שילוב של Google Chronicle עם Google SecOps

שימו לב: הוצאנו משימוש את ממשקי ה-API של Backstory ושל Ingestion. החל מ-26 באוקטובר 2026 (תאריך סוף התמיכה), מופעים חדשים לא יוכלו לקרוא לממשקי API מדור קודם, וסוף התמיכה יתרחש ב-20 ביולי 2027.

כדי למנוע שיבושים ב-Playbook, צריך לשדרג את השילוב הזה לגרסה 54 ואילך.

אימות: צריך להגדיר אימות (מפתח JSON או Workload Identity) באופן זהה בהגדרת השילוב, במחברים ובעבודות.

מעקב אחרי תוכניות פעולה: אחרי השדרוג, צריך לבדוק את תוכניות הפעולה כי יכול להיות שהפלט של ביצוע הפעולות יהיה שונה.

פרטים נוספים זמינים במאמרים מעבר מ-SIEM API מדור קודם ל-Chronicle API ומעבר מ-Backstory API ל-Chronicle API.

במאמר הזה מוסבר איך לשלב את Google Chronicle עם Google Security Operations.

חשוב: המותג Google Chronicle עבר מיתוג מחדש ל-Google SecOps. בפלטפורמת Google SecOps, השילוב של Google SecOps נקרא Google Chronicle.

תרחישים לדוגמה

השילוב של Google Chronicle משתמש ביכולות של Google SecOps כדי לתמוך בתרחישי השימוש הבאים:

• חקירה אוטומטית של פישינג ותיקון: שאילתות אוטומטיות של נתוני אימייל היסטוריים, יומני פעילות משתמשים ומודיעין איומים כדי להעריך את הלגיטימיות של האימייל. התיקון האוטומטי יכול לעזור לכם במיון ובבידוד של בעיות, ולמנוע את ההתפשטות של תוכנות זדוניות או פרצות אבטחה.

• העשרה של התראות אבטחה: העשרה של התראה שנוצרה ב-SIEM עם הקשר היסטורי, כמו התנהגות משתמשים בעבר ופרטי נכסים. כך האנליסטים מקבלים תמונה מקיפה של האירוע, ויכולים לקבל החלטות מושכלות יותר ובמהירות.

• איתור איומים על סמך תובנות מ-Google SecOps: אפשר להפוך לאוטומטי את התהליך של שליחת שאילתות לכלי אבטחה אחרים כדי למצוא אינדיקטורים קשורים לפריצה (IOC). כך תוכלו לזהות מראש פריצות פוטנציאליות לפני שהן יחמירו.

• ספרי הפעלה אוטומטיים לתגובה לאירועים: הפעלה של ספרי הפעלה מוגדרים מראש שמשתמשים בנתוני Google SecOps כדי לבודד מערכות שנפרצו, לחסום כתובות IP זדוניות ולשלוח התראות לבעלי עניין רלוונטיים. כך אפשר לקצר את זמן התגובה לאירועים ולצמצם למינימום את ההשפעה של אירועי אבטחה.

• דיווח על תאימות וביקורת: אפשר להפוך לאוטומטית את איסוף נתוני האבטחה מ-Google SecOps לצורך דיווח על תאימות, לייעל את תהליך הביקורת ולצמצם את המאמץ הידני.

לפני שמתחילים

לפני שמגדירים את השילוב של Google Chronicle ב-Google SecOps, צריך לוודא שיש לכם גישה לGoogle Cloud פרויקט פעיל.

מיגרציה מ-Backstory API ל-Chronicle API

חלק מהתכונות והפעולות החדשות בשילוב הזה תומכות רק ב-Chronicle API, ולכן מומלץ מאוד שכל המשתמשים יעבירו את הפריסה שלהם לשימוש בפרטי הכניסה של Chronicle API.

חשוב: פריסות חדשות שהוקצו החל מתחילת הרבעון הרביעי של 2025 מוקצות עם פרטי הכניסה של Chronicle API שהוגדרו במערכת.

הדרישה היחידה היא למצוא את שורש Chronicle API ולהזין אותו בהגדרות השילוב. הערך הזה מופיע בפרמטר API Root של המחברים והמשימות במופע שלכם.

אם בדיקת החיבור נכשלת אחרי שמזינים את שורש ה-API החדש, ממשיכים לשלבים הבאים.

איתור של Chronicle API Root

כשניגשים אל Chronicle API, צריך לאתר את API Root הייחודי של הסביבה לצורך הגדרת השילוב.

1. פותחים את הכלים למפתחים בדפדפן ועוברים לפלטפורמת Google SecOps.

2. בוחרים באפשרות חקירה > טבלאות נתונים.

3. בכלים למפתחים, עוברים לכרטיסייה רשת ולוחצים על פריט בעמודה 'שם', כמו dataTables?pageSize=1000.

4. בחלונית הפרטים, בוחרים באפשרות כותרות ומעתיקים את הערך של Request URL, שנמצא בקטע כללי, לא כולל נקודת הקצה ופרמטרים של שאילתות (השם של הפריט שנבחר).

   לדוגמה, אם הערך הוא https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000, שורש ה-API לא כולל את /dataTables?pageSize=1000 והוא https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.

דרישות למתן הרשאות ל-Chronicle API

כדי לגשת אל Chronicle API צריך גם נתיב בסיס חדש ל-API וגם פרטי כניסה חדשים, שתלויים באופן הניהול של פרויקט Google Cloud הבסיסי:

סוג הפרויקט	דרישות לגבי פרטי כניסה
פרויקט בניהול Google (ברירת מחדל)	פונים לתמיכה של Google כדי להקצות את פרטי הכניסה הנדרשים שמוסתרים ולתת הרשאות לסביבה שלכם.
הבאת פרויקט משלכם (BYOP)	צריך להגדיר באופן ידני חשבון שירות ייעודי בפרויקט באמצעות מפתח JSON או Workload Identity, ולהקצות את התפקיד Chronicle API Editor.

אימות באמצעות מפתח JSON של חשבון שירות

יש תמיכה באימות באמצעות מפתח JSON של חשבון שירות ב-Chronicle API, והיא חובה למשתמשי BYOP שלא מבצעים אימות באמצעות זהות עומס עבודה.

הערה: אפשר לבצע אימות באמצעות מפתח JSON או באמצעות Workload Identity. מומלץ להשתמש בWorkload Identity.

יוצרים חשבון שירות ייעודי ויוצרים את מפתח ה-JSON

כדי לבצע אימות באמצעות מפתח JSON של חשבון שירות, צריך לבצע את השלבים הבאים ליצירת מפתח JSON:

1. במסוף Google Cloud , נכנסים אל IAM & Admin > Service Accounts.

2. בוחרים באפשרות Create Service Account (יצירת חשבון שירות) ופועלים לפי ההוראות.

3. בוחרים את כתובת האימייל של חשבון השירות החדש ועוברים אל Keys > Add Key > Create new key.

4. בוחרים באפשרות JSON בתור סוג המפתח ולוחצים על Create. למחשב שלכם תתבצע הורדה של קובץ JSON עם המפתח.

‫Chronicle API: התפקיד שנדרש לחשבון השירות

כשמשתמשים ב-Chronicle API, לחשבון השירות צריך להיות התפקיד Chronicle API Editor.

1. במסוף Google Cloud , נכנסים אל APIs and Services > Credentials.

2. בקטע Service Accounts (חשבונות שירות), בוחרים את חשבון השירות ולוחצים על Permissions > Manage access (הרשאות > ניהול גישה).

3. לוחצים על הוספההוספת תפקיד ובוחרים בתפקיד Chronicle API Editor. לוחצים על שמירה.

אימות באמצעות Workload Identity (מומלץ)

השיטה המומלצת והמאובטחת ביותר היא אימות באמצעות Workload Identity.

כדי להגדיר אימות באמצעות Workload Identity, פועלים לפי השלבים הבאים:

יצירה של חשבון שירות

כדי ליצור חשבון שירות, מבצעים את השלבים הבאים:

1. נכנסים לדף Credentials במסוף Google Cloud .

   כניסה לדף Credentials

2. בתפריט Create credentials בוחרים באפשרות Service account.

3. בקטע פרטי חשבון שירות, מזינים שם בשדה שם חשבון שירות.

4. אופציונלי: עורכים את המזהה של חשבון השירות.

5. לוחצים על Create and continue. יופיע מסך הרשאות.

6. לוחצים על Continue. מוצג מסך Principals with access (חשבונות משתמשים עם גישה).

7. לוחצים על סיום.

‫Chronicle API: התפקיד שנדרש לחשבון השירות

כשמשתמשים ב-Chronicle API, לחשבון השירות צריך להיות התפקיד Chronicle API Editor.

1. במסוף Google Cloud , נכנסים אל APIs and Services > Credentials.

2. בקטע Service Accounts (חשבונות שירות), בוחרים את חשבון השירות ולוחצים על Permissions > Manage access (הרשאות > ניהול גישה).

3. לוחצים על הוספההוספת תפקיד ובוחרים בתפקיד Chronicle API Editor. לוחצים על שמירה.

הענקת הרשאות התחזות למכונת Google SecOps

כדי להשתמש ב-Workload Identity, צריך להעניק למופע של Google SecOps הרשאה להתחזות לחשבון השירות. זה השלב האחרון שמאפשר למופע לגשת למשאבים של Google Cloud בצורה מאובטחת.

1. ב-Google SecOps, עוברים אל Content Hub > Response Integrations.

2. בוחרים את השילוב שרוצים להגדיר ומזינים את כתובת האימייל של חשבון השירות בשדה Workload Identity Email.

3. לוחצים על שמירה > בדיקה. הבדיקה צפויה להיכשל.

4. לוחצים על close_small משמאל לבדיקה ומחפשים את הודעת השגיאה gke-init-python@PROJECT .iam.gserviceaccount.com או soar-python@TENANT_PROJECT .iam.gserviceaccount.com. מעתיקים את כתובת האימייל הייחודית הזו (היא מזהה את מכונת Google SecOps).

5. עוברים אל Service accounts, בוחרים את הפרויקט ואת חשבון השירות.

6. בוחרים באפשרות Principals with access > addGrant access.

7. בקטע הוספת ישויות, מדביקים את הערך שהעתקתם.

8. בקטע הוספת תפקידים, בוחרים בתפקיד Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

   הערה: יכול להיות שיעברו כמה דקות אחרי השלמת השלב הזה עד שהבדיקה תעבור.

פתרון בעיות בקישוריות ל-Chronicle API

אם נתקלתם בבעיות בחיבור השילוב ל-Chronicle API, תוכלו לפעול לפי השלבים הבאים כדי לפתור בעיות בהגדרה ובאישורים:

1. מאתרים את שורש Chronicle API ומוודאים שהוזן בצורה נכונה בהגדרות השילוב.
2. מוודאים שכל פרמטרי ההגדרה האחרים שחובה למלא אותם מולאו בצורה מדויקת.

3. בודקים את החיבור. אם הבדיקה תצליח, לא יהיה צורך לבצע פעולות נוספות. אם הבדיקה נכשלת, עוברים לשלב הבא.

4. מאמתים את הבעלות על הפרויקט ואת פרטי הכניסה: Google Cloud

   • פרויקט בניהול Google: אם הפרויקט שלכם Google Cloud מנוהל על ידיGoogle (פריסת ברירת מחדל), פנו לתמיכה של Google לקבלת עזרה בבעיות שקשורות לפרטי הכניסה.
   • שימוש בפרויקט קיים (BYOP): אם פרויקט Google Cloud מנוהל עצמית (BYOP), צריך לוודא שהגדרתם ידנית חשבון שירות והקציתם לו את התפקידים המתאימים.

פרמטרים של שילוב

השילוב של Google Chronicle דורש את הפרמטרים הבאים:

פרמטר	תיאור
UI Root	חובה. כתובת ה-URL הבסיסית של ממשק Google SecOps. הוא משמש ליצירה אוטומטית של קישורים ישירים בחזרה לפלטפורמת SIEM מרשומות האירועים. ערך ברירת המחדל הוא https://INSTANCE.chronicle.security/.
API Root	חובה. ה-API root של מכונת Google SecOps. הערך תלוי בשיטת האימות: ב-Backstory API (עם פרטי כניסה שמוגדרים כברירת מחדל): משתמשים בפורמט מדור קודם. ערך ברירת המחדל הוא https://backstory.googleapis.com. ‫Chronicle API (נדרש חשבון שירות מוגדר): משתמשים בפורמט החדש, כולל מזהה הפרויקט, האזור ומזהה המופע. לדוגמה, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID. במאמר איך מוצאים את שורש ה-API של Chronicle מוסבר איך למצוא את הערך הזה. שימוש בפרטי כניסה שגויים בשורש ה-API מוביל לחיבור שנכשל.
User's Service Account	זה שינוי אופציונלי. התוכן המלא של קובץ ה-JSON של מפתח חשבון השירות. חשוב: כדי להשתמש ב-Chronicle API, צריך לספק את השדה הזה או את Workload Identity Email. אל תמלאו את השדה הזה אם אתם מתכוונים להשתמש ב-Workload Identity Email, כי אם תספקו את שניהם זה יגרום להתנגשויות באימות. אם שני השדות ריקים, השילוב מוגדר כברירת מחדל לחשבון השירות של המופע, שתומך רק ב-Backstory API.
Workload Identity Email	זה שינוי אופציונלי. כתובת האימייל של הלקוח של חשבון השירות שמשמש להתחזות של Workload Identity. חשוב: אל תמלאו את השדה הזה אם כבר סיפקתם את הערך User's Service Account. כדי למנוע שגיאות מסוג 'ההרשאה נדחתה', צריך להקצות את התפקיד Service Account Token Creator לחשבון השירות של מופע Google SecOps בכתובת האימייל שצוינה בשדה הזה.
Verify SSL	חובה. אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. ההגדרה הזו מופעלת כברירת מחדל.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות בהמתנה ממרכז העבודה ואיך מבצעים פעולה ידנית.

הוספת רשומה לרשימת הצפייה

משתמשים בפעולה Add Entry To Watchlist (הוספת רשומה לרשימת מעקב) כדי להוסיף ישות ספציפית לרשימת מעקב קיימת של ניתוח סיכונים ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: כדי לבצע את הפעולה הזו צריך לאמת את Chronicle API. אין תמיכה באימות של Legacy Backstory API.

הוספת נתונים לפעולה

הפעולה הוספת פריט לרשימת הצפייה דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Watchlist Name	חובה. השם של רשימת הצפייה ב-Risk Analytics שאליה רוצים להוסיף את הרשומה.
Entry	חובה. אובייקט ה-JSON שמייצג את הישות שרוצים להוסיף לרשימת הצפייה. מבנה ה-JSON מחייב את ערך הישות, את סוג הישות ואת מרחב השמות האופציונלי. ערך ברירת המחדל הוא: [ { "entity": "", "type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID", "namespace": "Optional" } ]

פלטים של פעולות

הפעולה Add Entry To Watchlist מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Add Entry To Watchlist:

[
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    },
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    }
]

הודעות פלט

הפעולה Add Entry To Watchlist יכולה להחזיר את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully added new entries to a watchlist WATCHLIST in Google SecOps.	הפעולה הסתיימה בהצלחה.
Error executing action "Add Entry To Watchlist". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Add Entry To Watchlist:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הוספת שורות לטבלת נתונים

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Add Rows To Data Table (הוספת שורות לטבלת נתונים) כדי להוסיף שורות לטבלת נתונים ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

כדי להגדיר את הפעולה, משתמשים בפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים לעדכון.
Rows	חובה. רשימה של אובייקטים מסוג JSON שמכילים מידע על השורות שרוצים להוסיף. לדוגמה: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

פלטים של פעולות

הפעולה Add Rows To Data Table (הוספת שורות לטבלת נתונים) מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תובנות לגבי ישויות	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מוצגת תוצאת JSON לדוגמה שמוחזרת על ידי הפעולה Add Rows To Data Table:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          }
}

הודעות פלט

הפעולה Add Rows To Data Table (הוספת שורות לטבלת נתונים) מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully added rows to the data table DATA_TABLE_NAME in Google SecOps.	הפעולה הסתיימה בהצלחה.
Error executing action "Add Rows to Data Table". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Add Rows To Data Table:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הוספת ערכים לרשימת ההפניות

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-Playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Add Values To Reference List כדי להוסיף ערכים לרשימת הפניות ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

כדי להגדיר את הפעולה, משתמשים בפרמטרים הבאים:

פרמטר	תיאור
Reference List Name	חובה. השם של רשימת ההפניות שרוצים לעדכן.
Values	חובה. רשימה של ערכים שמופרדים בפסיקים שיוספו לרשימת ההפניות.

פלטים של פעולות

הפעולה הוספת ערך לרשימת הפניות מספקת את התוצאות הבאות:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תובנות לגבי ישויות	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Add Value To Reference List עם Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Add Value To Reference List עם Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

הודעות פלט

הפעולה Add Values To Reference List מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully added values to the reference list REFERENCE_LIST_NAME.	הפעולה הסתיימה בהצלחה.
Error executing action "Add Values To Reference List". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Add Values To Reference List:

שם התוצאה של הסקריפט	ערך
is_success	true או false

יש לך שאלה ל-Gemini?

משתמשים בפעולה Ask Gemini כדי לשלוח פרומפט טקסטואלי ל-Gemini ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: הפעולה הזו פועלת רק עם אימות Chronicle API. אין תמיכה ב-Backstory API. אם אתם משתמשים בפריסה של Unified SecOps, ודאו שהגדרתם חשבון שירות ייעודי וסיפקתם פרטי כניסה בפרמטרים של השילוב.

מגבלות עיבוד ופסק זמן

הפעולה הזו כפופה לאילוצי עיבוד בצינור Google SecOps. פעולות שחורגות מהאילוצים האלה בדרך כלל גורמות לשגיאת 503 Service Unavailable.

כדי שהבקשות יתבצעו בהצלחה, הן צריכות לעמוד במפרטים הבאים:

• זמן קצוב לתפוגה: לזיהוי כוונות יש זמן קצוב לתפוגה של 30 שניות. אם תנסו לבצע משימות סיכום גדולות או פרומפטים מורכבים שחורגים מזמן העיבוד הזה, הפעולה תיכשל.

• מכסת תהליך יצירת תשובות: שלב היצירה מוגבל ל-28,000 טוקנים לכל היותר.

הוספת נתונים לפעולה

הפעולה Ask Gemini דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Automatic Opt-in	זה שינוי אופציונלי. אם האפשרות הזו מסומנת, המשתמש מצטרף באופן אוטומטי לשיחה עם Gemini בלי שיידרש אישור ידני. ההגדרה הזו מופעלת כברירת מחדל.
Prompt	חובה. פרומפט הטקסט או השאלה הראשוניים שיישלחו אל Gemini. חשוב: יכול להיות שיהיה זמן קצוב לתפוגה של 30 שניות לפרומפטים שדורשים עיבוד מקיף (למשל, סיכום של מערכי תוצאות גדולים). פרטים נוספים זמינים במאמר בנושא מגבלות של עיבוד וזמני קצובים לתפוגה.

פלטים של פעולות

הפעולה Ask Gemini מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תובנות לגבי ישויות	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Ask Gemini:

{
  {
        "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
        "input": {
            "body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
        },
        "responses": [
            {
                "blocks": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal&#39;s IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal&#39;s last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
                        }
                    }
                ],
                "references": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
                        }
                    }
                ],
                "groundings": [
                    "IP address 159.138.84.217 malicious cybersecurity",
                    "IP address 159.138.84.217 threat intelligence"
                ]
            }
        ],
        "createTime": "2025-05-16T11:31:36.660538Z"
    }
}

הודעות פלט

הפעולה Ask Gemini מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully executed a prompt in Google SecOps.	הפעולה הסתיימה בהצלחה.
Error executing action "GoogleChronicle - Ask Gemini". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Ask Gemini:

שם התוצאה של הסקריפט	ערך
is_success	true או false

העשרת הדומיין – הוצא משימוש

הוצא משימוש: הפעולה הזו הוצאה משימוש.

משתמשים בפעולה Enrich Domain כדי להעשיר דומיינים באמצעות מידע מ-IoC ב-Google SecOps.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• URL
• Hostname

הוספת נתונים לפעולה

הפעולה Enrich Domain דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Create Insight	אם בוחרים באפשרות הזו, הפעולה תיצור תובנה שמכילה מידע על הישויות. ההגדרה הזו מופעלת כברירת מחדל.
Only Suspicious Insight	אם האפשרות הזו נבחרה, הפעולה תיצור תובנה רק לגבי ישויות שמסומנות כחשודות. לא מופעל כברירת מחדל. אם בוחרים בפרמטר הזה, צריך לבחור גם בפרמטר Create Insight.
Lowest Suspicious Severity	חובה. רמת החומרה הכי נמוכה שמשויכת לדומיין שנדרשת כדי לסמן אותו כחשוד. ערך ברירת המחדל הוא Medium. הערכים האפשריים הם: High Medium Low Info
Mark Suspicious N/A Severity	חובה. אם האפשרות הזו נבחרה והמידע על רמת החומרה לא זמין, הפעולה מסמנת את הישות כחשודה.

פלטים של פעולות

הפעולה Enrich Domain מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	יש גישה
תובנות לגבי ישויות	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת קיר עם תושבת

הפעולה Enrich Domain מספקת את הטבלה הבאה:

שם: ENTITY_IDENTIFIER

עמודות:

• מקור
• רמת החומרה
• קטגוריה
• רמת הביטחון

העשרה של ישויות

הפעולה Enrich Domain תומכת בלוגיקה הבאה להעשרת ישויות:

שדה העשרה	לוגיקה (מתי להחיל)
severity	כשהנתונים זמינים ב-JSON
average_confidence	כשהנתונים זמינים ב-JSON
related_domains	כשהנתונים זמינים ב-JSON
categories	כשהנתונים זמינים ב-JSON
sources	כשהנתונים זמינים ב-JSON
first_seen	כשהנתונים זמינים ב-JSON
last_seen	כשהנתונים זמינים ב-JSON
report_link	כשהוא זמין ב-JSON

תוצאת JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich Domain עם Backstory API:

  {
              {
                  "sources": [
                      {
                          "source": "ET Intelligence Rep List",
                          "confidenceScore": {
                              "normalizedConfidenceScore": "Low",
                              "intRawConfidenceScore": 0
                          },
                          "rawSeverity": "High",
                          "category": "Malware Command and Control Server"
                      }
                  ],
                  "iocIngestTime": "2021-01-26T17:00:00Z",
                  "firstSeenTime": "2018-10-03T00:03:53Z",
                  "lastSeenTime": "2022-02-09T10:52:21.229Z",
                  "uri": [
                      "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                  ]
              }
  }
  

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich Domain עם Chronicle API:

[
  {
    "Entity": "example.com",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        },
        {
          "category": "Phishing",
          "firstActiveTime": null,
          "lastActiveTime": "2020-11-27T14:31:37Z",
          "addresses": [
            {
              "domain": "example.com"
            },
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "high",
          "confidenceScore": {
            "strRawConfidenceScore": "high"
          }
        },
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        },
        {
          "metadata": {
            "title": "ESET Threat Intelligence",
            "description": "ESET Threat Intelligence"
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Phishing",
              "activeTimerange": {
                "end": "2020-11-27T14:31:37Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "High",
              "rawSeverity": "High"
            }
          ]
        },
        {
          "metadata": {
            "title": "Mandiant Active Breach Intelligence",
            "description": "Mandiant Active Breach IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        }
      ]
    }
  }
]
  

הודעות פלט

הפעולה Enrich Domain מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully enriched the following domain in Google Chronicle: LIST_OF_IDS	הפעולה הסתיימה בהצלחה.
Error executing action "Enrich Domain". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Enrich Domain:

שם התוצאה של הסקריפט	ערך
is_success	true או false

העשרת ישויות

משתמשים בפעולה Enrich Entities כדי לשלוח שאילתה ל-Google SecOps ולקבל הקשר ומאפיינים נוספים לסוגי ישויות שצוינו. הפעולה הזו משפרת את נתוני החקירה של איומים באמצעות שילוב של מודיעין חיצוני.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• Domain
• File Hash
• Hostname
• IP Address
• ‫URL (שליפת הדומיין מכתובת ה-URL)
• User
• ‫Email (ישות משתמש עם ביטוי רגולרי לאימייל)

הערה: הפעולה הזו פועלת רק עם אימות של Chronicle API. אין תמיכה ב-Backstory API. אם אתם משתמשים בפריסת Unified SecOps, ודאו שהגדרתם חשבון שירות ייעודי וסיפקתם פרטי כניסה בפרמטרים של השילוב.

הוספת נתונים לפעולה

הפעולה Enrich Entities (העשרת ישויות) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Namespace	זה שינוי אופציונלי. הקיבוץ הלוגי או היקף הישויות שרוצים להוסיף להן מידע. אם לא בוחרים מרחב שמות, ההעשרה חלה על ישויות במרחב השמות שמוגדר כברירת מחדל או על כל מרחבי השמות שאפשר לגשת אליהם. כדי שהישויות יעברו עיבוד, הן צריכות להיות שייכות למרחב השמות הזה.
Time Frame	זה שינוי אופציונלי. טווח זמן יחסי (לדוגמה, 1 day, 2 hours). הפרמטר הזה מקבל עדיפות על פני Start Time ו-End Time.
Start Time	זה שינוי אופציונלי. שעת ההתחלה של תקופת ההעשרה בפורמט ISO 8601. משתמשים במאפיין הזה עם End Time אם לא מוגדר Time Frame.
End Time	זה שינוי אופציונלי. שעת הסיום המוחלטת של תקופת ההעשרה בפורמט ISO 8601. המאפיין הזה משמש עם Start Time אם לא מוגדר Time Frame.

פלטים של פעולות

הפעולה Enrich Entities מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הפעולה Enrich Entities תומכת בהעשרת הישויות הבאה לכל ישות:

שדה העשרה	מקור (מפתח JSON)	תחולה
GoogleSecOps_related_entities	מספר הrelated_entities	אם הוא זמין בתוצאת ה-JSON.
GoogleSecOps_alert_count_ruleName	{alertCounts.count} לכל כלל ספציפי	אם הוא זמין בתוצאת ה-JSON.
GoogleSecOps_first_seen	metric.firstSeen	אם הוא זמין בתוצאת ה-JSON.
GoogleSecOps_last_seen	metric.lastSeen	אם הוא זמין בתוצאת ה-JSON.
GoogleSecOps_flattened_key_under_entity	הערך של המפתח, שמושטח מהמבנה המקונן מתחת לאובייקט "entity".	אם הוא זמין בתוצאת ה-JSON.

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל באמצעות הפעולה Enrich Entities:

[
 {
   "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
     "metadata": { "entityType": "DOMAIN_NAME" },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
       "metadata": { "entityType": "DOMAIN_NAME" },
       "entity": {
         "domain": {
           "name": "markossolomon.com",
           "firstSeenTime": "1970-01-01T00:00:00Z",
           "lastSeenTime": "1970-01-01T00:00:00Z",
           "registrar": "NameCheap, Inc.",
           "creationTime": "2013-12-06T02:41:09Z",
           "updateTime": "2019-11-06T11:48:33Z",
           "expirationTime": "2020-12-06T02:41:09Z",
           "registrant": {
             "userDisplayName": "WhoisGuard Protected",
             "emailAddresses": [
               "[e-mail]"
             ],
             "personalAddress": { "countryOrRegion": "PANAMA" },
             "companyName": "WhoisGuard, Inc."
           }
         }
       }
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "npatni-sysops",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:00:02.042Z",
         "endTime": "2025-07-18T07:50:02.472Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:00:02.042Z",
           "endTime": "2025-07-18T07:50:02.472Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "npatni-sysops" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:00:02.042Z",
         "lastSeen": "2025-07-18T07:50:02.472Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:00:02.042Z",
       "lastSeen": "2025-07-18T07:50:02.472Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "329" },
       { "rule": "rule_testbucket", "count": "339" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "332" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 1000 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "exlab2019-ad",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "exlab2019-ad" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.30.202.229",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "ip": ["172.30.202.229"] }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.17.0.1",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-03-09T19:09:02.133Z",
         "endTime": "2025-04-19T02:27:01.994Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-03-09T19:09:02.133Z",
           "endTime": "2025-04-19T02:27:01.994Z"
         }
       },
       "entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
       "metric": {
         "firstSeen": "2025-03-09T19:09:02.133Z",
         "lastSeen": "2025-04-19T02:27:01.994Z"
       }
     },
     "metric": {
       "firstSeen": "2025-03-09T19:09:02.133Z",
       "lastSeen": "2025-04-19T02:27:01.994Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "911d039e71583a07320b32bde22f8e22",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
     "metadata": {
       "entityType": "FILE",
       "interval": {
         "startTime": "2024-12-15T09:07:02Z",
         "endTime": "2025-07-18T07:43:59.045Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
       "metadata": {
         "entityType": "FILE",
         "interval": {
           "startTime": "2024-12-15T09:07:02Z",
           "endTime": "2025-07-18T07:43:59.045Z"
         }
       },
       "entity": {
         "file": {
           "sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
           "md5": "911d039e71583a07320b32bde22f8e22",
           "sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
           "size": "278528",
           "fileType": "FILE_TYPE_PE_EXE",
           "names": [
             "C:\\Windows\\System32\\cmd.exe",
             "cmd",
             "Cmd.Exe",
             "C:\\Windows\\system32\\cmd.exe",
             "C:\\Windows\\SYSTEM32\\cmd.exe",
             "cmd.exe",
             "C:\\\\Windows\\\\System32\\\\cmd.exe",
             "C:\\windows\\SYSTEM32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
             "c:\\Windows\\System32\\cmd.exe",
             "Utilman.exe",
             "c:\\windows\\system32\\cmd.exe",
             "System32/cmd.exe",
             "UtilityVM/Files/Windows/System32/cmd.exe",
             "KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
             "cmd.exe_",
             "C:\\WINDOWS\\SYSTEM32\\cmd.exe",
             "Cmd.exe",
             "Windows/System32/cmd.exe",
             "sethc.exe",
             "C:\\WINDOWS\\System32\\cmd.exe",
             "esRzqurX.exe",
             "rofl.png",
             "F:\\Windows\\SYSTEM32\\cmd.exe",
             "utilman.exe",
             "C:\\Windows\\system32\\CMD.exe",
             "sys32exe/cmd.exe",
             "cmd.txt",
             "C:\\WINDOWS\\system32\\cmd.exe",
             "cmd2.exe",
             "Utilman.exe.sc",
             "uhrHRIv8.exe",
             "C:\\windows\\system32\\cmd.exe",
             "submitted_file",
             "C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
             "J6ff7z0hLYo.exe",
             "N:\\Windows\\System32\\cmd.exe",
             "Q:\\Windows\\System32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
             "C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
             "test.exe",
             "68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
             "8FCVE0Kq.exe",
             "cmd (7).exe",
             "cmd (8).exe",
             "21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
             "LinX v0.9.11 (Intel)/cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
             "cmd_b.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
             "cMd.exe",
             "Repl_Check.bat__",
             "cmd.pdf",
             "cmd.EXE",
             "C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
             "LFepc1St.exe",
             "firefox.exe",
             "3BcnNlWV.exe",
             "Utilman.exebak",
             "utilman1.exe",
             "1.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
             "cmd_1771019736291028992.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
             "Sethc.exe",
             "\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
             "DANFE352023067616112.exe",
             "file.exe",
             "DANFE352023067616112/DANFE352023067616112.exe",
             "C:\\Windows\\SYSTEM32\\Cmd.exe",
             "pippo.exe",
             "C:\\Windows\\System32\\sethc.exe",
             "cmd.exe-bws024-windowsfolder",
             "whatever.exe",
             "sethc.exe.bak",
             "S71dbOR1.exe",
             "F:\\windows\\SYSTEM32\\cmd.exe",
             "L6puhWL7.exe",
             "DANFE357986551413927.exe",
             "DANFE357666506667634.exe",
             "\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
             "\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
             "\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
             "\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
             "\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
             "\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
             "winlogon.exe",
             "AccessibilityEscalation.A' in file 'utilman.exe'",
             "qpl9AqT0.exe",
             "C:\\windows\\system32\\CMD.exe",
             "C:\\po8az\\2po9hmc\\4v1b5.exe",
             "batya.exe",
             "nqAwJaba.exe",
             "\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
             "/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
             "/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
             "\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
             "/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
             "DANFE352429512050669.exe",
             "/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
           ],
           "firstSeenTime": "2024-12-15T09:07:02Z",
           "lastSeenTime": "2025-07-18T07:43:59.045Z",
           "lastAnalysisTime": "2025-07-16T10:06:40Z",
           "signatureInfo": {
             "sigcheck": {
               "verificationMessage": "Signed",
               "verified": true,
               "signers": [{ "name": "Microsoft Windows" }]
             }
           },
           "firstSubmissionTime": "2025-07-15T16:30:27Z"
         }
       },
       "metric": {
         "firstSeen": "2024-12-15T09:07:02Z",
         "lastSeen": "2025-07-18T07:43:59.045Z"
       }
     },
     "metric": {
       "firstSeen": "2024-12-15T09:07:02Z",
       "lastSeen": "2025-07-18T07:43:59.045Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "329" },
       { "rule": "rule_testbucket", "count": "345" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "326" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         { "alertCount": 31 },
         { "alertCount": 111 },
         { "alertCount": 109 },
         { "alertCount": 82 },
         { "alertCount": 86 },
         { "alertCount": 98 },
         { "alertCount": 86 },
         { "alertCount": 85 },
         { "alertCount": 92 },
         { "alertCount": 89 },
         { "alertCount": 90 },
         { "alertCount": 41 }
       ],
       "bucketSize": "172800s"
     },
     "prevalenceResult": [
       { "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
     ],
     "relatedEntities": [
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "hostname": "exlab2019-ad",
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       },
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "ip": ["172.30.202.229"],
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       }
     ]
   }
 },
 {
   "Entity": "tencent.com",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
     "metadata": {
       "entityType": "DOMAIN_NAME",
       "interval": {
         "startTime": "2025-01-14T14:01:00Z",
         "endTime": "2025-01-14T15:02:00Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
       "metadata": {
         "entityType": "DOMAIN_NAME",
         "interval": {
           "startTime": "2025-01-14T14:01:00Z",
           "endTime": "2025-01-14T15:02:00Z"
         }
       },
       "entity": {
         "domain": {
           "name": "tencent.com",
           "firstSeenTime": "2025-01-14T14:01:00Z",
           "lastSeenTime": "2025-01-14T15:02:00Z",
           "registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
           "creationTime": "1998-09-14T04:00:00Z",
           "updateTime": "2024-08-20T08:04:01Z",
           "expirationTime": "2032-09-13T04:00:00Z",
           "registrant": {
             "emailAddresses": [""],
             "personalAddress": { "countryOrRegion": "CHINA" },
             "companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
           }
         }
       },
       "metric": {
         "firstSeen": "2025-01-14T14:01:00Z",
         "lastSeen": "2025-01-14T15:02:00Z"
       }
     },
     "metric": {
       "firstSeen": "2025-01-14T14:01:00Z",
       "lastSeen": "2025-01-14T15:02:00Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "00:50:56:b6:34:86",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "1970-01-01T00:00:00Z",
         "endTime": "2025-05-22T11:37:02Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "1970-01-01T00:00:00Z",
           "endTime": "2025-05-22T11:37:02Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "mac": ["00:50:56:b6:34:86"] }
       },
       "metric": {
         "firstSeen": "1970-01-01T00:00:00Z",
         "lastSeen": "2025-05-22T11:37:02Z"
       }
     },
     "metric": {
       "firstSeen": "1970-01-01T00:00:00Z",
       "lastSeen": "2025-05-22T11:37:02Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 }
]

הודעות פלט

הפעולה Enrich Entities יכולה להחזיר את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully enriched the following entities information from Google SecOps: ENTITY_ID Action wasn't able to enrich the following entities using information from Google SecOps: ENTITY_ID None of the provided entities were enriched using information from Google SecOps.	הפעולה הסתיימה בהצלחה.
Error executing action "Enrich Entities". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Enrich Entities:

שם התוצאה של הסקריפט	ערך
is_success	true או false

העשרת כתובת IP – הוצא משימוש

הוצא משימוש: הפעולה הזו הוצאה משימוש.

אפשר להשתמש בפעולה Enrich IP כדי להעשיר ישויות IP באמצעות מידע מ-IoC ב-Google SecOps.

הפעולה הזו מופעלת על הישות `כתובת IP`.

הוספת נתונים לפעולה

הפעולה Enrich IP (העשרת כתובת IP) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Create Insight	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה שמכילה מידע על ישויות. ההגדרה הזו מופעלת כברירת מחדל.
Only Suspicious Insight	זה שינוי אופציונלי. אם האפשרות הזו מסומנת, הפעולה יוצרת תובנות רק לגבי ישויות שמסומנות כחשודות. לא מופעל כברירת מחדל. אם בוחרים בפרמטר הזה, צריך לבחור גם בפרמטר Create Insight.
Lowest Suspicious Severity	חובה. רמת החומרה הנמוכה ביותר שמשויכת לכתובת ה-IP כדי לסמן אותה כחשודה. ערך ברירת המחדל הוא Medium. הערכים האפשריים הם: High Medium Low Info
Mark Suspicious N/A Severity	חובה. אם האפשרות הזו נבחרה והמידע על רמת החומרה לא זמין, הפעולה מסמנת את הישות כחשודה.

פלטים של פעולות

הפעולה Enrich IP מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת קיר עם תושבת

שם: ENTITY_IDENTIFIER

עמודות:

• מקור
• רמת החומרה
• קטגוריה
• רמת הביטחון
• דומיינים קשורים

העשרה של ישויות

הפעולה Enrich IP תומכת בלוגיקה הבאה של העשרת ישויות:

שדה העשרה	לוגיקה (מתי להחיל)
severity	כשהנתונים זמינים ב-JSON
average_confidence	כשהנתונים זמינים ב-JSON
related_domains	כשהנתונים זמינים ב-JSON
categories	כשהנתונים זמינים ב-JSON
sources	כשהנתונים זמינים ב-JSON
first_seen	כשהנתונים זמינים ב-JSON
last_seen	כשהנתונים זמינים ב-JSON
report_link	כשהוא זמין ב-JSON

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich IP עם Backstory API:

{
            {
                "sources": [
                    {
                        "source": "Example List",
                        "confidenceScore": {
                            "normalizedConfidenceScore": "Low",
                            "intRawConfidenceScore": 0
                        },
                        "rawSeverity": "High",
                        "category": "Malware Command and Control Server"
                    }
                ],
                "iocIngestTime": "2021-01-26T17:00:00Z",
                "firstSeenTime": "2018-10-03T00:03:53Z",
                "lastSeenTime": "2022-02-09T10:52:21.229Z",
                "uri": [
                    "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                ]
            }
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich IP עם Chronicle API:

[
  {
    "Entity": "192.0.2.121",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "low",
          "confidenceScore": {
            "strRawConfidenceScore": "67"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "67",
              "rawSeverity": "Low"
            }
          ]
        }
      ]
    }
  }
]

הודעות פלט

הפעולה Enrich IP מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully enriched the following IPs from Google Chronicle: LIST_OF_IPS	הפעולה הסתיימה בהצלחה.
Error executing action "Enrich IP". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Enrich IP:

שם התוצאה של הסקריפט	ערך
is_success	true או false

ביצוע חיפוש רטרו

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Execute Retrohunt כדי להריץ Retrohunt של כלל ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Execute Retrohunt (הפעלת חיפוש רטרו) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Rule ID	חובה. המזהה של הכלל שלגביו רוצים להריץ חיפוש רטרו. משתמשים בפורמט ru_{UUID} לגרסה העדכנית ביותר של כלל, או בפורמט ru_{UUID}@v_{int64}_{int64} לגרסה ספציפית.
Time Frame	זה שינוי אופציונלי. תקופה לאחזור התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם נבחר Custom, חובה לציין את הפרמטר Start Time. ערך ברירת המחדל הוא Last Hour.
Start Time	שעת ההתחלה של התוצאות בפורמט ISO 8601. חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר לערך Custom.
End Time	שעת הסיום של התוצאות בפורמט ISO 8601. אם לא מגדירים ערך ובוחרים בערך Custom לפרמטר Time Frame, המערכת משתמשת בשעה הנוכחית.

פלטים של פעולות

הפעולה Execute Retrohunt מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תובנות לגבי ישויות	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Execute Retrohunt עם Backstory API:

{
  "retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
  "ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
  "versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
  "eventStartTime": "2021-01-14T23:00:00Z",
  "eventEndTime": "2021-01-30T23:00:00Z",
  "retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
  "state": "RUNNING"
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Execute Retrohunt עם Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/RetrohuntMetadata",
    "retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
    "executionInterval": {
      "startTime": "2025-01-22T12:16:20.963182Z",
      "endTime": "2025-01-23T12:16:20.963182Z"
    }
  },
  "retrohuntId": "RETROHUNT_ID",
  "ruleId": "RULE_ID",
  "versionId": "VERSION_ID",
  "eventStartTime": "2025-01-22T12:16:20.963182Z",
  "eventEndTime": "2025-01-23T12:16:20.963182Z"
}

הודעות פלט

הפעולה Execute Retrohunt (הפעלת חיפוש רטרו) מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully executed a retrohunt for the provided rule in Google Chronicle.	הפעולה הסתיימה בהצלחה.
Error executing action "Execute Retrohunt". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Execute Retrohunt:

שם התוצאה של הסקריפט	ערך
is_success	true או false

ביצוע שאילתת UDM

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Execute UDM Query כדי להריץ שאילתת UDM מותאמת אישית ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: מידע על מגבלות קצב זמין במאמר מגבלות קצב של חיפושים ב-UDM.

הוספת נתונים לפעולה

הפעולה Execute UDM Query (הפעלת שאילתת UDM) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Query	חובה. השאילתה להרצה ב-Google SecOps. הערה: הפרמטר הזה מבצע בדיקה מפורשת של אותיות רישיות בשאילתת UDM (בניגוד לחיפוש ב-UDM). כדי לעקוף את הבדיקה הזו, מוסיפים את המחרוזת nocase לערך הפרמטר של השאילתה של UDM.
Include Raw Log Data	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה מאחזרת את קובץ היומן הגולמי המקורי שמשויך לתוצאות החיפוש ב-UDM. האפשרות הזו זמינה רק כשמשתמשים באימות של Chronicle API. מושבת כברירת מחדל.
Time Frame	זה שינוי אופציונלי. תקופה לאחזור התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם נבחר Custom, חובה לציין את הפרמטר Start Time. ערך ברירת המחדל הוא Last Hour.
Start Time	זה שינוי אופציונלי. שעת ההתחלה של התוצאות בפורמט ISO 8601 (לדוגמה, YYYY-MM-DD HH:mm:ss.SSSZ). חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר לערך Custom. הטווח המקסימלי הוא 90 ימים.
End Time	זה שינוי אופציונלי. שעת הסיום של התוצאות בפורמט ISO 8601 (לדוגמה, YYYY-MM-DD HH:mm:ss.SSSZ). אם לא מגדירים ערך והפרמטר Time Frame מוגדר לערך Custom, המערכת משתמשת בשעה הנוכחית. הטווח המקסימלי הוא 90 ימים.
Max Results To Return	זה שינוי אופציונלי. מספר התוצאות שיוחזרו לשאילתה יחידה. הערך המקסימלי הוא 10,000. ערך ברירת המחדל הוא 50.

פלטים של פעולות

הפעולה Execute UDM Query מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Execute UDM Query:

{
    "events": [
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:43:47.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "I did not create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:38:44.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "Did you create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "avg_seconds": {
                "values": [
                    {
                        "doubleVal": 1755680893.3333333
                    }
                ]
            },
            "event_type_array": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            },
            "target.file.vhash": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            }
        }
    ]
}

הודעות פלט

הפעולה Execute UDM Query מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	הפעולה הסתיימה בהצלחה.
Error executing action "Execute UDM Query". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Execute UDM Query". Reason: you've reached a rate limit. Please wait for several minutes and try again.	הפעולה נכשלה. מחכים כמה דקות לפני שמריצים שוב את הפעולה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Execute UDM Query:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הרצת שאילתת UDM באופן אסינכרוני

חשוב: שאילתות מצטברות נתמכות רק דרך ההגדרה של השילוב ב-Chronicle API.

אפשר להשתמש בפעולה Execute UDM Query Async כדי להריץ שאילתת UDM מותאמת אישית ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: הפעולה הזו היא אסינכרונית. בסביבת הפיתוח המשולבת (IDE) של Google SecOps, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט לפעולה לפי הצורך.

מידע על מגבלות קצב זמין במאמר בנושא מגבלות קצב של חיפושים ב-UDM.

הוספת נתונים לפעולה

הפעולה Execute UDM Query (הפעלת שאילתת UDM) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Query	חובה. השאילתה להרצה ב-Google SecOps. הערה: הפרמטר הזה מבצע בדיקה מפורשת של אותיות רישיות בשאילתת UDM (בניגוד לחיפוש ב-UDM). כדי לעקוף את הבדיקה הזו, מוסיפים את המחרוזת nocase לערך הפרמטר של השאילתה של UDM.
Time Frame	זה שינוי אופציונלי. תקופה לאחזור התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם בוחרים באפשרות Alert Time Till Now, הפעולה מחפשת מהשעה שבה ההתראה התחילה ועד השעה הנוכחית. אם בוחרים באפשרות 5 Minutes Around Alert Time, 30 Minutes Around Alert Time או 1 Hour Around Alert Time, הפעולה מחפשת את הדקות שצוינו סביב שעת ההתחלה של ההתראה. אם נבחר Custom, חובה לציין את הפרמטר Start Time. ערך ברירת המחדל הוא Last Hour.
Start Time	זה שינוי אופציונלי. שעת ההתחלה של התוצאות בפורמט ISO 8601 (YYYY-MM-DD HH:mm:ss.SSSZ). חובה לכלול את הפרמטר הזה אם Time Frame מוגדר ל-Custom. הערה: ההפרש בין Start Time לבין End Time צריך להיות עד 90 ימים.
End Time	זה שינוי אופציונלי. שעת הסיום של התוצאות בפורמט ISO 8601 ‏(YYYY-MM-DD HH:mm:ss.SSSZ). אם לא מגדירים ערך והערך של Time Frame הוא Custom, המערכת משתמשת בשעה הנוכחית. הערה: ההפרש בין Start Time לבין End Time צריך להיות עד 90 ימים.
Max Results To Return	זה שינוי אופציונלי. מספר התוצאות שיוחזרו לשאילתה יחידה. הערך המקסימלי הוא 1,000,000. ערך ברירת המחדל הוא 50.

פלטים של פעולות

הפעולה Execute UDM Query Async מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט של תוצאת JSON שמתקבלת כשמשתמשים בפעולה Execute UDM Query Async:

{
    "events": [
        {
            "event": {
                "metadata": {
                    "eventTimestamp": "2022-01-20T09:15:15.687Z",
                    "eventType": "USER_LOGIN",
                    "vendorName": "Microsoft",
                    "productName": "Active Directory",
                    "ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
                },
                "principal": {
                    "hostname": "workstation-01",
                    "ip": [
                        "192.168.1.50"
                    ],
                    "mac": [
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E"
                    ],
                    "location": {
                        "city": "Metropolis",
                        "state": "New York",
                        "countryOrRegion": "US"
                    },
                    "asset": {
                        "hostname": "workstation-01",
                        "ip": [
                            "192.168.1.50",
                            "192.168.1.50",
                            "192.168.1.50"
                        ],
                        "mac": [
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E"
                        ]
                    }
                },
                "target": {
                    "user": {
                        "userid": "user_alpha",
                        "userDisplayName": "User Alpha",
                        "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
                        "emailAddresses": [
                            "[e-mail]",
                            "[e-mail]"
                        ],
                        "employeeId": "1234567",
                        "productObjectId": "11111111-2222-3333-4444-555555555555",
                        "firstName": "User",
                        "lastName": "Alpha",
                        "phoneNumbers": [
                            "555-0199-0000"
                        ],
                        "title": "Executive Assistant",
                        "companyName": "Example Corp",
                        "department": [
                            "Executive - Admin"
                        ],
                        "managers": [
                            {
                                "userDisplayName": "Manager Beta",
                                "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
                                "emailAddresses": [
                                    "[e-mail]"
                                ],
                                "employeeId": "7654321",
                                "productObjectId": "66666666-7777-8888-9999-000000000000",
                                "firstName": "Manager",
                                "lastName": "Beta",
                                "phoneNumbers": [
                                    "555-0199-0001 ext 123"
                                ],
                                "title": "Chief Technology Officer",
                                "companyName": "Example Corp",
                                "department": [
                                    "Executive - Admin"
                                ]
                            }
                        ]
                    },
                    "ip": [
                        "203.0.113.10"
                    ],
                    "email": "[e-mail]",
                    "application": "Windows Sign In"
                },
                "securityResult": [
                    {
                        "summary": "Successful Login",
                        "action": [
                            "ALLOW"
                        ]
                    }
                ],
                "rawLogData": {
                    "agent_id": "00000000000000000000000000000001",
                    "aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
                    "data_domains": [
                        "Endpoint"
                    ],
                    "description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
                    "device": {
                        "agent_load_flags": "0",
                        "agent_local_time": "2025-08-07T01:42:54.415Z",
                        "agent_version": "7.27.18003.0",
                        "bios_manufacturer": "Generic Manufacturer LTD"
                    },
                    "template_instance_id": "10001",
                    "timestamp": "2025-08-19T15:08:13.742Z",
                    "user_name": "root"
                },
                "extensions": {
                    "auth": {
                        "type": "SSO"
                    }
                }
            },
            "eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
        }
    ]
}

הודעות פלט

הפעולה Execute UDM Query Async מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	הפעולה הסתיימה בהצלחה.
Error executing action "Execute UDM Query Async". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Execute UDM Query Async ". Reason: you've reached a rate limit. Please wait for several minutes and try again.	הפעולה נכשלה. מחכים כמה דקות לפני שמריצים שוב את הפעולה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה Execute UDM Query Async:

שם התוצאה של הסקריפט	ערך
is_success	true או false

יצירת שאילתת UDM

(תצוגה מקדימה) אפשר להשתמש בפעולה יצירת שאילתת UDM כדי ליצור שאילתות UDM מורכבות באמצעות הנחיות בשפה טבעית ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: כדי לבצע את הפעולה הזו צריך לאמת את Chronicle API. אין תמיכה באימות של Legacy Backstory API

הוספת נתונים לפעולה

הפעולה Generate UDM Query דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Prompt	חובה. הפרומפט שבו המערכת משתמשת כדי ליצור את שאילתת ה-UDM המובנית.

פלטים של פעולות

הפעולה Get Data Tables מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט של תוצאת JSON שמתקבלת כשמשתמשים בפעולה Generate UDM Query:

{
  "query": "ip = \"10.0.0.1\""
}

הודעות פלט

הפעולה יצירת שאילתת UDM מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully generated a UDM query in Google SecOps.	הפעולה הסתיימה בהצלחה.
Error executing action "Generate UDM Query". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Generate UDM Query:

שם התוצאה של הסקריפט	ערך
is_success	true או false

קבלת טבלאות נתונים

משתמשים בפעולה Get Data Tables כדי לאחזר טבלאות נתונים זמינות ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: הפעולה הזו פועלת רק עם אימות Chronicle API. אין תמיכה ב-Backstory API. אם אתם משתמשים בפריסת Unified SecOps, ודאו שהגדרתם חשבון שירות ייעודי וסיפקתם פרטי כניסה בפרמטרים של השילוב.

הוספת נתונים לפעולה

הפעולה Get Data Tables דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Filter Key	זה שינוי אופציונלי. המפתח שלפיו יתבצע הסינון האפשרות Name מתייחסת לשם התצוגה של טבלת הנתונים. הערכים האפשריים הם: Name Description
Filter Logic	זה שינוי אופציונלי. הלוגיקה של המסנן להחלה. הערכים האפשריים הם: ‫Equal (להתאמות מדויקות) ‫Contains(להתאמות של מחרוזות משנה)
Filter Value	זה שינוי אופציונלי. הערך שבו רוצים להשתמש במסנן. הערכים האפשריים הם: ‫Equal (להתאמות מדויקות) ‫Contains(להתאמות של מחרוזות משנה) ‫Equal פועל עם הפרמטר Title, בעוד ש-Contains פועל עם כל הערכים בתגובה. אם לא מספקים כלום, המסנן לא יופעל.
Expanded Rows	זה שינוי אופציונלי. אם האפשרות הזו נבחרה, התשובה כוללת שורות מפורטות של טבלת נתונים. לא מופעל כברירת מחדל.
Max Data Tables To Return	חובה. מספר טבלאות הנתונים שיוחזרו. הערך המקסימלי הוא 1000.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו. משתמשים בפרמטר הזה רק אם Expanded Rows מופעל. הערך המקסימלי הוא 1000.

פלטים של פעולות

הפעולה Get Data Tables מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Get Data Tables:

{
      "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
      "displayName": "data_table",
      "createTime": "2025-05-14T12:52:50.064133Z",
      "updateTime": "2025-05-14T13:13:48.631442Z",
      "columnInfo": [
          {
              "originalColumn": "columnName1",
              "columnType": "STRING"
          },
          {
              "columnIndex": 1,
              "originalColumn": "columnName2",
              "columnType": "STRING"
          },
          {
              "columnIndex": 2,
              "originalColumn": "columnName3",
              "columnType": "STRING"
          }
      ],
      "dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
      "approximateRowCount": "2",
      "rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
}

הודעות פלט

הפעולה Get Data Tables מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully found data tables for the provided criteria in Google SecOps	הפעולה הסתיימה בהצלחה.
Error executing action "Get Data Tables". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Get Data Tables:

שם התוצאה של הסקריפט	ערך
is_success	true או false

קבלת פרטי הזיהוי

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-Playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

אפשר להשתמש בפעולה Get Detection Details כדי לאחזר מידע על זיהוי ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Get Detection Details (קבלת פרטי זיהוי) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Rule ID	חובה. המזהה של הכלל שקשור לזיהוי. משתמשים בפורמט ru_{UUID} לגרסה העדכנית ביותר של כלל, או בפורמט ru_{UUID}@v_{int64}_{int64} לגרסה ספציפית.
Detection ID	חובה. המזהה של הזיהוי שאחריו רוצים לאחזר פרטים. אם מציינים תווים מיוחדים, הפעולה לא נכשלת, אבל מחזירה רשימה של זיהויים.
Include Raw Log Data	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה מאחזרת את קובץ היומן הגולמי המקורי שמשויך לתוצאות החיפוש ב-UDM. האפשרות הזו זמינה רק כשמשתמשים באימות של Chronicle API. מושבת כברירת מחדל.

פלטים של פעולות

הפעולה Get Detection Details מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Get Detection Details:

{
    "collectionElements": [
        {
            "label": "e",
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2023-10-04T21:18:44Z",
                            "eventType": "NETWORK_CONNECTION",
                            "id": "yyyx=",
                            "ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
                            "logType": "UDM",
                            "productEventType": "Traffic - start",
                            "productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
                            "productName": "NGFW",
                            "vendorName": "Palo Alto Networks"
                        },
                        "network": {
                            "ipProtocol": "TCP",
                            "receivedBytes": "yyyyyyyyyxx",
                            "sentBytes": "yyyyyyyyyxx",
                            "sessionId": "yyyyyyyyyxx"
                        },
                        "principal": {
                            "asset": {
                                "hostname": "test3",
                                "ip": [
                                    "00.0.0.00"
                                ],
                                "mac": [
                                    "00:00:00:0b:c9:11"
                                ]
                            },
                            "hostname": "test3",
                            "ip": [
                                "x.x.0.x"
                            ],
                            "mac": [
                                "00:00:00:0b:c9:11"
                            ],
                            "port": 18985
                        },
                        "rawLogData": {
                            "action": "yyyyyy",
                            "decodedString": "yyyyyy",
                            "external_id": "yyyyyy",
                            "matching_status": "yyyyyy",
                            "severity": "yyyyyy",
                            "source": "yyyyyy"
                        },
                        "securityResult": [
                            {
                                "action": [
                                    "ALLOW"
                                ]
                            }
                        ],
                        "target": {
                            "asset": {
                                "hostname": "youtube.com"
                            },
                            "hostname": "youtube.com",
                            "port": 4548
                        }
                    }
                }
            ]
        }
    ],
    "createdTime": "2023-10-04T22:16:22.145254Z",
    "detection": [
        {
            "alertState": "ALERTING",
            "riskScore": 40,
            "ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
            "ruleLabels": [
                {
                    "key": "priority",
                    "value": "Medium"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ],
            "ruleName": "dns_not_google",
            "ruleType": "SINGLE_EVENT",
            "ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
            "urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
        }
    ],
    "detectionTime": "2023-10-04T21:18:44Z",
    "id": "yyyx-e380-yyyx-yyyx-yyyx",
    "timeWindow": {
        "endTime": "2023-10-04T21:18:44Z",
        "startTime": "2023-10-04T21:18:44Z"
    },
    "type": "RULE_DETECTION"
}

הודעות פלט

הפעולה Get Detection Details מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully fetched information about the detection with ID DETECTION_ID in Google Chronicle.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Detection Details". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Get Detection Details (קבלת פרטי הזיהוי):

שם התוצאה של הסקריפט	ערך
is_success	true או false

קבלת רשימות של הפניות

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-Playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Get Reference Lists כדי לאחזר רשימות הפניות שזמינות ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Get Reference Lists (קבלת רשימות של קובצי עזר) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Filter Key	המפתח שלפיו יתבצע הסינון. הערכים האפשריים הם: Name Content Type Description
Filter Logic	הלוגיקה של המסנן להחלה. הערכים האפשריים הם: ‫Equal (להתאמות מדויקות) ‫Contains(להתאמות של מחרוזות משנה) ערך ברירת המחדל הוא Equal.
Filter Value	הערך שבו רוצים להשתמש במסנן. הערכים האפשריים הם: ‫Equal (להתאמות מדויקות) ‫Contains(להתאמות של מחרוזות משנה) ‫Equal פועל עם הפרמטר Title, בעוד ש-Contains פועל עם כל הערכים בתגובה. אם לא צוין ערך, המסנן לא יוחל.
Expanded Details	אם נבחרה, הפעולה מחזירה מידע מפורט על רשימות ההפניות. לא מופעל כברירת מחדל.
Max Reference Lists To Return	מספר רשימות ההפניות שיוחזרו. ערך ברירת המחדל הוא 100.

פלטים של פעולות

הפעולה קבלת רשימת הפניות מספקת את התוצאות הבאות:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת קיר עם תושבת

ב-Case Wall, האפשרות Get Reference Lists (קבלת רשימות הפניות) מספקת את הטבלה הבאה:

שם: רשימות הפניות הזמינות

עמודות:

• שם
• תיאור
• סוג

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Reference Lists עם Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Reference Lists עם Chronicle API:

[
  {
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
    "displayName": "REFERENCE_LIST_ID",
    "revisionCreateTime": "2025-01-09T15:53:10.851775Z",
    "description": "Test reference list",
    "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
    "scopeInfo": {
      "referenceListScope": {}
    },
    "createTime": "2025-01-09T15:53:10.851775Z"
  }
]

הודעות פלט

הפעולה Get Reference Lists מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully found reference lists for the provided criteria in Google Chronicle. The filter was not applied because parameter "Filter Value" has an empty value.	הפעולה הסתיימה בהצלחה.
Error executing action ACTION_NAME. Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action ACTION_NAME. Reason: "Invalid value was provided for "Max Reference Lists to Return": PROVIIDED_VALUE. Positive number should be provided.	הפעולה נכשלה. צריך לבדוק את הערך של הפרמטר Max Reference Lists to Return.

Script

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה Get Reference Lists:

שם התוצאה של הסקריפט	ערך
is_success	true או false

קבלת פרטי הכלל

אפשר להשתמש בפעולה Get Rule Details כדי לאחזר מידע על כלל ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: אפשר לאחזר מידע על כללים שנבחרו רק באמצעות Chronicle API, ויכול להיות שיידרשו הרשאות ספציפיות.

הוספת נתונים לפעולה

הפעולה Get Rule Details (קבלת פרטי הכלל) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Rule ID	חובה. המזהה הייחודי של הכלל שרוצים לאחזר את הפרטים שלו. ערך ברירת המחדל הוא [Alert.rule_id].

פלטים של פעולות

הפעולה קבלת פרטי כלל מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Rule Details עם Backstory API:

{
    "ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
    "versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
    "ruleName": "SampleRule",
    "metadata": {
      "description": "Sample Description of the Rule",
      "author": "[e-mail]"
    },
    "ruleText": "rule SampleRule {
        meta:
          description = \"Sample Description of the Rule\"
          author = \"[e-mail]\"
        events:
          // This will just generate lots of detections
          $event.metadata.event_type = \"NETWORK_HTTP\"
        condition:
          $event
        } ",
    "liveRuleEnabled": true,
    "versionCreateTime": "2020-10-13T23:18:13.146879Z",
    "compilationState": "SUCCEEDED"
  }

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Rule Details עם Chronicle API:

{
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
    "revisionId": "v_1733917896_973567000",
    "displayName": "Test_rule_SingleEvent",
    "text": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "author": "example_user",
    "metadata": {
        "author": "example_user",
        "description": "windowed single event example rule",
        "severity": null
    },
    "createTime": "2024-12-11T11:36:18.192127Z",
    "revisionCreateTime": "2024-12-11T11:51:36.973567Z",
    "compilationState": "SUCCEEDED",
    "type": "SINGLE_EVENT",
    "allowedRunFrequencies": [
        "LIVE",
        "HOURLY",
        "DAILY"
    ],
    "etag": "CMj55boGEJjondAD",
    "ruleId": "RULE_ID",
    "versionId": "RULE_ID@v_1733917896_973567000",
    "ruleName": "Test_rule_SingleEvent",
    "ruleText": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "ruleType": "SINGLE_EVENT",
    "versionCreateTime": "2024-12-11T11:51:36.973567Z"
}

הודעות פלט

הפעולה קבלת פרטי הכלל מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully fetched information about the rule with ID RULE_ID in Google Chronicle.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Rule Details". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Get Rule Details (קבלת פרטי הכלל):

שם התוצאה של הסקריפט	ערך
is_success	true או false

Is CIDR In Data Table

אפשר להשתמש בפונקציה Is CIDR In Data Table כדי לבדוק אם ערכי CIDR ספציפיים נמצאים בטבלת נתונים ספציפית ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: הפעולה הזו פועלת רק עם אימות Chronicle API. אין תמיכה ב-Backstory API.

אם אתם משתמשים בפריסת Unified SecOps, ודאו שהגדרתם חשבון שירות ייעודי וסיפקתם פרטי כניסה בפרמטרים של השילוב.

הוספת נתונים לפעולה

הפעולה Is CIDR In Data Table דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שרוצים לחפש בה.
Column	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של עמודות שבהן יתבצע החיפוש בטבלת הנתונים. אם לא מציינים ערך, הפעולה מחפשת בכל העמודות.
CIDR	חובה. רשימה מופרדת בפסיקים של ערכי CIDR לחיפוש בטבלת הנתונים.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו לכל ערך תואם. הערך המקסימלי הוא 1000. ערך ברירת המחדל הוא 1000.

פלטים של פעולות

הפעולה Is CIDR In Data Table מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Is CIDR In Data Table:

[{
   "Entity": "asda",
   "EntityResult": {
       "is_found": true,
       "matched_rows": [
           {
               "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
               "values": {
                   "columnName1": "asda",
                   "columnName2": "asdasd",
                   "columnName3": "zxczxc"
               },
               "createTime": "2025-05-14T12:52:51.908143Z",
               "updateTime": "2025-05-14T12:52:51.908143Z"
           }
       ]
   }
}]

הודעות פלט

הפעולה Is CIDR In Data Table מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully searched provided CIDR values in the data table DATA_TABLE_NAME in Google SecOps	הפעולה הסתיימה בהצלחה.
Error executing action "Is CIDR In Data Table". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Is CIDR In Data Table:

שם התוצאה של הסקריפט	ערך
is_success	true או false

האם הערך נמצא בטבלת הנתונים

אפשר להשתמש בIs Value In Data Table כדי לבדוק אם הערכים שצוינו נמצאים בטבלת נתונים ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: הפעולה הזו פועלת רק עם אימות Chronicle API. אין תמיכה ב-Backstory API. אם אתם משתמשים בפריסת Unified SecOps, ודאו שהגדרתם חשבון שירות ייעודי וסיפקתם פרטי כניסה בפרמטרים של השילוב.

הוספת נתונים לפעולה

הפעולה Is Value In Data Table מחייבת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שרוצים לחפש בה.
Column	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של עמודות לחיפוש. אם לא מציינים ערך, הפעולה מחפשת בכל העמודות.
Values	חובה. רשימה של ערכים מופרדים בפסיקים לחיפוש.
Case Insensitive Search	זה שינוי אופציונלי. אם האפשרות הזו מסומנת, החיפוש לא תלוי באותיות רישיות. ההגדרה הזו מופעלת כברירת מחדל.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו לכל ערך תואם. הערך המקסימלי הוא 1000.

פלטים של פעולות

הפעולה Is Value In Data Table (האם הערך נמצא בטבלת הנתונים) מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט של תוצאת JSON שמתקבלת כשמשתמשים בפעולה Is Value In Data Table:

[{
  "Entity": "asda",
  "EntityResult": {
      "is_found": true,
      "matched_rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
  }
}]

הודעות פלט

הפעולה Is Value In Data Table מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully searched provided values in the data table DATA_TABLE_NAME in Google SecOps.	הפעולה הסתיימה בהצלחה.
שגיאה בביצוע הפעולה 'האם הערך נמצא בטבלת הנתונים'. הסיבה: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Is Value In Data Table". Reason: the following data tables were not found in: DATA_TABLE_NAME: COLUMN_NAMES. Please check the spelling.	הפעולה נכשלה.
Error executing action "Is Value In Data Table". Reason: This action isn't supported for Backstory API configuration. Please update the integration configuration.	הפעולה נכשלה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Is Value In Data Table:

שם התוצאה של הסקריפט	ערך
is_success	true או false

האם הערך בטבלת הנתונים הוא אסינכרוני

משתמשים בפעולה Is Value In Data Table Async כדי לבדוק אם הערכים שסופקו נמצאים בטבלת נתונים ב-Google SecOps באופן אסינכרוני באמצעות פעולות חיפוש ארוכות.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הערה: זו פעולה אסינכרונית. בסביבת הפיתוח המשולבת של Google SecOps, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט לפעולה לפי הצורך.

הפעולה הזו פועלת רק עם אימות Chronicle API. אין תמיכה ב-Backstory API. אם אתם משתמשים בפריסת Unified SecOps, עליכם לוודא שהגדרתם חשבון שירות ייעודי וסיפקתם פרטי כניסה בפרמטרים של השילוב.

הוספת נתונים לפעולה

הפעולה Is Value In Data Table Async דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים שרוצים לחפש בה.
Column	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של עמודות שבהן יתבצע החיפוש בטבלת הנתונים. אם לא מציינים ערך, הפעולה מחפשת בכל העמודות.
Values	חובה. רשימה מופרדת בפסיקים של ערכים לחיפוש בטבלת הנתונים.
Case Insensitive Search	זה שינוי אופציונלי. אם האפשרות הזו מסומנת, החיפוש לא תלוי באותיות רישיות. ההגדרה הזו מופעלת כברירת מחדל.
Max Data Table Rows To Return	חובה. מספר השורות בטבלת הנתונים שיוחזרו לכל ערך תואם. הערך המקסימלי הוא 1000. ערך ברירת המחדל הוא 1000.

פלטים של פעולות

הפעולה Is Value In Data Table Async מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Is Value In Data Table Async:

[
  {
    "Entity": "example_value",
    "EntityResult": {
      "is_found": true,
      "matched_rows": [
        {
          "createTime": "",
          "name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
          "updateTime": "",
          "values": {
            "columnName1": "example_value",
            "columnName2": "sample_data"
          }
        }
      ]
    }
  }
]

הודעות פלט

הפעולה Is Value In Data Table Async מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully searched provided values in the data table DATA_TABLE_NAME. No provided values were found in the data table DATA_TABLE_NAME.	הפעולה הסתיימה בהצלחה.
Error executing action "Is Value In Data Table Async". Reason: ERROR_REASON.	הפעולה נכשלה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Is Value In Data Table Async:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הערך נמצא ברשימת ההפניות

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Is Value In Reference List כדי לבדוק אם הערכים שסופקו נמצאים ברשימות הפניה ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Is Value In Reference List דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Reference List Names	חובה. רשימה מופרדת בפסיקים של שמות של רשימות הפניות לחיפוש.
Values	חובה. רשימה של ערכים מופרדים בפסיקים לחיפוש.
Case Insensitive Search	זה שינוי אופציונלי. אם האפשרות הזו מסומנת, החיפוש לא תלוי באותיות רישיות.

פלטים של פעולות

הפעולה Is Value In Reference List מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Is Value In Reference List עם Backstory API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Is Value In Reference List עם Chronicle API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

הודעות פלט

הפעולה Is Value In Reference List מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully searched provided values in the reference lists in Google Chronicle.	הפעולה הסתיימה בהצלחה.
שגיאה בהפעלת הפעולה 'האם הערך נמצא ברשימת ההפניה'. הסיבה: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Is Value In Reference List". Reason: the following reference lists were not found in Google Chronicle: MISSING_REFERENCE_LIST_NAME(S). Please use the action "Get Reference Lists" to see what reference lists are available.	הפעולה נכשלה. מריצים את הפעולה Get Reference Lists כדי לבדוק אם יש רשימות זמינות.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Is Value In Reference List:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הצגת רשימה של נכסים

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה List Assets כדי להציג רשימה של נכסים ב-Google SecOps על סמך ישויות קשורות בפרק זמן מוגדר.

הפעולה הזו תומכת רק בגיבובים (hash) של MD5,‏ SHA-1 ו-SHA-256.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• URL
• IP Address
• Hash

הוספת נתונים לפעולה

הפעולה List Assets דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Max Hours Backwards	מספר השעות שלפני עכשיו שמהן יאוחזרו הנכסים. ערך ברירת המחדל הוא 1.
Create Insight	אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה עם מידע על הישויות. ההגדרה הזו מופעלת כברירת מחדל.
Max Assets To Return	מספר הנכסים שיוחזרו. ערך ברירת המחדל הוא 50.
Time Frame	זה שינוי אופציונלי. תקופה לאחזור התוצאות. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom אם נבחר Custom, חובה לציין את הפרמטר Start Time. ערך ברירת המחדל הוא Last Hour.
Start Time	זמן ההתחלה בפורמט ISO 8601. חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר לערך Custom.
End Time	שעת הסיום בפורמט ISO 8601. אם לא מגדירים ערך ומגדירים את הפרמטר Time Frame לערך Custom, המערכת משתמשת בשעה הנוכחית.

פלטים של פעולות

הפעולה List Assets מספקת את התוצאות הבאות:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת קיר עם תושבת

שם: ENTITY_IDENTIFIER

עמודות:

• שם המארח
• כתובת IP
• First Seen Artifact
• Last Seen Artifact

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה List Assets עם Backstory API:

{
    "assets": [
      {
        "asset": {
          "hostname": "example"
        },
        "firstSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-02-28T09:18:15.675Z"
        },
        "lastSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-09-24T06:43:59Z"
        }
      }
    ],
    "uri": [
      "https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
    ]
  }

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה List Assets עם Chronicle API:

[
  {
    "Entity": "192.0.2.229",
    "EntityResult": {
      "assets": [
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Open Source Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Open Source Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "OPEN_SOURCE_INTEL_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "ex  ",
            "valueType": "DOMAIN_NAME"
          }
        },
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Active Breach Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Active Breach Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "MANDIANT_ACTIVE_BREACH_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "example.com",
            "valueType": "DOMAIN_NAME"
          }
        }
      ],
      "uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
    }
  }
]

הודעות פלט

הפעולה List Assets מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully listed related assets for the following entities from Google Chronicle: ENTITY_IDENTIFIER	הפעולה הסתיימה בהצלחה.
Error executing action "List Assets". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה List Assets:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הצגת רשימת אירועים

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

אפשר להשתמש בפעולה List Events כדי להציג רשימה של אירועים בנכס מסוים בפרק זמן מוגדר.

הפעולה הזו יכולה לאחזר רק 10,000 אירועים.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• IP address
• MAC address
• Hostname

הוספת נתונים לפעולה

הפעולה List Events (הצגת רשימת האירועים) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Event Types	רשימה מופרדת בפסיקים של סוגי אירועים. אם לא מציינים ערך, כל סוגי האירועים מאוחזרים. רשימה של כל הערכים האפשריים זמינה במאמר ערכים אפשריים של סוגי אירועים.
Time Frame	תקופת הזמן שצוינה. כדי להשיג תוצאות טובות יותר, מומלץ להגדיר אותו קטן ככל האפשר. אם נבחר Custom, חובה לכלול את הפרמטר Start Time. אם בוחרים באפשרות Max Hours Backwards, מוצג מסנן זמן והמערכת מבטיחה תאימות לאחור. הערכים האפשריים הם: Max Hours Backwards Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom ערך ברירת המחדל הוא Custom.
Start Time	זמן ההתחלה בפורמט ISO 8601. חובה לכלול את הפרמטר הזה אם הפרמטר Time Frame מוגדר לערך Custom.
End Time	שעת הסיום בפורמט ISO 8601. אם לא צוין ערך והפרמטר Time Frame מוגדר לערך Custom, המערכת תשתמש בשעה הנוכחית. הפרמטר הזה מקבל את הערך now.
Reference Time	זמן ההתייחסות לחיפוש האירוע. אם לא צוין ערך, הפעולה משתמשת בשעת הסיום כנקודת ההתייחסות.
Output	חובה. פורמט הפלט. הערכים האפשריים הם: Events + Statistics Only Events Only Statistics
Max Events To Return	מספר האירועים לעיבוד לכל סוג ישות. ערך ברירת המחדל הוא 100.

ערכים אפשריים של סוג האירוע

הערכים האפשריים לפרמטר Event Type הם:

• EVENTTYPE_UNSPECIFIED
• PROCESS_UNCATEGORIZED
• PROCESS_LAUNCH
• PROCESS_INJECTION
• PROCESS_PRIVILEGE_ESCALATION
• PROCESS_TERMINATION
• PROCESS_OPEN
• PROCESS_MODULE_LOAD
• REGISTRY_UNCATEGORIZED
• REGISTRY_CREATION
• REGISTRY_MODIFICATION
• REGISTRY_DELETION
• SETTING_UNCATEGORIZED
• SETTING_CREATION
• SETTING_MODIFICATION
• SETTING_DELETION
• MUTEX_UNCATEGORIZED
• MUTEX_CREATION
• FILE_UNCATEGORIZED
• FILE_CREATION
• FILE_DELETION
• FILE_MODIFICATION
• FILE_READ
• FILE_COPY
• FILE_OPEN
• FILE_MOVE
• FILE_SYNC
• USER_UNCATEGORIZED
• USER_LOGIN
• USER_LOGOUT
• USER_CREATION
• USER_CHANGE_PASSWORD
• USER_CHANGE_PERMISSIONS
• USER_STATS
• USER_BADGE_IN
• USER_DELETION
• USER_RESOURCE_CREATION
• USER_RESOURCE_UPDATE_CONTENT
• USER_RESOURCE_UPDATE_PERMISSIONS
• USER_COMMUNICATION
• USER_RESOURCE_ACCESS
• USER_RESOURCE_DELETION
• GROUP_UNCATEGORIZED
• GROUP_CREATION
• GROUP_DELETION
• GROUP_MODIFICATION
• EMAIL_UNCATEGORIZED
• EMAIL_TRANSACTION
• EMAIL_URL_CLICK
• NETWORK_UNCATEGORIZED
• NETWORK_FLOW
• NETWORK_CONNECTION
• NETWORK_FTP
• NETWORK_DHCP
• NETWORK_DNS
• NETWORK_HTTP
• NETWORK_SMTP
• STATUS_UNCATEGORIZED
• STATUS_HEARTBEAT
• STATUS_STARTUP
• STATUS_SHUTDOWN
• STATUS_UPDATE
• SCAN_UNCATEGORIZED
• SCAN_FILE
• SCAN_PROCESS_BEHAVIORS
• SCAN_PROCESS
• SCAN_HOST
• SCAN_VULN_HOST
• SCAN_VULN_NETWORK
• SCAN_NETWORK
• SCHEDULED_TASK_UNCATEGORIZED
• SCHEDULED_TASK_CREATION
• SCHEDULED_TASK_DELETION
• SCHEDULED_TASK_ENABLE
• SCHEDULED_TASK_DISABLE
• SCHEDULED_TASK_MODIFICATION
• SYSTEM_AUDIT_LOG_UNCATEGORIZED
• SYSTEM_AUDIT_LOG_WIPE
• SERVICE_UNSPECIFIED
• SERVICE_CREATION
• SERVICE_DELETION
• SERVICE_START
• SERVICE_STOP
• SERVICE_MODIFICATION
• GENERIC_EVENT
• RESOURCE_CREATION
• RESOURCE_DELETION
• RESOURCE_PERMISSIONS_CHANGE
• RESOURCE_READ
• RESOURCE_WRITTEN
• ANALYST_UPDATE_VERDICT
• ANALYST_UPDATE_REPUTATION
• ANALYST_UPDATE_SEVERITY_SCORE
• ANALYST_UPDATE_STATUS
• ANALYST_ADD_COMMENT

פלטים של פעולות

הפעולה List Events מספקת את התוצאות הבאות:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה List Events:

{
    "statistics": {
"NETWORK_CONNECTION": 10
}
{
    "events": [
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T14:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      },
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T17:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      }
    ],
    "uri": [
      "https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
    ]
  }
}

הודעות פלט

הפעולה List Events מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully listed related events for the following entities from Google Chronicle: ENTITY_IDENTIFIER	הפעולה הסתיימה בהצלחה.
Error executing action "List Events". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "List Events". Reason: invalid event type is provided. Please check the spelling. Supported event types: SUPPORTED_EVENT_TYPES	הפעולה נכשלה. מומלץ לבדוק את האיות.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה List Events:

שם התוצאה של הסקריפט	ערך
is_success	true או false

List IOCs

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

אפשר להשתמש בפעולה List IOCs כדי לראות רשימה של כל ה-IoC שזוהו בארגון בטווח זמן מסוים.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה List IOCs דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Start Time	שעת ההתחלה של התוצאות בפורמט ISO 8601.
Max IoCs to Fetch	המספר המקסימלי של IoC שיוחזרו. הטווח הוא 1 עד 10,000. ערך ברירת המחדל הוא 50.

פלטים של פעולות

הפעולה List IOCs מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת קיר עם תושבת

עמודות:

• דומיין
• קטגוריה
• מקור
• רמת הביטחון
• רמת החומרה
• IoC Ingest Time
• IoC First Seen Time
• הזמן שבו נצפה ה-IoC לאחרונה
• URI

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה List IOCs:

{
   "matches":[
      {
         "artifact":{
            "domainName":"www.example.com"
         },
         "firstSeenTime":"2018-05-25T20:47:11.048998Z",
         "iocIngestTime":"2019-08-14T21:00:00Z",
         "lastSeenTime":"2019-10-24T16:19:46.880830Z",
         "sources":[
            {
               "category":"Spyware Reporting Server",
               "confidenceScore":{
                  "intRawConfidenceScore":0,
                  "normalizedConfidenceScore":"Low"
               },
               "rawSeverity":"Medium",
               "source":"Example List"
            }
         ],
         "uri":["URI"]
      }
   ],
   "moreDataAvailable":true
}

הודעות פלט

הפעולה List IOCs מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully listed IOCs from the provided timeframe in Google Chronicle.	הפעולה הסתיימה בהצלחה.
Error executing action "List IOCs". Reason: ERROR_REASON.	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה List IOCs:

שם התוצאה של הסקריפט	ערך
is_success	true או false

חיפוש התרעות דומות

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-Playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Lookup Similar Alerts כדי לחפש התראות דומות ב-Google SecOps.

חשוב: הפעולה הזו פועלת רק עם התראות של Google SecOps שהתקבלו מChronicle Alerts Connector.

הוספת נתונים לפעולה

הפעולה Lookup Similar Alerts (חיפוש התראות דומות) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Time Frame	התקופה שבה התקבלו התוצאות. כדי לקבל את התוצאות הכי טובות, כדאי לצמצם ככל האפשר את טווח התאריכים. הערכים האפשריים הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month ‫Alert Time Till Now: חיפוש אירועים משעת ההתחלה של ההתראה עד End Time. ‫5 Minutes Around Alert Time: חיפוש אירועים 5 דקות לפני ואחרי שעת היצירה של ההתראה. ‫30 Minutes Around Alert Time: חיפוש אירועים 30 דקות לפני ואחרי זמן היצירה של ההתראה. 1 Hour Around Alert Time ‫: חיפוש אירועים שעה לפני ואחרי זמן היצירה של ההתראה.
IOCs / Assets	חובה. רשימה מופרדת בפסיקים של אינדיקטורים לפשרה או נכסים לחיפוש בהתראות. הפעולה מבצעת חיפוש נפרד לכל פריט שסופק.
Similarity By	המאפיינים שבהם יש להשתמש כדי למצוא התראות דומות. הערכים האפשריים הם: Alert Name, Alert Type and Product Alert Name and Alert Type Product Only IOCs/Assets מידע נוסף על אופן הפעולה של הפרמטר הזה ערך ברירת המחדל הוא Alert Name, Alert Type and Product.

איך פועל הפרמטר 'דמיון לפי'

הפרמטר Similarity By חל באופן שונה על התראות לגבי כללים ועל התראות לגבי משתמשים חיצוניים.

• אם בוחרים באפשרות Alert Name, Alert Type and Product או באפשרות Alert Name, Alert Type:

  • במקרה של התראות חיצוניות, הפעולה מחפשת התראות חיצוניות אחרות עם אותו שם.

  • במקרה של התראות על כללים, הפעולה מעבדת התראות שמקורן באותו כלל.

• אם בוחרים באפשרות Product:

  • הפעולה מעבדת התראות שמקורן באותו מוצר, בלי קשר לסוג ההתראות (התראות על כללים או התראות חיצוניות).

  לדוגמה, התראה שמקורה ב-Crowdstrike תותאם רק להתראות אחרות מ-Crowdstrike.

• אם בוחרים באפשרות Only IOCs/Assets:

  • הפעולה מתאימה להתראות על סמך ה-IOC שמופיע בפרמטר IOCs/Assets. החיפוש מתבצע אחרי האינדיקטורים האלה גם בהתראות של כללים וגם בהתראות חיצוניות.

  • התראה על IOC יכולה להפעיל את הפעולה הזו רק אם האפשרות הזו נבחרה. אם מספקים אפשרות אחרת, ברירת המחדל של הפעולה היא Only IOCs/Assets.

הפעולה Lookup Similar Alerts (חיפוש התראות דומות) היא כלי רב-תכליתי לניתוח התראות. הוא מאפשר לאנליסטים ליצור קורלציה בין התראות מאותו פרק זמן ולחלץ IOC רלוונטיים כדי לקבוע אם אירוע הוא חיובי אמיתי.

פלטים של פעולות

הפעולה Lookup Similar Alerts מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	יש גישה
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

קישור ל-Case wall

הפעולה חיפוש התראות דומות יכולה להחזיר את הקישורים הבאים:

• CBN: GENERATED_LINK_BASED_ON_IU_ROOT_URL
• כלל: GENERATED_LINK_BASED_ON_IU_ROOT_URL

טבלת קיר עם תושבת

שם הטבלה: IOC/ASSET_IDENTIFIER

עמודות בטבלה:

• Product
• שמות המארחים
• כתובות IP
• משתמשים
• כתובות אימייל
• נושאים
• כתובות URL
• Hashes
• תהליכים
• First Seen
• נראה לאחרונה
• שם ההתראה
• כללי

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Lookup Similar Alerts:

{
    "count": 123,
    "distinct": [
        {
            "first_seen": "time of the first alert that matched our conditions",
            "last_seen": "time of the last alert that matched our conditions",
            "product_name": "product name",
            "used_ioc_asset": "what user provided in the parameter IOCs and Assets",
            "name": "Alert Name/Rule Name",
            "hostnames": "csv list of unique hostnames that were found in alerts",
            "urls": "csv list of unique urls that were found in alerts",
            "ips": "csv list of unique ips that were found in alerts",
            "subjects": "csv list of unique subjects that were found in alerts",
            "users": "csv list of unique users that were found in alerts",
            "email_addresses": "csv list of unique email_addresses that were found in alerts",
            "hashes": "csv list of unique hashes that were found in alerts",
            "processes": "csv list of unique processes that were found in alerts"
            "rule_urls": ["Chronicle URL from API response for Rule"]
            "count": 123
        }
    ],
    "processed_alerts": 10000,
    "run_time": "how long it took to run the action or at least API request",
    "EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"

}

הודעות פלט

הפעולה חיפוש התראות דומות מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully found similar alerts from the provided timeframe in Google Chronicle. No similar alerts were found from the provided timeframe in Google Chronicle.	הפעולה הסתיימה בהצלחה.
Error executing action "Lookup Similar Alerts". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Lookup Similar Alerts". Reason: all of the retries are exhausted. Please wait for a minute and try again.	הפעולה נכשלה. מחכים כמה דקות לפני שמריצים שוב את הפעולה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה חיפוש התראות דומות:

שם התוצאה של הסקריפט	ערך
is_success	true או false

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלטים של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Ping מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully connected to the Google Chronicle backstory with the provided connection parameters!	הפעולה הסתיימה בהצלחה.
Failed to connect to the Google Chronicle backstory. Error is ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הסרת שורות מטבלת נתונים

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-Playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Remove Rows From Data Table כדי להסיר שורות מטבלת נתונים ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Remove Rows From Data Table (הסרת שורות מטבלת נתונים) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Data Table Name	חובה. השם המוצג של טבלת הנתונים לעדכון.
Rows	חובה. רשימה של אובייקטים בפורמט JSON שמשמשים לחיפוש ולמחיקה של שורות. צריך לכלול רק עמודות תקינות. ערך ברירת המחדל הוא: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

פלטים של פעולות

הפעולה Remove Rows From Data Table מספקת את התוצאות הבאות:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט של תוצאת JSON שמתקבלת כשמשתמשים בפעולה Remove Rows From Data Table:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          },
          "createTime": "2025-05-14T12:52:51.908143Z",
          "updateTime": "2025-05-14T12:52:51.908143Z"
}

הודעות פלט

הפעולה Remove Rows From Data Table מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully removed rows from the data table DATA_TABLE_NAME in Google SecOps.	הפעולה הסתיימה בהצלחה.
Error executing action "Remove Rows From Data Table". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Remove Rows From Data Table:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הסרת ערכים מרשימת הפניות

זהירות: הפעולה הזו מסתמכת על Backstory API מדור קודם, שיפסיק לפעול באופן סופי ב-20 ביולי 2027. כדי למנוע כשלים ב-playbook, צריך לשדרג את השילוב של Google Chronicle לגרסה 54 ומעלה כדי להשתמש ב-Chronicle API. אחרי השדרוג, צריך לעקוב אחרי הפלט של הפעולה הזו, כי יכול להיות שפורמטי הפלט ישתנו.

משתמשים בפעולה Remove Values From Reference List כדי להסיר ערכים מרשימת הפניות ב-Google SecOps.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Remove Values From Reference List (הסרת ערכים מרשימת הפניות) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Reference List Name	חובה. השם של רשימת ההפניות שרוצים לעדכן.
Values	חובה. רשימה מופרדת בפסיקים של ערכים להסרה מרשימת ההפניות.

פלטים של פעולות

הפעולה Remove Values From Reference List מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Remove Values From Reference List עם Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Remove Values From Reference List עם Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/<var class="readonly">REFERENCE_LIST_NAME</var>' }}",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

הודעות פלט

הפעולה Remove Values From Reference List מספקת את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully removed values from the reference list.	הפעולה הסתיימה בהצלחה.
Error executing action "Remove Values From Reference List". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Remove Values From Reference List:

שם התוצאה של הסקריפט	ערך
is_success	true או false

מחברים

מידע נוסף על הגדרת מחברים ב-Google SecOps זמין במאמר הוספת נתונים (מחברים).

הערה: כדי למנוע אובדן נתונים, המחברים משתמשים בהשטחה של אירועים. אם התראה גולמית מכילה רשימה של ישויות (כמו כמה כתובות אימייל, שמות מארחים או כתובות IP), מחברים משטחים אותן אוטומטית לאירועים נפרדים וייחודיים.

לדוגמה, התראה גולמית אחת שמכילה שלוש כתובות אימייל שונות נקלטת כשלושה אירועים נפרדים, שכל אחד מהם מכיל כתובת אימייל ייחודית אחת.

התהליך הזה מבטיח שכל ישות תתווסף לאינדקס בצורה נכונה כנכס ייחודי, כך שניתן יהיה לחפש אותה ולבצע פעולות לגביה בחוברות הפעלה.

Google Chronicle - Chronicle Alerts Connector

חשוב: כדי להבטיח שהפונקציונליות תמשיך לפעול לפני הוצאת API מדור קודם משימוש, צריך להגדיר במפורש את המחבר הזה לשימוש ב-Chronicle API. מוודאים ששיטת האימות שמוגדרת כאן זהה לשיטת האימות שמוגדרת בשילוב.

אתם יכולים להשתמש ב-Google Chronicle - Chronicle Alerts Connector כדי לשלוף מידע על התראות מבוססות-כללים מ-Google SecOps.

הערה: אפשר לסנן את המחבר הזה באמצעות רשימה דינמית.

סקירה כללית

המחבר Google Chronicle - Chronicle Alerts Connector קולט התראות מבוססות-כללים מ-Google SecOps.

התכונות העיקריות ופרטי התפעול כוללים:

• נתוני השאילתות מוצגים לתקופה של שבוע. כדי למנוע מצב שבו התראות לא נכללות באינדקס בגלל עיכובים, אפשר להגדיר תקופת מרווח וזמן קצוב ארוך יותר לחיבור, אבל מרווח ארוך מדי עלול לפגוע בביצועים.

• השימוש ברשימות דינמיות מאפשר גמישות בהגדרות.

• מספק Fallback Severity להתראות שחסר בהן ערך חומרה.

  הערה: המחבר קולט נתונים אחרי שמגיעים למגבלה של Script Timeout (Seconds) או אחרי שמגיעים לסף של Max Alerts To Fetch. בסביבות עם נפח נמוך של התראות, ערך גבוה של הזמן הקצוב לתפוגה של סקריפט עלול לגרום לעיכוב, כי התהליך נשאר פעיל בזמן ההמתנה לנתונים. ההגדרות האופטימליות תלויות בנפח הדייר ובדרישות ההטמעה הספציפיות שלכם, ולכן Google ממליצה לבדוק את ההגדרות כדי לאזן בין מגבלות הזמן הקצוב לתפוגה לבין קצב ההגעה של ההתראות.

מסנן דינמי של רשימה

הרשימה הדינמית משמשת לסינון התראות ישירות מדף ההגדרות של המחבר.

לוגיקת האופרטור

הרשימה הדינמית משתמשת בשילוב של הערכה מבוססת-קבוצה ולוגיקה מרובת שורות כדי לעבד כללי סינון:

• ערכים מופרדים בפסיקים (הגדרת הערכה): המערכת מתייחסת לערכים באותה שורה, שמופרדים בפסיקים, כאל קבוצה אחת. הלוגיקה שמוחלת תלויה באופרטור שבו משתמשים:

  • הכללה (=): פועל כמו רשימת היתרים.

  ההתראה תתווסף אם הערך תואם לפריט כלשהו ברשימה (לדוגמה, Rule.severity = low,medium פירושו low או medium).

  • החרגה (!=): פועלת כמו רשימת חסימה.

  המערכת תבצע המרה של ההתראה רק אם הערך לא תואם לאף אחד מהפריטים ברשימה (לדוגמה, Rule.ruleName != rule_a,rule_b פירושו ששם הכלל הוא לא rule_a ולא rule_b).

• שורות נפרדות (לוגיקת AND): כל שורה נפרדת ברשימה הדינמית מצמצמת עוד יותר את המסנן (לדוגמה, שורה 1 AND שורה 2).

• אופרטורים נתמכים: (=, !=, >, <, >=, <=) משתנים בהתאם למפתח המסנן.

הדוגמאות הבאות מציגות שימוש בכללי אופרטורים:

• ‫Rule.severity = medium: המחבר קולט רק התראות לגבי כללים עם רמת חומרה בינונית.

• ‫Rule.severity = low,medium: המחבר קולט רק התראות על כללים עם רמת חומרה בינונית או נמוכה.

• ‫Rule.ruleName != rule_a,rule_b: המחבר קולט את כל ההתראות חוץ מאלה שבהן שם הכלל הוא rule_a או rule_b.

• ‫Rule.ruleName = default_rule: המחבר קולט רק התראות של כללים עם השם default_rule.

מסננים נתמכים

מחבר ההתראות של Chronicle תומך בסינון לפי המפתחות הבאים:

מקש סינון	מפתח התגובה	אופרטורים	ערכים אפשריים
Rule.severity	‫detection או ruleLabels או severity	=, !=, >, <, >=, <=	‫Info, Error, Low, Medium, High, Critical. הערכים לא תלויי-רישיות.
Rule.ruleName	detection או ruleName	=, !=	מוגדר על ידי המשתמש.
Rule.ruleID	detection או ruleId	=, !=	מוגדר על ידי המשתמש.
Rule.ruleType	detection או ruleClass	=, !=	curated, ‏ custom. הערכים לא תלויי-רישיות.
Rule.ruleLabels.{key}	detection או ruleLabels	=, !=	מוגדר על ידי המשתמש.

שימוש ב-ruleLabels

כדי לסנן לפי תווית ספציפית בתוך כלל, משתמשים בפורמט Rule.ruleLabels.{key}.

לדוגמה, כדי לסנן לפי תווית עם המפתח type והערך suspicious_behaviour, הקלט של הרשימה הדינמית צריך להיות:

Rule.ruleLabels.type=suspicious_behaviour

כניסות קלט של מחברים

Chronicle Alerts Connector דורש את הפרמטרים הבאים:

ערך ברירת המחדל הוא Medium.

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. השם של המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה. השם של השדה שקובע את שם האירוע (סוג משנה).
Environment Field Name	זה שינוי אופציונלי. השם של השדה שבו מאוחסן שם הסביבה. אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. דפוס של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי. כדי לאחזר את הערך הנדרש של Environment Field Name, משתמשים בערך ברירת המחדל .*. אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה. שורש ה-API של מכונת Google SecOps. ‫Google SecOps מספק נקודות קצה אזוריות לכל API, לדוגמה, https://europe-backstory.googleapis.com או https://asia-southeast1-backstory.googleapis.com כדי לברר באיזו נקודת קצה צריך להשתמש, אפשר לפנות ל-Cloud Customer Care. ערך ברירת המחדל הוא https://backstory.googleapis.com.
User's Service Account	חובה. התוכן המלא של קובץ ה-JSON של חשבון השירות שמשמש לאימות.
Fallback Severity	חובה. רמת החומרה שמוגדרת כברירת מחדל לשימוש אם ההתראה מ-Google SecOps לא כוללת ערך של רמת חומרה. הערכים האפשריים הם: Critical High Medium Low Info
Max Hours Backwards	זה שינוי אופציונלי. מספר השעות לפני ההרצה הראשונית של המחבר שמהן יאוחזרו אירועים. הפרמטר הזה חל רק פעם אחת. הערך המקסימלי הוא 168 (שבוע אחד). ערך ברירת המחדל הוא 1.
Max Alerts To Fetch	זה שינוי אופציונלי. מספר ההתראות לעיבוד בכל איטרציה של המחבר. ערך ברירת המחדל הוא 100.
Disable Event Splitting	זה שינוי אופציונלי. אם האפשרות הזו נבחרה, המחבר לא מפצל אירועים מקוריים למספר חלקים, וכך מבטיח שמספר האירועים יהיה זהה במקור וב-Google SecOps SOAR. לא מופעל כברירת מחדל.
Verify SSL	חובה. אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. ההגדרה הזו מופעלת כברירת מחדל.
Proxy Server Address	זה שינוי אופציונלי. הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	זה שינוי אופציונלי. שם המשתמש ב-proxy לאימות.
Proxy Password	זה שינוי אופציונלי. סיסמת ה-proxy לאימות.
Disable Overflow	זה שינוי אופציונלי. אם האפשרות הזו נבחרה, המחבר מתעלם ממנגנון הגלישה של Google SecOps. לא מופעל כברירת מחדל.
Validate Dynamic List Entries	זה שינוי אופציונלי. אם האפשרות הזו מופעלת, המחבר מאמת שהערכים ב'רשימה דינמית' קיימים בפלטפורמה לפני העיבוד, כדי למנוע שגיאות בהעברה. לא מופעל כברירת מחדל.

כללים של Connectors

‫Google Chronicle - Chronicle Alerts Connector תומך בשרתי proxy.

אירועים של מחברים

בקטע הבא מתואר המבנה של האירועים שאוחזרו על ידי המחבר. המחבר הזה שולף באופן ספציפי התראות שנוצרו על ידי כללי זיהוי ב-Google SecOps.

התראות מבוססות-כללים

סוג האירוע הזה נוצר כשכלל זיהוי תואם לנתוני יומן נכנסים. פלט ה-JSON מכיל את המטא-נתונים של הכלל, את מזהה הזיהוי הייחודי ואת נתוני האירועים המשויכים ב-UDM שהפעילו את ההתראה.

 {
    "alert_type": "RULE",
    "event_type": "NETWORK_DHCP",
    "type": "RULE_DETECTION",
    "detection": [
        {
            "ruleName": "d3_test",
            "urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
            "ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
            "ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
            "alertState": "NOT_ALERTING",
            "ruleType": "SINGLE_EVENT",
            "ruleLabels": [
                {
                    "key": "author",
                    "value": "analyst123"
                },
                {
                    "key": "description",
                    "value": "8:00 AM local time"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ]
        }
    ],
    "createdTime": "2022-02-08T06:07:33.944951Z",
    "id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
    "timeWindow": {
        "startTime": "2022-02-08T05:02:36Z",
        "endTime": "2022-02-08T05:02:36Z"
    },
    "collectionElements": [
        {
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2022-02-08T05:02:36Z",
                            "eventType": "NETWORK_DHCP",
                            "productName": "Infoblox DHCP",
                            "ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
                        },
                        "principal": {
                            "ip": [
                                "198.51.100.255",
                                "198.51.100.1"
                            ],
                            "mac": [
                                "01:23:45:ab:cd:ef"
                            ],
                            "email_address": [
                                "[e-mail]"
                            ]
                        },
                        "target": {
                            "hostname": "dhcp_server",
                            "ip": [
                                "198.51.100.0",
                                "198.51.100.1"
                            ]
                        },
                        "network": {
                            "applicationProtocol": "DHCP",
                            "dhcp": {
                                "opcode": "BOOTREQUEST",
                                "ciaddr": "198.51.100.255",
                                "giaddr": "198.51.100.0",
                                "chaddr": "01:23:45:ab:cd:ef",
                                "type": "REQUEST",
                                "clientHostname": "example-user-pc",
                                "clientIdentifier": "AFm/LDfjAw=="
                            }
                        }
                    }
                }
            ],
            "label": "e"
        }
    ],
    "detectionTime": "2022-02-08T05:02:36Z"
}

מבנה ההתראה

בטבלה הבאה מתואר אופן האכלוס של המאפיינים של התראה ב-Google SecOps על ידי Google Chronicle - Chronicle Alerts Connector.

מאפיינים שנוצרו באופן פנימי

המאפיינים האלה נגזרים מההתראה במקור.

הערה: חלק ממאפייני ההתראות לא מאוכלסים על ידי המחבר הזה כי Chronicle API לא מספק שדה תואם לנתונים האלה בתגובות של ההתראות.

שם מאפיין ההתראה	מקור
SourceSystemName	נוצר באופן פנימי על ידי המסגרת.
TicketId	הערך נלקח מהקובץ ids.json.
DisplayId	נוצר באופן אוטומטי.

מאפיינים של כל סוגי ההתראות

המאפיינים האלה נגזרים מההתראה במקור.

הערה: חלק ממאפייני ההתראות לא מאוכלסים על ידי המחבר הזה כי Chronicle API לא מספק שדה תואם לנתונים האלה בתגובות של ההתראות.

שם מאפיין ההתראה	מקור
Priority	הערך נלקח מתגובת ה-API או מהפרמטר Fallback Severity.
DeviceVendor	הערך שמוגדר בהארדקוד הוא Google Chronicle.
DeviceProduct	הערך שמוגדר בהארדקוד הוא RULE.
Description	מקור: detection/ruleLabels/description (אם קיים).
Reason	לא זמין.
SourceGroupingIdentifier	לא זמין.
Chronicle Alert - Attachments	לא זמין.

הוצא משימוש: מחבר ההתראות של Google Chronicle

המחבר הזה כבר לא מקבל עדכונים או שינויים בקוד.

במקום זאת, צריך להשתמש בChronicle Alerts Connector.

המחבר הזה שולף התראות על נכסים מ-Google SecOps וממיר אותן להתראות של Google SecOps.

אתם יכולים לבצע אימות באמצעות הספרייה של Google עם google.oauth2.service_account ו-AuthorizedSession.

המחבר הזה דורש את SIEM Search API של Google SecOps.

כניסות קלט של מחברים

המחבר של התראות דורש את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. השם של המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי. ערך ברירת המחדל הוא Product Name.
Environment Field Name	זה שינוי אופציונלי. השם של השדה שבו מאוחסן שם הסביבה. אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. דפוס של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי. כדי לאחזר את הערך הנדרש של Environment Field Name, משתמשים בערך ברירת המחדל .*. אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
Service Account Credentials	חובה. התוכן של קובץ ה-JSON של חשבון השירות.
Fetch Max Hours Backwards	זה שינוי אופציונלי. מספר השעות לפני ההרצה הראשונית של המחבר שמהן יאוחזרו אירועים. הפרמטר הזה חל רק פעם אחת. הערך המקסימלי הוא 168 (שבוע אחד). ערך ברירת המחדל הוא 1.

הוצא משימוש: מחבר של Google Chronicle – IoCs

המחבר הזה כבר לא מקבל עדכונים או שינויים בקוד.

במקום זאת, צריך להשתמש בChronicle Alerts Connector.

המחבר הזה שולף את ההתאמות של הדומיין ל-IOC מ-Google SecOps וממיר אותן להתראות של Google SecOps.

אתם יכולים לבצע אימות באמצעות הספרייה של Google עם google.oauth2.service_account ו-AuthorizedSession.

המחבר הזה משתמש ב-Google SecOps Search API.

כניסות קלט של מחברים

המחבר Google Chronicle - IoCs דורש את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם השדה שבו מאוחסן שם המוצר. השם של המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי. ערך ברירת המחדל הוא Product Name.
Environment Field Name	זה שינוי אופציונלי. השם של השדה שבו מאוחסן שם הסביבה. אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. דפוס של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי. כדי לאחזר את הערך הנדרש של Environment Field Name, משתמשים בערך ברירת המחדל .*. אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
Service Account Credentials	חובה. התוכן של קובץ ה-JSON של חשבון השירות.
Fetch Max Hours Backwards	זה שינוי אופציונלי. מספר השעות לפני ההפעלה הראשונית של המחבר שמהן יאוחזרו ההתראות. הפרמטר הזה חל רק פעם אחת. הערך המקסימלי הוא 168 (שבוע אחד). ערך ברירת המחדל הוא 1.
Max Alerts To Fetch	זה שינוי אופציונלי. המספר המקסימלי של התראות לעיבוד בכל איטרציה של המחבר. ערך ברירת המחדל הוא 100.

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ו תזמון מתקדם.

דרישות מוקדמות להגדרת משימות

חשוב: אם מעדכנים את השילוב, צריך ליצור מחדש את המשימות של Google SecOps כדי לעדכן את הקוד שלהן.

לפני שממשיכים להגדרת העבודה, צריך להגדיר את Chronicle Alerts Connector.

כדי להגדיר משימות של Google Chronicle, מבצעים את השלבים הבאים:

1. ב-Google SecOps SOAR, עוברים אל תגובה > מתזמן המשימות.

2. לוחצים על addCreate New Job (הוספהיצירת משימה חדשה).

3. בתיבת הדו-שיח Add Job שמופיעה, בוחרים את המשימה המתאימה ב-Google Chronicle ולוחצים על Save.

4. אופציונלי: עורכים את שם המשרה ואת התיאור שלה, אם צריך.

5. בקטע פרטי המשרה:

   • מוודאים שהאפשרות GoogleChronicle נבחרה בשדה Integration.

   • כדי להפעיל את העבודה באופן אוטומטי במרווחי זמן מוגדרים, מגדירים מרווח זמן לתזמון. חובה להגדיר את מתזמן המשימות כדי להשלים את הגדרת העבודה.

     מכיוון שמשימות של Google Chronicle יכולות לסנכרן כמויות גדולות של נתונים בהרצה אחת, Google ממליצה להגדיר את מרווח הזמן של המתזמן ל-2 דקות לפחות.

Google Chronicle - Sync Data Job

חשוב: כדי להבטיח שהפונקציונליות תמשיך לפעול לפני הוצאת API מדור קודם משימוש, צריך להגדיר במפורש את המחבר הזה לשימוש ב-Chronicle API. מוודאים ששיטת האימות שמוגדרת כאן זהה לשיטת האימות שמוגדרת בשילוב.

העבודה הזו פועלת עם התראות שנוצרו על ידי Chronicle Alerts Connector ועל ידי העבודה Chronicle Alerts Creator, אבל לא עם התראות ממחברים שהוצאו משימוש (Alerts Connector ו-IOCs Connector).

העבודה Google Chronicle Sync Data מסנכרנת התראות ואירועים מעודכנים של Google SecOps שמנוהלים ב-Google SecOps SOAR בחזרה אל Google SecOps. כתוצאה מכך, תוכלו לעקוב אחרי אותו מידע בשתי המערכות מיד אחרי שתבצעו שינויים ב-Google SecOps SOAR.

סנכרון של נתונים של פניות והתראות

העבודה Google Chronicle Sync Data עוקבת אחרי השדות הבאים של תיקים ומסנכרנת אותם:

שדה שמתבצעת בו מעקב	שדה מסונכרן
Priority	Priority
Status	Status
Title	Title
לא רלוונטי	Stage
לא רלוונטי	Google SecOps Case ID
לא רלוונטי	Google SecOps Case ID

מספר הפנייה ב-Google SecOps הוא מזהה ייחודי של פנייה ב-Google SecOps SOAR וב-Google SecOps.

העבודה Google Chronicle Sync Data עוקבת אחרי השדות הבאים של ההתראות ומסנכרנת אותם:

שדה שמתבצעת בו מעקב	שדה מסונכרן
Priority	Priority
Status	Status
Case ID	לא רלוונטי
לא רלוונטי	Google SecOps Alert ID
לא רלוונטי	Google SecOps Case ID
לא רלוונטי	Verdict
לא רלוונטי	Closure Comment
לא רלוונטי	Closure Reason
לא רלוונטי	Closure Root Cause
לא רלוונטי	Usefulness

מזהה ההתראה ב-Google SecOps הוא מזהה התראה ייחודי ב-Google SecOps SOAR.

באיטרציה אחת, העבודה מסנכרנת עד 1,000 מקרים ו-1,000 התראות. הסנכרון מתבצע בסביבת Google SecOps SOAR שצוינה בהגדרת העבודה. מנגנון הסנכרון מוודא שלא ניתן לסנכרן מקרה מהסביבה שצוינה עם סביבה אחרת.

הגדרת משימת סנכרון נתונים של Google Chronicle

העבודה הזו מסנכרנת רק מקרים של Google SecOps SOAR שנבלעו מ-Google SecOps.

לפני שמגדירים את העבודה הזו, צריך לוודא שהשלמתם את השלבים הנדרשים.

כדי להגדיר את העבודה Google Chronicle Sync Data, מבצעים את השלבים הבאים:

1. בקטע Parameters (פרמטרים), מגדירים את הפרמטרים הבאים:

   פרמטר	תיאור
   Environment	חובה. השם של הסביבה שנוצרה ב-Google SecOps SOAR כדי לסנכרן אליה את הטיפול בבקשות ואת ההתראות.
   API Root	חובה. שורש ה-API של מכונת Google SecOps. ‫Google SecOps מספקת נקודות קצה אזוריות לכל API. לדוגמה, https://europe-backstory.googleapis.com או https://asia-southeast1-backstory.googleapis.com. אם אתם לא יודעים באיזו נקודת קצה להשתמש, [צרו קשר עם Cloud Customer Care](/chronicle/docs/getting-support). ערך ברירת המחדל הוא https://backstory.googleapis.com.
   User's Service Account	חובה. התוכן של קובץ ה-JSON של חשבון השירות של מופע Google SecOps.
   Max Hours Backwards	זה שינוי אופציונלי. מספר השעות שממנו יאוחזרו ההתראות. אפשר להשתמש רק במספרים חיוביים. ערך ברירת המחדל הוא 24.
   Verify SSL	חובה. אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. ההגדרה הזו מופעלת כברירת מחדל.

   העבודה Google Chronicle Sync Data מופעלת כברירת מחדל. כששומרים את המשימה שהוגדרה בצורה נכונה, מתחיל סנכרון נתונים עם Google SecOps באופן מיידי. כדי להשבית את העבודה, מעבירים את המתג שליד שם העבודה.

2. כדי להשלים את ההגדרה, לוחצים על שמירה.

   אם הכפתור שמירה לא פעיל, צריך לוודא שהגדרתם את כל הפרמטרים הנדרשים.

3. אופציונלי: כדי להפעיל את העבודה מיד אחרי השמירה, לוחצים על הפעלה עכשיו.

   האפשרות Run Now (הפעלה עכשיו) מאפשרת להפעיל ריצה של משימה אחת שמסנכרנת את הנתונים הנוכחיים של ההתראות והמקרים ב-Google SecOps SOAR עם Google SecOps.

רישום הודעות ביומן

בטבלה הבאה מפורטות הודעות יומן אפשריות למשימה Google Chronicle Data Sync:

רשומה ביומן	סוג	תיאור
Unable to parse credentials as JSON. Please validate creds.	שגיאה	חשבון השירות שצוין בפרמטר User's Service Account פגום.
"Max Hours Backwards" parameter must be a positive number.	שגיאה	הפרמטר Max Hours backwards מוגדר כ-0 או כמספר שלילי.
Current platform version doesn't support SDK methods designed for Google SecOps. Please use version 6.1.33 or higher.	שגיאה	הגרסה הנוכחית של מופע פלטפורמת Google SecOps לא תומכת בהרצת סקריפט של משימת סנכרון נתונים של Chronicle. המשמעות היא שגרסת ה-build של המופע ישנה יותר מ-6.1.33.
Unable to connect to Google SecOps, please validate your credentials: CREDENTIALS	שגיאה	לא הייתה אפשרות לאמת את חשבון השירות או את ערכי הבסיס של ה-API מול מופע Google SecOps. השגיאה הזו מדווחת אם בדיקת הקישוריות נכשלת.
--- Start Processing Updated Cases ---	מידע	הלולאה של עיבוד הפנייה התחילה לפעול.
Last success time. Date time:DATE_AND_TIME. Unix:UNIX_EPOCH_TIME	מידע	חותמת הזמן של הביצוע המוצלח האחרון של הסקריפט עבור בקשות תמיכה או התראות: ‫datetime_result הוא ערך של תאריך ושעה ‫unix_result הוא ערך של חותמת זמן של מערכת Unix
Key: "DATABASE_KEY" doesn't exist in the database. Returning default value instead: DEFAULT_VALUE	מידע	מפתח מסד הנתונים של ההתראה או הפנייה לטיפול לא קיים במסד הנתונים. רשומת היומן הזו תמיד מופיעה בהפעלה הראשונה של הסקריפט.
Failed to parse data as JSON. Returning default value instead: "DEFAULT_VALUE. ERROR: ERROR	שגיאה	הערך שאוחזר ממסד הנתונים הוא לא בפורמט JSON תקין.
Exception was raised from the database. ERROR: ERROR.	שגיאה	יש בעיה בחיבור למסד הנתונים.
Successfully loaded CASE_IDS pending IDs. Successfully loaded ALERT_IDS pending alert IDs.	מידע	מזהי ההתראות או הפניות לטיפול שהיו בהמתנה חולצו בהצלחה מהמצבור. ‫CASE_IDS הוא מספר הפניות שהועברו.
Cases overload: case limit is 1000 NUMBER_OF_CASES cases will not be synced. Alerts overload: alert limit is 1000 NUMBER_OF_ALERTS alerts will not be synced.	שגיאה	מספר המקרים או מזהי ההתראות בהמתנה שאוחזרו מהמסד גדול מהמגבלה (1,000). המערכת מתעלמת ממזהים שחורגים מהמגבלה. השגיאה הזו יכולה להעיד על נזק אפשרי למסד הנתונים.
Found NUMBER_OF_UPDATED_CASES updated cases since last fetch time.	מידע	מזהי המקרים או ההתראות שעודכנו לאחרונה אוחזרו מהפלטפורמה בהצלחה.
--- Start Updating Cases in Google SecOps ---- -- Start Processing Updated Alerts ---	מידע	העדכון של בקשות תמיכה והתראות במכונת Google SecOps התחיל.
Failed to update case CASE_ID. Reason: ERROR_REASON Failed to update alert ALERT_ID. Reason: ERROR_REASON	שגיאה	אי אפשר לסנכרן את המקרה או ההתראה שצוינו עם Google SecOps.
Max retries reached for case CASE_ID. Removing from backlog. Max retries reached for alert ALERT_GROUP_ID . Removing from backlog.	מידע	ההתראה או הפנייה לטיפול שהוגדרו בהמתנה הגיעו למספר המרבי של ניסיונות הסנכרון (5) ולא הוכנסו בחזרה לרשימת המשימות הממתינות.
The following cases were not synced: CASE_IDS The following alerts were not synced: ALERT_IDS	מידע	רשימת מזהי הבקשות או ההתראות שלא ניתן לסנכרן עם Google SecOps.
Updated External Case IDs for the following cases: CASE_IDS	מידע	רשימת בקשות התמיכה שהעדכון של המשימה שינה את מזהה בקשת התמיכה החיצונית התואם ב-Google SecOps בפלטפורמת Google SecOps SOAR.
Failed to update external ids.	שגיאה	רשומה ביומן שמציינת שהייתה בעיה בשיטת ה-SDK או בחיבור שגרמה לכך שלא ניתן היה לעדכן מספרי פנייה חיצוניים בפלטפורמה.
Failed to update cases in Google SecOps. Failed to update alerts in Google SecOps.	שגיאה	רשומת היומן שמציינת שהייתה שגיאת סיום מסוימת שמנעה את סיום הלולאה של עיבוד האירוע או ההתראות באופן טבעי. ה-stacktrace מודפס אחרי היומן הזה עם השגיאה הספציפית.
--- Finished Updating Cases in Google SecOps --- --- Finished Updating Alerts in Google SecOps ---	מידע	לולאת העיבוד של האירועים וההתראות הסתיימה, באופן טבעי או עם שגיאה.
The following failed case ids were put in the backlog: CASE_IDS The following failed alert ids were put in the backlog: ALERT_IDS	שגיאה	רשימת המזהים של התראות או של מקרים שנכשלו, עם מספר ניסיונות חוזרים של 5 או פחות, שייכתבו בחזרה ל-backlog.
--- Finished Processing Updated Cases --- --- Finished Processing Updated Alerts ---	מידע	השלב של עיבוד המקרה וההתראה הסתיים.
Saving timestamps.	מידע	שמירת חותמות הזמן של העדכון האחרון של בקשת התמיכה וההתראה במסד הנתונים.
Saving pending ids.	מידע	שמירת מספרי הפניות וההתראות שממתינות לטיפול במסד הנתונים.
Got exception on main handler. Error: ERROR_REASON	שגיאה	אירעה שגיאת סיום כללית. ה-stacktrace מודפס אחרי היומן הזה עם השגיאה הספציפית.

העבודה Google Chronicle Alerts Creator

חשוב: כדי להבטיח שהפונקציונליות תמשיך לפעול לפני הוצאת API מדור קודם משימוש, צריך להגדיר במפורש את המחבר הזה לשימוש ב-Chronicle API. מוודאים ששיטת האימות שמוגדרת כאן זהה לשיטת האימות שמוגדרת בשילוב.

כדי להשתמש במשימה Google Chronicle Alerts Creator, צריך להשתמש בפלטפורמת Google SecOps בגרסה 6.2.30 ואילך.

המשימה הזו יוצרת את כל ההתראות מ-Google SecOps SOAR ל-Google SecOps, כולל התראות על חריגה. הפעולה Google Chronicle Alerts Creator לא משכפלת התראות שמקורן ב-Google SecOps.

הפעולה Google Chronicle Alerts Creator שולחת שאילתות לפלטפורמת SOAR באמצעות Python SDK לגבי התראות שלא סונכרנו. המשימה שולחת התראות לא מסונכרנות ל-SIEM בנפרד. מערכת SIEM מעדכנת ומחזירה את המזהים של ההתראות התואמות של SIEM, ומערכת SOAR שומרת את המזהים באמצעות SOAR platform API דרך Python SDK.

הקשר בין המשימות של Google Chronicle

מערכת Google SecOps מלאה מריצה את שלושת הרכיבים הבאים בו-זמנית:

1. Chronicle Alerts Connector
2. משימת Google Chronicle Sync Data
3. משימה של Google Chronicle Alerts Creator

העבודה Google Chronicle Sync Data יוצרת ומסנכרנת בקשות תמיכה. הוא גם מסנכרן את השינויים בבקשת התמיכה ובהתראות, כמו שינויים ברמת העדיפות.

העבודה Google Chronicle Alerts Creator יוצרת את כל ההתראות, למעט התראות SIEM. העבודה Google Chronicle Sync Data שולחת עדכונים על התראות לא מסונכרנות אחרי שהעבודה Google Chronicle Alerts Creator יוצרת את ההתראות.

סנכרון של נתונים של פניות והתראות

הסנכרון של בקשות התמיכה מתבצע באותו אופן כמו במשימת הנתונים של Google Chronicle Sync.

ב-Google SecOps, כל התראה מזוהה באמצעות מזהה התראה של SIEM. התראות SOAR יכולות לקבל מזהה SIEM בשני תרחישים:

1. ההתראה נוצרת ב-SIEM.

   ההתראה הזו כבר קיימת ב-Google SecOps ואין צורך לשכפל אותה. המחבר מאכלס את השדה siem_alert_id.

2. ההתראה נוצרת במחברים של צד שלישי.

   ההתראה הזו לא קיימת ב-Google SecOps, ונדרשת הפעלה של פעולת סנכרון מפורשת שמוגדרת על ידי המשימה Google Chronicle Alerts Creator. אחרי השלמת פעולת הסנכרון, ההתראה מקבלת מזהה SIEM חדש.

הגדרת העבודה של Google Chronicle Alerts Creator

לפני שמגדירים את העבודה, צריך לוודא שהשלמתם את השלבים הנדרשים.

כדי להגדיר את המשימה Google Chronicle Alerts Creator, פועלים לפי השלבים הבאים:

1. מגדירים את הפרמטרים של העבודה מהטבלה הבאה:

   פרמטר	תיאור
   Environment	חובה. שם הסביבה שנוצרה ב-Google SecOps SOAR שרוצים לסנכרן אליה את הטיפול במקרים ואת ההתראות.
   API Root	חובה. שורש ה-API של מכונת Google SecOps. ‫Google SecOps מספקת נקודות קצה אזוריות לכל API. לדוגמה, https://europe-backstory.googleapis.com או https://asia-southeast1-backstory.googleapis.com. אם אתם לא יודעים באיזו נקודת קצה להשתמש, [צרו קשר עם Cloud Customer Care](/chronicle/docs/getting-support). ערך ברירת המחדל הוא https://backstory.googleapis.com.
   User's Service Account	חובה. התוכן של קובץ ה-JSON של חשבון השירות של מופע Google SecOps.
   Verify SSL	חובה. אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Google SecOps. ההגדרה הזו מופעלת כברירת מחדל.

2. כדי להשלים את ההגדרה, לוחצים על שמירה.

   אם הכפתור שמירה לא פעיל, צריך לוודא שהגדרתם את כל הפרמטרים הנדרשים.

3. אופציונלי: כדי להפעיל את העבודה מיד אחרי השמירה, לוחצים על הפעלה עכשיו.

   האפשרות Run Now (הפעלה עכשיו) מאפשרת להפעיל ריצה של משימה אחת שמסנכרנת את הנתונים הנוכחיים של ההתראות והמקרים ב-Google SecOps SOAR עם Google SecOps.

רישום הודעות ביומן וטיפול בשגיאות

יומן	רמה	תיאור
Unable to parse credentials as JSON. Please validate creds.	שגיאה	חשבון השירות שצוין בפרמטר User's Service Account פגום.
Current platform version doesn't support SDK methods designed for Google Chronicle. Please use version 6.2.30 or later.	שגיאה	הגרסה הנוכחית של מופע פלטפורמת Google SecOps לא תומכת בהרצת סקריפט של משימת יצירת התראות ב-Google Chronicle. השגיאה הזו מציינת שגרסת ה-build של המופע קודמת לגרסה 6.2.30.
Unable to connect to Google Chronicle, please validate your credentials: CREDENTIALS	שגיאה	אי אפשר לאמת את הערכים של חשבון השירות או של שורש ה-API מול מופע Google SecOps. השגיאה הזו מדווחת אם בדיקת הקישוריות נכשלת.
--------------- JOB STARTED ---------------	מידע	הודעה ביומן שמציינת שהעבודה התחילה.
----------------- Main - Started -----------------	מידע	הודעה ביומן שמציינת שהפונקציה הראשית התחילה.
"Starting i + 1/MAXIMUM_ITERATIONS_NUMBER fetch attempt"	מידע	הודעה ביומן שמציינת את מספר האיטרציה של הניסיון הנוכחי הרצוף.
"Fetching up to BATCH_SIZE new alerts from the SOAR"	מידע	הודעת יומן שמציינת שהקוד לא מאחזר יותר מ-BATCH_SIZE התראות חדשות מ-SOAR.
"NUMBER_OF_NEW_ALERTS SOAR alerts were fetched"	INFO	הודעת יומן שמציינת שהתראות SOAR NUMBER_OF_NEW_ALERTS אוחזרו.
"No new SOAR alerts were found. Stopping..."	מידע	הודעת יומן שמציינת שלא נמצאו התראות חדשות של SOAR, ושהמשימה נעצרת.
"Fetched the following SOAR alerts: ID_LIST"	מידע	הודעת יומן שמציינת שהעבודה אחזרה את ההתראות של SOAR עם המזהים הבאים ברשימת המזהים. אתם יכולים להשתמש במידע הזה כדי לעקוב אחרי התקדמות העבודה ולפתור בעיות בקוד.
"Dispatching SOAR alerts to SIEM"	מידע	הודעת יומן שמציינת שהעבודה היא שליחת התראות SOAR ל-SIEM.
"Failed to create alert ALERT_GROUP_ID in SIEM. Reason: ERROR_REASON"	שגיאה	הודעה ביומן שמציינת שההתראה לא נוצרה בהצלחה ב-SIEM בגלל שגיאה.
"Updating SOAR with SIEM response"	מידע	הודעה ביומן שמציינת שהעבודה מעדכנת את SOAR בתגובה של SIEM.
"SOAR has failed updating the status of alert ALERT_ID"	אזהרה	מציין שמערכת SOAR לא הצליחה לעדכן את הסטטוס של סנכרון ההתראות.
"Total of NUMBER_OF_SYNCED_ALERTS alerts were synced in this run"	מידע	הודעת יומן שמציינת שבוצע סנכרון של total_synced התראות בסך הכול בהרצה הנוכחית.
"--------------- JOB FINISHED ---------------"	מידע	הודעה ביומן שמציינת שהעבודה הסתיימה.
"Got exception on main handler. Error: ERROR_REASON"	שגיאה	הודעה ביומן שמציינת שהתרחשה חריגה בפונקציה הראשית. הודעת החריג נכללת בהודעת היומן.

תרחישים לדוגמה

השילוב עם Google Chronicle מאפשר להריץ את תרחישי השימוש הבאים:

• Chronicle Windows Threats Investigation and Response
• Security Command Center ו-Chronicle Cloud DIR

התקנת תרחיש השימוש

1. ב-Google SecOps Marketplace, עוברים לכרטיסייה Use Cases (תרחישי שימוש).

2. בשדה החיפוש, מזינים את שם תרחיש השימוש.

3. לוחצים על תרחיש השימוש.

4. פועלים לפי שלבי ההגדרה וההוראות באשף ההתקנה.

בסיום, כל הרכיבים הנדרשים מותקנים במכונת Google SecOps. כדי לסיים את ההתקנה, צריך להגדיר את בלוק ההפעלה ב-playbook שמתאים לתרחיש השימוש שלכם.

Chronicle Windows Threats Investigation & Response

אתם יכולים להשתמש ביכולות של Google SecOps כדי להגיב בזמן אמת לאיומים על Windows בסביבה שלכם. בעזרת מודיעין איומי סייבר עבור Google SecOps, צוותי אבטחה יכולים ליהנות משירות אמין של מודיעין איומי סייבר, בשילוב עם Google SecOps. איומים אמיתיים בסביבה שלכם יכולים עכשיו לעבור טריאז' ולתיקון אוטומטיים בפרק זמן קצר ויעיל.

1. ב-Google SecOps, עוברים אל תגובה > Playbooks.

2. בוחרים ב-playbook‏ Google Chronicle - Windows Threats Investigation & Response. המדריך יופיע בתצוגת המעצב של המדריך.

3. לוחצים לחיצה כפולה על Set Initialization Block_1. תיבת הדו-שיח של הגדרת הבלוק נפתחת.

4. כדי להגדיר את תוכנית הפעולה, משתמשים בפרמטרים הבאים:

   פרמטר קלט	ערכים אפשריים	תיאור
   edr_product	Crowdstrike Carbon Black ללא	מוצר ה-EDR שבו רוצים להשתמש בתוכנית הפעולה.
   itsm_product	Service Now Jira ZenDesk ללא	מוצר ITSM לשימוש ב-playbook. כדי להשתמש ב-Jira, צריך לקבוע הגדרות נוספות בבלוק Open Ticket.
   crowdstrike_use_spotlight	true או false	אם True, ספר ההפעלה מבצע פעולות של Crowdstrike שדורשות רישיון Spotlight (מידע על פגיעות).
   use_mandiant	true או false	אם הערך הוא True, המדריך מפעיל את החסימה של Mandiant.
   slack_user	שם משתמש או כתובת אימייל	שם המשתמש או כתובת האימייל של המשתמש ב-Slack. אם לא מציינים אף אחת מהאפשרויות, המדריך ידלג על בלוקים של Slack.

5. לוחצים על Save. תיבת הדו-שיח של הגדרת החסימה נסגרת.

6. בחלונית של כלי התכנון של תוכנית הפעולה, לוחצים על שמירה.

כדי לבדוק את ספר ההפעלה בתרחיש השימוש, מעבירים את מקרה הבדיקה שכלול בחבילה. יכול להיות שחלק מהיכולות של תרחישי הבדיקה ייכשלו כי הנתונים שמשמשים לבדיקה לא זמינים בסביבה שלכם.

‫Security Command Center ו-Chronicle Cloud DIR

אפשר לשלב את Security Command Center עם Google SecOps כדי לאפשר לאנליסטים לחקור תקריות ואיומים שזוהו על ידי Security Command Center.

הגדרת תרחיש השימוש

כדי להשתמש בתרחיש לדוגמה, צריך להגדיר את השילובים הבאים:

• Siemplify
• כלים
• Mitre ATT&CK
• ‫Google Cloud IAM
• ‫Google Chronicle
• פונקציות
• ‫Google Cloud Compute
• Email V2
• ‫VirusTotal v3

השילובים של Google Security Command Center ושל Mandiant הם אופציונליים.

לפני שמגדירים את תרחיש השימוש, צריך לוודא שהוא מותקן.

1. ב-Google SecOps, עוברים לכרטיסייה Playbooks.
2. בוחרים את ספר ההוראות SCC & Chronicle Cloud DIR.
3. לוחצים לחיצה כפולה על בלוק ההפעלה כדי להגדיר אותו.
4. מגדירים את ספר ההפעלה באמצעות הפרמטרים הבאים:

שם הפרמטר	ערכים אפשריים	תיאור
Mandiant_Enrichment	true או false	אם הערך הוא True, ה-Playbook משתמש ב-Mandiant להעשרה נוספת. צריך להגדיר את השילוב עם Mandiant כדי להשתמש בהגדרה הזו. אם אתם מקבלים לעיתים רחוקות מידע משמעותי, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות הביצוע של תוכנית הפעולה.
SCC_Enrichment	true או false	אם הערך הוא True, ה-Playbook משתמש ביכולות של Security Command Center כדי להוסיף עוד פרטים. כדי להגדיר את השילוב הזה, צריך להגדיר את Security Command Center. אם אתם מקבלים לעיתים רחוקות מידע משמעותי, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות ההפעלה של תוכנית הפעולה.
IAM_Enrichment	true או false	אם True, ערכת ההפעלה משתמשת ביכולות של IAM כדי להוסיף עוד פרטים. אם אתם מקבלים מידע משמעותי לעיתים רחוקות, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות הביצוע של תוכנית הפעולה.
Compute_Enrichment	true או false	אם True, פלייבוק משתמש ביכולות של Compute Engine להעשרה נוספת. אם אתם מקבלים לעיתים רחוקות מידע משמעותי, אתם יכולים להסיר את ההעשרה. הסרת בלוק ההעשרה משפרת את מהירות הביצוע של תוכנית הפעולה.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.