Integra Google Chronicle con Google SecOps
En este documento, se explica cómo integrar Google Chronicle con Google Security Operations.
Casos de uso
La integración de Google Chronicle usa las funciones de Google SecOps para admitir los siguientes casos de uso:
Investigación y corrección automatizadas del phishing: Consulta automáticamente los datos históricos de correos electrónicos, los registros de actividad de los usuarios y la inteligencia contra amenazas para evaluar la legitimidad de los correos electrónicos. La solución automatizada puede ayudarte con la clasificación y la contención, ya que evita la propagación de software malicioso o las violaciones de la seguridad de los datos.
Enriquecimiento de alertas de seguridad: Enriquece una alerta generada en un SIEM con contexto histórico, como el comportamiento anterior del usuario y la información de los recursos. Esto proporciona a los analistas una vista integral de un incidente, lo que permite tomar decisiones más rápidas y fundamentadas.
Búsqueda de amenazas basada en las estadísticas de Google SecOps: Automatiza el proceso de consultar otras herramientas de seguridad para obtener indicadores de compromiso (IoC) relacionados. Esto puede ayudarte a identificar de forma proactiva posibles incumplimientos antes de que se agraven.
Guías de respuesta automatizada ante incidentes: Activa guías predefinidas que usen datos de Google SecOps para aislar sistemas comprometidos, bloquear direcciones IP maliciosas y notificar a las partes interesadas pertinentes. Esto puede reducir el tiempo de respuesta ante incidentes y minimizar el impacto de los incidentes de seguridad.
Informes y auditorías de cumplimiento: Automatiza la recopilación de datos de seguridad de Google SecOps para generar informes de cumplimiento, agilizar el proceso de auditoría y reducir el esfuerzo manual.
Antes de comenzar
Antes de configurar la integración de Google Chronicle en Google SecOps, asegúrate de tener acceso a un proyecto de Google Cloud activo.
Migra la API de Backstory a la API de Chronicle
Algunas funciones y acciones nuevas de esta integración solo admiten la API de Chronicle, por lo que recomendamos que todos los usuarios migren su implementación para usar la API de Chronicle.
Para migrar de la API de Backstory heredada a la API de Chronicle, haz lo siguiente:
- Busca la raíz de la API de Chronicle y, luego, ingrésala en el parámetro
API Rooten la configuración de la integración, los conectores y los trabajos. - Verifica que tu método de autenticación sea compatible con tu tipo de proyecto de Google Cloud y se aplique de forma idéntica en la configuración de la integración, los conectores y los trabajos.
Encuentra la raíz de la API de Chronicle
Cuando accedas a la API de Chronicle, debes ubicar el API Root único de tu entorno para las configuraciones de integración, conector y trabajo.
Abre las herramientas para desarrolladores de tu navegador y ve a la plataforma de Google SecOps.
Selecciona Investigación > Tablas de datos.
En Herramientas para desarrolladores, ve a la pestaña Red y haz clic en un elemento de la columna Nombre, como
dataTables?pageSize=1000.En el panel de detalles, selecciona Encabezados y copia el valor de
Request URL, que se encuentra en General, sin incluir el extremo ni ningún parámetro de consulta (el nombre del elemento seleccionado).Por ejemplo, si el valor es
https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000, la raíz de la API excluye/dataTables?pageSize=1000y eshttps://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.
Métodos de autenticación y prioridad de las credenciales
La integración, los conectores y los trabajos de Google Chronicle evalúan las credenciales en el siguiente orden:
- Credenciales integradas: Se usan automáticamente cuando no proporcionas
Workload Identity EmailniUser's Service Account.- Cuándo usarla: Es ideal para los proyectos administrados por Google (predeterminado) aprovisionados a partir del cuarto trimestre de 2025 o cualquier proyecto administrado por Google que use la API de Backstory heredada. No requiere la creación de cuentas de servicio, la asignación de roles ni la administración de claves. Las credenciales integradas no son compatibles con las implementaciones de Usa tu propio proyecto (BYOP) que usan la API de Chronicle.
- Proyectos administrados por Google anteriores al cuarto trimestre de 2025: Si migras a la API de Chronicle, comunícate con el equipo de Atención al cliente de Google para habilitar las credenciales integradas de la API de Chronicle o configura una cuenta de servicio con Workload Identity o una clave JSON.
- Workload Identity
(
Workload Identity Email): Se usa cuando proporcionas un correo electrónico de cuenta de servicio. Tiene prioridad si se propaganWorkload Identity EmailyUser's Service Account.- Cuándo usarla: Se recomienda cuando se requiere una cuenta de servicio (como las implementaciones de Bring Your Own Project [BYOP] o los proyectos administrados por Google anteriores al cuarto trimestre de 2025 sin credenciales integradas de la API de Chronicle). Proporciona autenticación sin claves, sin descargar ni rotar claves JSON, y cumple con las políticas de la organización que restringen la creación de claves de cuentas de servicio.
- Clave JSON de la cuenta de servicio
(
User's Service Account): Se usa solo cuandoWorkload Identity Emailestá vacío y proporcionas una clave JSON de la cuenta de servicio.- Cuándo usarla: Úsala solo si se requiere una cuenta de servicio y no puedes configurar la identidad temporal de Workload Identity. Requiere descargar y administrar un archivo de claves JSON estático.
Autenticación con Workload Identity (recomendado)
Para autenticarte con Workload Identity, crea una cuenta de servicio, asigna el rol requerido y otorga permisos de identidad temporal a tu instancia de Google SecOps.
Crea una cuenta de servicio
En la consola de Google Cloud , ve a la página Credenciales.
En el menú Crear credenciales, selecciona Cuenta de servicio.
En Detalles de la cuenta de servicio, ingresa un nombre en el campo Nombre de la cuenta de servicio.
Opcional: Edita el ID de la cuenta de servicio.
Haz clic en Crear y continuar. Aparecerá una pantalla de Permisos.
Haz clic en Continuar. Aparecerá la pantalla Principales con acceso.
Haz clic en Listo.
API de Chronicle: Rol requerido para tu cuenta de servicio
Cuando usas la API de Chronicle, tu cuenta de servicio requiere el
rol Chronicle API Editor:
En la consola de Google Cloud , ve a la página Credenciales.
En Cuentas de servicio, selecciona tu cuenta de servicio y haz clic en Permisos > Administrar acceso.
Haz clic en addAgregar rol y selecciona el rol
Chronicle API Editor. Haz clic en Guardar.
Otorga permisos de uso de identidad a tu instancia de Google SecOps
Otorga permiso a tu instancia de Google SecOps para que use la identidad de tu cuenta de servicio:
En Google SecOps, ve a Centro de contenido > Integraciones de respuesta.
Selecciona la integración que estás configurando y, luego, ingresa el correo electrónico de tu cuenta de servicio en
Workload Identity Email.Haz clic en Guardar > Probar. Se espera que la prueba falle.
Haz clic en close_small a la derecha de Prueba y busca el mensaje de error para
gke-init-python@PROJECT.iam.gserviceaccount.comosoar-python@TENANT_PROJECT.iam.gserviceaccount.com. Copia este correo electrónico único (identifica tu instancia de Google SecOps).Ve a Cuentas de servicio, selecciona tu proyecto y, luego, tu cuenta de servicio.
Selecciona Principales con acceso > addOtorgar acceso.
En Agregar principales, pega el valor que copiaste.
Otorga el rol de Creador de tokens de cuenta de servicio.
En Agregar roles, selecciona el rol
Service Account Token Creator(roles/iam.serviceAccountTokenCreator) y, luego, haz clic en Guardar. La prueba puede tardar unos minutos en aprobarse.
Otorga el rol cuando se aplique el uso compartido restringido del dominio
Si tu organización aplica de forma forzosa el
uso compartido restringido del dominio,
el otorgamiento del rol Service Account Token Creator a la cuenta de servicio de tu instancia de Google SecOps
falla con un error
como
One or more users named in the policy do not belong to a permitted customer.
El otorgamiento falla porque la cuenta de servicio pertenece a un proyecto administrado por Google
fuera de tu organización.
Para permitir el otorgamiento, necesitas el rol de administrador de políticas de la organización
(roles/orgpolicy.policyAdmin) en la organización. Completa los pasos para
la restricción que aplica tu organización:
- Restringe los miembros de la política permitidos en las políticas de permisos de IAM
(
iam.managed.allowedPolicyMembers): Edita la política que aplica la restricción. En la sección Parámetros, agrega el correo electrónico de la cuenta de servicio que copiaste del mensaje de error de prueba, con el prefijoserviceAccount:(por ejemplo,serviceAccount:soar-python@TENANT_PROJECT.iam.gserviceaccount.com), a la listaallowedMemberSubjectsexistente. Luego, otorga el rol. - Política de la organización personalizada para
iam.googleapis.com/AllowPolicy: Actualiza la condición de restricción personalizada para permitir también el correo electrónico de la cuenta de servicio con la funciónMemberSubjectMatches. Luego, otorga el rol. - Uso compartido restringido al dominio (
iam.allowedPolicyMemberDomains): Esta restricción heredada no admite excepciones para principales individuales. Desactiva la restricción para el proyecto que contiene tu cuenta de servicio, otorga el rol y, luego, vuelve a activar la restricción. Volver a activar la restricción no quita el otorgamiento del rol. Para obtener más información, consulta Cómo forzar el acceso a la cuenta.
Para obtener más información, consulta Configura excepciones para el uso compartido restringido por dominio.
Autenticación con una clave JSON de cuenta de servicio
Para autenticarte con una clave JSON de cuenta de servicio (en lugar del método recomendado de Workload Identity), crea una cuenta de servicio dedicada y descarga su clave JSON:
En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio.
Selecciona Crear cuenta de servicio y sigue las instrucciones.
Selecciona la dirección de correo electrónico de la cuenta de servicio nueva y ve a Claves > Agregar clave > Crear clave nueva.
Selecciona
JSONcomo el tipo de clave y haz clic en Crear. Se descargará un archivo de claves JSON en tu computadora.Cuando uses la API de Chronicle, asigna el rol
Chronicle API Editora tu cuenta de servicio.
Parámetros de integración
La integración de Google Chronicle requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
UI Root |
Obligatorio. La URL base de la interfaz de Google SecOps. Se usa para generar vínculos directos a Google SecOps desde tus casos. El valor predeterminado es |
API Root |
Obligatorio. La URL raíz de la API para tu instancia de Google SecOps:
|
User's Service Account |
Es opcional. La clave JSON de la cuenta de servicio que se usa para la autenticación. Solo se usa si
Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y prioridad de las credenciales). |
Workload Identity Email |
Es opcional. Es el correo electrónico de la cuenta de servicio que se usa para la autenticación de Workload Identity (se recomienda cuando se requiere una cuenta de servicio). Tiene prioridad si se completan ambos campos de credenciales. Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y prioridad de credenciales). |
Verify SSL |
Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google SecOps. Habilitada de forma predeterminada. |
Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.
Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.
Acciones
Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.
Agregar entrada a la lista para ver
Usa la acción Agregar entrada a la lista de observación para agregar una entidad especificada a una lista de observación de análisis de riesgos existente en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Agregar entrada a la lista de observación requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Watchlist Name |
Obligatorio. Es el nombre de la lista de observación de Risk Analytics a la que se agregará la entrada. |
Entry |
Obligatorio. Es el objeto JSON que representa la entidad que se agregará a la lista de observación. La estructura JSON requiere el valor de la entidad, el tipo de entidad y un espacio de nombres opcional. El valor predeterminado es el siguiente:
[
{
"entity": "",
"type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID",
"namespace": "Optional"
}
]
|
Resultados de la acción
La acción Agregar entrada a la lista para ver proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Agregar entrada a la lista de observación:
[
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
},
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
}
]
Mensajes de salida
La acción Add Entry To Watchlist puede devolver los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Add Entry To Watchlist". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Agregar entrada a la lista de observación:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Agrega filas a la tabla de datos
Usa la acción Agregar filas a la tabla de datos para agregar filas a una tabla de datos en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
Para configurar la acción, usa los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Data Table Name |
Obligatorio. Es el nombre visible de la tabla de datos que se actualizará. |
Rows |
Obligatorio. Es una lista de objetos JSON que contienen información sobre las filas que se agregarán. Por ejemplo:
[
{
"columnName1": "value1",
"columnName2": "value2",
},
{
"columnName1": "value1",
"columnName2": "value2",
}
]
|
Resultados de la acción
La acción Agregar filas a la tabla de datos proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Estadística de entidades | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se muestra un resultado JSON de muestra que devuelve la acción Agrega filas a la tabla de datos:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
}
}
Mensajes de salida
La acción Agregar filas a la tabla de datos proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully added rows to the data table
DATA_TABLE_NAME in
Google SecOps. |
La acción se realizó correctamente. |
Error executing action "Add Rows to Data Table". Reason:
ERROR_REASON |
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Agregar filas a la tabla de datos:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Agrega valores a la lista de referencia
Usa la acción Agregar valores a la lista de referencia para agregar valores a una lista de referencia en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
Para configurar la acción, usa los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Reference List Name |
Obligatorio. Es el nombre de la lista de referencia que se actualizará. |
Values |
Obligatorio. Es una lista de valores separados por comas que se agregarán a la lista de referencia. |
Resultados de la acción
La acción Agregar valor a la lista de referencia proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Estadística de entidades | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Agregar valor a la lista de referencia con la API de Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Add Value To Reference List con la API de Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
Mensajes de salida
La acción Agregar valores a la lista de referencia proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully added values to the reference list
REFERENCE_LIST_NAME. |
La acción se realizó correctamente. |
Error executing action "Add Values To Reference List". Reason:
ERROR_REASON |
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Agregar valores a la lista de referencia:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Preguntarle a Gemini
Usa la acción Preguntarle a Gemini para enviar una instrucción de texto a Gemini en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Límites de procesamiento y tiempos de espera
Esta acción está sujeta a restricciones de procesamiento dentro de la
canalización de Google SecOps. Las acciones que superan estas restricciones
suelen generar un error 503 Service Unavailable.
Para garantizar una ejecución correcta, tus solicitudes deben cumplir con las siguientes especificaciones:
Tiempos de espera: El reconocimiento de intents tiene un tiempo de espera de 30 segundos. Las tareas de resumen grandes o las instrucciones complejas que superan este tiempo de procesamiento hacen que la acción falle.
Límite de generación de respuestas: La fase de generación se limita a un máximo de 28,000 tokens.
Entradas de acción
La acción Preguntarle a Gemini requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Automatic Opt-in |
Es opcional. Si se selecciona, la guía habilita automáticamente al usuario para la conversación de Gemini sin necesidad de una confirmación manual. Habilitada de forma predeterminada. |
Prompt |
Obligatorio. La instrucción de texto o pregunta inicial que se enviará a Gemini. |
Resultados de la acción
La acción Preguntarle a Gemini proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Estadística de entidades | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Preguntarle a Gemini:
{
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
"input": {
"body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
},
"responses": [
{
"blocks": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal's IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal's last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
}
}
],
"references": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
}
}
],
"groundings": [
"IP address 159.138.84.217 malicious cybersecurity",
"IP address 159.138.84.217 threat intelligence"
]
}
],
"createTime": "2025-05-16T11:31:36.660538Z"
}
}
Mensajes de salida
La acción Preguntarle a Gemini proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully executed a prompt in Google SecOps. |
La acción se realizó correctamente. |
Error executing action "GoogleChronicle - Ask Gemini".
Reason: ERROR_REASON |
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Preguntarle a Gemini:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Enrich Domain (obsoleto)
Usa la acción Enrich Domain para enriquecer dominios con información de los IoC en Google SecOps.
Esta acción se ejecuta en las siguientes entidades de Google SecOps:
URLHostname
Entradas de acción
La acción Enrich Domain requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Create Insight |
Si se selecciona, la acción creará una estadística que contendrá información sobre
las entidades. Habilitada de forma predeterminada. |
Only Suspicious Insight |
Si se selecciona, la acción solo creará una estadística para las entidades que estén
marcadas como sospechosas. No está habilitada de forma predeterminada. Si seleccionas este parámetro, también debes seleccionar
|
Lowest Suspicious Severity |
Obligatorio. Es la gravedad más baja asociada con el dominio necesaria para marcarlo como sospechoso. El valor predeterminado es
|
Mark Suspicious N/A Severity |
Obligatorio. Si se selecciona y la información sobre la gravedad no está disponible, la acción marca la entidad como sospechosa. |
Resultados de la acción
La acción Enrich Domain proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | Disponible |
| Estadística de entidades | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
La acción Enrich Domain proporciona la siguiente tabla:
Nombre: ENTITY_IDENTIFIER
Columnas:
- Fuente
- Gravedad
- Categoría
- Confianza
Enriquecimiento de entidades
La acción Enrich Domain admite la siguiente lógica de enriquecimiento de entidades:
| Campo de enriquecimiento | Lógica (cuándo aplicarla) |
|---|---|
severity |
Cuando está disponible en JSON |
average_confidence |
Cuando está disponible en JSON |
related_domains |
Cuando está disponible en JSON |
categories |
Cuando está disponible en JSON |
sources |
Cuando está disponible en JSON |
first_seen |
Cuando está disponible en JSON |
last_seen |
Cuando está disponible en JSON |
report_link |
Cuando está disponible en JSON |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Enrich Domain con la API de Backstory:
{
{
"sources": [
{
"source": "ET Intelligence Rep List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Enrich Domain con la API de Chronicle:
[
{
"Entity": "example.com",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
},
{
"category": "Phishing",
"firstActiveTime": null,
"lastActiveTime": "2020-11-27T14:31:37Z",
"addresses": [
{
"domain": "example.com"
},
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "high",
"confidenceScore": {
"strRawConfidenceScore": "high"
}
},
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
},
{
"metadata": {
"title": "ESET Threat Intelligence",
"description": "ESET Threat Intelligence"
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Phishing",
"activeTimerange": {
"end": "2020-11-27T14:31:37Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "High",
"rawSeverity": "High"
}
]
},
{
"metadata": {
"title": "Mandiant Active Breach Intelligence",
"description": "Mandiant Active Breach IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
}
]
}
}
]
Mensajes de salida
La acción Enrich Domain proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully enriched the following domain in Google Chronicle:
LIST_OF_IDS |
La acción se realizó correctamente. |
Error executing action "Enrich Domain". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Enrich Domain:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Enriquece entidades
Usa la acción Enrich Entities para consultar a Google SecOps y obtener contexto y atributos adicionales para los tipos de entidades especificados. Esta acción mejora los datos de investigación de amenazas integrando inteligencia externa.
Esta acción se ejecuta en las siguientes entidades de Google SecOps:
DomainFile HashHostnameIP AddressURL(extrae el dominio de la URL)UserEmail(entidad de usuario con regex de correo electrónico)
Entradas de acción
La acción Enrich Entities requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Namespace |
Es opcional. Es la agrupación lógica o el alcance de las entidades que se enriquecerán. Si no se selecciona, el enriquecimiento se aplica a las entidades del espacio de nombres predeterminado o a todos los espacios de nombres accesibles. Las entidades deben pertenecer a este espacio de nombres para que se procesen. |
Time Frame |
Es opcional. Un período relativo (por ejemplo, Este parámetro tiene prioridad sobre |
Start Time |
Es opcional. Es la hora de inicio del período de enriquecimiento en formato ISO 8601. Úsalo con |
End Time |
Es opcional. Es la hora de finalización absoluta del período de enriquecimiento en formato ISO 8601. Se usa con |
Resultados de la acción
La acción Enrich Entities proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | Disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
| Campo de enriquecimiento | Fuente (clave JSON) | Aplicabilidad |
|---|---|---|
GoogleSecOps_related_entities |
La cantidad de related_entities | Cuando está disponible en el resultado JSON. |
GoogleSecOps_alert_count_ruleName |
{alertCounts.count} para cada regla específica | Cuando está disponible en el resultado JSON. |
GoogleSecOps_first_seen |
metric.firstSeen |
Cuando está disponible en el resultado JSON. |
GoogleSecOps_last_seen |
metric.lastSeen |
Cuando está disponible en el resultado JSON. |
GoogleSecOps_flattened_key_under_entity |
Es el valor de la clave, aplanado de la estructura anidada en el objeto "entity". |
Cuando está disponible en el resultado JSON. |
Resultado de JSON
En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Enrich Entities:
[
{
"Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"domain": {
"name": "markossolomon.com",
"firstSeenTime": "1970-01-01T00:00:00Z",
"lastSeenTime": "1970-01-01T00:00:00Z",
"registrar": "NameCheap, Inc.",
"creationTime": "2013-12-06T02:41:09Z",
"updateTime": "2019-11-06T11:48:33Z",
"expirationTime": "2020-12-06T02:41:09Z",
"registrant": {
"userDisplayName": "WhoisGuard Protected",
"emailAddresses": [
"58d09cb5035042e9920408f8bafd0869.protect@whoisguard.com"
],
"personalAddress": { "countryOrRegion": "PANAMA" },
"companyName": "WhoisGuard, Inc."
}
}
}
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "npatni-sysops",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "npatni-sysops" }
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "329" },
{ "rule": "rule_testbucket", "count": "339" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "332" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 1000 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "exlab2019-ad",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "exlab2019-ad" }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.30.202.229",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "ip": ["172.30.202.229"] }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.17.0.1",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
}
},
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "911d039e71583a07320b32bde22f8e22",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"file": {
"sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
"md5": "911d039e71583a07320b32bde22f8e22",
"sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
"size": "278528",
"fileType": "FILE_TYPE_PE_EXE",
"names": [
"C:\\Windows\\System32\\cmd.exe",
"cmd",
"Cmd.Exe",
"C:\\Windows\\system32\\cmd.exe",
"C:\\Windows\\SYSTEM32\\cmd.exe",
"cmd.exe",
"C:\\\\Windows\\\\System32\\\\cmd.exe",
"C:\\windows\\SYSTEM32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
"c:\\Windows\\System32\\cmd.exe",
"Utilman.exe",
"c:\\windows\\system32\\cmd.exe",
"System32/cmd.exe",
"UtilityVM/Files/Windows/System32/cmd.exe",
"KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
"cmd.exe_",
"C:\\WINDOWS\\SYSTEM32\\cmd.exe",
"Cmd.exe",
"Windows/System32/cmd.exe",
"sethc.exe",
"C:\\WINDOWS\\System32\\cmd.exe",
"esRzqurX.exe",
"rofl.png",
"F:\\Windows\\SYSTEM32\\cmd.exe",
"utilman.exe",
"C:\\Windows\\system32\\CMD.exe",
"sys32exe/cmd.exe",
"cmd.txt",
"C:\\WINDOWS\\system32\\cmd.exe",
"cmd2.exe",
"Utilman.exe.sc",
"uhrHRIv8.exe",
"C:\\windows\\system32\\cmd.exe",
"submitted_file",
"C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
"J6ff7z0hLYo.exe",
"N:\\Windows\\System32\\cmd.exe",
"Q:\\Windows\\System32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
"C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
"test.exe",
"68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
"8FCVE0Kq.exe",
"cmd (7).exe",
"cmd (8).exe",
"21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
"LinX v0.9.11 (Intel)/cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
"cmd_b.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
"cMd.exe",
"Repl_Check.bat__",
"cmd.pdf",
"cmd.EXE",
"C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
"LFepc1St.exe",
"firefox.exe",
"3BcnNlWV.exe",
"Utilman.exebak",
"utilman1.exe",
"1.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
"cmd_1771019736291028992.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
"Sethc.exe",
"\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
"DANFE352023067616112.exe",
"file.exe",
"DANFE352023067616112/DANFE352023067616112.exe",
"C:\\Windows\\SYSTEM32\\Cmd.exe",
"pippo.exe",
"C:\\Windows\\System32\\sethc.exe",
"cmd.exe-bws024-windowsfolder",
"whatever.exe",
"sethc.exe.bak",
"S71dbOR1.exe",
"F:\\windows\\SYSTEM32\\cmd.exe",
"L6puhWL7.exe",
"DANFE357986551413927.exe",
"DANFE357666506667634.exe",
"\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
"\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
"\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
"\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
"\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
"\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
"winlogon.exe",
"AccessibilityEscalation.A' in file 'utilman.exe'",
"qpl9AqT0.exe",
"C:\\windows\\system32\\CMD.exe",
"C:\\po8az\\2po9hmc\\4v1b5.exe",
"batya.exe",
"nqAwJaba.exe",
"\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
"/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
"/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
"\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
"/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
"DANFE352429512050669.exe",
"/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
],
"firstSeenTime": "2024-12-15T09:07:02Z",
"lastSeenTime": "2025-07-18T07:43:59.045Z",
"lastAnalysisTime": "2025-07-16T10:06:40Z",
"signatureInfo": {
"sigcheck": {
"verificationMessage": "Signed",
"verified": true,
"signers": [{ "name": "Microsoft Windows" }]
}
},
"firstSubmissionTime": "2025-07-15T16:30:27Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "329" },
{ "rule": "rule_testbucket", "count": "345" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "326" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{ "alertCount": 31 },
{ "alertCount": 111 },
{ "alertCount": 109 },
{ "alertCount": 82 },
{ "alertCount": 86 },
{ "alertCount": 98 },
{ "alertCount": 86 },
{ "alertCount": 85 },
{ "alertCount": 92 },
{ "alertCount": 89 },
{ "alertCount": 90 },
{ "alertCount": 41 }
],
"bucketSize": "172800s"
},
"prevalenceResult": [
{ "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
],
"relatedEntities": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"hostname": "exlab2019-ad",
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"ip": ["172.30.202.229"],
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
}
]
}
},
{
"Entity": "tencent.com",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"domain": {
"name": "tencent.com",
"firstSeenTime": "2025-01-14T14:01:00Z",
"lastSeenTime": "2025-01-14T15:02:00Z",
"registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
"creationTime": "1998-09-14T04:00:00Z",
"updateTime": "2024-08-20T08:04:01Z",
"expirationTime": "2032-09-13T04:00:00Z",
"registrant": {
"emailAddresses": [""],
"personalAddress": { "countryOrRegion": "CHINA" },
"companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
}
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "00:50:56:b6:34:86",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "mac": ["00:50:56:b6:34:86"] }
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
}
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
}
]
Mensajes de salida
La acción Enrich Entities puede devolver los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Enrich Entities". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Enrich Entities:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Enriquecimiento de IP (dejó de estar disponible)
Usa la acción Enriquecer IP para enriquecer las entidades de IP con información de los IoC en Google SecOps.
Esta acción se ejecuta en la entidad "Dirección IP".
Entradas de acción
La acción Enrich IP requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Create Insight |
Es opcional. Si se selecciona, la acción crea una estadística que contiene información sobre las entidades.Habilitada de forma predeterminada. |
Only Suspicious Insight |
Es opcional. Si se selecciona, la acción crea estadísticas solo para las entidades que se marcan como sospechosas.No está habilitada de forma predeterminada. Si seleccionas este parámetro, también se debe seleccionar |
Lowest Suspicious Severity |
Obligatorio. Es la gravedad más baja asociada con la dirección IP para marcarla como sospechosa. El valor predeterminado es
|
Mark Suspicious N/A Severity |
Obligatorio. Si se selecciona y la información sobre la gravedad no está disponible, la acción marca la entidad como sospechosa. |
Resultados de la acción
La acción Enrich IP proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | Disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
Nombre: ENTITY_IDENTIFIER
Columnas:
- Fuente
- Gravedad
- Categoría
- Confianza
- Dominios relacionados
Enriquecimiento de entidades
La acción Enrich IP admite la siguiente lógica de enriquecimiento de entidades:
| Campo de enriquecimiento | Lógica (cuándo aplicarla) |
|---|---|
severity |
Cuando está disponible en JSON |
average_confidence |
Cuando está disponible en JSON |
related_domains |
Cuando está disponible en JSON |
categories |
Cuando está disponible en JSON |
sources |
Cuando está disponible en JSON |
first_seen |
Cuando está disponible en JSON |
last_seen |
Cuando está disponible en JSON |
report_link |
Cuando está disponible en JSON |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado de JSON que se recibe cuando se usa la acción Enrich IP con la API de Backstory:
{
{
"sources": [
{
"source": "Example List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Enrich IP con la API de Chronicle:
[
{
"Entity": "192.0.2.121",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "low",
"confidenceScore": {
"strRawConfidenceScore": "67"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "67",
"rawSeverity": "Low"
}
]
}
]
}
}
]
Mensajes de salida
La acción Enrich IP proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully enriched the following IPs from Google Chronicle:
LIST_OF_IPS |
La acción se realizó correctamente. |
Error executing action "Enrich IP". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Enriquecer IP:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Ejecuta Retrohunt
Usa la acción Ejecutar Retrohunt para ejecutar una búsqueda retroactiva de reglas en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Ejecutar Retrohunt requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Rule ID |
Obligatorio. Es el ID de la regla para la que se ejecutará una RetroHunt. Usa el formato |
Time Frame |
Es opcional. Es el período para el que se recuperarán los resultados. Los valores posibles son los siguientes:
Si se selecciona El valor predeterminado es |
Start Time |
Es la hora de inicio de los resultados en formato ISO 8601. Este parámetro es obligatorio si el parámetro |
End Time |
Es la hora de finalización de los resultados en formato ISO 8601.
Si no estableces un valor y seleccionas el valor |
Resultados de la acción
La acción Ejecutar Retrohunt proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Estadística de entidades | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado de JSON que se recibe cuando se usa la acción Ejecutar Retrohunt con la API de Backstory:
{
"retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
"ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
"versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
"eventStartTime": "2021-01-14T23:00:00Z",
"eventEndTime": "2021-01-30T23:00:00Z",
"retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
"state": "RUNNING"
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Ejecutar Retrohunt con la API de Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
"metadata": {
"@type": "type.googleapis.com/RetrohuntMetadata",
"retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
"executionInterval": {
"startTime": "2025-01-22T12:16:20.963182Z",
"endTime": "2025-01-23T12:16:20.963182Z"
}
},
"retrohuntId": "RETROHUNT_ID",
"ruleId": "RULE_ID",
"versionId": "VERSION_ID",
"eventStartTime": "2025-01-22T12:16:20.963182Z",
"eventEndTime": "2025-01-23T12:16:20.963182Z"
}
Mensajes de salida
La acción Ejecutar Retrohunt proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully executed a retrohunt for the provided rule in Google
Chronicle.
|
La acción se realizó correctamente. |
Error executing action "Execute Retrohunt". Reason:
ERROR_REASON |
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ejecutar Retrohunt:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Ejecutar consulta de UDM
Usa la acción Ejecutar consulta de UDM para ejecutar una consulta de UDM personalizada en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Ejecutar consulta de UDM requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Query |
Obligatorio. Es la consulta que se ejecutará en Google SecOps. |
Include Raw Log Data |
Es opcional. Si se selecciona, la acción recupera el archivo de registro sin procesar original asociado con los resultados de la búsqueda de UDM. Esta opción solo está disponible cuando se usa la autenticación de la API de Chronicle. Está inhabilitado de forma predeterminada. |
Time Frame |
Es opcional. Es el período para el que se recuperarán los resultados. Los valores posibles son los siguientes:
Si se selecciona El valor predeterminado es |
Start Time |
Es opcional. Es la hora de inicio de los resultados en formato ISO 8601 (por ejemplo,
Este parámetro es obligatorio si el parámetro El intervalo máximo es de 90 días. |
End Time |
Es opcional. Es la hora de finalización de los resultados en formato ISO 8601 (por ejemplo,
Si no estableces un valor y
el parámetro El intervalo máximo es de 90 días. |
Max Results To Return |
Es opcional. Es la cantidad de resultados que se mostrarán para una sola consulta. El valor máximo es El valor predeterminado es |
Resultados de la acción
La acción Ejecutar consulta de UDM proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Ejecutar consulta de UDM:
{
"events": [
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:43:47.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"I did not create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:38:44.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"Did you create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"avg_seconds": {
"values": [
{
"doubleVal": 1755680893.3333333
}
]
},
"event_type_array": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
},
"target.file.vhash": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
}
}
]
}
Mensajes de salida
La acción Ejecutar consulta de UDM proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Execute UDM Query". Reason:
ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Execute UDM Query". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
No se pudo realizar la acción. Espera varios minutos antes de volver a ejecutar la acción. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ejecutar consulta de UDM:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Ejecuta la consulta de UDM de forma asíncrona
Usa la acción Ejecutar consulta de UDM de forma asíncrona para ejecutar una consulta de UDM personalizada en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Ejecutar consulta de UDM requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Query |
Obligatorio. Es la consulta que se ejecutará en Google SecOps. |
Time Frame |
Es opcional. Es el período para el que se recuperarán los resultados. Los valores posibles son los siguientes:
Si se selecciona Si se selecciona Si se selecciona El valor predeterminado es |
Start Time |
Es opcional. Es la hora de inicio de los resultados en formato ISO 8601
( Este parámetro es obligatorio si |
End Time |
Es opcional. Es la hora de finalización de los resultados en formato ISO 8601 ( Si no estableces un valor y |
Max Results To Return |
Es opcional. Es la cantidad de resultados que se mostrarán para una sola consulta. El valor máximo es El valor predeterminado es |
Resultados de la acción
La acción Ejecutar consulta de UDM de forma asíncrona proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Ejecutar consulta de UDM de forma asíncrona:
{
"events": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-01-20T09:15:15.687Z",
"eventType": "USER_LOGIN",
"vendorName": "Microsoft",
"productName": "Active Directory",
"ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
},
"principal": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
],
"location": {
"city": "Metropolis",
"state": "New York",
"countryOrRegion": "US"
},
"asset": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50",
"192.168.1.50",
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
]
}
},
"target": {
"user": {
"userid": "user_alpha",
"userDisplayName": "User Alpha",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
"emailAddresses": [
"alpha@example.com",
"admin.alpha@example.com"
],
"employeeId": "1234567",
"productObjectId": "11111111-2222-3333-4444-555555555555",
"firstName": "User",
"lastName": "Alpha",
"phoneNumbers": [
"555-0199-0000"
],
"title": "Executive Assistant",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
],
"managers": [
{
"userDisplayName": "Manager Beta",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
"emailAddresses": [
"beta@example.com"
],
"employeeId": "7654321",
"productObjectId": "66666666-7777-8888-9999-000000000000",
"firstName": "Manager",
"lastName": "Beta",
"phoneNumbers": [
"555-0199-0001 ext 123"
],
"title": "Chief Technology Officer",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
]
}
]
},
"ip": [
"203.0.113.10"
],
"email": "alpha@example.com",
"application": "Windows Sign In"
},
"securityResult": [
{
"summary": "Successful Login",
"action": [
"ALLOW"
]
}
],
"rawLogData": {
"agent_id": "00000000000000000000000000000001",
"aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
"data_domains": [
"Endpoint"
],
"description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
"device": {
"agent_load_flags": "0",
"agent_local_time": "2025-08-07T01:42:54.415Z",
"agent_version": "7.27.18003.0",
"bios_manufacturer": "Generic Manufacturer LTD"
},
"template_instance_id": "10001",
"timestamp": "2025-08-19T15:08:13.742Z",
"user_name": "root"
},
"extensions": {
"auth": {
"type": "SSO"
}
}
},
"eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
}
]
}
Mensajes de salida
La acción Ejecutar consulta de UDM de forma asíncrona proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Execute UDM Query Async". Reason:
ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Execute UDM Query Async ". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
No se pudo realizar la acción. Espera varios minutos antes de volver a ejecutar la acción. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ejecutar consulta de UDM de forma asíncrona:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Generar consulta de UDM
(Versión preliminar) Usa la acción Generar consulta de UDM para crear consultas de UDM complejas con instrucciones en lenguaje natural en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Generar consulta de UDM requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Prompt |
Obligatorio. Es la instrucción que usa el sistema para generar la consulta de UDM estructurada. |
Resultados de la acción
La acción Generar consulta de UDM proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Generar consulta de UDM:
{
"query": "ip = \"10.0.0.1\""
}
Mensajes de salida
La acción Generar consulta de UDM proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully generated a UDM query in Google SecOps. |
La acción se realizó correctamente. |
Error executing action "Generate UDM Query". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Generar consulta de UDM:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Obtener tablas de datos
Usa la acción Obtener tablas de datos para recuperar las tablas de datos disponibles en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Almacenamiento en caché de tablas de datos
Puedes habilitar el almacenamiento en caché para reducir las solicitudes repetidas a Google SecOps y acelerar las ejecuciones de las guías:
Cómo funciona el almacenamiento en caché: Cuando se selecciona
Use Cache, la acción almacena las tablas de datos recuperadas en una caché compartida para tu entorno de Google SecOps. Las ejecuciones posteriores en las guías y las acciones de la tabla de datos compatibles en el mismo entorno reutilizan los datos almacenados en caché hasta que vencen.Almacenamiento en caché de la tabla completa: La acción siempre almacena en caché todas las filas de cada tabla coincidente (incluso si
Expanded Rowsestá inhabilitado oMax Data Table Rows To Returnse establece en un límite menor) para que Is Value In Data Table y Is Value In Data Table Async puedan reutilizar la caché.Primeras ejecuciones sin filtrar: Todas las filas de cada tabla coincidente se almacenan en caché, por lo que ejecutar la acción sin un
Filter Valuepuede tardar más cuando la caché está vacía o vencida.Impacto de
Cache TTL: Controla cuánto tiempo permanecen válidos los datos almacenados en caché antes de que la acción recupere datos nuevos de Google SecOps:- TTL más largo: Reduce las solicitudes a la API y acelera las guías, pero las actualizaciones de la tabla de datos no se reflejan hasta que vence la caché.
- TTL más corto: Mantiene los resultados más actualizados para las tablas que cambian con frecuencia, pero aumenta las solicitudes a Google SecOps.
Entradas de acción
La acción Obtener tablas de datos requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Filter Key |
Es opcional. Es la clave por la que se filtrará. La opción Los valores posibles son los siguientes: NameDescription |
Filter Logic |
Es opcional. Es la lógica de filtro que se aplicará. Los valores posibles son los siguientes: Equal (para concordancias exactas)Contains(para coincidencias de subcadenas) |
Filter Value |
Es opcional. Es el valor que se usará en el filtro. Los valores posibles son los siguientes: Equal (para concordancias exactas)Contains(para coincidencias de subcadenas)
Si no se proporciona nada, no se aplicará el filtro. |
Expanded Rows |
Es opcional. Si se selecciona, la respuesta incluye filas de tablas de datos detalladas. |
Max Data Tables To Return |
Obligatorio. Es la cantidad de tablas de datos que se devolverán. El valor máximo es |
Max Data Table Rows To Return |
Obligatorio. Es la cantidad de filas de la tabla de datos que se devolverán. Solo usa este parámetro si El valor máximo es |
Use Cache |
Es opcional. Si se selecciona, la acción usa los resultados de la tabla de datos almacenados en caché cuando están disponibles, en lugar de consultar a Google SecOps en cada ejecución. Para obtener más detalles, consulta Almacenamiento en caché de tablas de datos. |
Cache TTL |
Es opcional. Es el tiempo de actividad de la caché en minutos antes de que la acción recupere datos nuevos de Google SecOps. Para obtener más detalles, consulta Almacenamiento en caché de tablas de datos. El valor mínimo es El valor predeterminado es |
Resultados de la acción
La acción Obtener tablas de datos proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado en JSON que se recibe cuando se usa la acción Obtener tablas de datos:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
"displayName": "data_table",
"createTime": "2025-05-14T12:52:50.064133Z",
"updateTime": "2025-05-14T13:13:48.631442Z",
"columnInfo": [
{
"originalColumn": "columnName1",
"columnType": "STRING"
},
{
"columnIndex": 1,
"originalColumn": "columnName2",
"columnType": "STRING"
},
{
"columnIndex": 2,
"originalColumn": "columnName3",
"columnType": "STRING"
}
],
"dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
"approximateRowCount": "2",
"Used cache": true,
"rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
Mensajes de salida
La acción Obtener tablas de datos proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully found data tables for the provided criteria in Google
SecOps |
La acción se realizó correctamente. |
Error executing action "Get Data Tables". Reason:
ERROR_REASON |
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Obtener tablas de datos:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Obtén detalles de la detección
Usa la acción Obtener detalles de la detección para recuperar información sobre una detección en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Obtener detalles de la detección requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Rule ID |
Obligatorio. Es el ID de la regla relacionada con la detección. Usa el formato |
Detection ID |
Obligatorio. Es el ID de la detección de la que se recuperarán los detalles. Si se proporcionan caracteres especiales, la acción no falla, pero devuelve una lista de detecciones. |
Include Raw Log Data |
Es opcional. Si se selecciona, la acción recupera el archivo de registro sin procesar original asociado con los resultados de la búsqueda de UDM. Esta opción solo está disponible cuando se usa la autenticación de la API de Chronicle. Está inhabilitado de forma predeterminada. |
Resultados de la acción
La acción Get Detection Details proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Obtener detalles de la detección:
{
"collectionElements": [
{
"label": "e",
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2023-10-04T21:18:44Z",
"eventType": "NETWORK_CONNECTION",
"id": "yyyx=",
"ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
"logType": "UDM",
"productEventType": "Traffic - start",
"productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
"productName": "NGFW",
"vendorName": "Palo Alto Networks"
},
"network": {
"ipProtocol": "TCP",
"receivedBytes": "yyyyyyyyyxx",
"sentBytes": "yyyyyyyyyxx",
"sessionId": "yyyyyyyyyxx"
},
"principal": {
"asset": {
"hostname": "test3",
"ip": [
"00.0.0.00"
],
"mac": [
"00:00:00:0b:c9:11"
]
},
"hostname": "test3",
"ip": [
"x.x.0.x"
],
"mac": [
"00:00:00:0b:c9:11"
],
"port": 18985
},
"rawLogData": {
"action": "yyyyyy",
"decodedString": "yyyyyy",
"external_id": "yyyyyy",
"matching_status": "yyyyyy",
"severity": "yyyyyy",
"source": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
],
"target": {
"asset": {
"hostname": "youtube.com"
},
"hostname": "youtube.com",
"port": 4548
}
}
}
]
}
],
"createdTime": "2023-10-04T22:16:22.145254Z",
"detection": [
{
"alertState": "ALERTING",
"riskScore": 40,
"ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
"ruleLabels": [
{
"key": "priority",
"value": "Medium"
},
{
"key": "severity",
"value": "Medium"
}
],
"ruleName": "dns_not_google",
"ruleType": "SINGLE_EVENT",
"ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
"urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
}
],
"detectionTime": "2023-10-04T21:18:44Z",
"id": "yyyx-e380-yyyx-yyyx-yyyx",
"timeWindow": {
"endTime": "2023-10-04T21:18:44Z",
"startTime": "2023-10-04T21:18:44Z"
},
"type": "RULE_DETECTION"
}
Mensajes de salida
La acción Obtener detalles de la detección proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully fetched information about the detection with ID
DETECTION_ID in Google Chronicle. |
La acción se realizó correctamente. |
Error executing action "Get Detection Details". Reason:
ERROR_REASON |
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Obtener detalles de la detección:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Obtener listas de referencia
Usa la acción Obtener listas de referencia para recuperar las listas de referencia disponibles en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Get Reference Lists requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Filter Key |
Es la clave por la que se filtrará.
Los valores posibles son los siguientes:
|
Filter Logic |
Es la lógica de filtro que se aplicará. Los valores posibles son los siguientes: Equal (para concordancias exactas)Contains(para coincidencias de subcadenas)El valor predeterminado es |
Filter Value |
Es el valor que se usará en el filtro.
Los valores posibles son los siguientes: Equal (para concordancias exactas)Contains(para coincidencias de subcadenas)
Si no se proporciona ningún valor, no se aplica el filtro. |
Expanded Details |
Si se selecciona, la acción devuelve información detallada sobre las listas de referencia.
No está habilitada de forma predeterminada. |
Max Reference Lists To Return |
Es la cantidad de listas de referencia que se devolverán.
El valor predeterminado es |
Resultados de la acción
La acción Obtener lista de referencias proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
En un muro de casos, la opción Obtener listas de referencia proporciona la siguiente tabla:
Nombre: Available Reference Lists
Columnas:
- Nombre
- Descripción
- Tipo
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Obtener listas de referencia con la API de Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Obtener listas de referencia con la API de Chronicle:
[
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
"displayName": "REFERENCE_LIST_ID",
"revisionCreateTime": "2025-01-09T15:53:10.851775Z",
"description": "Test reference list",
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-09T15:53:10.851775Z"
}
]
Mensajes de salida
La acción Get Reference Lists proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action
ACTION_NAME. Reason:
ERROR_REASON
|
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action
ACTION_NAME. Reason: "Invalid
value was provided for "Max Reference Lists to Return":
PROVIIDED_VALUE. Positive number should be provided. |
No se pudo realizar la acción.
Verifica el valor del parámetro |
Secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Obtener listas de referencia:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Obtén detalles de la regla
Usa la acción Obtener detalles de la regla para recuperar información sobre una regla en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Obtener detalles de la regla requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Rule ID |
Obligatorio. Es el ID único de la regla de la que se recuperarán los detalles. El valor predeterminado es |
Resultados de la acción
La acción Obtener detalles de la regla proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Obtener detalles de la regla con la API de Backstory:
{
"ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
"versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
"ruleName": "SampleRule",
"metadata": {
"description": "Sample Description of the Rule",
"author": "author@example.com"
},
"ruleText": "rule SampleRule {
meta:
description = \"Sample Description of the Rule\"
author = \"author@example.com\"
events:
// This will just generate lots of detections
$event.metadata.event_type = \"NETWORK_HTTP\"
condition:
$event
} ",
"liveRuleEnabled": true,
"versionCreateTime": "2020-10-13T23:18:13.146879Z",
"compilationState": "SUCCEEDED"
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Obtener detalles de la regla con la API de Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
"revisionId": "v_1733917896_973567000",
"displayName": "Test_rule_SingleEvent",
"text": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"author": "example_user",
"metadata": {
"author": "example_user",
"description": "windowed single event example rule",
"severity": null
},
"createTime": "2024-12-11T11:36:18.192127Z",
"revisionCreateTime": "2024-12-11T11:51:36.973567Z",
"compilationState": "SUCCEEDED",
"type": "SINGLE_EVENT",
"allowedRunFrequencies": [
"LIVE",
"HOURLY",
"DAILY"
],
"etag": "CMj55boGEJjondAD",
"ruleId": "RULE_ID",
"versionId": "RULE_ID@v_1733917896_973567000",
"ruleName": "Test_rule_SingleEvent",
"ruleText": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"ruleType": "SINGLE_EVENT",
"versionCreateTime": "2024-12-11T11:51:36.973567Z"
}
Mensajes de salida
La acción Obtener detalles de la regla proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully fetched information about the rule with ID
RULE_ID in Google Chronicle.
|
La acción se realizó correctamente. |
Error executing action "Get Rule Details". Reason:
ERROR_REASON
|
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Obtener detalles de la regla:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Is CIDR In Data Table
Usa Is CIDR In Data Table para verificar si se encuentran valores de CIDR específicos en una tabla de datos específica en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Is CIDR In Data Table requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Data Table Name |
Obligatorio. Es el nombre visible de la tabla de datos que se buscará. |
Column |
Es opcional. Es una lista separada por comas de las columnas que se buscarán en la tabla de datos. Si no proporcionas un valor, la acción busca en todas las columnas. |
CIDR |
Obligatorio. Es la lista separada por comas de los valores de CIDR que se buscarán en la tabla de datos. |
Max Data Table Rows To Return |
Obligatorio. Es la cantidad de filas de la tabla de datos que se devolverán para cada valor coincidente. El valor máximo es El valor predeterminado es |
Resultados de la acción
La acción Is CIDR In Data Table proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Is CIDR In Data Table:
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
Mensajes de salida
La acción Is CIDR In Data Table proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully searched provided CIDR values in the data table
DATA_TABLE_NAME in Google SecOps |
La acción se realizó correctamente. |
Error executing action "Is CIDR In Data Table". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Is CIDR In Data Table:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Is Value In Data Table
Usa Is Value In Data Table para verificar si los valores proporcionados están en una tabla de datos en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Almacenamiento en caché de tablas de datos
Puedes habilitar el almacenamiento en caché para reducir las solicitudes repetidas a Google SecOps y acelerar las ejecuciones de las guías:
Cómo funciona el almacenamiento en caché: Cuando se selecciona
Use Cache, la acción almacena las tablas de datos recuperadas en una caché compartida para tu entorno de Google SecOps. Las ejecuciones posteriores en las guías y las acciones de la tabla de datos compatibles en el mismo entorno reutilizan los datos almacenados en caché hasta que vencen.Almacenamiento en caché de la tabla completa: Cuando la caché está vacía o vencida, la acción recupera y almacena en caché toda la tabla de datos, en lugar de solo las filas que coinciden con
Values. Las búsquedas posteriores de diferentes valores en la misma tabla pueden reutilizar la caché sin consultar Google SecOps.Límite de filas de salida:
Max Data Table Rows To Returnlimita las filas coincidentes que se devuelven en el resultado de la acción para cada valor, no las filas almacenadas en la caché.Impacto de
Cache TTL: Controla cuánto tiempo permanecen válidos los datos almacenados en caché antes de que la acción recupere datos nuevos de Google SecOps:- TTL más largo: Reduce las solicitudes a la API y acelera las guías, pero las actualizaciones de la tabla de datos no se reflejan hasta que vence la caché.
- TTL más corto: Mantiene los resultados más actualizados para las tablas que cambian con frecuencia, pero aumenta las solicitudes a Google SecOps.
Entradas de acción
La acción Is Value In Data Table requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Data Table Name |
Obligatorio. Es el nombre visible de la tabla de datos que se buscará. |
Column |
Es opcional. Es una lista separada por comas de las columnas que se deben buscar. Si no se proporciona ningún valor, la acción busca en todas las columnas. |
Values |
Obligatorio. Es una lista de valores separados por comas que se deben buscar. |
Case Insensitive Search |
Es opcional. Si se selecciona, la búsqueda no distingue mayúsculas de minúsculas. Habilitada de forma predeterminada. |
Max Data Table Rows To Return |
Obligatorio. Es la cantidad de filas de la tabla de datos que se devolverán por valor coincidente. El valor máximo es |
Use Cache |
Es opcional. Si se selecciona, la acción usa los resultados de la tabla de datos almacenados en caché cuando están disponibles, en lugar de consultar a Google SecOps en cada ejecución. Para obtener más detalles, consulta Almacenamiento en caché de tablas de datos. |
Cache TTL |
Es opcional. Es el tiempo de actividad de la caché en minutos antes de que la acción recupere datos nuevos de Google SecOps. Para obtener más detalles, consulta Almacenamiento en caché de tablas de datos. El valor mínimo es El valor predeterminado es |
Resultados de la acción
La acción Is Value In Data Table proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Is Value In Data Table:
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
Mensajes de salida
La acción Is Value In Data Table proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME
in Google SecOps.
|
La acción se realizó correctamente. |
| Se produjo un error cuando se ejecutaba la acción "Is Value In Data Table". Motivo: ERROR_REASON | No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Is Value In Data Table". Reason: the
following data tables were not found in:
DATA_TABLE_NAME:
COLUMN_NAMES. Please check the
spelling.
|
No se pudo realizar la acción. |
Error executing action "Is Value In Data Table". Reason:
This action isn't supported for Backstory API configuration. Please update
the integration configuration.
|
No se pudo realizar la acción. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Is Value In Data Table:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Is Value In Data Table Async
Usa la acción Is Value In Data Table Async para verificar si los valores proporcionados se encuentran en una tabla de datos de Google SecOps de forma asíncrona con operaciones de búsqueda de larga duración.
Esta acción no se ejecuta en las entidades de Google SecOps.
Almacenamiento en caché de tablas de datos
Puedes habilitar el almacenamiento en caché para reducir las solicitudes repetidas a Google SecOps y acelerar las ejecuciones de las guías:
Cómo funciona el almacenamiento en caché: Cuando se selecciona
Use Cache, la acción almacena las tablas de datos recuperadas en una caché compartida para tu entorno de Google SecOps. Las ejecuciones posteriores en las guías y las acciones de la tabla de datos compatibles en el mismo entorno reutilizan los datos almacenados en caché hasta que vencen.Finalización inmediata cuando se almacena en caché: Cuando existe una caché válida para la tabla de datos, la acción busca en la caché y se completa de inmediato sin iniciar una búsqueda asíncrona en Google SecOps.
Tablas con más de 1,000,000 de filas: Si una tabla de datos supera el 1,000,000 de filas, la acción aún devuelve los resultados de la búsqueda, pero omite el almacenamiento en caché de la tabla para evitar almacenar una copia incompleta.
Impacto de
Cache TTL: Controla cuánto tiempo permanecen válidos los datos almacenados en caché antes de que la acción recupere datos nuevos de Google SecOps:- TTL más largo: Reduce las solicitudes a la API y acelera las guías, pero las actualizaciones de la tabla de datos no se reflejan hasta que vence la caché.
- TTL más corto: Mantiene los resultados más actualizados para las tablas que cambian con frecuencia, pero aumenta las solicitudes a Google SecOps.
Entradas de acción
La acción Is Value In Data Table Async requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Data Table Name |
Obligatorio. Es el nombre visible de la tabla de datos que se buscará. |
Column |
Es opcional. Es una lista separada por comas de las columnas que se buscarán en la tabla de datos. Si no se proporciona ningún valor, la acción busca en todas las columnas. |
Values |
Obligatorio. Es una lista de valores separados por comas que se buscarán en la tabla de datos. |
Case Insensitive Search |
Es opcional. Si se selecciona, la búsqueda no distingue mayúsculas de minúsculas. Habilitada de forma predeterminada. |
Max Data Table Rows To Return |
Obligatorio. Es la cantidad de filas de la tabla de datos que se devolverán para cada valor coincidente. El valor máximo es El valor predeterminado es |
Use Cache |
Es opcional. Si se selecciona, la acción usa los resultados de la tabla de datos almacenados en caché cuando están disponibles, en lugar de consultar a Google SecOps en cada ejecución. Para obtener más detalles, consulta Almacenamiento en caché de tablas de datos. |
Cache TTL |
Es opcional. Es el tiempo de actividad de la caché en minutos antes de que la acción recupere datos nuevos de Google SecOps. Para obtener más detalles, consulta Almacenamiento en caché de tablas de datos. El valor mínimo es El valor predeterminado es |
Resultados de la acción
La acción Is Value In Data Table Async proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado en JSON que se recibe cuando se usa la acción Is Value In Data Table Async:
[
{
"Entity": "example_value",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"createTime": "",
"name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
"updateTime": "",
"values": {
"columnName1": "example_value",
"columnName2": "sample_data"
}
}
]
}
}
]
Mensajes de salida
La acción Is Value In Data Table Async proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME.
|
La acción se realizó correctamente. |
Error executing action "Is Value In Data Table Async". Reason:
ERROR_REASON.
|
No se pudo realizar la acción. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores para el resultado de la secuencia de comandos cuando se usa la acción Is Value In Data Table Async:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Is Value In Reference List
Usa la acción Is Value In Reference List para verificar si los valores proporcionados se encuentran en las listas de referencia de Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Is Value In Reference List requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Reference List Names |
Obligatorio. Es una lista separada por comas de los nombres de las listas de referencia que se buscarán. |
Values |
Obligatorio. Es una lista de valores separados por comas que se deben buscar. |
Case Insensitive Search |
Es opcional. Si se selecciona, la búsqueda no distingue mayúsculas de minúsculas. |
Resultados de la acción
La acción Is Value In Reference List proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Is Value In Reference List con la API de Backstory:
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Is Value In Reference List con la API de Chronicle:
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
Mensajes de salida
La acción Is Value In Reference List proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully searched provided values in the reference lists in
Google Chronicle.
|
La acción se realizó correctamente. |
| Se produjo un error cuando se ejecutaba la acción "Is Value In Reference List". Motivo: ERROR_REASON | No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Is Value In Reference List". Reason: the
following reference lists were not found in Google Chronicle:
MISSING_REFERENCE_LIST_NAME(S).
Please use the action "Get Reference Lists" to see what reference lists are
available.
|
No se pudo realizar la acción. Ejecuta la acción Obtener listas de referencia para verificar las listas disponibles. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Is Value In Reference List:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Enumerar recursos
Usa la acción List Assets para enumerar los recursos en Google SecOps según las entidades relacionadas dentro de un período especificado.
Esta acción solo admite los hashes MD5, SHA-1 y SHA-256.
Esta acción se ejecuta en las siguientes entidades de Google SecOps:
URLIP AddressHash
Entradas de acción
La acción List Assets requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Max Hours Backwards |
Es la cantidad de horas previas al momento actual para recuperar los recursos.
El valor predeterminado es |
Create Insight |
Si se selecciona, la acción crea una estadística con información
sobre las entidades. Habilitada de forma predeterminada. |
Max Assets To Return |
Es la cantidad de recursos que se devolverán. El valor predeterminado es |
Time Frame |
Es opcional. Es el período para el que se recuperarán los resultados. Los valores posibles son los siguientes:
Si se selecciona El valor predeterminado es |
Start Time |
Es la hora de inicio en formato ISO 8601. Este parámetro es obligatorio si el parámetro |
End Time |
Es la hora de finalización en formato ISO 8601.
Si no estableces un valor y configuras el parámetro |
Resultados de la acción
La acción List Assets proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
Nombre: ENTITY_IDENTIFIER
Columnas:
- Nombre de host
- Dirección IP
- Artefacto visto por primera vez
- Artefacto visto por última vez
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción List Assets con la API de Backstory:
{
"assets": [
{
"asset": {
"hostname": "example"
},
"firstSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-02-28T09:18:15.675Z"
},
"lastSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-09-24T06:43:59Z"
}
}
],
"uri": [
"https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
]
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción List Assets con la API de Chronicle:
[
{
"Entity": "192.0.2.229",
"EntityResult": {
"assets": [
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Open Source Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Open Source Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "OPEN_SOURCE_INTEL_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "ex ",
"valueType": "DOMAIN_NAME"
}
},
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Active Breach Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Active Breach Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "MANDIANT_ACTIVE_BREACH_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "example.com",
"valueType": "DOMAIN_NAME"
}
}
],
"uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
}
}
]
Mensajes de salida
La acción List Assets proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully listed related assets for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
La acción se realizó correctamente. |
Error executing action "List Assets". Reason:
ERROR_REASON |
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Assets:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Enumera eventos
Usa la acción Listar eventos para enumerar los eventos de un recurso en particular dentro de un período específico.
Esta acción solo puede recuperar 10,000 eventos.
Esta acción se ejecuta en las siguientes entidades de Google SecOps:
IP addressMAC addressHostname
Entradas de acción
La acción List Events requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Event Types |
Es una lista de tipos de eventos separados por comas.
Si no se proporciona ningún valor, se recuperan todos los tipos de eventos. Para obtener una lista de todos los valores posibles, consulta Valores posibles del tipo de evento. |
Time Frame |
El período especificado. Te recomendamos que lo mantengas lo más pequeño posible para obtener mejores resultados.
Si se selecciona Si se selecciona Los valores posibles son los siguientes:
El valor predeterminado es |
Start Time |
Es la hora de inicio en formato ISO 8601. Este parámetro es obligatorio si el parámetro |
End Time |
Es la hora de finalización en formato ISO 8601. Si no se proporciona ningún valor y el parámetro Este parámetro acepta el valor |
Reference Time |
Es la hora de referencia para la búsqueda de eventos.
Si no se proporciona ningún valor, la acción usa la hora de finalización como referencia. |
Output |
Obligatorio. Es el formato de salida. Los valores posibles son los siguientes:
|
Max Events To Return |
Es la cantidad de eventos que se procesarán para cada tipo de entidad. El valor predeterminado es |
Valores posibles del tipo de evento
Los valores posibles para el parámetro Event Type son los siguientes:
EVENTTYPE_UNSPECIFIEDPROCESS_UNCATEGORIZEDPROCESS_LAUNCHPROCESS_INJECTIONPROCESS_PRIVILEGE_ESCALATIONPROCESS_TERMINATIONPROCESS_OPENPROCESS_MODULE_LOADREGISTRY_UNCATEGORIZEDREGISTRY_CREATIONREGISTRY_MODIFICATIONREGISTRY_DELETIONSETTING_UNCATEGORIZEDSETTING_CREATIONSETTING_MODIFICATIONSETTING_DELETIONMUTEX_UNCATEGORIZEDMUTEX_CREATIONFILE_UNCATEGORIZEDFILE_CREATIONFILE_DELETIONFILE_MODIFICATIONFILE_READFILE_COPYFILE_OPENFILE_MOVEFILE_SYNCUSER_UNCATEGORIZEDUSER_LOGINUSER_LOGOUTUSER_CREATIONUSER_CHANGE_PASSWORDUSER_CHANGE_PERMISSIONSUSER_STATSUSER_BADGE_INUSER_DELETIONUSER_RESOURCE_CREATIONUSER_RESOURCE_UPDATE_CONTENTUSER_RESOURCE_UPDATE_PERMISSIONSUSER_COMMUNICATIONUSER_RESOURCE_ACCESSUSER_RESOURCE_DELETIONGROUP_UNCATEGORIZEDGROUP_CREATIONGROUP_DELETIONGROUP_MODIFICATIONEMAIL_UNCATEGORIZEDEMAIL_TRANSACTIONEMAIL_URL_CLICKNETWORK_UNCATEGORIZEDNETWORK_FLOWNETWORK_CONNECTIONNETWORK_FTPNETWORK_DHCPNETWORK_DNSNETWORK_HTTPNETWORK_SMTPSTATUS_UNCATEGORIZEDSTATUS_HEARTBEATSTATUS_STARTUPSTATUS_SHUTDOWNSTATUS_UPDATESCAN_UNCATEGORIZEDSCAN_FILESCAN_PROCESS_BEHAVIORSSCAN_PROCESSSCAN_HOSTSCAN_VULN_HOSTSCAN_VULN_NETWORKSCAN_NETWORKSCHEDULED_TASK_UNCATEGORIZEDSCHEDULED_TASK_CREATIONSCHEDULED_TASK_DELETIONSCHEDULED_TASK_ENABLESCHEDULED_TASK_DISABLESCHEDULED_TASK_MODIFICATIONSYSTEM_AUDIT_LOG_UNCATEGORIZEDSYSTEM_AUDIT_LOG_WIPESERVICE_UNSPECIFIEDSERVICE_CREATIONSERVICE_DELETIONSERVICE_STARTSERVICE_STOPSERVICE_MODIFICATIONGENERIC_EVENTRESOURCE_CREATIONRESOURCE_DELETIONRESOURCE_PERMISSIONS_CHANGERESOURCE_READRESOURCE_WRITTENANALYST_UPDATE_VERDICTANALYST_UPDATE_REPUTATIONANALYST_UPDATE_SEVERITY_SCOREANALYST_UPDATE_STATUSANALYST_ADD_COMMENT
Resultados de la acción
La acción List Events proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado en JSON que se recibe cuando se usa la acción List Events:
{
"statistics": {
"NETWORK_CONNECTION": 10
}
{
"events": [
{
"metadata": {
"eventTimestamp": "2020-09-28T14:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
},
{
"metadata": {
"eventTimestamp": "2020-09-28T17:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
}
],
"uri": [
"https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
]
}
}
Mensajes de salida
La acción List Events proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully listed related events for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
La acción se realizó correctamente. |
Error executing action "List Events". Reason:
ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "List Events". Reason: invalid event type
is provided. Please check the spelling. Supported event types:
SUPPORTED_EVENT_TYPES
|
No se pudo realizar la acción.
Verifica si están bien escritas. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Events:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Enumera los IOC
Usa la acción List IOCs para enumerar todos los IoC descubiertos en tu empresa dentro de un período especificado.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción List IOCs requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Start Time |
Es la hora de inicio de los resultados en formato ISO 8601. |
Max IoCs to Fetch |
Es la cantidad máxima de IoC que se devolverán.
El rango es de El valor predeterminado es |
Resultados de la acción
La acción List IOCs proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Tabla del muro de casos
Columnas:
- Dominio
- Categoría
- Fuente
- Confianza
- Gravedad
- Tiempo de transferencia de IoC
- Hora de la primera detección del IoC
- Hora de la última vez que se vio el IoC
- URI
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción List IOCs:
{
"matches":[
{
"artifact":{
"domainName":"www.example.com"
},
"firstSeenTime":"2018-05-25T20:47:11.048998Z",
"iocIngestTime":"2019-08-14T21:00:00Z",
"lastSeenTime":"2019-10-24T16:19:46.880830Z",
"sources":[
{
"category":"Spyware Reporting Server",
"confidenceScore":{
"intRawConfidenceScore":0,
"normalizedConfidenceScore":"Low"
},
"rawSeverity":"Medium",
"source":"Example List"
}
],
"uri":["URI"]
}
],
"moreDataAvailable":true
}
Mensajes de salida
La acción List IOCs proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully listed IOCs from the provided timeframe in Google
Chronicle. |
La acción se realizó correctamente. |
Error executing action "List IOCs". Reason:
ERROR_REASON.
|
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List IOCs:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Buscar alertas similares
Usa la acción Buscar alertas similares para buscar alertas similares en Google SecOps.
Entradas de acción
La acción Buscar alertas similares requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Time Frame |
Es el período de los resultados. Para obtener los mejores resultados, mantén
el período lo más acotado posible.
Los valores posibles son los siguientes:
|
IOCs / Assets |
Obligatorio. Es una lista separada por comas de IoC o recursos que se deben encontrar en las alertas. La acción realiza una búsqueda independiente para cada elemento proporcionado. |
Similarity By |
Son los atributos que se usarán para encontrar alertas similares. Los valores posibles son los siguientes:
El valor predeterminado es |
Cómo funciona el parámetro Similarity By
El parámetro Similarity By se aplica de manera diferente a las alertas de reglas y a las alertas
externas.
Si se selecciona
Alert Name, Alert Type and ProductoAlert Name, Alert Type, haz lo siguiente:En el caso de las alertas externas, la acción busca otras alertas externas que tengan el mismo nombre.
En el caso de las alertas de reglas, la acción procesa las alertas que se originaron en la misma regla.
Si se selecciona
Product, ocurrirá lo siguiente:- La acción procesa las alertas que se originaron en el mismo producto, independientemente de si son alertas de reglas o alertas externas.
Por ejemplo, una alerta que se origina en Crowdstrike solo se correlacionará con otras alertas de Crowdstrike.
Si se selecciona
Only IOCs/Assets, ocurrirá lo siguiente:La acción hace coincidir las alertas según los IOC proporcionados en el parámetro
IOCs/Assets. Busca estos indicadores en las alertas de reglas y en las alertas externas.Una alerta de IOC solo puede ejecutar esta acción cuando se selecciona esta opción. Si se proporciona cualquier otra opción, la acción se establece de forma predeterminada en
Only IOCs/Assets.
La acción Buscar alertas similares es una herramienta versátil para analizar alertas. Permite que los analistas correlacionen alertas del mismo período y extraigan IOC relevantes para determinar si un incidente es un verdadero positivo.
Resultados de la acción
La acción Buscar alertas similares proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | Disponible |
| Tabla del muro de casos | Disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Vínculo al muro de casos
La acción Buscar alertas similares puede devolver los siguientes vínculos:
- CBN: GENERATED_LINK_BASED_ON_IU_ROOT_URL
- Regla: GENERATED_LINK_BASED_ON_IU_ROOT_URL
Tabla del muro de casos
Nombre de la tabla: IOC/ASSET_IDENTIFIER
Columnas de la tabla:
- Producto
- Nombres de host
- IPs
- Usuarios
- Direcciones de correo electrónico
- Sujetos
- URLs
- Hashes
- Procesos
- Visto por primera vez
- Última vez en línea
- Nombre de la alerta
- General
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Buscar alertas similares:
{
"count": 123,
"distinct": [
{
"first_seen": "time of the first alert that matched our conditions",
"last_seen": "time of the last alert that matched our conditions",
"product_name": "product name",
"used_ioc_asset": "what user provided in the parameter IOCs and Assets",
"name": "Alert Name/Rule Name",
"hostnames": "csv list of unique hostnames that were found in alerts",
"urls": "csv list of unique urls that were found in alerts",
"ips": "csv list of unique ips that were found in alerts",
"subjects": "csv list of unique subjects that were found in alerts",
"users": "csv list of unique users that were found in alerts",
"email_addresses": "csv list of unique email_addresses that were found in alerts",
"hashes": "csv list of unique hashes that were found in alerts",
"processes": "csv list of unique processes that were found in alerts"
"rule_urls": ["Chronicle URL from API response for Rule"]
"count": 123
}
],
"processed_alerts": 10000,
"run_time": "how long it took to run the action or at least API request",
"EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"
}
Mensajes de salida
La acción Buscar alertas similares proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
|
La acción se realizó correctamente. |
Error executing action "Lookup Similar Alerts". Reason:
ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Error executing action "Lookup Similar Alerts". Reason: all of the
retries are exhausted. Please wait for a minute and try again.
|
No se pudo realizar la acción. Espera unos minutos antes de volver a ejecutar la acción. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Buscar alertas similares:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Ping
Usa la acción Ping para probar la conectividad con Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
Ninguno
Resultados de la acción
La acción Ping proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | No disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Mensajes de salida
La acción Ping proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully connected to the Google Chronicle backstory with the
provided connection parameters! |
La acción se realizó correctamente. |
Failed to connect to the Google Chronicle backstory. Error is
ERROR_REASON
|
No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Quitar filas de la tabla de datos
Usa la acción Quitar filas de la tabla de datos para quitar filas de una tabla de datos en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Quitar filas de la tabla de datos requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Data Table Name |
Obligatorio. Es el nombre visible de la tabla de datos que se actualizará. |
Rows |
Obligatorio. Es una lista de objetos JSON que se usan para buscar y borrar filas. Incluye solo columnas válidas. El valor predeterminado es el siguiente: |
Resultados de la acción
La acción Quitar filas de la tabla de datos proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado en JSON que se recibe cuando se usa la acción Quitar filas de la tabla de datos:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
Mensajes de salida
La acción Quitar filas de la tabla de datos proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully removed rows from the data table
DATA_TABLE_NAME in
Google SecOps.
|
La acción se realizó correctamente. |
Error executing action "Remove Rows From Data Table". Reason:
ERROR_REASON
|
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores para el resultado de la secuencia de comandos cuando se usa la acción Quitar filas de la tabla de datos:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Quita valores de la lista de referencia
Usa la acción Quitar valores de la lista de referencia para quitar valores de una lista de referencia en Google SecOps.
Esta acción no se ejecuta en las entidades de Google SecOps.
Entradas de acción
La acción Quitar valores de la lista de referencia requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Reference List Name |
Obligatorio. Es el nombre de la lista de referencia que se actualizará. |
Values |
Obligatorio. Es una lista de valores separados por comas que se quitarán de la lista de referencia. |
Resultados de la acción
La acción Quitar valores de la lista de referencia proporciona los siguientes resultados:
| Tipo de resultado de la acción | Disponibilidad |
|---|---|
| Archivo adjunto del muro de casos | No disponible |
| Vínculo al muro de casos | No disponible |
| Tabla del muro de casos | No disponible |
| Tabla de enriquecimiento | No disponible |
| Resultado de JSON | Disponible |
| Mensajes de salida | Disponible |
| Resultado de secuencia de comandos | Disponible |
Resultado de JSON
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Quitar valores de la lista de referencia con la API de Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Quitar valores de la lista de referencia con la API de Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
Mensajes de salida
La acción Quitar valores de la lista de referencia proporciona los siguientes mensajes de salida:
| Mensaje de salida | Descripción del mensaje |
|---|---|
Successfully removed values from the reference list.
|
La acción se realizó correctamente. |
Error executing action "Remove Values From Reference List". Reason:
ERROR_REASON
|
No se pudo realizar la acción.
Verifica la conexión con el servidor, los parámetros de entrada o las credenciales. |
Resultado de secuencia de comandos
En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Quitar valores de la lista de referencia:
| Nombre del resultado de la secuencia de comandos | Valor |
|---|---|
is_success |
true o false |
Conectores
Para obtener más información sobre cómo configurar conectores en Google SecOps, consulta Transferir tus datos (conectores).
Google Chronicle: Conector de alertas de Chronicle
Usa el conector de alertas de Google Chronicle para extraer información sobre las alertas basadas en reglas de Google SecOps.
Descripción general
El conector de alertas de Google Chronicle transfiere alertas basadas en reglas de Google SecOps.
Estas son algunas de las funciones clave y los detalles operativos:
Consulta datos de un período de una semana. Para evitar que se pierdan alertas debido a retrasos en la indexación, se puede configurar un período de margen y un tiempo de espera del conector más largo, aunque un margen significativo puede afectar negativamente el rendimiento.
Utiliza listas dinámicas para una configuración flexible.
Proporciona un
Fallback Severitypara las alertas que no tienen un valor de gravedad.
Filtro de lista dinámico
La lista dinámica se usa para filtrar alertas directamente desde la página de configuración del conector.
Lógica de operadores
La lista dinámica usa una combinación de evaluación basada en conjuntos y lógica de varias líneas para procesar las reglas de filtro:
Valores separados por comas (evaluación de conjuntos): Los valores de la misma línea, separados por una coma, se tratan como un solo conjunto. La lógica aplicada depende del operador que se use:
- Inclusión (
=): Actúa como una lista de entidades permitidas.
Transfiere la alerta si el valor coincide con cualquier elemento de la lista (por ejemplo,
Rule.severity = low,mediumsignificalowOmedium).- Exclusión (
!=): Actúa como una lista de entidades bloqueadas.
Transfiere la alerta solo si el valor no coincide con ninguno de los elementos de la lista (por ejemplo,
Rule.ruleName != rule_a,rule_bsignifica que el nombre de la regla NO esrule_aNIrule_b).- Inclusión (
Líneas separadas (lógica AND): Cada línea separada de la lista dinámica restringe aún más el filtro (por ejemplo, Línea 1 AND Línea 2).
Operadores admitidos: (
=,!=,>,<,>=,<=) varían según la clave de filtro.
A continuación, se muestran ejemplos de uso de las reglas de operadores:
Rule.severity = medium: El conector solo transfiere alertas de reglas con la gravedad media.
Rule.severity = low,medium: El conector solo transfiere alertas de reglas con gravedad media o baja.
Rule.ruleName != rule_a,rule_b: El conector transfiere todas las alertas, excepto aquellas en las que el nombre de la regla es
rule_aorule_b.Rule.ruleName = default_rule: El conector solo transfiere alertas de reglas con el nombre
default_rule.
Filtros compatibles
El conector de alertas de Chronicle admite el filtrado en las siguientes claves:
| Clave de filtro | Clave de respuesta | Operadores | Valores posibles |
|---|---|---|---|
Rule.severity |
detection, ruleLabels o severity |
=, !=, >, <,
>=, <= |
Los valores no distinguen mayúsculas de minúsculas. |
Rule.ruleName |
detection o ruleName |
=, != |
Definido por el usuario. |
Rule.ruleID |
detection o ruleId |
=, != |
Definido por el usuario. |
Rule.ruleType |
detection o ruleClass |
=, != |
Los valores no distinguen mayúsculas de minúsculas. |
Rule.ruleLabels.{key} |
detection o ruleLabels |
=, != |
Definido por el usuario. |
Manejo de ruleLabels
Para filtrar por una etiqueta específica dentro de una regla, usa el formato Rule.ruleLabels.{key}.
Por ejemplo, para filtrar por una etiqueta con la clave type y el valor
suspicious_behaviour, la entrada de la lista dinámica debe ser la siguiente:
Rule.ruleLabels.type=suspicious_behaviour
Entradas del conector
El conector de alertas de Chronicle requiere los siguientes parámetros:
El valor predeterminado es Medium.
| Parámetro | Descripción |
|---|---|
Product Field Name |
Obligatorio. Es el nombre del campo en el que se almacena el nombre del producto. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada. El valor predeterminado es |
Event Field Name |
Obligatorio. Es el nombre del campo que determina el nombre del evento (subtipo). |
Environment Field Name |
Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo de entorno, el conector usa el valor predeterminado. El valor predeterminado es |
Environment Regex Pattern |
Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Usa el valor predeterminado Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado. |
Script Timeout (Seconds) |
Obligatorio. Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es |
API Root |
Obligatorio. La URL raíz de la API para tu instancia de Google SecOps:
|
User's Service Account |
Es opcional. La clave JSON de la cuenta de servicio que se usa para la autenticación. Se usa solo si
Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y precedencia de credenciales). |
Workload Identity Email |
Es opcional. Es el correo electrónico de la cuenta de servicio que se usa para la autenticación de Workload Identity (se recomienda cuando se requiere una cuenta de servicio). Tiene prioridad si se completan ambos campos de credenciales. Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y precedencia de credenciales). |
Fallback Severity |
Obligatorio. Es la gravedad predeterminada que se usará si la alerta de Google SecOps no incluye un valor de gravedad. Los valores posibles son los siguientes:
|
Max Hours Backwards |
Es opcional. Es la cantidad de horas antes de la ejecución inicial del conector para recuperar incidentes. Este parámetro se aplica solo una vez. El valor máximo es El valor predeterminado es |
Max Alerts To Fetch |
Es opcional. Es la cantidad de alertas que se procesarán en cada iteración del conector. El valor predeterminado es |
Disable Event Splitting |
Es opcional. Si se selecciona, el conector no divide los eventos originales en varias partes, lo que garantiza que el recuento de eventos coincida entre la fuente y Google SecOps. No está habilitada de forma predeterminada. |
Verify SSL |
Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google SecOps. Habilitada de forma predeterminada. |
Proxy Server Address |
Es opcional. Es la dirección del servidor proxy que se usará. |
Proxy Username |
Es opcional. Es el nombre de usuario del proxy con el que se autenticará. |
Proxy Password |
Es opcional. Es la contraseña del proxy con la que se realizará la autenticación. |
Disable Overflow |
Es opcional. Si se selecciona, el conector ignora el mecanismo de desbordamiento de Google SecOps. No está habilitada de forma predeterminada. |
Validate Dynamic List Entries |
Es opcional. Si está habilitado, el conector valida que las entradas de la lista dinámica existan en la plataforma antes de procesarlas para evitar errores de transferencia. No está habilitada de forma predeterminada. |
Reglas de conectores
El conector de Google Chronicle - Chronicle Alerts admite proxies.
Eventos de conectores
En la siguiente sección, se describe la estructura de los eventos que recupera el conector. Este conector extrae específicamente las alertas generadas por las reglas de detección dentro de Google SecOps.
Alertas basadas en reglas
Este tipo de evento se genera cuando una regla de detección coincide con los datos de registro entrantes. El resultado JSON contiene los metadatos de la regla, el ID de detección único y los datos de eventos de UDM asociados que activaron la alerta.
{
"alert_type": "RULE",
"event_type": "NETWORK_DHCP",
"type": "RULE_DETECTION",
"detection": [
{
"ruleName": "d3_test",
"urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
"ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
"ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
"alertState": "NOT_ALERTING",
"ruleType": "SINGLE_EVENT",
"ruleLabels": [
{
"key": "author",
"value": "analyst123"
},
{
"key": "description",
"value": "8:00 AM local time"
},
{
"key": "severity",
"value": "Medium"
}
]
}
],
"createdTime": "2022-02-08T06:07:33.944951Z",
"id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
"timeWindow": {
"startTime": "2022-02-08T05:02:36Z",
"endTime": "2022-02-08T05:02:36Z"
},
"collectionElements": [
{
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-02-08T05:02:36Z",
"eventType": "NETWORK_DHCP",
"productName": "Infoblox DHCP",
"ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
},
"principal": {
"ip": [
"198.51.100.255",
"198.51.100.1"
],
"mac": [
"01:23:45:ab:cd:ef"
],
"email_address": [
"example@example.com"
]
},
"target": {
"hostname": "dhcp_server",
"ip": [
"198.51.100.0",
"198.51.100.1"
]
},
"network": {
"applicationProtocol": "DHCP",
"dhcp": {
"opcode": "BOOTREQUEST",
"ciaddr": "198.51.100.255",
"giaddr": "198.51.100.0",
"chaddr": "01:23:45:ab:cd:ef",
"type": "REQUEST",
"clientHostname": "example-user-pc",
"clientIdentifier": "AFm/LDfjAw=="
}
}
}
}
],
"label": "e"
}
],
"detectionTime": "2022-02-08T05:02:36Z"
}
Estructura de las alertas
En la siguiente tabla, se describe cómo el conector de Google Chronicle - Chronicle Alerts propaga los atributos de una alerta en Google SecOps.
Atributos generados internamente
El framework de la plataforma genera estos atributos en lugar de extraerlos de la alerta de origen:
| Nombre del atributo de la alerta | Fuente |
|---|---|
SourceSystemName |
El framework lo genera de forma interna. |
TicketId |
Se obtiene del ID de detección de alertas (id). |
DisplayId |
Se genera automáticamente. |
Atributos para todos los tipos de alertas
Estos atributos se derivan de la alerta de origen.
| Nombre del atributo de la alerta | Fuente |
|---|---|
Priority |
Se toma de la respuesta de la API o del parámetro Fallback Severity. |
DeviceVendor |
El valor codificado es Google Chronicle. |
DeviceProduct |
El valor codificado es RULE. |
Description |
Se obtiene de detection/ruleLabels/description (si existe). |
Reason |
No disponible. |
SourceGroupingIdentifier |
No disponible |
Chronicle Alert - Attachments |
No disponible. |
Obsoleto: Google Chronicle - Conector de alertas
Este conector extrae alertas de recursos de Google SecOps para transferirlas a los casos.
Este conector requiere la API de Search de SIEM de Google SecOps.
Entradas del conector
El conector de alertas requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Product Field Name |
Obligatorio.
Es el nombre del campo en el que se almacena el nombre del producto. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada. El valor predeterminado es |
Environment Field Name |
Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo de entorno, el conector usa el valor predeterminado. El valor predeterminado es |
Environment Regex Pattern |
Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Usa el valor predeterminado Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado. |
Script Timeout (Seconds) |
Obligatorio. Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es |
Service Account Credentials |
Obligatorio. Es el contenido del archivo JSON de la cuenta de servicio. |
Fetch Max Hours Backwards |
Es opcional. Es la cantidad de horas previas a la ejecución inicial del conector para recuperar incidentes. Este parámetro se aplica solo una vez. El valor máximo es El valor predeterminado es |
Obsoleto: Google Chronicle - IoCs Connector
En su lugar, usa el conector de alertas de Chronicle.
Este conector extrae coincidencias de dominios de IOC de Google SecOps para transferirlas a los casos.
Este conector usa la API de Search de Google SecOps.
Entradas del conector
El conector de Google Chronicle - IoCs requiere los siguientes parámetros:
| Parámetro | Descripción |
|---|---|
Product Field Name |
Obligatorio.
Es el nombre del campo en el que se almacena el nombre del producto. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada. El valor predeterminado es |
Environment Field Name |
Es opcional. Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo de entorno, el conector usa el valor predeterminado. El valor predeterminado es |
Environment Regex Pattern |
Es opcional. Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Usa el valor predeterminado Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado. |
Script Timeout (Seconds) |
Obligatorio. Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual. El valor predeterminado es |
Service Account Credentials |
Obligatorio. Es el contenido del archivo JSON de la cuenta de servicio. |
Fetch Max Hours Backwards |
Es opcional. Es la cantidad de horas previas a la ejecución inicial del conector desde la que se recuperarán las alertas. Este parámetro se aplica solo una vez. El valor máximo es El valor predeterminado es |
Max Alerts To Fetch |
Es opcional. Es la cantidad máxima de alertas que se procesarán en cada iteración del conector. El valor predeterminado es |
Trabajos
Para obtener más información sobre los trabajos, consulta Configura un trabajo nuevo y Programación avanzada.
Requisitos previos para la configuración de trabajos
Antes de continuar con la configuración del trabajo, configura el conector de alertas de Chronicle.
Para configurar los trabajos de Google Chronicle, sigue estos pasos:
En Google SecOps, ve a Respuesta > Programador de trabajos.
Haz clic en addCrear trabajo nuevo.
En el cuadro de diálogo Agregar trabajo que aparece, selecciona el trabajo de Google Chronicle correspondiente y haz clic en Guardar.
Opcional: Edita el nombre y la descripción del trabajo, si es necesario.
En la sección Detalles del trabajo, haz lo siguiente:
- Asegúrate de que esté seleccionada la opción GoogleChronicle en el campo Integración.
Para ejecutar el trabajo de forma automática en intervalos especificados, configura un intervalo del programador. La configuración del programador es obligatoria para completar la configuración del trabajo.
Como los trabajos de Google Chronicle pueden sincronizar grandes cantidades de datos en una sola ejecución, Google recomienda que establezcas el intervalo del programador en 2 minutos como mínimo.
Google Chronicle: Trabajo de sincronización de datos
Este trabajo funciona con las alertas creadas por el conector de alertas de Chronicle y el trabajo Creador de alertas de Chronicle, pero no con las alertas de los conectores obsoletos (conector de alertas y conector de IOC).
El trabajo Google Chronicle Sync Data sincroniza los casos y las alertas actualizados en Google SecOps para que los cambios realizados durante la administración de casos se reflejen en toda la plataforma de inmediato.
Sincronización de datos de casos y alertas
El trabajo Google Chronicle Sync Data hace un seguimiento y sincroniza los siguientes campos para los casos:
| Campo con seguimiento | Campo sincronizado |
|---|---|
Priority |
Priority |
Status |
Status |
Title |
Title |
| No aplicable | Stage |
| No aplicable | Google SecOps Case ID |
El ID del caso de Google SecOps es un identificador de caso único en Google SecOps.
El trabajo Google Chronicle Sync Data hace un seguimiento y sincroniza los siguientes campos para las alertas:
| Campo con seguimiento | Campo sincronizado |
|---|---|
Priority |
Priority |
Status |
Status |
Case ID |
No aplicable |
| No aplicable | Google SecOps Alert ID |
| No aplicable | Google SecOps Case ID |
| No aplicable | Verdict |
| No aplicable | Closure Comment |
| No aplicable | Closure Reason |
| No aplicable | Closure Root Cause |
| No aplicable | Usefulness |
El ID de alerta de Google SecOps es un identificador de alerta único en Google SecOps.
En una iteración, el trabajo sincroniza hasta 1,000 casos y 1,000 alertas. La sincronización se produce en el entorno de Google SecOps especificado en la configuración del trabajo. El mecanismo de sincronización garantiza que un caso del entorno especificado no se pueda sincronizar con otro entorno.
Configura el trabajo de Google Chronicle Sync Data
Este trabajo solo sincroniza los casos que contienen alertas transferidas desde Google SecOps.
Asegúrate de haber completado los pasos de requisitos previos antes de configurar este trabajo.
Para configurar el trabajo de Google Chronicle Sync Data, sigue estos pasos:
En la sección Parámetros, configura los siguientes parámetros:
Parámetro Descripción EnvironmentObligatorio.
Es el nombre del entorno creado en Google SecOps con el que se sincronizarán los casos y las alertas.
API RootObligatorio.
La URL raíz de la API para tu instancia de Google SecOps:
- API de Chronicle: Incluye el ID del proyecto, la región y el ID de la instancia
(por ejemplo,
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Consulta Cómo encontrar la raíz de la API de Chronicle. - API de Backstory (heredada): Es el extremo regional de Backstory. El valor predeterminado es
https://backstory.googleapis.com.
User's Service AccountEs opcional.
La clave JSON de la cuenta de servicio que se usa para la autenticación. Solo se usa si
Workload Identity Emailestá vacío.Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y prioridad de credenciales).
Workload Identity EmailEs opcional.
Es el correo electrónico de la cuenta de servicio que se usa para la autenticación de Workload Identity (se recomienda cuando se requiere una cuenta de servicio). Tiene prioridad si se completan ambos campos de credenciales.
Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y prioridad de credenciales).
Max Hours BackwardsEs opcional.
Es la cantidad de horas desde las que se recuperarán las alertas. Usa solo números positivos.
El valor predeterminado es
24.Verify SSLObligatorio.
Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google SecOps.
Habilitada de forma predeterminada.
El trabajo Google Chronicle Sync Data está habilitado de forma predeterminada. Cuando guardas el trabajo configurado correctamente, comienza a sincronizar los datos con Google SecOps de inmediato. Para inhabilitar el trabajo, cambia el interruptor junto al nombre del trabajo.
- API de Chronicle: Incluye el ID del proyecto, la región y el ID de la instancia
(por ejemplo,
Para completar la configuración, haz clic en Guardar.
Si el botón Guardar está inactivo, asegúrate de haber configurado todos los parámetros obligatorios.
Opcional: Para ejecutar el trabajo inmediatamente después de guardarlo, haz clic en Ejecutar ahora.
La opción Ejecutar ahora te permite activar una sola ejecución de trabajo para sincronizar de inmediato los datos actuales de alertas y casos.
Mensajes de registro
En la siguiente tabla, se enumeran los posibles mensajes de registro para el trabajo de sincronización de datos de Google Chronicle:
| Entrada de registros | Tipo | Descripción |
|---|---|---|
Unable to parse credentials as JSON. Please validate creds.
|
Error | La cuenta de servicio proporcionada en el parámetro User's Service Account
está dañada. |
"Max Hours Backwards" parameter must be a positive number. |
Error | El parámetro Max Hours backwards se establece en 0 o en un número negativo. |
Current platform version doesn't support SDK methods designed for
Google SecOps. Please use version 6.1.33 or higher. |
Error | La versión actual de la instancia de la plataforma de Google SecOps no admite la ejecución de la secuencia de comandos del trabajo de Chronicle Sync Data. Esto significa que la versión de compilación de la instancia es anterior a la 6.1.33. |
Unable to connect to Google SecOps, please validate
your credentials: CREDENTIALS |
Error | No se pudieron validar los valores raíz de la cuenta de servicio o de la API con la instancia de Google SecOps. Este error se informa si falla la prueba de conectividad. |
--- Start Processing Updated Cases --- |
Información | Se comenzó a ejecutar el bucle de procesamiento de casos. |
Last success time. Date time:DATE_AND_TIME.
Unix:UNIX_EPOCH_TIME
|
Información | La marca de tiempo de la última ejecución exitosa de casos o alertas, que se muestra como una fecha y hora (DATE_AND_TIME) y como una marca de tiempo de tiempo Unix (UNIX_EPOCH_TIME). |
Key: "DATABASE_KEY" doesn't exist in the
database. Returning default
value instead: DEFAULT_VALUE |
Información | La clave de la base de datos de casos o alertas pendientes no existe en la base de datos. Esta entrada de registro siempre aparece en la primera ejecución de la secuencia de comandos. |
Failed to parse data as JSON. Returning default value instead:
"DEFAULT_VALUE. ERROR:
ERROR |
Error | El valor recuperado de la base de datos no tiene un formato JSON válido. |
Exception was raised from the database. ERROR:
ERROR. |
Error | Hay un problema de conexión con la base de datos. |
|
Información | Los IDs de los casos o las alertas pendientes se recuperaron correctamente de la lista de tareas pendientes. CASE_IDS es la cantidad de IDs de casos que se presentaron. |
|
Error | La cantidad de IDs de casos o alertas pendientes que se recuperan de la base de datos es mayor que el límite (1,000). Se ignoran los IDs que superen el límite. Este error puede indicar un posible daño en la base de datos. |
|
Información | Los IDs de casos o alertas actualizados recientemente se recuperaron correctamente de la plataforma. |
|
Información | Se inició la actualización de casos y alertas en la instancia de Google SecOps. |
|
Error | El caso o la alerta especificados no se pueden sincronizar con Google SecOps. |
|
Información | El caso o la alerta pendientes especificados alcanzaron el límite de reintentos de sincronización (5) y no se vuelven a insertar en la lista de tareas pendientes. |
|
Información | Es la lista de IDs de casos o alertas que no se pueden sincronizar con Google SecOps. |
Updated External Case IDs for the following cases:
CASE_IDS |
Información | Es la lista de casos para los que el trabajo actualizó el ID del caso externo de Google SecOps coincidente en la plataforma de Google SecOps. |
Failed to update external ids. |
Error | Un error de conexión o de la plataforma impidió que se actualizaran los IDs de casos externos. |
|
Error | Un error detuvo las actualizaciones de casos o alertas antes de que se completaran. Consulta el seguimiento de pila que sigue a este registro para obtener más detalles. |
|
Información | Finalizó la etapa de actualización de casos y alertas. |
|
Error | Es la lista de IDs de casos o alertas con errores que tienen un recuento de reintentos menor o igual a 5 para volver a escribirse en la lista de tareas pendientes. |
|
Información | Se completó la etapa de procesamiento del caso y la alerta. |
Saving timestamps. |
Información | Guardar en la base de datos las marcas de tiempo de la última actualización correcta de casos y alertas |
Saving pending ids. |
Información | Se guardan los IDs de casos y alertas pendientes en la base de datos. |
Got exception on main handler. Error:
ERROR_REASON |
Error | Se produjo un error de finalización general. El seguimiento de pila se imprime después de este registro con el error específico. |
Trabajo de creador de alertas de Google Chronicle
El trabajo Google Chronicle Alerts Creator requiere la versión 6.2.30 o posterior de la plataforma de Google SecOps.
Este trabajo sincroniza las alertas transferidas desde conectores de terceros (incluidas las alertas de desbordamiento) con Google SecOps. No duplica las alertas que ya se originan en las detecciones de Google SecOps.
Relación entre los trabajos de Google Chronicle
Una implementación completa de Google SecOps ejecuta los siguientes tres componentes de forma simultánea:
- Conector de alertas de Chronicle: Transfiere alertas de detección de Google SecOps a casos.
- Trabajo Creador de alertas de Google Chronicle: Sincroniza las alertas transferidas desde conectores de terceros a Google SecOps y asigna a cada alerta un identificador de alerta único de Google SecOps.
- Trabajo Google Chronicle Sync Data: Sincroniza las actualizaciones de casos y alertas (como los cambios de prioridad o estado) en Google SecOps.
Configura el trabajo de Google Chronicle Alerts Creator
Asegúrate de haber completado los pasos de requisitos previos antes de configurar el trabajo.
Para configurar el trabajo Google Chronicle Alerts Creator, sigue estos pasos:
Configura los parámetros del trabajo de la siguiente tabla:
Parámetro Descripción EnvironmentObligatorio.
Es el nombre del entorno creado en Google SecOps en el que quieres sincronizar casos y alertas.
API RootObligatorio.
La URL raíz de la API para tu instancia de Google SecOps:
- API de Chronicle: Incluye el ID del proyecto, la región y el ID de la instancia
(por ejemplo,
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Consulta Cómo encontrar la raíz de la API de Chronicle. - API de Backstory (heredada): Es el extremo regional de Backstory. El valor predeterminado es
https://backstory.googleapis.com.
User's Service AccountEs opcional.
La clave JSON de la cuenta de servicio que se usa para la autenticación. Solo se usa si
Workload Identity Emailestá vacío.Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y prioridad de credenciales).
Workload Identity EmailEs opcional.
Es el correo electrónico de la cuenta de servicio que se usa para la autenticación de Workload Identity (se recomienda cuando se requiere una cuenta de servicio). Tiene prioridad si se completan ambos campos de credenciales.
Deja ambos campos de credenciales vacíos para usar las credenciales integradas cuando sea posible (consulta Métodos de autenticación y prioridad de credenciales).
Verify SSLObligatorio.
Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Google SecOps.
Habilitada de forma predeterminada.
- API de Chronicle: Incluye el ID del proyecto, la región y el ID de la instancia
(por ejemplo,
Para completar la configuración, haz clic en Guardar.
Si el botón Guardar está inactivo, asegúrate de haber configurado todos los parámetros obligatorios.
Opcional: Para ejecutar el trabajo inmediatamente después de guardarlo, haz clic en Ejecutar ahora.
La opción Ejecutar ahora te permite activar una sola ejecución de trabajo para sincronizar de inmediato los datos actuales de alertas y casos.
Mensajes de registro y manejo de errores
| Registro | Nivel | Descripción |
|---|---|---|
|
ERROR | La cuenta de servicio proporcionada en el parámetro Cuenta de servicio del usuario está dañada. |
|
ERROR | La versión actual de la instancia de la plataforma de Google SecOps no admite la ejecución de la secuencia de comandos del trabajo de creador de alertas de Google Chronicle. Este error significa que la versión de compilación de la instancia es anterior a la 6.2.30. |
|
ERROR | Los valores raíz de la cuenta de servicio o de la API no se pueden validar con la instancia de Google SecOps. Este error se informa si falla la prueba de conectividad. |
|
INFORMACIÓN | Es el mensaje de registro que indica que se inició el trabajo. |
|
INFORMACIÓN | Se inició la ejecución del trabajo principal. |
|
INFORMACIÓN | Es el número de iteración del intento de recuperación actual. |
|
INFORMACIÓN | El trabajo recupera hasta BATCH_SIZE alertas nuevas. |
|
INFORMACIÓN | Es la cantidad de alertas nuevas que se recuperaron en el lote actual. |
|
INFORMACIÓN | No se encontraron alertas nuevas sin sincronizar, por lo que se detendrá el trabajo. |
|
INFORMACIÓN | Son los identificadores de las alertas recuperadas en el lote actual. |
|
INFORMACIÓN | El trabajo envía las alertas recuperadas a Google SecOps. |
|
ERROR | No se pudo sincronizar la alerta especificada con Google SecOps. |
|
INFORMACIÓN | El trabajo está actualizando el estado de la alerta sincronizada. |
|
ADVERTENCIA | La plataforma no pudo actualizar el estado de sincronización de la alerta especificada. |
|
INFORMACIÓN | Es la cantidad total de alertas sincronizadas durante la ejecución del trabajo actual. |
|
INFORMACIÓN | La ejecución del trabajo finalizó. |
|
ERROR | Un error general detuvo el trabajo. Consulta el mensaje de error para obtener más detalles. |
Casos de uso
La integración de Google Chronicle te permite ejecutar los siguientes casos de uso:
- Investigación y respuesta ante amenazas de Windows de Chronicle
- Security Command Center y Chronicle Cloud DIR
Instala el caso de uso
En Google SecOps Content Hub, ve a la pestaña Casos de uso.
En un campo de búsqueda, ingresa el nombre del caso de uso.
Haz clic en el caso de uso.
Sigue los pasos y las instrucciones de configuración del asistente de instalación.
Una vez que finalice, todos los componentes necesarios se instalarán en tu máquina de Google SecOps. Para finalizar la instalación, configura el bloque Inicialización en la guía que corresponda a tu caso de uso.
Investigación y respuesta ante amenazas de Windows con Chronicle
Usa el poder de Google SecOps para responder en tiempo real a las amenazas de Windows en tu entorno. Con Threat Intelligence para Google SecOps, los equipos de seguridad pueden aprovechar un servicio de inteligencia contra amenazas de alta fidelidad junto con Google SecOps. Ahora, las amenazas reales en tu entorno se pueden clasificar y corregir automáticamente en un período breve y eficaz.
En Google SecOps, ve a Respuesta > Guías.
Selecciona la guía Google Chronicle - Windows Threats Investigation & Response. La guía se abrirá en la vista del diseñador de guías.
Haz doble clic en Set Initialization Block_1. Se abrirá el diálogo de configuración del bloque.
Para configurar la guía, usa los siguientes parámetros:
Parámetro de datos Valores posibles Descripción edr_product- CrowdStrike
- Negro carbón
- Ninguno
Es el producto de EDR que se usará en la guía. itsm_product- ServiceNow
- Jira
- ZenDesk
- Ninguno
Es el producto de ITSM que se usará en la guía. Jira requiere configuración adicional en el bloque Abrir ticket. crowdstrike_use_spotlighttrueofalseSi es True, la guía ejecuta acciones de Crowdstrike que requieren una licencia de Spotlight (información de vulnerabilidades).use_mandianttrueofalseSi es True, la guía ejecuta el bloque de Mandiant.slack_userNombre de usuario o dirección de correo electrónico Es el nombre de usuario o la dirección de correo electrónico del usuario de Slack. Si no se proporciona ninguno, la guía omite los bloques de Slack. Haz clic en Guardar. Se cerrará el diálogo de configuración del bloque.
En el panel del diseñador de guías, haz clic en Guardar.
Para probar la guía en el caso de uso, transfiere el caso de prueba incluido en el paquete. Algunas funciones de casos de prueba pueden fallar porque los datos que se usan para las pruebas no están disponibles en tu entorno.
Security Command Center y DIR de Chronicle Cloud
Integra Security Command Center con Google SecOps para permitir que tus analistas investiguen los incidentes y las amenazas que detecta Security Command Center.
Configura el caso de uso
El caso de uso requiere que configures las siguientes integraciones:
- Siemplify
- Herramientas
- MITRE ATT&CK
- Google Cloud IAM
- Google Chronicle
- Funciones
- Google Cloud Compute
- Email V2
- VirusTotal v3
Las integraciones de Google Security Command Center y Mandiant son opcionales.
Asegúrate de haber instalado el caso de uso antes de configurarlo.
- En Google SecOps, ve a la pestaña Guías.
- Selecciona la guía SCC & Chronicle Cloud DIR.
- Haz doble clic en el bloque de inicialización para configurarlo.
- Configura la guía con los siguientes parámetros:
| Nombre del parámetro | Valores posibles | Descripción |
|---|---|---|
Mandiant_Enrichment |
true o false |
Si es La integración de Mandiant debe configurarse para esta configuración. Puedes quitar el enriquecimiento si rara vez obtienes información significativa. Quitar el bloque de enriquecimiento mejora la velocidad de ejecución de la guía. |
SCC_Enrichment |
true o false |
Si es La integración de Security Command Center debe configurarse para este parámetro. Puedes quitar el enriquecimiento si rara vez obtienes información significativa. Quitar el bloque de enriquecimiento mejora la velocidad de ejecución de la guía. |
IAM_Enrichment |
true o false |
Si es True, la guía usa las capacidades de IAM
para un enriquecimiento adicional. Puedes quitar el enriquecimiento si rara vez
obtienes información significativa. Quitar el bloque de enriquecimiento mejora
la velocidad de ejecución de la guía. |
Compute_Enrichment |
true o false |
Si es True, la guía usa las capacidades de Compute Engine
para obtener enriquecimiento adicional. Puedes quitar el enriquecimiento si
rara vez obtienes información significativa. Quitar el bloque de enriquecimiento mejora
la velocidad de ejecución de la guía. |
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.