימייל מתוזמנות אין חותמות זמן.

כניסות קלט של מחברים

המחבר של Gmail דורש את הפרמטרים הבאים:

פרמטר תיאור
Product Field Name חובה

שם השדה שבו מאוחסן שם המוצר.

ערך ברירת המחדל הוא device_product.
Event Field Name חובה

שם השדה שמשמש לקביעת שם האירוע (סוג המשנה).

ערך ברירת המחדל הוא event_name.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.

אם השדה environment לא נמצא, הסביבה מוגדרת כ-"".

Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name.

אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא "".
Email Exclude Pattern אופציונלי

ביטוי רגולרי להחרגת אימיילים ספציפיים מהטמעה, כמו ספאם או חדשות.

הפרמטר הזה פועל גם עם הנושא וגם עם גוף האימייל. לדוגמה, כדי להחריג מההטמעה את הודעות האימייל של המענה האוטומטי, אפשר להגדיר את הביטוי הרגולרי הבא: (?i)(auto|no)(\s|-)?re(ply|sponse|sponder).
Script Timeout (Seconds) חובה

מגבלת הזמן הקצוב לתפוגה (בשניות) של תהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 300 שניות.
Service Account JSON File Content אופציונלי

התוכן של קובץ ה-JSON של מפתח חשבון השירות.

אפשר להגדיר את הפרמטר הזה או את הפרמטר Workload Identity Email.

כדי להגדיר את הפרמטר הזה, צריך לספק את התוכן המלא של קובץ ה-JSON של מפתח חשבון השירות שהורדתם כשיצרתם את חשבון השירות.
Workload Identity Email אופציונלי

כתובת האימייל של הלקוח בחשבון השירות.

אפשר להגדיר את הפרמטר הזה או את הפרמטר Service Account JSON File Content.

כדי להתחזות לחשבונות שירות עם עומסי עבודה, צריך להקצות את התפקיד Service Account Token Creator לחשבון השירות של Google SecOps.
Disable Overflow אופציונלי

אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון ההצפה של Google SecOps במהלך יצירת ההתראה.

האפשרות הזו לא מסומנת כברירת מחדל.
Default Mailbox חובה

כתובת אימייל שתשמש כתיבת דואר כברירת מחדל לשילוב, למשל user@example.com.
Labels Filter אופציונלי

התוויות של הודעות האימייל שרוצים להטמיע ב-Google SecOps.

המחבר תומך בתוויות בתצוגת עץ. צריך לציין את התוויות בפורמט שמתאים ל-Gmail, כמו Inbox-label1-label2.
Email Status אופציונלי

סטטוס האימייל שרוצים לחפש.

הערכים האפשריים הם:

  • Both
  • Read
  • Unread
ערך ברירת המחדל הוא Both.
Extract Headers אופציונלי

ערכי כותרות שצריך לסנן מהרשימה internetMessageHeaders ולהוסיף לאירוע ב-Google SecOps.

כברירת מחדל, המחבר מוסיף את כל הכותרות לאירוע. כדי להוסיף רק כותרות ספציפיות, צריך להזין אותן כרשימה מופרדת בפסיקים, למשל DKIM-Siganture, Received, From. כדי למנוע מהמחבר להוסיף כותרת, מזינים את הערך None.

הפרמטר הזה לא תלוי-רישיות.
Attached Mail File Prefix אופציונלי

קידומת שצריך להוסיף למפתחות האירועים שחולצו (לדוגמה, to,‏ from או subject) מקובץ האימייל המצורף שהתקבל בתיבת הדואר שבמעקב.

ערך ברירת המחדל הוא attach.
Original Received Mail Prefix אופציונלי

קידומת שצריך להוסיף למפתחות האירועים שחולצו (לדוגמה, to,‏ from או subject) מהאימייל המקורי שהתקבל בתיבת הדואר המנוטרת.

ערך ברירת המחדל הוא orig.
Attach Original EML אופציונלי

אם בוחרים באפשרות הזו, המחבר מצרף את האימייל המקורי לפרטי הפנייה כקובץ Elements Markup Language ‏ (EML).

האפשרות הזו לא מסומנת כברירת מחדל.

Create Alert Per Attachment File אופציונלי

אם האפשרות הזו נבחרת, המחבר יוצר כמה התראות, התראה אחת לכל קובץ אימייל מצורף.

ההתנהגות הזו שימושית כשמעבדים אימיילים עם כמה קובצי אימייל מצורפים, ומגדירים את מיפוי האירועים של Google SecOps כך שייצור ישויות מקובצי האימייל המצורפים.

האפשרות הזו לא מסומנת כברירת מחדל.
Max Emails Per Cycle אופציונלי

מספר האימיילים המקסימלי שאפשר לאחזר בכל איטרציה של המחבר.

המספר המקסימלי הוא 100. ערך ברירת המחדל הוא 10.
Max Hours Backwards אופציונלי

מספר השעות לפני האיטרציה הראשונה של המחבר לאחזור אירועים. הפרמטר הזה חל על האיטרציה הראשונית של המחבר אחרי שמפעילים אותו בפעם הראשונה, או על ערך ברירת המחדל של חותמת זמן שפג תוקפה.

ערך ברירת המחדל הוא 24.
Case Name Template אופציונלי

שם מותאם אישית לבקשת התמיכה.

כשמגדירים את הפרמטר הזה, המחבר מוסיף מפתח חדש בשם custom_case_name לאירוע ב-Google SecOps.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [name of the field].

דוגמה: Phishing - [event_mailbox]

בפלייסהולדרים, המחבר משתמש באירוע הראשון של Google SecOps. המחבר מטפל רק במפתחות שמכילים את ערך המחרוזת. כדי להגדיר את הפרמטר הזה, צריך לציין שדות של אירועים בלי קידומות.
Alert Name Template אופציונלי

שם להתראה המותאמת אישית.

אפשר להוסיף פלייסהולדרים בפורמט הבא: [name of the field].

דוגמה: Phishing - [event_mailbox]

בפלייסהולדרים, המחבר משתמש באירוע הראשון של Google SecOps SOAR. המחבר מטפל רק במפתחות שמכילים את ערך המחרוזת. אם לא תזינו ערך או שתזינו תבנית לא חוקית, המחבר ישתמש בשם ברירת המחדל של ההתראה. כדי להגדיר את הפרמטר הזה, צריך לציין שדות של אירועים בלי קידומות.
Verify SSL חובה

אם האפשרות הזו נבחרת, השילוב מאמת שאישור ה-SSL לחיבור ל-Gmail תקף. האפשרות הזו מסומנת כברירת מחדל.
Proxy Server Address אופציונלי

כתובת שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם המשתמש של שרת ה-proxy לאימות.
Proxy Password אופציונלי

הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

המחבר של Gmail תומך ברשימה הדינמית.

כדי לסנן ערכים ספציפיים מתוכן האימייל ומהנושא, משתמשים בביטויים הרגולריים של הרשימה הדינמית בפורמט הבא: key: regex, למשל subject: (?<=Subject: ).*. לדוגמה, אחרי שהמחבר מוצא התאמה לביטוי הרגולרי subject: (?<=Subject: ).*, הוא יוצר אירוע התראה ב-Google SecOps ומוסיף לו מפתח חדש עם השם subject. ערך המפתח החדש תואם לביטוי הרגולרי.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.