Google Chronicle in Google SecOps einbinden

Achtung: Die Backstory API und die Ingestion API wurden eingestellt. Neue Instanzen können keine Legacy-APIs mehr aufrufen. Das End of Life (EOL) ist am 20. Juli 2027.

Um Unterbrechungen des Playbooks zu vermeiden, müssen Sie diese Integration auf Version 54 oder höher aktualisieren.

• Authentifizierung: Achten Sie darauf, dass Ihre Authentifizierungseinstellungen (integrierte Systemanmeldedaten, Workload Identity oder ein JSON-Schlüssel für ein Dienstkonto) in der Integrationskonfiguration, den Connectors und den Jobs identisch konfiguriert sind.
• Playbook-Monitoring: Sie müssen Ihre Playbooks nach dem Upgrade überprüfen, da sich die Ausgaben der Aktionsausführung unterscheiden können.

Weitere Informationen finden Sie unter Von der Legacy-SIEM API zur Chronicle API migrieren und Backstory API zur Chronicle API migrieren.

In diesem Dokument wird beschrieben, wie Sie Google Chronicle in Google Security Operations einbinden.

Hinweis: Google Chronicle wurde in Google SecOps umbenannt. Auf der Google SecOps-Plattform heißt diese Integration Google Chronicle.

Anwendungsfälle

Die Google Chronicle-Integration verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

• Automatisierte Phishing-Prüfung und -Abhilfe: Automatische Abfrage von E‑Mail-Verlaufsdaten, Nutzeraktivitätsprotokollen und Threat Intelligence, um die Legitimität von E‑Mails zu beurteilen. Die automatisierte Behebung kann Ihnen bei der Triage und Eindämmung helfen, indem sie die Verbreitung von Malware oder Datenpannen verhindert.

• Anreicherung von Sicherheitswarnungen: Eine in einem SIEM generierte Warnung mit historischem Kontext wie dem bisherigen Nutzerverhalten und Asset-Informationen anreichern. So erhalten Analysten einen umfassenden Überblick über einen Vorfall und können schneller fundierte Entscheidungen treffen.

• Bedrohungssuche basierend auf Google SecOps-Statistiken: Automatisieren Sie den Prozess der Abfrage anderer Sicherheitstools nach zugehörigen Kompromittierungsindikatoren (IoCs). So können Sie potenzielle Verstöße proaktiv erkennen, bevor sie eskalieren.

• Automatisierte Playbooks für die Incident Response: Sie können vordefinierte Playbooks auslösen, die Google SecOps-Daten verwenden, um kompromittierte Systeme zu isolieren, bösartige IP-Adressen zu blockieren und relevante Stakeholder zu benachrichtigen. So lässt sich die Incident Response-Zeit verkürzen und die Auswirkungen von Sicherheitsvorfällen minimieren.

• Compliance-Berichte und Audits: Automatisieren Sie die Erfassung von Sicherheitsdaten aus Google SecOps für Compliance-Berichte, um den Auditprozess zu optimieren und den manuellen Aufwand zu reduzieren.

Hinweis

Bevor Sie die Google Chronicle-Integration in Google SecOps konfigurieren, müssen Sie Zugriff auf ein aktivesGoogle Cloud -Projekt haben.

Backstory API zu Chronicle API migrieren

Einige neue Funktionen und Aktionen in dieser Integration unterstützen nur die Chronicle API. Daher empfehlen wir allen Nutzern dringend, ihre Bereitstellung auf die Chronicle API zu migrieren.

So migrieren Sie von der Legacy-Backstory API zur Chronicle API:

1. Suchen Sie den Chronicle API-Stamm und geben Sie ihn im Parameter API Root in der Integrationskonfiguration, den Connectors und den Jobs ein.
2. Prüfen Sie, ob Ihre Authentifizierungsmethode für Ihren Google Cloud -Projekttyp unterstützt wird und in der Integrationskonfiguration, den Connectors und den Jobs identisch angewendet wird.

Chronicle API-Stamm finden

Wenn Sie auf die Chronicle API zugreifen, müssen Sie die eindeutige API Root Ihrer Umgebung für die Integration, den Connector und die Jobkonfigurationen finden.

1. Öffnen Sie die Entwicklertools Ihres Browsers und rufen Sie die Google SecOps-Plattform auf.

2. Wählen Sie Prüfung > Datentabellen aus.

3. Rufen Sie in den Entwicklertools den Tab Netzwerk auf und klicken Sie in der Spalte „Name“ auf ein Element, z. B. dataTables?pageSize=1000.

4. Wählen Sie im Detailbereich Header aus und kopieren Sie den Wert von Request URL, der sich unter Allgemein befindet, ohne den Endpunkt und alle Abfrageparameter (den Namen des ausgewählten Elements).

   Wenn der Wert beispielsweise https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000 ist, schließt der API-Stamm /dataTables?pageSize=1000 aus und ist https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.

Authentifizierungsmethoden und Priorität von Anmeldedaten

Die Integration, Connectors und Jobs von Google Chronicle werten Anmeldedaten in der folgenden Reihenfolge aus:

1. Integrierte Anmeldedaten: Werden automatisch verwendet, wenn Sie Workload Identity Email und User's Service Account nicht angeben.
   • Verwendung: Am besten für von Google verwaltete Projekte (Standard), die ab dem 4. Quartal 2025 bereitgestellt werden, oder für von Google verwaltete Projekte, die die Legacy-Backstory API verwenden. Es ist keine Erstellung von Dienstkonten, Rollenzuweisung oder Schlüsselverwaltung erforderlich. Integrierte Anmeldedaten werden für BYOP-Bereitstellungen (Bring Your Own Project) mit der Chronicle API nicht unterstützt.
   • Von Google verwaltete Projekte vor dem 4. Quartal 2025: Wenn Sie zur Chronicle API migrieren, wenden Sie sich an den Google-Support, um integrierte Chronicle API-Anmeldedaten zu aktivieren, oder konfigurieren Sie ein Dienstkonto mit Workload Identity oder einem JSON-Schlüssel.
2. Workload Identity (Workload Identity Email): Wird verwendet, wenn Sie eine Dienstkonto-E-Mail-Adresse angeben. Hat Vorrang, wenn sowohl Workload Identity Email als auch User's Service Account ausgefüllt sind.
   • Verwendung: Empfohlen, wenn ein Dienstkonto erforderlich ist (z. B. bei BYOP-Bereitstellungen (Bring Your Own Project) oder von Google verwalteten Projekten vor dem 4. Quartal 2025 ohne integrierte Chronicle API-Anmeldedaten). Bietet schlüssellose Authentifizierung ohne Herunterladen oder Rotieren von JSON-Schlüsseln und entspricht den Organisationsrichtlinien, die die Erstellung von Dienstkontoschlüsseln einschränken.
3. JSON-Schlüssel des Dienstkontos (User's Service Account): Wird nur verwendet, wenn Workload Identity Email leer ist und Sie einen JSON-Schlüssel für das Dienstkonto angeben.
   • Verwendung: Verwenden Sie diese Option nur, wenn ein Dienstkonto erforderlich ist und Sie die Identitätsübernahme von Workload Identity nicht konfigurieren können. Erfordert das Herunterladen und Verwalten einer statischen JSON-Schlüsseldatei.

Authentifizierung mit Workload Identity (empfohlen)

Wenn Sie sich mit Workload Identity authentifizieren möchten, erstellen Sie ein Dienstkonto, weisen Sie die erforderliche Rolle zu und gewähren Sie Ihrer Google SecOps-Instanz Berechtigungen zur Identitätsübernahme.

Dienstkonto erstellen

1. Rufen Sie in der Google Cloud Console die Seite Anmeldedaten auf.

   Zu den Anmeldedaten

2. Wählen Sie im Menü Anmeldedaten erstellen die Option Dienstkonto aus.

3. Geben Sie unter Dienstkontodetails im Feld Dienstkontoname einen Namen ein.

4. Optional: Bearbeiten Sie die Dienstkonto-ID.

5. Klicken Sie auf Erstellen und fortfahren. Der Bildschirm Berechtigungen wird angezeigt.

6. Klicken Sie auf Weiter. Der Bildschirm Hauptkonten mit Zugriff wird angezeigt.

7. Klicken Sie auf Fertig.

Chronicle API: Für Ihr Dienstkonto erforderliche Rolle

Wenn Sie die Chronicle API verwenden, benötigt Ihr Dienstkonto die Rolle Chronicle API Editor:

1. Rufen Sie in der Google Cloud Console die Seite Anmeldedaten auf.

   Zu den Anmeldedaten

2. Wählen Sie unter Dienstkonten Ihr Dienstkonto aus und klicken Sie auf Berechtigungen > Zugriff verwalten.

3. Klicken Sie auf addRolle hinzufügen und wählen Sie die Rolle Chronicle API Editor aus. Klicken Sie auf Speichern.

Berechtigungen zur Identitätsübernahme für Ihre Google SecOps-Instanz gewähren

Gewähren Sie Ihrer Google SecOps-Instanz die Berechtigung, die Identität Ihres Dienstkontos zu übernehmen:

1. Rufen Sie in Google SecOps Content Hub > Antwortintegrationen auf.

2. Wählen Sie die Integration aus, die Sie konfigurieren, und geben Sie die E-Mail-Adresse Ihres Dienstkontos in Workload Identity Email ein.

3. Klicken Sie auf Speichern > Testen. Der Test schlägt erwartungsgemäß fehl.

4. Klicken Sie rechts neben Test auf close_small und suchen Sie in der Fehlermeldung nach gke-init-python@PROJECT .iam.gserviceaccount.com oder soar-python@TENANT_PROJECT .iam.gserviceaccount.com. Kopieren Sie diese eindeutige E-Mail-Adresse (sie identifiziert Ihre Google SecOps-Instanz).

5. Rufen Sie Dienstkonten auf, wählen Sie Ihr Projekt und dann Ihr Dienstkonto aus.

6. Wählen Sie Hauptkonten mit Zugriff > addZugriff gewähren aus.

7. Fügen Sie unter Hauptkonten hinzufügen den kopierten Wert ein.

8. Wählen Sie unter Rollen hinzufügen die Rolle Service Account Token Creator (roles/iam.serviceAccountTokenCreator) aus.

   Hinweis: Es kann einige Minuten dauern, bis der Test nach Abschluss dieses Schritts bestanden wird.

Authentifizierung mit einem JSON-Schlüssel für ein Dienstkonto

Wenn Sie sich mit einem JSON-Schlüssel für ein Dienstkonto authentifizieren möchten (anstatt der empfohlenen Methode Workload Identity), erstellen Sie ein dediziertes Dienstkonto und laden Sie den zugehörigen JSON-Schlüssel herunter:

1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

2. Wählen Sie Dienstkonto erstellen aus und folgen Sie der Anleitung.

3. Wählen Sie die E-Mail-Adresse des neuen Dienstkontos aus und gehen Sie zu Schlüssel > Schlüssel hinzufügen > Neuen Schlüssel erstellen.

4. Wählen Sie als Schlüsseltyp JSON aus und klicken Sie auf Erstellen. Eine JSON-Schlüsseldatei wird auf Ihren Computer heruntergeladen.

5. Wenn Sie die Chronicle API verwenden, weisen Sie Ihrem Dienstkonto die Rolle Chronicle API Editor zu.

Integrationsparameter

Für die Integration von Google Chronicle sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
UI Root	Pflichtangabe. Die Basis-URL der Google SecOps-Oberfläche. Wird verwendet, um direkte Links von Ihren Fällen zurück zu Google SecOps zu generieren. Der Standardwert ist https://INSTANCE.chronicle.security/.
API Root	Pflichtangabe. Die API-Stamm-URL für Ihre Google SecOps-Instanz: Chronicle API: Enthält Ihre Projekt-ID, Region und Instanz-ID (z. B. https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Weitere Informationen finden Sie unter Chronicle API-Stamm finden. Backstory API (Legacy): Der regionale Backstory-Endpunkt. Der Standardwert ist https://backstory.googleapis.com.
User's Service Account	Optional. Der JSON-Schlüssel des Dienstkontos, der für die Authentifizierung verwendet wird. Wird nur verwendet, wenn Workload Identity Email leer ist. Lassen Sie beide Felder für die Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
Workload Identity Email	Optional. Die E-Mail-Adresse des Dienstkontos, die für die Workload Identity-Authentifizierung verwendet wird (empfohlen, wenn ein Dienstkonto erforderlich ist). Hat Vorrang, wenn beide Felder für Anmeldedaten ausgefüllt sind. Lassen Sie beide Felder für Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google SecOps-Server hergestellt wird. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Eintrag zur Beobachtungsliste hinzufügen

Mit der Aktion Eintrag zur Beobachtungsliste hinzufügen können Sie eine bestimmte Entität einer vorhandenen Beobachtungsliste für Risikoanalysen in Google SecOps hinzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt.

Aktionseingaben

Für die Aktion Eintrag zur Beobachtungsliste hinzufügen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Watchlist Name	Pflichtangabe. Der Name der Beobachtungsliste für Risikoanalysen, der der Eintrag hinzugefügt werden soll.
Entry	Pflichtangabe. Das JSON-Objekt, das die Entität darstellt, die der Beobachtungsliste hinzugefügt werden soll. Die JSON-Struktur erfordert den Entitätswert, den Entitätstyp und einen optionalen Namespace. Der Standardwert ist: [ { "entity": "", "type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID", "namespace": "Optional" } ]

Aktionsausgaben

Die Aktion Eintrag zur Beobachtungsliste hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Eintrag zur Beobachtungsliste hinzufügen empfangen wird:

[
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    },
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    }
]

Ausgabenachrichten

Die Aktion Eintrag zur Beobachtungsliste hinzufügen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added new entries to a watchlist WATCHLIST in Google SecOps.	Die Aktion war erfolgreich.
Error executing action "Add Entry To Watchlist". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Eintrag zur Beobachtungsliste hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Zeilen zu Datentabelle hinzufügen

Mit der Aktion Add Rows To Data Table können Sie einer Datentabelle in Google SecOps Zeilen hinzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter	Beschreibung
Data Table Name	Pflichtangabe. Der Anzeigename der zu aktualisierenden Datentabelle.
Rows	Pflichtangabe. Eine Liste von JSON-Objekten mit Informationen zu den hinzuzufügenden Zeilen. Beispiel: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

Aktionsausgaben

Die Aktion Zeilen zu Datentabelle hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
Entitätsstatistik	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt ein JSON-Beispielergebnis, das von der Aktion Zeilen zur Datentabelle hinzufügen zurückgegeben wird:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          }
}

Ausgabenachrichten

Die Aktion Zeilen zur Datentabelle hinzufügen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added rows to the data table DATA_TABLE_NAME in Google SecOps.	Die Aktion war erfolgreich.
Error executing action "Add Rows to Data Table". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Zeilen zur Datentabelle hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Werte zur Referenzliste hinzufügen

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion Werte zur Referenzliste hinzufügen können Sie Werte zu einer Referenzliste in Google SecOps hinzufügen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter	Beschreibung
Reference List Name	Pflichtangabe. Der Name der zu aktualisierenden Referenzliste.
Values	Pflichtangabe. Eine durch Kommas getrennte Liste von Werten, die der Referenzliste hinzugefügt werden sollen.

Aktionsausgaben

Die Aktion Wert zur Referenzliste hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
Entitätsstatistik	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Wert zur Referenzliste hinzufügen mit der Backstory API verwenden:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Wert zur Referenzliste hinzufügen mit der Chronicle API verwenden:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

Ausgabenachrichten

Die Aktion Werte zur Referenzliste hinzufügen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added values to the reference list REFERENCE_LIST_NAME.	Die Aktion war erfolgreich.
Error executing action "Add Values To Reference List". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Werte zur Referenzliste hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Frag Gemini

Verwenden Sie die Aktion Gemini fragen, um einen Text-Prompt an Gemini in Google SecOps zu senden.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt. Informationen zu den Anforderungen an Anmeldedaten finden Sie unter Authentifizierungsmethoden und Priorität von Anmeldedaten.

Verarbeitungslimits und Zeitüberschreitungen

Diese Aktion unterliegt Verarbeitungseinschränkungen innerhalb der Google SecOps-Pipeline. Aktionen, die diese Einschränkungen überschreiten, führen in der Regel zu einem 503 Service Unavailable-Fehler.

Damit die Ausführung erfolgreich ist, müssen Ihre Anfragen den folgenden Spezifikationen entsprechen:

• Zeitüberschreitungen: Für die Intent-Erkennung gilt ein Zeitlimit von 30 Sekunden. Große Zusammenfassungsaufgaben oder komplexe Prompts, die diese Verarbeitungszeit überschreiten, führen dazu, dass die Aktion fehlschlägt.

• Obergrenze für die Antwortgenerierung: Die Generierungsphase ist auf maximal 28.000 Tokens begrenzt.

Aktionseingaben

Für die Aktion Gemini fragen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Automatic Opt-in	Optional. Wenn diese Option ausgewählt ist, wird der Nutzer automatisch für den Gemini-Chat angemeldet, ohne dass eine manuelle Bestätigung erforderlich ist. Standardmäßig aktiviert.
Prompt	Pflichtangabe. Der erste Text-Prompt oder die erste Frage, die an Gemini gesendet werden soll. Wichtig: Bei Prompts, die eine umfangreiche Verarbeitung erfordern (z. B. das Zusammenfassen großer Ergebnismengen), kann es zu einer Zeitüberschreitung von 30 Sekunden kommen. Weitere Informationen finden Sie unter Verarbeitungslimits und Zeitüberschreitungen.

Aktionsausgaben

Die Aktion Gemini fragen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
Entitätsstatistik	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Gemini fragen erhalten:

{
  {
        "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
        "input": {
            "body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
        },
        "responses": [
            {
                "blocks": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal&#39;s IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal&#39;s last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
                        }
                    }
                ],
                "references": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
                        }
                    }
                ],
                "groundings": [
                    "IP address 159.138.84.217 malicious cybersecurity",
                    "IP address 159.138.84.217 threat intelligence"
                ]
            }
        ],
        "createTime": "2025-05-16T11:31:36.660538Z"
    }
}

Ausgabenachrichten

Die Aktion Gemini fragen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed a prompt in Google SecOps.	Die Aktion war erfolgreich.
Error executing action "GoogleChronicle - Ask Gemini". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Gemini fragen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Domain anreichern (eingestellt)

Eingestellt: Diese Aktion wird nicht mehr unterstützt.

Mit der Aktion Domain anreichern können Sie Domains mit Informationen aus IoCs in Google SecOps anreichern.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• URL
• Hostname

Aktionseingaben

Für die Aktion Domain anreichern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Create Insight	Wenn diese Option ausgewählt ist, wird durch die Aktion eine Statistik mit Informationen zu den Entitäten erstellt. Standardmäßig aktiviert.
Only Suspicious Insight	Wenn diese Option ausgewählt ist, wird mit der Aktion nur eine Statistik für Entitäten erstellt, die als verdächtig markiert sind. Standardmäßig nicht aktiviert. Wenn Sie diesen Parameter auswählen, müssen Sie auch Create Insight auswählen.
Lowest Suspicious Severity	Pflichtangabe. Der niedrigste Schweregrad, der mit der Domain verknüpft ist und erforderlich ist, um sie als verdächtig zu kennzeichnen. Der Standardwert ist Medium. Folgende Werte sind möglich: High Medium Low Info
Mark Suspicious N/A Severity	Pflichtangabe. Wenn diese Option ausgewählt ist und die Informationen zum Schweregrad nicht verfügbar sind, wird die Entität durch die Aktion als verdächtig markiert.

Aktionsausgaben

Die Aktion Domain anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Verfügbar
Entitätsstatistik	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Domain anreichern stellt die folgende Tabelle bereit:

Name: ENTITY_IDENTIFIER

Spalten:

• Quelle
• Schweregrad
• Kategorie
• Konfidenz

Entitätsanreicherung

Die Aktion Domain anreichern unterstützt die folgende Logik zur Entitätsanreicherung:

Anreicherungsfeld	Logik (Anwendung)
severity	Wenn in JSON verfügbar
average_confidence	Wenn in JSON verfügbar
related_domains	Wenn in JSON verfügbar
categories	Wenn in JSON verfügbar
sources	Wenn in JSON verfügbar
first_seen	Wenn in JSON verfügbar
last_seen	Wenn in JSON verfügbar
report_link	Wenn in JSON verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Domain anreichern mit der Backstory API verwenden:

  {
              {
                  "sources": [
                      {
                          "source": "ET Intelligence Rep List",
                          "confidenceScore": {
                              "normalizedConfidenceScore": "Low",
                              "intRawConfidenceScore": 0
                          },
                          "rawSeverity": "High",
                          "category": "Malware Command and Control Server"
                      }
                  ],
                  "iocIngestTime": "2021-01-26T17:00:00Z",
                  "firstSeenTime": "2018-10-03T00:03:53Z",
                  "lastSeenTime": "2022-02-09T10:52:21.229Z",
                  "uri": [
                      "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                  ]
              }
  }
  

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Enrich Domain mit der Chronicle API verwenden:

[
  {
    "Entity": "example.com",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        },
        {
          "category": "Phishing",
          "firstActiveTime": null,
          "lastActiveTime": "2020-11-27T14:31:37Z",
          "addresses": [
            {
              "domain": "example.com"
            },
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "high",
          "confidenceScore": {
            "strRawConfidenceScore": "high"
          }
        },
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        },
        {
          "metadata": {
            "title": "ESET Threat Intelligence",
            "description": "ESET Threat Intelligence"
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Phishing",
              "activeTimerange": {
                "end": "2020-11-27T14:31:37Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "High",
              "rawSeverity": "High"
            }
          ]
        },
        {
          "metadata": {
            "title": "Mandiant Active Breach Intelligence",
            "description": "Mandiant Active Breach IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        }
      ]
    }
  }
]
  

Ausgabenachrichten

Die Aktion Domain anreichern liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enriched the following domain in Google Chronicle: LIST_OF_IDS	Die Aktion war erfolgreich.
Error executing action "Enrich Domain". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Domain anreichern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Entitäten anreichern

Mit der Aktion Entitäten anreichern können Sie Google SecOps nach zusätzlichem Kontext und Attributen für bestimmte Entitätstypen abfragen. Durch diese Aktion werden die Daten zur Bedrohungsuntersuchung durch die Einbindung externer Informationen verbessert.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Domain
• File Hash
• Hostname
• IP Address
• URL (extrahiert die Domain aus der URL)
• User
• Email (Nutzerentität mit regulärem Ausdruck für E‑Mail-Adressen)

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt. Informationen zu den Anforderungen an Anmeldedaten finden Sie unter Authentifizierungsmethoden und Priorität von Anmeldedaten.

Aktionseingaben

Für die Aktion Entitäten anreichern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Namespace	Optional. Die logische Gruppierung oder der Bereich der anzureichernden Entitäten. Wenn nicht ausgewählt, gilt die Anreicherung für Entitäten im Standard-Namespace oder in allen zugänglichen Namespaces. Entitäten müssen zu diesem Namespace gehören, um verarbeitet zu werden.
Time Frame	Optional. Ein relativer Zeitraum (z. B. 1 day, 2 hours). Dieser Parameter hat Vorrang vor Start Time und End Time.
Start Time	Optional. Der Beginn des Anreicherungszeitraums im ISO 8601-Format. Verwenden Sie dies mit End Time, wenn Time Frame nicht festgelegt ist.
End Time	Optional. Die absolute Endzeit für den Anreicherungszeitraum im ISO 8601-Format. Wird mit Start Time verwendet, wenn Time Frame nicht festgelegt ist.

Aktionsausgaben

Die Aktion Entitäten anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung für jede Entität:

Anreicherungsfeld	Quelle (JSON-Schlüssel)	Gültigkeit
GoogleSecOps_related_entities	Die Anzahl der related_entities	Wenn im JSON-Ergebnis verfügbar.
GoogleSecOps_alert_count_ruleName	{alertCounts.count} für jede spezifische Regel	Wenn im JSON-Ergebnis verfügbar.
GoogleSecOps_first_seen	metric.firstSeen	Wenn im JSON-Ergebnis verfügbar.
GoogleSecOps_last_seen	metric.lastSeen	Wenn im JSON-Ergebnis verfügbar.
GoogleSecOps_flattened_key_under_entity	Der Wert des Schlüssels, der aus der verschachtelten Struktur unter dem "entity"-Objekt vereinfacht wurde.	Wenn im JSON-Ergebnis verfügbar.

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Entitäten anreichern empfangen wird:

[
 {
   "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
     "metadata": { "entityType": "DOMAIN_NAME" },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
       "metadata": { "entityType": "DOMAIN_NAME" },
       "entity": {
         "domain": {
           "name": "markossolomon.com",
           "firstSeenTime": "1970-01-01T00:00:00Z",
           "lastSeenTime": "1970-01-01T00:00:00Z",
           "registrar": "NameCheap, Inc.",
           "creationTime": "2013-12-06T02:41:09Z",
           "updateTime": "2019-11-06T11:48:33Z",
           "expirationTime": "2020-12-06T02:41:09Z",
           "registrant": {
             "userDisplayName": "WhoisGuard Protected",
             "emailAddresses": [
               "[e-mail]"
             ],
             "personalAddress": { "countryOrRegion": "PANAMA" },
             "companyName": "WhoisGuard, Inc."
           }
         }
       }
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "npatni-sysops",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:00:02.042Z",
         "endTime": "2025-07-18T07:50:02.472Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:00:02.042Z",
           "endTime": "2025-07-18T07:50:02.472Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "npatni-sysops" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:00:02.042Z",
         "lastSeen": "2025-07-18T07:50:02.472Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:00:02.042Z",
       "lastSeen": "2025-07-18T07:50:02.472Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "329" },
       { "rule": "rule_testbucket", "count": "339" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "332" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 1000 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "exlab2019-ad",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "exlab2019-ad" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.30.202.229",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "ip": ["172.30.202.229"] }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.17.0.1",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-03-09T19:09:02.133Z",
         "endTime": "2025-04-19T02:27:01.994Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-03-09T19:09:02.133Z",
           "endTime": "2025-04-19T02:27:01.994Z"
         }
       },
       "entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
       "metric": {
         "firstSeen": "2025-03-09T19:09:02.133Z",
         "lastSeen": "2025-04-19T02:27:01.994Z"
       }
     },
     "metric": {
       "firstSeen": "2025-03-09T19:09:02.133Z",
       "lastSeen": "2025-04-19T02:27:01.994Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "911d039e71583a07320b32bde22f8e22",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
     "metadata": {
       "entityType": "FILE",
       "interval": {
         "startTime": "2024-12-15T09:07:02Z",
         "endTime": "2025-07-18T07:43:59.045Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
       "metadata": {
         "entityType": "FILE",
         "interval": {
           "startTime": "2024-12-15T09:07:02Z",
           "endTime": "2025-07-18T07:43:59.045Z"
         }
       },
       "entity": {
         "file": {
           "sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
           "md5": "911d039e71583a07320b32bde22f8e22",
           "sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
           "size": "278528",
           "fileType": "FILE_TYPE_PE_EXE",
           "names": [
             "C:\\Windows\\System32\\cmd.exe",
             "cmd",
             "Cmd.Exe",
             "C:\\Windows\\system32\\cmd.exe",
             "C:\\Windows\\SYSTEM32\\cmd.exe",
             "cmd.exe",
             "C:\\\\Windows\\\\System32\\\\cmd.exe",
             "C:\\windows\\SYSTEM32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
             "c:\\Windows\\System32\\cmd.exe",
             "Utilman.exe",
             "c:\\windows\\system32\\cmd.exe",
             "System32/cmd.exe",
             "UtilityVM/Files/Windows/System32/cmd.exe",
             "KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
             "cmd.exe_",
             "C:\\WINDOWS\\SYSTEM32\\cmd.exe",
             "Cmd.exe",
             "Windows/System32/cmd.exe",
             "sethc.exe",
             "C:\\WINDOWS\\System32\\cmd.exe",
             "esRzqurX.exe",
             "rofl.png",
             "F:\\Windows\\SYSTEM32\\cmd.exe",
             "utilman.exe",
             "C:\\Windows\\system32\\CMD.exe",
             "sys32exe/cmd.exe",
             "cmd.txt",
             "C:\\WINDOWS\\system32\\cmd.exe",
             "cmd2.exe",
             "Utilman.exe.sc",
             "uhrHRIv8.exe",
             "C:\\windows\\system32\\cmd.exe",
             "submitted_file",
             "C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
             "J6ff7z0hLYo.exe",
             "N:\\Windows\\System32\\cmd.exe",
             "Q:\\Windows\\System32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
             "C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
             "test.exe",
             "68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
             "8FCVE0Kq.exe",
             "cmd (7).exe",
             "cmd (8).exe",
             "21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
             "LinX v0.9.11 (Intel)/cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
             "cmd_b.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
             "cMd.exe",
             "Repl_Check.bat__",
             "cmd.pdf",
             "cmd.EXE",
             "C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
             "LFepc1St.exe",
             "firefox.exe",
             "3BcnNlWV.exe",
             "Utilman.exebak",
             "utilman1.exe",
             "1.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
             "cmd_1771019736291028992.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
             "Sethc.exe",
             "\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
             "DANFE352023067616112.exe",
             "file.exe",
             "DANFE352023067616112/DANFE352023067616112.exe",
             "C:\\Windows\\SYSTEM32\\Cmd.exe",
             "pippo.exe",
             "C:\\Windows\\System32\\sethc.exe",
             "cmd.exe-bws024-windowsfolder",
             "whatever.exe",
             "sethc.exe.bak",
             "S71dbOR1.exe",
             "F:\\windows\\SYSTEM32\\cmd.exe",
             "L6puhWL7.exe",
             "DANFE357986551413927.exe",
             "DANFE357666506667634.exe",
             "\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
             "\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
             "\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
             "\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
             "\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
             "\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
             "winlogon.exe",
             "AccessibilityEscalation.A' in file 'utilman.exe'",
             "qpl9AqT0.exe",
             "C:\\windows\\system32\\CMD.exe",
             "C:\\po8az\\2po9hmc\\4v1b5.exe",
             "batya.exe",
             "nqAwJaba.exe",
             "\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
             "/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
             "/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
             "\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
             "/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
             "DANFE352429512050669.exe",
             "/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
           ],
           "firstSeenTime": "2024-12-15T09:07:02Z",
           "lastSeenTime": "2025-07-18T07:43:59.045Z",
           "lastAnalysisTime": "2025-07-16T10:06:40Z",
           "signatureInfo": {
             "sigcheck": {
               "verificationMessage": "Signed",
               "verified": true,
               "signers": [{ "name": "Microsoft Windows" }]
             }
           },
           "firstSubmissionTime": "2025-07-15T16:30:27Z"
         }
       },
       "metric": {
         "firstSeen": "2024-12-15T09:07:02Z",
         "lastSeen": "2025-07-18T07:43:59.045Z"
       }
     },
     "metric": {
       "firstSeen": "2024-12-15T09:07:02Z",
       "lastSeen": "2025-07-18T07:43:59.045Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "329" },
       { "rule": "rule_testbucket", "count": "345" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "326" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         { "alertCount": 31 },
         { "alertCount": 111 },
         { "alertCount": 109 },
         { "alertCount": 82 },
         { "alertCount": 86 },
         { "alertCount": 98 },
         { "alertCount": 86 },
         { "alertCount": 85 },
         { "alertCount": 92 },
         { "alertCount": 89 },
         { "alertCount": 90 },
         { "alertCount": 41 }
       ],
       "bucketSize": "172800s"
     },
     "prevalenceResult": [
       { "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
     ],
     "relatedEntities": [
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "hostname": "exlab2019-ad",
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       },
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "ip": ["172.30.202.229"],
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       }
     ]
   }
 },
 {
   "Entity": "tencent.com",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
     "metadata": {
       "entityType": "DOMAIN_NAME",
       "interval": {
         "startTime": "2025-01-14T14:01:00Z",
         "endTime": "2025-01-14T15:02:00Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
       "metadata": {
         "entityType": "DOMAIN_NAME",
         "interval": {
           "startTime": "2025-01-14T14:01:00Z",
           "endTime": "2025-01-14T15:02:00Z"
         }
       },
       "entity": {
         "domain": {
           "name": "tencent.com",
           "firstSeenTime": "2025-01-14T14:01:00Z",
           "lastSeenTime": "2025-01-14T15:02:00Z",
           "registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
           "creationTime": "1998-09-14T04:00:00Z",
           "updateTime": "2024-08-20T08:04:01Z",
           "expirationTime": "2032-09-13T04:00:00Z",
           "registrant": {
             "emailAddresses": [""],
             "personalAddress": { "countryOrRegion": "CHINA" },
             "companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
           }
         }
       },
       "metric": {
         "firstSeen": "2025-01-14T14:01:00Z",
         "lastSeen": "2025-01-14T15:02:00Z"
       }
     },
     "metric": {
       "firstSeen": "2025-01-14T14:01:00Z",
       "lastSeen": "2025-01-14T15:02:00Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "00:50:56:b6:34:86",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "1970-01-01T00:00:00Z",
         "endTime": "2025-05-22T11:37:02Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "1970-01-01T00:00:00Z",
           "endTime": "2025-05-22T11:37:02Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "mac": ["00:50:56:b6:34:86"] }
       },
       "metric": {
         "firstSeen": "1970-01-01T00:00:00Z",
         "lastSeen": "2025-05-22T11:37:02Z"
       }
     },
     "metric": {
       "firstSeen": "1970-01-01T00:00:00Z",
       "lastSeen": "2025-05-22T11:37:02Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 }
]

Ausgabenachrichten

Die Aktion Entitäten anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enriched the following entities information from Google SecOps: ENTITY_ID Action wasn't able to enrich the following entities using information from Google SecOps: ENTITY_ID None of the provided entities were enriched using information from Google SecOps.	Die Aktion war erfolgreich.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Entitäten anreichern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

IP-Adresse anreichern (eingestellt)

Eingestellt: Diese Aktion wird nicht mehr unterstützt.

Verwenden Sie die Aktion IP-Adresse anreichern, um IP-Entitäten mit Informationen aus IoCs in Google SecOps anzureichern.

Diese Aktion wird für die Entität „IP-Adresse“ ausgeführt.

Aktionseingaben

Für die Aktion IP anreichern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Create Insight	Optional. Wenn diese Option ausgewählt ist, wird durch die Aktion eine Statistik mit Informationen zu Entitäten erstellt. Standardmäßig aktiviert.
Only Suspicious Insight	Optional. Wenn diese Option ausgewählt ist, werden nur für Entitäten, die als verdächtig markiert sind, Statistiken erstellt. Standardmäßig nicht aktiviert. Wenn Sie diesen Parameter auswählen, muss auch Create Insight ausgewählt werden.
Lowest Suspicious Severity	Pflichtangabe. Der niedrigste Schweregrad, der der IP-Adresse zugeordnet ist, um sie als verdächtig zu kennzeichnen. Der Standardwert ist Medium. Folgende Werte sind möglich: High Medium Low Info
Mark Suspicious N/A Severity	Pflichtangabe. Wenn diese Option ausgewählt ist und die Informationen zum Schweregrad nicht verfügbar sind, wird die Entität durch die Aktion als verdächtig markiert.

Aktionsausgaben

Die Aktion IP anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Name: ENTITY_IDENTIFIER

Spalten:

• Quelle
• Schweregrad
• Kategorie
• Konfidenz
• Zugehörige Domains

Entitätsanreicherung

Die Aktion IP anreichern unterstützt die folgende Logik zur Entitätsanreicherung:

Anreicherungsfeld	Logik (Anwendung)
severity	Wenn in JSON verfügbar
average_confidence	Wenn in JSON verfügbar
related_domains	Wenn in JSON verfügbar
categories	Wenn in JSON verfügbar
sources	Wenn in JSON verfügbar
first_seen	Wenn in JSON verfügbar
last_seen	Wenn in JSON verfügbar
report_link	Wenn in JSON verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion IP-Adresse anreichern mit der Backstory API verwenden:

{
            {
                "sources": [
                    {
                        "source": "Example List",
                        "confidenceScore": {
                            "normalizedConfidenceScore": "Low",
                            "intRawConfidenceScore": 0
                        },
                        "rawSeverity": "High",
                        "category": "Malware Command and Control Server"
                    }
                ],
                "iocIngestTime": "2021-01-26T17:00:00Z",
                "firstSeenTime": "2018-10-03T00:03:53Z",
                "lastSeenTime": "2022-02-09T10:52:21.229Z",
                "uri": [
                    "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                ]
            }
}

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion IP-Adresse anreichern mit der Chronicle API verwenden:

[
  {
    "Entity": "192.0.2.121",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "low",
          "confidenceScore": {
            "strRawConfidenceScore": "67"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "67",
              "rawSeverity": "Low"
            }
          ]
        }
      ]
    }
  }
]

Ausgabenachrichten

Die Aktion IP-Adresse anreichern liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enriched the following IPs from Google Chronicle: LIST_OF_IPS	Die Aktion war erfolgreich.
Error executing action "Enrich IP". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion IP-Adresse anreichern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Retrohunt ausführen

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Verwenden Sie die Aktion Retrohunt ausführen, um eine Retrohunt-Regel in Google SecOps auszuführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Retrohunt ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Rule ID	Pflichtangabe. Die ID der Regel, für die ein Retrohunt ausgeführt werden soll. Verwenden Sie das Format ru_{UUID} für die aktuelle Version einer Regel oder ru_{UUID}@v_{int64}_{int64} für eine bestimmte Version.
Time Frame	Optional. Ein Zeitraum, für den die Ergebnisse abgerufen werden sollen. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Wenn Custom ausgewählt ist, ist der Parameter Start Time erforderlich. Der Standardwert ist Last Hour.
Start Time	Die Startzeit für die Ergebnisse im ISO 8601-Format. Dieser Parameter ist erforderlich, wenn der Parameter Time Frame auf Custom gesetzt ist.
End Time	Die Endzeit für die Ergebnisse im ISO 8601-Format. Wenn Sie keinen Wert festlegen und den Wert Custom für den Parameter Time Frame auswählen, wird die aktuelle Zeit verwendet.

Aktionsausgaben

Die Aktion Retrohunt ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
Entitätsstatistik	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Retrohunt ausführen mit der Backstory API verwenden:

{
  "retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
  "ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
  "versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
  "eventStartTime": "2021-01-14T23:00:00Z",
  "eventEndTime": "2021-01-30T23:00:00Z",
  "retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
  "state": "RUNNING"
}

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Retrohunt ausführen mit der Chronicle API verwenden:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/RetrohuntMetadata",
    "retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
    "executionInterval": {
      "startTime": "2025-01-22T12:16:20.963182Z",
      "endTime": "2025-01-23T12:16:20.963182Z"
    }
  },
  "retrohuntId": "RETROHUNT_ID",
  "ruleId": "RULE_ID",
  "versionId": "VERSION_ID",
  "eventStartTime": "2025-01-22T12:16:20.963182Z",
  "eventEndTime": "2025-01-23T12:16:20.963182Z"
}

Ausgabenachrichten

Die Aktion Retrohunt ausführen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed a retrohunt for the provided rule in Google Chronicle.	Die Aktion war erfolgreich.
Error executing action "Execute Retrohunt". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Retrohunt ausführen beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

UDM-Abfrage ausführen

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion UDM-Abfrage ausführen können Sie eine benutzerdefinierte UDM-Abfrage in Google SecOps ausführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Informationen zu Ratenbegrenzungen finden Sie unter Ratenbegrenzungen für die UDM-Suche.

Aktionseingaben

Für die Aktion UDM-Abfrage ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query	Pflichtangabe. Die Abfrage, die in Google SecOps ausgeführt werden soll. Hinweis: Mit diesem Parameter wird eine explizite Prüfung der Groß-/Kleinschreibung für die UDM-Abfrage durchgeführt (im Gegensatz zur UDM-Suche). Wenn Sie diese Prüfung umgehen möchten, fügen Sie dem UDM-Abfrageparameterwert nocase hinzu.
Include Raw Log Data	Optional. Wenn diese Option ausgewählt ist, ruft die Aktion die ursprüngliche Rohprotokolldatei ab, die mit den UDM-Suchergebnissen verknüpft ist. Diese Option ist nur verfügbar, wenn Sie die Chronicle API-Authentifizierung verwenden. Standardmäßig deaktiviert.
Time Frame	Optional. Ein Zeitraum, für den die Ergebnisse abgerufen werden sollen. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Wenn Custom ausgewählt ist, ist der Parameter Start Time erforderlich. Der Standardwert ist Last Hour.
Start Time	Optional. Die Startzeit für die Ergebnisse im ISO 8601-Format (z. B. YYYY-MM-DD HH:mm:ss.SSSZ). Dieser Parameter ist erforderlich, wenn der Parameter Time Frame auf Custom gesetzt ist. Der maximale Zeitraum beträgt 90 Tage.
End Time	Optional. Die Endzeit für die Ergebnisse im ISO 8601-Format (z. B. YYYY-MM-DD HH:mm:ss.SSSZ). Wenn Sie keinen Wert festlegen und der Parameter Time Frame auf Custom gesetzt ist, wird die aktuelle Zeit verwendet. Der maximale Zeitraum beträgt 90 Tage.
Max Results To Return	Optional. Die Anzahl der Ergebnisse, die für eine einzelne Abfrage zurückgegeben werden sollen. Der Höchstwert ist 10,000. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion UDM-Abfrage ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion UDM-Abfrage ausführen empfangen wird:

{
    "events": [
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:43:47.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "I did not create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:38:44.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "Did you create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "avg_seconds": {
                "values": [
                    {
                        "doubleVal": 1755680893.3333333
                    }
                ]
            },
            "event_type_array": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            },
            "target.file.vhash": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            }
        }
    ]
}

Ausgabenachrichten

Die Aktion UDM-Abfrage ausführen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	Die Aktion war erfolgreich.
Error executing action "Execute UDM Query". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Execute UDM Query". Reason: you've reached a rate limit. Please wait for several minutes and try again.	Die Aktion ist fehlgeschlagen. Warten Sie einige Minuten, bevor Sie die Aktion noch einmal ausführen.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion UDM-Abfrage ausführen beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

UDM-Abfrage asynchron ausführen

Wichtig: Aggregierte Abfragen werden nur über die Chronicle API-Konfiguration der Integration unterstützt.

Verwenden Sie die Aktion UDM-Abfrage asynchron ausführen, um eine benutzerdefinierte UDM-Abfrage in Google SecOps auszuführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion ist asynchron. Passen Sie den Zeitlimitwert für das Script in der integrierten Entwicklungsumgebung (IDE) von Google SecOps für die Aktion nach Bedarf an.

Informationen zu Ratenbegrenzungen finden Sie unter Ratenbegrenzungen für die UDM-Suche.

Aktionseingaben

Für die Aktion UDM-Abfrage ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Query	Pflichtangabe. Die Abfrage, die in Google SecOps ausgeführt werden soll. Hinweis: Mit diesem Parameter wird eine explizite Prüfung der Groß-/Kleinschreibung für die UDM-Abfrage durchgeführt (im Gegensatz zur UDM-Suche). Wenn Sie diese Prüfung umgehen möchten, fügen Sie dem UDM-Abfrageparameterwert nocase hinzu.
Time Frame	Optional. Ein Zeitraum, für den die Ergebnisse abgerufen werden sollen. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Wenn Alert Time Till Now ausgewählt ist, sucht die Aktion vom Beginn der Benachrichtigung bis zur aktuellen Zeit. Wenn 5 Minutes Around Alert Time, 30 Minutes Around Alert Time oder 1 Hour Around Alert Time ausgewählt ist, sucht die Aktion in den angegebenen Minuten um die Startzeit der Benachrichtigung herum. Wenn Custom ausgewählt ist, ist der Parameter Start Time erforderlich. Der Standardwert ist Last Hour.
Start Time	Optional. Die Startzeit für die Ergebnisse im ISO 8601-Format (YYYY-MM-DD HH:mm:ss.SSSZ). Dieser Parameter ist erforderlich, wenn Time Frame auf Custom festgelegt ist. Hinweis: Start Time und End Time dürfen nicht mehr als 90 Tage auseinanderliegen.
End Time	Optional. Die Endzeit für die Ergebnisse im ISO 8601-Format (YYYY-MM-DD HH:mm:ss.SSSZ). Wenn Sie keinen Wert festlegen und Time Frame auf Custom gesetzt ist, wird die aktuelle Zeit verwendet. Hinweis: Start Time und End Time dürfen nicht mehr als 90 Tage auseinanderliegen.
Max Results To Return	Optional. Die Anzahl der Ergebnisse, die für eine einzelne Abfrage zurückgegeben werden sollen. Der Höchstwert ist 1,000,000. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion Execute UDM Query Async liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Execute UDM Query Async empfangen wird:

{
    "events": [
        {
            "event": {
                "metadata": {
                    "eventTimestamp": "2022-01-20T09:15:15.687Z",
                    "eventType": "USER_LOGIN",
                    "vendorName": "Microsoft",
                    "productName": "Active Directory",
                    "ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
                },
                "principal": {
                    "hostname": "workstation-01",
                    "ip": [
                        "192.168.1.50"
                    ],
                    "mac": [
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E"
                    ],
                    "location": {
                        "city": "Metropolis",
                        "state": "New York",
                        "countryOrRegion": "US"
                    },
                    "asset": {
                        "hostname": "workstation-01",
                        "ip": [
                            "192.168.1.50",
                            "192.168.1.50",
                            "192.168.1.50"
                        ],
                        "mac": [
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E"
                        ]
                    }
                },
                "target": {
                    "user": {
                        "userid": "user_alpha",
                        "userDisplayName": "User Alpha",
                        "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
                        "emailAddresses": [
                            "[e-mail]",
                            "[e-mail]"
                        ],
                        "employeeId": "1234567",
                        "productObjectId": "11111111-2222-3333-4444-555555555555",
                        "firstName": "User",
                        "lastName": "Alpha",
                        "phoneNumbers": [
                            "555-0199-0000"
                        ],
                        "title": "Executive Assistant",
                        "companyName": "Example Corp",
                        "department": [
                            "Executive - Admin"
                        ],
                        "managers": [
                            {
                                "userDisplayName": "Manager Beta",
                                "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
                                "emailAddresses": [
                                    "[e-mail]"
                                ],
                                "employeeId": "7654321",
                                "productObjectId": "66666666-7777-8888-9999-000000000000",
                                "firstName": "Manager",
                                "lastName": "Beta",
                                "phoneNumbers": [
                                    "555-0199-0001 ext 123"
                                ],
                                "title": "Chief Technology Officer",
                                "companyName": "Example Corp",
                                "department": [
                                    "Executive - Admin"
                                ]
                            }
                        ]
                    },
                    "ip": [
                        "203.0.113.10"
                    ],
                    "email": "[e-mail]",
                    "application": "Windows Sign In"
                },
                "securityResult": [
                    {
                        "summary": "Successful Login",
                        "action": [
                            "ALLOW"
                        ]
                    }
                ],
                "rawLogData": {
                    "agent_id": "00000000000000000000000000000001",
                    "aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
                    "data_domains": [
                        "Endpoint"
                    ],
                    "description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
                    "device": {
                        "agent_load_flags": "0",
                        "agent_local_time": "2025-08-07T01:42:54.415Z",
                        "agent_version": "7.27.18003.0",
                        "bios_manufacturer": "Generic Manufacturer LTD"
                    },
                    "template_instance_id": "10001",
                    "timestamp": "2025-08-19T15:08:13.742Z",
                    "user_name": "root"
                },
                "extensions": {
                    "auth": {
                        "type": "SSO"
                    }
                }
            },
            "eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
        }
    ]
}

Ausgabenachrichten

Die Aktion Execute UDM Query Async liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	Die Aktion war erfolgreich.
Error executing action "Execute UDM Query Async". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Execute UDM Query Async ". Reason: you've reached a rate limit. Please wait for several minutes and try again.	Die Aktion ist fehlgeschlagen. Warten Sie einige Minuten, bevor Sie die Aktion noch einmal ausführen.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion UDM-Abfrage asynchron ausführen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

UDM-Abfrage generieren

(Vorabversion) Mit der Aktion UDM-Abfrage generieren können Sie komplexe UDM-Abfragen mit Prompts in natürlicher Sprache in Google SecOps erstellen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt.

Aktionseingaben

Für die Aktion UDM-Abfrage generieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Prompt	Pflichtangabe. Der Prompt, den das System zum Generieren der strukturierten UDM-Abfrage verwendet.

Aktionsausgaben

Die Aktion UDM-Abfrage generieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion UDM-Abfrage generieren erhalten:

{
  "query": "ip = \"10.0.0.1\""
}

Ausgabenachrichten

Die Aktion UDM-Abfrage generieren liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully generated a UDM query in Google SecOps.	Die Aktion war erfolgreich.
Error executing action "Generate UDM Query". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion UDM-Abfrage generieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Datentabellen abrufen

Verwenden Sie die Aktion Datentabellen abrufen, um verfügbare Datentabellen in Google SecOps abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt. Informationen zu den Anforderungen an Anmeldedaten finden Sie unter Authentifizierungsmethoden und Priorität von Anmeldedaten.

Caching von Datentabellen

Sie können das Caching aktivieren, um wiederholte Anfragen an Google SecOps zu reduzieren und die Ausführung von Playbooks zu beschleunigen:

• Funktionsweise des Cachings: Wenn Use Cache ausgewählt ist, werden die abgerufenen Datentabellen in einem freigegebenen Cache für Ihre Google SecOps-Umgebung gespeichert. Bei nachfolgenden Ausführungen in Playbooks und unterstützten Datentabellenaktionen in derselben Umgebung werden die im Cache gespeicherten Daten wiederverwendet, bis sie ablaufen.

• Vollständiges Tabellen-Caching: Die Aktion speichert immer alle Zeilen für jede übereinstimmende Tabelle im Cache (auch wenn Expanded Rows deaktiviert ist oder Max Data Table Rows To Return auf ein kleineres Limit festgelegt ist), sodass Is Value In Data Table und Is Value In Data Table Async den Cache wiederverwenden können.

• Ungefilterte erste Ausführungen: Alle Zeilen jeder übereinstimmenden Tabelle werden im Cache gespeichert. Daher kann die Ausführung der Aktion ohne Filter Value länger dauern, wenn der Cache leer oder abgelaufen ist.

• Auswirkung von Cache TTL: Steuert, wie lange im Cache gespeicherte Daten gültig bleiben, bevor die Aktion neue Daten von Google SecOps abruft:

  • Längere TTL: Reduziert API-Anfragen und beschleunigt Playbooks, aber Aktualisierungen der Datentabelle werden erst nach Ablauf des Cache übernommen.
  • Kürzere TTL: Die Ergebnisse für häufig wechselnde Tabellen bleiben auf dem neuesten Stand, aber die Anzahl der Anfragen an Google SecOps steigt.

Aktionseingaben

Für die Aktion Datentabellen abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Filter Key	Optional. Der Schlüssel, nach dem gefiltert werden soll Die Option Name bezieht sich auf den Anzeigenamen der Datentabelle. Folgende Werte sind möglich: Name Description
Filter Logic	Optional. Die anzuwendende Filterlogik. Folgende Werte sind möglich: Equal (für genaue Übereinstimmungen) Contains(für Teilstring-Übereinstimmungen)
Filter Value	Optional. Der Wert, der im Filter verwendet werden soll. Folgende Werte sind möglich: Equal (für genaue Übereinstimmungen) Contains(für Teilstring-Übereinstimmungen) Equal funktioniert mit dem Parameter Title, während Contains mit allen Werten in der Antwort funktioniert. Wenn nichts angegeben ist, wird der Filter nicht angewendet.
Expanded Rows	Optional. Wenn diese Option ausgewählt ist, enthält die Antwort detaillierte Datentabellenzeilen.
Max Data Tables To Return	Pflichtangabe. Die Anzahl der zurückzugebenden Datentabellen. Der Höchstwert ist 1000.
Max Data Table Rows To Return	Pflichtangabe. Die Anzahl der zurückzugebenden Datentabellenzeilen. Verwenden Sie diesen Parameter nur, wenn Expanded Rows aktiviert ist. Der Höchstwert ist 1000.
Use Cache	Optional. Wenn diese Option ausgewählt ist, werden für die Aktion zwischengespeicherte Datentabellenergebnisse verwendet, sofern verfügbar, anstatt bei jeder Ausführung eine Abfrage an Google SecOps zu senden. Weitere Informationen finden Sie unter Caching von Datentabellen.
Cache TTL	Optional. Die Cache-Lebensdauer in Minuten, bevor die Aktion neue Daten von Google SecOps abruft. Weitere Informationen finden Sie unter Caching von Datentabellen. Der Mindestwert beträgt 1. Der Standardwert ist 60.

Aktionsausgaben

Die Aktion Datentabellen abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Datentabellen abrufen zurückgegeben wird:

{
      "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
      "displayName": "data_table",
      "createTime": "2025-05-14T12:52:50.064133Z",
      "updateTime": "2025-05-14T13:13:48.631442Z",
      "columnInfo": [
          {
              "originalColumn": "columnName1",
              "columnType": "STRING"
          },
          {
              "columnIndex": 1,
              "originalColumn": "columnName2",
              "columnType": "STRING"
          },
          {
              "columnIndex": 2,
              "originalColumn": "columnName3",
              "columnType": "STRING"
          }
      ],
      "dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
      "approximateRowCount": "2",
      "Used cache": true,
      "rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
}

Ausgabenachrichten

Die Aktion Datentabellen abrufen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found data tables for the provided criteria in Google SecOps	Die Aktion war erfolgreich.
Error executing action "Get Data Tables". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Datentabellen abrufen beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

Details zur Erkennung abrufen

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion Erkennungsdetails abrufen können Sie Informationen zu einer Erkennung in Google SecOps abrufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Erkennungsdetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Rule ID	Pflichtangabe. Die ID der Regel, die sich auf die Erkennung bezieht. Verwenden Sie das Format ru_{UUID} für die aktuelle Version einer Regel oder ru_{UUID}@v_{int64}_{int64} für eine bestimmte Version.
Detection ID	Pflichtangabe. Die ID der Erkennung, für die Details abgerufen werden sollen. Wenn Sonderzeichen angegeben werden, schlägt die Aktion nicht fehl, sondern gibt eine Liste von Erkennungen zurück.
Include Raw Log Data	Optional. Wenn diese Option ausgewählt ist, ruft die Aktion die ursprüngliche Rohprotokolldatei ab, die mit den UDM-Suchergebnissen verknüpft ist. Diese Option ist nur verfügbar, wenn Sie die Chronicle API-Authentifizierung verwenden. Standardmäßig deaktiviert.

Aktionsausgaben

Die Aktion Erkennungsdetails abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Erkennungsdetails abrufen verwenden:

{
    "collectionElements": [
        {
            "label": "e",
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2023-10-04T21:18:44Z",
                            "eventType": "NETWORK_CONNECTION",
                            "id": "yyyx=",
                            "ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
                            "logType": "UDM",
                            "productEventType": "Traffic - start",
                            "productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
                            "productName": "NGFW",
                            "vendorName": "Palo Alto Networks"
                        },
                        "network": {
                            "ipProtocol": "TCP",
                            "receivedBytes": "yyyyyyyyyxx",
                            "sentBytes": "yyyyyyyyyxx",
                            "sessionId": "yyyyyyyyyxx"
                        },
                        "principal": {
                            "asset": {
                                "hostname": "test3",
                                "ip": [
                                    "00.0.0.00"
                                ],
                                "mac": [
                                    "00:00:00:0b:c9:11"
                                ]
                            },
                            "hostname": "test3",
                            "ip": [
                                "x.x.0.x"
                            ],
                            "mac": [
                                "00:00:00:0b:c9:11"
                            ],
                            "port": 18985
                        },
                        "rawLogData": {
                            "action": "yyyyyy",
                            "decodedString": "yyyyyy",
                            "external_id": "yyyyyy",
                            "matching_status": "yyyyyy",
                            "severity": "yyyyyy",
                            "source": "yyyyyy"
                        },
                        "securityResult": [
                            {
                                "action": [
                                    "ALLOW"
                                ]
                            }
                        ],
                        "target": {
                            "asset": {
                                "hostname": "youtube.com"
                            },
                            "hostname": "youtube.com",
                            "port": 4548
                        }
                    }
                }
            ]
        }
    ],
    "createdTime": "2023-10-04T22:16:22.145254Z",
    "detection": [
        {
            "alertState": "ALERTING",
            "riskScore": 40,
            "ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
            "ruleLabels": [
                {
                    "key": "priority",
                    "value": "Medium"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ],
            "ruleName": "dns_not_google",
            "ruleType": "SINGLE_EVENT",
            "ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
            "urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
        }
    ],
    "detectionTime": "2023-10-04T21:18:44Z",
    "id": "yyyx-e380-yyyx-yyyx-yyyx",
    "timeWindow": {
        "endTime": "2023-10-04T21:18:44Z",
        "startTime": "2023-10-04T21:18:44Z"
    },
    "type": "RULE_DETECTION"
}

Ausgabenachrichten

Die Aktion Erkennungsdetails abrufen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully fetched information about the detection with ID DETECTION_ID in Google Chronicle.	Die Aktion war erfolgreich.
Error executing action "Get Detection Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Erkennungsdetails abrufen beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

Referenzlisten abrufen

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Verwenden Sie die Aktion Referenzlisten abrufen, um verfügbare Referenzlisten in Google SecOps abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Referenzlisten abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Filter Key	Der Schlüssel, nach dem gefiltert werden soll. Folgende Werte sind möglich: Name Content Type Description
Filter Logic	Die anzuwendende Filterlogik. Folgende Werte sind möglich: Equal (für genaue Übereinstimmungen) Contains(für Teilstring-Übereinstimmungen) Der Standardwert ist Equal.
Filter Value	Der Wert, der im Filter verwendet werden soll. Folgende Werte sind möglich: Equal (für genaue Übereinstimmungen) Contains(für Teilstring-Übereinstimmungen) Equal funktioniert mit dem Parameter Title, während Contains mit allen Werten in der Antwort funktioniert. Wenn kein Wert angegeben wird, wird der Filter nicht angewendet.
Expanded Details	Wenn diese Option ausgewählt ist, gibt die Aktion detaillierte Informationen zu den Referenzlisten zurück. Standardmäßig nicht aktiviert.
Max Reference Lists To Return	Die Anzahl der zurückzugebenden Referenzlisten. Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Referenzliste abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Auf einer Case Wall enthält die Tabelle Referenzlisten abrufen Folgendes:

Name: Available Reference Lists

Spalten:

• Name
• Beschreibung
• Typ

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Referenzlisten abrufen mit der Backstory API verwenden:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Referenzlisten abrufen mit der Chronicle API verwenden:

[
  {
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
    "displayName": "REFERENCE_LIST_ID",
    "revisionCreateTime": "2025-01-09T15:53:10.851775Z",
    "description": "Test reference list",
    "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
    "scopeInfo": {
      "referenceListScope": {}
    },
    "createTime": "2025-01-09T15:53:10.851775Z"
  }
]

Ausgabenachrichten

Die Aktion Referenzlisten abrufen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found reference lists for the provided criteria in Google Chronicle. The filter was not applied because parameter "Filter Value" has an empty value.	Die Aktion war erfolgreich.
Error executing action ACTION_NAME. Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action ACTION_NAME. Reason: "Invalid value was provided for "Max Reference Lists to Return": PROVIIDED_VALUE. Positive number should be provided.	Die Aktion ist fehlgeschlagen. Prüfen Sie den Wert für den Parameter Max Reference Lists to Return.

Skript

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Referenzlisten abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Regeldetails abrufen

Verwenden Sie die Aktion Regeldetails abrufen, um Informationen zu einer Regel in Google SecOps abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Informationen zu vordefinierten Regeln können nur über die Chronicle API abgerufen werden und erfordern möglicherweise bestimmte Berechtigungen.

Aktionseingaben

Für die Aktion Regeldetails abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Rule ID	Pflichtangabe. Die eindeutige ID der Regel, für die Details abgerufen werden sollen. Der Standardwert ist [Alert.rule_id].

Aktionsausgaben

Die Aktion Regeldetails abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Regeldetails abrufen mit der Backstory API verwenden:

{
    "ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
    "versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
    "ruleName": "SampleRule",
    "metadata": {
      "description": "Sample Description of the Rule",
      "author": "[e-mail]"
    },
    "ruleText": "rule SampleRule {
        meta:
          description = \"Sample Description of the Rule\"
          author = \"[e-mail]\"
        events:
          // This will just generate lots of detections
          $event.metadata.event_type = \"NETWORK_HTTP\"
        condition:
          $event
        } ",
    "liveRuleEnabled": true,
    "versionCreateTime": "2020-10-13T23:18:13.146879Z",
    "compilationState": "SUCCEEDED"
  }

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Regeldetails abrufen mit der Chronicle API verwenden:

{
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
    "revisionId": "v_1733917896_973567000",
    "displayName": "Test_rule_SingleEvent",
    "text": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "author": "example_user",
    "metadata": {
        "author": "example_user",
        "description": "windowed single event example rule",
        "severity": null
    },
    "createTime": "2024-12-11T11:36:18.192127Z",
    "revisionCreateTime": "2024-12-11T11:51:36.973567Z",
    "compilationState": "SUCCEEDED",
    "type": "SINGLE_EVENT",
    "allowedRunFrequencies": [
        "LIVE",
        "HOURLY",
        "DAILY"
    ],
    "etag": "CMj55boGEJjondAD",
    "ruleId": "RULE_ID",
    "versionId": "RULE_ID@v_1733917896_973567000",
    "ruleName": "Test_rule_SingleEvent",
    "ruleText": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "ruleType": "SINGLE_EVENT",
    "versionCreateTime": "2024-12-11T11:51:36.973567Z"
}

Ausgabenachrichten

Die Aktion Regeldetails abrufen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully fetched information about the rule with ID RULE_ID in Google Chronicle.	Die Aktion war erfolgreich.
Error executing action "Get Rule Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Regeldetails abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ist CIDR in Datentabelle

Mit Is CIDR In Data Table können Sie prüfen, ob bestimmte CIDR-Werte in einer bestimmten Datentabelle in Google SecOps vorhanden sind.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt. Informationen zu den Anforderungen an Anmeldedaten finden Sie unter Authentifizierungsmethoden und Priorität von Anmeldedaten.

Aktionseingaben

Für die Aktion Is CIDR In Data Table sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Data Table Name	Pflichtangabe. Der Anzeigename der zu durchsuchenden Datentabelle.
Column	Optional. Eine durch Kommas getrennte Liste von Spalten, die in der Datentabelle durchsucht werden sollen. Wenn Sie keinen Wert angeben, werden alle Spalten durchsucht.
CIDR	Pflichtangabe. Die durch Kommas getrennte Liste der CIDR-Werte, nach denen in der Datentabelle gesucht werden soll.
Max Data Table Rows To Return	Pflichtangabe. Die Anzahl der Datentabellenzeilen, die für jeden übereinstimmenden Wert zurückgegeben werden sollen. Der Höchstwert ist 1000. Der Standardwert ist 1000.

Aktionsausgaben

Die Aktion Is CIDR In Data Table liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Is CIDR In Data Table zurückgegeben wird:

[{
   "Entity": "asda",
   "EntityResult": {
       "is_found": true,
       "matched_rows": [
           {
               "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
               "values": {
                   "columnName1": "asda",
                   "columnName2": "asdasd",
                   "columnName3": "zxczxc"
               },
               "createTime": "2025-05-14T12:52:51.908143Z",
               "updateTime": "2025-05-14T12:52:51.908143Z"
           }
       ]
   }
}]

Ausgabenachrichten

Die Aktion Is CIDR In Data Table liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully searched provided CIDR values in the data table DATA_TABLE_NAME in Google SecOps	Die Aktion war erfolgreich.
Error executing action "Is CIDR In Data Table". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Skriptausgabe bei Verwendung der Aktion Is CIDR In Data Table beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

Wert in Datentabelle enthalten

Mit Is Value In Data Table können Sie prüfen, ob die angegebenen Werte in einer Datentabelle in Google SecOps enthalten sind.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt. Informationen zu den Anforderungen an Anmeldedaten finden Sie unter Authentifizierungsmethoden und Priorität von Anmeldedaten.

Caching von Datentabellen

Sie können das Caching aktivieren, um wiederholte Anfragen an Google SecOps zu reduzieren und die Ausführung von Playbooks zu beschleunigen:

• Funktionsweise des Cachings: Wenn Use Cache ausgewählt ist, werden die abgerufenen Datentabellen in einem freigegebenen Cache für Ihre Google SecOps-Umgebung gespeichert. Bei nachfolgenden Ausführungen in Playbooks und unterstützten Datentabellenaktionen in derselben Umgebung werden die im Cache gespeicherten Daten wiederverwendet, bis sie ablaufen.

• Vollständiges Tabellen-Caching: Wenn der Cache leer oder abgelaufen ist, werden bei der Aktion die gesamte Datentabelle und nicht nur die Zeilen abgerufen und im Cache gespeichert, die mit Values übereinstimmen. Bei nachfolgenden Suchvorgängen nach anderen Werten in derselben Tabelle kann der Cache dann wiederverwendet werden, ohne dass Google SecOps abgefragt werden muss.

• Limit für Ausgabezeilen: Max Data Table Rows To Return begrenzt die übereinstimmenden Zeilen, die in der Aktionsausgabe für jeden Wert zurückgegeben werden, nicht die im Cache gespeicherten Zeilen.

• Auswirkung von Cache TTL: Steuert, wie lange im Cache gespeicherte Daten gültig bleiben, bevor die Aktion neue Daten von Google SecOps abruft:

  • Längere TTL: Reduziert API-Anfragen und beschleunigt Playbooks, aber Aktualisierungen der Datentabelle werden erst nach Ablauf des Cache übernommen.
  • Kürzere TTL: Die Ergebnisse für häufig wechselnde Tabellen bleiben auf dem neuesten Stand, aber die Anzahl der Anfragen an Google SecOps steigt.

Aktionseingaben

Für die Aktion Is Value In Data Table sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Data Table Name	Pflichtangabe. Der Anzeigename der zu durchsuchenden Datentabelle.
Column	Optional. Eine durch Kommas getrennte Liste der zu durchsuchenden Spalten. Wenn kein Wert angegeben ist, werden alle Spalten durchsucht.
Values	Pflichtangabe. Eine durch Kommas getrennte Liste von Werten, nach denen gesucht werden soll.
Case Insensitive Search	Optional. Wenn diese Option ausgewählt ist, wird die Groß-/Kleinschreibung bei der Suche nicht beachtet. Standardmäßig aktiviert.
Max Data Table Rows To Return	Pflichtangabe. Die Anzahl der Datentabellenzeilen, die pro übereinstimmendem Wert zurückgegeben werden sollen. Der Höchstwert ist 1000.
Use Cache	Optional. Wenn diese Option ausgewählt ist, werden für die Aktion zwischengespeicherte Datentabellenergebnisse verwendet, sofern verfügbar, anstatt bei jeder Ausführung eine Abfrage an Google SecOps zu senden. Weitere Informationen finden Sie unter Caching von Datentabellen.
Cache TTL	Optional. Die Cache-Lebensdauer in Minuten, bevor die Aktion neue Daten von Google SecOps abruft. Weitere Informationen finden Sie unter Caching von Datentabellen. Der Mindestwert beträgt 1. Der Standardwert ist 60.

Aktionsausgaben

Die Aktion Is Value In Data Table liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Is Value In Data Table empfangen wird:

[{
  "Entity": "asda",
  "EntityResult": {
      "is_found": true,
      "Used cache": true,
      "matched_rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
  }
}]

Ausgabenachrichten

Die Aktion Is Value In Data Table liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully searched provided values in the data table DATA_TABLE_NAME in Google SecOps.	Die Aktion war erfolgreich.
Fehler beim Ausführen der Aktion „Ist Wert in Datentabelle“. Grund: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Is Value In Data Table". Reason: the following data tables were not found in: DATA_TABLE_NAME: COLUMN_NAMES. Please check the spelling.	Die Aktion ist fehlgeschlagen.
Error executing action "Is Value In Data Table". Reason: This action isn't supported for Backstory API configuration. Please update the integration configuration.	Die Aktion ist fehlgeschlagen.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Is Value In Data Table verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ist Wert in Datentabelle asynchron

Mit der Aktion Is Value In Data Table Async können Sie asynchron mithilfe von lang andauernden Suchvorgängen prüfen, ob die angegebenen Werte in einer Datentabelle in Google SecOps vorhanden sind.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Dies ist eine asynchrone Aktion. Passen Sie den Zeitüberschreitungswert für das Skript in der Google SecOps-IDE für die Aktion nach Bedarf an.

Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt. Informationen zu den Anforderungen an Anmeldedaten finden Sie unter Authentifizierungsmethoden und Priorität von Anmeldedaten.

Caching von Datentabellen

Sie können das Caching aktivieren, um wiederholte Anfragen an Google SecOps zu reduzieren und die Ausführung von Playbooks zu beschleunigen:

• Funktionsweise des Cachings: Wenn Use Cache ausgewählt ist, werden die abgerufenen Datentabellen in einem freigegebenen Cache für Ihre Google SecOps-Umgebung gespeichert. Bei nachfolgenden Ausführungen in Playbooks und unterstützten Datentabellenaktionen in derselben Umgebung werden die im Cache gespeicherten Daten wiederverwendet, bis sie ablaufen.

• Sofortige Fertigstellung, wenn im Cache gespeichert: Wenn ein gültiger Cache für die Datentabelle vorhanden ist, sucht die Aktion im Cache und wird sofort abgeschlossen, ohne dass eine asynchrone Suche in Google SecOps gestartet wird.

• Tabellen mit mehr als 1.000.000 Zeilen: Wenn eine Datentabelle mehr als 1.000.000 Zeilen enthält, werden die Suchergebnisse trotzdem zurückgegeben, aber die Tabelle wird nicht im Cache gespeichert, um zu vermeiden, dass eine unvollständige Kopie gespeichert wird.

• Auswirkung von Cache TTL: Steuert, wie lange im Cache gespeicherte Daten gültig bleiben, bevor die Aktion neue Daten von Google SecOps abruft:

  • Längere TTL: Reduziert API-Anfragen und beschleunigt Playbooks, aber Aktualisierungen der Datentabelle werden erst nach Ablauf des Cache übernommen.
  • Kürzere TTL: Die Ergebnisse für häufig wechselnde Tabellen bleiben auf dem neuesten Stand, aber die Anzahl der Anfragen an Google SecOps steigt.

Aktionseingaben

Für die Aktion Is Value In Data Table Async sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Data Table Name	Pflichtangabe. Der Anzeigename der zu durchsuchenden Datentabelle.
Column	Optional. Eine durch Kommas getrennte Liste von Spalten, die in der Datentabelle durchsucht werden sollen. Wenn kein Wert angegeben ist, werden alle Spalten durchsucht.
Values	Pflichtangabe. Eine durch Kommas getrennte Liste von Werten, nach denen in der Datentabelle gesucht werden soll.
Case Insensitive Search	Optional. Wenn diese Option ausgewählt ist, wird die Groß-/Kleinschreibung bei der Suche nicht beachtet. Standardmäßig aktiviert.
Max Data Table Rows To Return	Pflichtangabe. Die Anzahl der Datentabellenzeilen, die für jeden übereinstimmenden Wert zurückgegeben werden sollen. Der Höchstwert ist 1000. Der Standardwert ist 1000.
Use Cache	Optional. Wenn diese Option ausgewählt ist, werden für die Aktion zwischengespeicherte Datentabellenergebnisse verwendet, sofern verfügbar, anstatt bei jeder Ausführung eine Abfrage an Google SecOps zu senden. Weitere Informationen finden Sie unter Caching von Datentabellen.
Cache TTL	Optional. Die Cache-Lebensdauer in Minuten, bevor die Aktion neue Daten von Google SecOps abruft. Weitere Informationen finden Sie unter Caching von Datentabellen. Der Mindestwert beträgt 1. Der Standardwert ist 60.

Aktionsausgaben

Die Aktion Is Value In Data Table Async liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Is Value In Data Table Async empfangen wird:

[
  {
    "Entity": "example_value",
    "EntityResult": {
      "is_found": true,
      "Used cache": true,
      "matched_rows": [
        {
          "createTime": "",
          "name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
          "updateTime": "",
          "values": {
            "columnName1": "example_value",
            "columnName2": "sample_data"
          }
        }
      ]
    }
  }
]

Ausgabenachrichten

Die Aktion Is Value In Data Table Async liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully searched provided values in the data table DATA_TABLE_NAME. No provided values were found in the data table DATA_TABLE_NAME.	Die Aktion war erfolgreich.
Error executing action "Is Value In Data Table Async". Reason: ERROR_REASON.	Die Aktion ist fehlgeschlagen.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Is Value In Data Table Async verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ist der Wert in der Referenzliste enthalten?

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion Ist Wert in Referenzliste können Sie prüfen, ob die angegebenen Werte in Referenzlisten in Google SecOps enthalten sind.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Ist Wert in Referenzliste sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Reference List Names	Pflichtangabe. Eine durch Kommas getrennte Liste der Namen von Referenzlisten, die durchsucht werden sollen.
Values	Pflichtangabe. Eine durch Kommas getrennte Liste von Werten, nach denen gesucht werden soll.
Case Insensitive Search	Optional. Wenn diese Option ausgewählt ist, wird die Groß-/Kleinschreibung bei der Suche nicht beachtet.

Aktionsausgaben

Die Aktion Is Value In Reference List liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Is Value In Reference List mit der Backstory API empfangen wird:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Is Value In Reference List mit der Chronicle API empfangen wird:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

Ausgabenachrichten

Die Aktion Is Value In Reference List liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully searched provided values in the reference lists in Google Chronicle.	Die Aktion war erfolgreich.
Fehler beim Ausführen der Aktion „Ist Wert in Referenzliste“. Grund: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Is Value In Reference List". Reason: the following reference lists were not found in Google Chronicle: MISSING_REFERENCE_LIST_NAME(S). Please use the action "Get Reference Lists" to see what reference lists are available.	Die Aktion ist fehlgeschlagen. Führen Sie die Aktion Referenzlisten abrufen aus, um nach verfügbaren Listen zu suchen.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Skriptergebnisausgabe bei Verwendung der Aktion Is Value In Reference List beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

Assets auflisten

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion Assets auflisten können Sie Assets in Google SecOps basierend auf zugehörigen Entitäten innerhalb eines bestimmten Zeitraums auflisten.

Diese Aktion unterstützt nur die Hashes MD5, SHA-1 und SHA-256.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• URL
• IP Address
• Hash

Aktionseingaben

Für die Aktion Assets auflisten sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Max Hours Backwards	Die Anzahl der Stunden vor dem aktuellen Zeitpunkt, für die die Assets abgerufen werden sollen. Der Standardwert ist 1.
Create Insight	Wenn diese Option ausgewählt ist, wird durch die Aktion eine Statistik mit Informationen zu den Entitäten erstellt. Standardmäßig aktiviert.
Max Assets To Return	Die Anzahl der zurückzugebenden Assets. Der Standardwert ist 50.
Time Frame	Optional. Ein Zeitraum, für den die Ergebnisse abgerufen werden sollen. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Wenn Custom ausgewählt ist, ist der Parameter Start Time erforderlich. Der Standardwert ist Last Hour.
Start Time	Die Startzeit im ISO 8601-Format. Dieser Parameter ist erforderlich, wenn der Parameter Time Frame auf Custom gesetzt ist.
End Time	Die Endzeit im ISO 8601-Format. Wenn Sie keinen Wert festlegen und den Parameter Time Frame auf Custom setzen, wird die aktuelle Zeit verwendet.

Aktionsausgaben

Die Aktion Assets auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Name: ENTITY_IDENTIFIER

Spalten:

• Hostname
• IP-Adresse
• Zuerst gesehenes Artefakt
• Zuletzt gesehenes Artefakt

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Assets auflisten mit der Backstory API verwenden:

{
    "assets": [
      {
        "asset": {
          "hostname": "example"
        },
        "firstSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-02-28T09:18:15.675Z"
        },
        "lastSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-09-24T06:43:59Z"
        }
      }
    ],
    "uri": [
      "https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
    ]
  }

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Assets auflisten mit der Chronicle API verwenden:

[
  {
    "Entity": "192.0.2.229",
    "EntityResult": {
      "assets": [
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Open Source Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Open Source Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "OPEN_SOURCE_INTEL_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "ex  ",
            "valueType": "DOMAIN_NAME"
          }
        },
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Active Breach Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Active Breach Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "MANDIANT_ACTIVE_BREACH_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "example.com",
            "valueType": "DOMAIN_NAME"
          }
        }
      ],
      "uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
    }
  }
]

Ausgabenachrichten

Die Aktion Assets auflisten liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully listed related assets for the following entities from Google Chronicle: ENTITY_IDENTIFIER	Die Aktion war erfolgreich.
Error executing action "List Assets". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Assets auflisten beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ereignisse auflisten

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Verwenden Sie die Aktion Ereignisse auflisten, um Ereignisse für ein bestimmtes Asset innerhalb eines bestimmten Zeitraums aufzulisten.

Mit dieser Aktion können nur 10.000 Ereignisse abgerufen werden.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• IP address
• MAC address
• Hostname

Aktionseingaben

Für die Aktion Termine auflisten sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Event Types	Eine durch Kommas getrennte Liste von Ereignistypen. Wenn kein Wert angegeben ist, werden alle Ereignistypen abgerufen. Eine Liste aller möglichen Werte finden Sie unter Mögliche Werte für Ereignistypen.
Time Frame	Der angegebene Zeitraum. Wir empfehlen, ihn so klein wie möglich zu halten, um bessere Ergebnisse zu erzielen. Wenn Custom ausgewählt ist, ist der Parameter Start Time erforderlich. Wenn Max Hours Backwards ausgewählt ist, wird ein Zeitfilter bereitgestellt und die Abwärtskompatibilität gewährleistet. Folgende Werte sind möglich: Max Hours Backwards Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Der Standardwert ist Custom.
Start Time	Die Startzeit im ISO 8601-Format. Dieser Parameter ist erforderlich, wenn der Parameter Time Frame auf Custom gesetzt ist.
End Time	Die Endzeit im ISO 8601-Format. Wenn kein Wert angegeben ist und der Parameter Time Frame auf Custom gesetzt ist, wird die aktuelle Zeit verwendet. Dieser Parameter akzeptiert den Wert now.
Reference Time	Die Referenzzeit für die Ereignissuche. Wenn kein Wert angegeben ist, wird die Endzeit als Referenz verwendet.
Output	Pflichtangabe. Das Ausgabeformat. Folgende Werte sind möglich: Events + Statistics Only Events Only Statistics
Max Events To Return	Die Anzahl der Ereignisse, die für jeden Entitätstyp verarbeitet werden sollen. Der Standardwert ist 100.

Mögliche Werte für den Ereignistyp

Folgende Werte sind für den Parameter Event Type möglich:

• EVENTTYPE_UNSPECIFIED
• PROCESS_UNCATEGORIZED
• PROCESS_LAUNCH
• PROCESS_INJECTION
• PROCESS_PRIVILEGE_ESCALATION
• PROCESS_TERMINATION
• PROCESS_OPEN
• PROCESS_MODULE_LOAD
• REGISTRY_UNCATEGORIZED
• REGISTRY_CREATION
• REGISTRY_MODIFICATION
• REGISTRY_DELETION
• SETTING_UNCATEGORIZED
• SETTING_CREATION
• SETTING_MODIFICATION
• SETTING_DELETION
• MUTEX_UNCATEGORIZED
• MUTEX_CREATION
• FILE_UNCATEGORIZED
• FILE_CREATION
• FILE_DELETION
• FILE_MODIFICATION
• FILE_READ
• FILE_COPY
• FILE_OPEN
• FILE_MOVE
• FILE_SYNC
• USER_UNCATEGORIZED
• USER_LOGIN
• USER_LOGOUT
• USER_CREATION
• USER_CHANGE_PASSWORD
• USER_CHANGE_PERMISSIONS
• USER_STATS
• USER_BADGE_IN
• USER_DELETION
• USER_RESOURCE_CREATION
• USER_RESOURCE_UPDATE_CONTENT
• USER_RESOURCE_UPDATE_PERMISSIONS
• USER_COMMUNICATION
• USER_RESOURCE_ACCESS
• USER_RESOURCE_DELETION
• GROUP_UNCATEGORIZED
• GROUP_CREATION
• GROUP_DELETION
• GROUP_MODIFICATION
• EMAIL_UNCATEGORIZED
• EMAIL_TRANSACTION
• EMAIL_URL_CLICK
• NETWORK_UNCATEGORIZED
• NETWORK_FLOW
• NETWORK_CONNECTION
• NETWORK_FTP
• NETWORK_DHCP
• NETWORK_DNS
• NETWORK_HTTP
• NETWORK_SMTP
• STATUS_UNCATEGORIZED
• STATUS_HEARTBEAT
• STATUS_STARTUP
• STATUS_SHUTDOWN
• STATUS_UPDATE
• SCAN_UNCATEGORIZED
• SCAN_FILE
• SCAN_PROCESS_BEHAVIORS
• SCAN_PROCESS
• SCAN_HOST
• SCAN_VULN_HOST
• SCAN_VULN_NETWORK
• SCAN_NETWORK
• SCHEDULED_TASK_UNCATEGORIZED
• SCHEDULED_TASK_CREATION
• SCHEDULED_TASK_DELETION
• SCHEDULED_TASK_ENABLE
• SCHEDULED_TASK_DISABLE
• SCHEDULED_TASK_MODIFICATION
• SYSTEM_AUDIT_LOG_UNCATEGORIZED
• SYSTEM_AUDIT_LOG_WIPE
• SERVICE_UNSPECIFIED
• SERVICE_CREATION
• SERVICE_DELETION
• SERVICE_START
• SERVICE_STOP
• SERVICE_MODIFICATION
• GENERIC_EVENT
• RESOURCE_CREATION
• RESOURCE_DELETION
• RESOURCE_PERMISSIONS_CHANGE
• RESOURCE_READ
• RESOURCE_WRITTEN
• ANALYST_UPDATE_VERDICT
• ANALYST_UPDATE_REPUTATION
• ANALYST_UPDATE_SEVERITY_SCORE
• ANALYST_UPDATE_STATUS
• ANALYST_ADD_COMMENT

Aktionsausgaben

Die Aktion Ereignisse auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Ereignisse auflisten zurückgegeben wird:

{
    "statistics": {
"NETWORK_CONNECTION": 10
}
{
    "events": [
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T14:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      },
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T17:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      }
    ],
    "uri": [
      "https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
    ]
  }
}

Ausgabenachrichten

Die Aktion Ereignisse auflisten liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully listed related events for the following entities from Google Chronicle: ENTITY_IDENTIFIER	Die Aktion war erfolgreich.
Error executing action "List Events". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "List Events". Reason: invalid event type is provided. Please check the spelling. Supported event types: SUPPORTED_EVENT_TYPES	Die Aktion ist fehlgeschlagen. Bitte überprüfen Sie, ob sie richtig geschrieben wurden.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ereignisse auflisten beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

IOCs auflisten

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion IoCs auflisten können Sie alle IoCs auflisten, die in Ihrem Unternehmen innerhalb eines bestimmten Zeitraums erkannt wurden.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion IOCs auflisten sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Start Time	Die Startzeit für die Ergebnisse im ISO 8601-Format.
Max IoCs to Fetch	Die maximale Anzahl der zurückzugebenden IoCs. Der Bereich ist 1–10,000. Der Standardwert ist 50.

Aktionsausgaben

Die Aktion IOCs auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Spalten:

• Domain
• Kategorie
• Quelle
• Konfidenz
• Schweregrad
• IoC-Aufnahmezeit
• IoC First Seen Time
• IoC Last Seen Time
• URI

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion IOCs auflisten erhalten:

{
   "matches":[
      {
         "artifact":{
            "domainName":"www.example.com"
         },
         "firstSeenTime":"2018-05-25T20:47:11.048998Z",
         "iocIngestTime":"2019-08-14T21:00:00Z",
         "lastSeenTime":"2019-10-24T16:19:46.880830Z",
         "sources":[
            {
               "category":"Spyware Reporting Server",
               "confidenceScore":{
                  "intRawConfidenceScore":0,
                  "normalizedConfidenceScore":"Low"
               },
               "rawSeverity":"Medium",
               "source":"Example List"
            }
         ],
         "uri":["URI"]
      }
   ],
   "moreDataAvailable":true
}

Ausgabenachrichten

Die Aktion IOCs auflisten liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully listed IOCs from the provided timeframe in Google Chronicle.	Die Aktion war erfolgreich.
Error executing action "List IOCs". Reason: ERROR_REASON.	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion IOCs auflisten beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ähnliche Meldungen suchen

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion Ähnliche Benachrichtigungen suchen können Sie in Google SecOps nach ähnlichen Benachrichtigungen suchen.

Wichtig: Diese Aktion funktioniert nur mit Google SecOps-Benachrichtigungen, die vom Chronicle Alerts Connector empfangen wurden.

Aktionseingaben

Für die Aktion Ähnliche Benachrichtigungen suchen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Time Frame	Der Zeitraum für die Ergebnisse. Die besten Ergebnisse erzielen Sie, wenn Sie den Zeitraum so eng wie möglich fassen. Folgende Werte sind möglich: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now: Sucht nach Ereignissen ab dem Beginn der Benachrichtigung bis End Time. 5 Minutes Around Alert Time: Sucht nach Ereignissen, die 5 Minuten vor und nach der Erstellung der Benachrichtigung aufgetreten sind. 30 Minutes Around Alert Time: Sucht nach Ereignissen 30 Minuten vor und nach dem Erstellungszeitpunkt der Benachrichtigung. 1 Hour Around Alert Time : Sucht nach Ereignissen, die eine Stunde vor und nach dem Erstellungszeitpunkt der Benachrichtigung aufgetreten sind.
IOCs / Assets	Pflichtangabe. Eine durch Kommas getrennte Liste von IoCs oder Assets, die in den Benachrichtigungen gesucht werden sollen. Die Aktion führt für jedes bereitgestellte Element eine separate Suche durch.
Similarity By	Die Attribute, die zum Suchen ähnlicher Benachrichtigungen verwendet werden sollen. Folgende Werte sind möglich: Alert Name, Alert Type and Product Alert Name and Alert Type Product Only IOCs/Assets Weitere Informationen zum Verhalten dieses Parameters Der Standardwert ist Alert Name, Alert Type and Product.

Funktionsweise des Parameters „Ähnlichkeit nach“

Der Parameter Similarity By wird auf Regelbenachrichtigungen und externe Benachrichtigungen unterschiedlich angewendet.

• Wenn Alert Name, Alert Type and Product oder Alert Name, Alert Type ausgewählt ist:

  • Bei externen Benachrichtigungen wird nach anderen externen Benachrichtigungen mit demselben Namen gesucht.

  • Bei Regelwarnungen werden Warnungen verarbeitet, die von derselben Regel stammen.

• Wenn Product ausgewählt ist:

  • Mit der Aktion werden Benachrichtigungen verarbeitet, die vom selben Produkt stammen, unabhängig davon, ob es sich um Regelbenachrichtigungen oder externe Benachrichtigungen handelt.

  Beispiel: Eine Benachrichtigung, die von Crowdstrike stammt, wird nur mit anderen Benachrichtigungen von Crowdstrike abgeglichen.

• Wenn Only IOCs/Assets ausgewählt ist:

  • Die Aktion gleicht Benachrichtigungen anhand der im Parameter IOCs/Assets angegebenen IOCs ab. Es wird sowohl in Regelwarnungen als auch in externen Warnungen nach diesen Indikatoren gesucht.

  • Diese Aktion kann nur ausgeführt werden, wenn diese Option ausgewählt ist. Wenn eine andere Option angegeben wird, wird die Aktion standardmäßig auf Only IOCs/Assets gesetzt.

Die Aktion Ähnliche Benachrichtigungen suchen ist ein vielseitiges Tool zum Analysieren von Benachrichtigungen. So können Analysten Warnungen aus demselben Zeitraum korrelieren und relevante IOCs extrahieren, um festzustellen, ob ein Vorfall ein echtes positives Ergebnis ist.

Aktionsausgaben

Die Aktion Ähnliche Benachrichtigungen suchen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Link zum Fall-Repository

Die Aktion Ähnliche Benachrichtigungen suchen kann die folgenden Links zurückgeben:

• CBN: GENERATED_LINK_BASED_ON_IU_ROOT_URL
• Regel: GENERATED_LINK_BASED_ON_IU_ROOT_URL

Tabelle mit Fall-Repository

Tabellenname: IOC/ASSET_IDENTIFIER

Tabellenspalten:

• Produkt
• Hostnamen
• IPs
• Nutzer
• E-Mail-Adressen
• Subjects
• URLs
• Hashes
• Prozesse
• Zuerst erfasst
• Zuletzt gesehen
• Name der Benachrichtigung
• Allgemein

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie bei Verwendung der Aktion Ähnliche Benachrichtigungen suchen erhalten:

{
    "count": 123,
    "distinct": [
        {
            "first_seen": "time of the first alert that matched our conditions",
            "last_seen": "time of the last alert that matched our conditions",
            "product_name": "product name",
            "used_ioc_asset": "what user provided in the parameter IOCs and Assets",
            "name": "Alert Name/Rule Name",
            "hostnames": "csv list of unique hostnames that were found in alerts",
            "urls": "csv list of unique urls that were found in alerts",
            "ips": "csv list of unique ips that were found in alerts",
            "subjects": "csv list of unique subjects that were found in alerts",
            "users": "csv list of unique users that were found in alerts",
            "email_addresses": "csv list of unique email_addresses that were found in alerts",
            "hashes": "csv list of unique hashes that were found in alerts",
            "processes": "csv list of unique processes that were found in alerts"
            "rule_urls": ["Chronicle URL from API response for Rule"]
            "count": 123
        }
    ],
    "processed_alerts": 10000,
    "run_time": "how long it took to run the action or at least API request",
    "EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"

}

Ausgabenachrichten

Die Aktion Ähnliche Benachrichtigungen suchen liefert die folgenden Ausgabemeldungen:

Ausgabemeldung	Beschreibung der Nachricht
Successfully found similar alerts from the provided timeframe in Google Chronicle. No similar alerts were found from the provided timeframe in Google Chronicle.	Die Aktion war erfolgreich.
Error executing action "Lookup Similar Alerts". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Error executing action "Lookup Similar Alerts". Reason: all of the retries are exhausted. Please wait for a minute and try again.	Die Aktion ist fehlgeschlagen. Warten Sie einige Minuten, bevor Sie die Aktion noch einmal ausführen.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Ähnliche Benachrichtigungen suchen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Google SecOps zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Ping liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully connected to the Google Chronicle backstory with the provided connection parameters!	Die Aktion war erfolgreich.
Failed to connect to the Google Chronicle backstory. Error is ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping beschrieben:

Name des Skriptergebnisses	Wert
is_success	true oder false

Zeilen aus Datentabelle entfernen

Verwenden Sie die Aktion Zeilen aus Datentabelle entfernen, um Zeilen aus einer Datentabelle in Google SecOps zu entfernen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Hinweis: Diese Aktion unterstützt nur die Chronicle API. Die alte Backstory API wird nicht unterstützt.

Aktionseingaben

Für die Aktion Zeilen aus Datentabelle entfernen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Data Table Name	Pflichtangabe. Der Anzeigename der zu aktualisierenden Datentabelle.
Rows	Pflichtangabe. Eine Liste von JSON-Objekten, die zum Suchen und Löschen von Zeilen verwendet werden. Geben Sie nur gültige Spalten an. Der Standardwert ist: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

Aktionsausgaben

Die Aktion Zeilen aus Datentabelle entfernen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Zeilen aus Datentabelle entfernen zurückgegeben wird:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          },
          "createTime": "2025-05-14T12:52:51.908143Z",
          "updateTime": "2025-05-14T12:52:51.908143Z"
}

Ausgabenachrichten

Die Aktion Zeilen aus Datentabelle entfernen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully removed rows from the data table DATA_TABLE_NAME in Google SecOps.	Die Aktion war erfolgreich.
Error executing action "Remove Rows From Data Table". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Skriptausgabe beschrieben, wenn die Aktion Zeilen aus Datentabelle entfernen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Werte aus Referenzliste entfernen

Achtung: Diese Aktion basiert auf der alten Backstory API, die ab dem 20. Juli 2027 nicht mehr funktioniert. Um Playbook-Fehler zu vermeiden, müssen Sie Ihre Google Chronicle-Integration auf Version 54 oder höher aktualisieren, um die Chronicle API zu verwenden. Beobachten Sie die Ausgaben dieser Aktion nach dem Upgrade, da sich die Ausgabeformate ändern können.

Mit der Aktion Werte aus Referenzliste entfernen können Sie Werte aus einer Referenzliste in Google SecOps entfernen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Werte aus Referenzliste entfernen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Reference List Name	Pflichtangabe. Der Name der zu aktualisierenden Referenzliste.
Values	Pflichtangabe. Eine durch Kommas getrennte Liste von Werten, die aus der Referenzliste entfernt werden sollen.

Aktionsausgaben

Die Aktion Werte aus Referenzliste entfernen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Werte aus Referenzliste entfernen mit der Backstory API verwenden:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion Werte aus Referenzliste entfernen mit der Chronicle API verwenden:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

Ausgabenachrichten

Die Aktion Werte aus Referenzliste entfernen liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Successfully removed values from the reference list.	Die Aktion war erfolgreich.
Error executing action "Remove Values From Reference List". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Werte aus Referenzliste entfernen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Hinweis: Um Datenverlust zu vermeiden, verwenden Connectors Ereignis-Flattening. Wenn eine Rohbenachrichtigung eine Liste von Entitäten enthält (z. B. mehrere E-Mail-Adressen, Hostnamen oder IP-Adressen), werden diese von Connectors automatisch in separate, eindeutige Ereignisse aufgeteilt.

Beispiel: Eine einzelne Rohbenachrichtigung mit drei verschiedenen E-Mail-Adressen wird als drei separate Ereignisse aufgenommen, die jeweils eine eindeutige E-Mail-Adresse enthalten.

So wird sichergestellt, dass jede Entität korrekt als eindeutiges Asset indexiert wird, sodass sie in Playbooks vollständig durchsuchbar und nutzbar ist.

Google Chronicle – Chronicle Alerts Connector

Wichtig: Damit die Funktionalität vor der Einstellung der Legacy-API weiterhin gewährleistet ist, müssen Sie diesen Connector explizit für die Verwendung der Chronicle API konfigurieren. Prüfen Sie, ob die hier angewendete Authentifizierungsmethode genau mit Ihrer Integrationskonfiguration übereinstimmt.

Verwenden Sie den Google Chronicle – Chronicle Alerts Connector, um Informationen zu regelbasierten Benachrichtigungen aus Google SecOps abzurufen.

Hinweis: Dieser Connector kann mithilfe einer dynamischen Liste gefiltert werden.

Übersicht

Der Google Chronicle – Chronicle Alerts Connector nimmt regelbasierte Benachrichtigungen von Google SecOps auf.

Zu den wichtigsten Funktionen und betrieblichen Details gehören:

• Fragt Daten innerhalb eines Zeitraums von einer Woche ab. Um zu verhindern, dass Benachrichtigungen aufgrund von Indexierungsverzögerungen verpasst werden, können Sie eine Pufferzeit und ein längeres Connector-Zeitlimit konfigurieren. Eine zu lange Pufferzeit kann sich jedoch negativ auf die Leistung auswirken.

• Verwendet dynamische Listen für eine flexible Konfiguration.

• Stellt einen Fallback Severity für Benachrichtigungen ohne Schweregrad bereit.

  Hinweis: Der Connector nimmt Daten auf, nachdem das Limit Script Timeout (Seconds) erreicht oder der Schwellenwert Max Alerts To Fetch erreicht wurde. In Umgebungen mit wenigen Benachrichtigungen kann ein hoher Zeitlimitwert für Skripts zu einer Verzögerung führen, da der Prozess aktiv bleibt, während auf Daten gewartet wird. Da die optimalen Einstellungen von Ihrem spezifischen Mandantenvolumen und Ihren Anforderungen an die Aufnahme abhängen, empfiehlt Google, Konfigurationen zu testen, um die Zeitlimits mit den Ankunftsraten von Benachrichtigungen abzugleichen.

Dynamischer Listenfilter

Die dynamische Liste wird verwendet, um Benachrichtigungen direkt auf der Konfigurationsseite des Connectors zu filtern.

Operatorlogik

In der dynamischen Liste wird eine Kombination aus satzbasierter Auswertung und mehrzeiliger Logik verwendet, um Filterregeln zu verarbeiten:

• CSV (Satzbewertung): Werte in derselben Zeile, die durch ein Komma getrennt sind, werden als ein Satz behandelt. Die angewendete Logik hängt vom verwendeten Operator ab:

  • Einschluss (=): Fungiert als Zulassungsliste.

  Die Benachrichtigung wird aufgenommen, wenn der Wert mit einem Element in der Liste übereinstimmt (z. B. bedeutet Rule.severity = low,medium low ODER medium).

  • Ausschluss (!=): Fungiert als Sperrliste.

  Die Benachrichtigung wird nur aufgenommen, wenn der Wert mit keinem der Elemente in der Liste übereinstimmt (z. B. bedeutet Rule.ruleName != rule_a,rule_b, dass der Regelname NICHT rule_a UND NICHT rule_b ist).

• Separate Zeilen (UND-Logik): Jede separate Zeile in der dynamischen Liste schränkt den Filter weiter ein (z. B. Zeile 1 UND Zeile 2).

• Unterstützte Operatoren: (=, !=, >, <, >=, <=) variieren je nach Filterschlüssel.

Im Folgenden finden Sie Beispiele für die Verwendung von Operatorregeln:

• Rule.severity = medium: Der Connector nimmt nur Regelwarnungen mit dem Schweregrad „Mittel“ auf.

• Rule.severity = low,medium: Der Connector nimmt nur Regelbenachrichtigungen mit mittlerem oder niedrigem Schweregrad auf.

• Rule.ruleName != rule_a,rule_b: Der Connector nimmt alle Benachrichtigungen auf, außer denen, bei denen der Regelname rule_a oder rule_b ist.

• Rule.ruleName = default_rule: Der Connector nimmt nur Regelwarnungen mit dem Namen default_rule auf.

Unterstützte Filter

Der Chronicle Alerts Connector unterstützt das Filtern nach den folgenden Schlüsseln:

Filterschlüssel	Antwortschlüssel	Operatoren	Mögliche Werte
Rule.severity	detection oder ruleLabels oder severity	=, !=, >, <, >=, <=	Info, Error, Low, Medium, High, Critical. Bei den Werten wird die Groß- und Kleinschreibung nicht berücksichtigt.
Rule.ruleName	detection oder ruleName	=, !=	Vom Nutzer definiert.
Rule.ruleID	detection oder ruleId	=, !=	Vom Nutzer definiert.
Rule.ruleType	detection oder ruleClass	=, !=	curated, custom. Bei den Werten wird die Groß- und Kleinschreibung nicht berücksichtigt.
Rule.ruleLabels.{key}	detection oder ruleLabels	=, !=	Vom Nutzer definiert.

ruleLabels wird verarbeitet

Verwenden Sie das Format Rule.ruleLabels.{key}, um nach einem bestimmten Label innerhalb einer Regel zu filtern.

Wenn Sie beispielsweise nach einem Label mit dem Schlüssel type und dem Wert suspicious_behaviour filtern möchten, sollte die Eingabe für die dynamische Liste so aussehen:

Rule.ruleLabels.type=suspicious_behaviour

Connector-Eingaben

Für den Chronicle Alerts Connector sind die folgenden Parameter erforderlich:

Der Standardwert ist Medium.

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Event Field Name	Pflichtangabe. Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds)	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
API Root	Pflichtangabe. Die API-Stamm-URL für Ihre Google SecOps-Instanz: Chronicle API: Enthält Ihre Projekt-ID, Region und Instanz-ID (z. B. https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Weitere Informationen finden Sie unter Chronicle API-Stammverzeichnis finden. Backstory API (Legacy): Der regionale Backstory-Endpunkt. Der Standardwert ist https://backstory.googleapis.com.
User's Service Account	Optional. Der JSON-Schlüssel des Dienstkontos, der für die Authentifizierung verwendet wird. Wird nur verwendet, wenn Workload Identity Email leer ist. Lassen Sie beide Felder für die Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
Workload Identity Email	Optional. Die E-Mail-Adresse des Dienstkontos, die für die Workload Identity-Authentifizierung verwendet wird (empfohlen, wenn ein Dienstkonto erforderlich ist). Hat Vorrang, wenn beide Felder für die Anmeldedaten ausgefüllt sind. Lassen Sie beide Felder für die Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
Fallback Severity	Pflichtangabe. Der Standardschweregrad, der verwendet werden soll, wenn die Benachrichtigung von Google SecOps keinen Schweregradwert enthält. Folgende Werte sind möglich: Critical High Medium Low Info
Max Hours Backwards	Optional. Die Anzahl der Stunden vor der ersten Connector-Ausführung, aus denen Vorfälle abgerufen werden sollen. Dieser Parameter gilt nur einmal. Der Höchstwert beträgt 168 (eine Woche). Der Standardwert ist 1.
Max Alerts To Fetch	Optional. Die Anzahl der Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 100.
Disable Event Splitting	Optional. Wenn diese Option ausgewählt ist, werden die ursprünglichen Ereignisse nicht in mehrere Teile aufgeteilt. So wird sichergestellt, dass die Anzahl der Ereignisse in der Quelle und in Google SecOps übereinstimmt. Standardmäßig nicht aktiviert.
Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google SecOps-Server hergestellt wird. Standardmäßig aktiviert.
Proxy Server Address	Optional. Die Adresse des zu verwendenden Proxyservers.
Proxy Username	Optional. Der Proxy-Nutzername für die Authentifizierung.
Proxy Password	Optional. Das Proxy-Passwort für die Authentifizierung.
Disable Overflow	Optional. Wenn diese Option ausgewählt ist, ignoriert der Connector den Google SecOps-Überlaufmechanismus. Standardmäßig nicht aktiviert.
Validate Dynamic List Entries	Optional. Wenn diese Option aktiviert ist, prüft der Connector, ob die Einträge in der dynamischen Liste auf der Plattform vorhanden sind, bevor sie verarbeitet werden, um Fehler bei der Aufnahme zu vermeiden. Standardmäßig nicht aktiviert.

Connector-Regeln

Der Google Chronicle – Chronicle Alerts Connector unterstützt Proxys.

Connector-Ereignisse

Im folgenden Abschnitt wird die Struktur der vom Connector abgerufenen Ereignisse beschrieben. Dieser Connector ruft speziell Benachrichtigungen ab, die von Erkennungsregeln in Google SecOps generiert wurden.

Regelbasierte Benachrichtigungen

Dieser Ereignistyp wird generiert, wenn eine Erkennungsregel mit eingehenden Logdaten übereinstimmt. Die JSON-Ausgabe enthält die Regelmetadaten, die eindeutige Erkennungs-ID und die zugehörigen UDM-Ereignisdaten, die die Benachrichtigung ausgelöst haben.

 {
    "alert_type": "RULE",
    "event_type": "NETWORK_DHCP",
    "type": "RULE_DETECTION",
    "detection": [
        {
            "ruleName": "d3_test",
            "urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
            "ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
            "ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
            "alertState": "NOT_ALERTING",
            "ruleType": "SINGLE_EVENT",
            "ruleLabels": [
                {
                    "key": "author",
                    "value": "analyst123"
                },
                {
                    "key": "description",
                    "value": "8:00 AM local time"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ]
        }
    ],
    "createdTime": "2022-02-08T06:07:33.944951Z",
    "id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
    "timeWindow": {
        "startTime": "2022-02-08T05:02:36Z",
        "endTime": "2022-02-08T05:02:36Z"
    },
    "collectionElements": [
        {
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2022-02-08T05:02:36Z",
                            "eventType": "NETWORK_DHCP",
                            "productName": "Infoblox DHCP",
                            "ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
                        },
                        "principal": {
                            "ip": [
                                "198.51.100.255",
                                "198.51.100.1"
                            ],
                            "mac": [
                                "01:23:45:ab:cd:ef"
                            ],
                            "email_address": [
                                "[e-mail]"
                            ]
                        },
                        "target": {
                            "hostname": "dhcp_server",
                            "ip": [
                                "198.51.100.0",
                                "198.51.100.1"
                            ]
                        },
                        "network": {
                            "applicationProtocol": "DHCP",
                            "dhcp": {
                                "opcode": "BOOTREQUEST",
                                "ciaddr": "198.51.100.255",
                                "giaddr": "198.51.100.0",
                                "chaddr": "01:23:45:ab:cd:ef",
                                "type": "REQUEST",
                                "clientHostname": "example-user-pc",
                                "clientIdentifier": "AFm/LDfjAw=="
                            }
                        }
                    }
                }
            ],
            "label": "e"
        }
    ],
    "detectionTime": "2022-02-08T05:02:36Z"
}

Struktur der Benachrichtigung

In der folgenden Tabelle wird beschrieben, wie der Google Chronicle – Chronicle Alerts Connector die Attribute einer Benachrichtigung in Google SecOps ausfüllt.

Intern generierte Attribute

Diese Attribute werden vom Plattform-Framework generiert und nicht aus der Quellbenachrichtigung extrahiert:

Name des Benachrichtigungsattributs	Quelle
SourceSystemName	Intern vom Framework generiert.
TicketId	Aus der ID der Benachrichtigungserkennung (id).
DisplayId	Automatisch generiert.

Attribute für alle Benachrichtigungstypen

Diese Attribute werden aus der Quellbenachrichtigung abgeleitet.

Hinweis: Einige Benachrichtigungsattribute werden von diesem Connector nicht ausgefüllt, da die Chronicle API kein entsprechendes Feld für diese Daten in den Benachrichtigungsantworten bereitstellt.

Name des Benachrichtigungsattributs	Quelle
Priority	Wird aus der API-Antwort oder dem Parameter Fallback Severity übernommen.
DeviceVendor	Der hartcodierte Wert ist Google Chronicle.
DeviceProduct	Der hartcodierte Wert ist RULE.
Description	Aus detection/ruleLabels/description (falls vorhanden).
Reason	Nicht verfügbar.
SourceGroupingIdentifier	Nicht verfügbar.
Chronicle Alert - Attachments	Nicht verfügbar.

Eingestellt: Google Chronicle – Alerts Connector

Dieser Connector wird nicht mehr aktualisiert und der Code wird nicht mehr geändert.

Verwenden Sie stattdessen den Chronicle Alerts Connector.

Dieser Connector ruft Asset-Warnungen aus Google SecOps ab, um sie in Fälle aufzunehmen.

Für diesen Connector ist die SIEM Search API von Google SecOps erforderlich.

Connector-Eingaben

Für den Alerts Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds)	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
Service Account Credentials	Pflichtangabe. Der Inhalt der JSON-Datei des Dienstkontos.
Fetch Max Hours Backwards	Optional. Die Anzahl der Stunden vor der ersten Connector-Ausführung, ab der Vorfälle abgerufen werden sollen. Dieser Parameter gilt nur einmal. Der Höchstwert beträgt 168 (eine Woche). Der Standardwert ist 1.

Eingestellt: Google Chronicle – IoCs-Connector

Dieser Connector erhält keine Updates oder Codeänderungen mehr.

Verwenden Sie stattdessen den Chronicle Alerts Connector.

Dieser Connector ruft IOC-Domainübereinstimmungen aus Google SecOps ab, um sie in Fälle aufzunehmen.

Dieser Connector verwendet die Google SecOps Search API.

Connector-Eingaben

Für den Google Chronicle – IoCs-Connector sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Product Field Name	Pflichtangabe. Der Name des Felds, in dem der Produktname gespeichert ist. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst. Der Standardwert ist Product Name.
Environment Field Name	Optional. Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert. Der Standardwert ist "".
Environment Regex Pattern	Optional. Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds)	Pflichtangabe. Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180.
Service Account Credentials	Pflichtangabe. Der Inhalt der JSON-Datei des Dienstkontos.
Fetch Max Hours Backwards	Optional. Die Anzahl der Stunden vor der ersten Ausführung des Connectors, für die Benachrichtigungen abgerufen werden sollen. Dieser Parameter gilt nur einmal. Der Höchstwert beträgt 168 (eine Woche). Der Standardwert ist 1.
Max Alerts To Fetch	Optional. Die maximale Anzahl von Benachrichtigungen, die in jeder Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 100.

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

Voraussetzungen für die Jobkonfiguration

Wichtig: Wenn Sie die Integration aktualisieren, müssen Sie Google SecOps-Jobs neu erstellen, um deren Code zu aktualisieren.

Bevor Sie mit der Jobkonfiguration fortfahren, konfigurieren Sie den Chronicle Alerts Connector.

So konfigurieren Sie Google Chronicle-Jobs:

1. Gehen Sie in Google SecOps zu Antwort > Jobplaner.

2. Klicken Sie auf addNeuen Job erstellen.

3. Wählen Sie im angezeigten Dialogfeld Job hinzufügen den entsprechenden Google Chronicle-Job aus und klicken Sie auf Speichern.

4. Optional: Bearbeiten Sie bei Bedarf den Namen und die Beschreibung des Jobs.

5. Im Abschnitt Jobdetails:

   • Achten Sie darauf, dass im Feld Integration die Option GoogleChronicle ausgewählt ist.

   • Wenn der Job automatisch in bestimmten Intervallen ausgeführt werden soll, richten Sie ein Planerintervall ein. Die Konfiguration des Schedulers ist erforderlich, um die Jobkonfiguration abzuschließen.

     Da Google Chronicle-Jobs große Datenmengen in einem Durchlauf synchronisieren können, empfiehlt Google, das Planerintervall auf mindestens 2 Minuten festzulegen.

Google Chronicle – Datensynchronisierungsjob

Wichtig: Damit die Funktionalität vor der Einstellung der Legacy-API weiterhin gewährleistet ist, müssen Sie diesen Job explizit für die Verwendung der Chronicle API konfigurieren. Prüfen Sie, ob die hier angewendete Authentifizierungsmethode genau mit Ihrer Integrationskonfiguration übereinstimmt.

Dieser Job funktioniert mit Benachrichtigungen, die vom Chronicle Alerts Connector und dem Job Chronicle Alerts Creator erstellt wurden, aber nicht mit Benachrichtigungen von verworfenen Connectors (Alerts Connector und IOCs Connector).

Mit dem Job Google Chronicle Sync Data werden aktualisierte Fälle und Benachrichtigungen in Google SecOps synchronisiert, sodass Änderungen, die während der Fallverwaltung vorgenommen werden, sofort auf der gesamten Plattform übernommen werden.

Synchronisierung von Fall- und Benachrichtigungsdaten

Der Job Google Chronicle Sync Data verfolgt und synchronisiert die folgenden Felder für Fälle:

Beobachtetes Feld	Synchronisiertes Feld
Priority	Priority
Status	Status
Title	Title
Nicht zutreffend	Stage
Nicht zutreffend	Google SecOps Case ID

Die Google SecOps-Fall-ID ist eine eindeutige Fall-ID in Google SecOps.

Der Job Google Chronicle Sync Data verfolgt und synchronisiert die folgenden Felder für Benachrichtigungen:

Beobachtetes Feld	Synchronisiertes Feld
Priority	Priority
Status	Status
Case ID	Nicht zutreffend
Nicht zutreffend	Google SecOps Alert ID
Nicht zutreffend	Google SecOps Case ID
Nicht zutreffend	Verdict
Nicht zutreffend	Closure Comment
Nicht zutreffend	Closure Reason
Nicht zutreffend	Closure Root Cause
Nicht zutreffend	Usefulness

Die Google SecOps-Benachrichtigungs-ID ist eine eindeutige Benachrichtigungskennung in Google SecOps.

In einer Iteration synchronisiert der Job bis zu 1.000 Fälle und 1.000 Benachrichtigungen. Die Synchronisierung erfolgt in der Google SecOps-Umgebung, die in der Jobkonfiguration angegeben ist. Der Synchronisierungsmechanismus sorgt dafür, dass ein Fall aus der angegebenen Umgebung nicht mit einer anderen Umgebung synchronisiert werden kann.

Google Chronicle-Job „Daten synchronisieren“ konfigurieren

Mit diesem Job werden nur Fälle synchronisiert, die Benachrichtigungen enthalten, die von Google SecOps aufgenommen wurden.

Führen Sie die erforderlichen Schritte aus, bevor Sie diesen Job konfigurieren.

So konfigurieren Sie den Job Google Chronicle-Synchronisierungsdaten:

1. Konfigurieren Sie im Abschnitt Parameter die folgenden Parameter:

   Parameter	Beschreibung
   Environment	Pflichtangabe. Der Name der in Google SecOps erstellten Umgebung, mit der Fälle und Benachrichtigungen synchronisiert werden sollen.
   API Root	Pflichtangabe. Die API-Stamm-URL für Ihre Google SecOps-Instanz: Chronicle API: Enthält Ihre Projekt-ID, Region und Instanz-ID (z. B. https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Weitere Informationen finden Sie unter Chronicle API-Stammverzeichnis finden. Backstory API (Legacy): Der regionale Backstory-Endpunkt. Der Standardwert ist https://backstory.googleapis.com.
   User's Service Account	Optional. Der JSON-Schlüssel des Dienstkontos, der für die Authentifizierung verwendet wird. Wird nur verwendet, wenn Workload Identity Email leer ist. Lassen Sie beide Felder für die Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
   Workload Identity Email	Optional. Die E-Mail-Adresse des Dienstkontos, die für die Workload Identity-Authentifizierung verwendet wird (empfohlen, wenn ein Dienstkonto erforderlich ist). Hat Vorrang, wenn beide Felder für Anmeldedaten ausgefüllt sind. Lassen Sie beide Felder für die Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
   Max Hours Backwards	Optional. Die Anzahl der Stunden, für die Benachrichtigungen abgerufen werden sollen. Verwenden Sie nur positive Zahlen. Der Standardwert ist 24.
   Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google SecOps-Server hergestellt wird. Standardmäßig aktiviert.

   Der Job Google Chronicle Sync Data ist standardmäßig aktiviert. Wenn Sie den korrekt konfigurierten Job speichern, beginnt er sofort mit der Synchronisierung von Daten mit Google SecOps. Wenn Sie den Job deaktivieren möchten, stellen Sie den Schalter neben dem Jobnamen um.

2. Klicken Sie auf Speichern, um die Konfiguration abzuschließen.

   Wenn die Schaltfläche Speichern inaktiv ist, prüfen Sie, ob Sie alle erforderlichen Parameter festgelegt haben.

3. Optional: Wenn Sie den Job sofort nach dem Speichern ausführen möchten, klicken Sie auf Jetzt ausführen.

   Mit der Option Jetzt ausführen können Sie eine einzelne Jobausführung auslösen, um aktuelle Benachrichtigungs- und Falldaten sofort zu synchronisieren.

Logeinträge

In der folgenden Tabelle sind mögliche Logeinträge für den Job Google Chronicle Data Sync aufgeführt:

Logeintrag	Typ	Beschreibung
Unable to parse credentials as JSON. Please validate creds.	Fehler	Das im Parameter User's Service Account angegebene Dienstkonto ist beschädigt.
"Max Hours Backwards" parameter must be a positive number.	Fehler	Der Parameter Max Hours backwards ist auf 0 oder eine negative Zahl festgelegt.
Current platform version doesn't support SDK methods designed for Google SecOps. Please use version 6.1.33 or higher.	Fehler	Die aktuelle Version der Google SecOps-Plattforminstanz unterstützt die Ausführung des Chronicle Sync Data-Jobskripts nicht. Das bedeutet, dass die Build-Version der Instanz älter als 6.1.33 ist.
Unable to connect to Google SecOps, please validate your credentials: CREDENTIALS	Fehler	Die Werte für das Dienstkonto oder den API-Stamm konnten nicht mit der Google SecOps-Instanz abgeglichen werden. Dieser Fehler wird gemeldet, wenn der Konnektivitätstest fehlschlägt.
--- Start Processing Updated Cases ---	Info	Die Schleife zur Fallbearbeitung wurde gestartet.
Last success time. Date time:DATE_AND_TIME. Unix:UNIX_EPOCH_TIME	Info	Der Zeitstempel der letzten erfolgreichen Ausführung für Fälle oder Benachrichtigungen, angezeigt als Datum und Uhrzeit (DATE_AND_TIME) und als Unix-Epoch-Zeitstempel (UNIX_EPOCH_TIME).
Key: "DATABASE_KEY" doesn't exist in the database. Returning default value instead: DEFAULT_VALUE	Info	Der Datenbank-Schlüssel für den ausstehenden Fall oder die ausstehende Benachrichtigung ist nicht in der Datenbank vorhanden. Dieser Logeintrag wird immer bei der ersten Ausführung des Scripts angezeigt.
Failed to parse data as JSON. Returning default value instead: "DEFAULT_VALUE. ERROR: ERROR	Fehler	Der aus der Datenbank abgerufene Wert hat kein gültiges JSON-Format.
Exception was raised from the database. ERROR: ERROR.	Fehler	Es gibt ein Verbindungsproblem mit der Datenbank.
Successfully loaded CASE_IDS pending IDs. Successfully loaded ALERT_IDS pending alert IDs.	Info	Die IDs der ausstehenden Fälle oder Benachrichtigungen wurden erfolgreich aus dem Backlog abgerufen. CASE_IDS ist die Anzahl der angegebenen Anfrage-IDs.
Cases overload: case limit is 1000 NUMBER_OF_CASES cases will not be synced. Alerts overload: alert limit is 1000 NUMBER_OF_ALERTS alerts will not be synced.	Fehler	Die Anzahl der ausstehenden Fälle oder Benachrichtigungs-IDs, die aus der Datenbank abgerufen werden, ist größer als das Limit (1.000). Alle IDs, die das Limit überschreiten, werden ignoriert. Dieser Fehler kann auf eine mögliche Beschädigung der Datenbank hinweisen.
Found NUMBER_OF_UPDATED_CASES updated cases since last fetch time.	Info	Die aktualisierten Fall- oder Benachrichtigungs-IDs wurden von der Plattform abgerufen.
--- Start Updating Cases in Google SecOps ---- -- Start Processing Updated Alerts ---	Info	Die Aktualisierung von Fällen und Benachrichtigungen in der Google SecOps-Instanz hat begonnen.
Failed to update case CASE_ID. Reason: ERROR_REASON Failed to update alert ALERT_ID. Reason: ERROR_REASON	Fehler	Der angegebene Fall oder die angegebene Benachrichtigung kann nicht mit Google SecOps synchronisiert werden.
Max retries reached for case CASE_ID. Removing from backlog. Max retries reached for alert ALERT_GROUP_ID . Removing from backlog.	Info	Der angegebene ausstehende Fall oder die angegebene ausstehende Benachrichtigung hat das Limit für Synchronisierungsversuche (5) erreicht und wird nicht wieder in das Backlog eingefügt.
The following cases were not synced: CASE_IDS The following alerts were not synced: ALERT_IDS	Info	Die Liste der Fall- oder Benachrichtigungs-IDs, die nicht mit Google SecOps synchronisiert werden können.
Updated External Case IDs for the following cases: CASE_IDS	Info	Die Liste der Fälle, für die der Job die entsprechende externe Google SecOps-Fall-ID in der Google SecOps-Plattform aktualisiert hat.
Failed to update external ids.	Fehler	Aufgrund eines Verbindungs- oder Plattformfehlers konnten die externen Anfrage-IDs nicht aktualisiert werden.
Failed to update cases in Google SecOps. Failed to update alerts in Google SecOps.	Fehler	Ein Fehler hat die Aktualisierung von Fällen oder Benachrichtigungen vor dem Abschluss gestoppt. Weitere Informationen finden Sie im Stacktrace nach diesem Log.
--- Finished Updating Cases in Google SecOps --- --- Finished Updating Alerts in Google SecOps ---	Info	Die Phase der Fall- und Benachrichtigungsaktualisierung ist abgeschlossen.
The following failed case ids were put in the backlog: CASE_IDS The following failed alert ids were put in the backlog: ALERT_IDS	Fehler	Die Liste der fehlgeschlagenen Fall- oder Benachrichtigungs-IDs, die maximal fünfmal wiederholt wurden und in den Backlog zurückgeschrieben werden sollen.
--- Finished Processing Updated Cases --- --- Finished Processing Updated Alerts ---	Info	Die Phase der Verarbeitung von Fall und Benachrichtigung ist abgeschlossen.
Saving timestamps.	Info	Die Zeitstempel der letzten erfolgreichen Aktualisierung von Fällen und Benachrichtigungen werden in der Datenbank gespeichert.
Saving pending ids.	Info	Ausstehende Fall- und Benachrichtigungs-IDs werden in der Datenbank gespeichert.
Got exception on main handler. Error: ERROR_REASON	Fehler	Ein allgemeiner Beendigungsfehler ist aufgetreten. Der Stacktrace wird nach diesem Log mit dem spezifischen Fehler ausgegeben.

Google Chronicle Alerts Creator-Job

Wichtig: Damit die Funktionalität vor der Einstellung der Legacy-API weiterhin gewährleistet ist, müssen Sie diesen Job explizit für die Verwendung der Chronicle API konfigurieren. Prüfen Sie, ob die hier angewendete Authentifizierungsmethode genau mit Ihrer Integrationskonfiguration übereinstimmt.

Für den Job Google Chronicle Alerts Creator ist die Google SecOps-Plattformversion 6.2.30 oder höher erforderlich.

Mit diesem Job werden Benachrichtigungen, die von Drittanbieter-Connectors aufgenommen wurden (einschließlich Überlaufbenachrichtigungen), mit Google SecOps synchronisiert. Es werden keine Benachrichtigungen dupliziert, die bereits aus Google SecOps-Erkennungen stammen.

Beziehung zwischen den Google Chronicle-Jobs

Bei einer vollständigen Google SecOps-Bereitstellung werden die folgenden drei Komponenten gleichzeitig ausgeführt:

1. Chronicle Alerts Connector: Nimmt Erkennungswarnungen aus Google SecOps in Fälle auf.
2. Google Chronicle Alerts Creator-Job: Synchronisiert Benachrichtigungen, die von Drittanbieter-Connectors in Google SecOps aufgenommen wurden, und weist jeder Benachrichtigung eine eindeutige Google SecOps-Benachrichtigungs-ID zu.
3. Google Chronicle Sync Data-Job: Synchronisiert Fall- und Benachrichtigungsaktualisierungen (z. B. Prioritäts- oder Statusänderungen) in Google SecOps.

Google Chronicle Alerts Creator-Job konfigurieren

Führen Sie die erforderlichen Schritte aus, bevor Sie den Job konfigurieren.

So konfigurieren Sie den Job Google Chronicle Alerts Creator:

1. Konfigurieren Sie die Jobparameter aus der folgenden Tabelle:

   Parameter	Beschreibung
   Environment	Pflichtangabe. Der Name der in Google SecOps erstellten Umgebung, in der Sie Fälle und Benachrichtigungen synchronisieren möchten.
   API Root	Pflichtangabe. Die API-Stamm-URL für Ihre Google SecOps-Instanz: Chronicle API: Enthält Ihre Projekt-ID, Region und Instanz-ID (z. B. https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Weitere Informationen finden Sie unter Chronicle API-Stammverzeichnis finden. Backstory API (Legacy): Der regionale Backstory-Endpunkt. Der Standardwert ist https://backstory.googleapis.com.
   User's Service Account	Optional. Der JSON-Schlüssel des Dienstkontos, der für die Authentifizierung verwendet wird. Wird nur verwendet, wenn Workload Identity Email leer ist. Lassen Sie beide Felder für die Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
   Workload Identity Email	Optional. Die E-Mail-Adresse des Dienstkontos, die für die Workload Identity-Authentifizierung verwendet wird (empfohlen, wenn ein Dienstkonto erforderlich ist). Hat Vorrang, wenn beide Felder für Anmeldedaten ausgefüllt sind. Lassen Sie beide Felder für die Anmeldedaten leer, um integrierte Anmeldedaten zu verwenden, sofern diese unterstützt werden (siehe Authentifizierungsmethoden und Rangfolge der Anmeldedaten).
   Verify SSL	Pflichtangabe. Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google SecOps-Server hergestellt wird. Standardmäßig aktiviert.

2. Klicken Sie auf Speichern, um die Konfiguration abzuschließen.

   Wenn die Schaltfläche Speichern inaktiv ist, prüfen Sie, ob Sie alle erforderlichen Parameter festgelegt haben.

3. Optional: Wenn Sie den Job sofort nach dem Speichern ausführen möchten, klicken Sie auf Jetzt ausführen.

   Mit der Option Jetzt ausführen können Sie eine einzelne Jobausführung auslösen, um aktuelle Benachrichtigungs- und Falldaten sofort zu synchronisieren.

Logeinträge und Fehlerbehandlung

Log	Level	Beschreibung
Unable to parse credentials as JSON. Please validate creds.	FEHLER	Das im Parameter „User's Service Account“ angegebene Dienstkonto ist beschädigt.
Current platform version doesn't support SDK methods designed for Google Chronicle. Please use version 6.2.30 or later.	FEHLER	Die aktuelle Version der Google SecOps-Plattforminstanz unterstützt die Ausführung des Skripts für den Google Chronicle Alerts Creator-Job nicht. Dieser Fehler bedeutet, dass die Build-Version der Instanz älter als 6.2.30 ist.
Unable to connect to Google Chronicle, please validate your credentials: CREDENTIALS	FEHLER	Die Werte für das Dienstkonto oder den API-Stamm können nicht mit der Google SecOps-Instanz abgeglichen werden. Dieser Fehler wird gemeldet, wenn der Konnektivitätstest fehlschlägt.
--------------- JOB STARTED ---------------	INFO	Logeintrag, der angibt, dass der Job gestartet wurde.
----------------- Main - Started -----------------	INFO	Die Ausführung des Hauptjobs hat begonnen.
"Starting ITERATION_NUMBER/MAXIMUM_ITERATIONS_NUMBER fetch attempt"	INFO	Die Iterationsnummer für den aktuellen Abrufversuch.
"Fetching up to BATCH_SIZE new alerts from the SOAR"	INFO	Der Job ruft bis zu BATCH_SIZE neue Benachrichtigungen ab.
"NUMBER_OF_NEW_ALERTS SOAR alerts were fetched"	INFO	Die Anzahl der neuen Benachrichtigungen, die im aktuellen Batch abgerufen wurden.
"No new SOAR alerts were found. Stopping..."	INFO	Es wurden keine neuen nicht synchronisierten Benachrichtigungen gefunden, daher wird der Job beendet.
"Fetched the following SOAR alerts: ID_LIST"	INFO	Die Kennungen der im aktuellen Batch abgerufenen Benachrichtigungen.
"Dispatching SOAR alerts to SIEM"	INFO	Der Job sendet die abgerufenen Benachrichtigungen an Google SecOps.
"Failed to create alert ALERT_GROUP_ID in SIEM. Reason: ERROR_REASON"	FEHLER	Die angegebene Benachrichtigung konnte nicht mit Google SecOps synchronisiert werden.
"Updating SOAR with SIEM response"	INFO	Der Job aktualisiert den synchronisierten Benachrichtigungsstatus.
"SOAR has failed updating the status of alert ALERT_ID"	WARNUNG	Die Plattform konnte den Synchronisierungsstatus für die angegebene Benachrichtigung nicht aktualisieren.
"Total of NUMBER_OF_SYNCED_ALERTS alerts were synced in this run"	INFO	Die Gesamtzahl der während der aktuellen Jobausführung synchronisierten Benachrichtigungen.
"--------------- JOB FINISHED ---------------"	INFO	Die Jobausführung ist abgeschlossen.
"Got exception on main handler. Error: ERROR_REASON"	FEHLER	Der Job wurde aufgrund eines allgemeinen Fehlers beendet. Weitere Informationen finden Sie in der Fehlermeldung.

Anwendungsfälle

Mit der Google Chronicle-Integration können Sie die folgenden Anwendungsfälle ausführen:

• Chronicle Windows Threats Investigation and Response
• Security Command Center und Chronicle Cloud DIR

Anwendungsfall installieren

1. Rufen Sie im Google SecOps Content Hub den Tab Anwendungsfälle auf.

2. Geben Sie in ein Suchfeld den Namen des Anwendungsfalls ein.

3. Klicken Sie auf den Anwendungsfall.

4. Folgen Sie den Konfigurationsschritten und Anleitungen im Installationsassistenten.

Anschließend sind alle erforderlichen Komponenten auf Ihrem Google SecOps-Computer installiert. Konfigurieren Sie zum Abschließen der Installation den Block Initialisierung im Playbook, das Ihrem Anwendungsfall entspricht.

Chronicle Windows Threats Investigation & Response

Nutzen Sie die Leistungsfähigkeit von Google SecOps, um in Echtzeit auf Windows-Bedrohungen in Ihrer Umgebung zu reagieren. Mit Threat Intelligence für Google SecOps können Sicherheitsteams einen hochpräzisen Threat Intelligence-Dienst zusammen mit Google SecOps nutzen. Echte Bedrohungen in Ihrer Umgebung können jetzt automatisch in einem kurzen und effektiven Zeitraum priorisiert und behoben werden.

1. Gehen Sie in Google SecOps zu Antwort > Playbooks.

2. Wählen Sie das Playbook Google Chronicle – Windows Threats Investigation & Response aus. Das Playbook wird in der Playbook-Designer-Ansicht geöffnet.

3. Doppelklicken Sie auf Set Initialization Block_1. Das Dialogfeld für die Blockkonfiguration wird geöffnet.

4. Verwenden Sie die folgenden Parameter, um das Playbook zu konfigurieren:

   Eingabeparameter	Mögliche Werte	Beschreibung
   edr_product	CrowdStrike Carbon Black Keine	Das EDR-Produkt, das im Playbook verwendet werden soll.
   itsm_product	Service Now Jira Zendesk Keine	Das ITSM-Produkt, das im Playbook verwendet werden soll. Für Jira ist eine zusätzliche Konfiguration im Block „Ticket öffnen“ erforderlich.
   crowdstrike_use_spotlight	true oder false	Wenn True, führt das Playbook Crowdstrike-Aktionen aus, für die eine Spotlight-Lizenz erforderlich ist (Informationen zu Sicherheitslücken).
   use_mandiant	true oder false	Wenn True, führt das Playbook den Mandiant-Block aus.
   slack_user	Nutzername oder E-Mail-Adresse	Der Nutzername oder die E-Mail-Adresse des Slack-Nutzers. Wenn keine angegeben ist, überspringt das Playbook Slack-Blöcke.

5. Klicken Sie auf Speichern. Das Dialogfeld für die Blockkonfiguration wird geschlossen.

6. Klicken Sie im Bereich „Playbook-Designer“ auf Speichern.

Wenn Sie das Playbook im Anwendungsfall testen möchten, nehmen Sie den im Paket enthaltenen Testfall auf. Einige Testlauffunktionen können fehlschlagen, weil die für den Test verwendeten Daten in Ihrer Umgebung nicht verfügbar sind.

Security Command Center und Chronicle Cloud DIR

Integrieren Sie das Security Command Center in Google SecOps, damit Ihre Analysten Vorfälle und Bedrohungen untersuchen können, die vom Security Command Center erkannt werden.

Anwendungsfall konfigurieren

Für den Anwendungsfall müssen Sie die folgenden Integrationen konfigurieren:

• Siemplify
• Tools
• Mitre ATT&CK
• Google Cloud IAM
• Google Chronicle
• Funktionen
• Google Cloud Compute
• Email V2
• VirusTotal v3

Die Integrationen von Google Security Command Center und Mandiant sind optional.

Achten Sie darauf, dass Sie den Anwendungsfall installiert haben, bevor Sie ihn konfigurieren.

1. Rufen Sie in Google SecOps den Tab Playbooks auf.
2. Wählen Sie das Playbook SCC & Chronicle Cloud DIR aus.
3. Doppelklicken Sie auf den Initialisierungsblock, um ihn zu konfigurieren.
4. Konfigurieren Sie das Playbook mit den folgenden Parametern:

Parametername	Mögliche Werte	Beschreibung
Mandiant_Enrichment	true oder false	Wenn True, verwendet das Playbook Mandiant für zusätzliche Anreicherung. Für diese Einrichtung muss die Mandiant-Integration konfiguriert werden. Sie können die Anreicherung entfernen, wenn Sie selten aussagekräftige Informationen erhalten. Wenn Sie den Anreicherungsblock entfernen, wird die Ausführungsgeschwindigkeit des Playbooks verbessert.
SCC_Enrichment	true oder false	Wenn True, verwendet das Playbook Security Command Center-Funktionen für zusätzliche Anreicherung. Die Security Command Center-Integration muss für diese Einrichtung konfiguriert sein. Sie können die Anreicherung entfernen, wenn Sie selten aussagekräftige Informationen erhalten. Wenn Sie den Anreicherungsblock entfernen, wird die Ausführungsgeschwindigkeit des Playbooks verbessert.
IAM_Enrichment	true oder false	Wenn True, verwendet das Playbook die IAM-Funktionen für zusätzliche Anreicherung. Sie können die Anreicherung entfernen, wenn Sie selten aussagekräftige Informationen erhalten. Wenn Sie den Anreicherungsblock entfernen, wird die Ausführungsgeschwindigkeit des Playbooks verbessert.
Compute_Enrichment	true oder false	Wenn True, verwendet das Playbook Compute Engine-Funktionen für zusätzliche Anreicherung. Sie können die Anreicherung entfernen, wenn Sie selten aussagekräftige Informationen erhalten. Wenn Sie den Anreicherungsblock entfernen, wird die Ausführungsgeschwindigkeit des Playbooks verbessert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten