Mengintegrasikan Google Chronicle dengan Google SecOps

Perhatian: Backstory dan Ingestion API tidak digunakan lagi. Instance baru tidak dapat lagi memanggil API lama. Akhir Siklus Proses (EOL) akan berlangsung pada 20 Juli 2027.

Untuk mencegah gangguan playbook, Anda harus mengupgrade integrasi ini ke versi 54 atau yang lebih tinggi.

• Autentikasi: Pastikan setelan autentikasi Anda (kredensial sistem bawaan, Workload Identity, atau kunci JSON akun layanan) dikonfigurasi secara identik di seluruh konfigurasi integrasi, konektor, dan tugas.
• Pemantauan Playbook: Anda harus meninjau playbook setelah mengupgrade, karena output eksekusi tindakan mungkin berbeda.

Untuk mengetahui detailnya, lihat Bermigrasi dari API SIEM lama ke Chronicle API dan Memigrasikan Backstory API ke Chronicle API.

Dokumen ini menjelaskan cara mengintegrasikan Google Chronicle dengan Google Security Operations.

Catatan: Google Chronicle berganti nama menjadi Google SecOps. Dalam platform Google SecOps, integrasi ini bernama Google Chronicle.

Kasus penggunaan

Integrasi Google Chronicle menggunakan kemampuan Google SecOps untuk mendukung kasus penggunaan berikut:

• Investigasi dan remediasi phishing otomatis: Buat kueri otomatis untuk data email historis, log aktivitas pengguna, dan threat intelligence guna menilai legitimasi email. Perbaikan otomatis dapat membantu Anda melakukan triase dan pembatasan dengan mencegah penyebaran malware atau pelanggaran data.

• Pengayaan notifikasi keamanan: Memperkaya notifikasi yang dihasilkan di SIEM dengan konteks historis, seperti perilaku pengguna dan informasi aset sebelumnya. Hal ini memberi analis gambaran komprehensif tentang insiden, sehingga memungkinkan pengambilan keputusan yang lebih cepat dan tepat.

• Perburuan ancaman berdasarkan insight Google SecOps: Otomatiskan proses kueri alat keamanan lain untuk indikator penyusupan (IOC) terkait. Hal ini dapat membantu Anda mengidentifikasi potensi pelanggaran secara proaktif sebelum meluas.

• Playbook respons insiden otomatis: Picu playbook yang telah ditetapkan yang menggunakan data Google SecOps untuk mengisolasi sistem yang disusupi, memblokir alamat IP berbahaya, dan memberi tahu pemangku kepentingan yang relevan. Hal ini dapat mengurangi waktu respons insiden dan meminimalkan dampak insiden keamanan.

• Pelaporan dan audit kepatuhan: Mengotomatiskan pengumpulan data keamanan dari Google SecOps untuk pelaporan kepatuhan, menyederhanakan proses audit, dan mengurangi upaya manual.

Sebelum memulai

Sebelum mengonfigurasi integrasi Google Chronicle di Google SecOps, pastikan Anda memiliki akses ke project Google Cloud yang aktif.

Memigrasikan Backstory API ke Chronicle API

Beberapa fitur dan tindakan baru dalam integrasi ini hanya mendukung Chronicle API, jadi kami sangat menyarankan agar semua pengguna memigrasikan deployment mereka untuk menggunakan Chronicle API.

Untuk bermigrasi dari Backstory API lama ke Chronicle API:

1. Temukan root Chronicle API Anda dan masukkan di parameter API Root di seluruh konfigurasi integrasi, konektor, dan tugas.
2. Pastikan metode autentikasi Anda didukung untuk jenis project Google Cloud dan diterapkan secara identik di seluruh konfigurasi integrasi, konektor, dan tugas.

Menemukan Root Chronicle API

Saat mengakses Chronicle API, Anda harus menemukan API Root unik lingkungan Anda untuk konfigurasi integrasi, konektor, dan tugas.

1. Buka Developer Tools di browser Anda, lalu buka platform Google SecOps.

2. Pilih Investigasi > Tabel Data.

3. Di Developer Tools, buka tab Network, lalu klik item di kolom Name, seperti dataTables?pageSize=1000.

4. Di panel detail, pilih Headers dan salin nilai Request URL, yang ditemukan di bagian General, tidak termasuk endpoint dan parameter kueri apa pun (nama item yang dipilih).

   Misalnya, jika nilainya adalah https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000, root API akan mengecualikan /dataTables?pageSize=1000 dan menjadi https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.

Metode autentikasi dan prioritas kredensial

Integrasi, konektor, dan tugas Google Chronicle mengevaluasi kredensial dalam urutan berikut:

1. Kredensial bawaan: Digunakan secara otomatis saat Anda tidak memberikan Workload Identity Email dan User's Service Account.
   • Kapan harus digunakan: Paling cocok untuk project yang dikelola Google (default) yang disediakan mulai Q4 2025 dan seterusnya, atau project apa pun yang dikelola Google yang menggunakan Backstory API lama. Tidak memerlukan pembuatan akun layanan, penetapan peran, atau pengelolaan kunci. Kredensial bawaan tidak didukung untuk deployment Bring Your Own Project (BYOP) menggunakan Chronicle API.
   • Project yang dikelola Google sebelum Kuartal 4 2025: Jika Anda bermigrasi ke Chronicle API, hubungi Dukungan Google untuk mengaktifkan kredensial Chronicle API bawaan, atau konfigurasi akun layanan menggunakan Workload Identity atau kunci JSON.
2. Workload Identity (Workload Identity Email): Digunakan saat Anda memberikan email akun layanan. Diprioritaskan jika Workload Identity Email dan User's Service Account diisi.
   • Kapan harus digunakan: Direkomendasikan saat akun layanan diperlukan (seperti deployment Bring Your Own Project (BYOP) atau project yang dikelola Google sebelum Q4 2025 tanpa kredensial Chronicle API bawaan). Menyediakan autentikasi tanpa kunci tanpa mendownload atau merotasi kunci JSON, dan mematuhi kebijakan organisasi yang membatasi pembuatan kunci akun layanan.
3. Kunci JSON akun layanan (User's Service Account): Hanya digunakan jika Workload Identity Email kosong dan Anda memberikan kunci JSON akun layanan.
   • Kapan harus digunakan: Gunakan hanya jika akun layanan diperlukan dan Anda tidak dapat mengonfigurasi peniruan identitas Workload Identity. Memerlukan download dan pengelolaan file kunci JSON statis.

Autentikasi dengan Workload Identity (direkomendasikan)

Untuk melakukan autentikasi menggunakan Workload Identity, buat akun layanan, tetapkan peran yang diperlukan, dan berikan izin peniruan identitas ke instance Google SecOps Anda.

Membuat akun layanan

1. Di konsol Google Cloud , buka halaman Credentials.

   Buka Kredensial

2. Dari menu Create credentials, pilih Service account.

3. Di bagian Service account details, masukkan nama di kolom Service account name.

4. Opsional: Edit ID akun layanan.

5. Klik Create and continue. Layar Izin akan muncul.

6. Klik Lanjutkan. Layar Principals with access akan muncul.

7. Klik Done.

Chronicle API: Peran yang diperlukan untuk akun layanan Anda

Saat menggunakan Chronicle API, akun layanan Anda memerlukan peran Chronicle API Editor:

1. Di konsol Google Cloud , buka halaman Credentials.

   Buka Kredensial

2. Di bagian Service Accounts, pilih akun layanan Anda, lalu klik Permissions > Manage access.

3. Klik addAdd role, lalu pilih peran Chronicle API Editor. Klik Simpan.

Memberikan izin peniruan identitas ke instance Google SecOps Anda

Beri izin instance Google SecOps Anda untuk meniru identitas akun layanan Anda:

1. Di Google SecOps, buka Content Hub > Response Integrations.

2. Pilih integrasi yang Anda konfigurasi, dan masukkan email akun layanan Anda di Workload Identity Email.

3. Klik Save > Test. Pengujian diperkirakan akan gagal.

4. Klik close_small di sebelah kanan Test dan telusuri pesan error untuk gke-init-python@PROJECT .iam.gserviceaccount.com atau soar-python@TENANT_PROJECT .iam.gserviceaccount.com. Salin email unik ini (email ini mengidentifikasi instance Google SecOps Anda).

5. Buka Service accounts, pilih project Anda, lalu pilih akun layanan Anda.

6. Pilih Principals with access > addGrant access.

7. Di bagian Add principals, tempel nilai yang Anda salin.

8. Di bagian Add Roles, pilih peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

   Catatan: Mungkin perlu waktu beberapa menit setelah menyelesaikan langkah ini agar pengujian berhasil.

Autentikasi dengan kunci JSON akun layanan

Untuk melakukan autentikasi menggunakan kunci JSON akun layanan (bukan metode Workload Identity yang direkomendasikan), buat akun layanan khusus dan download kunci JSON-nya:

1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts.

2. Pilih Create Service Account dan ikuti petunjuknya.

3. Pilih alamat email akun layanan baru, lalu buka Keys > Add Key > Create new key.

4. Pilih JSON sebagai jenis kunci dan klik Create. File kunci JSON akan didownload ke komputer Anda.

5. Saat menggunakan Chronicle API, tetapkan peran Chronicle API Editor ke akun layanan Anda.

Parameter integrasi

Integrasi Google Chronicle memerlukan parameter berikut:

Parameter	Deskripsi
UI Root	Wajib. URL dasar antarmuka Google SecOps. Digunakan untuk membuat link langsung kembali ke Google SecOps dari kasus Anda. Nilai defaultnya adalah https://INSTANCE.chronicle.security/.
API Root	Wajib. URL root API untuk instance Google SecOps Anda: Chronicle API: Menyertakan project ID, region, dan ID instance Anda (misalnya, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Lihat Menemukan Root Chronicle API. Backstory API (lama): Endpoint Backstory regional. Nilai defaultnya adalah https://backstory.googleapis.com.
User's Service Account	Opsional. Kunci JSON akun layanan yang digunakan untuk autentikasi. Hanya digunakan jika Workload Identity Email kosong. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
Workload Identity Email	Opsional. Email akun layanan yang digunakan untuk autentikasi Workload Identity (direkomendasikan jika akun layanan diperlukan). Diprioritaskan jika kedua kolom kredensial diisi. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Tambahkan Entri ke Daftar Pantauan

Gunakan tindakan Add Entry To Watchlist untuk menambahkan entitas yang ditentukan ke Daftar Pantauan Analisis Risiko yang ada di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung.

Input tindakan

Tindakan Add Entry To Watchlist memerlukan parameter berikut:

Parameter	Deskripsi
Watchlist Name	Wajib. Nama daftar pantauan Analisis Risiko untuk menambahkan entri.
Entry	Wajib. Objek JSON yang mewakili entity yang akan ditambahkan ke daftar pantauan. Struktur JSON memerlukan nilai entity, jenis entity, dan namespace opsional. Nilai defaultnya adalah: [ { "entity": "", "type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID", "namespace": "Optional" } ]

Output tindakan

Tindakan Tambahkan Entri ke Daftar Pantauan memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Add Entry To Watchlist:

[
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    },
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    }
]

Pesan output

Tindakan Add Entry To Watchlist dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added new entries to a watchlist WATCHLIST in Google SecOps.	Tindakan berhasil.
Error executing action "Add Entry To Watchlist". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Add Entry To Watchlist:

Nama hasil skrip	Nilai
is_success	true atau false

Tambahkan Baris ke Tabel Data

Gunakan tindakan Add Rows To Data Table untuk menambahkan baris ke tabel data di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung.

Input tindakan

Untuk mengonfigurasi tindakan, gunakan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan diperbarui.
Rows	Wajib. Daftar objek JSON yang berisi informasi tentang baris yang akan ditambahkan. Contoh: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

Output tindakan

Tindakan Add Rows To Data Table memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan contoh hasil JSON yang ditampilkan oleh tindakan Add Rows To Data Table:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          }
}

Pesan output

Tindakan Add Rows To Data Table memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added rows to the data table DATA_TABLE_NAME in Google SecOps.	Tindakan berhasil.
Error executing action "Add Rows to Data Table". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Add Rows To Data Table:

Nama hasil skrip	Nilai
is_success	true atau false

Menambahkan Nilai ke Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Add Values To Reference List untuk menambahkan nilai ke daftar referensi di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Untuk mengonfigurasi tindakan, gunakan parameter berikut:

Parameter	Deskripsi
Reference List Name	Wajib. Nama daftar referensi yang akan diperbarui.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditambahkan ke daftar referensi.

Output tindakan

Tindakan Add Value To Reference List memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Add Value To Reference List dengan Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Add Value To Reference List dengan Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

Pesan output

Tindakan Add Values To Reference List memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added values to the reference list REFERENCE_LIST_NAME.	Tindakan berhasil.
Error executing action "Add Values To Reference List". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Nilai Ke Daftar Referensi:

Nama hasil skrip	Nilai
is_success	true atau false

Minta Gemini

Gunakan tindakan Minta Gemini untuk mengirim perintah teks ke Gemini di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung. Untuk mengetahui persyaratan kredensial, lihat Metode autentikasi dan prioritas kredensial.

Batas pemrosesan dan waktu tunggu

Tindakan ini tunduk pada batasan pemrosesan dalam pipeline Google SecOps. Tindakan yang melebihi batasan ini biasanya akan menghasilkan error 503 Service Unavailable.

Untuk memastikan keberhasilan eksekusi, permintaan Anda harus mematuhi spesifikasi berikut:

• Waktu tunggu: Pengenalan intent memiliki waktu tunggu 30 detik. Tugas ringkasan yang besar atau perintah kompleks yang melebihi waktu pemrosesan ini akan menyebabkan tindakan gagal.

• Batas pembuatan respons: Fase pembuatan dibatasi hingga maksimum 28.000 token.

Input tindakan

Tindakan Minta Gemini memerlukan parameter berikut:

Parameter	Deskripsi
Automatic Opt-in	Opsional. Jika dipilih, playbook akan otomatis mengikutsertakan pengguna untuk percakapan Gemini tanpa memerlukan konfirmasi manual. Diaktifkan secara default.
Prompt	Wajib. Perintah teks atau pertanyaan awal yang akan dikirim ke Gemini. Penting: Perintah yang memerlukan pemrosesan ekstensif (seperti meringkas set hasil yang besar) dapat mengalami waktu tunggu 30 detik. Untuk mengetahui detailnya, lihat Batas pemrosesan dan waktu tunggu.

Output tindakan

Tindakan Minta Gemini memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Minta Gemini:

{
  {
        "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
        "input": {
            "body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
        },
        "responses": [
            {
                "blocks": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal&#39;s IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal&#39;s last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
                        }
                    }
                ],
                "references": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
                        }
                    }
                ],
                "groundings": [
                    "IP address 159.138.84.217 malicious cybersecurity",
                    "IP address 159.138.84.217 threat intelligence"
                ]
            }
        ],
        "createTime": "2025-05-16T11:31:36.660538Z"
    }
}

Pesan output

Tindakan Minta Gemini memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed a prompt in Google SecOps.	Tindakan berhasil.
Error executing action "GoogleChronicle - Ask Gemini". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Minta Gemini:

Nama hasil skrip	Nilai
is_success	true atau false

Enrich Domain - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Gunakan tindakan Enrich Domain untuk memperkaya domain menggunakan informasi dari IoC di Google SecOps.

Tindakan ini berjalan di entity Google SecOps berikut:

• URL
• Hostname

Input tindakan

Tindakan Enrich Domain memerlukan parameter berikut:

Parameter	Deskripsi
Create Insight	Jika dipilih, tindakan akan membuat insight yang berisi informasi tentang entity. Diaktifkan secara default.
Only Suspicious Insight	Jika dipilih, tindakan hanya akan membuat insight untuk entity yang ditandai sebagai mencurigakan. Tidak diaktifkan secara default. Jika memilih parameter ini, Anda juga harus memilih Create Insight.
Lowest Suspicious Severity	Wajib. Tingkat keparahan terendah yang terkait dengan domain yang diperlukan untuk menandainya sebagai mencurigakan. Nilai defaultnya adalah Medium. Kemungkinan nilainya adalah sebagai berikut: High Medium Low Info
Mark Suspicious N/A Severity	Wajib. Jika dipilih dan informasi tentang tingkat keparahan tidak tersedia, tindakan akan menandai entitas sebagai mencurigakan.

Output tindakan

Tindakan Enrich Domain memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Tindakan Enrich Domain menyediakan tabel berikut:

Nama: ENTITY_IDENTIFIER

Kolom:

• Source
• Keparahan
• Kategori
• Keyakinan

Pengayaan entity

Tindakan Enrich Domain mendukung logika pengayaan entity berikut:

Kolom pengayaan	Logika (kapan harus diterapkan)
severity	Jika tersedia dalam JSON
average_confidence	Jika tersedia dalam JSON
related_domains	Jika tersedia dalam JSON
categories	Jika tersedia dalam JSON
sources	Jika tersedia dalam JSON
first_seen	Jika tersedia dalam JSON
last_seen	Jika tersedia dalam JSON
report_link	Jika tersedia dalam JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Enrich Domain dengan Backstory API:

  {
              {
                  "sources": [
                      {
                          "source": "ET Intelligence Rep List",
                          "confidenceScore": {
                              "normalizedConfidenceScore": "Low",
                              "intRawConfidenceScore": 0
                          },
                          "rawSeverity": "High",
                          "category": "Malware Command and Control Server"
                      }
                  ],
                  "iocIngestTime": "2021-01-26T17:00:00Z",
                  "firstSeenTime": "2018-10-03T00:03:53Z",
                  "lastSeenTime": "2022-02-09T10:52:21.229Z",
                  "uri": [
                      "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                  ]
              }
  }
  

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Enrich Domain dengan Chronicle API:

[
  {
    "Entity": "example.com",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        },
        {
          "category": "Phishing",
          "firstActiveTime": null,
          "lastActiveTime": "2020-11-27T14:31:37Z",
          "addresses": [
            {
              "domain": "example.com"
            },
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "high",
          "confidenceScore": {
            "strRawConfidenceScore": "high"
          }
        },
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        },
        {
          "metadata": {
            "title": "ESET Threat Intelligence",
            "description": "ESET Threat Intelligence"
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Phishing",
              "activeTimerange": {
                "end": "2020-11-27T14:31:37Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "High",
              "rawSeverity": "High"
            }
          ]
        },
        {
          "metadata": {
            "title": "Mandiant Active Breach Intelligence",
            "description": "Mandiant Active Breach IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        }
      ]
    }
  }
]
  

Pesan output

Tindakan Enrich Domain memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following domain in Google Chronicle: LIST_OF_IDS	Tindakan berhasil.
Error executing action "Enrich Domain". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Enrich Domain:

Nama hasil skrip	Nilai
is_success	true atau false

Memperkaya Entity

Gunakan tindakan Enrich Entities untuk mengkueri Google SecOps guna mendapatkan konteks dan atribut tambahan untuk jenis entity yang ditentukan. Tindakan ini meningkatkan data investigasi ancaman dengan mengintegrasikan kecerdasan eksternal.

Tindakan ini berjalan di entity Google SecOps berikut:

• Domain
• File Hash
• Hostname
• IP Address
• URL (mengekstrak domain dari URL)
• User
• Email (entitas pengguna dengan ekspresi reguler email)

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung. Untuk mengetahui persyaratan kredensial, lihat Metode autentikasi dan prioritas kredensial.

Input tindakan

Tindakan Enrich Entities memerlukan parameter berikut:

Parameter	Deskripsi
Namespace	Opsional. Pengelompokan logis atau cakupan entity yang akan diperkaya. Jika tidak dipilih, pengayaan akan diterapkan ke entity di namespace default atau semua namespace yang dapat diakses. Entity harus termasuk dalam namespace ini agar dapat diproses.
Time Frame	Opsional. Jangka waktu relatif (misalnya, 1 day, 2 hours). Parameter ini lebih diutamakan daripada Start Time dan End Time.
Start Time	Opsional. Waktu mulai untuk periode pengayaan dalam format ISO 8601. Gunakan ini dengan End Time jika Time Frame tidak ditetapkan.
End Time	Opsional. Waktu akhir absolut untuk periode pengayaan dalam format ISO 8601. Digunakan dengan Start Time jika Time Frame tidak ditetapkan.

Output tindakan

Tindakan Enrich Entities memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tindakan Enrich Entities mendukung pengayaan entity berikut untuk entity apa pun:

Kolom pengayaan	Sumber (kunci JSON)	Penerapan
GoogleSecOps_related_entities	Jumlah related_entities	Jika tersedia dalam hasil JSON.
GoogleSecOps_alert_count_ruleName	{alertCounts.count} untuk setiap aturan tertentu	Jika tersedia dalam hasil JSON.
GoogleSecOps_first_seen	metric.firstSeen	Jika tersedia dalam hasil JSON.
GoogleSecOps_last_seen	metric.lastSeen	Jika tersedia dalam hasil JSON.
GoogleSecOps_flattened_key_under_entity	Nilai kunci, yang di-flatten dari struktur bertingkat di bawah objek "entity".	Jika tersedia dalam hasil JSON.

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Enrich Entities:

[
 {
   "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
     "metadata": { "entityType": "DOMAIN_NAME" },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
       "metadata": { "entityType": "DOMAIN_NAME" },
       "entity": {
         "domain": {
           "name": "markossolomon.com",
           "firstSeenTime": "1970-01-01T00:00:00Z",
           "lastSeenTime": "1970-01-01T00:00:00Z",
           "registrar": "NameCheap, Inc.",
           "creationTime": "2013-12-06T02:41:09Z",
           "updateTime": "2019-11-06T11:48:33Z",
           "expirationTime": "2020-12-06T02:41:09Z",
           "registrant": {
             "userDisplayName": "WhoisGuard Protected",
             "emailAddresses": [
               "[e-mail]"
             ],
             "personalAddress": { "countryOrRegion": "PANAMA" },
             "companyName": "WhoisGuard, Inc."
           }
         }
       }
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "npatni-sysops",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:00:02.042Z",
         "endTime": "2025-07-18T07:50:02.472Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:00:02.042Z",
           "endTime": "2025-07-18T07:50:02.472Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "npatni-sysops" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:00:02.042Z",
         "lastSeen": "2025-07-18T07:50:02.472Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:00:02.042Z",
       "lastSeen": "2025-07-18T07:50:02.472Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "329" },
       { "rule": "rule_testbucket", "count": "339" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "332" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 1000 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "exlab2019-ad",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "exlab2019-ad" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.30.202.229",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "ip": ["172.30.202.229"] }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.17.0.1",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-03-09T19:09:02.133Z",
         "endTime": "2025-04-19T02:27:01.994Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-03-09T19:09:02.133Z",
           "endTime": "2025-04-19T02:27:01.994Z"
         }
       },
       "entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
       "metric": {
         "firstSeen": "2025-03-09T19:09:02.133Z",
         "lastSeen": "2025-04-19T02:27:01.994Z"
       }
     },
     "metric": {
       "firstSeen": "2025-03-09T19:09:02.133Z",
       "lastSeen": "2025-04-19T02:27:01.994Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "911d039e71583a07320b32bde22f8e22",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
     "metadata": {
       "entityType": "FILE",
       "interval": {
         "startTime": "2024-12-15T09:07:02Z",
         "endTime": "2025-07-18T07:43:59.045Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
       "metadata": {
         "entityType": "FILE",
         "interval": {
           "startTime": "2024-12-15T09:07:02Z",
           "endTime": "2025-07-18T07:43:59.045Z"
         }
       },
       "entity": {
         "file": {
           "sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
           "md5": "911d039e71583a07320b32bde22f8e22",
           "sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
           "size": "278528",
           "fileType": "FILE_TYPE_PE_EXE",
           "names": [
             "C:\\Windows\\System32\\cmd.exe",
             "cmd",
             "Cmd.Exe",
             "C:\\Windows\\system32\\cmd.exe",
             "C:\\Windows\\SYSTEM32\\cmd.exe",
             "cmd.exe",
             "C:\\\\Windows\\\\System32\\\\cmd.exe",
             "C:\\windows\\SYSTEM32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
             "c:\\Windows\\System32\\cmd.exe",
             "Utilman.exe",
             "c:\\windows\\system32\\cmd.exe",
             "System32/cmd.exe",
             "UtilityVM/Files/Windows/System32/cmd.exe",
             "KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
             "cmd.exe_",
             "C:\\WINDOWS\\SYSTEM32\\cmd.exe",
             "Cmd.exe",
             "Windows/System32/cmd.exe",
             "sethc.exe",
             "C:\\WINDOWS\\System32\\cmd.exe",
             "esRzqurX.exe",
             "rofl.png",
             "F:\\Windows\\SYSTEM32\\cmd.exe",
             "utilman.exe",
             "C:\\Windows\\system32\\CMD.exe",
             "sys32exe/cmd.exe",
             "cmd.txt",
             "C:\\WINDOWS\\system32\\cmd.exe",
             "cmd2.exe",
             "Utilman.exe.sc",
             "uhrHRIv8.exe",
             "C:\\windows\\system32\\cmd.exe",
             "submitted_file",
             "C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
             "J6ff7z0hLYo.exe",
             "N:\\Windows\\System32\\cmd.exe",
             "Q:\\Windows\\System32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
             "C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
             "test.exe",
             "68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
             "8FCVE0Kq.exe",
             "cmd (7).exe",
             "cmd (8).exe",
             "21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
             "LinX v0.9.11 (Intel)/cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
             "cmd_b.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
             "cMd.exe",
             "Repl_Check.bat__",
             "cmd.pdf",
             "cmd.EXE",
             "C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
             "LFepc1St.exe",
             "firefox.exe",
             "3BcnNlWV.exe",
             "Utilman.exebak",
             "utilman1.exe",
             "1.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
             "cmd_1771019736291028992.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
             "Sethc.exe",
             "\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
             "DANFE352023067616112.exe",
             "file.exe",
             "DANFE352023067616112/DANFE352023067616112.exe",
             "C:\\Windows\\SYSTEM32\\Cmd.exe",
             "pippo.exe",
             "C:\\Windows\\System32\\sethc.exe",
             "cmd.exe-bws024-windowsfolder",
             "whatever.exe",
             "sethc.exe.bak",
             "S71dbOR1.exe",
             "F:\\windows\\SYSTEM32\\cmd.exe",
             "L6puhWL7.exe",
             "DANFE357986551413927.exe",
             "DANFE357666506667634.exe",
             "\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
             "\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
             "\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
             "\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
             "\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
             "\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
             "winlogon.exe",
             "AccessibilityEscalation.A' in file 'utilman.exe'",
             "qpl9AqT0.exe",
             "C:\\windows\\system32\\CMD.exe",
             "C:\\po8az\\2po9hmc\\4v1b5.exe",
             "batya.exe",
             "nqAwJaba.exe",
             "\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
             "/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
             "/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
             "\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
             "/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
             "DANFE352429512050669.exe",
             "/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
           ],
           "firstSeenTime": "2024-12-15T09:07:02Z",
           "lastSeenTime": "2025-07-18T07:43:59.045Z",
           "lastAnalysisTime": "2025-07-16T10:06:40Z",
           "signatureInfo": {
             "sigcheck": {
               "verificationMessage": "Signed",
               "verified": true,
               "signers": [{ "name": "Microsoft Windows" }]
             }
           },
           "firstSubmissionTime": "2025-07-15T16:30:27Z"
         }
       },
       "metric": {
         "firstSeen": "2024-12-15T09:07:02Z",
         "lastSeen": "2025-07-18T07:43:59.045Z"
       }
     },
     "metric": {
       "firstSeen": "2024-12-15T09:07:02Z",
       "lastSeen": "2025-07-18T07:43:59.045Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "329" },
       { "rule": "rule_testbucket", "count": "345" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "326" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         { "alertCount": 31 },
         { "alertCount": 111 },
         { "alertCount": 109 },
         { "alertCount": 82 },
         { "alertCount": 86 },
         { "alertCount": 98 },
         { "alertCount": 86 },
         { "alertCount": 85 },
         { "alertCount": 92 },
         { "alertCount": 89 },
         { "alertCount": 90 },
         { "alertCount": 41 }
       ],
       "bucketSize": "172800s"
     },
     "prevalenceResult": [
       { "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
     ],
     "relatedEntities": [
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "hostname": "exlab2019-ad",
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       },
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "ip": ["172.30.202.229"],
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       }
     ]
   }
 },
 {
   "Entity": "tencent.com",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
     "metadata": {
       "entityType": "DOMAIN_NAME",
       "interval": {
         "startTime": "2025-01-14T14:01:00Z",
         "endTime": "2025-01-14T15:02:00Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
       "metadata": {
         "entityType": "DOMAIN_NAME",
         "interval": {
           "startTime": "2025-01-14T14:01:00Z",
           "endTime": "2025-01-14T15:02:00Z"
         }
       },
       "entity": {
         "domain": {
           "name": "tencent.com",
           "firstSeenTime": "2025-01-14T14:01:00Z",
           "lastSeenTime": "2025-01-14T15:02:00Z",
           "registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
           "creationTime": "1998-09-14T04:00:00Z",
           "updateTime": "2024-08-20T08:04:01Z",
           "expirationTime": "2032-09-13T04:00:00Z",
           "registrant": {
             "emailAddresses": [""],
             "personalAddress": { "countryOrRegion": "CHINA" },
             "companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
           }
         }
       },
       "metric": {
         "firstSeen": "2025-01-14T14:01:00Z",
         "lastSeen": "2025-01-14T15:02:00Z"
       }
     },
     "metric": {
       "firstSeen": "2025-01-14T14:01:00Z",
       "lastSeen": "2025-01-14T15:02:00Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "00:50:56:b6:34:86",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "1970-01-01T00:00:00Z",
         "endTime": "2025-05-22T11:37:02Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "1970-01-01T00:00:00Z",
           "endTime": "2025-05-22T11:37:02Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "mac": ["00:50:56:b6:34:86"] }
       },
       "metric": {
         "firstSeen": "1970-01-01T00:00:00Z",
         "lastSeen": "2025-05-22T11:37:02Z"
       }
     },
     "metric": {
       "firstSeen": "1970-01-01T00:00:00Z",
       "lastSeen": "2025-05-22T11:37:02Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 }
]

Pesan output

Tindakan Enrich Entities dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following entities information from Google SecOps: ENTITY_ID Action wasn't able to enrich the following entities using information from Google SecOps: ENTITY_ID None of the provided entities were enriched using information from Google SecOps.	Tindakan berhasil.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Enrich Entities:

Nama hasil skrip	Nilai
is_success	true atau false

Enrich IP - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Gunakan tindakan Enrich IP untuk memperkaya entity IP menggunakan informasi dari IoC di Google SecOps.

Tindakan ini berjalan di entity `alamat IP`.

Input tindakan

Tindakan Enrich IP memerlukan parameter berikut:

Parameter	Deskripsi
Create Insight	Opsional. Jika dipilih, tindakan ini akan membuat insight yang berisi informasi tentang entity. Diaktifkan secara default.
Only Suspicious Insight	Opsional. Jika dipilih, tindakan ini hanya akan membuat insight untuk entity yang ditandai sebagai mencurigakan. Tidak diaktifkan secara default. Jika Anda memilih parameter ini, Create Insight juga harus dipilih.
Lowest Suspicious Severity	Wajib. Tingkat keparahan terendah yang terkait dengan alamat IP untuk menandainya sebagai mencurigakan. Nilai defaultnya adalah Medium. Kemungkinan nilainya adalah sebagai berikut: High Medium Low Info
Mark Suspicious N/A Severity	Wajib. Jika dipilih dan informasi tentang tingkat keparahan tidak tersedia, tindakan akan menandai entitas sebagai mencurigakan.

Output tindakan

Tindakan Enrich IP memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Nama: ENTITY_IDENTIFIER

Kolom:

• Source
• Keparahan
• Kategori
• Keyakinan
• Domain Terkait

Pengayaan entity

Tindakan Enrich IP mendukung logika pengayaan entity berikut:

Kolom pengayaan	Logika (kapan harus diterapkan)
severity	Jika tersedia dalam JSON
average_confidence	Jika tersedia dalam JSON
related_domains	Jika tersedia dalam JSON
categories	Jika tersedia dalam JSON
sources	Jika tersedia dalam JSON
first_seen	Jika tersedia dalam JSON
last_seen	Jika tersedia dalam JSON
report_link	Jika tersedia dalam JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Enrich IP dengan Backstory API:

{
            {
                "sources": [
                    {
                        "source": "Example List",
                        "confidenceScore": {
                            "normalizedConfidenceScore": "Low",
                            "intRawConfidenceScore": 0
                        },
                        "rawSeverity": "High",
                        "category": "Malware Command and Control Server"
                    }
                ],
                "iocIngestTime": "2021-01-26T17:00:00Z",
                "firstSeenTime": "2018-10-03T00:03:53Z",
                "lastSeenTime": "2022-02-09T10:52:21.229Z",
                "uri": [
                    "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                ]
            }
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Enrich IP dengan Chronicle API:

[
  {
    "Entity": "192.0.2.121",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "low",
          "confidenceScore": {
            "strRawConfidenceScore": "67"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "67",
              "rawSeverity": "Low"
            }
          ]
        }
      ]
    }
  }
]

Pesan output

Tindakan Enrich IP memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following IPs from Google Chronicle: LIST_OF_IPS	Tindakan berhasil.
Error executing action "Enrich IP". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Enrich IP:

Nama hasil skrip	Nilai
is_success	true atau false

Menjalankan Retrohunt

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Execute Retrohunt untuk menjalankan retrohunt aturan di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Execute Retrohunt memerlukan parameter berikut:

Parameter	Deskripsi
Rule ID	Wajib. ID aturan untuk menjalankan retrohunt. Gunakan format ru_{UUID} untuk versi terbaru aturan, atau ru_{UUID}@v_{int64}_{int64} untuk versi tertentu.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Custom dipilih, parameter Start Time diperlukan. Nilai defaultnya adalah Last Hour.
Start Time	Waktu mulai untuk hasil dalam format ISO 8601. Parameter ini wajib diisi jika parameter Time Frame ditetapkan ke Custom.
End Time	Waktu berakhir untuk hasil dalam format ISO 8601. Jika Anda tidak menetapkan nilai dan memilih nilai Custom untuk parameter Time Frame, waktu saat ini akan digunakan.

Output tindakan

Tindakan Execute Retrohunt memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute Retrohunt dengan Backstory API:

{
  "retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
  "ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
  "versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
  "eventStartTime": "2021-01-14T23:00:00Z",
  "eventEndTime": "2021-01-30T23:00:00Z",
  "retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
  "state": "RUNNING"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute Retrohunt dengan Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/RetrohuntMetadata",
    "retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
    "executionInterval": {
      "startTime": "2025-01-22T12:16:20.963182Z",
      "endTime": "2025-01-23T12:16:20.963182Z"
    }
  },
  "retrohuntId": "RETROHUNT_ID",
  "ruleId": "RULE_ID",
  "versionId": "VERSION_ID",
  "eventStartTime": "2025-01-22T12:16:20.963182Z",
  "eventEndTime": "2025-01-23T12:16:20.963182Z"
}

Pesan output

Tindakan Execute Retrohunt memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed a retrohunt for the provided rule in Google Chronicle.	Tindakan berhasil.
Error executing action "Execute Retrohunt". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute Retrohunt:

Nama hasil skrip	Nilai
is_success	true atau false

Menjalankan Kueri UDM

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Execute UDM Query untuk menjalankan kueri UDM kustom di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Untuk mengetahui informasi tentang batas kapasitas, lihat Batas kapasitas penelusuran UDM.

Input tindakan

Tindakan Execute UDM Query memerlukan parameter berikut:

Parameter	Deskripsi
Query	Wajib. Kueri yang akan dijalankan di Google SecOps. Catatan: Parameter ini melakukan pemeriksaan sensitivitas huruf besar/kecil secara eksplisit pada kueri UDM (tidak seperti di penelusuran UDM). Untuk mengabaikan pemeriksaan ini, tambahkan nocase ke parameter value Kueri UDM.
Include Raw Log Data	Opsional. Jika dipilih, tindakan ini akan mengambil file log mentah asli yang terkait dengan hasil penelusuran UDM. Opsi ini hanya tersedia saat menggunakan autentikasi Chronicle API. Dinonaktifkan secara default.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Custom dipilih, parameter Start Time diperlukan. Nilai defaultnya adalah Last Hour.
Start Time	Opsional. Waktu mulai untuk hasil dalam format ISO 8601 (misalnya, YYYY-MM-DD HH:mm:ss.SSSZ). Parameter ini wajib diisi jika parameter Time Frame ditetapkan ke Custom. Rentang waktu maksimum adalah 90 hari.
End Time	Opsional. Waktu berakhir untuk hasil dalam format ISO 8601 (misalnya, YYYY-MM-DD HH:mm:ss.SSSZ). Jika Anda tidak menetapkan nilai dan parameter Time Frame ditetapkan ke Custom, waktu saat ini akan digunakan. Rentang waktu maksimum adalah 90 hari.
Max Results To Return	Opsional. Jumlah hasil yang akan ditampilkan untuk satu kueri. Nilai maksimumnya adalah 10,000. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Execute UDM Query memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute UDM Query:

{
    "events": [
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:43:47.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "I did not create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:38:44.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "Did you create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "avg_seconds": {
                "values": [
                    {
                        "doubleVal": 1755680893.3333333
                    }
                ]
            },
            "event_type_array": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            },
            "target.file.vhash": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            }
        }
    ]
}

Pesan output

Tindakan Execute UDM Query memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	Tindakan berhasil.
Error executing action "Execute UDM Query". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Execute UDM Query". Reason: you've reached a rate limit. Please wait for several minutes and try again.	Tindakan gagal. Tunggu beberapa menit sebelum menjalankan tindakan lagi.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute UDM Query:

Nama hasil skrip	Nilai
is_success	true atau false

Menjalankan Kueri UDM Secara Asinkron

Penting: Kueri gabungan hanya didukung melalui konfigurasi Chronicle API pada integrasi.

Gunakan tindakan Execute UDM Query Async untuk menjalankan kueri UDM kustom di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini bersifat asinkron. Sesuaikan nilai waktu tunggu skrip di lingkungan pengembangan terintegrasi (IDE) Google SecOps untuk tindakan sesuai kebutuhan.

Untuk mengetahui informasi tentang batas kapasitas, lihat Batas kapasitas penelusuran UDM.

Input tindakan

Tindakan Execute UDM Query memerlukan parameter berikut:

Parameter	Deskripsi
Query	Wajib. Kueri yang akan dijalankan di Google SecOps. Catatan: Parameter ini melakukan pemeriksaan sensitivitas huruf besar/kecil secara eksplisit pada kueri UDM (tidak seperti di penelusuran UDM). Untuk mengabaikan pemeriksaan ini, tambahkan nocase ke parameter value Kueri UDM.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Alert Time Till Now dipilih, tindakan akan menelusuri dari waktu mulai pemberitahuan hingga waktu saat ini. Jika 5 Minutes Around Alert Time, 30 Minutes Around Alert Time, atau 1 Hour Around Alert Time dipilih, tindakan akan menelusuri menit yang ditentukan di sekitar waktu mulai pemberitahuan. Jika Custom dipilih, parameter Start Time wajib diisi. Nilai defaultnya adalah Last Hour.
Start Time	Opsional. Waktu mulai untuk hasil dalam format ISO 8601 (YYYY-MM-DD HH:mm:ss.SSSZ). Parameter ini wajib diisi jika Time Frame ditetapkan ke Custom. Catatan: Start Time dan End Time harus berada dalam rentang waktu 90 hari satu sama lain.
End Time	Opsional. Waktu berakhir untuk hasil dalam format ISO 8601 (YYYY-MM-DD HH:mm:ss.SSSZ). Jika Anda tidak menetapkan nilai dan Time Frame ditetapkan ke Custom, waktu saat ini akan digunakan. Catatan: Start Time dan End Time harus berada dalam rentang waktu 90 hari satu sama lain.
Max Results To Return	Opsional. Jumlah hasil yang akan ditampilkan untuk satu kueri. Nilai maksimumnya adalah 1,000,000. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Execute UDM Query Async memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute UDM Query Async:

{
    "events": [
        {
            "event": {
                "metadata": {
                    "eventTimestamp": "2022-01-20T09:15:15.687Z",
                    "eventType": "USER_LOGIN",
                    "vendorName": "Microsoft",
                    "productName": "Active Directory",
                    "ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
                },
                "principal": {
                    "hostname": "workstation-01",
                    "ip": [
                        "192.168.1.50"
                    ],
                    "mac": [
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E"
                    ],
                    "location": {
                        "city": "Metropolis",
                        "state": "New York",
                        "countryOrRegion": "US"
                    },
                    "asset": {
                        "hostname": "workstation-01",
                        "ip": [
                            "192.168.1.50",
                            "192.168.1.50",
                            "192.168.1.50"
                        ],
                        "mac": [
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E"
                        ]
                    }
                },
                "target": {
                    "user": {
                        "userid": "user_alpha",
                        "userDisplayName": "User Alpha",
                        "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
                        "emailAddresses": [
                            "[e-mail]",
                            "[e-mail]"
                        ],
                        "employeeId": "1234567",
                        "productObjectId": "11111111-2222-3333-4444-555555555555",
                        "firstName": "User",
                        "lastName": "Alpha",
                        "phoneNumbers": [
                            "555-0199-0000"
                        ],
                        "title": "Executive Assistant",
                        "companyName": "Example Corp",
                        "department": [
                            "Executive - Admin"
                        ],
                        "managers": [
                            {
                                "userDisplayName": "Manager Beta",
                                "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
                                "emailAddresses": [
                                    "[e-mail]"
                                ],
                                "employeeId": "7654321",
                                "productObjectId": "66666666-7777-8888-9999-000000000000",
                                "firstName": "Manager",
                                "lastName": "Beta",
                                "phoneNumbers": [
                                    "555-0199-0001 ext 123"
                                ],
                                "title": "Chief Technology Officer",
                                "companyName": "Example Corp",
                                "department": [
                                    "Executive - Admin"
                                ]
                            }
                        ]
                    },
                    "ip": [
                        "203.0.113.10"
                    ],
                    "email": "[e-mail]",
                    "application": "Windows Sign In"
                },
                "securityResult": [
                    {
                        "summary": "Successful Login",
                        "action": [
                            "ALLOW"
                        ]
                    }
                ],
                "rawLogData": {
                    "agent_id": "00000000000000000000000000000001",
                    "aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
                    "data_domains": [
                        "Endpoint"
                    ],
                    "description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
                    "device": {
                        "agent_load_flags": "0",
                        "agent_local_time": "2025-08-07T01:42:54.415Z",
                        "agent_version": "7.27.18003.0",
                        "bios_manufacturer": "Generic Manufacturer LTD"
                    },
                    "template_instance_id": "10001",
                    "timestamp": "2025-08-19T15:08:13.742Z",
                    "user_name": "root"
                },
                "extensions": {
                    "auth": {
                        "type": "SSO"
                    }
                }
            },
            "eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
        }
    ]
}

Pesan output

Tindakan Execute UDM Query Async memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	Tindakan berhasil.
Error executing action "Execute UDM Query Async". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Execute UDM Query Async ". Reason: you've reached a rate limit. Please wait for several minutes and try again.	Tindakan gagal. Tunggu beberapa menit sebelum menjalankan tindakan lagi.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute UDM Query Async:

Nama hasil skrip	Nilai
is_success	true atau false

Membuat Kueri UDM

(Pratinjau) Gunakan tindakan Generate UDM Query untuk membuat kueri UDM yang kompleks menggunakan perintah bahasa alami di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung.

Input tindakan

Tindakan Generate UDM Query memerlukan parameter berikut:

Parameter	Deskripsi
Prompt	Wajib. Perintah yang digunakan sistem untuk membuat kueri UDM terstruktur.

Output tindakan

Tindakan Generate UDM Query memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Generate UDM Query:

{
  "query": "ip = \"10.0.0.1\""
}

Pesan output

Tindakan Generate UDM Query memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully generated a UDM query in Google SecOps.	Tindakan berhasil.
Error executing action "Generate UDM Query". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Generate UDM Query:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Tabel Data

Gunakan tindakan Get Data Tables untuk mengambil tabel data yang tersedia di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung. Untuk mengetahui persyaratan kredensial, lihat Metode autentikasi dan prioritas kredensial.

Caching tabel data

Anda dapat mengaktifkan caching untuk mengurangi permintaan berulang ke Google SecOps dan mempercepat eksekusi playbook:

• Cara kerja caching: Jika Use Cache dipilih, tindakan akan menyimpan tabel data yang diambil dalam cache bersama untuk lingkungan Google SecOps Anda. Operasi berikutnya di seluruh playbook dan tindakan Tabel Data yang didukung di lingkungan yang sama akan menggunakan kembali data yang di-cache hingga masa berlakunya habis.

• Caching tabel lengkap: Tindakan ini selalu meng-cache semua baris untuk setiap tabel yang cocok (meskipun Expanded Rows dinonaktifkan atau Max Data Table Rows To Return ditetapkan ke batas yang lebih kecil) sehingga Is Value In Data Table dan Is Value In Data Table Async dapat menggunakan kembali cache.

• Eksekusi pertama tanpa filter: Semua baris dari setiap tabel yang cocok di-cache, sehingga menjalankan tindakan tanpa Filter Value dapat memerlukan waktu lebih lama jika cache kosong atau sudah tidak berlaku.

• Dampak Cache TTL: Mengontrol durasi data yang di-cache tetap valid sebelum tindakan mengambil data baru dari Google SecOps:

  • TTL lebih lama: Mengurangi permintaan API dan mempercepat playbook, tetapi pembaruan tabel data tidak akan terlihat hingga cache berakhir.
  • TTL yang lebih singkat: Menjaga hasil tetap terbaru untuk tabel yang sering berubah, tetapi meningkatkan permintaan ke Google SecOps.

Input tindakan

Tindakan Get Data Tables memerlukan parameter berikut:

Parameter	Deskripsi
Filter Key	Opsional. Kunci yang akan digunakan untuk memfilter Opsi Name mengacu pada nama tampilan tabel data. Kemungkinan nilainya adalah sebagai berikut: Name Description
Filter Logic	Opsional. Logika filter yang akan diterapkan. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk pencocokan substring)
Filter Value	Opsional. Nilai yang akan digunakan dalam filter. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk pencocokan substring) Equal berfungsi dengan parameter Title, sedangkan Contains berfungsi dengan semua nilai dalam respons. Jika tidak ada yang diberikan, filter tidak akan diterapkan.
Expanded Rows	Opsional. Jika dipilih, respons akan menyertakan baris tabel data yang mendetail.
Max Data Tables To Return	Wajib. Jumlah tabel data yang akan ditampilkan. Nilai maksimumnya adalah 1000.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan. Hanya gunakan parameter ini jika Expanded Rows diaktifkan. Nilai maksimumnya adalah 1000.
Use Cache	Opsional. Jika dipilih, tindakan akan menggunakan hasil tabel data yang di-cache jika tersedia, bukan mengkueri Google SecOps pada setiap operasi. Untuk mengetahui detailnya, lihat Caching tabel data.
Cache TTL	Opsional. Waktu aktif cache dalam menit sebelum tindakan mengambil data baru dari Google SecOps. Untuk mengetahui detailnya, lihat Caching tabel data. Nilai minimum adalah 1. Nilai defaultnya adalah 60.

Output tindakan

Tindakan Get Data Tables memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Data Tables:

{
      "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
      "displayName": "data_table",
      "createTime": "2025-05-14T12:52:50.064133Z",
      "updateTime": "2025-05-14T13:13:48.631442Z",
      "columnInfo": [
          {
              "originalColumn": "columnName1",
              "columnType": "STRING"
          },
          {
              "columnIndex": 1,
              "originalColumn": "columnName2",
              "columnType": "STRING"
          },
          {
              "columnIndex": 2,
              "originalColumn": "columnName3",
              "columnType": "STRING"
          }
      ],
      "dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
      "approximateRowCount": "2",
      "Used cache": true,
      "rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
}

Pesan output

Tindakan Get Data Tables memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found data tables for the provided criteria in Google SecOps	Tindakan berhasil.
Error executing action "Get Data Tables". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Data Tables:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Detail Deteksi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Get Detection Details untuk mengambil informasi tentang deteksi di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Detection Details memerlukan parameter berikut:

Parameter	Deskripsi
Rule ID	Wajib. ID aturan yang terkait dengan deteksi. Gunakan format ru_{UUID} untuk versi terbaru aturan, atau ru_{UUID}@v_{int64}_{int64} untuk versi tertentu.
Detection ID	Wajib. ID deteksi yang akan diambil detailnya. Jika karakter khusus diberikan, tindakan tidak akan gagal, tetapi akan menampilkan daftar deteksi.
Include Raw Log Data	Opsional. Jika dipilih, tindakan ini akan mengambil file log mentah asli yang terkait dengan hasil penelusuran UDM. Opsi ini hanya tersedia saat menggunakan autentikasi Chronicle API. Dinonaktifkan secara default.

Output tindakan

Tindakan Get Detection Details memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Detection Details:

{
    "collectionElements": [
        {
            "label": "e",
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2023-10-04T21:18:44Z",
                            "eventType": "NETWORK_CONNECTION",
                            "id": "yyyx=",
                            "ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
                            "logType": "UDM",
                            "productEventType": "Traffic - start",
                            "productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
                            "productName": "NGFW",
                            "vendorName": "Palo Alto Networks"
                        },
                        "network": {
                            "ipProtocol": "TCP",
                            "receivedBytes": "yyyyyyyyyxx",
                            "sentBytes": "yyyyyyyyyxx",
                            "sessionId": "yyyyyyyyyxx"
                        },
                        "principal": {
                            "asset": {
                                "hostname": "test3",
                                "ip": [
                                    "00.0.0.00"
                                ],
                                "mac": [
                                    "00:00:00:0b:c9:11"
                                ]
                            },
                            "hostname": "test3",
                            "ip": [
                                "x.x.0.x"
                            ],
                            "mac": [
                                "00:00:00:0b:c9:11"
                            ],
                            "port": 18985
                        },
                        "rawLogData": {
                            "action": "yyyyyy",
                            "decodedString": "yyyyyy",
                            "external_id": "yyyyyy",
                            "matching_status": "yyyyyy",
                            "severity": "yyyyyy",
                            "source": "yyyyyy"
                        },
                        "securityResult": [
                            {
                                "action": [
                                    "ALLOW"
                                ]
                            }
                        ],
                        "target": {
                            "asset": {
                                "hostname": "youtube.com"
                            },
                            "hostname": "youtube.com",
                            "port": 4548
                        }
                    }
                }
            ]
        }
    ],
    "createdTime": "2023-10-04T22:16:22.145254Z",
    "detection": [
        {
            "alertState": "ALERTING",
            "riskScore": 40,
            "ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
            "ruleLabels": [
                {
                    "key": "priority",
                    "value": "Medium"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ],
            "ruleName": "dns_not_google",
            "ruleType": "SINGLE_EVENT",
            "ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
            "urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
        }
    ],
    "detectionTime": "2023-10-04T21:18:44Z",
    "id": "yyyx-e380-yyyx-yyyx-yyyx",
    "timeWindow": {
        "endTime": "2023-10-04T21:18:44Z",
        "startTime": "2023-10-04T21:18:44Z"
    },
    "type": "RULE_DETECTION"
}

Pesan output

Tindakan Get Detection Details memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully fetched information about the detection with ID DETECTION_ID in Google Chronicle.	Tindakan berhasil.
Error executing action "Get Detection Details". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Detection Details:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Get Reference Lists untuk mengambil daftar referensi yang tersedia di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Get Reference Lists memerlukan parameter berikut:

Parameter	Deskripsi
Filter Key	Kunci yang digunakan untuk memfilter. Kemungkinan nilainya adalah sebagai berikut: Name Content Type Description
Filter Logic	Logika filter yang akan diterapkan. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk pencocokan substring) Nilai defaultnya adalah Equal.
Filter Value	Nilai yang akan digunakan dalam filter. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk pencocokan substring) Equal berfungsi dengan parameter Title, sementara Contains berfungsi dengan semua nilai dalam respons. Jika tidak ada nilai yang diberikan, filter tidak akan diterapkan.
Expanded Details	Jika dipilih, tindakan akan menampilkan informasi mendetail tentang daftar referensi. Tidak diaktifkan secara default.
Max Reference Lists To Return	Jumlah daftar referensi yang akan ditampilkan. Nilai defaultnya adalah 100.

Output tindakan

Tindakan Get Reference List memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Case Wall, Get Reference Lists menyediakan tabel berikut:

Nama: Available Reference Lists

Kolom:

• Nama
• Deskripsi
• Jenis

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Reference Lists dengan Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Reference Lists dengan Chronicle API:

[
  {
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
    "displayName": "REFERENCE_LIST_ID",
    "revisionCreateTime": "2025-01-09T15:53:10.851775Z",
    "description": "Test reference list",
    "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
    "scopeInfo": {
      "referenceListScope": {}
    },
    "createTime": "2025-01-09T15:53:10.851775Z"
  }
]

Pesan output

Tindakan Get Reference Lists memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found reference lists for the provided criteria in Google Chronicle. The filter was not applied because parameter "Filter Value" has an empty value.	Tindakan berhasil.
Error executing action ACTION_NAME. Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action ACTION_NAME. Reason: "Invalid value was provided for "Max Reference Lists to Return": PROVIIDED_VALUE. Positive number should be provided.	Tindakan gagal. Periksa nilai untuk parameter Max Reference Lists to Return.

Skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Reference Lists:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Detail Aturan

Gunakan tindakan Get Rule Details untuk mengambil informasi tentang aturan di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Informasi terkait aturan pilihan hanya dapat diambil menggunakan Chronicle API dan mungkin memerlukan izin khusus.

Input tindakan

Tindakan Get Rule Details memerlukan parameter berikut:

Parameter	Deskripsi
Rule ID	Wajib. ID unik aturan yang detailnya akan diambil. Nilai defaultnya adalah [Alert.rule_id].

Output tindakan

Tindakan Get Rule Details memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Rule Details dengan Backstory API:

{
    "ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
    "versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
    "ruleName": "SampleRule",
    "metadata": {
      "description": "Sample Description of the Rule",
      "author": "[e-mail]"
    },
    "ruleText": "rule SampleRule {
        meta:
          description = \"Sample Description of the Rule\"
          author = \"[e-mail]\"
        events:
          // This will just generate lots of detections
          $event.metadata.event_type = \"NETWORK_HTTP\"
        condition:
          $event
        } ",
    "liveRuleEnabled": true,
    "versionCreateTime": "2020-10-13T23:18:13.146879Z",
    "compilationState": "SUCCEEDED"
  }

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Rule Details dengan Chronicle API:

{
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
    "revisionId": "v_1733917896_973567000",
    "displayName": "Test_rule_SingleEvent",
    "text": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "author": "example_user",
    "metadata": {
        "author": "example_user",
        "description": "windowed single event example rule",
        "severity": null
    },
    "createTime": "2024-12-11T11:36:18.192127Z",
    "revisionCreateTime": "2024-12-11T11:51:36.973567Z",
    "compilationState": "SUCCEEDED",
    "type": "SINGLE_EVENT",
    "allowedRunFrequencies": [
        "LIVE",
        "HOURLY",
        "DAILY"
    ],
    "etag": "CMj55boGEJjondAD",
    "ruleId": "RULE_ID",
    "versionId": "RULE_ID@v_1733917896_973567000",
    "ruleName": "Test_rule_SingleEvent",
    "ruleText": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "ruleType": "SINGLE_EVENT",
    "versionCreateTime": "2024-12-11T11:51:36.973567Z"
}

Pesan output

Tindakan Get Rule Details memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully fetched information about the rule with ID RULE_ID in Google Chronicle.	Tindakan berhasil.
Error executing action "Get Rule Details". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Rule Details:

Nama hasil skrip	Nilai
is_success	true atau false

Is CIDR In Data Table

Gunakan Is CIDR In Data Table untuk memeriksa apakah nilai CIDR tertentu ditemukan dalam tabel data tertentu di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung. Untuk mengetahui persyaratan kredensial, lihat Metode autentikasi dan prioritas kredensial.

Input tindakan

Tindakan Is CIDR In Data Table memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan ditelusuri.
Column	Opsional. Daftar kolom yang dipisahkan koma untuk ditelusuri dalam tabel data. Jika Anda tidak memberikan nilai, tindakan akan menelusuri semua kolom.
CIDR	Wajib. Daftar nilai CIDR yang dipisahkan koma untuk ditelusuri dalam tabel data.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan untuk setiap nilai yang cocok. Nilai maksimumnya adalah 1000. Nilai defaultnya adalah 1000.

Output tindakan

Tindakan Is CIDR In Data Table memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is CIDR In Data Table:

[{
   "Entity": "asda",
   "EntityResult": {
       "is_found": true,
       "matched_rows": [
           {
               "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
               "values": {
                   "columnName1": "asda",
                   "columnName2": "asdasd",
                   "columnName3": "zxczxc"
               },
               "createTime": "2025-05-14T12:52:51.908143Z",
               "updateTime": "2025-05-14T12:52:51.908143Z"
           }
       ]
   }
}]

Pesan output

Tindakan Is CIDR In Data Table memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided CIDR values in the data table DATA_TABLE_NAME in Google SecOps	Tindakan berhasil.
Error executing action "Is CIDR In Data Table". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Is CIDR In Data Table:

Nama hasil skrip	Nilai
is_success	true atau false

Is Value In Data Table

Gunakan Is Value In Data Table untuk memeriksa apakah nilai yang diberikan ada dalam tabel data di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung. Untuk mengetahui persyaratan kredensial, lihat Metode autentikasi dan prioritas kredensial.

Caching tabel data

Anda dapat mengaktifkan caching untuk mengurangi permintaan berulang ke Google SecOps dan mempercepat eksekusi playbook:

• Cara kerja caching: Jika Use Cache dipilih, tindakan akan menyimpan tabel data yang diambil dalam cache bersama untuk lingkungan Google SecOps Anda. Operasi berikutnya di seluruh playbook dan tindakan Tabel Data yang didukung di lingkungan yang sama akan menggunakan kembali data yang di-cache hingga masa berlakunya habis.

• Caching tabel lengkap: Saat cache kosong atau habis masa berlakunya, tindakan akan mengambil dan meng-cache seluruh tabel data, bukan hanya baris yang cocok dengan Values. Penelusuran berikutnya untuk nilai yang berbeda dalam tabel yang sama kemudian dapat menggunakan kembali cache tanpa membuat kueri Google SecOps.

• Batas baris output: Max Data Table Rows To Return membatasi baris yang cocok yang ditampilkan dalam output tindakan untuk setiap nilai, bukan baris yang disimpan dalam cache.

• Dampak Cache TTL: Mengontrol durasi data yang di-cache tetap valid sebelum tindakan mengambil data baru dari Google SecOps:

  • TTL lebih lama: Mengurangi permintaan API dan mempercepat playbook, tetapi pembaruan tabel data tidak akan terlihat hingga cache berakhir.
  • TTL yang lebih singkat: Menjaga hasil tetap terbaru untuk tabel yang sering berubah, tetapi meningkatkan permintaan ke Google SecOps.

Input tindakan

Tindakan Is Value In Data Table memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan ditelusuri.
Column	Opsional. Daftar kolom yang dipisahkan koma untuk ditelusuri. Jika tidak ada nilai yang diberikan, tindakan akan menelusuri semua kolom.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditelusuri.
Case Insensitive Search	Opsional. Jika dipilih, penelusuran tidak peka huruf besar/kecil. Diaktifkan secara default.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan per nilai yang cocok. Nilai maksimumnya adalah 1000.
Use Cache	Opsional. Jika dipilih, tindakan akan menggunakan hasil tabel data yang di-cache jika tersedia, bukan mengkueri Google SecOps pada setiap operasi. Untuk mengetahui detailnya, lihat Caching tabel data.
Cache TTL	Opsional. Waktu aktif cache dalam menit sebelum tindakan mengambil data baru dari Google SecOps. Untuk mengetahui detailnya, lihat Caching tabel data. Nilai minimum adalah 1. Nilai defaultnya adalah 60.

Output tindakan

Tindakan Is Value In Data Table memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Data Table:

[{
  "Entity": "asda",
  "EntityResult": {
      "is_found": true,
      "Used cache": true,
      "matched_rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
  }
}]

Pesan output

Tindakan Is Value In Data Table memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided values in the data table DATA_TABLE_NAME in Google SecOps.	Tindakan berhasil.
Terjadi error saat menjalankan tindakan "Is Value In Data Table". Alasan: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Is Value In Data Table". Reason: the following data tables were not found in: DATA_TABLE_NAME: COLUMN_NAMES. Please check the spelling.	Tindakan gagal.
Error executing action "Is Value In Data Table". Reason: This action isn't supported for Backstory API configuration. Please update the integration configuration.	Tindakan gagal.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Is Value In Data Table:

Nama hasil skrip	Nilai
is_success	true atau false

Is Value In Data Table Async

Gunakan tindakan Is Value In Data Table Async untuk memeriksa apakah nilai yang diberikan ditemukan dalam tabel data di Google SecOps secara asinkron menggunakan operasi penelusuran yang berjalan lama.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Ini adalah tindakan asinkron. Sesuaikan nilai waktu tunggu skrip di Google SecOps IDE untuk tindakan sesuai kebutuhan.

Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung. Untuk mengetahui persyaratan kredensial, lihat Metode autentikasi dan prioritas kredensial.

Caching tabel data

Anda dapat mengaktifkan caching untuk mengurangi permintaan berulang ke Google SecOps dan mempercepat eksekusi playbook:

• Cara kerja caching: Jika Use Cache dipilih, tindakan akan menyimpan tabel data yang diambil dalam cache bersama untuk lingkungan Google SecOps Anda. Operasi berikutnya di seluruh playbook dan tindakan Tabel Data yang didukung di lingkungan yang sama akan menggunakan kembali data yang di-cache hingga masa berlakunya habis.

• Penyelesaian langsung saat di-cache: Jika cache yang valid ada untuk tabel data, tindakan akan menelusuri cache dan langsung selesai tanpa memulai penelusuran asinkron di Google SecOps.

• Tabel dengan lebih dari 1.000.000 baris: Jika tabel data melebihi 1.000.000 baris, tindakan ini akan tetap menampilkan hasil penelusuran, tetapi melewati penyimpanan tabel dalam cache untuk menghindari penyimpanan salinan yang tidak lengkap.

• Dampak Cache TTL: Mengontrol durasi data yang di-cache tetap valid sebelum tindakan mengambil data baru dari Google SecOps:

  • TTL lebih lama: Mengurangi permintaan API dan mempercepat playbook, tetapi pembaruan tabel data tidak akan terlihat hingga cache berakhir.
  • TTL yang lebih singkat: Menjaga hasil tetap terbaru untuk tabel yang sering berubah, tetapi meningkatkan permintaan ke Google SecOps.

Input tindakan

Tindakan Is Value In Data Table Async memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan ditelusuri.
Column	Opsional. Daftar kolom yang dipisahkan koma untuk ditelusuri dalam tabel data. Jika tidak ada nilai yang diberikan, tindakan akan menelusuri semua kolom.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditelusuri di dalam tabel data.
Case Insensitive Search	Opsional. Jika dipilih, penelusuran tidak peka huruf besar/kecil. Diaktifkan secara default.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan untuk setiap nilai yang cocok. Nilai maksimumnya adalah 1000. Nilai defaultnya adalah 1000.
Use Cache	Opsional. Jika dipilih, tindakan akan menggunakan hasil tabel data yang di-cache jika tersedia, bukan mengkueri Google SecOps pada setiap operasi. Untuk mengetahui detailnya, lihat Caching tabel data.
Cache TTL	Opsional. Waktu aktif cache dalam menit sebelum tindakan mengambil data baru dari Google SecOps. Untuk mengetahui detailnya, lihat Caching tabel data. Nilai minimum adalah 1. Nilai defaultnya adalah 60.

Output tindakan

Tindakan Is Value In Data Table Async memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Data Table Async:

[
  {
    "Entity": "example_value",
    "EntityResult": {
      "is_found": true,
      "Used cache": true,
      "matched_rows": [
        {
          "createTime": "",
          "name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
          "updateTime": "",
          "values": {
            "columnName1": "example_value",
            "columnName2": "sample_data"
          }
        }
      ]
    }
  }
]

Pesan output

Tindakan Is Value In Data Table Async memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided values in the data table DATA_TABLE_NAME. No provided values were found in the data table DATA_TABLE_NAME.	Tindakan berhasil.
Error executing action "Is Value In Data Table Async". Reason: ERROR_REASON.	Tindakan gagal.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Is Value In Data Table Async:

Nama hasil skrip	Nilai
is_success	true atau false

Apakah Nilai Ada dalam Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Is Value In Reference List untuk memeriksa apakah nilai yang diberikan ditemukan dalam daftar referensi di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Is Value In Reference List memerlukan parameter berikut:

Parameter	Deskripsi
Reference List Names	Wajib. Daftar nama daftar referensi yang dipisahkan koma untuk ditelusuri.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditelusuri.
Case Insensitive Search	Opsional. Jika dipilih, penelusuran tidak peka huruf besar/kecil.

Output tindakan

Tindakan Is Value In Reference List memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Reference List dengan Backstory API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Reference List dengan Chronicle API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

Pesan output

Tindakan Is Value In Reference List memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided values in the reference lists in Google Chronicle.	Tindakan berhasil.
Terjadi error saat menjalankan tindakan "Is Value In Reference List". Alasan: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Is Value In Reference List". Reason: the following reference lists were not found in Google Chronicle: MISSING_REFERENCE_LIST_NAME(S). Please use the action "Get Reference Lists" to see what reference lists are available.	Tindakan gagal. Jalankan tindakan Get Reference Lists untuk memeriksa daftar yang tersedia.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Is Value In Reference List:

Nama hasil skrip	Nilai
is_success	true atau false

Membuat Daftar Aset

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan List Assets untuk mencantumkan aset di Google SecOps berdasarkan entitas terkait dalam jangka waktu yang ditentukan.

Tindakan ini hanya mendukung hash MD5, SHA-1, dan SHA-256.

Tindakan ini berjalan di entity Google SecOps berikut:

• URL
• IP Address
• Hash

Input tindakan

Tindakan List Assets memerlukan parameter berikut:

Parameter	Deskripsi
Max Hours Backwards	Jumlah jam sebelum waktu saat ini untuk mengambil aset. Nilai defaultnya adalah 1.
Create Insight	Jika dipilih, tindakan ini akan membuat insight dengan informasi tentang entity. Diaktifkan secara default.
Max Assets To Return	Jumlah aset yang akan ditampilkan. Nilai defaultnya adalah 50.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Custom dipilih, parameter Start Time diperlukan. Nilai defaultnya adalah Last Hour.
Start Time	Waktu mulai dalam format ISO 8601. Parameter ini wajib ada jika parameter Time Frame ditetapkan ke Custom.
End Time	Waktu berakhir dalam format ISO 8601. Jika Anda tidak menetapkan nilai dan menetapkan parameter Time Frame ke Custom, waktu saat ini akan digunakan.

Output tindakan

Tindakan List Assets memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Nama: ENTITY_IDENTIFIER

Kolom:

• Hostname
• Alamat IP
• Artefak yang Pertama Kali Terlihat
• Artefak Terakhir Terlihat

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Assets dengan Backstory API:

{
    "assets": [
      {
        "asset": {
          "hostname": "example"
        },
        "firstSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-02-28T09:18:15.675Z"
        },
        "lastSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-09-24T06:43:59Z"
        }
      }
    ],
    "uri": [
      "https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
    ]
  }

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Assets dengan Chronicle API:

[
  {
    "Entity": "192.0.2.229",
    "EntityResult": {
      "assets": [
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Open Source Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Open Source Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "OPEN_SOURCE_INTEL_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "ex  ",
            "valueType": "DOMAIN_NAME"
          }
        },
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Active Breach Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Active Breach Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "MANDIANT_ACTIVE_BREACH_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "example.com",
            "valueType": "DOMAIN_NAME"
          }
        }
      ],
      "uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
    }
  }
]

Pesan output

Tindakan List Assets memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully listed related assets for the following entities from Google Chronicle: ENTITY_IDENTIFIER	Tindakan berhasil.
Error executing action "List Assets". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Assets:

Nama hasil skrip	Nilai
is_success	true atau false

Menampilkan Daftar Acara

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan List Events untuk mencantumkan peristiwa pada aset tertentu dalam jangka waktu yang ditentukan.

Tindakan ini hanya dapat mengambil 10.000 peristiwa.

Tindakan ini berjalan di entity Google SecOps berikut:

• IP address
• MAC address
• Hostname

Input tindakan

Tindakan List Events memerlukan parameter berikut:

Parameter	Deskripsi
Event Types	Comma separated list berisi jenis peristiwa. Jika tidak ada nilai yang diberikan, semua jenis peristiwa akan diambil. Untuk mengetahui daftar semua nilai yang memungkinkan, lihat Nilai yang memungkinkan untuk jenis peristiwa.
Time Frame	Jangka waktu yang ditentukan. Sebaiknya buat sekecil mungkin untuk mendapatkan hasil yang lebih baik. Jika Custom dipilih, parameter Start Time wajib diisi. Jika Max Hours Backwards dipilih, opsi ini akan memberikan filter waktu dan memastikan kompatibilitas mundur. Kemungkinan nilainya adalah sebagai berikut: Max Hours Backwards Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Nilai defaultnya adalah Custom.
Start Time	Waktu mulai dalam format ISO 8601. Parameter ini wajib diisi jika parameter Time Frame ditetapkan ke Custom.
End Time	Waktu berakhir dalam format ISO 8601. Jika tidak ada nilai yang diberikan dan parameter Time Frame ditetapkan ke Custom, waktu saat ini akan digunakan. Parameter ini menerima nilai now.
Reference Time	Waktu referensi untuk penelusuran peristiwa. Jika tidak ada nilai yang diberikan, tindakan akan menggunakan waktu berakhir sebagai referensi.
Output	Wajib. Format output. Kemungkinan nilainya adalah sebagai berikut: Events + Statistics Only Events Only Statistics
Max Events To Return	Jumlah peristiwa yang akan diproses untuk setiap jenis entity. Nilai defaultnya adalah 100.

Nilai yang mungkin untuk jenis peristiwa

Kemungkinan nilai untuk parameter Event Type adalah sebagai berikut:

• EVENTTYPE_UNSPECIFIED
• PROCESS_UNCATEGORIZED
• PROCESS_LAUNCH
• PROCESS_INJECTION
• PROCESS_PRIVILEGE_ESCALATION
• PROCESS_TERMINATION
• PROCESS_OPEN
• PROCESS_MODULE_LOAD
• REGISTRY_UNCATEGORIZED
• REGISTRY_CREATION
• REGISTRY_MODIFICATION
• REGISTRY_DELETION
• SETTING_UNCATEGORIZED
• SETTING_CREATION
• SETTING_MODIFICATION
• SETTING_DELETION
• MUTEX_UNCATEGORIZED
• MUTEX_CREATION
• FILE_UNCATEGORIZED
• FILE_CREATION
• FILE_DELETION
• FILE_MODIFICATION
• FILE_READ
• FILE_COPY
• FILE_OPEN
• FILE_MOVE
• FILE_SYNC
• USER_UNCATEGORIZED
• USER_LOGIN
• USER_LOGOUT
• USER_CREATION
• USER_CHANGE_PASSWORD
• USER_CHANGE_PERMISSIONS
• USER_STATS
• USER_BADGE_IN
• USER_DELETION
• USER_RESOURCE_CREATION
• USER_RESOURCE_UPDATE_CONTENT
• USER_RESOURCE_UPDATE_PERMISSIONS
• USER_COMMUNICATION
• USER_RESOURCE_ACCESS
• USER_RESOURCE_DELETION
• GROUP_UNCATEGORIZED
• GROUP_CREATION
• GROUP_DELETION
• GROUP_MODIFICATION
• EMAIL_UNCATEGORIZED
• EMAIL_TRANSACTION
• EMAIL_URL_CLICK
• NETWORK_UNCATEGORIZED
• NETWORK_FLOW
• NETWORK_CONNECTION
• NETWORK_FTP
• NETWORK_DHCP
• NETWORK_DNS
• NETWORK_HTTP
• NETWORK_SMTP
• STATUS_UNCATEGORIZED
• STATUS_HEARTBEAT
• STATUS_STARTUP
• STATUS_SHUTDOWN
• STATUS_UPDATE
• SCAN_UNCATEGORIZED
• SCAN_FILE
• SCAN_PROCESS_BEHAVIORS
• SCAN_PROCESS
• SCAN_HOST
• SCAN_VULN_HOST
• SCAN_VULN_NETWORK
• SCAN_NETWORK
• SCHEDULED_TASK_UNCATEGORIZED
• SCHEDULED_TASK_CREATION
• SCHEDULED_TASK_DELETION
• SCHEDULED_TASK_ENABLE
• SCHEDULED_TASK_DISABLE
• SCHEDULED_TASK_MODIFICATION
• SYSTEM_AUDIT_LOG_UNCATEGORIZED
• SYSTEM_AUDIT_LOG_WIPE
• SERVICE_UNSPECIFIED
• SERVICE_CREATION
• SERVICE_DELETION
• SERVICE_START
• SERVICE_STOP
• SERVICE_MODIFICATION
• GENERIC_EVENT
• RESOURCE_CREATION
• RESOURCE_DELETION
• RESOURCE_PERMISSIONS_CHANGE
• RESOURCE_READ
• RESOURCE_WRITTEN
• ANALYST_UPDATE_VERDICT
• ANALYST_UPDATE_REPUTATION
• ANALYST_UPDATE_SEVERITY_SCORE
• ANALYST_UPDATE_STATUS
• ANALYST_ADD_COMMENT

Output tindakan

Tindakan List Events memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Events:

{
    "statistics": {
"NETWORK_CONNECTION": 10
}
{
    "events": [
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T14:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      },
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T17:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      }
    ],
    "uri": [
      "https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
    ]
  }
}

Pesan output

Tindakan List Events memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully listed related events for the following entities from Google Chronicle: ENTITY_IDENTIFIER	Tindakan berhasil.
Error executing action "List Events". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "List Events". Reason: invalid event type is provided. Please check the spelling. Supported event types: SUPPORTED_EVENT_TYPES	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Events:

Nama hasil skrip	Nilai
is_success	true atau false

Mencantumkan IOC

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan List IOCs untuk mencantumkan semua IoC yang ditemukan di perusahaan Anda dalam rentang waktu yang ditentukan.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan List IOCs memerlukan parameter berikut:

Parameter	Deskripsi
Start Time	Waktu mulai untuk hasil dalam format ISO 8601.
Max IoCs to Fetch	Jumlah maksimum IoC yang akan ditampilkan. Rentangnya adalah 1 - 10,000. Nilai defaultnya adalah 50.

Output tindakan

Tindakan List IOCs memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Kolom:

• Domain
• Kategori
• Source
• Keyakinan
• Keparahan
• Waktu Penyerapan IoC
• Waktu IoC Pertama Kali Terlihat
• Waktu Terakhir IoC Terlihat
• URI

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List IOCs:

{
   "matches":[
      {
         "artifact":{
            "domainName":"www.example.com"
         },
         "firstSeenTime":"2018-05-25T20:47:11.048998Z",
         "iocIngestTime":"2019-08-14T21:00:00Z",
         "lastSeenTime":"2019-10-24T16:19:46.880830Z",
         "sources":[
            {
               "category":"Spyware Reporting Server",
               "confidenceScore":{
                  "intRawConfidenceScore":0,
                  "normalizedConfidenceScore":"Low"
               },
               "rawSeverity":"Medium",
               "source":"Example List"
            }
         ],
         "uri":["URI"]
      }
   ],
   "moreDataAvailable":true
}

Pesan output

Tindakan List IOCs memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully listed IOCs from the provided timeframe in Google Chronicle.	Tindakan berhasil.
Error executing action "List IOCs". Reason: ERROR_REASON.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List IOCs:

Nama hasil skrip	Nilai
is_success	true atau false

Mencari Notifikasi Serupa

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Lookup Similar Alerts untuk menelusuri pemberitahuan serupa di Google SecOps.

Penting: Tindakan ini hanya berfungsi dengan pemberitahuan Google SecOps yang diterima dari Chronicle Alerts Connector.

Input tindakan

Tindakan Lookup Similar Alerts memerlukan parameter berikut:

Parameter	Deskripsi
Time Frame	Jangka waktu untuk hasil. Untuk mendapatkan hasil terbaik, buat jangka waktu sesingkat mungkin. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now: Menelusuri peristiwa dari waktu mulai pemberitahuan hingga End Time. 5 Minutes Around Alert Time: Menelusuri peristiwa 5 menit sebelum dan setelah waktu pembuatan pemberitahuan. 30 Minutes Around Alert Time: Menelusuri peristiwa 30 menit sebelum dan setelah waktu pembuatan pemberitahuan. 1 Hour Around Alert Time : Menelusuri peristiwa 1 jam sebelum dan setelah waktu pembuatan notifikasi.
IOCs / Assets	Wajib. Daftar IoC atau aset yang dipisahkan koma untuk ditemukan dalam pemberitahuan. Tindakan ini melakukan penelusuran terpisah untuk setiap item yang diberikan.
Similarity By	Atribut yang akan digunakan untuk menemukan pemberitahuan serupa. Kemungkinan nilainya adalah sebagai berikut: Alert Name, Alert Type and Product Alert Name and Alert Type Product Only IOCs/Assets Untuk mengetahui informasi selengkapnya tentang perilaku parameter ini. Nilai defaultnya adalah Alert Name, Alert Type and Product.

Cara kerja parameter Similarity By

Parameter Similarity By berlaku secara berbeda untuk pemberitahuan Aturan dan pemberitahuan Eksternal.

• Jika Alert Name, Alert Type and Product atau Alert Name, Alert Type dipilih:

  • Untuk Pemberitahuan eksternal, tindakan ini akan menelusuri Pemberitahuan eksternal lain yang memiliki nama yang sama.

  • Untuk pemberitahuan Aturan, tindakan ini memproses pemberitahuan yang berasal dari aturan yang sama.

• Jika Product dipilih:

  • Tindakan ini memproses notifikasi yang berasal dari produk yang sama, terlepas dari apakah notifikasi tersebut adalah notifikasi Aturan atau notifikasi Eksternal.

  Misalnya, pemberitahuan yang berasal dari Crowdstrike hanya akan dicocokkan dengan pemberitahuan lain dari Crowdstrike.

• Jika Only IOCs/Assets dipilih:

  • Tindakan ini mencocokkan pemberitahuan berdasarkan IOC yang disediakan dalam parameter IOCs/Assets. Pusat pemberitahuan menelusuri indikator ini di Notifikasi aturan dan Notifikasi eksternal.

  • Notifikasi IOC hanya dapat menjalankan tindakan ini jika opsi ini dipilih. Jika opsi lain diberikan, tindakan akan ditetapkan secara default ke Only IOCs/Assets.

Tindakan Cari Pemberitahuan Serupa adalah alat serbaguna untuk menganalisis pemberitahuan. Hal ini memungkinkan analis menghubungkan pemberitahuan dari jangka waktu yang sama dan mengekstrak IOC yang relevan untuk menentukan apakah suatu insiden adalah positif sejati.

Output tindakan

Tindakan Lookup Similar Alerts memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Link repositori kasus

Tindakan Cari Pemberitahuan Serupa dapat menampilkan link berikut:

• CBN: GENERATED_LINK_BASED_ON_IU_ROOT_URL
• Aturan: GENERATED_LINK_BASED_ON_IU_ROOT_URL

Tabel repositori kasus

Nama tabel: IOC/ASSET_IDENTIFIER

Kolom tabel:

• Produk
• Nama host
• IP
• Pengguna
• Alamat Email
• Subjek
• URL
• Hash
• Proses
• Pertama Terlihat
• Terakhir Terlihat
• Nama Pemberitahuan
• Umum

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Lookup Similar Alerts:

{
    "count": 123,
    "distinct": [
        {
            "first_seen": "time of the first alert that matched our conditions",
            "last_seen": "time of the last alert that matched our conditions",
            "product_name": "product name",
            "used_ioc_asset": "what user provided in the parameter IOCs and Assets",
            "name": "Alert Name/Rule Name",
            "hostnames": "csv list of unique hostnames that were found in alerts",
            "urls": "csv list of unique urls that were found in alerts",
            "ips": "csv list of unique ips that were found in alerts",
            "subjects": "csv list of unique subjects that were found in alerts",
            "users": "csv list of unique users that were found in alerts",
            "email_addresses": "csv list of unique email_addresses that were found in alerts",
            "hashes": "csv list of unique hashes that were found in alerts",
            "processes": "csv list of unique processes that were found in alerts"
            "rule_urls": ["Chronicle URL from API response for Rule"]
            "count": 123
        }
    ],
    "processed_alerts": 10000,
    "run_time": "how long it took to run the action or at least API request",
    "EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"

}

Pesan output

Tindakan Lookup Similar Alerts memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found similar alerts from the provided timeframe in Google Chronicle. No similar alerts were found from the provided timeframe in Google Chronicle.	Tindakan berhasil.
Error executing action "Lookup Similar Alerts". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Lookup Similar Alerts". Reason: all of the retries are exhausted. Please wait for a minute and try again.	Tindakan gagal. Tunggu beberapa menit sebelum menjalankan tindakan lagi.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Lookup Similar Alerts:

Nama hasil skrip	Nilai
is_success	true atau false

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Ping memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully connected to the Google Chronicle backstory with the provided connection parameters!	Tindakan berhasil.
Failed to connect to the Google Chronicle backstory. Error is ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
is_success	true atau false

Menghapus Baris dari Tabel Data

Gunakan tindakan Remove Rows From Data Table untuk menghapus baris dari tabel data di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Catatan: Tindakan ini hanya mendukung Chronicle API. Backstory API lama tidak didukung.

Input tindakan

Tindakan Remove Rows From Data Table memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan diperbarui.
Rows	Wajib. Daftar objek JSON yang digunakan untuk menelusuri dan menghapus baris. Hanya sertakan kolom yang valid. Nilai defaultnya adalah sebagai berikut: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

Output tindakan

Tindakan Hapus Baris Dari Tabel Data memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Hapus Baris Dari Tabel Data:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          },
          "createTime": "2025-05-14T12:52:51.908143Z",
          "updateTime": "2025-05-14T12:52:51.908143Z"
}

Pesan output

Tindakan Remove Rows From Data Table memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully removed rows from the data table DATA_TABLE_NAME in Google SecOps.	Tindakan berhasil.
Error executing action "Remove Rows From Data Table". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Remove Rows From Data Table:

Nama hasil skrip	Nilai
is_success	true atau false

Menghapus Nilai dari Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah upgrade, karena format output dapat berubah.

Gunakan tindakan Remove Values From Reference List untuk menghapus nilai dari daftar referensi di Google SecOps.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Hapus Nilai Dari Daftar Referensi memerlukan parameter berikut:

Parameter	Deskripsi
Reference List Name	Wajib. Nama daftar referensi yang akan diperbarui.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk dihapus dari daftar referensi.

Output tindakan

Tindakan Hapus Nilai Dari Daftar Referensi memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Remove Values From Reference List dengan Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Remove Values From Reference List dengan Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

Pesan output

Tindakan Hapus Nilai Dari Daftar Referensi memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully removed values from the reference list.	Tindakan berhasil.
Error executing action "Remove Values From Reference List". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Remove Values From Reference List:

Nama hasil skrip	Nilai
is_success	true atau false

Konektor

Untuk mempelajari lebih lanjut cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data (konektor).

Catatan: Untuk mencegah kehilangan data, konektor menggunakan Perataan Peristiwa. Jika pemberitahuan mentah berisi daftar entitas (seperti beberapa alamat email, nama host, atau alamat IP), konektor akan otomatis meratakannya menjadi peristiwa yang terpisah dan unik.

Misalnya, satu pemberitahuan mentah yang berisi tiga alamat email berbeda diserap sebagai tiga peristiwa terpisah, yang masing-masing berisi satu alamat email yang berbeda.

Proses ini memastikan bahwa setiap entity diindeks dengan benar sebagai aset unik, sehingga dapat sepenuhnya ditelusuri dan ditindaklanjuti dalam playbook.

Google Chronicle - Chronicle Alerts Connector

Penting: Untuk memastikan fungsi yang berkelanjutan sebelum penghentian penggunaan API lama, Anda harus mengonfigurasi konektor ini secara eksplisit untuk menggunakan Chronicle API. Pastikan metode autentikasi yang diterapkan di sini sama persis dengan konfigurasi integrasi Anda.

Gunakan Google Chronicle - Chronicle Alerts Connector untuk mengambil informasi tentang pemberitahuan berbasis aturan dari Google SecOps.

Catatan: Konektor ini dapat difilter menggunakan daftar dinamis.

Ringkasan

Google Chronicle - Chronicle Alerts Connector menyerap pemberitahuan berbasis aturan dari Google SecOps.

Fitur utama dan detail operasionalnya meliputi:

• Membuat kueri data dalam jangka waktu satu minggu. Untuk mencegah peringatan terlewat akibat penundaan pengindeksan, periode padding dan peningkatan waktu tunggu konektor dapat dikonfigurasi, meskipun padding yang signifikan dapat berdampak negatif pada performa.

• Menggunakan daftar dinamis untuk konfigurasi yang fleksibel.

• Memberikan Fallback Severity untuk pemberitahuan yang tidak memiliki nilai tingkat keparahan.

  Catatan: Konektor menyerap data setelah batas Script Timeout (Seconds) tercapai atau batas Max Alerts To Fetch terpenuhi. Di lingkungan pemberitahuan bervolume rendah, nilai waktu tunggu skrip yang tinggi dapat menyebabkan penundaan karena proses tetap aktif saat menunggu data. Karena setelan yang optimal bergantung pada volume tenant dan persyaratan penyerapan spesifik Anda, Google merekomendasikan untuk menguji konfigurasi guna menyeimbangkan batas waktu tunggu dengan tingkat kedatangan pemberitahuan.

Filter daftar dinamis

Daftar dinamis digunakan untuk memfilter pemberitahuan langsung dari halaman konfigurasi konektor.

Logika operator

Daftar dinamis menggunakan kombinasi evaluasi berbasis set dan logika multibaris untuk memproses aturan filter:

• CSV (evaluasi set): Nilai pada baris yang sama, yang dipisahkan dengan koma, diperlakukan sebagai satu set. Logika yang diterapkan bergantung pada operator yang digunakan:

  • Inklusi (=): Bertindak sebagai daftar yang diizinkan.

  Menyerap pemberitahuan jika nilainya cocok dengan item apa pun dalam daftar (misalnya, Rule.severity = low,medium berarti low ATAU medium).

  • Pengecualian (!=): Berfungsi sebagai daftar yang tidak diizinkan.

  Menyerap pemberitahuan hanya jika nilainya tidak cocok dengan item apa pun dalam daftar (misalnya, Rule.ruleName != rule_a,rule_b berarti nama aturan BUKAN rule_a DAN BUKAN rule_b).

• Baris terpisah (logika DAN): Setiap baris terpisah dalam daftar dinamis akan lebih membatasi filter (misalnya, Baris 1 DAN Baris 2).

• Operator yang didukung: (=, !=, >, <, >=, <=) bervariasi bergantung pada kunci filter.

Berikut adalah contoh penggunaan aturan operator:

• Rule.severity = medium: Konektor hanya menyerap pemberitahuan aturan dengan tingkat keparahan sedang.

• Rule.severity = low,medium: Konektor hanya menyerap pemberitahuan aturan dengan tingkat keparahan sedang atau rendah.

• Rule.ruleName != rule_a,rule_b: Konektor menyerap semua pemberitahuan kecuali pemberitahuan yang nama aturannya adalah rule_a atau rule_b.

• Rule.ruleName = default_rule: Konektor hanya menyerap pemberitahuan aturan dengan nama default_rule.

Filter yang didukung

Chronicle Alerts Connector mendukung pemfilteran pada kunci berikut:

Kunci filter	Kunci respons	Operator	Nilai yang memungkinkan
Rule.severity	detection atau ruleLabels atau severity	=, !=, >, <, >=, <=	Info, Error, Low, Medium, High, Critical. Nilai ini tidak peka huruf besar/kecil.
Rule.ruleName	detection atau ruleName	=, !=	Ditentukan oleh pengguna.
Rule.ruleID	detection atau ruleId	=, !=	Ditentukan oleh pengguna.
Rule.ruleType	detection atau ruleClass	=, !=	curated, custom. Nilai ini tidak peka huruf besar/kecil.
Rule.ruleLabels.{key}	detection atau ruleLabels	=, !=	Ditentukan oleh pengguna.

Menangani ruleLabels

Untuk memfilter label tertentu dalam aturan, gunakan format Rule.ruleLabels.{key}.

Misalnya, untuk memfilter label dengan kunci type dan nilai suspicious_behaviour, input daftar dinamis harus berupa:

Rule.ruleLabels.type=suspicious_behaviour

Input konektor

Chronicle Alerts Connector memerlukan parameter berikut:

Nilai defaultnya adalah Medium.

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom yang menentukan nama peristiwa (subjenis).
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib. URL root API untuk instance Google SecOps Anda: Chronicle API: Mencakup project ID, region, dan ID instance Anda (misalnya, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Lihat Menemukan Root Chronicle API. Backstory API (lama): Endpoint Backstory regional. Nilai defaultnya adalah https://backstory.googleapis.com.
User's Service Account	Opsional. Kunci JSON akun layanan yang digunakan untuk autentikasi. Hanya digunakan jika Workload Identity Email kosong. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
Workload Identity Email	Opsional. Email akun layanan yang digunakan untuk autentikasi Workload Identity (direkomendasikan jika akun layanan diperlukan). Diprioritaskan jika kedua kolom kredensial diisi. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
Fallback Severity	Wajib. Tingkat keparahan default yang akan digunakan jika pemberitahuan dari Google SecOps tidak menyertakan nilai tingkat keparahan. Kemungkinan nilainya adalah sebagai berikut: Critical High Medium Low Info
Max Hours Backwards	Opsional. Jumlah jam sebelum eksekusi konektor awal untuk mengambil insiden. Parameter ini hanya berlaku sekali. Nilai maksimumnya adalah 168 (satu minggu). Nilai defaultnya adalah 1.
Max Alerts To Fetch	Opsional. Jumlah pemberitahuan yang akan diproses dalam setiap iterasi konektor. Nilai defaultnya adalah 100.
Disable Event Splitting	Opsional. Jika dipilih, konektor tidak akan membagi peristiwa asli menjadi beberapa bagian, sehingga jumlah peristiwa antara sumber dan Google SecOps akan sama. Tidak diaktifkan secara default.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.
Proxy Server Address	Opsional. Alamat server proxy yang akan digunakan.
Proxy Username	Opsional. Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional. Sandi proxy untuk melakukan autentikasi.
Disable Overflow	Opsional. Jika dipilih, konektor akan mengabaikan mekanisme overflow Google SecOps. Tidak diaktifkan secara default.
Validate Dynamic List Entries	Opsional. Jika diaktifkan, konektor akan memvalidasi bahwa entri dalam Daftar Dinamis ada di platform sebelum diproses untuk mencegah error penyerapan. Tidak diaktifkan secara default.

Aturan konektor

Google Chronicle - Chronicle Alerts Connector mendukung proxy.

Peristiwa konektor

Bagian berikut menjelaskan struktur peristiwa yang diambil oleh konektor. Konektor ini secara khusus mengambil pemberitahuan yang dihasilkan oleh aturan deteksi dalam Google SecOps.

Notifikasi berbasis aturan

Jenis peristiwa ini dibuat saat aturan deteksi cocok dengan data log yang masuk. Output JSON berisi metadata aturan, ID deteksi unik, dan data peristiwa UDM terkait yang memicu pemberitahuan.

 {
    "alert_type": "RULE",
    "event_type": "NETWORK_DHCP",
    "type": "RULE_DETECTION",
    "detection": [
        {
            "ruleName": "d3_test",
            "urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
            "ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
            "ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
            "alertState": "NOT_ALERTING",
            "ruleType": "SINGLE_EVENT",
            "ruleLabels": [
                {
                    "key": "author",
                    "value": "analyst123"
                },
                {
                    "key": "description",
                    "value": "8:00 AM local time"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ]
        }
    ],
    "createdTime": "2022-02-08T06:07:33.944951Z",
    "id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
    "timeWindow": {
        "startTime": "2022-02-08T05:02:36Z",
        "endTime": "2022-02-08T05:02:36Z"
    },
    "collectionElements": [
        {
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2022-02-08T05:02:36Z",
                            "eventType": "NETWORK_DHCP",
                            "productName": "Infoblox DHCP",
                            "ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
                        },
                        "principal": {
                            "ip": [
                                "198.51.100.255",
                                "198.51.100.1"
                            ],
                            "mac": [
                                "01:23:45:ab:cd:ef"
                            ],
                            "email_address": [
                                "[e-mail]"
                            ]
                        },
                        "target": {
                            "hostname": "dhcp_server",
                            "ip": [
                                "198.51.100.0",
                                "198.51.100.1"
                            ]
                        },
                        "network": {
                            "applicationProtocol": "DHCP",
                            "dhcp": {
                                "opcode": "BOOTREQUEST",
                                "ciaddr": "198.51.100.255",
                                "giaddr": "198.51.100.0",
                                "chaddr": "01:23:45:ab:cd:ef",
                                "type": "REQUEST",
                                "clientHostname": "example-user-pc",
                                "clientIdentifier": "AFm/LDfjAw=="
                            }
                        }
                    }
                }
            ],
            "label": "e"
        }
    ],
    "detectionTime": "2022-02-08T05:02:36Z"
}

Struktur pemberitahuan

Tabel berikut menjelaskan cara Google Chronicle - Chronicle Alerts Connector mengisi atribut pemberitahuan di Google SecOps.

Atribut yang dihasilkan secara internal

Atribut ini dihasilkan oleh framework platform, bukan diekstrak dari pemberitahuan sumber:

Nama Atribut Pemberitahuan	Sumber
SourceSystemName	Dibuat secara internal oleh framework.
TicketId	Diperoleh dari ID deteksi pemberitahuan (id).
DisplayId	Dibuat otomatis.

Atribut untuk semua jenis notifikasi

Atribut ini berasal dari pemberitahuan sumber.

Catatan: Beberapa atribut pemberitahuan tidak diisi oleh konektor ini karena Chronicle API tidak menyediakan kolom yang sesuai untuk data ini dalam respons pemberitahuan.

Nama Atribut Pemberitahuan	Sumber
Priority	Diambil dari respons API atau parameter Fallback Severity.
DeviceVendor	Nilai hardcode adalah Google Chronicle.
DeviceProduct	Nilai hardcode adalah RULE.
Description	Diambil dari detection/ruleLabels/description (jika ada).
Reason	Tidak tersedia.
SourceGroupingIdentifier	Tidak tersedia.
Chronicle Alert - Attachments	Tidak tersedia.

Tidak digunakan lagi: Google Chronicle - Alerts Connector

Konektor ini tidak lagi mendapatkan update atau perubahan kode.

Gunakan Chronicle Alerts Connector sebagai gantinya.

Konektor ini mengambil pemberitahuan aset dari Google SecOps untuk diserap ke dalam kasus.

Konektor ini memerlukan SIEM Search API Google SecOps.

Input konektor

Alerts Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default. Nilai defaultnya adalah Product Name.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
Service Account Credentials	Wajib. Konten file JSON akun layanan.
Fetch Max Hours Backwards	Opsional. Jumlah jam sebelum eksekusi konektor awal untuk mengambil insiden. Parameter ini hanya berlaku sekali. Nilai maksimumnya adalah 168 (satu minggu). Nilai defaultnya adalah 1.

Tidak digunakan lagi: Google Chronicle - IoCs Connector

Konektor ini tidak lagi mendapatkan update atau perubahan kode.

Gunakan Chronicle Alerts Connector sebagai gantinya.

Konektor ini mengambil kecocokan domain IOC dari Google SecOps untuk diserap ke dalam kasus.

Konektor ini menggunakan Google SecOps Search API.

Input konektor

Konektor Google Chronicle - IoC memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default. Nilai defaultnya adalah Product Name.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib. Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
Service Account Credentials	Wajib. Konten file JSON akun layanan.
Fetch Max Hours Backwards	Opsional. Jumlah jam sebelum konektor pertama dijalankan untuk mengambil pemberitahuan. Parameter ini hanya berlaku sekali. Nilai maksimumnya adalah 168 (satu minggu). Nilai defaultnya adalah 1.
Max Alerts To Fetch	Opsional. Jumlah maksimum pemberitahuan yang akan diproses dalam setiap iterasi konektor. Nilai defaultnya adalah 100.

Pekerjaan

Untuk mengetahui informasi selengkapnya tentang tugas, lihat Mengonfigurasi tugas baru dan Penjadwalan lanjutan.

Prasyarat konfigurasi tugas

Penting: Jika Anda mengupdate integrasi, buat ulang tugas Google SecOps untuk mengupdate kodenya.

Sebelum melanjutkan ke konfigurasi tugas, konfigurasikan Chronicle Alerts Connector.

Untuk mengonfigurasi tugas Google Chronicle, ikuti langkah-langkah berikut:

1. Di Google SecOps, buka Response > Job Scheduler.

2. Klik addCreate New Job.

3. Pada dialog Add Job yang muncul, pilih tugas Google Chronicle yang sesuai, lalu klik Save.

4. Opsional: Edit nama dan deskripsi tugas, jika perlu.

5. Di bagian Job Details:

   • Pastikan GoogleChronicle dipilih di kolom Integration.

   • Untuk menjalankan tugas secara otomatis pada interval yang ditentukan, siapkan interval penjadwal. Mengonfigurasi penjadwal wajib dilakukan untuk menyelesaikan konfigurasi tugas.

     Karena tugas Google Chronicle dapat menyinkronkan data dalam jumlah besar dalam satu operasi, Google merekomendasikan agar Anda menetapkan interval penjadwal minimal 2 menit.

Google Chronicle - Sync Data Job

Penting: Untuk memastikan fungsi yang berkelanjutan sebelum penghentian penggunaan API lama, Anda harus mengonfigurasi tugas ini secara eksplisit untuk menggunakan Chronicle API. Pastikan metode autentikasi yang diterapkan di sini sama persis dengan konfigurasi integrasi Anda.

Tugas ini berfungsi dengan pemberitahuan yang dibuat oleh Chronicle Alerts Connector dan tugas Chronicle Alerts Creator, tetapi tidak dengan pemberitahuan dari konektor yang tidak digunakan lagi (Alerts Connector dan IOCs Connector).

Tugas Google Chronicle Sync Data menyinkronkan kasus dan pemberitahuan yang diperbarui di Google SecOps sehingga perubahan yang dilakukan selama pengelolaan kasus akan segera terlihat di seluruh platform.

Sinkronisasi data kasus dan pemberitahuan

Tugas Google Chronicle Sync Data melacak dan menyinkronkan kolom berikut untuk kasus:

Kolom yang dilacak	Kolom yang disinkronkan
Priority	Priority
Status	Status
Title	Title
Tidak berlaku	Stage
Tidak berlaku	Google SecOps Case ID

ID Kasus Google SecOps adalah ID kasus unik di Google SecOps.

Tugas Google Chronicle Sync Data melacak dan menyinkronkan kolom berikut untuk pemberitahuan:

Kolom yang dilacak	Kolom yang disinkronkan
Priority	Priority
Status	Status
Case ID	Tidak berlaku
Tidak berlaku	Google SecOps Alert ID
Tidak berlaku	Google SecOps Case ID
Tidak berlaku	Verdict
Tidak berlaku	Closure Comment
Tidak berlaku	Closure Reason
Tidak berlaku	Closure Root Cause
Tidak berlaku	Usefulness

ID Pemberitahuan Google SecOps adalah ID pemberitahuan unik di Google SecOps.

Dalam satu iterasi, tugas menyinkronkan hingga 1.000 kasus dan 1.000 pemberitahuan. Sinkronisasi terjadi dalam lingkungan Google SecOps yang ditentukan dalam konfigurasi tugas. Mekanisme sinkronisasi memastikan bahwa kasus dari lingkungan yang ditentukan tidak dapat disinkronkan dengan lingkungan lain.

Mengonfigurasi tugas Google Chronicle Sync Data

Tugas ini hanya menyinkronkan kasus yang berisi pemberitahuan yang diserap dari Google SecOps.

Pastikan Anda telah menyelesaikan langkah-langkah prasyarat sebelum mengonfigurasi tugas ini.

Untuk mengonfigurasi tugas Google Chronicle Sync Data, ikuti langkah-langkah berikut:

1. Di bagian Parameters, konfigurasikan parameter berikut:

   Parameter	Deskripsi
   Environment	Wajib. Nama lingkungan yang dibuat di Google SecOps untuk menyinkronkan kasus dan pemberitahuan.
   API Root	Wajib. URL root API untuk instance Google SecOps Anda: Chronicle API: Mencakup project ID, region, dan ID instance Anda (misalnya, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Lihat Menemukan Root Chronicle API. Backstory API (lama): Endpoint Backstory regional. Nilai defaultnya adalah https://backstory.googleapis.com.
   User's Service Account	Opsional. Kunci JSON akun layanan yang digunakan untuk autentikasi. Hanya digunakan jika Workload Identity Email kosong. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
   Workload Identity Email	Opsional. Email akun layanan yang digunakan untuk autentikasi Workload Identity (direkomendasikan jika akun layanan diperlukan). Diprioritaskan jika kedua kolom kredensial diisi. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
   Max Hours Backwards	Opsional. Jumlah jam untuk mengambil pemberitahuan. Hanya gunakan angka positif. Nilai defaultnya adalah 24.
   Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.

   Tugas Google Chronicle Sync Data diaktifkan secara default. Saat Anda menyimpan tugas yang dikonfigurasi dengan benar, tugas tersebut akan segera mulai menyinkronkan data dengan Google SecOps. Untuk menonaktifkan tugas, alihkan tombol di samping nama tugas.

2. Untuk menyelesaikan konfigurasi, klik Save.

   Jika tombol Save tidak aktif, pastikan Anda telah menetapkan semua parameter wajib.

3. Opsional: Untuk segera menjalankan tugas setelah disimpan, klik Run Now.

   Opsi Run Now memungkinkan Anda memicu satu operasi tugas untuk segera menyinkronkan data pemberitahuan dan kasus saat ini.

Pesan log

Tabel berikut mencantumkan kemungkinan pesan log untuk tugas Google Chronicle Data Sync:

Entri log	Jenis	Deskripsi
Unable to parse credentials as JSON. Please validate creds.	Error	Akun layanan yang disediakan dalam parameter User's Service Account rusak.
"Max Hours Backwards" parameter must be a positive number.	Error	Parameter Max Hours backwards ditetapkan ke 0 atau angka negatif.
Current platform version doesn't support SDK methods designed for Google SecOps. Please use version 6.1.33 or higher.	Error	Versi instance platform Google SecOps saat ini tidak mendukung eksekusi skrip tugas Chronicle Sync Data. Artinya, versi build instance lebih lama dari 6.1.33.
Unable to connect to Google SecOps, please validate your credentials: CREDENTIALS	Error	Nilai root akun layanan atau API tidak dapat divalidasi terhadap instance Google SecOps. Error ini dilaporkan jika pengujian konektivitas gagal.
--- Start Processing Updated Cases ---	Info	Loop pemrosesan kasus telah mulai berjalan.
Last success time. Date time:DATE_AND_TIME. Unix:UNIX_EPOCH_TIME	Info	Stempel waktu operasi terakhir yang berhasil untuk kasus atau pemberitahuan, ditampilkan sebagai tanggal dan waktu (DATE_AND_TIME) dan sebagai stempel waktu epoch Unix (UNIX_EPOCH_TIME).
Key: "DATABASE_KEY" doesn't exist in the database. Returning default value instead: DEFAULT_VALUE	Info	Kunci database kasus atau pemberitahuan yang tertunda tidak ada dalam database. Entri log ini selalu muncul dalam eksekusi pertama skrip.
Failed to parse data as JSON. Returning default value instead: "DEFAULT_VALUE. ERROR: ERROR	Error	Nilai yang diambil dari database bukan format JSON yang valid.
Exception was raised from the database. ERROR: ERROR.	Error	Terjadi masalah koneksi dengan database.
Successfully loaded CASE_IDS pending IDs. Successfully loaded ALERT_IDS pending alert IDs.	Info	ID kasus atau pemberitahuan yang tertunda telah berhasil diambil dari backlog. CASE_IDS adalah jumlah ID kasus yang dibawa.
Cases overload: case limit is 1000 NUMBER_OF_CASES cases will not be synced. Alerts overload: alert limit is 1000 NUMBER_OF_ALERTS alerts will not be synced.	Error	Jumlah ID kasus atau pemberitahuan yang tertunda yang diambil dari database lebih besar dari batas (1.000). ID yang melebihi batas akan diabaikan. Error ini dapat mengindikasikan kemungkinan kerusakan database.
Found NUMBER_OF_UPDATED_CASES updated cases since last fetch time.	Info	ID kasus atau pemberitahuan yang baru diperbarui berhasil diambil dari platform.
--- Start Updating Cases in Google SecOps ---- -- Start Processing Updated Alerts ---	Info	Pembaruan kasus dan pemberitahuan di instance Google SecOps telah dimulai.
Failed to update case CASE_ID. Reason: ERROR_REASON Failed to update alert ALERT_ID. Reason: ERROR_REASON	Error	Kasus atau pemberitahuan yang ditentukan tidak dapat disinkronkan dengan Google SecOps.
Max retries reached for case CASE_ID. Removing from backlog. Max retries reached for alert ALERT_GROUP_ID . Removing from backlog.	Info	Kasus atau pemberitahuan tertunda yang ditentukan telah mencapai batas percobaan ulang sinkronisasi (5) dan tidak dimasukkan kembali ke backlog.
The following cases were not synced: CASE_IDS The following alerts were not synced: ALERT_IDS	Info	Daftar ID kasus atau pemberitahuan yang tidak dapat disinkronkan dengan Google SecOps.
Updated External Case IDs for the following cases: CASE_IDS	Info	Daftar kasus yang ID kasus eksternal Google SecOps-nya yang cocok diperbarui oleh tugas di platform Google SecOps.
Failed to update external ids.	Error	Error koneksi atau platform mencegah ID kasus eksternal diperbarui.
Failed to update cases in Google SecOps. Failed to update alerts in Google SecOps.	Error	Terjadi error yang menghentikan pembaruan kasus atau pemberitahuan sebelum selesai. Lihat pelacakan tumpukan setelah log ini untuk mengetahui detailnya.
--- Finished Updating Cases in Google SecOps --- --- Finished Updating Alerts in Google SecOps ---	Info	Tahap pembaruan kasus dan pemberitahuan telah selesai.
The following failed case ids were put in the backlog: CASE_IDS The following failed alert ids were put in the backlog: ALERT_IDS	Error	Daftar ID kasus atau pemberitahuan yang gagal yang memiliki jumlah percobaan ulang kurang dari atau sama dengan 5 untuk ditulis kembali ke backlog.
--- Finished Processing Updated Cases --- --- Finished Processing Updated Alerts ---	Info	Tahap pemrosesan kasus dan pemberitahuan telah selesai.
Saving timestamps.	Info	Menyimpan stempel waktu update kasus dan pemberitahuan terakhir yang berhasil ke database.
Saving pending ids.	Info	Menyimpan ID kasus dan pemberitahuan yang tertunda ke database.
Got exception on main handler. Error: ERROR_REASON	Error	Terjadi error penghentian umum. Stacktrace dicetak setelah log ini dengan error tertentu.

Tugas Google Chronicle Alerts Creator

Penting: Untuk memastikan fungsi yang berkelanjutan sebelum penghentian penggunaan API lama, Anda harus mengonfigurasi tugas ini secara eksplisit untuk menggunakan Chronicle API. Pastikan metode autentikasi yang diterapkan di sini sama persis dengan konfigurasi integrasi Anda.

Tugas Google Chronicle Alerts Creator memerlukan platform Google SecOps versi 6.2.30 atau yang lebih baru.

Tugas ini menyinkronkan pemberitahuan yang diserap dari konektor pihak ketiga (termasuk pemberitahuan tambahan) ke Google SecOps. Aturan ini tidak menduplikasi pemberitahuan yang sudah berasal dari deteksi Google SecOps.

Hubungan antara tugas Google Chronicle

Deployment Google SecOps yang lengkap menjalankan tiga komponen berikut secara bersamaan:

1. Chronicle Alerts Connector: Menyerap pemberitahuan deteksi dari Google SecOps ke dalam kasus.
2. Tugas Google Chronicle Alerts Creator: Menyinkronkan pemberitahuan yang diserap dari konektor pihak ketiga ke Google SecOps dan menetapkan ID pemberitahuan Google SecOps yang unik untuk setiap pemberitahuan.
3. Tugas Google Chronicle Sync Data: Menyinkronkan pembaruan kasus dan pemberitahuan (seperti perubahan prioritas atau status) di seluruh Google SecOps.

Mengonfigurasi tugas Google Chronicle Alerts Creator

Pastikan Anda telah menyelesaikan langkah-langkah prasyarat sebelum mengonfigurasi tugas.

Untuk mengonfigurasi tugas Google Chronicle Alerts Creator, ikuti langkah-langkah berikut:

1. Konfigurasikan parameter tugas dari tabel berikut:

   Parameter	Deskripsi
   Environment	Wajib. Nama lingkungan yang dibuat di Google SecOps tempat Anda ingin menyinkronkan kasus dan pemberitahuan.
   API Root	Wajib. URL root API untuk instance Google SecOps Anda: Chronicle API: Mencakup project ID, region, dan ID instance Anda (misalnya, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Lihat Menemukan Root Chronicle API. Backstory API (lama): Endpoint Backstory regional. Nilai defaultnya adalah https://backstory.googleapis.com.
   User's Service Account	Opsional. Kunci JSON akun layanan yang digunakan untuk autentikasi. Hanya digunakan jika Workload Identity Email kosong. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
   Workload Identity Email	Opsional. Email akun layanan yang digunakan untuk autentikasi Workload Identity (direkomendasikan jika akun layanan diperlukan). Diprioritaskan jika kedua kolom kredensial diisi. Biarkan kedua kolom kredensial kosong untuk menggunakan kredensial bawaan jika didukung (lihat Metode autentikasi dan prioritas kredensial).
   Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.

2. Untuk menyelesaikan konfigurasi, klik Save.

   Jika tombol Save tidak aktif, pastikan Anda telah menetapkan semua parameter wajib.

3. Opsional: Untuk segera menjalankan tugas setelah disimpan, klik Run Now.

   Opsi Run Now memungkinkan Anda memicu satu operasi tugas untuk segera menyinkronkan data pemberitahuan dan kasus saat ini.

Pesan log dan penanganan error

Log	Tingkat	Deskripsi
Unable to parse credentials as JSON. Please validate creds.	ERROR	Akun layanan yang disediakan dalam parameter User's Service Account rusak.
Current platform version doesn't support SDK methods designed for Google Chronicle. Please use version 6.2.30 or later.	ERROR	Versi instance platform Google SecOps saat ini tidak mendukung eksekusi skrip Tugas Pembuat Pemberitahuan Google Chronicle. Error ini berarti versi build instance lebih lama dari 6.2.30.
Unable to connect to Google Chronicle, please validate your credentials: CREDENTIALS	ERROR	Akun layanan atau nilai root API tidak dapat divalidasi terhadap instance Google SecOps. Error ini dilaporkan jika pengujian konektivitas gagal.
--------------- JOB STARTED ---------------	INFO	Pesan log yang menunjukkan bahwa tugas telah dimulai.
----------------- Main - Started -----------------	INFO	Eksekusi tugas utama telah dimulai.
"Starting ITERATION_NUMBER/MAXIMUM_ITERATIONS_NUMBER fetch attempt"	INFO	Nomor iterasi untuk upaya pengambilan saat ini.
"Fetching up to BATCH_SIZE new alerts from the SOAR"	INFO	Tugas ini mengambil hingga BATCH_SIZE pemberitahuan baru.
"NUMBER_OF_NEW_ALERTS SOAR alerts were fetched"	INFO	Jumlah pemberitahuan baru yang diambil dalam batch saat ini.
"No new SOAR alerts were found. Stopping..."	INFO	Tidak ada pemberitahuan baru yang tidak disinkronkan, sehingga tugas dihentikan.
"Fetched the following SOAR alerts: ID_LIST"	INFO	ID pemberitahuan yang diambil dalam batch saat ini.
"Dispatching SOAR alerts to SIEM"	INFO	Tugas ini mengirimkan pemberitahuan yang diambil ke Google SecOps.
"Failed to create alert ALERT_GROUP_ID in SIEM. Reason: ERROR_REASON"	ERROR	Notifikasi yang ditentukan tidak dapat disinkronkan ke Google SecOps.
"Updating SOAR with SIEM response"	INFO	Tugas ini memperbarui status pemberitahuan yang disinkronkan.
"SOAR has failed updating the status of alert ALERT_ID"	PERINGATAN	Platform tidak dapat memperbarui status sinkronisasi untuk pemberitahuan yang ditentukan.
"Total of NUMBER_OF_SYNCED_ALERTS alerts were synced in this run"	INFO	Jumlah total pemberitahuan yang disinkronkan selama tugas saat ini berjalan.
"--------------- JOB FINISHED ---------------"	INFO	Eksekusi tugas telah selesai.
"Got exception on main handler. Error: ERROR_REASON"	ERROR	Terjadi error umum yang menghentikan tugas. Lihat pesan error untuk mengetahui detailnya.

Kasus penggunaan

Integrasi Google Chronicle memungkinkan Anda menjalankan kasus penggunaan berikut:

• Chronicle Windows Threats Investigation and Response
• Security Command Center dan Cloud DIR Chronicle

Menginstal kasus penggunaan

1. Di Google SecOps Content Hub, buka tab Use Cases.

2. Di kolom penelusuran, masukkan nama kasus penggunaan.

3. Klik kasus penggunaan.

4. Ikuti langkah-langkah dan petunjuk konfigurasi di wizard penginstalan.

Setelah selesai, semua komponen yang diperlukan akan diinstal di mesin Google SecOps Anda. Untuk menyelesaikan penginstalan, konfigurasikan blok Initialization di playbook yang sesuai dengan kasus penggunaan Anda.

Investigasi & Respons Ancaman Windows Chronicle

Gunakan kecanggihan Google SecOps untuk merespons ancaman Windows di lingkungan Anda secara real time. Dengan menggunakan Threat Intelligence untuk Google SecOps, tim keamanan dapat memanfaatkan layanan threat intelligence fidelitas tinggi bersama dengan Google SecOps. Ancaman nyata di lingkungan Anda kini dapat ditriase dan diperbaiki secara otomatis dalam jangka waktu yang singkat dan efektif.

1. Di Google SecOps, buka Response > Playbooks.

2. Pilih playbook Google Chronicle - Windows Threats Investigation & Response. Playbook akan terbuka di tampilan desainer playbook.

3. Klik dua kali Set Initialization Block_1. Dialog konfigurasi blok akan terbuka.

4. Untuk mengonfigurasi playbook, gunakan parameter berikut:

   Parameter input	Nilai yang memungkinkan	Deskripsi
   edr_product	Crowdstrike Carbon Black Tidak ada	Produk EDR yang akan digunakan dalam playbook.
   itsm_product	Service Now Jira ZenDesk Tidak ada	Produk ITSM yang akan digunakan dalam playbook. Jira memerlukan konfigurasi tambahan di blok Open Ticket.
   crowdstrike_use_spotlight	true atau false	Jika True, playbook akan menjalankan tindakan Crowdstrike yang memerlukan lisensi Spotlight (Informasi kerentanan).
   use_mandiant	true atau false	Jika True, playbook akan mengeksekusi blok Mandiant.
   slack_user	Nama Pengguna atau Alamat Email	Nama pengguna atau alamat email pengguna Slack. Jika tidak ada yang diberikan, playbook akan melewati blok Slack.

5. Klik Simpan. Dialog konfigurasi blok akan ditutup.

6. Di panel playbook designer, klik Save.

Untuk menguji playbook dalam kasus penggunaan, serap kasus pengujian yang disertakan dalam paket. Beberapa kemampuan kasus pengujian dapat gagal karena data yang digunakan untuk pengujian tidak tersedia di lingkungan Anda.

Security Command Center dan Cloud DIR Chronicle

Integrasikan Security Command Center dengan Google SecOps agar analis Anda dapat menyelidiki insiden dan ancaman yang dideteksi oleh Security Command Center.

Mengonfigurasi kasus penggunaan

Kasus penggunaan ini mengharuskan Anda mengonfigurasi integrasi berikut:

• Siemplify
• Alat
• Mitre ATT&CK
• Google Cloud IAM
• Google Chronicle
• Fungsi
• Google Cloud Compute
• Email V2
• VirusTotal v3

Integrasi Google Security Command Center dan Mandiant bersifat opsional.

Pastikan Anda telah menginstal kasus penggunaan sebelum mengonfigurasinya.

1. Di Google SecOps, buka tab Playbooks.
2. Pilih playbook SCC & Chronicle Cloud DIR.
3. Klik dua kali Initialization block untuk mengonfigurasinya.
4. Konfigurasikan playbook menggunakan parameter berikut:

Nama parameter	Nilai yang memungkinkan	Deskripsi
Mandiant_Enrichment	true atau false	Jika True, playbook akan menggunakan Mandiant untuk pengayaan tambahan. Integrasi Mandiant perlu dikonfigurasi untuk penyiapan ini. Anda dapat menghapus pengayaan jika jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.
SCC_Enrichment	true atau false	Jika True, playbook akan menggunakan kemampuan Security Command Center untuk pengayaan tambahan. Integrasi Security Command Center harus dikonfigurasi untuk penyiapan ini. Anda dapat menghapus pengayaan jika jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.
IAM_Enrichment	true atau false	Jika True, playbook akan menggunakan kemampuan IAM untuk pengayaan tambahan. Anda dapat menghapus pengayaan jika jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.
Compute_Enrichment	true atau false	Jika True, playbook akan menggunakan kemampuan Compute Engine untuk pengayaan tambahan. Anda dapat menghapus pengayaan jika jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.