将 Gmail 与 Google SecOps 集成

本文档介绍了如何将 Gmail 与 Google Security Operations 集成。

使用场景

Gmail 集成使用 Google SecOps 功能来支持以下用例：

  • 自动控制钓鱼式攻击：在整个组织中搜索并删除恶意电子邮件，以防止用户与威胁行为者互动。

  • 电子邮件取证分析：在调查过程中检索邮件标头、附件和正文内容以进行分析。

  • 突发事件通知：通过直接从 playbook 向利益相关方发送安全提醒、调查更新或修复说明，实现自动化通信。

  • 邮箱管理：列出用户邮件或审核标签，以识别有针对性的钓鱼式攻击活动中的模式。

准备工作

在 Google SecOps 中配置 Gmail 集成之前，请完成以下前提步骤：

  1. 启用 Gmail API。

  2. 创建服务账号。

  3. 向您的服务账号进行全网域授权。

  4. 选择并配置以下身份验证方法之一：

    • 方法 1：Workload Identity（推荐）：此方法通过服务账号模拟使用短期有效的临时访问令牌，因此您无需存储密钥。

    • 方法 2：服务账号 JSON 密钥：此方法依赖于静态、长期有效的密钥文件。仅当您的环境中无法使用 Workload Identity 身份验证时，才使用此方法。

启用 Gmail API

您必须在 Google Cloud 组织中启用 Gmail API，以便集成与 Google Workspace 进行通信。

  1. 在 Google Cloud 控制台中，前往库。

    前往媒体库

  2. 搜索并启用 Gmail API。

创建服务账号

如需为集成创建服务账号，请完成以下步骤：

  1. 在 Google Cloud 控制台中，前往 IAM 和管理 > 服务账号。

    转到“服务账号”

  2. 点击 add 创建服务账号。

  3. 提供名称（例如“SecOps IAM 集成”）和说明。

  4. 点击创建并继续。

  5. 跳过可选的角色分配步骤，然后点击完成。

  6. 在列表中找到服务账号，然后复制其客户端 ID（也称为唯一 ID）和邮箱。您需要这些信息来进行全网域授权。

委托全网域权限

服务账号没有自己的邮箱。您必须向服务账号进行全网域授权，以便其可以模拟组织中的用户。

  1. 在网域的 Google 管理控制台中，依次点击主菜单 > 安全性 > 访问权限和数据控制功能 > API 控件。

  2. 在全网域授权窗格中，选择管理全网域授权。

  3. 点击新增。

  4. 在客户端 ID 字段中，输入您创建的服务账号的唯一 ID（客户端 ID）。

  5. 在 OAuth 范围字段中，输入以下一系列授权范围（以英文逗号分隔）：

    https://mail.google.com/,
https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.group.member,
https://www.googleapis.com/auth/admin.directory.customer.readonly,
https://www.googleapis.com/auth/admin.directory.domain.readonly,
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/admin.directory.user.alias,
https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,
https://www.googleapis.com/auth/apps.groups.settings

  6. 点击授权。

配置 Workload Identity 凭证

选择此方法或 JSON 密钥方法来对集成进行身份验证。 建议使用 Workload Identity，因为它通过服务账号模拟使用短期有效的临时访问令牌。

识别唯一实例身份

如需使用 Workload Identity 进行身份验证，您必须向 Google SecOps 实例授予模拟服务账号的权限。这样，实例就可以安全地访问 Google Cloud 资源。

  1. 在 Google SecOps 中，前往内容中心 > 响应集成。

  2. 选择 Gmail 集成，然后在 Workload Identity Email 中输入您的服务账号电子邮件地址。

  3. 依次点击保存 > 测试。测试预计会失败。

  4. 点击测试右侧的 close_small，然后在出错提示中搜索以 gke-init-python@... 或 soar-python@... 开头的身份电子邮件。

  5. 复制此唯一邮箱。

在 Google Cloud中授权实例身份

检索到 Google SecOps 实例的唯一身份后，您必须授权该实例访问您的Google Cloud 资源。此步骤可让平台模拟服务账号、生成短期有效的令牌，并代表您执行操作，而无需静态密钥。

  1. 在 Google Cloud 控制台中，前往 IAM 和管理 > 服务账号。

    转到“服务账号”

  2. 选择目标服务账号，然后依次前往权限 > 授予访问权限。

  3. 将唯一邮箱粘贴到新的主账号字段中，并分配 Service Account Token Creator 角色 (roles/iam.serviceAccountTokenCreator)。

配置 JSON 密钥

选择此方法或 Workload Identity 方法来对集成进行身份验证。仅当您的环境中无法使用 Workload Identity 时，才使用 JSON 密钥方法。Workload Identity 是推荐且更安全的方法。此方法依赖于静态、长期有效的密钥文件，需要手动管理和轮替。

请按照以下步骤生成对集成进行身份验证所需的 JSON 密钥文件：

  1. 在 Google Cloud 控制台中，前往 IAM 和管理 > 服务账号，然后选择您创建的服务账号。

    转到“服务账号”

  2. 前往密钥标签页。

  3. 依次点击添加密钥 > 创建新密钥。

  4. 选择 JSON 作为密钥类型，然后点击创建。浏览器会将 JSON 文件下载到您的计算机。

  5. 复制此文件的全部内容，并在集成配置期间将其粘贴到服务账号 JSON 文件内容中。

集成参数

Gmail 集成需要以下参数：

参数 说明
Default Mailbox

必填。

当操作中未提供特定邮箱时，集成用于发送或接收消息的主用户电子邮件地址。
Service Account JSON File Content

可选。

服务账号密钥 JSON 文件的完整内容。

仅当您使用 JSON 密钥进行身份验证时，才使用此参数。
Workload Identity Email

可选。

服务账号的客户端邮箱。

仅当您使用 Workload Identity 进行身份验证时，才使用此参数。
Verify SSL

必填。

如果选中，集成会在连接到 Gmail 服务器时验证 SSL 证书。

默认处于启用状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

添加电子邮件标签

使用添加电子邮件标签操作可为指定电子邮件添加标签。

此操作是异步的。在 Google SecOps 集成开发环境 (IDE) 中相应地调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

添加电子邮件标签操作需要以下参数：

参数 说明
Mailbox 必需

要等待其回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，以英文逗号分隔列表的形式提供。
Internet Message ID 可选

要搜索的电子邮件的互联网邮件 ID。

此参数接受以逗号分隔的字符串形式的多个值。

如果您提供互联网邮件 ID，该操作会忽略 Subject Filter、Sender Filter 和 Time Frame (minutes) 参数。
Labels Filter 可选

指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，以逗号分隔的字符串形式提供。

默认值为 Inbox。

您可以搜索带有特定标签（例如 label1, label2）的邮件。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索带有和不带特定标签的电子邮件，例如 label1, -label2, label3。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。

此过滤条件使用 contains 逻辑，并且要求您指定完整的搜索字词。此过滤条件不支持部分匹配。
Sender Filter 可选

指定要搜索的电子邮件发件人的过滤条件。

此过滤条件使用 equals 逻辑。
Time Frame (minutes) 可选

一个过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Label 必需

用于更新电子邮件的标签。

此参数接受多个值，以英文逗号分隔列表的形式提供。

如果邮箱中不存在该标签，则此操作会创建该标签。

操作输出

添加电子邮件标签操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例说明了使用添加电子邮件标签操作时收到的 JSON 结果输出：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

添加电子邮件标签操作会提供以下输出消息：

输出消息 消息说明

Successfully updated labels for emails in the following mailboxes: MAILBOX_LIST

No emails were found based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

Update is pending for emails in the following mailboxes: MAILBOX_LIST

 操作成功。
Error executing action "Add Email Label". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用添加电子邮件标签操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

删除电子邮件

使用删除电子邮件操作，根据提供的搜索条件从邮箱中删除一封或多封电子邮件。默认情况下，此操作会将电子邮件移至回收站。您可以将操作配置为永久删除电子邮件，而不是将其移至回收站。

删除电子邮件操作是异步的。在 Google SecOps IDE 中相应地调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

删除电子邮件操作需要以下参数：

参数 说明
Mailbox 必需

要等待其回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受以逗号分隔的字符串形式的多个值。
Labels Filter 可选

指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，以逗号分隔的字符串形式提供。

默认值为 Inbox。

您可以搜索带有特定标签（例如 label1, label2）的邮件。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索带有和不带特定标签的电子邮件，例如 label1, -label2, label3。
Internet Message ID 可选

要搜索的电子邮件的互联网邮件 ID。

此参数接受以逗号分隔的字符串形式的多个值。

如果您提供互联网邮件 ID，该操作会忽略 Subject Filter、Sender Filter、Labels Filter 和 Time Frame (minutes) 参数。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。

此过滤条件使用 contains 逻辑，并且要求您指定完整的搜索字词。此过滤条件不支持部分匹配。
Sender Filter 可选

指定要搜索的电子邮件发件人的过滤条件。

此过滤条件使用 equals 逻辑。
Time Frame (minutes) 可选

一个过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Move to Trash 可选

如果选择此操作，系统会将邮件移至已删除邮件，并且不会搜索带有已删除邮件标签的邮件，除非您将 Labels Filter 参数配置为包含以下标签：Trash。如果未选择，该操作会在整个邮箱中执行搜索，并永久删除电子邮件。

默认处于选中状态。

操作输出

删除电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例说明了使用删除电子邮件操作时收到的 JSON 结果输出：

{
"mailbox1": [DELETED_MESSAGE_ID_LIST],
"mailbox2": [DELETED_MESSAGE_ID_LIST]
}
输出消息

删除电子邮件操作会提供以下输出消息：

输出消息 消息说明

Successfully deleted emails in the following mailboxes: MAILBOX_LIST

No emails to delete based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

The action didn't find any emails based on the specified search criteria.

Pending deletion of emails in the following mailboxes: MAILBOX_LIST

 操作成功。
Error executing action "Delete Email". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用删除电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

转发邮件

使用转发电子邮件操作转发电子邮件，包括包含先前会话串的电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

转发电子邮件操作需要以下参数：

参数 说明
Mailbox 必需

用于发送电子邮件的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Internet Message ID 必需

要搜索的电子邮件的互联网邮件 ID。
Send To 必需

以逗号分隔的电子邮件收件人电子邮件地址字符串，例如 user1@example.com, user2@example.com。
CC 可选

以逗号分隔的抄送 (CC) 电子邮件收件人的电子邮件地址字符串，例如 user1@example.com, user2@example.com。
BCC 可选

以逗号分隔的密送 (BCC) 电子邮件收件人电子邮件地址字符串，例如 user1@example.com, user2@example.com。
Subject 必需

要转发的电子邮件的新主题。
Attachments Paths 可选

存储在 Google SecOps 服务器上的文件附件的路径字符串，以逗号分隔。
Mail Content 必需

电子邮件的正文。

操作输出

转发电子邮件操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例说明了使用转发电子邮件操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

转发电子邮件操作会提供以下输出消息：

输出消息 消息说明
Successfully forwarded the MESSAGE_ID email. 操作成功。
Error executing action "Forward Email". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用转发电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

Ping

使用 Ping 操作测试与 Gmail 的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作会提供以下输出消息：

输出消息 消息说明
Successfully connected to the Google Gmail service with the provided connection parameters! 操作成功。
Failed to connect to the Google Gmail service! Error is ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

移除电子邮件标签

使用移除邮件标签操作可从指定邮件中移除标签。

此操作是异步的。在 Google SecOps IDE 中相应地调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

移除电子邮件标签操作需要以下参数：

参数 说明
Mailbox 必需

要等待其回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，以英文逗号分隔列表的形式提供。
Internet Message ID 可选

要搜索的电子邮件的互联网邮件 ID。

此参数接受以逗号分隔的字符串形式的多个值。

如果您提供互联网邮件 ID，该操作会忽略 Subject Filter、Sender Filter 和 Time Frame (minutes) 参数。
Labels Filter 可选

指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，以逗号分隔的字符串形式提供。

默认值为 Inbox。

您可以搜索带有特定标签（例如 label1, label2）的邮件。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索带有和不带特定标签的电子邮件，例如 label1, -label2, label3。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。

此过滤条件使用 contains 逻辑，并且要求您指定完整的搜索字词。此过滤条件不支持部分匹配。
Sender Filter 可选

指定要搜索的电子邮件发件人的过滤条件。

此过滤条件使用 equals 逻辑。
Time Frame (minutes) 可选

一个过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Label 必需

要从邮件中移除的标签。

此参数接受多个值，以英文逗号分隔列表的形式提供。如需从电子邮件中移除所有标签，请将参数值配置为 All。

操作输出

移除电子邮件标签操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例说明了使用移除电子邮件标签操作时收到的 JSON 结果输出：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@mail.gmail.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

移除电子邮件标签操作会提供以下输出消息：

输出消息 消息说明

Successfully updated labels for EMAIL_NUMBER emails in the MAILBOX_NAME mailbox.

The following labels don't exist in the MAILBOX_NAME mailbox: LABEL_LIST

None of the provided labels exists in the MAILBOX_NAME mailbox.

 操作成功。
Error executing action "Remove Email Label". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用移除电子邮件标签操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

将电子邮件保存到支持请求

使用将电子邮件保存到案例操作，将电子邮件或电子邮件附件保存到 Google SecOps 中的操作案例墙。

此操作不会在 Google SecOps 实体上运行。

操作输入

Save Email To The Case 操作需要以下参数：

参数 说明
Mailbox 必需

要等待其回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Internet Message ID 必需

要搜索的电子邮件的互联网邮件 ID。
Save Only Email Attachments 可选

如果选中，该操作只会保存指定电子邮件中的附件。

默认情况下不选择。
Attachment To Save 可选

如果您选择了 Save Only Email Attachments 参数，则该操作只会保存您在此参数中指定的附件。

此参数接受多个值，以逗号分隔的字符串形式。
Base64 Encode 可选

如果选择此选项，该操作会将电子邮件文件编码为 base64 格式。

默认情况下不选择。

操作输出

Save Email To The Case（将电子邮件保存到案例）操作会提供以下输出：

操作输出类型 可用性
案例墙附件 可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
案例墙附件

将电子邮件保存到案例操作会将电子邮件和附件作为案例证据保存在 Google SecOps 中。

下表介绍了该操作保存的文件：

已保存文件 名称和格式
电子邮件 EMAIL_SUBJECT.eml
Email attachment ATTACHMENT_NAME. ATTACHMENT_EXTENSION
JSON 结果

以下示例说明了使用将电子邮件保存到支持请求操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

将电子邮件保存到支持请求操作会提供以下输出消息：

输出消息 消息说明

Successfully saved the INTERNET_MESSAGE_ID email.

Successfully saved the following attachments from the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

The following attachments were not found in the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

 操作成功。
Error executing action "Save Email To The Case". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用将电子邮件保存到支持请求操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

搜索电子邮件

使用搜索电子邮件操作，根据提供的搜索条件在指定邮箱中执行电子邮件搜索。

此操作是异步的。在 Google SecOps IDE 中相应地调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

搜索邮件操作需要以下参数：

参数 说明
Mailbox 必需

要等待其回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，以英文逗号分隔列表的形式提供。
Labels Filter 可选

指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，以逗号分隔的字符串形式提供。

默认值为 Inbox。

您可以搜索带有特定标签（例如 label1, label2）的邮件。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索带有和不带特定标签的电子邮件，例如 label1, -label2, label3。
Internet Message ID 可选

要搜索的电子邮件的互联网邮件 ID。

此参数接受以逗号分隔的字符串形式的多个值。

如果您提供互联网邮件 ID，该操作会忽略 Subject Filter、Sender Filter、Labels Filter、Recipient Filter、Time Frame (minutes) 和 Email Status 参数。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。
Sender Filter 可选

指定要搜索的电子邮件发件人的过滤条件。
Recipient Filter 可选

一个过滤条件，用于指定要搜索的电子邮件收件人。
Time Frame (minutes) 可选

一个过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Headers To Return 可选

要在操作输出中返回的标头的逗号分隔列表。

该操作始终会返回以下标头：date、from、to、cc、bcc、in-reply-to、reply-to、message-id 和 subject。

如果您未提供任何值，该操作将返回所有标头。

此参数不区分大小写。
Return Email Body 可选

如果选中，该操作会在操作输出中返回电子邮件的完整正文内容。如果未选择，则无法获取电子邮件中附件名称的相关信息。

默认情况下不选择。
Max Emails To Return 可选

操作要返回的电子邮件数量上限。

默认值为 50。

操作输出

搜索电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
案例墙表格

搜索电子邮件操作会提供下表：

表格标题：Found Mails

列：

  • Message_id
  • 收到日期
  • Sender
  • 收件人
  • Subject
  • 邮件正文摘要
  • 附件名称
  • 可选：在邮箱中找到
JSON 结果

以下示例说明了使用搜索电子邮件操作时收到的 JSON 结果输出：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

搜索电子邮件操作会提供以下输出消息：

输出消息 消息说明

Successfully found emails in the following mailboxes: MAILBOX_LIST

No emails found in the following mailboxes: MAILBOX_LIST

Pending search for emails in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Please check the spelling.

The action was not able to find any emails based on the specified search criteria.

 操作成功。
Error executing action "Search For Emails". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用搜索电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

发送电子邮件

使用发送电子邮件操作可根据提供的参数发送电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

发送电子邮件操作需要以下参数：

参数 说明
Mailbox 必需

用于发送电子邮件的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Subject 必需

要发送的电子邮件的主题。
Send To 必需

以逗号分隔的电子邮件收件人电子邮件地址字符串，例如 user1@example.com, user2@example.com。
CC 可选

以逗号分隔的抄送 (CC) 电子邮件收件人的电子邮件地址字符串，例如 user1@example.com, user2@example.com。
BCC 可选

以逗号分隔的密送 (BCC) 电子邮件收件人的电子邮件地址字符串，例如 user1@example.com, user2@example.com
Attachments Paths 可选

存储在 Google SecOps 服务器上的文件附件的路径字符串，以逗号分隔。
Mail Content 必需

电子邮件的正文。
Reply-To Recipients 可选

要在 Reply-To 标头中使用的收件人的逗号分隔列表。

使用 Reply-To 标头将回复电子邮件重定向到特定电子邮件地址，而不是 From 字段中指定的发件人地址。

操作输出

发送电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例说明了使用发送电子邮件操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

发送电子邮件操作会提供以下输出消息：

输出消息 消息说明
Email was sent successfully. 操作成功。
Error executing action "Send Email". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用发送电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

发送消息串回复

使用发送会话串回复操作，将消息作为对邮件会话串的回复发送。

此操作不会在 Google SecOps 实体上运行。

操作输入

发送会话回复操作需要以下参数：

参数 说明
Mailbox 必需

要等待其回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Internet Message ID 必需

要搜索的电子邮件的互联网邮件 ID。
Reply To 可选

要将回复发送到的电子邮件地址的逗号分隔列表。

如果您未提供任何值，并且 Reply All 复选框处于未选中状态，则该操作只会向原始电子邮件发件人发送回复。如果您选择 Reply All 参数，该操作会忽略此参数。
Reply All 可选

如果选择此选项，该操作会向与原始电子邮件相关的所有收件人发送全部回复。

此参数的优先级高于 Reply To 参数。

默认情况下不选择。
Attachments Paths 可选

存储在 Google SecOps 服务器上的文件附件的路径字符串，以逗号分隔。
Mail Content 必需

电子邮件的正文。

操作输出

发送话题回复操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例说明了使用发送会话串回复操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

发送会话回复操作会提供以下输出消息：

输出消息 消息说明
Successfully sent a thread reply to the INTERNET_MESSAGE_ID email. 操作成功。
Error executing action "Sent Thread Reply". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用发送会话回复操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

等待消息串回复

使用等待会话回复操作，根据使用发送电子邮件操作发送的电子邮件等待用户回复。

此操作是异步的。在 Google SecOps IDE 中相应地调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

Wait For Thread Reply 操作需要以下参数：

参数 说明
Mailbox 必需

要等待其回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，以英文逗号分隔列表的形式提供。
Internet Message ID 必需

操作要等待的电子邮件的互联网邮件 ID。如果消息是使用发送电子邮件操作发送的，请使用 SendEmail.JSONResult|message_id 占位符配置此参数。

如需检索互联网邮件 ID，请使用搜索电子邮件操作。
Wait for All Recipients to Reply 可选

如果选中此选项，该操作会等待所有收件人的回复，直到超时。

默认情况下不选择。
Fetch Response Attachments 可选

如果选中此选项，并且收件人回复包含附件，则该操作会检索电子邮件附件，并将其作为附件添加到 Google SecOps 中的案例墙。

默认情况下不选择。

操作输出

Wait For Thread Reply 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例介绍了使用等待会话回复操作时收到的 JSON 结果输出：

[
   {
       "Entity": "reply@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "reply@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "reply@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

等待消息串回复操作会提供以下输出消息：

输出消息 消息说明

Found replies from the following users: USERS

Waiting for replies from the following users: USERS

 操作成功。
Error executing action "Wait For Thread Reply". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用等待线程回复操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

Gmail 连接器

使用 Gmail 连接器从指定邮箱检索 Gmail 电子邮件。

Gmail 连接器不会注入带有已安排标签的电子邮件，原因如下：

  • 连接器仅提取已发送的电子邮件。已设为定时发送标签表示电子邮件仅设为定时发送，尚未发送。
  • 连接器需要时间戳才能检索邮件。定时发送的邮件没有时间戳。

连接器输入

Gmail 连接器需要以下参数：

参数 说明
Product Field Name 必需

存储商品名称的字段的名称。

默认值为 device_product。
Event Field Name 必需

用于确定事件名称（子类型）的字段名称。

默认值为 event_name。
Environment Field Name 可选

存储环境名称的字段的名称。

如果未找到环境字段，则环境会设置为 ""。

Environment Regex Pattern 可选

要对 Environment Field Name 字段中的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。

使用默认值 .* 检索所需的原始 Environment Field Name 值。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为 ""。
Email Exclude Pattern 可选

用于从提取中排除特定电子邮件（例如垃圾邮件或新闻）的正则表达式。

此参数适用于电子邮件的主题和正文。例如，如需在提取时排除自动回复电子邮件，您可以配置以下正则表达式：(?i)(auto|no)(\s|-)?re(ply|sponse|sponder)。
Script Timeout (Seconds) 必需

运行当前脚本的 Python 进程的超时限制（以秒为单位）。

默认值为 300 秒。

Service Account JSON File Content 可选

服务账号密钥 JSON 文件的内容。

您可以配置此参数或 Workload Identity Email 参数。

如需配置此参数，请提供您在创建服务账号时下载的服务账号密钥 JSON 文件的完整内容。
Workload Identity Email 可选

服务账号的客户端邮箱。

您可以配置此参数或 Service Account JSON File Content 参数。

如需使用工作负载模拟服务账号，请向您的 Google SecOps 服务账号授予 Service Account Token Creator 角色。
Disable Overflow 可选

如果选中，连接器会在创建提醒期间忽略 Google SecOps 溢出机制。

默认情况下不选择。
Default Mailbox 必需

用作集成默认邮箱的电子邮件地址，例如 user@example.com。
Labels Filter 可选

要注入 Google SecOps 的电子邮件的标签。

该连接器支持嵌套标签。 以 Gmail 可接受的格式（例如 Inbox-label1-label2）提供标签。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Both
  • Read
  • Unread
默认值为 Both。
Extract Headers 可选

要从 internetMessageHeaders 列表中过滤并添加到 Google SecOps 事件的标头值。

默认情况下，连接器会将所有标头添加到事件中。如需仅添加特定标头，请以英文逗号分隔列表的形式输入这些标头，例如 DKIM-Siganture, Received, From。 如需阻止连接器添加任何标头，请输入 None 值。

此参数不区分大小写。
Attached Mail File Prefix 可选

要添加到从受监控邮箱中收到的附加电子邮件文件中提取的事件键（例如 to、from 或 subject）的前缀。

默认值为 attach。
Original Received Mail Prefix 可选

要添加到从受监控邮箱中收到的原始电子邮件中提取的事件键（例如 to、from 或 subject）的前缀。

默认值为 orig。
Attach Original EML 可选

如果选中此选项，连接器会将原始电子邮件作为元素标记语言 (EML) 文件附加到支持请求信息中。

默认情况下不选择。

Create Alert Per Attachment File 可选

如果选中此选项，连接器会创建多个提醒，每个附加的电子邮件文件对应一个提醒。

当您处理附加了多个电子邮件文件的电子邮件，并将 Google SecOps 事件映射设置为根据附加的电子邮件文件创建实体时，此行为非常有用。

默认情况下不选择。
Max Emails Per Cycle 可选

每次连接器迭代要检索的电子邮件数量上限。

数量上限为 100。默认值为 10。
Max Hours Backwards 可选

首次连接器迭代之前要从中检索突发事件的小时数。此参数适用于您首次启用连接器后的初始连接器迭代，或过期的连接器时间戳的后备值。

默认值为 24。
Case Name Template 可选

自定义支持请求名称。

配置此参数后，连接器会向 Google SecOps 事件添加一个名为 custom_case_name 的新键。

您可以采用以下格式提供占位符：[name of the field]。

示例：Phishing - [event_mailbox]。

对于占位符，连接器会使用第一个 Google SecOps 事件。连接器仅处理包含字符串值的键。如需配置此参数，请指定不带前缀的事件字段。
Alert Name Template 可选

自定义提醒名称。

您可以采用以下格式提供占位符：[name of the field]。

示例：Phishing - [event_mailbox]。

对于占位符，连接器会使用第一个 Google SecOps SOAR 事件。连接器仅处理包含字符串值的键。如果您未提供任何值或提供了无效模板，则连接器会使用默认提醒名称。如需配置此参数，请指定不带前缀的事件字段。
Verify SSL 必需

如果选中此选项，集成会验证用于连接到 Gmail 的 SSL 证书是否有效。默认处于选中状态。
Proxy Server Address 可选

要使用的代理服务器的地址。
Proxy Username 可选

用于进行身份验证的代理用户名。
Proxy Password 可选

用于进行身份验证的代理密码。

连接器规则

Gmail 连接器支持动态列表。

如需从邮件正文和主题中过滤特定值，请使用以下格式的动态列表正则表达式：key: regex，例如 subject: (?<=Subject: ).*。例如，在找到与 subject: (?<=Subject: ).* 正则表达式匹配的内容后，连接器会创建一个 Google SecOps 提醒事件，并向其添加一个名为 subject 的新键。新键值与正则表达式匹配。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。