Integrare Gmail con Google SecOps

Questo documento spiega come integrare Gmail con Google Security Operations.

Casi d'uso

L'integrazione di Gmail utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Contenimento automatico del phishing: cerca ed elimina le email dannose in tutta l'organizzazione per impedire l'interazione utente con i soggetti malintenzionati.

  • Analisi forense delle email: recupera intestazioni, allegati e corpo del messaggio per l'analisi durante un'indagine attiva.

  • Notifica degli incidenti: automatizza la comunicazione inviando avvisi di sicurezza, aggiornamenti delle indagini o istruzioni di correzione agli stakeholder direttamente da un playbook.

  • Gestione delle caselle di posta: elenca i messaggi degli utenti o le etichette di controllo per identificare i pattern nelle campagne di phishing mirate.

Prima di iniziare

Prima di configurare l'integrazione di Gmail in Google SecOps, completa i seguenti passaggi preliminari:

  1. Attiva l'API Gmail.

  2. Crea un service account.

  3. Delega l'autorità a livello di dominio al tuo account di servizio.

  4. Scegli e configura uno dei seguenti metodi di autenticazione:

    • Opzione 1: Workload Identity (consigliata): questo metodo utilizza token di accesso temporanei di breve durata tramite la rappresentazione dell'identità del account di servizio, quindi non è necessario archiviare i secret.

    • Opzione 2: chiave JSON dell'account di servizio: questo metodo si basa su un file di chiave segreta statica e di lunga durata. Utilizza questo metodo solo se l'autenticazione Workload Identity non è disponibile nel tuo ambiente.

Abilitare l'API Gmail

Devi abilitare l'API Gmail nella tua organizzazione Google Cloud affinché l'integrazione possa comunicare con Google Workspace.

  1. Nella console Google Cloud , vai a Libreria.

    Vai alla raccolta

  2. Cerca e attiva l'API Gmail.

Crea un account di servizio

Per creare un account di servizio per l'integrazione, completa i seguenti passaggi:

  1. Nella Google Cloud console, vai a IAM e amministrazione > Service Accounts.

    Vai a Service account

  2. Fai clic su AggiungiCrea service account.

  3. Fornisci un nome (ad esempio "Integrazione IAM SecOps") e una descrizione.

  4. Fai clic su Crea e continua.

  5. Salta i passaggi facoltativi di assegnazione dei ruoli e fai clic su Fine.

  6. Individua il account di servizio nell'elenco e copia il relativo ID client (chiamato anche ID univoco) e l'indirizzo email. Questi sono necessari per la delega a livello di dominio.

Delegare l'autorità a livello di dominio

I service account non hanno caselle postali proprie. Devi delegare l'autorità a livello di dominio al account di servizio in modo che possa simulare l'identità degli utenti all'interno della tua organizzazione.

  1. Nella Console di amministrazione Google del tuo dominio, vai a Menu principale > Sicurezza > Accesso e controllo dei dati > Controlli API.

  2. Nel riquadro Delega a livello di dominio, seleziona Gestisci delega a livello di dominio.

  3. Fai clic su Aggiungi nuovo.

  4. Nel campo ID client, inserisci l'ID univoco (ID client) del account di servizio che hai creato.

  5. Nel campo Ambiti OAuth, inserisci il seguente elenco di ambiti delimitato da virgole:

    https://mail.google.com/,
https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.group.member,
https://www.googleapis.com/auth/admin.directory.customer.readonly,
https://www.googleapis.com/auth/admin.directory.domain.readonly,
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/admin.directory.user.alias,
https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,
https://www.googleapis.com/auth/apps.groups.settings

  6. Fai clic su Autorizza.

Configura le credenziali di Workload Identity

Scegli questo metodo o il metodo della chiave JSON per autenticare l'integrazione. L'utilizzo di Workload Identity è l'approccio consigliato perché utilizza token di accesso temporanei di breve durata tramite la simulazione dell'identità dei account di servizio.

Identificare l'identità univoca dell'istanza

Per eseguire l'autenticazione utilizzando Workload Identity, devi concedere alla tua istanza Google SecOps l'autorizzazione ad assumere l'identità del tuo service account. In questo modo l'istanza può accedere in modo sicuro alle risorse Google Cloud .

  1. In Google SecOps, vai a Content Hub > Integrazioni di risposta.

  2. Seleziona l'integrazione Gmail e inserisci l'email dell'account di servizio in Workload Identity Email.

  3. Fai clic su Salva > Test. Il test non dovrebbe riuscire.

  4. Fai clic su close_small a destra di Test e cerca il messaggio di errore per l'email dell'identità che inizia con gke-init-python@... o soar-python@....

  5. Copia questo indirizzo email univoco.

Autorizza l'identità dell'istanza in Google Cloud

Una volta recuperata l'identità univoca per la tua istanza Google SecOps, devi autorizzarla ad accedere alle tue risorseGoogle Cloud . Questo passaggio consente alla piattaforma di impersonare il account di servizio, generare token di breve durata e agire per tuo conto senza chiavi statiche.

  1. Nella Google Cloud console, vai a IAM e amministrazione > Service Accounts.

    Vai a Service account

  2. Seleziona il account di servizio di destinazione e vai a Autorizzazioni > Concedi accesso.

  3. Incolla l'indirizzo email univoco nel campo Nuove entità e assegna il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

Configurare una chiave JSON

Scegli questo metodo o quello di Workload Identity per autenticare l'integrazione. Utilizza il metodo della chiave JSON solo se Workload Identity non è disponibile nel tuo ambiente. Workload Identity è l'approccio consigliato e più sicuro. Questo metodo si basa su un file di chiavi segrete statico e di lunga durata che richiede la gestione e la rotazione manuali.

Utilizza la seguente procedura per generare il file della chiave JSON necessario per autenticare l'integrazione:

  1. Nella console Google Cloud , vai a IAM e amministrazione > Service account e seleziona il account di servizio che hai creato.

    Vai a Service account

  2. Vai alla scheda Chiavi.

  3. Fai clic su Aggiungi chiave > Crea nuova chiave.

  4. Seleziona JSON come tipo di chiave e fai clic su Crea. Il browser scarica il file JSON sul computer.

  5. Copia l'intero contenuto di questo file e incollalo in Contenuto del file JSON dell'account di servizio durante la configurazione dell'integrazione.

Parametri di integrazione

L'integrazione di Gmail richiede i seguenti parametri:

Parametro Descrizione
Default Mailbox

Obbligatorio.

L'indirizzo email dell'utente principale utilizzato dall'integrazione per inviare o ricevere messaggi quando non viene fornita una casella di posta specifica in un'azione.
Service Account JSON File Content

Facoltativo.

L'intero contenuto del file JSON della chiave del account di servizio.

Utilizza questo parametro solo se esegui l'autenticazione utilizzando una chiave JSON.
Workload Identity Email

Facoltativo.

L'indirizzo email del client del tuo account di servizio.

Utilizza questo parametro solo se esegui l'autenticazione utilizzando un'identità del workload.
Verify SSL

Obbligatorio.

Se selezionata, l'integrazione convalida il certificato SSL quando si connette al server Gmail.

Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per ulteriori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania e Eseguire un'azione manuale.

Aggiungere un'etichetta email

Utilizza l'azione Aggiungi etichetta email per aggiungere un'etichetta all'email specificata.

Questa azione è asincrona. Modifica il timeout dell'azione nell'ambiente di sviluppo integrato (IDE) di Google SecOps di conseguenza.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Aggiungi etichetta email richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta in cui attendere una risposta, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione. Questo parametro accetta più valori sotto forma di elenco separato da virgole.
Internet Message ID Optional

L'ID messaggio internet di un'email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Se fornisci l'ID messaggio internet, l'azione ignora i parametri Subject Filter, Sender Filter e Time Frame (minutes).
Labels Filter Optional

Una condizione di filtro che specifica le etichette email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Il valore predefinito è Inbox.

Puoi cercare email con etichette specifiche, ad esempio label1, label2. Per cercare email che non hanno l'etichetta specifica, utilizza il seguente formato: -label1. Puoi configurare questo parametro per cercare email con e senza etichette specifiche in una sola stringa, ad esempio label1, -label2, label3.
Subject Filter Optional

Una condizione di filtro che specifica l'oggetto dell'email da cercare.

Questo filtro utilizza la logica contains e richiede di specificare gli elementi di ricerca con parole intere. Questo filtro non supporta le corrispondenze parziali.
Sender Filter Optional

Una condizione di filtro che specifica il mittente email da cercare.

Questo filtro utilizza la logica equals.
Time Frame (minutes) Optional

Una condizione di filtro che specifica l'intervallo di tempo in minuti in cui cercare le email.

Il valore predefinito è 60 minuti.
Email Status Optional

Lo stato dell'email da cercare.

I valori possibili sono:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Il valore predefinito è Both Read & Unread Messages.
Label Obbligatorio

Un'etichetta con cui aggiornare l'email.

Questo parametro accetta più valori sotto forma di elenco separato da virgole.

Se l'etichetta non esiste in una casella di posta, l'azione la crea.

Output azione

L'azione Aggiungi etichetta email fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Aggiungi etichetta email:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Messaggi di output

L'azione Aggiungi etichetta email fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully updated labels for emails in the following mailboxes: MAILBOX_LIST

No emails were found based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

Update is pending for emails in the following mailboxes: MAILBOX_LIST

 L'azione è riuscita.
Error executing action "Add Email Label". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiungi etichetta email:

Nome del risultato dello script Valore
is_success True o False

Eliminare le email

Utilizza l'azione Elimina email per eliminare una o più email dalla casella di posta in base ai criteri di ricerca forniti. Per impostazione predefinita, questa azione sposta le email nel cestino. Puoi configurare l'azione in modo da eliminare le email definitivamente anziché spostarle nel cestino.

L'azione Elimina email è asincrona. Modifica il timeout dell'azione nell'IDE di Google SecOps di conseguenza.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Elimina email richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta in cui attendere una risposta, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione. Questo parametro accetta più valori come stringa separata da virgole.
Labels Filter Optional

Una condizione di filtro che specifica le etichette email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Il valore predefinito è Inbox.

Puoi cercare email con etichette specifiche, ad esempio label1, label2. Per cercare email che non hanno l'etichetta specifica, utilizza il seguente formato: -label1. Puoi configurare questo parametro per cercare email con e senza etichette specifiche in una sola stringa, ad esempio label1, -label2, label3.
Internet Message ID Optional

L'ID messaggio internet di un'email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Se fornisci l'ID messaggio internet, l'azione ignora i parametri Subject Filter, Sender Filter, Labels Filter e Time Frame (minutes).
Subject Filter Optional

Una condizione di filtro che specifica l'oggetto dell'email da cercare.

Questo filtro utilizza la logica contains e richiede di specificare gli elementi di ricerca con parole intere. Questo filtro non supporta le corrispondenze parziali.
Sender Filter Optional

Una condizione di filtro che specifica il mittente email da cercare.

Questo filtro utilizza la logica equals.
Time Frame (minutes) Optional

Una condizione di filtro che specifica l'intervallo di tempo in minuti in cui cercare le email.

Il valore predefinito è 60 minuti.
Email Status Optional

Lo stato dell'email da cercare.

I valori possibili sono:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Il valore predefinito è Both Read & Unread Messages.
Move to Trash Optional

Se selezionata, l'azione sposta le email nel Cestino e non esegue ricerche nelle email con l'etichetta Cestino, a meno che tu non configuri il parametro Labels Filter in modo da includere la seguente etichetta: Trash. Se non è selezionata, l'azione esegue una ricerca in tutta la casella di posta ed elimina definitivamente le email.

Questa opzione è selezionata per impostazione predefinita.

Output azione

L'azione Elimina email fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Elimina email:

{
"mailbox1": [DELETED_MESSAGE_ID_LIST],
"mailbox2": [DELETED_MESSAGE_ID_LIST]
}
Messaggi di output

L'azione Elimina email fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully deleted emails in the following mailboxes: MAILBOX_LIST

No emails to delete based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

The action didn't find any emails based on the specified search criteria.

Pending deletion of emails in the following mailboxes: MAILBOX_LIST

 L'azione è riuscita.
Error executing action "Delete Email". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Elimina email:

Nome del risultato dello script Valore
is_success True o False

Inoltra email

Utilizza l'azione Inoltra email per inoltrare le email, incluse quelle con thread precedenti.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Inoltra email richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta da cui inviare un'email, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione.
Internet Message ID Obbligatorio

L'ID messaggio internet di un'email da cercare.
Send To Obbligatorio

Una stringa di indirizzi email separati da virgole per i destinatari dell'email, ad esempio user1@example.com, user2@example.com.

CC Optional

Una stringa di indirizzi email separati da virgole per i destinatari in copia conoscenza (CC), ad esempio user1@example.com, user2@example.com.
BCC Optional

Una stringa di indirizzi email separati da virgole per i destinatari dell'email in copia conoscenza nascosta (CCN), ad esempio user1@example.com, user2@example.com.
Subject Obbligatorio

Il nuovo oggetto di un'email da inoltrare.
Attachments Paths Optional

Una stringa separata da virgole di percorsi per gli allegati dei file archiviati sul server Google SecOps.
Mail Content Obbligatorio

Il corpo dell'email.

Output azione

L'azione Inoltra email fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Inoltra email:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Messaggi di output

L'azione Inoltra email fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully forwarded the MESSAGE_ID email. L'azione è riuscita.
Error executing action "Forward Email". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Inoltra email:

Nome del risultato dello script Valore
is_success True o False

Dindin

Utilizza l'azione Ping per testare la connettività a Gmail.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

L'azione Ping fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully connected to the Google Gmail service with the provided connection parameters! L'azione è riuscita.
Failed to connect to the Google Gmail service! Error is ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando si utilizza l'azione Ping:

Nome del risultato dello script Valore
is_success True o False

Rimuovere l'etichetta email

Utilizza l'azione Rimuovi etichetta email per rimuovere un'etichetta dall'email specificata.

Questa azione è asincrona. Modifica il timeout dell'azione nell'IDE di Google SecOps di conseguenza.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Rimuovi etichetta email richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta in cui attendere una risposta, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione. Questo parametro accetta più valori sotto forma di elenco separato da virgole.
Internet Message ID Optional

L'ID messaggio internet di un'email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Se fornisci l'ID messaggio internet, l'azione ignora i parametri Subject Filter, Sender Filter e Time Frame (minutes).
Labels Filter Optional

Una condizione di filtro che specifica le etichette email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Il valore predefinito è Inbox.

Puoi cercare email con etichette specifiche, ad esempio label1, label2. Per cercare email che non hanno l'etichetta specifica, utilizza il seguente formato: -label1. Puoi configurare questo parametro per cercare email con e senza etichette specifiche in una sola stringa, ad esempio label1, -label2, label3.
Subject Filter Optional

Una condizione di filtro che specifica l'oggetto dell'email da cercare.

Questo filtro utilizza la logica contains e richiede di specificare gli elementi di ricerca con parole intere. Questo filtro non supporta le corrispondenze parziali.
Sender Filter Optional

Una condizione di filtro che specifica il mittente email da cercare.

Questo filtro utilizza la logica equals.
Time Frame (minutes) Optional

Una condizione di filtro che specifica l'intervallo di tempo in minuti in cui cercare le email.

Il valore predefinito è 60 minuti.
Email Status Optional

Lo stato dell'email da cercare.

I valori possibili sono:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Il valore predefinito è Both Read & Unread Messages.
Label Obbligatorio

Un'etichetta da rimuovere da un'email.

Questo parametro accetta più valori sotto forma di elenco separato da virgole. Per rimuovere tutte le etichette dall'email, configura il valore parametro come All.

Output azione

L'azione Rimuovi etichetta email fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Rimuovi etichetta email:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@mail.gmail.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Messaggi di output

L'azione Rimuovi etichetta email fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully updated labels for EMAIL_NUMBER emails in the MAILBOX_NAME mailbox.

The following labels don't exist in the MAILBOX_NAME mailbox: LABEL_LIST

None of the provided labels exists in the MAILBOX_NAME mailbox.

 L'azione è riuscita.
Error executing action "Remove Email Label". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Rimuovi etichetta email:

Nome del risultato dello script Valore
is_success True o False

Salva email nella richiesta

Utilizza l'azione Salva email nella richiesta per salvare email o allegati email nella sezione Richiesta di Google SecOps.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Salva email nella richiesta richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta in cui attendere una risposta, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione.
Internet Message ID Obbligatorio

L'ID messaggio internet di un'email da cercare.
Save Only Email Attachments Optional

Se selezionata, l'azione salva solo gli allegati dell'email specificata.

Non selezionato per impostazione predefinita.
Attachment To Save Optional

Se hai selezionato il parametro Save Only Email Attachments, l'azione salva solo gli allegati che specifichi in questo parametro.

Questo parametro accetta più valori come una stringa separata da virgole.
Base64 Encode Optional

Se selezionata, l'azione codifica il file email in un formato base64.

Non selezionato per impostazione predefinita.

Output azione

L'azione Salva email nella richiesta fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Allegato della bacheca casi

L'azione Salva email nella richiesta salva email e allegati come prove della richiesta in Google SecOps.

La tabella seguente descrive i file salvati dall'azione:

File salvato Nome e formato
Email EMAIL_SUBJECT.eml
Email attachment ATTACHMENT_NAME. ATTACHMENT_EXTENSION
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Salva email nella richiesta:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Messaggi di output

L'azione Salva email nella richiesta fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully saved the INTERNET_MESSAGE_ID email.

Successfully saved the following attachments from the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

The following attachments were not found in the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

 L'azione è riuscita.
Error executing action "Save Email To The Case". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Salva email nella richiesta:

Nome del risultato dello script Valore
is_success True o False

Cercare email

Utilizza l'azione Cerca email per eseguire la ricerca di email in una casella di posta specificata utilizzando i criteri di ricerca forniti.

Questa azione è asincrona. Modifica il timeout dell'azione nell'IDE di Google SecOps di conseguenza.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Cerca email richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta in cui attendere una risposta, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione. Questo parametro accetta più valori sotto forma di elenco separato da virgole.
Labels Filter Optional

Una condizione di filtro che specifica le etichette email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Il valore predefinito è Inbox.

Puoi cercare email con etichette specifiche, ad esempio label1, label2. Per cercare email che non hanno l'etichetta specifica, utilizza il seguente formato: -label1. Puoi configurare questo parametro per cercare email con e senza etichette specifiche in una sola stringa, ad esempio label1, -label2, label3.
Internet Message ID Optional

L'ID messaggio internet di un'email da cercare.

Questo parametro accetta più valori come stringa separata da virgole.

Se fornisci l'ID messaggio internet, l'azione ignora i parametri Subject Filter, Sender Filter, Labels Filter, Recipient Filter, Time Frame (minutes) e Email Status.
Subject Filter Optional

Una condizione di filtro che specifica l'oggetto dell'email da cercare.
Sender Filter Optional

Una condizione di filtro che specifica il mittente email da cercare.
Recipient Filter Optional

Una condizione di filtro che specifica il destinatario email da cercare.
Time Frame (minutes) Optional

Una condizione di filtro che specifica l'intervallo di tempo in minuti in cui cercare le email.

Il valore predefinito è 60 minuti.
Email Status Optional

Lo stato dell'email da cercare.

I valori possibili sono:

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

Il valore predefinito è Both Read & Unread Messages.
Headers To Return Optional

Un elenco separato da virgole di intestazioni da restituire nell'output dell'azione.

L'azione restituisce sempre le seguenti intestazioni: date, from, to, cc, bcc, in-reply-to, reply-to, message-id, e subject.

Se non fornisci alcun valore, l'azione restituisce tutte le intestazioni.

Questo parametro non è sensibile alle maiuscole.
Return Email Body Optional

Se selezionata, l'azione restituisce il corpo completo di un'email nell'output dell'azione. Se non selezionate, le informazioni sui nomi degli allegati nell'email non sono disponibili.

Non selezionato per impostazione predefinita.
Max Emails To Return Optional

Il numero massimo di email per l'azione da restituire.

Il valore predefinito è 50.

Output azione

L'azione Cerca email fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Tabella della bacheca casi

L'azione Cerca email fornisce la seguente tabella:

Titolo della tabella: Found Mails

Colonne:

  • Message_id
  • Data di ricezione
  • Mittente
  • Destinatari
  • Oggetto
  • Snippet del corpo dell'email
  • Nomi degli allegati
  • (Facoltativo) Trovato nella casella di posta
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Cerca email:

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Messaggi di output

L'azione Cerca email fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully found emails in the following mailboxes: MAILBOX_LIST

No emails found in the following mailboxes: MAILBOX_LIST

Pending search for emails in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Please check the spelling.

The action was not able to find any emails based on the specified search criteria.

 L'azione è riuscita.
Error executing action "Search For Emails". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output dei risultati dello script quando utilizzi l'azione Cerca email:

Nome del risultato dello script Valore
is_success True o False

Invia email

Utilizza l'azione Invia email per inviare un'email in base ai parametri forniti.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Invia email richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta da cui inviare un'email, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione.
Subject Obbligatorio

L'oggetto di un'email da inviare.
Send To Obbligatorio

Una stringa di indirizzi email separati da virgole per i destinatari dell'email, ad esempio user1@example.com, user2@example.com.

CC Optional

Una stringa di indirizzi email separati da virgole per i destinatari in copia conoscenza (CC), ad esempio user1@example.com, user2@example.com.
BCC Optional

Una stringa di indirizzi email separati da virgole per i destinatari di email in copia carbone nascosta (CCN), ad esempio user1@example.com, user2@example.com
Attachments Paths Optional

Una stringa separata da virgole di percorsi per gli allegati dei file archiviati sul server Google SecOps.
Mail Content Obbligatorio

Il corpo dell'email.
Reply-To Recipients Optional

Un elenco separato da virgole di destinatari da utilizzare nell'intestazione Rispondi a.

Utilizza l'intestazione Rispondi a per reindirizzare le email di risposta all'indirizzo email specifico anziché all'indirizzo del mittente indicato nel campo Da.

Output azione

L'azione Invia email fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Invia email:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Messaggi di output

L'azione Invia email fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Email was sent successfully. L'azione è riuscita.
Error executing action "Send Email". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Invia email:

Nome del risultato dello script Valore
is_success True o False

Invia risposta al thread

Utilizza l'azione Invia risposta al thread per inviare un messaggio come risposta al thread di email.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Invia risposta al thread richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta in cui attendere una risposta, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione.
Internet Message ID Obbligatorio

L'ID messaggio internet di un'email da cercare.
Reply To Optional

Un elenco separato da virgole di email a cui inviare la risposta.

Se non fornisci alcun valore e la casella di controllo Reply All è deselezionata, l'azione invia una risposta solo al mittente dell'email originale. Se selezioni il parametro Reply All, l'azione ignora questo parametro.
Reply All Optional

Se selezionata, l'azione invia una risposta a tutti i destinatari correlati all'email originale.

Questo parametro ha la precedenza sul parametro Reply To.

Non selezionato per impostazione predefinita.
Attachments Paths Optional

Una stringa separata da virgole di percorsi per gli allegati dei file archiviati sul server Google SecOps.
Mail Content Obbligatorio

Il corpo dell'email.

Output azione

L'azione Invia risposta al thread fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Invia risposta al thread:

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
Messaggi di output

L'azione Invia risposta al thread fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully sent a thread reply to the INTERNET_MESSAGE_ID email. L'azione è riuscita.
Error executing action "Sent Thread Reply". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Invia risposta al thread:

Nome del risultato dello script Valore
is_success True o False

Wait For Thread Reply

Utilizza l'azione Attendi risposta thread per attendere la risposta dell'utente in base a un'email inviata utilizzando l'azione Invia email.

Questa azione è asincrona. Modifica il timeout dell'azione nell'IDE di Google SecOps di conseguenza.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Attendi risposta thread richiede i seguenti parametri:

Parametro Descrizione
Mailbox Obbligatorio

Una casella di posta in cui attendere una risposta, ad esempio user@example.com.

Per impostazione predefinita, l'azione utilizza la casella di posta predefinita che hai configurato per l'integrazione. Questo parametro accetta più valori sotto forma di elenco separato da virgole.
Internet Message ID Obbligatorio

L'ID messaggio internet di un'email per l'azione da attendere. Se il messaggio è stato inviato utilizzando l'azione Invia email, configura questo parametro utilizzando il segnaposto SendEmail.JSONResult|message_id.

Per recuperare un ID messaggio internet, utilizza l'azione Cerca email.
Wait for All Recipients to Reply Optional

Se selezionata, l'azione attende le risposte di tutti i destinatari fino al raggiungimento del timeout.

Non selezionato per impostazione predefinita.
Fetch Response Attachments Optional

Se selezionata e la risposta del destinatario contiene allegati, l'azione recupera gli allegati email e li aggiunge come allegato alla bacheca del caso in Google SecOps.

Non selezionato per impostazione predefinita.

Output azione

L'azione Attendi risposta thread fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Attendi risposta thread:

[
   {
       "Entity": "reply@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "reply@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "reply@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
Messaggi di output

L'azione Attendi risposta al thread fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Found replies from the following users: USERS

Waiting for replies from the following users: USERS

 L'azione è riuscita.
Error executing action "Wait For Thread Reply". Reason: ERROR_REASON

L'azione non è riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Attendi risposta thread:

Nome del risultato dello script Valore
is_success True o False

Connettori

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Importare i dati (connettori).

Connettore Gmail

Utilizza il connettore Gmail per recuperare le email di Gmail da una casella di posta specificata.

Il connettore Gmail non acquisisce le email con un'etichetta Pianificata per i seguenti motivi:

  • Il connettore acquisisce solo le email inviate. L'etichetta Programmati indica che le email sono solo programmate, non inviate.
  • Il connettore richiede i timestamp per recuperare le email. Le email programmate non hanno timestamp.

Input del connettore

Il connettore Gmail richiede i seguenti parametri:

Parametro Descrizione
Product Field Name Obbligatorio

Il nome del campo in cui è memorizzato il nome del prodotto.

Il valore predefinito è device_product.
Event Field Name Obbligatorio

Il nome del campo utilizzato per determinare il nome dell'evento (sottotipo).

Il valore predefinito è event_name.
Environment Field Name Optional

Il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo ambiente non viene trovato, l'ambiente viene impostato su "".

Environment Regex Pattern Optional

Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari.

Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto.

Se il pattern dell'espressione regolare è nullo o vuoto oppure il valore dell'ambiente è nullo, il risultato finale dell'ambiente è "".
Email Exclude Pattern Optional

Un'espressione regolare per escludere email specifiche dall'importazione, ad esempio spam o notizie.

Questo parametro funziona sia con l'oggetto sia con il corpo di un'email. Ad esempio, per escludere le email di risposta automatica dall'importazione, puoi configurare la seguente espressione regolare: (?i)(auto|no)(\s|-)?re(ply|sponse|sponder).
Script Timeout (Seconds) Obbligatorio

Il limite di timeout (in secondi) per il processo Python che esegue lo script corrente.

Il valore predefinito è 300 secondi.
Service Account JSON File Content Optional

Il contenuto del file JSON della chiave dell'account di servizio.

Puoi configurare questo parametro o il parametro Workload Identity Email.

Per configurare questo parametro, fornisci l'intero contenuto del file JSON della chiave dell'account di servizio che hai scaricato durante la creazione di un service account.
Workload Identity Email Optional

L'indirizzo email del client del tuo account di servizio.

Puoi configurare questo parametro o il parametro Service Account JSON File Content.

Per simulare l'identità dei service account con i carichi di lavoro, concedi il ruolo Service Account Token Creator al tuo account di servizio Google SecOps.
Disable Overflow Optional

Se selezionato, il connettore ignora il meccanismo di overflow di Google SecOps durante la creazione degli avvisi.

Non selezionato per impostazione predefinita.
Default Mailbox Obbligatorio

Un indirizzo email da utilizzare come casella di posta predefinita per l'integrazione, ad esempio user@example.com.
Labels Filter Optional

Le etichette delle email da importare in Google SecOps.

Il connettore supporta le etichette nidificate. Fornisci le etichette in un formato accettabile per Gmail, ad esempio Inbox-label1-label2.
Email Status Optional

Lo stato dell'email da cercare.

I valori possibili sono:

  • Both
  • Read
  • Unread
Il valore predefinito è Both.
Extract Headers Optional

Valori dell'intestazione da filtrare dall'elenco internetMessageHeaders e da aggiungere a un evento Google SecOps.

Per impostazione predefinita, il connettore aggiunge tutte le intestazioni all'evento. Per aggiungere solo intestazioni specifiche, inseriscile come elenco separato da virgole, ad esempio DKIM-Siganture, Received, From. Per impedire al connettore di aggiungere un'intestazione, inserisci il valore None.

Questo parametro non distingue tra maiuscole e minuscole.
Attached Mail File Prefix Optional

Un prefisso da aggiungere alle chiavi evento estratte (ad esempio to, from o subject) dal file email allegato ricevuto nella casella di posta monitorata.

Il valore predefinito è attach.
Original Received Mail Prefix Optional

Un prefisso da aggiungere alle chiavi evento estratte (ad esempio to, from o subject) dall'email originale ricevuta nella casella di posta monitorata.

Il valore predefinito è orig.
Attach Original EML Optional

Se selezionato, il connettore allega l'email originale alle informazioni della richiesta come file EML (Elements Markup Language).

Non selezionato per impostazione predefinita.

Create Alert Per Attachment File Optional

Se selezionato, il connettore crea più avvisi, con un avviso per ogni file email allegato.

Questo comportamento è utile quando elabori email con più file email allegati e imposti la mappatura degli eventi di Google SecOps per creare entità da file email allegati.

Non selezionato per impostazione predefinita.
Max Emails Per Cycle Optional

Il numero massimo di email da recuperare per ogni iterazione del connettore.

Il numero massimo è 100. Il valore predefinito è 10.
Max Hours Backwards Optional

Numero di ore prima della prima iterazione del connettore da cui recuperare gli incidenti. Questo parametro si applica all'iterazione iniziale del connettore dopo averlo abilitato per la prima volta o al valore di riserva per un timestamp del connettore scaduto.

Il valore predefinito è 24.
Case Name Template Optional

Un nome di caso personalizzato.

Quando configuri questo parametro, il connettore aggiunge una nuova chiave chiamata custom_case_name all'evento Google SecOps.

Puoi fornire segnaposto nel seguente formato: [name of the field].

Esempio: Phishing - [event_mailbox].

Per i segnaposto, il connettore utilizza il primo evento Google SecOps. Il connettore gestisce solo le chiavi contenenti il valore stringa. Per configurare questo parametro, specifica i campi evento senza prefissi.
Alert Name Template Optional

Un nome avviso personalizzato.

Puoi fornire segnaposto nel seguente formato: [name of the field].

Esempio: Phishing - [event_mailbox].

Per i segnaposto, il connettore utilizza il primo evento Google SecOps SOAR. Il connettore gestisce solo le chiavi contenenti il valore stringa. Se non fornisci alcun valore o un modello non valido, il connettore utilizza il nome dell'avviso predefinito. Per configurare questo parametro, specifica i campi evento senza prefissi.
Verify SSL Obbligatorio

Se selezionata, l'integrazione verifica che il certificato SSL per la connessione a Gmail sia valido. Questa opzione è selezionata per impostazione predefinita.
Proxy Server Address Optional

L'indirizzo del server proxy da utilizzare.
Proxy Username Optional

Il nome utente del proxy per l'autenticazione.
Proxy Password Optional

La password del proxy per l'autenticazione.

Regole del connettore

Gmail Connector supporta l'elenco dinamico.

Per filtrare valori specifici dal corpo e dall'oggetto dell'email, utilizza le espressioni regolari dell'elenco dinamico nel seguente formato: key: regex, ad esempio subject: (?<=Subject: ).*. Ad esempio, dopo aver trovato una corrispondenza per l'espressione regolare subject: (?<=Subject: ).*, il connettore crea un evento di avviso Google SecOps e aggiunge una nuova chiave con il nome subject. Il nuovo valore della chiave corrisponde all'espressione regolare.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.