שילוב של Google Chronicle עם Google SecOps

שימו לב: הפסקנו את התמיכה ב-Backstory API וב-Ingestion API. מכונות חדשות לא יכולות יותר לשלוח קריאות לממשקי API מדור קודם. סוף תקופת החיים (EOL) יחול ב-20 ביולי 2027.

כדי למנוע שיבושים בפלייבוק, צריך לשדרג את השילוב הזה לגרסה 54 ומעלה.

• אימות: ודאו שהגדרות האימות (פרטי כניסה מובנים של המערכת, Workload Identity או מפתח JSON של חשבון שירות) מוגדרות באופן זהה בהגדרות השילוב, במחברים ובמשימות.
• מעקב אחרי פלייבוקים: אחרי השדרוג, חשוב לבדוק את הפלייבוקים כי יכול להיות שהפלט של הפעולות יהיה שונה.

פרטים נוספים זמינים במאמרים שדרוג מ-SIEM API מדור קודם ל-Chronicle API ושדרוג מ-Backstory API ל-Chronicle API.

במאמר הזה מוסבר איך לשלב את Google Chronicle עם Google Security Operations.

הערה: Google Chronicle מותג מחדש בתור Google SecOps. בפלטפורמת Google SecOps, השילוב הזה נקרא Google Chronicle.

תרחישים לדוגמה

השילוב של Google Chronicle משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:

• חקירה ותיקון אוטומטיים של פישינג: שאילתות אוטומטיות לגבי נתוני אימייל היסטוריים, יומני פעילות של משתמשים ומודיעין איומי סייבר כדי להעריך את הלגיטימיות של האימייל. התיקון האוטומטי יכול לעזור לכם במיון ובהכלה על ידי מניעת התפשטות של תוכנות זדוניות או פרצות באבטחת מידע.

• העשרת התראות אבטחה: העשרת התראה שנוצרה ב-SIEM בהקשר היסטורי, כמו התנהגות המשתמש בעבר ומידע על נכסים. כך מנתחי הנתונים מקבלים תמונה מקיפה של האירוע, ויכולים לקבל החלטות מהירות ומושכלות יותר.

• איתור איומים על סמך תובנות מ-Google SecOps: תהליך אוטומטי של שליחת שאילתות לכלי אבטחה אחרים לגבי סימנים מחשידים (IOC) קשורים. כך תוכלו לזהות באופן יזום פרצות פוטנציאליות לפני שהן יחמירו.

• פלייבוקים אוטומטיים לתגובה לאירועים: הפעלת פלייבוקים מוגדרים מראש שמשתמשים בנתונים של Google SecOps כדי לבודד מערכות שנפרצו, לחסום כתובות IP זדוניות ולשלוח התראות לבעלי העניין הרלוונטיים. כך אפשר לקצר את זמן התגובה לאירועים ולצמצם את ההשפעה של אירועי אבטחה.

• דיווח על תאימות וביקורת: איסוף אוטומטי של נתוני אבטחה מ-Google SecOps לצורך דיווח על תאימות, ייעול תהליך הביקורת וצמצום העבודה הידנית.

לפני שמתחילים

לפני שמגדירים את השילוב של Google Chronicle ב-Google SecOps, צריך לוודא שיש לכם גישה לפרויקט פעיל ב-Google Cloud .

העברת Backstory API ל-Chronicle API

חלק מהתכונות והפעולות החדשות בשילוב הזה תומכות רק ב-Chronicle API, ולכן אנחנו ממליצים לכל המשתמשים להעביר את הפריסה שלהם לשימוש ב-Chronicle API.

כדי לעבור מ-Backstory API הקודם ל-Chronicle API:

1. מאתרים את שורש ה-API של Chronicle ומזינים אותו בפרמטר API Root בהגדרות השילוב, במחברים ובמשימות.
2. מוודאים ששיטת האימות נתמכת בסוג הפרויקט ב- Google Cloud , ושהיא מיושמת באופן זהה בהגדרות השילוב, במחברים ובמשימות.

איך מוצאים את ה-Chronicle API Root

כשניגשים ל-Chronicle API, צריך לאתר את ה-API Root הייחודי של הסביבה שלכם בשביל הגדרות השילוב, המחבר והמשימה.

1. פותחים את הכלים למפתחים בדפדפן ועוברים לפלטפורמת Google SecOps.

2. בוחרים באפשרות חקירה > טבלאות נתונים.

3. בכלים למפתחים, עוברים לכרטיסייה רשת ולוחצים על פריט בעמודה "שם", למשל dataTables?pageSize=1000.

4. בחלונית הפרטים, לוחצים על Headers ומעתיקים את הערך של Request URL, שמופיע בקטע General, בלי נקודת הקצה ופרמטרים של שאילתה (השם של הפריט שנבחר).

   לדוגמה, אם הערך הוא https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000, שורש ה-API לא כולל את /dataTables?pageSize=1000 והוא https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.

שיטות אימות וקדימות של פרטי כניסה

השילוב, המחברים והמשימות של Google Chronicle בודקים את פרטי הכניסה בסדר הבא:

1. פרטי כניסה מובְנים: משמשים באופן אוטומטי כשלא מספקים את Workload Identity Email ו-User's Service Account.
   • מתי להשתמש: הכי מתאים לפרויקטים בניהול Google (ברירת המחדל) שהוקצו החל מהרבעון הרביעי של 2025, או לכל פרויקט בניהול Google שמשתמש ב-Backstory API הקודם. לא צריך ליצור חשבון שירות, להקצות תפקידים או לנהל מפתחות. אין תמיכה בפרטי כניסה מובנים בפריסות של Bring Your Own Project‏ (BYOP) באמצעות Chronicle API.
   • פרויקטים בניהול Google שנוצרו לפני הרבעון הרביעי של 2025: אם אתם עוברים ל-Chronicle API, פנו לתמיכה של Google כדי להפעיל את פרטי הכניסה המובנים של Chronicle API, או הגדירו חשבון שירות באמצעות Workload Identity או מפתח JSON.
2. ‫Workload Identity (Workload Identity Email): משמש כשמספקים כתובת אימייל של חשבון שירות. אם גם Workload Identity Email וגם User's Service Account מאוכלסים, המאפיין הזה מקבל עדיפות.
   • מתי להשתמש: מומלץ כשנדרש חשבון שירות (כמו פריסות של Bring Your Own Project (BYOP) או פרויקטים בניהול Google לפני הרבעון הרביעי של 2025 ללא פרטי כניסה מובנים ל-Chronicle API). מאפשר אימות ללא מפתח, בלי להוריד מפתחות JSON או לבצע רוטציה שלהם, ועומד בדרישות של מדיניות הארגון שמגבילה את היצירה של מפתחות לחשבונות שירות.
3. מפתח JSON של חשבון שירות (User's Service Account): משמש רק כש-Workload Identity Email ריק ומספקים מפתח JSON של חשבון שירות.
   • מתי להשתמש: רק אם נדרש חשבון שירות ואי אפשר להגדיר התחזות ל-Workload Identity. צריך להוריד ולנהל קובץ מפתח JSON סטטי.

אימות באמצעות Workload Identity (מומלץ)

כדי לבצע אימות באמצעות Workload Identity, צריך ליצור חשבון שירות, להקצות את התפקיד הנדרש ולתת הרשאות התחזות למכונה של Google SecOps.

יצירה של חשבון שירות

1. נכנסים לדף Credentials במסוף Google Cloud .

   כניסה לדף Credentials

2. בתפריט Create credentials, בוחרים באפשרות Service account.

3. בקטע Service account details, מזינים שם בשדה Service account name.

4. אופציונלי: עורכים את מזהה חשבון השירות.

5. לוחצים על Create and continue. מופיע המסך הרשאות.

6. לוחצים על Continue. מופיע המסך Principals with access.

7. לוחצים על סיום.

‫Chronicle API: התפקיד שנדרש לחשבון השירות

כשמשתמשים ב-Chronicle API, צריך להקצות לחשבון השירות את התפקיד Chronicle API Editor:

1. נכנסים לדף Credentials במסוף Google Cloud .

   כניסה לדף Credentials

2. בקטע Service Accounts, בוחרים את חשבון השירות ולוחצים על Permissions > Manage access.

3. לוחצים על addAdd role ובוחרים את התפקיד Chronicle API Editor. לוחצים על שמירה.

מתן הרשאות התחזות למכונה של Google SecOps

נותנים למכונה של Google SecOps הרשאה להתחזות לחשבון השירות:

1. ב-Google SecOps, עוברים אל Content Hub > Response Integrations.

2. בוחרים את השילוב שרוצים להגדיר ומזינים את כתובת האימייל של חשבון השירות בשדה Workload Identity Email.

3. לוחצים על שמירה > בדיקה. הבדיקה צפויה להיכשל.

4. לוחצים על close_small משמאל ל-Test ומחפשים בהודעת השגיאה את הערך gke-init-python@PROJECT .iam.gserviceaccount.com או soar-python@TENANT_PROJECT .iam.gserviceaccount.com. מעתיקים את כתובת האימייל הייחודית הזו (היא מזהה את המכונה של Google SecOps).

5. נכנסים לדף Service accounts, בוחרים את הפרויקט ואז את חשבון השירות.

6. בוחרים באפשרות Principals with access > addGrant access.

7. בקטע Add principals, מדביקים את הערך שהעתקתם.

8. מקצים את התפקיד יצירת אסימונים בחשבון שירות.

   זהירות: אם בארגון שלכם נאכפת מדיניות של שיתוף מוגבל לדומיין, השלב הזה ייכשל ותופיע שגיאה שקשורה למדיניות הארגון. לפני שממשיכים, כדאי לקרוא את המאמר הקצאת התפקיד כשאוכפים שיתוף עם הגבלות על דומיינים.

   בקטע Add Roles, בוחרים את התפקיד Service Account Token Creator (roles/iam.serviceAccountTokenCreator) ולוחצים על Save. יכול להיות שיעברו כמה דקות עד שהבדיקה תעבור.

הקצאת התפקיד כשהגבלת השיתוף בדומיין נאכפת

אם הארגון שלכם אוכף שיתוף מוגבל לדומיין, הקצאת התפקיד Service Account Token Creator לחשבון השירות של מכונה של Google SecOps תיכשל ותופיע שגיאה כמו One or more users named in the policy do not belong to a permitted customer. ההקצאה נכשלת כי חשבון השירות שייך לפרויקט בניהול Google מחוץ לארגון.

כדי לאפשר את ההקצאה, צריך להיות לכם את התפקיד "אדמין של מדיניות הארגון" (roles/orgpolicy.policyAdmin) בארגון. מבצעים את השלבים בהתאם לאילוץ שנאכף בארגון:

• הגבלת החברים המורשים במדיניות ההרשאות של IAM (iam.managed.allowedPolicyMembers): עריכת המדיניות שאוכפת את המגבלה. בקטע Parameters, מוסיפים את כתובת האימייל של חשבון השירות שהעתקתם מהודעת השגיאה בבדיקה, עם הקידומת serviceAccount: (לדוגמה, serviceAccount:soar-python@TENANT_PROJECT.iam.gserviceaccount.com), לרשימה הקיימת של allowedMemberSubjects. לאחר מכן, מקצים את התפקיד.
• מדיניות ארגונית בהתאמה אישית ל-iam.googleapis.com/AllowPolicy: מעדכנים את התנאי של האילוץ המותאם אישית כדי לאפשר גם את כתובת האימייל של חשבון השירות באמצעות הפונקציה MemberSubjectMatches. לאחר מכן, מקצים את התפקיד.
• שיתוף מוגבל לדומיין (iam.allowedPolicyMemberDomains): האילוץ הקודם הזה לא תומך בחריגים לחשבונות משתמשים ספציפיים. משביתים את האילוץ בפרויקט שמכיל את חשבון השירות, מקצים את התפקיד ואז מפעילים מחדש את האילוץ. הפעלה מחדש של האילוץ לא מסירה את הקצאת התפקיד. פרטים נוספים זמינים במאמר אילוץ גישה לחשבון.

מידע נוסף זמין במאמר הגדרת חריגים לשיתוף שמוגבל לדומיין.

אימות באמצעות מפתח JSON של חשבון שירות

כדי לבצע אימות באמצעות מפתח JSON של חשבון שירות (במקום השיטה המומלצת של Workload Identity), יוצרים חשבון שירות ייעודי ומורידים את מפתח ה-JSON שלו:

1. במסוף Google Cloud , נכנסים לדף IAM & Admin > Service Accounts.

2. לוחצים על Create Service Account ופועלים לפי ההנחיות.

3. בוחרים את כתובת האימייל של חשבון השירות החדש ועוברים אל Keys > Add Key > Create new key.

4. בוחרים באפשרות JSON בתור סוג המפתח ולוחצים על Create. למחשב שלכם תתבצע הורדה של קובץ JSON עם המפתח.

5. כשמשתמשים ב-Chronicle API, מקצים את התפקיד Chronicle API Editor לחשבון השירות.

פרמטרים של שילוב

כדי לשלב את Google Chronicle, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
UI Root	חובה. כתובת ה-URL הבסיסית של ממשק Google SecOps. משמש ליצירת קישורים ישירים חזרה אל Google SecOps מהאירועים שלכם. ערך ברירת המחדל הוא https://INSTANCE.chronicle.security/.
API Root	חובה. כתובת ה-URL הבסיסית של ה-API למכונת Google SecOps: ‫Chronicle API: כולל את מזהה הפרויקט, האזור ומזהה המכונה (לדוגמה, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). מידע נוסף זמין במאמר איתור הרמה הבסיסית (root) של Chronicle API. ‫Backstory API (מדור קודם): נקודת הקצה האזורית של Backstory. ערך ברירת המחדל הוא https://backstory.googleapis.com.
User's Service Account	זה שינוי אופציונלי. מפתח ה-JSON של חשבון השירות שמשמש לאימות. בשימוש רק אם השדה Workload Identity Email ריק. משאירים את שני שדות פרטי הכניסה ריקים כדי להשתמש בפרטי כניסה מובנים, אם הם נתמכים (ראו שיטות אימות וסדר קדימויות של פרטי כניסה).
Workload Identity Email	זה שינוי אופציונלי. כתובת האימייל של חשבון השירות שמשמשת לאימות באמצעות Workload Identity (מומלץ כשנדרש חשבון שירות). אם שני שדות פרטי הכניסה מאוכלסים, השדה הזה מקבל עדיפות. משאירים את שני שדות פרטי הכניסה ריקים כדי להשתמש בפרטי כניסה מובנים, אם הם נתמכים (ראו שיטות אימות וסדר קדימויות של פרטי כניסה).
Verify SSL	חובה. אם האפשרות הזו נבחרת, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. מופעלת כברירת מחדל.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו בפלייבוקים. למידע נוסף על הגדרה ותמיכה במספר מופעים, ראו תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

הוספת רשומה לרשימת המעקב

משתמשים בפעולה Add Entry To Watchlist כדי להוסיף ישות מסוימת לרשימת מעקב קיימת של ניתוח סיכונים ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API מדור קודם.

קלט של הפעולה

הפעולה הוספת רשומה לרשימת המעקב דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Watchlist Name	חובה. השם של רשימת המעקב של Risk Analytics שאליה רוצים להוסיף את הרשומה.
Entry	חובה. אובייקט ה-JSON שמייצג את הישות שרוצים להוסיף לרשימת הצפייה. במבנה ה-JSON צריך לציין את ערך הישות, את סוג הישות ואת מרחב השמות (אופציונלי). ערך ברירת המחדל הוא: [ { "entity": "", "type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID", "namespace": "Optional" } ]

פלט של פעולות

הפעולה Add Entry To Watchlist מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Add Entry To Watchlist:

[
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    },
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    }
]

הודעות פלט

הפעולה הוספת רשומה לרשימת המעקב יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added new entries to a watchlist WATCHLIST in Google SecOps.	הפעולה בוצעה בהצלחה.
Error executing action "Add Entry To Watchlist". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה Add Entry To Watchlist:

שם תוצאת הסקריפט	ערך
is_success	true או false

הוספת שורות לטבלת נתונים

משתמשים בפעולה Add Rows To Data Table כדי להוסיף שורות לטבלת נתונים ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API מדור קודם.

קלט של הפעולה

כדי להגדיר את הפעולה, משתמשים בפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שרוצים לעדכן.
Rows	חובה. רשימה של אובייקטים בפורמט JSON שמכילים מידע על השורות שצריך להוסיף. לדוגמה: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

פלט של פעולות

הפעולה Add Rows To Data Table (הוספת שורות לטבלת נתונים) מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תובנה לגבי ישות	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מראה תוצאת JSON לדוגמה שמוחזרת על ידי הפעולה Add Rows To Data Table:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          }
}

הודעות פלט

הפעולה Add Rows To Data Table מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added rows to the data table DATA_TABLE_NAME in Google SecOps.	הפעולה בוצעה בהצלחה.
Error executing action "Add Rows to Data Table". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הוספת שורות לטבלת נתונים:

שם תוצאת הסקריפט	ערך
is_success	true או false

הוספת ערכים לרשימת ההפניות

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

כדי להוסיף ערכים לרשימת עזר ב-Google SecOps, משתמשים בפעולה Add Values To Reference List.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

כדי להגדיר את הפעולה, משתמשים בפרמטרים הבאים:

פרמטר	תיאור
Reference List Name	חובה. השם של רשימת ההפניות שרוצים לעדכן.
Values	חובה. רשימה מופרדת בפסיקים של ערכים שרוצים להוסיף לרשימת ההפניות.

פלט של פעולות

הפעולה Add Value To Reference List מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תובנה לגבי ישות	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Add Value To Reference List עם Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Add Value To Reference List עם Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

הודעות פלט

הפעולה Add Values To Reference List מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added values to the reference list REFERENCE_LIST_NAME.	הפעולה בוצעה בהצלחה.
Error executing action "Add Values To Reference List". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Add Values To Reference List:

שם תוצאת הסקריפט	ערך
is_success	true או false

יש לך שאלה ל-Gemini?

משתמשים בפעולה Ask Gemini כדי לשלוח פרומפט טקסטואלי ל-Gemini ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API הקודם. למידע על הדרישות של פרטי הכניסה, ראו שיטות אימות וקדימות של פרטי כניסה.

מגבלות עיבוד וזמני קצובים לתפוגה

הפעולה הזו כפופה למגבלות העיבוד בצינור עיבוד הנתונים של Google SecOps. פעולות שחורגות מהמגבלות האלה בדרך כלל גורמות לשגיאה 503 Service Unavailable.

כדי שהבקשות יבוצעו בהצלחה, הן צריכות לעמוד במפרטים הבאים:

• זמן קצוב לתפוגה: הזמן הקצוב לתפוגה של זיהוי כוונה הוא 30 שניות. משימות סיכום גדולות או הנחיות מורכבות שחורגות מזמן העיבוד הזה גורמות לפעולה להיכשל.

• מגבלה על יצירת תשובות: שלב היצירה מוגבל ל-28,000 טוקנים לכל היותר.

קלט של הפעולה

הפעולה Ask Gemini דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Automatic Opt-in	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, המשתמש מצורף באופן אוטומטי לשיחה עם Gemini בלי צורך באישור ידני. מופעלת כברירת מחדל.
Prompt	חובה. השאלה או הפרומפט הטקסטואלי הראשוניים שיישלחו אל Gemini. חשוב: הנחיות שדורשות עיבוד נרחב (כמו סיכום של קבוצות גדולות של תוצאות) יכולות להיות כפופות לזמן קצוב לתפוגה של 30 שניות. לפרטים נוספים, ראו מגבלות עיבוד וזמנים קצובים לתפוגה.

פלט של פעולות

הפעולה Ask Gemini מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תובנה לגבי ישות	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Ask Gemini:

{
  {
        "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
        "input": {
            "body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
        },
        "responses": [
            {
                "blocks": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal&#39;s IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal&#39;s last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
                        }
                    }
                ],
                "references": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
                        }
                    }
                ],
                "groundings": [
                    "IP address 159.138.84.217 malicious cybersecurity",
                    "IP address 159.138.84.217 threat intelligence"
                ]
            }
        ],
        "createTime": "2025-05-16T11:31:36.660538Z"
    }
}

הודעות פלט

הפעולה Ask Gemini מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully executed a prompt in Google SecOps.	הפעולה בוצעה בהצלחה.
Error executing action "GoogleChronicle - Ask Gemini". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Ask Gemini:

שם תוצאת הסקריפט	ערך
is_success	true או false

העשרת דומיין – הוצא משימוש

הוצאה משימוש: הפעולה הזו הוצאה משימוש.

משתמשים בפעולה Enrich Domain כדי להעשיר דומיינים באמצעות מידע מ-IoC ב-Google SecOps.

הפעולה הזו פועלת בישויות הבאות של Google SecOps:

• URL
• Hostname

קלט של הפעולה

הפעולה Enrich Domain דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Create Insight	אם בוחרים באפשרות הזו, הפעולה תיצור תובנה שמכילה מידע על הישויות. מופעלת כברירת מחדל.
Only Suspicious Insight	אם האפשרות הזו נבחרת, הפעולה תיצור תובנה רק לגבי ישויות שמסומנות כחשודות. לא מופעלת כברירת מחדל. אם בוחרים בפרמטר הזה, צריך לבחור גם בפרמטר Create Insight.
Lowest Suspicious Severity	חובה. רמת החומרה הנמוכה ביותר שמשויכת לדומיין שצריך כדי לסמן אותו כחשוד. ערך ברירת המחדל הוא Medium. הערכים האפשריים הם: High Medium Low Info
Mark Suspicious N/A Severity	חובה. אם בוחרים באפשרות הזו והמידע על החומרה לא זמין, הפעולה מסמנת את הישות כחשודה.

פלט של פעולות

הפעולה Enrich Domain מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	יש גישה
טבלת העשרה	יש גישה
תובנה לגבי ישות	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

שולחן קיר עם ארונית

הפעולה Enrich Domain מספקת את הטבלה הבאה:

שם: ENTITY_IDENTIFIER

עמודות:

• מקור
• רמת החומרה
• קטגוריה
• ביטחון

העשרת ישויות

הפעולה Enrich Domain תומכת בלוגיקה הבאה להעשרת ישויות:

שדה העשרה	לוגיקה (מתי להחיל)
severity	כשהוא זמין ב-JSON
average_confidence	כשהוא זמין ב-JSON
related_domains	כשהוא זמין ב-JSON
categories	כשהוא זמין ב-JSON
sources	כשהוא זמין ב-JSON
first_seen	כשהוא זמין ב-JSON
last_seen	כשהוא זמין ב-JSON
report_link	כשהוא זמין ב-JSON

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich Domain עם Backstory API:

  {
              {
                  "sources": [
                      {
                          "source": "ET Intelligence Rep List",
                          "confidenceScore": {
                              "normalizedConfidenceScore": "Low",
                              "intRawConfidenceScore": 0
                          },
                          "rawSeverity": "High",
                          "category": "Malware Command and Control Server"
                      }
                  ],
                  "iocIngestTime": "2021-01-26T17:00:00Z",
                  "firstSeenTime": "2018-10-03T00:03:53Z",
                  "lastSeenTime": "2022-02-09T10:52:21.229Z",
                  "uri": [
                      "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                  ]
              }
  }
  

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich Domain עם Chronicle API:

[
  {
    "Entity": "example.com",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        },
        {
          "category": "Phishing",
          "firstActiveTime": null,
          "lastActiveTime": "2020-11-27T14:31:37Z",
          "addresses": [
            {
              "domain": "example.com"
            },
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "high",
          "confidenceScore": {
            "strRawConfidenceScore": "high"
          }
        },
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        },
        {
          "metadata": {
            "title": "ESET Threat Intelligence",
            "description": "ESET Threat Intelligence"
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Phishing",
              "activeTimerange": {
                "end": "2020-11-27T14:31:37Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "High",
              "rawSeverity": "High"
            }
          ]
        },
        {
          "metadata": {
            "title": "Mandiant Active Breach Intelligence",
            "description": "Mandiant Active Breach IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        }
      ]
    }
  }
]
  

הודעות פלט

הפעולה Enrich Domain מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully enriched the following domain in Google Chronicle: LIST_OF_IDS	הפעולה בוצעה בהצלחה.
Error executing action "Enrich Domain". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Enrich Domain:

שם תוצאת הסקריפט	ערך
is_success	true או false

העשרת ישויות

אתם יכולים להשתמש בפעולה Enrich Entities כדי לשלוח שאילתה ל-Google SecOps ולקבל הקשר ומאפיינים נוספים לסוגי ישויות ספציפיים. הפעולה הזו משפרת את נתוני החקירה של האיומים על ידי שילוב של מודיעין חיצוני.

הפעולה הזו פועלת בישויות הבאות של Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• URL (מחלץ את הדומיין מכתובת ה-URL)
• User
• Email (ישות משתמש עם ביטוי רגולרי של אימייל)

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API הקודם. למידע על הדרישות של פרטי הכניסה, ראו שיטות אימות וקדימות של פרטי כניסה.

קלט של הפעולה

הפעולה Enrich Entities דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Namespace	זה שינוי אופציונלי. הקיבוץ הלוגי או ההיקף של הישויות שרוצים להעשיר. אם לא בוחרים מרחב שמות, ההעשרה חלה על ישויות במרחב השמות שמוגדר כברירת מחדל או על כל מרחבי השמות הנגישים. כדי שהמערכת תעבד ישויות, הן צריכות להיות שייכות למרחב השמות הזה.
Time Frame	זה שינוי אופציונלי. מסגרת זמן יחסית (לדוגמה, 1 day, 2 hours). הפרמטר הזה מקבל עדיפות על פני Start Time ו-End Time.
Start Time	זה שינוי אופציונלי. שעת ההתחלה של תקופת ההעשרה בפורמט ISO 8601. צריך להשתמש בזה עם End Time אם Time Frame לא מוגדר.
End Time	זה שינוי אופציונלי. שעת הסיום המוחלטת של תקופת ההעשרה בפורמט ISO 8601. משמש עם Start Time אם לא מוגדר Time Frame.

פלט של פעולות

הפעולה Enrich Entities מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	יש גישה
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הפעולה Enrich Entities תומכת בהעשרת הישויות הבאות לכל ישות:

שדה העשרה	מקור (מפתח JSON)	תחולה
GoogleSecOps_related_entities	מספר הrelated_entities	כשהוא זמין בתוצאת ה-JSON.
GoogleSecOps_alert_count_ruleName	‫{alertCounts.count} לכל כלל ספציפי	כשהוא זמין בתוצאת ה-JSON.
GoogleSecOps_first_seen	metric.firstSeen	כשהוא זמין בתוצאת ה-JSON.
GoogleSecOps_last_seen	metric.lastSeen	כשהוא זמין בתוצאת ה-JSON.
GoogleSecOps_flattened_key_under_entity	ערך המפתח, שמושטח מהמבנה בתצוגת עץ שמתחת לאובייקט "entity".	כשהוא זמין בתוצאת ה-JSON.

תוצאת JSON

הדוגמה הבאה מראה את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Enrich Entities:

[
 {
   "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
     "metadata": { "entityType": "DOMAIN_NAME" },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
       "metadata": { "entityType": "DOMAIN_NAME" },
       "entity": {
         "domain": {
           "name": "markossolomon.com",
           "firstSeenTime": "1970-01-01T00:00:00Z",
           "lastSeenTime": "1970-01-01T00:00:00Z",
           "registrar": "NameCheap, Inc.",
           "creationTime": "2013-12-06T02:41:09Z",
           "updateTime": "2019-11-06T11:48:33Z",
           "expirationTime": "2020-12-06T02:41:09Z",
           "registrant": {
             "userDisplayName": "WhoisGuard Protected",
             "emailAddresses": [
               "[e-mail]"
             ],
             "personalAddress": { "countryOrRegion": "PANAMA" },
             "companyName": "WhoisGuard, Inc."
           }
         }
       }
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "npatni-sysops",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:00:02.042Z",
         "endTime": "2025-07-18T07:50:02.472Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:00:02.042Z",
           "endTime": "2025-07-18T07:50:02.472Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "npatni-sysops" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:00:02.042Z",
         "lastSeen": "2025-07-18T07:50:02.472Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:00:02.042Z",
       "lastSeen": "2025-07-18T07:50:02.472Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "329" },
       { "rule": "rule_testbucket", "count": "339" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "332" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 1000 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "exlab2019-ad",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "exlab2019-ad" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.30.202.229",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "ip": ["172.30.202.229"] }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.17.0.1",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-03-09T19:09:02.133Z",
         "endTime": "2025-04-19T02:27:01.994Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-03-09T19:09:02.133Z",
           "endTime": "2025-04-19T02:27:01.994Z"
         }
       },
       "entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
       "metric": {
         "firstSeen": "2025-03-09T19:09:02.133Z",
         "lastSeen": "2025-04-19T02:27:01.994Z"
       }
     },
     "metric": {
       "firstSeen": "2025-03-09T19:09:02.133Z",
       "lastSeen": "2025-04-19T02:27:01.994Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "911d039e71583a07320b32bde22f8e22",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
     "metadata": {
       "entityType": "FILE",
       "interval": {
         "startTime": "2024-12-15T09:07:02Z",
         "endTime": "2025-07-18T07:43:59.045Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
       "metadata": {
         "entityType": "FILE",
         "interval": {
           "startTime": "2024-12-15T09:07:02Z",
           "endTime": "2025-07-18T07:43:59.045Z"
         }
       },
       "entity": {
         "file": {
           "sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
           "md5": "911d039e71583a07320b32bde22f8e22",
           "sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
           "size": "278528",
           "fileType": "FILE_TYPE_PE_EXE",
           "names": [
             "C:\\Windows\\System32\\cmd.exe",
             "cmd",
             "Cmd.Exe",
             "C:\\Windows\\system32\\cmd.exe",
             "C:\\Windows\\SYSTEM32\\cmd.exe",
             "cmd.exe",
             "C:\\\\Windows\\\\System32\\\\cmd.exe",
             "C:\\windows\\SYSTEM32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
             "c:\\Windows\\System32\\cmd.exe",
             "Utilman.exe",
             "c:\\windows\\system32\\cmd.exe",
             "System32/cmd.exe",
             "UtilityVM/Files/Windows/System32/cmd.exe",
             "KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
             "cmd.exe_",
             "C:\\WINDOWS\\SYSTEM32\\cmd.exe",
             "Cmd.exe",
             "Windows/System32/cmd.exe",
             "sethc.exe",
             "C:\\WINDOWS\\System32\\cmd.exe",
             "esRzqurX.exe",
             "rofl.png",
             "F:\\Windows\\SYSTEM32\\cmd.exe",
             "utilman.exe",
             "C:\\Windows\\system32\\CMD.exe",
             "sys32exe/cmd.exe",
             "cmd.txt",
             "C:\\WINDOWS\\system32\\cmd.exe",
             "cmd2.exe",
             "Utilman.exe.sc",
             "uhrHRIv8.exe",
             "C:\\windows\\system32\\cmd.exe",
             "submitted_file",
             "C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
             "J6ff7z0hLYo.exe",
             "N:\\Windows\\System32\\cmd.exe",
             "Q:\\Windows\\System32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
             "C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
             "test.exe",
             "68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
             "8FCVE0Kq.exe",
             "cmd (7).exe",
             "cmd (8).exe",
             "21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
             "LinX v0.9.11 (Intel)/cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
             "cmd_b.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
             "cMd.exe",
             "Repl_Check.bat__",
             "cmd.pdf",
             "cmd.EXE",
             "C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
             "LFepc1St.exe",
             "firefox.exe",
             "3BcnNlWV.exe",
             "Utilman.exebak",
             "utilman1.exe",
             "1.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
             "cmd_1771019736291028992.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
             "Sethc.exe",
             "\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
             "DANFE352023067616112.exe",
             "file.exe",
             "DANFE352023067616112/DANFE352023067616112.exe",
             "C:\\Windows\\SYSTEM32\\Cmd.exe",
             "pippo.exe",
             "C:\\Windows\\System32\\sethc.exe",
             "cmd.exe-bws024-windowsfolder",
             "whatever.exe",
             "sethc.exe.bak",
             "S71dbOR1.exe",
             "F:\\windows\\SYSTEM32\\cmd.exe",
             "L6puhWL7.exe",
             "DANFE357986551413927.exe",
             "DANFE357666506667634.exe",
             "\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
             "\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
             "\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
             "\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
             "\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
             "\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
             "winlogon.exe",
             "AccessibilityEscalation.A' in file 'utilman.exe'",
             "qpl9AqT0.exe",
             "C:\\windows\\system32\\CMD.exe",
             "C:\\po8az\\2po9hmc\\4v1b5.exe",
             "batya.exe",
             "nqAwJaba.exe",
             "\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
             "/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
             "/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
             "\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
             "/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
             "DANFE352429512050669.exe",
             "/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
           ],
           "firstSeenTime": "2024-12-15T09:07:02Z",
           "lastSeenTime": "2025-07-18T07:43:59.045Z",
           "lastAnalysisTime": "2025-07-16T10:06:40Z",
           "signatureInfo": {
             "sigcheck": {
               "verificationMessage": "Signed",
               "verified": true,
               "signers": [{ "name": "Microsoft Windows" }]
             }
           },
           "firstSubmissionTime": "2025-07-15T16:30:27Z"
         }
       },
       "metric": {
         "firstSeen": "2024-12-15T09:07:02Z",
         "lastSeen": "2025-07-18T07:43:59.045Z"
       }
     },
     "metric": {
       "firstSeen": "2024-12-15T09:07:02Z",
       "lastSeen": "2025-07-18T07:43:59.045Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "329" },
       { "rule": "rule_testbucket", "count": "345" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "326" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         { "alertCount": 31 },
         { "alertCount": 111 },
         { "alertCount": 109 },
         { "alertCount": 82 },
         { "alertCount": 86 },
         { "alertCount": 98 },
         { "alertCount": 86 },
         { "alertCount": 85 },
         { "alertCount": 92 },
         { "alertCount": 89 },
         { "alertCount": 90 },
         { "alertCount": 41 }
       ],
       "bucketSize": "172800s"
     },
     "prevalenceResult": [
       { "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
     ],
     "relatedEntities": [
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "hostname": "exlab2019-ad",
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       },
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "ip": ["172.30.202.229"],
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       }
     ]
   }
 },
 {
   "Entity": "tencent.com",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
     "metadata": {
       "entityType": "DOMAIN_NAME",
       "interval": {
         "startTime": "2025-01-14T14:01:00Z",
         "endTime": "2025-01-14T15:02:00Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
       "metadata": {
         "entityType": "DOMAIN_NAME",
         "interval": {
           "startTime": "2025-01-14T14:01:00Z",
           "endTime": "2025-01-14T15:02:00Z"
         }
       },
       "entity": {
         "domain": {
           "name": "tencent.com",
           "firstSeenTime": "2025-01-14T14:01:00Z",
           "lastSeenTime": "2025-01-14T15:02:00Z",
           "registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
           "creationTime": "1998-09-14T04:00:00Z",
           "updateTime": "2024-08-20T08:04:01Z",
           "expirationTime": "2032-09-13T04:00:00Z",
           "registrant": {
             "emailAddresses": [""],
             "personalAddress": { "countryOrRegion": "CHINA" },
             "companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
           }
         }
       },
       "metric": {
         "firstSeen": "2025-01-14T14:01:00Z",
         "lastSeen": "2025-01-14T15:02:00Z"
       }
     },
     "metric": {
       "firstSeen": "2025-01-14T14:01:00Z",
       "lastSeen": "2025-01-14T15:02:00Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "00:50:56:b6:34:86",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "1970-01-01T00:00:00Z",
         "endTime": "2025-05-22T11:37:02Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "1970-01-01T00:00:00Z",
           "endTime": "2025-05-22T11:37:02Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "mac": ["00:50:56:b6:34:86"] }
       },
       "metric": {
         "firstSeen": "1970-01-01T00:00:00Z",
         "lastSeen": "2025-05-22T11:37:02Z"
       }
     },
     "metric": {
       "firstSeen": "1970-01-01T00:00:00Z",
       "lastSeen": "2025-05-22T11:37:02Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 }
]

הודעות פלט

הפעולה Enrich Entities יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully enriched the following entities information from Google SecOps: ENTITY_ID Action wasn't able to enrich the following entities using information from Google SecOps: ENTITY_ID None of the provided entities were enriched using information from Google SecOps.	הפעולה בוצעה בהצלחה.
Error executing action "Enrich Entities". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה העשרת ישויות:

שם תוצאת הסקריפט	ערך
is_success	true או false

העשרת כתובת IP – הוצא משימוש

הוצאה משימוש: הפעולה הזו הוצאה משימוש.

משתמשים בפעולה Enrich IP כדי להעשיר ישויות IP באמצעות מידע מ-IoC ב-Google SecOps.

הפעולה הזו פועלת על הישות "כתובת IP".

קלט של הפעולה

הפעולה העשרת כתובת IP דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Create Insight	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה שמכילה מידע על ישויות. מופעלת כברירת מחדל.
Only Suspicious Insight	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה יוצרת תובנות רק לגבי ישויות שמסומנות כחשודות. התכונה לא מופעלת כברירת מחדל. אם בוחרים בפרמטר הזה, צריך לבחור גם ב-Create Insight.
Lowest Suspicious Severity	חובה. רמת החומרה הנמוכה ביותר שמשויכת לכתובת ה-IP כדי לסמן אותה כחשודה. ערך ברירת המחדל הוא Medium. הערכים האפשריים הם: High Medium Low Info
Mark Suspicious N/A Severity	חובה. אם בוחרים באפשרות הזו והמידע על החומרה לא זמין, הפעולה מסמנת את הישות כחשודה.

פלט של פעולות

הפעולה Enrich IP מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	יש גישה
טבלת העשרה	יש גישה
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

שולחן קיר עם ארונית

שם: ENTITY_IDENTIFIER

עמודות:

• מקור
• רמת החומרה
• קטגוריה
• ביטחון
• דומיינים קשורים

העשרת ישויות

הפעולה Enrich IP תומכת בלוגיקת העשרת הישויות הבאה:

שדה העשרה	לוגיקה (מתי להחיל)
severity	כשהוא זמין ב-JSON
average_confidence	כשהוא זמין ב-JSON
related_domains	כשהוא זמין ב-JSON
categories	כשהוא זמין ב-JSON
sources	כשהוא זמין ב-JSON
first_seen	כשהוא זמין ב-JSON
last_seen	כשהוא זמין ב-JSON
report_link	כשהוא זמין ב-JSON

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich IP עם Backstory API:

{
            {
                "sources": [
                    {
                        "source": "Example List",
                        "confidenceScore": {
                            "normalizedConfidenceScore": "Low",
                            "intRawConfidenceScore": 0
                        },
                        "rawSeverity": "High",
                        "category": "Malware Command and Control Server"
                    }
                ],
                "iocIngestTime": "2021-01-26T17:00:00Z",
                "firstSeenTime": "2018-10-03T00:03:53Z",
                "lastSeenTime": "2022-02-09T10:52:21.229Z",
                "uri": [
                    "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                ]
            }
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich IP עם Chronicle API:

[
  {
    "Entity": "192.0.2.121",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "low",
          "confidenceScore": {
            "strRawConfidenceScore": "67"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "67",
              "rawSeverity": "Low"
            }
          ]
        }
      ]
    }
  }
]

הודעות פלט

הפעולה Enrich IP מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully enriched the following IPs from Google Chronicle: LIST_OF_IPS	הפעולה בוצעה בהצלחה.
Error executing action "Enrich IP". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Enrich IP:

שם תוצאת הסקריפט	ערך
is_success	true או false

הפעלת Retrohunt

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

כדי להריץ חיפוש רטרואקטיבי של כלל ב-Google SecOps, משתמשים בפעולה Execute Retrohunt.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

כדי להפעיל את הפעולה Execute Retrohunt, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
Rule ID	חובה. המזהה של הכלל שרוצים להריץ עבורו חיפוש רטרואקטיבי. משתמשים בפורמט ru_{UUID} לגרסה העדכנית של כלל, או בפורמט ru_{UUID}@v_{int64}_{int64} לגרסה ספציפית.
Time Frame	זה שינוי אופציונלי. התקופה שעבורה רוצים לאחזר את התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם נבחר Custom, הפרמטר Start Time נדרש. ערך ברירת המחדל הוא Last Hour.
Start Time	שעת ההתחלה של התוצאות בפורמט ISO 8601. חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר כ-Custom.
End Time	שעת הסיום של התוצאות בפורמט ISO 8601. אם לא מגדירים ערך ובוחרים את הערך Custom לפרמטר Time Frame, המערכת משתמשת בשעה הנוכחית.

פלט של פעולות

הפעולה Execute Retrohunt מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תובנה לגבי ישות	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Execute Retrohunt עם Backstory API:

{
  "retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
  "ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
  "versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
  "eventStartTime": "2021-01-14T23:00:00Z",
  "eventEndTime": "2021-01-30T23:00:00Z",
  "retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
  "state": "RUNNING"
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Execute Retrohunt עם Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/RetrohuntMetadata",
    "retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
    "executionInterval": {
      "startTime": "2025-01-22T12:16:20.963182Z",
      "endTime": "2025-01-23T12:16:20.963182Z"
    }
  },
  "retrohuntId": "RETROHUNT_ID",
  "ruleId": "RULE_ID",
  "versionId": "VERSION_ID",
  "eventStartTime": "2025-01-22T12:16:20.963182Z",
  "eventEndTime": "2025-01-23T12:16:20.963182Z"
}

הודעות פלט

הפעולה Execute Retrohunt מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully executed a retrohunt for the provided rule in Google Chronicle.	הפעולה בוצעה בהצלחה.
Error executing action "Execute Retrohunt". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Execute Retrohunt:

שם תוצאת הסקריפט	ערך
is_success	true או false

הרצת שאילתת UDM

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

משתמשים בפעולה Execute UDM Query כדי להריץ שאילתת UDM בהתאמה אישית ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: מידע על מגבלות קצב של יצירת בקשות מופיע במאמר מגבלות קצב של יצירת בקשות בחיפוש ב-UDM.

קלט של הפעולה

כדי להפעיל את הפעולה Execute UDM Query, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
Query	חובה. השאילתה להפעלה ב-Google SecOps. הערה: הפרמטר הזה מבצע בדיקה מפורשת של תלות באותיות רישיות בשאילתת ה-UDM (בניגוד לחיפוש ב-UDM). כדי לעקוף את הבדיקה הזו, מוסיפים את nocase לערך של הפרמטר UDM Query.
Include Raw Log Data	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה מאחזרת את קובץ היומן הגולמי המקורי שמשויך לתוצאות החיפוש ב-UDM. האפשרות הזו זמינה רק כשמשתמשים באימות של Chronicle API. מושבתת כברירת מחדל.
Time Frame	זה שינוי אופציונלי. התקופה שעבורה רוצים לאחזר את התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם נבחר Custom, הפרמטר Start Time נדרש. ערך ברירת המחדל הוא Last Hour.
Start Time	זה שינוי אופציונלי. שעת ההתחלה של התוצאות בפורמט ISO 8601 (לדוגמה, YYYY-MM-DD HH:mm:ss.SSSZ). חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר כ-Custom. טווח התאריכים המקסימלי הוא 90 ימים.
End Time	זה שינוי אופציונלי. שעת הסיום של התוצאות בפורמט ISO 8601 (לדוגמה, YYYY-MM-DD HH:mm:ss.SSSZ). אם לא מגדירים ערך והפרמטר Time Frame מוגדר כ-Custom, המערכת משתמשת בשעה הנוכחית. טווח התאריכים המקסימלי הוא 90 ימים.
Max Results To Return	זה שינוי אופציונלי. מספר התוצאות שיוחזרו לשאילתה אחת. הערך המקסימלי הוא 10,000. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה Execute UDM Query מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Execute UDM Query:

{
    "events": [
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:43:47.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "I did not create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:38:44.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "Did you create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "avg_seconds": {
                "values": [
                    {
                        "doubleVal": 1755680893.3333333
                    }
                ]
            },
            "event_type_array": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            },
            "target.file.vhash": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            }
        }
    ]
}

הודעות פלט

הפעולה Execute UDM Query מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	הפעולה בוצעה בהצלחה.
Error executing action "Execute UDM Query". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Execute UDM Query". Reason: you've reached a rate limit. Please wait for several minutes and try again.	הפעולה נכשלה. מחכים כמה דקות לפני שמפעילים שוב את הפעולה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה Execute UDM Query:

שם תוצאת הסקריפט	ערך
is_success	true או false

הרצת שאילתת UDM באופן אסינכרוני

חשוב: שאילתות נצברות נתמכות רק באמצעות הגדרת השילוב של Chronicle API.

משתמשים בפעולה Execute UDM Query Async כדי להריץ שאילתת UDM בהתאמה אישית ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו היא אסינכרונית. בסביבת הפיתוח המשולבת (IDE) של Google SecOps, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט לפעולה לפי הצורך.

למידע על מגבלות קצב, ראו מגבלות קצב של חיפוש UDM.

קלט של הפעולה

כדי להפעיל את הפעולה Execute UDM Query, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
Query	חובה. השאילתה להפעלה ב-Google SecOps. הערה: הפרמטר הזה מבצע בדיקה מפורשת של תלות באותיות רישיות בשאילתת ה-UDM (בניגוד לחיפוש ב-UDM). כדי לעקוף את הבדיקה הזו, מוסיפים את nocase לערך של הפרמטר UDM Query.
Time Frame	זה שינוי אופציונלי. התקופה שעבורה רוצים לאחזר את התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם בוחרים באפשרות Alert Time Till Now, הפעולה מחפשת משעת ההתחלה של ההתראה ועד לשעה הנוכחית. אם בוחרים באפשרות 5 Minutes Around Alert Time, 30 Minutes Around Alert Time או 1 Hour Around Alert Time, הפעולה מחפשת את מספר הדקות שצוין סביב שעת ההתחלה של ההתראה. אם נבחר Custom, הפרמטר Start Time נדרש. ערך ברירת המחדל הוא Last Hour.
Start Time	זה שינוי אופציונלי. שעת ההתחלה של התוצאות בפורמט ISO 8601‏ (YYYY-MM-DD HH:mm:ss.SSSZ). חובה לכלול את הפרמטר הזה אם הערך של Time Frame מוגדר כ-Custom. הערה: ההפרש בין Start Time ל-End Time לא יכול להיות גדול מ-90 ימים.
End Time	זה שינוי אופציונלי. שעת הסיום של התוצאות בפורמט ISO 8601 (YYYY-MM-DD HH:mm:ss.SSSZ). אם לא מגדירים ערך ו-Time Frame מוגדר ל-Custom, המערכת משתמשת בשעה הנוכחית. הערה: ההפרש בין Start Time ל-End Time לא יכול להיות גדול מ-90 ימים.
Max Results To Return	זה שינוי אופציונלי. מספר התוצאות שיוחזרו לשאילתה אחת. הערך המקסימלי הוא 1,000,000. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה Execute UDM Query Async מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Execute UDM Query Async:

{
    "events": [
        {
            "event": {
                "metadata": {
                    "eventTimestamp": "2022-01-20T09:15:15.687Z",
                    "eventType": "USER_LOGIN",
                    "vendorName": "Microsoft",
                    "productName": "Active Directory",
                    "ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
                },
                "principal": {
                    "hostname": "workstation-01",
                    "ip": [
                        "192.168.1.50"
                    ],
                    "mac": [
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E"
                    ],
                    "location": {
                        "city": "Metropolis",
                        "state": "New York",
                        "countryOrRegion": "US"
                    },
                    "asset": {
                        "hostname": "workstation-01",
                        "ip": [
                            "192.168.1.50",
                            "192.168.1.50",
                            "192.168.1.50"
                        ],
                        "mac": [
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E"
                        ]
                    }
                },
                "target": {
                    "user": {
                        "userid": "user_alpha",
                        "userDisplayName": "User Alpha",
                        "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
                        "emailAddresses": [
                            "[e-mail]",
                            "[e-mail]"
                        ],
                        "employeeId": "1234567",
                        "productObjectId": "11111111-2222-3333-4444-555555555555",
                        "firstName": "User",
                        "lastName": "Alpha",
                        "phoneNumbers": [
                            "555-0199-0000"
                        ],
                        "title": "Executive Assistant",
                        "companyName": "Example Corp",
                        "department": [
                            "Executive - Admin"
                        ],
                        "managers": [
                            {
                                "userDisplayName": "Manager Beta",
                                "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
                                "emailAddresses": [
                                    "[e-mail]"
                                ],
                                "employeeId": "7654321",
                                "productObjectId": "66666666-7777-8888-9999-000000000000",
                                "firstName": "Manager",
                                "lastName": "Beta",
                                "phoneNumbers": [
                                    "555-0199-0001 ext 123"
                                ],
                                "title": "Chief Technology Officer",
                                "companyName": "Example Corp",
                                "department": [
                                    "Executive - Admin"
                                ]
                            }
                        ]
                    },
                    "ip": [
                        "203.0.113.10"
                    ],
                    "email": "[e-mail]",
                    "application": "Windows Sign In"
                },
                "securityResult": [
                    {
                        "summary": "Successful Login",
                        "action": [
                            "ALLOW"
                        ]
                    }
                ],
                "rawLogData": {
                    "agent_id": "00000000000000000000000000000001",
                    "aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
                    "data_domains": [
                        "Endpoint"
                    ],
                    "description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
                    "device": {
                        "agent_load_flags": "0",
                        "agent_local_time": "2025-08-07T01:42:54.415Z",
                        "agent_version": "7.27.18003.0",
                        "bios_manufacturer": "Generic Manufacturer LTD"
                    },
                    "template_instance_id": "10001",
                    "timestamp": "2025-08-19T15:08:13.742Z",
                    "user_name": "root"
                },
                "extensions": {
                    "auth": {
                        "type": "SSO"
                    }
                }
            },
            "eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
        }
    ]
}

הודעות פלט

הפעולה Execute UDM Query Async מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	הפעולה בוצעה בהצלחה.
Error executing action "Execute UDM Query Async". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Execute UDM Query Async ". Reason: you've reached a rate limit. Please wait for several minutes and try again.	הפעולה נכשלה. מחכים כמה דקות לפני שמפעילים שוב את הפעולה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה Execute UDM Query Async:

שם תוצאת הסקריפט	ערך
is_success	true או false

יצירת שאילתת UDM

(גרסת טרום-השקה) אתם יכולים להשתמש בפעולה Generate UDM Query כדי ליצור שאילתות UDM מורכבות באמצעות הנחיות בשפה טבעית ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API מדור קודם.

קלט של הפעולה

כדי להשתמש בפעולה Generate UDM Query, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
Prompt	חובה. ההנחיה שהמערכת משתמשת בה כדי ליצור את שאילתת ה-UDM המובנית.

פלט של פעולות

הפעולה Generate UDM Query מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Generate UDM Query:

{
  "query": "ip = \"10.0.0.1\""
}

הודעות פלט

הפעולה Generate UDM Query מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully generated a UDM query in Google SecOps.	הפעולה בוצעה בהצלחה.
Error executing action "Generate UDM Query". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Generate UDM Query:

שם תוצאת הסקריפט	ערך
is_success	true או false

קבלת טבלאות נתונים

משתמשים בפעולה Get Data Tables כדי לאחזר טבלאות נתונים זמינות ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API הקודם. למידע על הדרישות של פרטי הכניסה, ראו שיטות אימות וקדימות של פרטי כניסה.

שמירת טבלת הנתונים במטמון

אתם יכולים להפעיל שמירה במטמון כדי לצמצם את הבקשות החוזרות ל-Google SecOps ולהאיץ את ההרצה של הפלייבוקים:

• איך פועלת השמירה במטמון: כשבוחרים באפשרות Use Cache, הפעולה שומרת את טבלאות הנתונים שאוחזרו במטמון משותף של סביבת Google SecOps. בהפעלות הבאות של פלייבוקים ופעולות נתמכות בטבלת הנתונים באותה סביבה, המערכת משתמשת מחדש בנתונים שנשמרו במטמון עד שהתוקף שלהם פג.

• שמירת כל הטבלה במטמון: הפעולה תמיד שומרת במטמון את כל השורות של כל טבלה תואמת (גם אם Expanded Rows מושבת או ש-Max Data Table Rows To Return מוגדר למגבלה קטנה יותר), כדי ש-Is Value In Data Table ו-Is Value In Data Table Async יוכלו להשתמש שוב במטמון.

• הפעלות ראשונות ללא סינון: כל השורות של כל טבלה תואמת נשמרות במטמון, כך שהפעלת הפעולה ללא Filter Value עשויה להימשך זמן רב יותר כשהמטמון ריק או שתוקפו פג.

• ההשפעה של Cache TTL: קובעת כמה זמן הנתונים שנשמרו במטמון יישארו תקפים לפני שהפעולה תאחזר נתונים חדשים מ-Google SecOps:

  • TTL ארוך יותר: מפחית את בקשות ה-API ומאיץ את הפלייבוקים, אבל עדכונים בטבלת הנתונים לא משתקפים עד שתוקף המטמון פג.
  • TTL קצר יותר: התוצאות נשארות עדכניות יותר בטבלאות שמשתנות לעיתים קרובות, אבל מספר הבקשות ל-Google SecOps גדל.

קלט של הפעולה

הפעולה Get Data Tables דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Filter Key	זה שינוי אופציונלי. המפתח שלפיו רוצים לסנן האפשרות Name מתייחסת לשם המוצג של טבלת הנתונים. הערכים האפשריים הם: Name Description
Filter Logic	זה שינוי אופציונלי. לוגיקת הסינון שרוצים להחיל. הערכים האפשריים הם: Equal (להתאמות מדויקות) Contains(להתאמות של מחרוזות משנה)
Filter Value	זה שינוי אופציונלי. הערך שבו משתמשים במסנן. הערכים האפשריים הם: Equal (להתאמות מדויקות) Contains(להתאמות של מחרוזות משנה) ‫Equal פועל עם הפרמטר Title, ואילו Contains פועל עם כל הערכים בתגובה. אם לא תזינו ערך, המסנן לא יופעל.
Expanded Rows	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, התשובה כוללת שורות מפורטות של טבלת נתונים.
Max Data Tables To Return	חובה. מספר טבלאות הנתונים שיוחזרו. הערך המקסימלי הוא 1000.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו. השתמשו בפרמטר הזה רק אם Expanded Rows מופעל. הערך המקסימלי הוא 1000.
Use Cache	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, הפעולה משתמשת בתוצאות של טבלת נתונים שנשמרו במטמון כשהן זמינות, במקום לשלוח שאילתה ל-Google SecOps בכל הפעלה. לפרטים נוספים, ראו שמירת טבלת נתונים במטמון.
Cache TTL	זה שינוי אופציונלי. משך הזמן שהמטמון נשמר בדקות לפני שהפעולה מאחזרת נתונים חדשים מ-Google SecOps. פרטים נוספים זמינים במאמר שמירת טבלת נתונים במטמון. הערך המינימלי הוא 1. ערך ברירת המחדל הוא 60.

פלט של פעולות

הפעולה Get Data Tables מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Get Data Tables:

{
      "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
      "displayName": "data_table",
      "createTime": "2025-05-14T12:52:50.064133Z",
      "updateTime": "2025-05-14T13:13:48.631442Z",
      "columnInfo": [
          {
              "originalColumn": "columnName1",
              "columnType": "STRING"
          },
          {
              "columnIndex": 1,
              "originalColumn": "columnName2",
              "columnType": "STRING"
          },
          {
              "columnIndex": 2,
              "originalColumn": "columnName3",
              "columnType": "STRING"
          }
      ],
      "dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
      "approximateRowCount": "2",
      "Used cache": true,
      "rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
}

הודעות פלט

הפעולה Get Data Tables מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully found data tables for the provided criteria in Google SecOps	הפעולה בוצעה בהצלחה.
Error executing action "Get Data Tables". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה Get Data Tables:

שם תוצאת הסקריפט	ערך
is_success	true או false

קבלת פרטי הזיהוי

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

אתם יכולים להשתמש בפעולה Get Detection Details כדי לאחזר מידע על זיהוי ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Get Detection Details דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Rule ID	חובה. מזהה הכלל שקשור לזיהוי. משתמשים בפורמט ru_{UUID} לגרסה העדכנית של כלל, או בפורמט ru_{UUID}@v_{int64}_{int64} לגרסה ספציפית.
Detection ID	חובה. המזהה של הזיהוי שרוצים לאחזר את הפרטים שלו. אם תספקו תווים מיוחדים, הפעולה לא תיכשל, אבל תוחזר רשימה של זיהויים.
Include Raw Log Data	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה מאחזרת את קובץ היומן הגולמי המקורי שמשויך לתוצאות החיפוש ב-UDM. האפשרות הזו זמינה רק כשמשתמשים באימות של Chronicle API. מושבתת כברירת מחדל.

פלט של פעולות

הפעולה Get Detection Details מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Get Detection Details:

{
    "collectionElements": [
        {
            "label": "e",
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2023-10-04T21:18:44Z",
                            "eventType": "NETWORK_CONNECTION",
                            "id": "yyyx=",
                            "ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
                            "logType": "UDM",
                            "productEventType": "Traffic - start",
                            "productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
                            "productName": "NGFW",
                            "vendorName": "Palo Alto Networks"
                        },
                        "network": {
                            "ipProtocol": "TCP",
                            "receivedBytes": "yyyyyyyyyxx",
                            "sentBytes": "yyyyyyyyyxx",
                            "sessionId": "yyyyyyyyyxx"
                        },
                        "principal": {
                            "asset": {
                                "hostname": "test3",
                                "ip": [
                                    "00.0.0.00"
                                ],
                                "mac": [
                                    "00:00:00:0b:c9:11"
                                ]
                            },
                            "hostname": "test3",
                            "ip": [
                                "x.x.0.x"
                            ],
                            "mac": [
                                "00:00:00:0b:c9:11"
                            ],
                            "port": 18985
                        },
                        "rawLogData": {
                            "action": "yyyyyy",
                            "decodedString": "yyyyyy",
                            "external_id": "yyyyyy",
                            "matching_status": "yyyyyy",
                            "severity": "yyyyyy",
                            "source": "yyyyyy"
                        },
                        "securityResult": [
                            {
                                "action": [
                                    "ALLOW"
                                ]
                            }
                        ],
                        "target": {
                            "asset": {
                                "hostname": "youtube.com"
                            },
                            "hostname": "youtube.com",
                            "port": 4548
                        }
                    }
                }
            ]
        }
    ],
    "createdTime": "2023-10-04T22:16:22.145254Z",
    "detection": [
        {
            "alertState": "ALERTING",
            "riskScore": 40,
            "ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
            "ruleLabels": [
                {
                    "key": "priority",
                    "value": "Medium"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ],
            "ruleName": "dns_not_google",
            "ruleType": "SINGLE_EVENT",
            "ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
            "urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
        }
    ],
    "detectionTime": "2023-10-04T21:18:44Z",
    "id": "yyyx-e380-yyyx-yyyx-yyyx",
    "timeWindow": {
        "endTime": "2023-10-04T21:18:44Z",
        "startTime": "2023-10-04T21:18:44Z"
    },
    "type": "RULE_DETECTION"
}

הודעות פלט

הפעולה Get Detection Details מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully fetched information about the detection with ID DETECTION_ID in Google Chronicle.	הפעולה בוצעה בהצלחה.
Error executing action "Get Detection Details". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Get Detection Details:

שם תוצאת הסקריפט	ערך
is_success	true או false

קבלת רשימות של קובצי עזר

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

משתמשים בפעולה Get Reference Lists כדי לאחזר את רשימות העזר הזמינות ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Get Reference Lists דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Filter Key	המפתח שלפיו רוצים לסנן. הערכים האפשריים הם: Name Content Type Description
Filter Logic	לוגיקת הסינון שרוצים להחיל. הערכים האפשריים הם: Equal (להתאמות מדויקות) Contains(להתאמות של מחרוזות משנה) ערך ברירת המחדל הוא Equal.
Filter Value	הערך שבו משתמשים במסנן. הערכים האפשריים הם: Equal (להתאמות מדויקות) Contains(להתאמות של מחרוזות משנה) ‫Equal פועל עם הפרמטר Title, ואילו Contains פועל עם כל הערכים בתגובה. אם לא מציינים ערך, המסנן לא מופעל.
Expanded Details	אם בוחרים באפשרות הזו, הפעולה מחזירה מידע מפורט על רשימות ההפניות. התכונה לא מופעלת כברירת מחדל.
Max Reference Lists To Return	מספר רשימות ההפניות שיוחזרו. ערך ברירת המחדל הוא 100.

פלט של פעולות

הפעולה Get Reference List מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	יש גישה
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

שולחן קיר עם ארונית

ב-Case Wall, האפשרות Get Reference Lists מספקת את הטבלה הבאה:

שם: רשימות זמינות של קובצי עזר

עמודות:

• שם
• תיאור
• סוג

תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Reference Lists עם Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Reference Lists עם Chronicle API:

[
  {
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
    "displayName": "REFERENCE_LIST_ID",
    "revisionCreateTime": "2025-01-09T15:53:10.851775Z",
    "description": "Test reference list",
    "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
    "scopeInfo": {
      "referenceListScope": {}
    },
    "createTime": "2025-01-09T15:53:10.851775Z"
  }
]

הודעות פלט

הפעולה Get Reference Lists מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully found reference lists for the provided criteria in Google Chronicle. The filter was not applied because parameter "Filter Value" has an empty value.	הפעולה בוצעה בהצלחה.
Error executing action ACTION_NAME. Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action ACTION_NAME. Reason: "Invalid value was provided for "Max Reference Lists to Return": PROVIIDED_VALUE. Positive number should be provided.	הפעולה נכשלה. צריך לבדוק את הערך של הפרמטר Max Reference Lists to Return.

Script

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Get Reference Lists:

שם תוצאת הסקריפט	ערך
is_success	true או false

קבלת פרטי הכלל

אפשר להשתמש בפעולה Get Rule Details כדי לאחזר מידע על כלל ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: אפשר לאחזר מידע על כללים שנבחרו רק באמצעות Chronicle API, ויכול להיות שיהיה צורך בהרשאות ספציפיות.

קלט של הפעולה

הפעולה Get Rule Details דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Rule ID	חובה. המזהה הייחודי של הכלל שרוצים לאחזר את הפרטים שלו. ערך ברירת המחדל הוא [Alert.rule_id].

פלט של פעולות

הפעולה Get Rule Details מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Rule Details עם Backstory API:

{
    "ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
    "versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
    "ruleName": "SampleRule",
    "metadata": {
      "description": "Sample Description of the Rule",
      "author": "[e-mail]"
    },
    "ruleText": "rule SampleRule {
        meta:
          description = \"Sample Description of the Rule\"
          author = \"[e-mail]\"
        events:
          // This will just generate lots of detections
          $event.metadata.event_type = \"NETWORK_HTTP\"
        condition:
          $event
        } ",
    "liveRuleEnabled": true,
    "versionCreateTime": "2020-10-13T23:18:13.146879Z",
    "compilationState": "SUCCEEDED"
  }

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Rule Details עם Chronicle API:

{
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
    "revisionId": "v_1733917896_973567000",
    "displayName": "Test_rule_SingleEvent",
    "text": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "author": "example_user",
    "metadata": {
        "author": "example_user",
        "description": "windowed single event example rule",
        "severity": null
    },
    "createTime": "2024-12-11T11:36:18.192127Z",
    "revisionCreateTime": "2024-12-11T11:51:36.973567Z",
    "compilationState": "SUCCEEDED",
    "type": "SINGLE_EVENT",
    "allowedRunFrequencies": [
        "LIVE",
        "HOURLY",
        "DAILY"
    ],
    "etag": "CMj55boGEJjondAD",
    "ruleId": "RULE_ID",
    "versionId": "RULE_ID@v_1733917896_973567000",
    "ruleName": "Test_rule_SingleEvent",
    "ruleText": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "ruleType": "SINGLE_EVENT",
    "versionCreateTime": "2024-12-11T11:51:36.973567Z"
}

הודעות פלט

הפעולה Get Rule Details מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully fetched information about the rule with ID RULE_ID in Google Chronicle.	הפעולה בוצעה בהצלחה.
Error executing action "Get Rule Details". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה Get Rule Details (קבלת פרטי הכלל):

שם תוצאת הסקריפט	ערך
is_success	true או false

האם CIDR נמצא בטבלת הנתונים

אפשר להשתמש בפעולה Is CIDR In Data Table כדי לבדוק אם ערכי CIDR ספציפיים נמצאים בטבלת נתונים ספציפית ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API הקודם. למידע על הדרישות של פרטי הכניסה, ראו שיטות אימות וקדימות של פרטי כניסה.

קלט של הפעולה

הפעולה Is CIDR In Data Table דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שבה רוצים לחפש.
Column	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של עמודות לחיפוש בטבלת הנתונים. אם לא תספקו ערך, הפעולה תחפש בכל העמודות.
CIDR	חובה. רשימה מופרדת בפסיקים של ערכי CIDR שצריך לחפש בטבלת הנתונים.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו לכל ערך תואם. הערך המקסימלי הוא 1000. ערך ברירת המחדל הוא 1000.

פלט של פעולות

הפעולה Is CIDR In Data Table מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Is CIDR In Data Table:

[{
   "Entity": "asda",
   "EntityResult": {
       "is_found": true,
       "matched_rows": [
           {
               "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
               "values": {
                   "columnName1": "asda",
                   "columnName2": "asdasd",
                   "columnName3": "zxczxc"
               },
               "createTime": "2025-05-14T12:52:51.908143Z",
               "updateTime": "2025-05-14T12:52:51.908143Z"
           }
       ]
   }
}]

הודעות פלט

הפעולה Is CIDR In Data Table מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully searched provided CIDR values in the data table DATA_TABLE_NAME in Google SecOps	הפעולה בוצעה בהצלחה.
Error executing action "Is CIDR In Data Table". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Is CIDR In Data Table:

שם תוצאת הסקריפט	ערך
is_success	true או false

האם הערך נמצא בטבלת הנתונים

משתמשים בפעולה Is Value In Data Table כדי לבדוק אם הערכים שצוינו נמצאים בטבלת נתונים ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API הקודם. למידע על הדרישות של פרטי הכניסה, ראו שיטות אימות וקדימות של פרטי כניסה.

שמירת טבלת הנתונים במטמון

אתם יכולים להפעיל שמירה במטמון כדי לצמצם את הבקשות החוזרות ל-Google SecOps ולהאיץ את ההרצה של הפלייבוקים:

• איך פועלת השמירה במטמון: כשבוחרים באפשרות Use Cache, הפעולה שומרת את טבלאות הנתונים שאוחזרו במטמון משותף של סביבת Google SecOps. בהפעלות הבאות של פלייבוקים ופעולות נתמכות בטבלת הנתונים באותה סביבה, המערכת משתמשת מחדש בנתונים שנשמרו במטמון עד שהתוקף שלהם פג.

• שמירת כל הטבלה במטמון: כשהמטמון ריק או שתוקפו פג, הפעולה מאחזרת את כל טבלת הנתונים ושומרת אותה במטמון, במקום רק את השורות שתואמות ל-Values. בחיפושים הבאים של ערכים שונים באותה טבלה, אפשר להשתמש שוב במטמון בלי לשלוח שאילתה ל-Google SecOps.

• מגבלת שורות הפלט: Max Data Table Rows To Return מגבילה את השורות התואמות שמוחזרות בפלט הפעולה לכל ערך, ולא את השורות שמאוחסנות במטמון.

• ההשפעה של Cache TTL: קובעת כמה זמן הנתונים שנשמרו במטמון יישארו תקפים לפני שהפעולה תאחזר נתונים חדשים מ-Google SecOps:

  • TTL ארוך יותר: מפחית את בקשות ה-API ומאיץ את הפלייבוקים, אבל עדכונים בטבלת הנתונים לא משתקפים עד שתוקף המטמון פג.
  • TTL קצר יותר: התוצאות נשארות עדכניות יותר בטבלאות שמשתנות לעיתים קרובות, אבל מספר הבקשות ל-Google SecOps גדל.

קלט של הפעולה

הפעולה האם הערך נמצא בטבלת הנתונים דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שבה רוצים לחפש.
Column	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של עמודות לחיפוש. אם לא מציינים ערך, הפעולה מחפשת בכל העמודות.
Values	חובה. רשימה מופרדת בפסיקים של ערכים לחיפוש.
Case Insensitive Search	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, החיפוש לא תלוי-רישיות. מופעלת כברירת מחדל.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו לכל ערך תואם. הערך המקסימלי הוא 1000.
Use Cache	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, הפעולה משתמשת בתוצאות של טבלת הנתונים שנשמרו במטמון כשהן זמינות, במקום לשלוח שאילתה ל-Google SecOps בכל הפעלה. לפרטים נוספים, ראו שמירת טבלת נתונים במטמון.
Cache TTL	זה שינוי אופציונלי. משך הזמן שהמטמון נשמר בדקות לפני שהפעולה מאחזרת נתונים חדשים מ-Google SecOps. פרטים נוספים זמינים במאמר שמירת טבלת נתונים במטמון. הערך המינימלי הוא 1. ערך ברירת המחדל הוא 60.

פלט של פעולות

הפעולה האם הערך נמצא בטבלת הנתונים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Is Value In Data Table:

[{
  "Entity": "asda",
  "EntityResult": {
      "is_found": true,
      "Used cache": true,
      "matched_rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
  }
}]

הודעות פלט

הפעולה האם הערך נמצא בטבלת הנתונים מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully searched provided values in the data table DATA_TABLE_NAME in Google SecOps.	הפעולה בוצעה בהצלחה.
הייתה שגיאה בביצוע הפעולה "האם הערך נמצא בטבלת הנתונים". הסיבה: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Is Value In Data Table". Reason: the following data tables were not found in: DATA_TABLE_NAME: COLUMN_NAMES. Please check the spelling.	הפעולה נכשלה.
Error executing action "Is Value In Data Table". Reason: This action isn't supported for Backstory API configuration. Please update the integration configuration.	הפעולה נכשלה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה Is Value In Data Table:

שם תוצאת הסקריפט	ערך
is_success	true או false

האם הערך בטבלת הנתונים הוא אסינכרוני

הפעולה Is Value In Data Table Async משמשת כדי לבדוק אם הערכים שצוינו נמצאים בטבלת נתונים ב-Google SecOps באופן אסינכרוני, באמצעות פעולות חיפוש ארוכות.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: זו פעולה אסינכרונית. במידת הצורך, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE לפעולה.

הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API הקודם. למידע על הדרישות של פרטי הכניסה, קראו את המאמר שיטות אימות וקדימות של פרטי כניסה.

שמירת טבלת הנתונים במטמון

אתם יכולים להפעיל שמירה במטמון כדי לצמצם את הבקשות החוזרות ל-Google SecOps ולהאיץ את ההרצה של הפלייבוקים:

• איך פועלת השמירה במטמון: כשבוחרים באפשרות Use Cache, הפעולה שומרת את טבלאות הנתונים שאוחזרו במטמון משותף של סביבת Google SecOps. בהפעלות הבאות של פלייבוקים ופעולות נתמכות בטבלת הנתונים באותה סביבה, המערכת משתמשת מחדש בנתונים שנשמרו במטמון עד שהתוקף שלהם פג.

• השלמה מיידית כשהנתונים נשמרים במטמון: כשיש מטמון תקין לטבלת הנתונים, הפעולה מחפשת במטמון ומשלימה את החיפוש באופן מיידי בלי להתחיל חיפוש אסינכרוני ב-Google SecOps.

• טבלאות עם יותר ממיליון שורות: אם בטבלת נתונים יש יותר ממיליון שורות, הפעולה עדיין מחזירה את תוצאות החיפוש, אבל המערכת מדלגת על שמירת הטבלה במטמון כדי להימנע משמירת עותק חלקי.

• ההשפעה של Cache TTL: קובעת כמה זמן הנתונים שנשמרו במטמון יישארו תקפים לפני שהפעולה תאחזר נתונים חדשים מ-Google SecOps:

  • TTL ארוך יותר: מפחית את בקשות ה-API ומאיץ את הפלייבוקים, אבל עדכונים בטבלת הנתונים לא משתקפים עד שתוקף המטמון פג.
  • TTL קצר יותר: התוצאות נשארות עדכניות יותר בטבלאות שמשתנות לעיתים קרובות, אבל מספר הבקשות ל-Google SecOps גדל.

קלט של הפעולה

הפעולה Is Value In Data Table Async דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שבה רוצים לחפש.
Column	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של עמודות לחיפוש בטבלת הנתונים. אם לא מציינים ערך, הפעולה מחפשת בכל העמודות.
Values	חובה. רשימה מופרדת בפסיקים של ערכים שרוצים לחפש בטבלת הנתונים.
Case Insensitive Search	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, החיפוש לא תלוי-רישיות. מופעלת כברירת מחדל.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו לכל ערך תואם. הערך המקסימלי הוא 1000. ערך ברירת המחדל הוא 1000.
Use Cache	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, הפעולה משתמשת בתוצאות של טבלת נתונים שנשמרו במטמון כשהן זמינות, במקום לשלוח שאילתה ל-Google SecOps בכל הפעלה. לפרטים נוספים, ראו שמירת טבלת נתונים במטמון.
Cache TTL	זה שינוי אופציונלי. משך הזמן שהמטמון נשמר בדקות לפני שהפעולה מאחזרת נתונים חדשים מ-Google SecOps. פרטים נוספים זמינים במאמר שמירת טבלת נתונים במטמון. הערך המינימלי הוא 1. ערך ברירת המחדל הוא 60.

פלט של פעולות

הפעולה Is Value In Data Table Async מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Is Value In Data Table Async:

[
  {
    "Entity": "example_value",
    "EntityResult": {
      "is_found": true,
      "Used cache": true,
      "matched_rows": [
        {
          "createTime": "",
          "name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
          "updateTime": "",
          "values": {
            "columnName1": "example_value",
            "columnName2": "sample_data"
          }
        }
      ]
    }
  }
]

הודעות פלט

הפעולה Is Value In Data Table Async מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully searched provided values in the data table DATA_TABLE_NAME. No provided values were found in the data table DATA_TABLE_NAME.	הפעולה בוצעה בהצלחה.
Error executing action "Is Value In Data Table Async". Reason: ERROR_REASON.	הפעולה נכשלה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Is Value In Data Table Async:

שם תוצאת הסקריפט	ערך
is_success	true או false

האם הערך נמצא ברשימת ההפניות

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

אתם יכולים להשתמש בפעולה Is Value In Reference List כדי לבדוק אם ערכים מסוימים נמצאים ברשימות העזר ב-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה הערך נמצא ברשימת ההפניות דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Reference List Names	חובה. רשימה מופרדת בפסיקים של שמות של רשימות עזר לחיפוש.
Values	חובה. רשימה מופרדת בפסיקים של ערכים לחיפוש.
Case Insensitive Search	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, החיפוש לא תלוי-רישיות.

פלט של פעולות

הפעולה האם הערך נמצא ברשימת העזר מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Is Value In Reference List עם Backstory API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Is Value In Reference List עם Chronicle API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

הודעות פלט

הפעולה Is Value In Reference List מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully searched provided values in the reference lists in Google Chronicle.	הפעולה בוצעה בהצלחה.
שגיאה בביצוע הפעולה "האם הערך נמצא ברשימת ההפניות". הסיבה: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Is Value In Reference List". Reason: the following reference lists were not found in Google Chronicle: MISSING_REFERENCE_LIST_NAME(S). Please use the action "Get Reference Lists" to see what reference lists are available.	הפעולה נכשלה. מריצים את הפעולה Get Reference Lists כדי לבדוק אילו רשימות זמינות.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה Is Value In Reference List:

שם תוצאת הסקריפט	ערך
is_success	true או false

הצגת רשימה של נכסים

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

הפעולה List Assets מאפשרת להציג רשימה של נכסים ב-Google SecOps על סמך ישויות קשורות בפרק זמן מסוים.

הפעולה הזו תומכת רק בערכי ה-Hash הבאים: MD5,‏ SHA-1 ו-SHA-256.

הפעולה הזו פועלת בישויות הבאות של Google SecOps:

• URL
• IP Address
• Hash

קלט של הפעולה

הפעולה רשימת נכסים דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Max Hours Backwards	מספר השעות שחלפו עד עכשיו מאז אחזור הנכסים. ערך ברירת המחדל הוא 1.
Create Insight	אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה עם מידע על הישויות. מופעלת כברירת מחדל.
Max Assets To Return	מספר הנכסים שיוחזרו. ערך ברירת המחדל הוא 50.
Time Frame	זה שינוי אופציונלי. התקופה שעבורה רוצים לאחזר את התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם נבחר Custom, הפרמטר Start Time נדרש. ערך ברירת המחדל הוא Last Hour.
Start Time	שעת ההתחלה בפורמט ISO 8601. חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר כ-Custom.
End Time	שעת הסיום בפורמט ISO 8601. אם לא מגדירים ערך ומגדירים את הפרמטר Time Frame כ-Custom, המערכת משתמשת בשעה הנוכחית.

פלט של פעולות

הפעולה List Assets מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	יש גישה
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

שולחן קיר עם ארונית

שם: ENTITY_IDENTIFIER

עמודות:

• שם המארח
• כתובת IP
• פריט מידע שזוהה לראשונה
• הפריט שנראה לאחרונה

תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה List Assets עם Backstory API:

{
    "assets": [
      {
        "asset": {
          "hostname": "example"
        },
        "firstSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-02-28T09:18:15.675Z"
        },
        "lastSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-09-24T06:43:59Z"
        }
      }
    ],
    "uri": [
      "https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
    ]
  }

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה List Assets עם Chronicle API:

[
  {
    "Entity": "192.0.2.229",
    "EntityResult": {
      "assets": [
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Open Source Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Open Source Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "OPEN_SOURCE_INTEL_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "ex  ",
            "valueType": "DOMAIN_NAME"
          }
        },
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Active Breach Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Active Breach Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "MANDIANT_ACTIVE_BREACH_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "example.com",
            "valueType": "DOMAIN_NAME"
          }
        }
      ],
      "uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
    }
  }
]

הודעות פלט

הפעולה List Assets מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully listed related assets for the following entities from Google Chronicle: ENTITY_IDENTIFIER	הפעולה בוצעה בהצלחה.
Error executing action "List Assets". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט הסקריפט כשמשתמשים בפעולה List Assets:

שם תוצאת הסקריפט	ערך
is_success	true או false

הצגת רשימת אירועים

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

אפשר להשתמש בפעולה List Events כדי להציג רשימה של אירועים בנכס מסוים בפרק זמן נתון.

הפעולה הזו יכולה לאחזר רק 10,000 אירועים.

הפעולה הזו פועלת בישויות הבאות של Google SecOps:

• IP address
• MAC address
• Hostname

קלט של הפעולה

הפעולה הצגת רשימת אירועים דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Event Types	רשימה מופרדת בפסיקים של סוגי אירועים. אם לא מציינים ערך, המערכת מאחזרת את כל סוגי האירועים. כאן מפורטים כל הערכים האפשריים של סוגי אירועים.
Time Frame	תקופת הזמן שצוינה. כדי לקבל תוצאות טובות יותר, מומלץ להגדיר טווח קטן ככל האפשר. אם נבחר Custom, הפרמטר Start Time נדרש. אם בוחרים באפשרות Max Hours Backwards, היא מספקת מסנן זמן ומבטיחה תאימות לדורות קודמים. הערכים האפשריים הם: Max Hours Backwards Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom ערך ברירת המחדל הוא Custom.
Start Time	שעת ההתחלה בפורמט ISO 8601. חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר כ-Custom.
End Time	שעת הסיום בפורמט ISO 8601. אם לא צוין ערך והפרמטר Time Frame מוגדר כ-Custom, המערכת תשתמש בשעה הנוכחית. הפרמטר הזה מקבל את הערך now.
Reference Time	זמן הייחוס לחיפוש האירוע. אם לא צוין ערך, הפעולה משתמשת בזמן הסיום כנקודת הייחוס.
Output	חובה. פורמט הפלט. הערכים האפשריים הם: Events + Statistics Only Events Only Statistics
Max Events To Return	מספר האירועים שצריך לעבד לכל סוג ישות. ערך ברירת המחדל הוא 100.

ערכים אפשריים של סוגי אירועים

אלה הערכים האפשריים לפרמטר Event Type:

• EVENTTYPE_UNSPECIFIED
• PROCESS_UNCATEGORIZED
• PROCESS_LAUNCH
• PROCESS_INJECTION
• PROCESS_PRIVILEGE_ESCALATION
• PROCESS_TERMINATION
• PROCESS_OPEN
• PROCESS_MODULE_LOAD
• REGISTRY_UNCATEGORIZED
• REGISTRY_CREATION
• REGISTRY_MODIFICATION
• REGISTRY_DELETION
• SETTING_UNCATEGORIZED
• SETTING_CREATION
• SETTING_MODIFICATION
• SETTING_DELETION
• MUTEX_UNCATEGORIZED
• MUTEX_CREATION
• FILE_UNCATEGORIZED
• FILE_CREATION
• FILE_DELETION
• FILE_MODIFICATION
• FILE_READ
• FILE_COPY
• FILE_OPEN
• FILE_MOVE
• FILE_SYNC
• USER_UNCATEGORIZED
• USER_LOGIN
• USER_LOGOUT
• USER_CREATION
• USER_CHANGE_PASSWORD
• USER_CHANGE_PERMISSIONS
• USER_STATS
• USER_BADGE_IN
• USER_DELETION
• USER_RESOURCE_CREATION
• USER_RESOURCE_UPDATE_CONTENT
• USER_RESOURCE_UPDATE_PERMISSIONS
• USER_COMMUNICATION
• USER_RESOURCE_ACCESS
• USER_RESOURCE_DELETION
• GROUP_UNCATEGORIZED
• GROUP_CREATION
• GROUP_DELETION
• GROUP_MODIFICATION
• EMAIL_UNCATEGORIZED
• EMAIL_TRANSACTION
• EMAIL_URL_CLICK
• NETWORK_UNCATEGORIZED
• NETWORK_FLOW
• NETWORK_CONNECTION
• NETWORK_FTP
• NETWORK_DHCP
• NETWORK_DNS
• NETWORK_HTTP
• NETWORK_SMTP
• STATUS_UNCATEGORIZED
• STATUS_HEARTBEAT
• STATUS_STARTUP
• STATUS_SHUTDOWN
• STATUS_UPDATE
• SCAN_UNCATEGORIZED
• SCAN_FILE
• SCAN_PROCESS_BEHAVIORS
• SCAN_PROCESS
• SCAN_HOST
• SCAN_VULN_HOST
• SCAN_VULN_NETWORK
• SCAN_NETWORK
• SCHEDULED_TASK_UNCATEGORIZED
• SCHEDULED_TASK_CREATION
• SCHEDULED_TASK_DELETION
• SCHEDULED_TASK_ENABLE
• SCHEDULED_TASK_DISABLE
• SCHEDULED_TASK_MODIFICATION
• SYSTEM_AUDIT_LOG_UNCATEGORIZED
• SYSTEM_AUDIT_LOG_WIPE
• SERVICE_UNSPECIFIED
• SERVICE_CREATION
• SERVICE_DELETION
• SERVICE_START
• SERVICE_STOP
• SERVICE_MODIFICATION
• GENERIC_EVENT
• RESOURCE_CREATION
• RESOURCE_DELETION
• RESOURCE_PERMISSIONS_CHANGE
• RESOURCE_READ
• RESOURCE_WRITTEN
• ANALYST_UPDATE_VERDICT
• ANALYST_UPDATE_REPUTATION
• ANALYST_UPDATE_SEVERITY_SCORE
• ANALYST_UPDATE_STATUS
• ANALYST_ADD_COMMENT

פלט של פעולות

הפעולה הצגת רשימת אירועים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה List Events:

{
    "statistics": {
"NETWORK_CONNECTION": 10
}
{
    "events": [
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T14:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      },
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T17:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      }
    ],
    "uri": [
      "https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
    ]
  }
}

הודעות פלט

הפעולה List Events מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully listed related events for the following entities from Google Chronicle: ENTITY_IDENTIFIER	הפעולה בוצעה בהצלחה.
Error executing action "List Events". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "List Events". Reason: invalid event type is provided. Please check the spelling. Supported event types: SUPPORTED_EVENT_TYPES	הפעולה נכשלה. מומלץ לבדוק את האיות.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה List Events:

שם תוצאת הסקריפט	ערך
is_success	true או false

הצגת רשימה של אינדיקטורים לפגיעה (IOC)

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

השתמשו בפעולה List IOCs כדי להציג רשימה של כל ה-IoC שזוהו בארגון בטווח תאריכים מסוים.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה List IOCs דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Start Time	שעת ההתחלה של התוצאות בפורמט ISO 8601.
Max IoCs to Fetch	המספר המקסימלי של אינדיקטורים לפריצה שיוחזרו. הטווח הוא 1 עד 10,000. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה List IOCs מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	יש גישה
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

שולחן קיר עם ארונית

עמודות:

• דומיין
• קטגוריה
• מקור
• ביטחון
• רמת החומרה
• זמן הטמעת IoC
• הפעם הראשונה שבה נצפה ה-IoC
• הפעם האחרונה שבה נצפה ה-IoC
• URI

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה List IOCs:

{
   "matches":[
      {
         "artifact":{
            "domainName":"www.example.com"
         },
         "firstSeenTime":"2018-05-25T20:47:11.048998Z",
         "iocIngestTime":"2019-08-14T21:00:00Z",
         "lastSeenTime":"2019-10-24T16:19:46.880830Z",
         "sources":[
            {
               "category":"Spyware Reporting Server",
               "confidenceScore":{
                  "intRawConfidenceScore":0,
                  "normalizedConfidenceScore":"Low"
               },
               "rawSeverity":"Medium",
               "source":"Example List"
            }
         ],
         "uri":["URI"]
      }
   ],
   "moreDataAvailable":true
}

הודעות פלט

הפעולה List IOCs מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully listed IOCs from the provided timeframe in Google Chronicle.	הפעולה בוצעה בהצלחה.
Error executing action "List IOCs". Reason: ERROR_REASON.	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה List IOCs:

שם תוצאת הסקריפט	ערך
is_success	true או false

חיפוש התראות דומות

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

משתמשים בפעולה Lookup Similar Alerts כדי לחפש התראות דומות ב-Google SecOps.

חשוב: הפעולה הזו פועלת רק עם התראות של Google SecOps שהתקבלו מ-Chronicle Alerts Connector.

קלט של הפעולה

הפעולה Lookup Similar Alerts דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Time Frame	התקופה של התוצאות. כדי לקבל את התוצאות הכי טובות, כדאי לצמצם את מסגרת הזמן ככל האפשר. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month ‫Alert Time Till Now: חיפוש אירועים משעת ההתחלה של ההתראה עד End Time. ‫5 Minutes Around Alert Time: חיפוש אירועים שקרו 5 דקות לפני ו-5 דקות אחרי שההתראה נוצרה. 30 Minutes Around Alert Time: חיפוש אירועים 30 דקות לפני ואחרי זמן היצירה של ההתראה. 1 Hour Around Alert Time : חיפוש אירועים שעה אחת לפני ואחרי זמן היצירה של ההתראה.
IOCs / Assets	חובה. רשימה מופרדת בפסיקים של אינדיקטורים לפריצה או נכסים שרוצים למצוא בהתראות. הפעולה מבצעת חיפוש נפרד לכל פריט שצוין.
Similarity By	המאפיינים שמשמשים לחיפוש התראות דומות. הערכים האפשריים הם: Alert Name, Alert Type and Product Alert Name and Alert Type Product Only IOCs/Assets מידע נוסף על ההתנהגות של הפרמטר הזה ערך ברירת המחדל הוא Alert Name, Alert Type and Product.

איך פועל הפרמטר "דמיון לפי"

הפרמטר Similarity By חל באופן שונה על התראות לגבי כללים ועל התראות חיצוניות.

• אם בוחרים באפשרות Alert Name, Alert Type and Product או Alert Name, Alert Type:

  • במקרה של התראות חיצוניות, הפעולה מחפשת התראות חיצוניות אחרות עם אותו שם.

  • במקרה של התראות לגבי כללים, הפעולה מעבדת התראות שמקורן באותו כלל.

• אם בוחרים באפשרות Product:

  • הפעולה מעבדת התראות שמקורן באותו מוצר, בין אם מדובר בהתראות של כללים או בהתראות חיצוניות.

  לדוגמה, התראה שמקורה ב-Crowdstrike תותאם רק להתראות אחרות מ-Crowdstrike.

• אם בוחרים באפשרות Only IOCs/Assets:

  • הפעולה מתאימה התראות על סמך ה-IOC שצוינו בפרמטר IOCs/Assets. הוא מחפש את האינדיקטורים האלה גם בהתראות של כללים וגם בהתראות חיצוניות.

  • התראה על אינדיקטור לפריצה (IOC) יכולה להפעיל את הפעולה הזו רק כשהאפשרות הזו נבחרת. אם מציינים אפשרות אחרת, הפעולה שמוגדרת כברירת מחדל היא Only IOCs/Assets.

הפעולה Lookup Similar Alerts היא כלי גמיש לניתוח התראות. הוא מאפשר למנתחי נתונים לקשר בין התראות מאותה תקופה ולחלץ אינדיקטורים רלוונטיים לפגיעה (IOC) כדי לקבוע אם אירוע הוא חיובי אמיתי.

פלט של פעולות

הפעולה Lookup Similar Alerts מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	יש גישה
שולחן קיר עם ארונית	יש גישה
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

קישור לקיר של התיק

הפעולה חיפוש התראות דומות יכולה להחזיר את הקישורים הבאים:

• ‫CBN: ‏GENERATED_LINK_BASED_ON_IU_ROOT_URL
• כלל: GENERATED_LINK_BASED_ON_IU_ROOT_URL

שולחן קיר עם ארונית

שם הטבלה: IOC/ASSET_IDENTIFIER

עמודות בטבלה:

• Product
• שמות המארחים
• כתובות IP
• משתמשים
• כתובות אימייל
• נושאים
• כתובות URL
• גיבובים
• תהליכים
• נראה לראשונה
• נראה לאחרונה
• שם ההתראה
• כללי

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Lookup Similar Alerts:

{
    "count": 123,
    "distinct": [
        {
            "first_seen": "time of the first alert that matched our conditions",
            "last_seen": "time of the last alert that matched our conditions",
            "product_name": "product name",
            "used_ioc_asset": "what user provided in the parameter IOCs and Assets",
            "name": "Alert Name/Rule Name",
            "hostnames": "csv list of unique hostnames that were found in alerts",
            "urls": "csv list of unique urls that were found in alerts",
            "ips": "csv list of unique ips that were found in alerts",
            "subjects": "csv list of unique subjects that were found in alerts",
            "users": "csv list of unique users that were found in alerts",
            "email_addresses": "csv list of unique email_addresses that were found in alerts",
            "hashes": "csv list of unique hashes that were found in alerts",
            "processes": "csv list of unique processes that were found in alerts"
            "rule_urls": ["Chronicle URL from API response for Rule"]
            "count": 123
        }
    ],
    "processed_alerts": 10000,
    "run_time": "how long it took to run the action or at least API request",
    "EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"

}

הודעות פלט

הפעולה חיפוש התראות דומות מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully found similar alerts from the provided timeframe in Google Chronicle. No similar alerts were found from the provided timeframe in Google Chronicle.	הפעולה בוצעה בהצלחה.
Error executing action "Lookup Similar Alerts". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.
Error executing action "Lookup Similar Alerts". Reason: all of the retries are exhausted. Please wait for a minute and try again.	הפעולה נכשלה. צריך להמתין כמה דקות לפני שמפעילים שוב את הפעולה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה חיפוש התראות דומות:

שם תוצאת הסקריפט	ערך
is_success	true או false

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-Google SecOps.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

אין.

פלט של פעולות

הפעולה פינג מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה פינג מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully connected to the Google Chronicle backstory with the provided connection parameters!	הפעולה בוצעה בהצלחה.
Failed to connect to the Google Chronicle backstory. Error is ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה פינג:

שם תוצאת הסקריפט	ערך
is_success	true או false

הסרת שורות מטבלת נתונים

כדי להסיר שורות מטבלת נתונים ב-Google SecOps, משתמשים בפעולה Remove Rows From Data Table.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

הערה: הפעולה הזו תומכת רק ב-Chronicle API. אין תמיכה ב-Backstory API מדור קודם.

קלט של הפעולה

הפעולה Remove Rows From Data Table דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שרוצים לעדכן.
Rows	חובה. רשימה של אובייקטים בפורמט JSON שמשמשים לחיפוש ולמחיקה של שורות. לכלול רק עמודות תקינות. ערך ברירת המחדל הוא: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

פלט של פעולות

הפעולה הסרת שורות מטבלת נתונים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

הדוגמה הבאה מתארת את פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Remove Rows From Data Table:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          },
          "createTime": "2025-05-14T12:52:51.908143Z",
          "updateTime": "2025-05-14T12:52:51.908143Z"
}

הודעות פלט

הפעולה Remove Rows From Data Table מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully removed rows from the data table DATA_TABLE_NAME in Google SecOps.	הפעולה בוצעה בהצלחה.
Error executing action "Remove Rows From Data Table". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הסרת שורות מטבלת נתונים:

שם תוצאת הסקריפט	ערך
is_success	true או false

הסרת ערכים מרשימת ההפניות

אזהרה: הפעולה הזו מסתמכת על Backstory API הקודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים בפלייבוק, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, כדאי לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שהפורמטים של הפלט ישתנו.

כדי להסיר ערכים מרשימת עזר ב-Google SecOps, משתמשים בפעולה Remove Values From Reference List.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה הסרת ערכים מרשימת הפניות דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Reference List Name	חובה. השם של רשימת ההפניות שרוצים לעדכן.
Values	חובה. רשימה מופרדת בפסיקים של ערכים שצריך להסיר מרשימת ההפניות.

פלט של פעולות

הפעולה הסרת ערכים מרשימת עזר מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור הקייס לקיר	לא זמין
קישור לקיר של התיק	לא זמין
שולחן קיר עם ארונית	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Remove Values From Reference List עם Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

בדוגמה הבאה מתואר פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה הסרת ערכים מרשימת עזר עם Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

הודעות פלט

הפעולה הסרת ערכים מרשימת עזר מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully removed values from the reference list.	הפעולה בוצעה בהצלחה.
Error executing action "Remove Values From Reference List". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מתוארים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הסרת ערכים מרשימת עזר:

שם תוצאת הסקריפט	ערך
is_success	true או false

מחברים

איך מגדירים מחברים ב-Google SecOps?

הערה: כדי למנוע אובדן נתונים, המחברים משתמשים בהשטחת אירועים. אם התראה גולמית מכילה רשימה של ישויות (כמו כמה כתובות אימייל, שמות מארחים או כתובות IP), המחברים משטיחים אותן באופן אוטומטי לאירועים נפרדים וייחודיים.

לדוגמה, התראה גולמית אחת שמכילה שלוש כתובות אימייל שונות נטמעת כשלושה אירועים נפרדים, שכל אחד מהם מכיל כתובת אימייל ייחודית אחת.

התהליך הזה מבטיח שכל ישות תתווסף לאינדקס בצורה נכונה כנכס ייחודי, כך שאפשר יהיה לחפש אותה ולבצע בה פעולות בפלייבוקים.

‫Google Chronicle – מחבר ההתראות של Chronicle

חשוב: כדי להבטיח שהפונקציונליות תמשיך לפעול לפני שה-API הקודם יוצא משימוש, צריך להגדיר במפורש את המחבר הזה כך שישתמש ב-Chronicle API. מוודאים ששיטת האימות שמוגדרת כאן זהה לשיטה שמוגדרת בשילוב.

משתמשים ב-Google Chronicle - Chronicle Alerts Connector כדי לאסוף מידע על התראות מבוססות-כללים מ-Google SecOps.

הערה: אפשר לסנן את המחבר הזה באמצעות רשימה דינמית.

סקירה כללית

המחבר Google Chronicle - Chronicle Alerts Connector מקבל התראות מבוססות-כללים מ-Google SecOps.

התכונות העיקריות ופרטי התפעול כוללים:

• נתוני שאילתות בטווח של שבוע. כדי למנוע התראות שהוחמצו בגלל עיכובים בהוספה לאינדקס, אפשר להגדיר תקופת ריפוד וזמן קצוב ארוך יותר למחבר, אבל ריפוד משמעותי עלול להשפיע לרעה על הביצועים.

• משתמש ברשימות דינמיות להגדרות גמישות.

• מספק Fallback Severity להתראות שאין להן ערך חומרה.

  הערה: המחבר מטמיע נתונים אחרי שמגיעים למגבלה של Script Timeout (Seconds) או לסף של Max Alerts To Fetch. בסביבות עם נפח התראות נמוך, ערך גבוה של זמן קצוב לתפוגה של סקריפט יכול לגרום לעיכוב כי התהליך נשאר פעיל בזמן ההמתנה לנתונים. ההגדרות האופטימליות תלויות בנפח הנתונים של הדייר ובדרישות ההטמעה הספציפיות שלכם, לכן Google ממליצה לבדוק את ההגדרות כדי לאזן בין מגבלות הזמן הקצוב לתפוגה לבין קצב ההגעה של ההתראות.

מסנן רשימה דינמי

הרשימה הדינמית משמשת לסינון התראות ישירות מדף ההגדרות של המחבר.

לוגיקת האופרטורים

הרשימה הדינמית משתמשת בשילוב של הערכה מבוססת-קבוצה ולוגיקה מרובת שורות כדי לעבד את כללי הסינון:

• ערכים מופרדים בפסיקים (הערכת קבוצה): ערכים באותה שורה, שמופרדים בפסיק, נחשבים לקבוצה אחת. הלוגיקה שמופעלת תלויה באופרטור שבו משתמשים:

  • הכללה (=): פועלת כרשימת היתרים.

  ההתראה תיקלט אם הערך תואם לפריט כלשהו ברשימה (לדוגמה, Rule.severity = low,medium פירושו low או medium).

  • החרגה (!=): פועלת כרשימת חסימה.

  ההתראה נטמעת רק אם הערך לא תואם לאף אחד מהפריטים ברשימה (לדוגמה, Rule.ruleName != rule_a,rule_b פירושו ששם הכלל הוא לא rule_a וגם לא rule_b).

• שורות נפרדות (לוגיקת AND): כל שורה נפרדת ברשימה הדינמית מגבילה עוד יותר את המסנן (לדוגמה, שורה 1 וגם שורה 2).

• האופרטורים הנתמכים: (=, !=, >, <, >=, <=) משתנים בהתאם למפתח הסינון.

הנה כמה דוגמאות לשימוש בכללי אופרטורים:

• ‫Rule.severity = medium: המחבר מטמיע רק התראות על כללים ברמת חומרה בינונית.

• ‫Rule.severity = low,medium: המחבר מטמיע רק התראות על כללים ברמת חומרה בינונית או נמוכה.

• ‫Rule.ruleName != rule_a,rule_b: המחבר מטמיע את כל ההתראות, חוץ מאלה ששם הכלל שלהן הוא rule_a או rule_b.

• ‫Rule.ruleName = default_rule: המחבר מטמיע רק התראות על כללים עם השם default_rule.

מסננים נתמכים

Chronicle Alerts Connector תומך בסינון לפי המפתחות הבאים:

מפתח סינון	מפתח תגובה	אופרטורים	ערכים אפשריים
Rule.severity	‫detection או ruleLabels או severity	=, !=, >, <, >=, <=	Info, Error, Low, Medium, High, Critical. הערכים לא תלויי-רישיות.
Rule.ruleName	detection או ruleName	=, !=	מוגדר על ידי המשתמש.
Rule.ruleID	detection או ruleId	=, !=	מוגדר על ידי המשתמש.
Rule.ruleType	detection או ruleClass	=, !=	‫curated, custom. הערכים לא תלויי-רישיות.
Rule.ruleLabels.{key}	detection או ruleLabels	=, !=	מוגדר על ידי המשתמש.

טיפול בruleLabels

כדי לסנן לפי תווית ספציפית בתוך כלל, משתמשים בפורמט Rule.ruleLabels.{key}.

לדוגמה, כדי לסנן לפי תווית עם המפתח type והערך suspicious_behaviour, הקלט של הרשימה הדינמית צריך להיות:

Rule.ruleLabels.type=suspicious_behaviour

כניסות של מחברים

כדי להשתמש ב-Chronicle Alerts Connector צריך להגדיר את הפרמטרים הבאים:

ערך ברירת המחדל הוא Medium.

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שאליו מתייחס הקוד. כל קלט לא חוקי בפרמטר הזה יוחלף בערך חלופי כברירת מחדל. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה. שם השדה שקובע את שם האירוע (סוג משנה).
Environment Field Name	זה שינוי אופציונלי. שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name. אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה. כתובת ה-URL הבסיסית של ה-API למכונת Google SecOps: ‫Chronicle API: כולל את מזהה הפרויקט, האזור ומזהה המכונה (לדוגמה, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). ראו איתור השורש של Chronicle API. ‫Backstory API (מדור קודם): נקודת הקצה האזורית של Backstory. ערך ברירת המחדל הוא https://backstory.googleapis.com.
User's Service Account	זה שינוי אופציונלי. מפתח ה-JSON של חשבון השירות שמשמש לאימות. בשימוש רק אם Workload Identity Email ריק. משאירים את שני שדות פרטי הכניסה ריקים כדי להשתמש בפרטי כניסה מובנים, אם הם נתמכים (ראו שיטות אימות וסדר קדימויות של פרטי כניסה).
Workload Identity Email	זה שינוי אופציונלי. כתובת האימייל של חשבון השירות שמשמשת לאימות של Workload Identity (מומלץ כשנדרש חשבון שירות). אם שני שדות פרטי הכניסה מאוכלסים, השדה הזה מקבל עדיפות. משאירים את שני שדות פרטי הכניסה ריקים כדי להשתמש בפרטי כניסה מובנים, אם הם נתמכים (ראו שיטות אימות וסדר קדימויות של פרטי כניסה).
Fallback Severity	חובה. רמת החומרה שמוגדרת כברירת מחדל, אם ההתראה מ-Google SecOps לא כוללת ערך של רמת חומרה. הערכים האפשריים הם: Critical High Medium Low Info
Max Hours Backwards	זה שינוי אופציונלי. מספר השעות לפני ההפעלה הראשונית של המחבר, שמהן צריך לאחזר אירועים. הפרמטר הזה חל רק פעם אחת. הערך המקסימלי הוא 168 (שבוע אחד). ערך ברירת המחדל הוא 1.
Max Alerts To Fetch	זה שינוי אופציונלי. מספר ההתראות לעיבוד בכל איטרציה של המחבר. ערך ברירת המחדל הוא 100.
Disable Event Splitting	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, המחבר לא מפצל את האירועים המקוריים לכמה חלקים, כדי לוודא שמספר האירועים במקור וב-Google SecOps זהה. התכונה לא מופעלת כברירת מחדל.
Verify SSL	חובה. אם האפשרות הזו נבחרת, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. מופעלת כברירת מחדל.
Proxy Server Address	זה שינוי אופציונלי. הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	זה שינוי אופציונלי. שם המשתמש של שרת ה-proxy לאימות.
Proxy Password	זה שינוי אופציונלי. הסיסמה לאימות מול שרת ה-proxy.
Disable Overflow	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון ההצפה של Google SecOps. התכונה לא מופעלת כברירת מחדל.
Validate Dynamic List Entries	זה שינוי אופציונלי. אם ההגדרה מופעלת, המחבר מאמת שהרשומות ברשימה הדינמית קיימות בפלטפורמה לפני העיבוד, כדי למנוע שגיאות בהטמעה. התכונה לא מופעלת כברירת מחדל.

כללי מחברים

המחבר Google Chronicle - Chronicle Alerts Connector תומך בשרתי proxy.

אירועי מחברים

בקטע הבא מתואר מבנה האירועים שהמחבר מאחזר. המחבר הזה שולף באופן ספציפי התראות שנוצרו על ידי כללי זיהוי ב-Google SecOps.

התראות מבוססות-כללים

סוג האירוע הזה נוצר כשכלל זיהוי תואם לנתוני יומן נכנסים. פלט ה-JSON מכיל את המטא-נתונים של הכלל, את מזהה הזיהוי הייחודי ואת נתוני האירוע המשויכים ב-UDM שהפעילו את ההתראה.

 {
    "alert_type": "RULE",
    "event_type": "NETWORK_DHCP",
    "type": "RULE_DETECTION",
    "detection": [
        {
            "ruleName": "d3_test",
            "urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
            "ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
            "ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
            "alertState": "NOT_ALERTING",
            "ruleType": "SINGLE_EVENT",
            "ruleLabels": [
                {
                    "key": "author",
                    "value": "analyst123"
                },
                {
                    "key": "description",
                    "value": "8:00 AM local time"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ]
        }
    ],
    "createdTime": "2022-02-08T06:07:33.944951Z",
    "id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
    "timeWindow": {
        "startTime": "2022-02-08T05:02:36Z",
        "endTime": "2022-02-08T05:02:36Z"
    },
    "collectionElements": [
        {
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2022-02-08T05:02:36Z",
                            "eventType": "NETWORK_DHCP",
                            "productName": "Infoblox DHCP",
                            "ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
                        },
                        "principal": {
                            "ip": [
                                "198.51.100.255",
                                "198.51.100.1"
                            ],
                            "mac": [
                                "01:23:45:ab:cd:ef"
                            ],
                            "email_address": [
                                "[e-mail]"
                            ]
                        },
                        "target": {
                            "hostname": "dhcp_server",
                            "ip": [
                                "198.51.100.0",
                                "198.51.100.1"
                            ]
                        },
                        "network": {
                            "applicationProtocol": "DHCP",
                            "dhcp": {
                                "opcode": "BOOTREQUEST",
                                "ciaddr": "198.51.100.255",
                                "giaddr": "198.51.100.0",
                                "chaddr": "01:23:45:ab:cd:ef",
                                "type": "REQUEST",
                                "clientHostname": "example-user-pc",
                                "clientIdentifier": "AFm/LDfjAw=="
                            }
                        }
                    }
                }
            ],
            "label": "e"
        }
    ],
    "detectionTime": "2022-02-08T05:02:36Z"
}

מבנה ההתראה

בטבלה הבאה מוסבר איך Google Chronicle - Chronicle Alerts Connector מאכלס את המאפיינים של התראה ב-Google SecOps.

מאפיינים שנוצרו באופן פנימי

המאפיינים האלה נוצרים על ידי מסגרת הפלטפורמה ולא נשלפים מההתראה המקורית:

שם המאפיין של ההתראה	מקור
SourceSystemName	נוצר באופן פנימי על ידי המסגרת.
TicketId	מקור: מזהה הזיהוי של ההתראה (id).
DisplayId	נוצר באופן אוטומטי.

מאפיינים של כל סוגי ההתראות

המאפיינים האלה נגזרים מההתראה המקורית.

הערה: חלק ממאפייני ההתראות לא מאוכלסים על ידי המחבר הזה, כי ב-Chronicle API אין שדה תואם לנתונים האלה בתגובות להתראות.

שם המאפיין של ההתראה	מקור
Priority	נלקח מהתגובה מה-API או מהפרמטר Fallback Severity.
DeviceVendor	הערך בתוך הקוד הוא Google Chronicle.
DeviceProduct	הערך בתוך הקוד הוא RULE.
Description	מקור: detection/ruleLabels/description (אם קיים).
Reason	לא זמין.
SourceGroupingIdentifier	לא זמין.
Chronicle Alert - Attachments	לא זמין.

הוצא משימוש: Google Chronicle – מחבר התראות

המחבר הזה כבר לא מקבל עדכונים או שינויים בקוד.

במקום זאת, השתמשו ב-Chronicle Alerts Connector.

המחבר הזה שולף התראות על נכסים מ-Google SecOps כדי להטמיע אותן במקרים.

המחבר הזה דורש את SIEM Search API של Google SecOps.

כניסות של מחברים

כדי להשתמש במחבר ההתראות, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שאליו מתייחס הקוד. כל קלט לא חוקי בפרמטר הזה יוחלף בערך חלופי כברירת מחדל. ערך ברירת המחדל הוא Product Name.
Environment Field Name	זה שינוי אופציונלי. שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name. אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
Service Account Credentials	חובה. התוכן של קובץ ה-JSON של חשבון השירות.
Fetch Max Hours Backwards	זה שינוי אופציונלי. מספר השעות לפני ההפעלה הראשונית של המחבר כדי לאחזר אירועים. הפרמטר הזה חל רק פעם אחת. הערך המקסימלי הוא 168 (שבוע אחד). ערך ברירת המחדל הוא 1.

הוצא משימוש: Google Chronicle – מחבר IoC

המחבר הזה כבר לא מקבל עדכונים או שינויים בקוד.

במקום זאת, השתמשו ב-Chronicle Alerts Connector.

המחבר הזה שולף התאמות של דומיינים של IOC מ-Google SecOps כדי להטמיע אותן בבקשות תמיכה.

המחבר הזה משתמש ב-Google SecOps Search API.

כניסות של מחברים

כדי להשתמש במחבר Google Chronicle - IoCs, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שאליו מתייחס הקוד. כל קלט לא חוקי בפרמטר הזה יוחלף בערך חלופי כברירת מחדל. ערך ברירת המחדל הוא Product Name.
Environment Field Name	זה שינוי אופציונלי. שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name. אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
Service Account Credentials	חובה. התוכן של קובץ ה-JSON של חשבון השירות.
Fetch Max Hours Backwards	זה שינוי אופציונלי. מספר השעות לפני ההפעלה הראשונית של המחבר, שמהן צריך לאחזר התראות. הפרמטר הזה חל רק פעם אחת. הערך המקסימלי הוא 168 (שבוע אחד). ערך ברירת המחדל הוא 1.
Max Alerts To Fetch	זה שינוי אופציונלי. מספר ההתראות המקסימלי לעיבוד בכל איטרציה של המחבר. ערך ברירת המחדל הוא 100.

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ותזמון מתקדם.

דרישות מוקדמות להגדרת משימה

חשוב: אם מעדכנים את השילוב, צריך ליצור מחדש את המשימות של Google SecOps כדי לעדכן את הקוד שלהן.

לפני שממשיכים להגדרת המשימה, מגדירים את Chronicle Alerts Connector.

כדי להגדיר משימות ב-Google Chronicle, צריך לבצע את השלבים הבאים:

1. ב-Google SecOps, עוברים אל Response > Job Scheduler.

2. לוחצים על addCreate New Job.

3. בתיבת הדו-שיח Add Job שמופיעה, בוחרים את המשימה המתאימה ב-Google Chronicle ולוחצים על Save.

4. אופציונלי: עורכים את השם והתיאור של המשימה, אם צריך.

5. בקטע Job Details:

   • מוודאים שהאפשרות GoogleChronicle נבחרה בשדה Integration.

   • כדי להריץ את המשימה באופן אוטומטי במרווחי זמן מסוימים, מגדירים מרווח זמן לתזמון. כדי להשלים את הגדרת המשימה, חובה להגדיר את המתזמן.

     מכיוון שמשימות של Google Chronicle יכולות לסנכרן כמויות גדולות של נתונים בהרצה אחת, Google ממליצה להגדיר את מרווח הזמן של המתזמן ל-2 דקות לפחות.

‫Google Chronicle – משימת סנכרון נתונים

חשוב: כדי להבטיח שהפונקציונליות תמשיך לפעול לפני שה-API הקודם יוצא משימוש, צריך להגדיר באופן מפורש את המשימה הזו לשימוש ב-Chronicle API. מוודאים ששיטת האימות שמוגדרת כאן זהה לשיטה שמוגדרת בשילוב.

הפעולה הזו פועלת עם התראות שנוצרו על ידי Chronicle Alerts Connector ועל ידי הפעולה Chronicle Alerts Creator, אבל לא עם התראות ממחברים שהוצאו משימוש (Alerts Connector ו-IOCs Connector).

המשימה Google Chronicle Sync Data מסנכרנת בקשות תמיכה והתראות מעודכנות ב-Google SecOps, כך ששינויים שבוצעו במהלך ניהול בקשות התמיכה משתקפים בפלטפורמה באופן מיידי.

סנכרון נתונים של בקשות תמיכה והתראות

המשימה Google Chronicle Sync Data עוקבת אחרי השדות הבאים של בקשות תמיכה ומסנכרנת אותם:

שדה במעקב	שדה מסונכרן
Priority	Priority
Status	Status
Title	Title
לא רלוונטי	Stage
לא רלוונטי	Google SecOps Case ID

מספר פנייה ב-Google SecOps הוא מזהה ייחודי של פנייה ב-Google SecOps.

המשימה Google Chronicle Sync Data עוקבת אחרי השדות הבאים של ההתראות ומסנכרנת אותם:

שדה במעקב	שדה מסונכרן
Priority	Priority
Status	Status
Case ID	לא רלוונטי
לא רלוונטי	Google SecOps Alert ID
לא רלוונטי	Google SecOps Case ID
לא רלוונטי	Verdict
לא רלוונטי	Closure Comment
לא רלוונטי	Closure Reason
לא רלוונטי	Closure Root Cause
לא רלוונטי	Usefulness

מזהה ההתראה ב-Google SecOps הוא מזהה התראה ייחודי ב-Google SecOps.

בכל איטרציה, המשימה מסנכרנת עד 1,000 בקשות תמיכה ו-1,000 התראות. הסנכרון מתבצע בסביבת Google SecOps שצוינה בהגדרות של המשימה. מנגנון הסנכרון מבטיח שלא ניתן לסנכרן בקשה מהסביבה שצוינה עם סביבה אחרת.

הגדרת המשימה Google Chronicle Sync Data

המשימה הזו מסנכרנת רק פניות שמכילות התראות שהתקבלו מ-Google SecOps.

לפני שמגדירים את המשימה, צריך לוודא שביצעתם את השלבים המקדימים.

כדי להגדיר את המשימה Google Chronicle Sync Data:

1. בקטע Parameters, מגדירים את הפרמטרים הבאים:

   פרמטר	תיאור
   Environment	חובה. שם הסביבה שנוצרה ב-Google SecOps כדי לסנכרן אליה בקשות והתראות.
   API Root	חובה. כתובת ה-URL הבסיסית של ה-API למכונת Google SecOps: ‫Chronicle API: כולל את מזהה הפרויקט, האזור ומזהה המכונה (לדוגמה, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). מידע נוסף זמין במאמר איתור השורש של Chronicle API. ‫Backstory API (מדור קודם): נקודת הקצה האזורית של Backstory. ערך ברירת המחדל הוא https://backstory.googleapis.com.
   User's Service Account	זה שינוי אופציונלי. מפתח ה-JSON של חשבון השירות שמשמש לאימות. בשימוש רק אם Workload Identity Email ריק. אם אתם רוצים להשתמש בפרטי כניסה מובְנים, השאירו את שני השדות של פרטי הכניסה ריקים (ראו שיטות אימות וסדר הקדימויות של פרטי הכניסה).
   Workload Identity Email	זה שינוי אופציונלי. כתובת האימייל של חשבון השירות שמשמשת לאימות באמצעות Workload Identity (מומלץ כשנדרש חשבון שירות). אם שני שדות פרטי הכניסה מאוכלסים, השדה הזה מקבל קדימות. אם אתם רוצים להשתמש בפרטי כניסה מובְנים, השאירו את שני השדות של פרטי הכניסה ריקים (ראו שיטות אימות וסדר הקדימויות של פרטי הכניסה).
   Max Hours Backwards	זה שינוי אופציונלי. מספר השעות לאחזור התראות. אפשר להשתמש רק במספרים חיוביים. ערך ברירת המחדל הוא 24.
   Verify SSL	חובה. אם האפשרות הזו נבחרת, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. מופעלת כברירת מחדל.

   המשימה Google Chronicle Sync Data מופעלת כברירת מחדל. כששומרים את המשימה שהוגדרה בצורה נכונה, היא מתחילה לסנכרן נתונים עם Google SecOps באופן מיידי. כדי להשבית את המשימה, מעבירים את המתג שליד שם המשימה.

2. כדי להשלים את ההגדרה, לוחצים על שמירה.

   אם הלחצן Save לא פעיל, ודאו שהגדרתם את כל פרמטרי החובה.

3. אופציונלי: כדי להריץ את המשימה מיד אחרי השמירה, לוחצים על הפעלה עכשיו.

   האפשרות Run Now מאפשרת להפעיל הרצה של משימה אחת כדי לסנכרן באופן מיידי את נתוני ההתראות והמקרים הנוכחיים.

הודעות ביומן

בטבלה הבאה מפורטות הודעות היומן האפשריות של המשימה Google Chronicle Data Sync:

רשומה ביומן	סוג	תיאור
Unable to parse credentials as JSON. Please validate creds.	שגיאה	חשבון השירות שצוין בפרמטר User's Service Account פגום.
"Max Hours Backwards" parameter must be a positive number.	שגיאה	הפרמטר Max Hours backwards מוגדר ל-0 או למספר שלילי.
Current platform version doesn't support SDK methods designed for Google SecOps. Please use version 6.1.33 or higher.	שגיאה	גרסת המכונה הנוכחית של פלטפורמת Google SecOps לא תומכת בהפעלת הסקריפט של המשימה Chronicle Sync Data. כלומר, גרסת ה-build של המכונה ישנה יותר מ-6.1.33.
Unable to connect to Google SecOps, please validate your credentials: CREDENTIALS	שגיאה	אי אפשר לאמת את הערכים של חשבון השירות או של שורש ה-API מול המכונה של Google SecOps. השגיאה הזו מדווחת אם בדיקת הקישוריות נכשלת.
--- Start Processing Updated Cases ---	מידע	לולאת עיבוד הפניות התחילה לפעול.
Last success time. Date time:DATE_AND_TIME. Unix:UNIX_EPOCH_TIME	מידע	חותמת הזמן של ההפעלה המוצלחת האחרונה של בקשות או התראות, שמוצגת כתאריך ושעה (DATE_AND_TIME) וכחותמת זמן של ראשית זמן יוניקס (UNIX_EPOCH_TIME).
Key: "DATABASE_KEY" doesn't exist in the database. Returning default value instead: DEFAULT_VALUE	מידע	מפתח מסד הנתונים של הפנייה או ההתראה בהמתנה לא קיים במסד הנתונים. הרשומה הזו ביומן תמיד מופיעה בהרצה הראשונה של הסקריפט.
Failed to parse data as JSON. Returning default value instead: "DEFAULT_VALUE. ERROR: ERROR	שגיאה	הערך שאוחזר ממסד הנתונים הוא לא בפורמט JSON תקין.
Exception was raised from the database. ERROR: ERROR.	שגיאה	יש בעיה בחיבור למסד הנתונים.
Successfully loaded CASE_IDS pending IDs. Successfully loaded ALERT_IDS pending alert IDs.	מידע	המזהים של הפניות או ההתראות בהמתנה אוחזרו בהצלחה מהצבר. ‫CASE_IDS הוא מספר הפניות שהובאו.
Cases overload: case limit is 1000 NUMBER_OF_CASES cases will not be synced. Alerts overload: alert limit is 1000 NUMBER_OF_ALERTS alerts will not be synced.	שגיאה	מספר המזהים של ההתראות או הפניות בהמתנה שנשלפים ממסד הנתונים גדול מהמגבלה (1,000). המערכת מתעלמת ממזהים שחורגים מהמגבלה. השגיאה הזו יכולה להצביע על פגיעה אפשרית במסד הנתונים.
Found NUMBER_OF_UPDATED_CASES updated cases since last fetch time.	מידע	המזהים של הפניות או ההתראות שעודכנו לאחרונה אוחזרו בהצלחה מהפלטפורמה.
--- Start Updating Cases in Google SecOps ---- -- Start Processing Updated Alerts ---	מידע	התחיל עדכון של בקשות התמיכה וההתראות במכונת Google SecOps.
Failed to update case CASE_ID. Reason: ERROR_REASON Failed to update alert ALERT_ID. Reason: ERROR_REASON	שגיאה	אי אפשר לסנכרן את הפנייה או ההתראה שצוינו עם Google SecOps.
Max retries reached for case CASE_ID. Removing from backlog. Max retries reached for alert ALERT_GROUP_ID . Removing from backlog.	מידע	ההתראה או הפנייה בהמתנה שצוינו הגיעו למגבלת הניסיונות החוזרים לסנכרון (5) ולא הוכנסו חזרה לצבר המשימות.
The following cases were not synced: CASE_IDS The following alerts were not synced: ALERT_IDS	מידע	רשימת המזהים של הבקשות או ההתראות שלא ניתן לסנכרן עם Google SecOps.
Updated External Case IDs for the following cases: CASE_IDS	מידע	רשימת הפניות שבהן המשימה עדכנה את מספר הפנייה החיצוני התואם של Google SecOps בפלטפורמת Google SecOps.
Failed to update external ids.	שגיאה	שגיאה בחיבור או בפלטפורמה מנעה את העדכון של מזהי הפניות החיצוניים.
Failed to update cases in Google SecOps. Failed to update alerts in Google SecOps.	שגיאה	שגיאה גרמה להפסקת העדכונים של הפנייה או ההתראה לפני שהם הסתיימו. לפרטים, אפשר לעיין בדוח הקריסות שמופיע אחרי היומן הזה.
--- Finished Updating Cases in Google SecOps --- --- Finished Updating Alerts in Google SecOps ---	מידע	שלב העדכון של הפנייה וההתראה הסתיים.
The following failed case ids were put in the backlog: CASE_IDS The following failed alert ids were put in the backlog: ALERT_IDS	שגיאה	רשימת המזהים של הפניות או ההתראות שנכשלו, עם מספר ניסיונות חוזרים קטן מ-5 או שווה ל-5, שצריך לכתוב בחזרה לצבר המשימות.
--- Finished Processing Updated Cases --- --- Finished Processing Updated Alerts ---	מידע	שלב העיבוד של הפנייה וההתראה הסתיים.
Saving timestamps.	מידע	שמירת חותמות הזמן של העדכון האחרון של בקשת התמיכה וההתראה שהצליח במסד הנתונים.
Saving pending ids.	מידע	שמירת מזהי הפניות וההתראות בהמתנה במסד הנתונים.
Got exception on main handler. Error: ERROR_REASON	שגיאה	אירעה שגיאת סיום כללית. ה-stacktrace מודפס אחרי היומן הזה עם השגיאה הספציפית.

משימה ליצירת התראות ב-Google Chronicle

חשוב: כדי להבטיח שהפונקציונליות תמשיך לפעול לפני שה-API הקודם יוצא משימוש, צריך להגדיר באופן מפורש את המשימה הזו לשימוש ב-Chronicle API. מוודאים ששיטת האימות שמוגדרת כאן זהה לשיטה שמוגדרת בשילוב.

כדי להפעיל את המשימה Google Chronicle Alerts Creator, צריך להשתמש בפלטפורמת Google SecOps בגרסה 6.2.30 ואילך.

המשימה הזו מסנכרנת התראות שהתקבלו ממחברים של צד שלישי (כולל התראות על חריגה) עם Google SecOps. הוא לא משכפל התראות שכבר מגיעות מגילויים של Google SecOps.

הקשר בין המשימות של Google Chronicle

פריסה מלאה של Google SecOps מריצה את שלושת הרכיבים הבאים בו-זמנית:

1. מחבר ההתראות של Chronicle: קולט התראות שזוהו מ-Google SecOps לתוך בקשות תמיכה.
2. משימת Google Chronicle Alerts Creator: מסנכרנת התראות שנקלטו ממחברים של צד שלישי עם Google SecOps, ומקצה לכל התראה מזהה ייחודי של Google SecOps.
3. המשימה Google Chronicle Sync Data: מסנכרנת עדכונים של בקשות תמיכה והתראות (כמו שינויים בעדיפות או בסטטוס) ב-Google SecOps.

הגדרת המשימה Google Chronicle Alerts Creator

לפני שמגדירים את המשימה, חשוב לוודא שביצעתם את השלבים המוקדמים.

כדי להגדיר את המשימה Google Chronicle Alerts Creator:

1. מגדירים את הפרמטרים של המשימה מהטבלה הבאה:

   פרמטר	תיאור
   Environment	חובה. שם הסביבה שנוצרה ב-Google SecOps שבה רוצים לסנכרן את האירועים וההתראות.
   API Root	חובה. כתובת ה-URL הבסיסית של ה-API למכונת Google SecOps: ‫Chronicle API: כולל את מזהה הפרויקט, האזור ומזהה המכונה (לדוגמה, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). מידע נוסף זמין במאמר איתור השורש של Chronicle API. ‫Backstory API (מדור קודם): נקודת הקצה האזורית של Backstory. ערך ברירת המחדל הוא https://backstory.googleapis.com.
   User's Service Account	זה שינוי אופציונלי. מפתח ה-JSON של חשבון השירות שמשמש לאימות. בשימוש רק אם Workload Identity Email ריק. אם אתם רוצים להשתמש בפרטי כניסה מובְנים, השאירו את שני השדות של פרטי הכניסה ריקים (ראו שיטות אימות וסדר הקדימויות של פרטי הכניסה).
   Workload Identity Email	זה שינוי אופציונלי. כתובת האימייל של חשבון השירות שמשמשת לאימות באמצעות Workload Identity (מומלץ כשנדרש חשבון שירות). אם שני שדות פרטי הכניסה מאוכלסים, השדה הזה מקבל קדימות. אם אתם רוצים להשתמש בפרטי כניסה מובְנים, השאירו את שני השדות של פרטי הכניסה ריקים (ראו שיטות אימות וסדר הקדימויות של פרטי הכניסה).
   Verify SSL	חובה. אם האפשרות הזו נבחרת, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. מופעלת כברירת מחדל.

2. כדי להשלים את ההגדרה, לוחצים על שמירה.

   אם הלחצן Save לא פעיל, ודאו שהגדרתם את כל פרמטרי החובה.

3. אופציונלי: כדי להריץ את המשימה מיד אחרי השמירה, לוחצים על הפעלה עכשיו.

   האפשרות Run Now מאפשרת להפעיל הרצה של משימה אחת כדי לסנכרן באופן מיידי את נתוני ההתראות והמקרים הנוכחיים.

הודעות ביומן וטיפול בשגיאות

יומן	רמה	תיאור
Unable to parse credentials as JSON. Please validate creds.	שגיאה	חשבון השירות שצוין בפרמטר "חשבון השירות של המשתמש" פגום.
Current platform version doesn't support SDK methods designed for Google Chronicle. Please use version 6.2.30 or later.	שגיאה	הגרסה הנוכחית של המכונה של פלטפורמת Google SecOps לא תומכת בהרצת הסקריפט Google Chronicle Alerts Creator Job. השגיאה הזו מציינת שגרסת ה-build של המכונה היא לפני 6.2.30.
Unable to connect to Google Chronicle, please validate your credentials: CREDENTIALS	שגיאה	אי אפשר לאמת את חשבון השירות או את ערכי הבסיס של ה-API מול המכונה של Google SecOps. השגיאה הזו מדווחת אם בדיקת הקישוריות נכשלת.
--------------- JOB STARTED ---------------	מידע	הודעה ביומן שמציינת שהמשימה התחילה.
----------------- Main - Started -----------------	מידע	התחילה ההרצה של המשימה הראשית.
"Starting ITERATION_NUMBER/MAXIMUM_ITERATIONS_NUMBER fetch attempt"	מידע	מספר האיטרציה של ניסיון האחזור הנוכחי.
"Fetching up to BATCH_SIZE new alerts from the SOAR"	מידע	המשימה מאחזרת עד BATCH_SIZE התראות חדשות.
"NUMBER_OF_NEW_ALERTS SOAR alerts were fetched"	מידע	מספר ההתראות החדשות שנשלפו באצווה הנוכחית.
"No new SOAR alerts were found. Stopping..."	מידע	לא נמצאו התראות חדשות שלא סונכרנו, ולכן המשימה נעצרת.
"Fetched the following SOAR alerts: ID_LIST"	מידע	המזהים של ההתראות שאוחזרו באצווה הנוכחית.
"Dispatching SOAR alerts to SIEM"	מידע	המשימה שולחת את ההתראות שאוחזרו אל Google SecOps.
"Failed to create alert ALERT_GROUP_ID in SIEM. Reason: ERROR_REASON"	שגיאה	אי אפשר לסנכרן את ההתראה שצוינה עם Google SecOps.
"Updating SOAR with SIEM response"	מידע	המשימה מעדכנת את סטטוס ההתראה המסונכרנת.
"SOAR has failed updating the status of alert ALERT_ID"	אזהרה	הפלטפורמה לא הצליחה לעדכן את סטטוס הסנכרון של ההתראה שצוינה.
"Total of NUMBER_OF_SYNCED_ALERTS alerts were synced in this run"	מידע	מספר ההתראות הכולל שסונכרנו במהלך הפעלת המשימה הנוכחית.
"--------------- JOB FINISHED ---------------"	מידע	הרצת המשימה הסתיימה.
"Got exception on main handler. Error: ERROR_REASON"	שגיאה	שגיאה כללית גרמה להפסקת המשימה. פרטים נוספים מופיעים בהודעת השגיאה.

תרחישים לדוגמה

השילוב של Google Chronicle מאפשר לכם להריץ את תרחישי השימוש הבאים:

• חקירה ותגובה לאיומים ב-Windows באמצעות Chronicle
• ‫Security Command Center ו-Chronicle Cloud DIR

התקנת תרחיש השימוש

1. ב-Google SecOps Content Hub, עוברים לכרטיסייה Use Cases.

2. בשדה החיפוש, מזינים את שם תרחיש השימוש.

3. לוחצים על תרחיש השימוש.

4. פועלים לפי שלבי ההגדרה וההוראות שבאשף ההתקנה.

בסיום, כל הרכיבים הנדרשים יותקנו במכונה של Google SecOps. כדי לסיים את ההתקנה, מגדירים את הבלוק Initialization בפלייבוק שתואם לתרחיש לדוגמה.

חקירה ותגובה לאיומים ב-Windows באמצעות Chronicle

אתם יכולים להשתמש ביכולות של Google SecOps כדי להגיב בזמן אמת לאיומים על Windows בסביבה שלכם. באמצעות Threat Intelligence for Google SecOps, צוותי אבטחה יכולים להשתמש בשירות מודיעין איומי סייבר ברמת דיוק גבוהה יחד עם Google SecOps. עכשיו אפשר למיין ולתקן באופן אוטומטי איומים אמיתיים בסביבה שלכם, תוך פרק זמן קצר ויעיל.

1. ב-Google SecOps, עוברים אל Response > Playbooks.

2. בוחרים את הפלייבוק Google Chronicle - Windows Threats Investigation & Response. הפלייבוק נפתח בתצוגת מעצב הפלייבוקים.

3. לוחצים לחיצה כפולה על Set Initialization Block_1. תיבת הדו-שיח להגדרת הבלוק נפתחת.

4. כדי להגדיר את הפלייבוק, משתמשים בפרמטרים הבאים:

   פרמטר קלט	ערכים אפשריים	תיאור
   edr_product	Crowdstrike Carbon Black ללא	מוצר ה-EDR שבו משתמשים בפלייבוק.
   itsm_product	Service Now Jira ZenDesk ללא	מוצר ה-ITSM שבו משתמשים בפלייבוק. כדי להשתמש ב-Jira, צריך לקבוע הגדרות נוספות בבלוק Open Ticket.
   crowdstrike_use_spotlight	true או false	אם True, הפלייבוק מבצע פעולות של Crowdstrike שדורשות רישיון Spotlight (מידע על נקודות חולשה).
   use_mandiant	true או false	אם הערך הוא True, הפלייבוק מפעיל את הבלוק של Mandiant.
   slack_user	שם משתמש או כתובת אימייל	שם המשתמש או כתובת האימייל של המשתמש ב-Slack. אם לא צוין ערוץ, הפלייבוק ידלג על הבלוקים של Slack.

5. לוחצים על Save. תיבת הדו-שיח של הגדרת הבלוק נסגרת.

6. בחלונית של מעצב הפלייבוקים, לוחצים על שמירה.

כדי לבדוק את הפלייבוק בתרחיש לדוגמה, מטמיעים את מקרה הבדיקה שכלול בחבילה. יכול להיות שחלק מהיכולות של מקרה הבדיקה ייכשלו כי הנתונים שמשמשים לבדיקה לא זמינים בסביבה שלכם.

‫Security Command Center ו-Chronicle Cloud DIR

אתם יכולים לשלב את Security Command Center עם Google SecOps כדי לאפשר לאנליסטים לחקור אירועים ואיומים שזוהו על ידי Security Command Center.

הגדרת תרחיש השימוש

בתרחיש לדוגמה הזה, צריך להגדיר את השילובים הבאים:

• Siemplify
• כלים
• Mitre ATT&CK
• Google Cloud IAM
• Google Chronicle
• פונקציות
• Google Cloud Compute
• Email V2
• ‫VirusTotal גרסה 3

השילובים של Google Security Command Center ו-Mandiant הם אופציונליים.

לפני שאתם מגדירים את תרחיש השימוש, ודאו שהתקנתם אותו.

1. ב-Google SecOps, עוברים לכרטיסייה Playbooks.
2. בוחרים את הפלייבוק SCC & Chronicle Cloud DIR.
3. לוחצים לחיצה כפולה על Initialization block כדי להגדיר אותו.
4. מגדירים את הפלייבוק באמצעות הפרמטרים הבאים:

שם הפרמטר	ערכים אפשריים	תיאור
Mandiant_Enrichment	true או false	אם הערך הוא True, הפלייבוק משתמש ב-Mandiant להעשרה נוספת. כדי להגדיר את זה, צריך להגדיר את השילוב של Mandiant. אם אתם מקבלים מידע משמעותי רק לעיתים רחוקות, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות הביצוע של הפלייבוק.
SCC_Enrichment	true או false	אם הערך הוא True, הפלייבוק משתמש ביכולות של Security Command Center להעשרה נוספת. כדי להגדיר את זה, צריך להגדיר את השילוב של Security Command Center. אם אתם מקבלים מידע משמעותי רק לעיתים רחוקות, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות הביצוע של הפלייבוק.
IAM_Enrichment	true או false	אם True, הפלייבוק משתמש ביכולות של IAM להעשרה נוספת. אם אתם לא מקבלים מידע משמעותי לעיתים קרובות, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות הביצוע של הפלייבוק.
Compute_Enrichment	true או false	אם True, הפלייבוק משתמש ביכולות של Compute Engine להעשרה נוספת. אם אתם מקבלים מידע משמעותי רק לעיתים רחוקות, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות הביצוע של הפלייבוק.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.