將 Gmail 與 Google SecOps 整合

本文說明如何將 Gmail 與 Google Security Operations 整合。

用途

Gmail 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 自動化網路釣魚防堵：在整個組織中搜尋並刪除惡意電子郵件，防止使用者與威脅發動者互動。

  • 電子郵件鑑識分析：在調查期間擷取郵件標頭、附件和內文內容進行分析。

  • 事件通知：直接從教戰手冊傳送安全性警示、調查更新或修復指示給相關人員，自動完成通訊。

  • 信箱管理：列出使用者郵件或稽核標籤，找出目標式網路釣魚廣告活動的模式。

事前準備

在 Google SecOps 中設定 Gmail 整合前，請先完成下列必要步驟：

  1. 啟用 Gmail API。

  2. 建立服務帳戶。

  3. 將全網域授權委派給服務帳戶。

  4. 選擇並設定下列其中一種驗證方式：

    • 方法 1：Workload Identity (建議做法)：這個方法會透過服務帳戶模擬功能，使用短期臨時存取權杖，因此您不必儲存密鑰。

    • 方法 2：服務帳戶 JSON 金鑰：這個方法仰賴靜態、長期有效的密鑰檔案。只有在環境不支援 Workload Identity 驗證時，才應使用這個方法。

啟用 Gmail API

您必須在 Google Cloud 組織中啟用 Gmail API，整合功能才能與 Google Workspace 通訊。

  1. 前往 Google Cloud 控制台的「Library」(程式庫)。

    前往「媒體庫」

  2. 搜尋並啟用 Gmail API。

建立服務帳戶

如要為整合作業建立服務帳戶，請完成下列步驟：

  1. 在 Google Cloud 控制台，依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。

    前往「Service Accounts」(服務帳戶)

  2. 按一下「add」「Create service account」(建立服務帳戶)。

  3. 提供名稱 (例如「SecOps IAM 整合」) 和說明。

  4. 按一下「建立並繼續」。

  5. 略過選用的角色指派步驟，然後按一下「完成」。

  6. 在清單中找出服務帳戶，然後複製用戶端 ID (也稱為專屬 ID) 和電子郵件地址。您需要這些資訊，才能進行全網域委派。

委派全網域授權

服務帳戶沒有自己的信箱。您必須將全網域授權委派給服務帳戶，服務帳戶才能模擬組織內的使用者。

  1. 在網域的 Google 管理控制台中，依序前往「主選單」>「安全性」>「存取權與資料控管」>「API 控制項」。

  2. 在「Domain wide delegation」(全網域委派) 窗格中，選取「Manage Domain Wide Delegation」(管理全網域委派設定)。

  3. 按一下「新增」。

  4. 在「Client ID」(用戶端 ID) 欄位中，輸入您建立的服務帳戶「Unique ID」(專屬 ID) (用戶端 ID)。

  5. 在「OAuth Scopes」(OAuth 範圍) 欄位中，輸入下列以半形逗號分隔的範圍清單：

    https://mail.google.com/,
https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.group.member,
https://www.googleapis.com/auth/admin.directory.customer.readonly,
https://www.googleapis.com/auth/admin.directory.domain.readonly,
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/admin.directory.user.alias,
https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,
https://www.googleapis.com/auth/apps.groups.settings

  6. 按一下 [授權]。

設定 Workload Identity 憑證

請選擇這個方法或 JSON 金鑰方法，驗證整合。建議使用 Workload Identity，因為這種方法會透過服務帳戶模擬，使用短期臨時存取權杖。

找出專屬執行個體身分

如要使用 Workload Identity 進行驗證，您必須授予 Google SecOps 執行個體權限，允許其模擬服務帳戶。這樣一來，執行個體就能安全存取 Google Cloud 資源。

  1. 在 Google SecOps 中，依序前往 「Content Hub」 >「Response Integrations」。

  2. 選取「Gmail」Gmail整合，然後在 Workload Identity Email 中輸入服務帳戶電子郵件。

  3. 依序點選「儲存」 > 「測試」。測試預計會失敗。

  4. 按一下「Test」(測試) 右側的 close_small，然後在錯誤訊息中搜尋以 gke-init-python@... 或 soar-python@... 開頭的身分電子郵件。

  5. 複製這個專屬電子郵件地址。

在 Google Cloud中授權執行個體身分

取得 Google SecOps 執行個體的專屬身分後，您必須授權該執行個體存取Google Cloud 資源。這個步驟可讓平台模擬服務帳戶、產生短期權杖，並在沒有靜態金鑰的情況下代表您執行操作。

  1. 在 Google Cloud 控制台，依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。

    前往「Service Accounts」(服務帳戶)

  2. 選取目標服務帳戶，然後依序前往 「Permissions」(權限) >「Grant Access」(授予存取權)。

  3. 將不重複的電子郵件地址貼到「New principals」(新增主體) 欄位，並指派「Service Account Token Creator」(服務帳戶權杖建立者) 角色 (roles/iam.serviceAccountTokenCreator)。

設定 JSON 金鑰

請選擇這個方法或 Workload Identity 方法，驗證整合。只有在環境不支援 Workload Identity 時，才應使用 JSON 金鑰方法。建議您採用 Workload Identity，這種做法更安全。這個方法仰賴靜態、長期有效的密鑰檔案，需要手動管理及輪替。

請按照下列程序產生 JSON 金鑰檔案，用於驗證整合：

  1. 在 Google Cloud 控制台中，依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)，然後選取您建立的服務帳戶 。

    前往「Service Accounts」(服務帳戶)

  2. 前往「金鑰」分頁。

  3. 依序點選「新增金鑰」>「建立新的金鑰」。

  4. 選取「JSON」做為金鑰類型，然後按一下「建立」。瀏覽器會將 JSON 檔案下載到您的電腦。

  5. 複製這個檔案的完整內容，並在整合設定期間貼到「Service Account JSON File Content」(服務帳戶 JSON 檔案內容)。

整合參數

Gmail 整合需要下列參數：

參數 說明
Default Mailbox

這是必填欄位。

如果動作中未提供特定信箱，整合功能會使用主要使用者電子郵件地址傳送或接收郵件。
Service Account JSON File Content

選填。

服務帳戶金鑰 JSON 檔案的完整內容。

只有在使用 JSON 金鑰進行驗證時，才需要使用這個參數。
Workload Identity Email

選填。

服務帳戶的用戶端電子郵件地址。

只有在使用 Workload Identity 進行驗證時，才需要使用這個參數。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Gmail 伺服器時驗證 SSL 憑證。

(預設為啟用)。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

新增電子郵件標籤

使用「新增電子郵件標籤」動作，為指定電子郵件新增標籤。

這項操作是非同步的。請在 Google SecOps 整合式開發環境 (IDE) 中，據此調整動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「新增電子郵件標籤」動作需要下列參數：

參數 說明
Mailbox 必要

等待回覆的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。這項參數接受多個值，請以逗號分隔的清單表示。
Internet Message ID 選用

要搜尋的電子郵件網際網路郵件 ID。

這個參數接受多個值，請以半形逗號分隔。

如果您提供網際網路郵件 ID，這項動作會忽略 Subject Filter、Sender Filter 和 Time Frame (minutes) 參數。
Labels Filter 選用

指定要搜尋的電子郵件標籤篩選條件。

這個參數接受多個值，並以半形逗號分隔。

預設值為 Inbox。

您可以搜尋含有特定標籤 (例如 label1, label2) 的電子郵件。如要搜尋不含特定標籤的電子郵件，請使用下列格式：-label1。您可以設定這項參數，在單一字串中搜尋含有和不含特定標籤的電子郵件，例如 label1, -label2, label3。
Subject Filter 選用

指定要搜尋的電子郵件主旨篩選條件。

這項篩選器使用 contains 邏輯，您必須指定完整的搜尋字詞。這個篩選器不支援部分相符。
Sender Filter 選用

指定要搜尋的電子郵件寄件者篩選條件。

這個篩選器使用 equals 邏輯。
Time Frame (minutes) 選用

篩選條件，指定搜尋電子郵件的時間範圍 (以分鐘為單位)。

預設值為 60 分鐘。
Email Status 選用

要搜尋的電子郵件狀態。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

預設值為 Both Read & Unread Messages。
Label 必要

要更新電子郵件的標籤。

這項參數接受多個值，請以逗號分隔的清單。

如果信箱中沒有該標籤，系統會建立標籤。

動作輸出內容

「新增電子郵件標籤」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「新增電子郵件標籤」動作時，收到的 JSON 結果輸出內容：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
輸出訊息

「新增電子郵件標籤」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully updated labels for emails in the following mailboxes: MAILBOX_LIST

No emails were found based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

Update is pending for emails in the following mailboxes: MAILBOX_LIST

 動作成功。
Error executing action "Add Email Label". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Add Email Label」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除電子郵件

使用「刪除電子郵件」動作，根據提供的搜尋條件，從信箱中刪除一或多封電子郵件。根據預設，這項操作會將電子郵件移至垃圾桶。您可以設定動作，永久刪除電子郵件，而不是移至垃圾桶。

「刪除電子郵件」動作是非同步作業。請在 Google SecOps IDE 中，據此調整動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「刪除電子郵件」動作需要下列參數：

參數 說明
Mailbox 必要

等待回覆的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。這個參數接受多個值，並以半形逗號分隔。
Labels Filter 選用

指定要搜尋的電子郵件標籤篩選條件。

這個參數接受多個值，並以半形逗號分隔。

預設值為 Inbox。

您可以搜尋含有特定標籤 (例如 label1, label2) 的電子郵件。如要搜尋不含特定標籤的電子郵件，請使用下列格式：-label1。您可以設定這項參數，在單一字串中搜尋含有和不含特定標籤的電子郵件，例如 label1, -label2, label3。
Internet Message ID 選用

要搜尋的電子郵件網際網路郵件 ID。

這個參數接受多個值，請以半形逗號分隔。

如果您提供網際網路郵件 ID，這項動作會忽略 Subject Filter、Sender Filter、Labels Filter 和 Time Frame (minutes) 參數。
Subject Filter 選用

指定要搜尋的電子郵件主旨篩選條件。

這項篩選器使用 contains 邏輯，您必須指定完整的搜尋字詞。這個篩選器不支援部分相符。
Sender Filter 選用

指定要搜尋的電子郵件寄件者篩選條件。

這個篩選器使用 equals 邏輯。
Time Frame (minutes) 選用

篩選條件，指定搜尋電子郵件的時間範圍 (以分鐘為單位)。

預設值為 60 分鐘。
Email Status 選用

要搜尋的電子郵件狀態。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

預設值為 Both Read & Unread Messages。
Move to Trash 選用

如果選取這項動作，系統會將電子郵件移至「垃圾桶」，且不會搜尋含有「垃圾桶」標籤的電子郵件，除非您將 Labels Filter 參數設為包含下列標籤：Trash。如未選取，這項動作會搜尋整個信箱，並永久刪除電子郵件。

預設為選取。

動作輸出內容

「刪除電子郵件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「刪除電子郵件」動作時，收到的 JSON 結果輸出內容：

{
"mailbox1": [DELETED_MESSAGE_ID_LIST],
"mailbox2": [DELETED_MESSAGE_ID_LIST]
}
輸出訊息

「刪除電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted emails in the following mailboxes: MAILBOX_LIST

No emails to delete based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

The action didn't find any emails based on the specified search criteria.

Pending deletion of emails in the following mailboxes: MAILBOX_LIST

 動作成功。
Error executing action "Delete Email". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Delete Email」(刪除電子郵件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

轉寄電子郵件

使用「轉寄電子郵件」動作轉寄電子郵件，包括含有先前討論串的電子郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「轉寄電子郵件」動作需要下列參數：

參數 說明
Mailbox 必要

傳送電子郵件的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。
Internet Message ID 必要

要搜尋的電子郵件網際網路郵件 ID。
Send To 必要

以半形逗號分隔的電子郵件地址字串，例如 user1@example.com, user2@example.com。
CC 選用

以半形逗號分隔的電子郵件地址字串，用於副本 (CC) 電子郵件收件者，例如 user1@example.com, user2@example.com。
BCC 選用

以半形逗號分隔的密件副本 (BCC) 收件者電子郵件地址字串，例如 user1@example.com, user2@example.com。
Subject 必要

轉寄電子郵件的新主旨。
Attachments Paths 選用

以半形逗號分隔的字串，代表儲存在 Google SecOps 伺服器上的檔案附件路徑。
Mail Content 必要

電子郵件內文。

動作輸出內容

「轉寄電子郵件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「轉寄電子郵件」動作時，收到的 JSON 結果輸出內容：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
輸出訊息

「轉寄電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully forwarded the MESSAGE_ID email. 動作成功。
Error executing action "Forward Email". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Forward Email」(轉寄電子郵件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用 Ping 動作測試與 Gmail 的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Ping 動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the Google Gmail service with the provided connection parameters! 動作成功。
Failed to connect to the Google Gmail service! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

移除電子郵件標籤

使用「移除電子郵件標籤」動作，從指定電子郵件中移除標籤。

這項操作是非同步的。請在 Google SecOps IDE 中，據此調整動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「移除電子郵件標籤」動作需要下列參數：

參數 說明
Mailbox 必要

等待回覆的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。這項參數接受多個值，請以逗號分隔的清單表示。
Internet Message ID 選用

要搜尋的電子郵件網際網路郵件 ID。

這個參數接受多個值，請以半形逗號分隔。

如果您提供網際網路郵件 ID，這項動作會忽略 Subject Filter、Sender Filter 和 Time Frame (minutes) 參數。
Labels Filter 選用

指定要搜尋的電子郵件標籤篩選條件。

這個參數接受多個值，並以半形逗號分隔。

預設值為 Inbox。

您可以搜尋含有特定標籤 (例如 label1, label2) 的電子郵件。如要搜尋不含特定標籤的電子郵件，請使用下列格式：-label1。您可以設定這項參數，在單一字串中搜尋含有和不含特定標籤的電子郵件，例如 label1, -label2, label3。
Subject Filter 選用

指定要搜尋的電子郵件主旨篩選條件。

這項篩選器使用 contains 邏輯，您必須指定完整的搜尋字詞。這個篩選器不支援部分相符。
Sender Filter 選用

指定要搜尋的電子郵件寄件者篩選條件。

這個篩選器使用 equals 邏輯。
Time Frame (minutes) 選用

篩選條件，指定搜尋電子郵件的時間範圍 (以分鐘為單位)。

預設值為 60 分鐘。
Email Status 選用

要搜尋的電子郵件狀態。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

預設值為 Both Read & Unread Messages。
Label 必要

要從電子郵件中移除的標籤。

這項參數接受多個值，請以逗號分隔的清單。如要從電子郵件中移除所有標籤，請將參數值設為 All。

動作輸出內容

「Remove Email Label」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Remove Email Label」動作時，收到的 JSON 結果輸出內容：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@mail.gmail.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
輸出訊息

「Remove Email Label」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully updated labels for EMAIL_NUMBER emails in the MAILBOX_NAME mailbox.

The following labels don't exist in the MAILBOX_NAME mailbox: LABEL_LIST

None of the provided labels exists in the MAILBOX_NAME mailbox.

 動作成功。
Error executing action "Remove Email Label". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Remove Email Label」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將電子郵件儲存至案件

使用「Save Email To The Case」動作，將電子郵件或電子郵件附件儲存至 Google SecOps 的案件牆。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Save Email To The Case」動作需要下列參數：

參數 說明
Mailbox 必要

等待回覆的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。
Internet Message ID 必要

要搜尋的電子郵件網際網路訊息 ID。
Save Only Email Attachments 選用

如果選取這個選項，動作只會儲存指定電子郵件的附件。

預設為未選取。
Attachment To Save 選用

如果您選取 Save Only Email Attachments 參數，系統只會儲存您在這個參數中指定的附件。

這個參數接受多個值，並以半形逗號分隔。
Base64 Encode 選用

如果選取，動作會將電子郵件檔案編碼為 base64 格式。

預設為未選取。

動作輸出內容

「Save Email To The Case」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 可用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽附件

「Save Email To The Case」動作會將電子郵件和附件儲存為 Google SecOps 中的案件證據。

下表說明動作儲存的檔案：

已儲存的檔案 名稱和格式
電子郵件 EMAIL_SUBJECT.eml
Email attachment ATTACHMENT_NAME. ATTACHMENT_EXTENSION
JSON 結果

以下範例說明使用「Save Email To The Case」動作時，收到的 JSON 結果輸出內容：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
輸出訊息

「Save Email To The Case」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully saved the INTERNET_MESSAGE_ID email.

Successfully saved the following attachments from the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

The following attachments were not found in the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

 動作成功。
Error executing action "Save Email To The Case". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Save Email To The Case」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

搜尋電子郵件

使用「Search for Emails」動作，根據提供的搜尋條件，在指定信箱中執行電子郵件搜尋。

這項操作是非同步的。請在 Google SecOps IDE 中，據此調整動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Search For Emails」動作需要下列參數：

參數 說明
Mailbox 必要

等待回覆的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。這項參數接受多個值，請以逗號分隔的清單表示。
Labels Filter 選用

指定要搜尋的電子郵件標籤篩選條件。

這個參數接受多個值，並以半形逗號分隔。

預設值為 Inbox。

您可以搜尋含有特定標籤 (例如 label1, label2) 的電子郵件。如要搜尋不含特定標籤的電子郵件，請使用下列格式：-label1。您可以設定這項參數，在單一字串中搜尋含有和不含特定標籤的電子郵件，例如 label1, -label2, label3。
Internet Message ID 選用

要搜尋的電子郵件網際網路郵件 ID。

這個參數接受多個值，請以半形逗號分隔。

如果您提供網際網路郵件 ID，這項動作會忽略 Subject Filter、Sender Filter、Labels Filter、Recipient Filter、Time Frame (minutes) 和 Email Status 參數。
Subject Filter 選用

指定要搜尋的電子郵件主旨篩選條件。
Sender Filter 選用

指定要搜尋的電子郵件寄件者篩選條件。
Recipient Filter 選用

指定要搜尋的電子郵件收件者的篩選條件。
Time Frame (minutes) 選用

篩選條件，指定搜尋電子郵件的時間範圍 (以分鐘為單位)。

預設值為 60 分鐘。
Email Status 選用

要搜尋的電子郵件狀態。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

預設值為 Both Read & Unread Messages。
Headers To Return 選用

以半形逗號分隔的清單，列出要在動作輸出內容中傳回的標頭。

這項動作一律會傳回下列標頭：date、from、to、cc、bcc、in-reply-to、reply-to、message-id 和 subject。

如未提供任何值，動作會傳回所有標頭。

這個參數不區分大小寫。
Return Email Body 選用

如果選取，這項動作會在輸出內容中傳回電子郵件的完整內文。如未選取，則無法取得電子郵件附件名稱的相關資訊。

預設為未選取。
Max Emails To Return 選用

動作傳回的電子郵件數量上限。

預設值為 50。

動作輸出內容

「搜尋電子郵件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「搜尋電子郵件」動作會提供下表：

表格標題：Found Mails

欄：

  • Message_id
  • Received Date
  • Sender
  • 收件者
  • Subject
  • 電子郵件內文片段
  • 附件名稱
  • 選用：在信箱中找到
JSON 結果

以下範例說明使用「搜尋電子郵件」動作時，收到的 JSON 結果輸出內容：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
輸出訊息

「搜尋電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully found emails in the following mailboxes: MAILBOX_LIST

No emails found in the following mailboxes: MAILBOX_LIST

Pending search for emails in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Please check the spelling.

The action was not able to find any emails based on the specified search criteria.

 動作成功。
Error executing action "Search For Emails". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「搜尋電子郵件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

傳送電子郵件

使用「傳送電子郵件」動作，根據提供的參數傳送電子郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「傳送電子郵件」動作需要下列參數：

參數 說明
Mailbox 必要

傳送電子郵件的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。
Subject 必要

要傳送的電子郵件主旨。
Send To 必要

以半形逗號分隔的電子郵件地址字串，例如 user1@example.com, user2@example.com。
CC 選用

以半形逗號分隔的電子郵件地址字串，用於副本 (CC) 電子郵件收件者，例如 user1@example.com, user2@example.com。
BCC 選用

以半形逗號分隔的密件副本 (BCC) 收件者電子郵件地址字串，例如 user1@example.com, user2@example.com
Attachments Paths 選用

以半形逗號分隔的字串，代表儲存在 Google SecOps 伺服器上的檔案附件路徑。
Mail Content 必要

電子郵件內文。
Reply-To Recipients 選用

以半形逗號分隔的收件者清單，用於「Reply-To」標頭。

使用「Reply-To」標頭，將回覆電子郵件重新導向至特定電子郵件地址，而非「From」欄位中指定的寄件者地址。

動作輸出內容

「傳送電子郵件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Send Email」(傳送電子郵件) 動作時，收到的 JSON 結果輸出內容：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
輸出訊息

「傳送電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Email was sent successfully. 動作成功。
Error executing action "Send Email". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Send Email」(傳送電子郵件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

傳送討論串回覆

使用「Send Thread Reply」動作，傳送訊息做為電子郵件討論串的回覆。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Send Thread Reply」動作需要下列參數：

參數 說明
Mailbox 必要

等待回覆的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。
Internet Message ID 必要

要搜尋的電子郵件網際網路郵件 ID。
Reply To 選用

以半形逗號分隔的電子郵件地址清單，用於傳送回覆。

如果您未提供任何值，且未勾選「Reply All」核取方塊，則動作只會傳送回覆給原始電子郵件寄件者。如果選取 Reply All 參數，動作會忽略這個參數。
Reply All 選用

如果選取這個選項，系統會傳送回覆給與原始電子郵件相關的所有收件者。

這個參數的優先順序高於 Reply To 參數。

預設為未選取。
Attachments Paths 選用

以半形逗號分隔的字串，代表儲存在 Google SecOps 伺服器上的檔案附件路徑。
Mail Content 必要

電子郵件內文。

動作輸出內容

「傳送討論串回覆」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「傳送討論串回覆」動作時，收到的 JSON 結果輸出內容：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
輸出訊息

「傳送討論串回覆」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully sent a thread reply to the INTERNET_MESSAGE_ID email. 動作成功。
Error executing action "Sent Thread Reply". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「傳送討論串回覆」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

等待討論串回覆

使用「Wait For Thread Reply」動作，根據使用「Send Email」動作傳送的電子郵件，等待使用者回覆。

這項操作是非同步的。請在 Google SecOps IDE 中，據此調整動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Wait For Thread Reply」動作需要下列參數：

參數 說明
Mailbox 必要

等待回覆的信箱，例如 user@example.com。

根據預設，這項動作會使用您為整合作業設定的預設信箱。這項參數接受多個值，請以逗號分隔的清單表示。
Internet Message ID 必要

要等待動作的電子郵件網際網路郵件 ID。如果訊息是使用「Send Email」動作傳送，請使用 SendEmail.JSONResult|message_id 預留位置設定這項參數。

如要擷取網際網路郵件 ID，請使用「搜尋電子郵件」動作。
Wait for All Recipients to Reply 選用

如果選取這個選項，動作會等待所有收件者回覆，直到逾時為止。

預設為未選取。
Fetch Response Attachments 選用

如果選取這個選項，且收件者的回覆包含附件，這項動作會擷取電子郵件附件，並將其新增為 Google SecOps 案件牆的附件。

預設為未選取。

動作輸出內容

「等待討論串回覆」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Wait For Thread Reply」動作時，收到的 JSON 結果輸出內容：

[
   {
       "Entity": "reply@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "reply@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "reply@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
輸出訊息

「Wait For Thread Reply」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Found replies from the following users: USERS

Waiting for replies from the following users: USERS

 動作成功。
Error executing action "Wait For Thread Reply". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Wait For Thread Reply」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Gmail 連接器

使用 Gmail 連接器，從指定信箱擷取 Gmail 電子郵件。

Gmail 連接器不會擷取含有「Scheduled」(已排定) 標籤的電子郵件，原因如下：

  • 連接器只會擷取已傳送的電子郵件，「Scheduled」標籤表示電子郵件僅排定傳送時間，尚未傳送。
  • 連接器需要時間戳記才能擷取電子郵件。已排定傳送時間的電子郵件沒有時間戳記。

連接器輸入

Gmail 連接器需要下列參數：

參數 說明
Product Field Name 必要

儲存產品名稱的欄位名稱。

預設值為 device_product。
Event Field Name 必要

用於判斷事件名稱 (子類型) 的欄位名稱。

預設值為 event_name。
Environment Field Name 選用

儲存環境名稱的欄位名稱。

如果找不到環境欄位，環境會設為 ""。
Environment Regex Pattern 選用

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為 ""。
Email Exclude Pattern 選用

規則運算式，用於排除特定電子郵件 (例如垃圾郵件或新聞)，不予擷取。

這個參數適用於電子郵件的主旨和內文。舉例來說，如要排除自動回覆電子郵件，可以設定下列規則運算式：(?i)(auto|no)(\s|-)?re(ply|sponse|sponder)。
Script Timeout (Seconds) 必要

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 300 秒。
Service Account JSON File Content 選用

服務帳戶金鑰 JSON 檔案的內容。

您可以設定這項參數或 Workload Identity Email 參數。

如要設定這項參數，請提供您在建立服務帳戶時下載的服務帳戶金鑰 JSON 檔案完整內容。
Workload Identity Email 選用

服務帳戶的用戶端電子郵件地址。

您可以設定這項參數或 Service Account JSON File Content 參數。

如要透過工作負載模擬服務帳戶，請將 Service Account Token Creator 角色授予 Google SecOps 服務帳戶。
Disable Overflow 選用

如果選取，連接器會在建立快訊時忽略 Google SecOps 溢位機制。

預設為未選取。
Default Mailbox 必要

要用做整合預設信箱的電子郵件地址，例如 user@example.com。
Labels Filter 選用

要擷取至 Google SecOps 的電子郵件標籤。

連接器支援巢狀標籤。 請以 Gmail 可接受的格式提供標籤，例如 Inbox-label1-label2。
Email Status 選用

要搜尋的電子郵件狀態。

可能的值如下：

  • Both
  • Read
  • Unread
預設值為 Both。
Extract Headers 選用

要從 internetMessageHeaders 清單篩選並新增至 Google SecOps 事件的標頭值。

根據預設，連接器會將所有標頭新增至事件。如要只新增特定標頭，請以逗號分隔的清單形式輸入，例如 DKIM-Siganture, Received, From。如要防止連接器新增任何標頭，請輸入 None 值。

這個參數不區分大小寫。
Attached Mail File Prefix 選用

要新增至所擷取事件金鑰的前置字串 (例如 to、from 或 subject)，這些金鑰來自受監控信箱收到的附加電子郵件檔案。

預設值為 attach。
Original Received Mail Prefix 選用

要加到擷取事件鍵的前置字元 (例如 to、from 或 subject)，這些事件鍵是從受監控信箱收到的原始電子郵件中擷取而來。

預設值為 orig。
Attach Original EML 選用

如果選取，連接器會將原始電子郵件以 Elements Markup Language (EML) 檔案的形式附加到案件資訊中。

預設為未選取。

Create Alert Per Attachment File 選用

如果選取這個選項，連接器會建立多個快訊，每個附加的電子郵件檔案都會有一個快訊。

當您處理附加多個電子郵件檔案的電子郵件，並設定 Google SecOps 事件對應，從附加的電子郵件檔案建立實體時，這項行為就很有用。

預設為未選取。
Max Emails Per Cycle 選用

每次連接器疊代時要擷取的電子郵件數量上限。

上限為 100。預設值為 10。
Max Hours Backwards 選用

第一次連接器疊代前，要擷取事件的小時數。首次啟用連接器後，這個參數會套用至初始連接器疊代，或過期連接器時間戳記的備用值。

預設值為 24。
Case Name Template 選用

自訂案件名稱。

設定這項參數後，連接器會在 Google SecOps 事件中新增名為 custom_case_name 的金鑰。

您可以使用下列格式提供預留位置：[name of the field]。

範例：Phishing - [event_mailbox]。

如果是預留位置，連接器會使用第一個 Google SecOps 事件。連接器只會處理包含字串值的索引鍵。如要設定這項參數，請指定不含前置字元的事件欄位。
Alert Name Template 選用

自訂快訊名稱。

您可以使用下列格式提供預留位置：[name of the field]。

範例：Phishing - [event_mailbox]。

如果是預留位置，連接器會使用第一個 Google SecOps SOAR 事件。連接器只會處理包含字串值的索引鍵。如果您未提供值或範本無效，連接器會使用預設快訊名稱。如要設定這項參數，請指定不含前置字元的事件欄位。
Verify SSL 必要

如果選取，整合功能會驗證用於連線至 Gmail 的 SSL 憑證是否有效。預設為選取。
Proxy Server Address 選用

要使用的 Proxy 伺服器位址。
Proxy Username 選用

用於驗證的 Proxy 使用者名稱。
Proxy Password 選用

用於驗證的 Proxy 密碼。

連接器規則

Gmail 連接器支援動態清單。

如要篩選電子郵件內文和主旨中的特定值，請使用下列格式的動態清單規則運算式：key: regex，例如 subject: (?<=Subject: ).*。舉例來說，找到與 subject: (?<=Subject: ).* 規則運算式相符的項目後，連接器會建立 Google SecOps 警告事件，並在事件中新增名稱為 subject 的新鍵。新的鍵值符合規則運算式。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。