Mengintegrasikan Google Chronicle dengan Google SecOps

Perhatian: Backstory dan Ingestion API tidak digunakan lagi. Mulai 26 Oktober 2026 (tanggal EOS), instance baru tidak akan dapat memanggil API lama, dan Akhir Siklus Proses (EOL) akan terjadi pada 20 Juli 2027.

Untuk mencegah gangguan playbook, Anda harus mengupgrade integrasi ini ke versi 54 atau yang lebih baru.

Autentikasi: Anda harus menyiapkan autentikasi (kunci JSON atau Workload Identity) secara identik di seluruh konfigurasi integrasi, konektor, dan tugas.

Pemantauan Playbook: Anda harus meninjau playbook setelah melakukan upgrade, karena output eksekusi tindakan mungkin berbeda.

Untuk mengetahui detailnya, lihat Bermigrasi dari SIEM API lama ke Chronicle API dan Bermigrasi dari Backstory API ke Chronicle API.

Dokumen ini menjelaskan cara mengintegrasikan Google Chronicle dengan Google Security Operations.

Penting: Google Chronicle diubah mereknya menjadi Google SecOps. Di platform Google SecOps, integrasi untuk Google SecOps disebut Google Chronicle.

Kasus penggunaan

Integrasi Google Chronicle menggunakan kemampuan Google SecOps untuk mendukung kasus penggunaan berikut:

• Investigasi dan perbaikan otomatis terhadap phishing: Secara otomatis membuat kueri untuk data email historis, log aktivitas pengguna, dan intelijen ancaman untuk menilai keabsahan email. Perbaikan otomatis dapat membantu Anda melakukan triase dan penanganan dengan mencegah penyebaran malware atau pelanggaran data.

• Pengayaan pemberitahuan keamanan: Memperkaya pemberitahuan yang dihasilkan di SIEM dengan konteks historis, seperti perilaku pengguna di masa lalu dan informasi aset. Hal ini memberi analis gambaran komprehensif tentang insiden, sehingga memungkinkan pengambilan keputusan yang lebih cepat dan tepat.

• Perburuan ancaman berdasarkan insight Google SecOps: Otomatiskan proses kueri alat keamanan lain untuk mendapatkan indikator gangguan (IOC) terkait. Hal ini dapat membantu Anda mengidentifikasi potensi pelanggaran secara proaktif sebelum meluas.

• Playbook respons insiden otomatis: Memicu playbook yang telah ditentukan sebelumnya yang menggunakan data Google SecOps untuk mengisolasi sistem yang terkompromi, memblokir alamat IP berbahaya, dan memberi tahu pemangku kepentingan yang relevan. Hal ini dapat mengurangi waktu respons insiden dan meminimalkan dampak insiden keamanan.

• Pelaporan dan audit kepatuhan: Otomatiskan pengumpulan data keamanan dari Google SecOps untuk pelaporan kepatuhan, menyederhanakan proses audit, dan mengurangi upaya manual.

Sebelum memulai

Sebelum mengonfigurasi integrasi Google Chronicle di Google SecOps, pastikan Anda memiliki akses ke projectGoogle Cloud yang aktif.

Migrasi dari Backstory API ke Chronicle API

Beberapa fitur dan tindakan baru dalam integrasi ini hanya mendukung Chronicle API, jadi sebaiknya semua pengguna memigrasikan deployment mereka untuk menggunakan kredensial Chronicle API.

Penting: Deployment baru yang disediakan mulai awal Kuartal 4 2025 akan disediakan dengan kredensial Chronicle API yang dikonfigurasi dalam sistem.

Satu-satunya persyaratan adalah menemukan root Chronicle API dan memasukkannya ke dalam konfigurasi integrasi. Nilai ini dapat ditemukan di konektor instance dan parameter API Root tugas Anda.

Jika uji koneksi gagal setelah memasukkan root API baru, lanjutkan dengan langkah-langkah berikut.

Menemukan Root API Chronicle

Saat mengakses Chronicle API, Anda harus menemukan API Root unik lingkungan Anda untuk konfigurasi integrasi.

1. Buka Developer Tools browser Anda, lalu buka platform Google SecOps.

2. Pilih Investigasi > Tabel Data.

3. Di Developer Tools, buka tab Network, lalu klik item di kolom Name, seperti dataTables?pageSize=1000.

4. Di panel detail, pilih Header dan salin nilai Request URL, yang ada di bagian Umum, tidak termasuk endpoint dan parameter kueri (nama item yang dipilih).

   Misalnya, jika nilainya adalah https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000, root API mengecualikan /dataTables?pageSize=1000 dan merupakan https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.

Persyaratan Pemberian Kredensial untuk Chronicle API

Akses ke Chronicle API memerlukan root API baru dan kredensial baru, yang bergantung pada cara project pokok Google Cloud Anda dikelola:

Jenis Project	Persyaratan Kredensial
Project yang Dikelola Google (Default)	Hubungi Dukungan Google untuk menyediakan kredensial tersembunyi yang diperlukan dan memberikan izin ke lingkungan Anda.
Bring Your Own Project (BYOP)	Anda harus mengonfigurasi Akun Layanan khusus secara manual di project menggunakan Kunci JSON atau Workload Identity, dan tetapkan peran Chronicle API Editor.

Autentikasi dengan kunci JSON akun layanan

Autentikasi menggunakan Kunci JSON akun layanan didukung untuk Chronicle API dan wajib dilakukan bagi pengguna BYOP yang tidak melakukan autentikasi menggunakan Workload Identity.

Catatan: Autentikasi dapat dilakukan dengan kunci JSON atau Workload Identity. Sebaiknya gunakan Workload Identity.

Buat akun layanan khusus dan buat kunci JSON Anda

Untuk autentikasi dengan kunci JSON akun layanan, selesaikan langkah-langkah berikut untuk membuat kunci JSON:

1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts.

2. Pilih Buat Akun Layanan, lalu ikuti petunjuknya.

3. Pilih alamat email Akun Layanan baru dan buka Keys > Add Key > Create new key.

4. Pilih JSON sebagai jenis kunci, lalu klik Create. File kunci JSON akan didownload ke komputer Anda.

Chronicle API: Peran yang diperlukan untuk akun layanan Anda

Saat menggunakan Chronicle API, akun layanan Anda memerlukan peran Chronicle API Editor.

1. Di konsol Google Cloud , buka APIs and Services > Credentials.

2. Di bagian Service Accounts, pilih akun layanan Anda, lalu klik Permissions > Manage access.

3. Klik addAdd role, lalu pilih peran Chronicle API Editor. Klik Simpan.

Autentikasi dengan Workload Identity (direkomendasikan)

Autentikasi menggunakan Workload Identity adalah metode yang direkomendasikan dan paling aman.

Untuk menyiapkan autentikasi dengan Workload Identity, ikuti langkah-langkah berikut:

Membuat akun layanan

Untuk membuat akun layanan, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Credentials.

   Buka Kredensial

2. Dari menu Create credentials, pilih akun layanan.

3. Di bagian Detail akun layanan, masukkan nama di kolom Nama akun layanan.

4. Opsional: Edit ID akun layanan.

5. Klik Create and continue. Layar Izin akan muncul.

6. Klik Lanjutkan. Layar Principals with access akan muncul.

7. Klik Done.

Chronicle API: Peran yang diperlukan untuk akun layanan Anda

Saat menggunakan Chronicle API, akun layanan Anda memerlukan peran Chronicle API Editor.

1. Di konsol Google Cloud , buka APIs and Services > Credentials.

2. Di bagian Service Accounts, pilih akun layanan Anda, lalu klik Permissions > Manage access.

3. Klik addAdd role, lalu pilih peran Chronicle API Editor. Klik Simpan.

Memberikan izin peniruan identitas ke instance Google SecOps Anda

Untuk menggunakan Workload Identity, Anda harus memberikan izin kepada instance Google SecOps untuk meniru identitas akun layanan Anda. Ini adalah langkah terakhir yang memungkinkan instance mengakses resource Google Cloud secara aman.

1. Di Google SecOps, buka Content Hub > Integrasi Respons.

2. Pilih integrasi yang Anda konfigurasi, lalu masukkan email akun layanan Anda di Workload Identity Email.

3. Klik Simpan > Uji. Pengujian diperkirakan akan gagal.

4. Klik close_small di sebelah kanan Test dan telusuri pesan error untuk gke-init-python@PROJECT .iam.gserviceaccount.com atau soar-python@TENANT_PROJECT .iam.gserviceaccount.com. Salin email unik ini (email ini mengidentifikasi instance Google SecOps Anda).

5. Buka Service accounts, pilih project Anda, lalu pilih akun layanan Anda.

6. Pilih Principals with access > addGrant access.

7. Di bagian Add principals, tempel nilai yang Anda salin.

8. Di bagian Add Roles, pilih peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

   Catatan: Mungkin perlu waktu beberapa menit setelah menyelesaikan langkah ini agar pengujian berhasil.

Memecahkan masalah konektivitas ke Chronicle API

Jika Anda mengalami masalah saat menghubungkan integrasi ke Chronicle API, ikuti langkah-langkah berikut untuk memecahkan masalah konfigurasi dan menyelesaikan masalah kredensial:

1. Temukan root Chronicle API dan pastikan root tersebut dimasukkan dengan benar ke dalam konfigurasi integrasi.
2. Pastikan semua parameter konfigurasi wajib lainnya diisi dengan akurat.

3. Uji koneksi. Jika pengujian berhasil, tidak ada langkah lebih lanjut yang diperlukan. Jika pengujian gagal, lanjutkan ke langkah berikutnya.

4. Verifikasi Google Cloud kepemilikan dan kredensial project:

   • Project yang Dikelola Google: Jika project Google Cloud Anda dikelola oleh Google (deployment default), hubungi Dukungan Google untuk mendapatkan bantuan terkait masalah kredensial.
   • Bawa Project Anda Sendiri (BYOP): Jika project Google Cloud Anda dikelola sendiri (BYOP), verifikasi bahwa Anda telah mengonfigurasi akun layanan secara manual dan menetapkan peran yang sesuai untuk akun tersebut.

Parameter integrasi

Integrasi Google Chronicle memerlukan parameter berikut:

Parameter	Deskripsi
UI Root	Wajib. URL dasar antarmuka Google SecOps. Link ini digunakan untuk membuat link langsung secara otomatis kembali ke platform SIEM dari catatan kasus Anda. Nilai defaultnya adalah https://INSTANCE.chronicle.security/.
API Root	Wajib. Root API untuk instance Google SecOps Anda. Nilai bergantung pada metode autentikasi Anda: Untuk Backstory API (menggunakan kredensial default): Gunakan format lama. Nilai defaultnya adalah https://backstory.googleapis.com. Untuk Chronicle API (memerlukan Akun Layanan yang dikonfigurasi): Gunakan format baru, termasuk project ID, region, dan ID instance Anda. Contoh, https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID. Untuk mengetahui informasi tentang cara menemukan nilai ini, buka Menemukan Root API Chronicle. Menggunakan kredensial yang salah untuk root API akan menyebabkan kegagalan koneksi.
User's Service Account	Opsional. Konten lengkap file kunci JSON akun layanan. Penting: Untuk menggunakan Chronicle API, Anda harus memberikan kolom ini atau Workload Identity Email. Jangan mengisi kolom ini jika Anda ingin menggunakan Workload Identity Email, karena memberikan keduanya akan menyebabkan konflik autentikasi. Jika kedua kolom kosong, integrasi akan menggunakan akun layanan instance secara default, yang hanya mendukung Backstory API.
Workload Identity Email	Opsional. Alamat email klien akun layanan yang digunakan untuk peniruan identitas Workload Identity. Penting: Jangan mengisi kolom ini jika User's Service Account sudah diberikan. Untuk mencegah error "Permission Denied", berikan peran Service Account Token Creator kepada akun layanan instance Google SecOps di email yang diberikan di kolom ini.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.

Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan di tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan tertunda dari Ruang Kerja Anda dan Melakukan tindakan manual.

Menambahkan Entri ke Daftar Tontonan

Gunakan tindakan Tambahkan Entri Ke Daftar Tontonan untuk menambahkan entitas tertentu ke Daftar Tontonan Analisis Risiko yang ada di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Tindakan ini memerlukan autentikasi Chronicle API. Autentikasi Legacy Backstory API tidak didukung.

Input tindakan

Tindakan Tambahkan Entri ke Daftar Tontonan memerlukan parameter berikut:

Parameter	Deskripsi
Watchlist Name	Wajib. Nama daftar pantauan Analisis Risiko untuk menambahkan entri.
Entry	Wajib. Objek JSON yang merepresentasikan entitas yang akan ditambahkan ke daftar pantauan. Struktur JSON memerlukan nilai entitas, jenis entitas, dan namespace opsional. Nilai defaultnya adalah: [ { "entity": "", "type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID", "namespace": "Optional" } ]

Output tindakan

Tindakan Tambahkan Entri Ke Daftar Tontonan memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Tambahkan Entri ke Daftar Tontonan:

[
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    },
    {
        "namespace": "Yuriy",
        "asset": {
            "hostname": "koko"
        }
    }
]

Pesan output

Tindakan Tambahkan Entri Ke Daftar Tontonan dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added new entries to a watchlist WATCHLIST in Google SecOps.	Tindakan berhasil.
Error executing action "Add Entry To Watchlist". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Entri Ke Daftar Tontonan:

Nama hasil skrip	Nilai
is_success	true atau false

Menambahkan Baris Ke Tabel Data

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Tambahkan Baris Ke Tabel Data untuk menambahkan baris ke tabel data di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Untuk mengonfigurasi tindakan, gunakan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan diupdate.
Rows	Wajib. Daftar objek JSON yang berisi informasi tentang baris yang akan ditambahkan. Contoh: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

Output tindakan

Tindakan Tambahkan Baris Ke Tabel Data memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan hasil JSON sampel yang ditampilkan oleh tindakan Tambahkan Baris Ke Tabel Data:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          }
}

Pesan output

Tindakan Tambahkan Baris Ke Tabel Data memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added rows to the data table DATA_TABLE_NAME in Google SecOps.	Tindakan berhasil.
Error executing action "Add Rows to Data Table". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Baris Ke Tabel Data:

Nama hasil skrip	Nilai
is_success	true atau false

Menambahkan Nilai ke Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Tambahkan Nilai ke Daftar Referensi untuk menambahkan nilai ke daftar referensi di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Untuk mengonfigurasi tindakan, gunakan parameter berikut:

Parameter	Deskripsi
Reference List Name	Wajib. Nama daftar referensi yang akan diperbarui.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditambahkan ke daftar referensi.

Output tindakan

Tindakan Tambahkan Nilai ke Daftar Referensi memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Tambahkan Nilai ke Daftar Referensi dengan Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Add Value To Reference List dengan Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

Pesan output

Tindakan Tambahkan Nilai ke Daftar Referensi memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully added values to the reference list REFERENCE_LIST_NAME.	Tindakan berhasil.
Error executing action "Add Values To Reference List". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tambahkan Nilai ke Daftar Referensi:

Nama hasil skrip	Nilai
is_success	true atau false

Minta Gemini

Gunakan tindakan Minta Gemini untuk mengirim perintah teks ke Gemini di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Tindakan ini hanya berfungsi dengan autentikasi Chronicle API. Backstory API tidak didukung. Jika Anda menggunakan deployment Unified SecOps, pastikan Anda telah mengonfigurasi akun layanan khusus dan memberikan kredensial di parameter integrasi.

Batas dan waktu tunggu pemrosesan

Tindakan ini tunduk pada batasan pemrosesan dalam pipeline Google SecOps. Tindakan yang melebihi batasan ini biasanya akan menghasilkan error 503 Service Unavailable.

Untuk memastikan keberhasilan eksekusi, permintaan Anda harus mematuhi spesifikasi berikut:

• Waktu tunggu: Pengenalan maksud memiliki waktu tunggu 30 detik. Tugas meringkas yang besar atau perintah kompleks yang melebihi waktu pemrosesan ini akan menyebabkan tindakan gagal.

• Batas pembuatan respons: Fase pembuatan dibatasi hingga maksimum 28.000 token.

Input tindakan

Tindakan Tanya Gemini memerlukan parameter berikut:

Parameter	Deskripsi
Automatic Opt-in	Opsional. Jika dipilih, playbook akan otomatis mengikutsertakan pengguna dalam percakapan Gemini tanpa memerlukan konfirmasi manual. Diaktifkan secara default.
Prompt	Wajib. Perintah atau pertanyaan teks awal yang akan dikirim ke Gemini. Penting: Perintah yang memerlukan pemrosesan ekstensif (seperti meringkas kumpulan hasil yang besar) dapat mengalami waktu tunggu 30 detik. Untuk detailnya, lihat Batas dan waktu tunggu pemrosesan.

Output tindakan

Tindakan Minta Gemini memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Minta Gemini:

{
  {
        "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
        "input": {
            "body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
        },
        "responses": [
            {
                "blocks": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal&#39;s IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal&#39;s last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
                        }
                    }
                ],
                "references": [
                    {
                        "blockType": "HTML",
                        "htmlContent": {
                            "privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
                        }
                    }
                ],
                "groundings": [
                    "IP address 159.138.84.217 malicious cybersecurity",
                    "IP address 159.138.84.217 threat intelligence"
                ]
            }
        ],
        "createTime": "2025-05-16T11:31:36.660538Z"
    }
}

Pesan output

Tindakan Minta Gemini memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed a prompt in Google SecOps.	Tindakan berhasil.
Error executing action "GoogleChronicle - Ask Gemini". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Tanya Gemini:

Nama hasil skrip	Nilai
is_success	true atau false

Memperkaya Domain - Tidak Digunakan Lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Gunakan tindakan Perkaya Domain untuk memperkaya domain menggunakan informasi dari IoC di Google SecOps.

Tindakan ini berjalan di entity Google SecOps berikut:

• URL
• Hostname

Input tindakan

Tindakan Perkaya Domain memerlukan parameter berikut:

Parameter	Deskripsi
Create Insight	Jika dipilih, tindakan akan membuat insight yang berisi informasi tentang entitas. Diaktifkan secara default.
Only Suspicious Insight	Jika dipilih, tindakan hanya akan membuat insight untuk entity yang ditandai sebagai mencurigakan. Tidak diaktifkan secara default. Jika memilih parameter ini, Anda juga harus memilih Create Insight.
Lowest Suspicious Severity	Wajib. Tingkat keparahan terendah yang terkait dengan domain yang diperlukan untuk menandainya sebagai mencurigakan. Nilai defaultnya adalah Medium. Nilai yang mungkin adalah sebagai berikut: High Medium Low Info
Mark Suspicious N/A Severity	Wajib. Jika dipilih dan informasi tentang tingkat keparahan tidak tersedia, tindakan menandai entitas sebagai mencurigakan.

Output tindakan

Tindakan Perkaya Domain memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Tindakan Perkaya Domain memberikan tabel berikut:

Nama: ENTITY_IDENTIFIER

Kolom:

• Source
• Keparahan
• Kategori
• Keyakinan

Pengayaan entitas

Tindakan Enrich Domain mendukung logika pengayaan entitas berikut:

Kolom pengayaan	Logika (kapan harus diterapkan)
severity	Jika tersedia dalam JSON
average_confidence	Jika tersedia dalam JSON
related_domains	Jika tersedia dalam JSON
categories	Jika tersedia dalam JSON
sources	Jika tersedia dalam JSON
first_seen	Jika tersedia dalam JSON
last_seen	Jika tersedia dalam JSON
report_link	Jika tersedia dalam JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Perkaya Domain dengan Backstory API:

  {
              {
                  "sources": [
                      {
                          "source": "ET Intelligence Rep List",
                          "confidenceScore": {
                              "normalizedConfidenceScore": "Low",
                              "intRawConfidenceScore": 0
                          },
                          "rawSeverity": "High",
                          "category": "Malware Command and Control Server"
                      }
                  ],
                  "iocIngestTime": "2021-01-26T17:00:00Z",
                  "firstSeenTime": "2018-10-03T00:03:53Z",
                  "lastSeenTime": "2022-02-09T10:52:21.229Z",
                  "uri": [
                      "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                  ]
              }
  }
  

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Perkaya Domain dengan Chronicle API:

[
  {
    "Entity": "example.com",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        },
        {
          "category": "Phishing",
          "firstActiveTime": null,
          "lastActiveTime": "2020-11-27T14:31:37Z",
          "addresses": [
            {
              "domain": "example.com"
            },
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "high",
          "confidenceScore": {
            "strRawConfidenceScore": "high"
          }
        },
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "domain": "example.com"
            }
          ],
          "rawSeverity": "medium",
          "confidenceScore": {
            "strRawConfidenceScore": "100"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        },
        {
          "metadata": {
            "title": "ESET Threat Intelligence",
            "description": "ESET Threat Intelligence"
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Phishing",
              "activeTimerange": {
                "end": "2020-11-27T14:31:37Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "High",
              "rawSeverity": "High"
            }
          ]
        },
        {
          "metadata": {
            "title": "Mandiant Active Breach Intelligence",
            "description": "Mandiant Active Breach IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "domainAndPorts": {
                "domain": "example.com"
              },
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "confidenceScore": "100",
              "rawSeverity": "Medium"
            }
          ]
        }
      ]
    }
  }
]
  

Pesan output

Tindakan Perkaya Domain memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following domain in Google Chronicle: LIST_OF_IDS	Tindakan berhasil.
Error executing action "Enrich Domain". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Perkaya Domain:

Nama hasil skrip	Nilai
is_success	true atau false

Memperkaya Entitas

Gunakan tindakan Perkaya Entity untuk membuat kueri Google SecOps guna mendapatkan konteks dan atribut tambahan untuk jenis entity yang ditentukan. Tindakan ini meningkatkan kualitas data investigasi ancaman dengan mengintegrasikan kecerdasan eksternal.

Tindakan ini berjalan di entity Google SecOps berikut:

• Domain
• File Hash
• Hostname
• IP Address
• URL (mengekstraksi domain dari URL)
• User
• Email (entitas pengguna dengan ekspresi reguler email)

Catatan: Tindakan ini hanya berfungsi dengan autentikasi Chronicle API. Backstory API tidak didukung. Jika Anda menggunakan deployment Unified SecOps, pastikan Anda telah mengonfigurasi akun layanan khusus dan memberikan kredensial di parameter integrasi.

Input tindakan

Tindakan Enrich Entities memerlukan parameter berikut:

Parameter	Deskripsi
Namespace	Opsional. Pengelompokan atau cakupan logis entity yang akan di-enrich. Jika tidak dipilih, pengayaan akan diterapkan ke entity di namespace default atau semua namespace yang dapat diakses. Entitas harus termasuk dalam namespace ini agar dapat diproses.
Time Frame	Opsional. Rentang waktu relatif (misalnya, 1 day, 2 hours). Parameter ini lebih diprioritaskan daripada Start Time dan End Time.
Start Time	Opsional. Waktu mulai untuk periode pengayaan dalam format ISO 8601. Gunakan ini dengan End Time jika Time Frame tidak disetel.
End Time	Opsional. Waktu akhir absolut untuk periode pengayaan dalam format ISO 8601. Digunakan dengan Start Time jika Time Frame tidak disetel.

Output tindakan

Tindakan Enrich Entities memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tindakan Enrich Entities mendukung pengayaan entitas berikut untuk entitas apa pun:

Kolom pengayaan	Sumber (kunci JSON)	Penerapan
GoogleSecOps_related_entities	Jumlah related_entities	Jika tersedia di hasil JSON.
GoogleSecOps_alert_count_ruleName	{alertCounts.count} untuk setiap aturan tertentu	Jika tersedia di hasil JSON.
GoogleSecOps_first_seen	metric.firstSeen	Jika tersedia di hasil JSON.
GoogleSecOps_last_seen	metric.lastSeen	Jika tersedia di hasil JSON.
GoogleSecOps_flattened_key_under_entity	Nilai kunci, diratakan dari struktur bertingkat di bawah objek "entity".	Jika tersedia di hasil JSON.

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Enrich Entities:

[
 {
   "Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
     "metadata": { "entityType": "DOMAIN_NAME" },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
       "metadata": { "entityType": "DOMAIN_NAME" },
       "entity": {
         "domain": {
           "name": "markossolomon.com",
           "firstSeenTime": "1970-01-01T00:00:00Z",
           "lastSeenTime": "1970-01-01T00:00:00Z",
           "registrar": "NameCheap, Inc.",
           "creationTime": "2013-12-06T02:41:09Z",
           "updateTime": "2019-11-06T11:48:33Z",
           "expirationTime": "2020-12-06T02:41:09Z",
           "registrant": {
             "userDisplayName": "WhoisGuard Protected",
             "emailAddresses": [
               "[e-mail]"
             ],
             "personalAddress": { "countryOrRegion": "PANAMA" },
             "companyName": "WhoisGuard, Inc."
           }
         }
       }
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "npatni-sysops",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:00:02.042Z",
         "endTime": "2025-07-18T07:50:02.472Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:00:02.042Z",
           "endTime": "2025-07-18T07:50:02.472Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "npatni-sysops" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:00:02.042Z",
         "lastSeen": "2025-07-18T07:50:02.472Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:00:02.042Z",
       "lastSeen": "2025-07-18T07:50:02.472Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "329" },
       { "rule": "rule_testbucket", "count": "339" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "332" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 1000 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "exlab2019-ad",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "hostname": "exlab2019-ad" }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.30.202.229",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-06-25T00:03:07.891Z",
         "endTime": "2025-07-18T07:40:32.153Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-06-25T00:03:07.891Z",
           "endTime": "2025-07-18T07:40:32.153Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "ip": ["172.30.202.229"] }
       },
       "metric": {
         "firstSeen": "2025-06-25T00:03:07.891Z",
         "lastSeen": "2025-07-18T07:40:32.153Z"
       }
     },
     "metric": {
       "firstSeen": "2025-06-25T00:03:07.891Z",
       "lastSeen": "2025-07-18T07:40:32.153Z"
     },
     "alertCounts": [
       { "rule": "rule_Pavel_test_Risk_score", "count": "321" },
       { "rule": "rule_testbucket", "count": "360" },
       { "rule": "pavel_test2_rule_1749239699456", "count": "319" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         { "alertCount": 26 },
         { "alertCount": 175 },
         { "alertCount": 185 },
         { "alertCount": 195 },
         { "alertCount": 182 },
         { "alertCount": 168 },
         { "alertCount": 69 }
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "172.17.0.1",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "2025-03-09T19:09:02.133Z",
         "endTime": "2025-04-19T02:27:01.994Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "2025-03-09T19:09:02.133Z",
           "endTime": "2025-04-19T02:27:01.994Z"
         }
       },
       "entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
       "metric": {
         "firstSeen": "2025-03-09T19:09:02.133Z",
         "lastSeen": "2025-04-19T02:27:01.994Z"
       }
     },
     "metric": {
       "firstSeen": "2025-03-09T19:09:02.133Z",
       "lastSeen": "2025-04-19T02:27:01.994Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "911d039e71583a07320b32bde22f8e22",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
     "metadata": {
       "entityType": "FILE",
       "interval": {
         "startTime": "2024-12-15T09:07:02Z",
         "endTime": "2025-07-18T07:43:59.045Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
       "metadata": {
         "entityType": "FILE",
         "interval": {
           "startTime": "2024-12-15T09:07:02Z",
           "endTime": "2025-07-18T07:43:59.045Z"
         }
       },
       "entity": {
         "file": {
           "sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
           "md5": "911d039e71583a07320b32bde22f8e22",
           "sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
           "size": "278528",
           "fileType": "FILE_TYPE_PE_EXE",
           "names": [
             "C:\\Windows\\System32\\cmd.exe",
             "cmd",
             "Cmd.Exe",
             "C:\\Windows\\system32\\cmd.exe",
             "C:\\Windows\\SYSTEM32\\cmd.exe",
             "cmd.exe",
             "C:\\\\Windows\\\\System32\\\\cmd.exe",
             "C:\\windows\\SYSTEM32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
             "c:\\Windows\\System32\\cmd.exe",
             "Utilman.exe",
             "c:\\windows\\system32\\cmd.exe",
             "System32/cmd.exe",
             "UtilityVM/Files/Windows/System32/cmd.exe",
             "KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
             "cmd.exe_",
             "C:\\WINDOWS\\SYSTEM32\\cmd.exe",
             "Cmd.exe",
             "Windows/System32/cmd.exe",
             "sethc.exe",
             "C:\\WINDOWS\\System32\\cmd.exe",
             "esRzqurX.exe",
             "rofl.png",
             "F:\\Windows\\SYSTEM32\\cmd.exe",
             "utilman.exe",
             "C:\\Windows\\system32\\CMD.exe",
             "sys32exe/cmd.exe",
             "cmd.txt",
             "C:\\WINDOWS\\system32\\cmd.exe",
             "cmd2.exe",
             "Utilman.exe.sc",
             "uhrHRIv8.exe",
             "C:\\windows\\system32\\cmd.exe",
             "submitted_file",
             "C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
             "J6ff7z0hLYo.exe",
             "N:\\Windows\\System32\\cmd.exe",
             "Q:\\Windows\\System32\\cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
             "C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
             "test.exe",
             "68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
             "8FCVE0Kq.exe",
             "cmd (7).exe",
             "cmd (8).exe",
             "21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
             "LinX v0.9.11 (Intel)/cmd.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
             "cmd_b.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
             "cMd.exe",
             "Repl_Check.bat__",
             "cmd.pdf",
             "cmd.EXE",
             "C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
             "LFepc1St.exe",
             "firefox.exe",
             "3BcnNlWV.exe",
             "Utilman.exebak",
             "utilman1.exe",
             "1.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
             "cmd_1771019736291028992.exe",
             "C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
             "Sethc.exe",
             "\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
             "DANFE352023067616112.exe",
             "file.exe",
             "DANFE352023067616112/DANFE352023067616112.exe",
             "C:\\Windows\\SYSTEM32\\Cmd.exe",
             "pippo.exe",
             "C:\\Windows\\System32\\sethc.exe",
             "cmd.exe-bws024-windowsfolder",
             "whatever.exe",
             "sethc.exe.bak",
             "S71dbOR1.exe",
             "F:\\windows\\SYSTEM32\\cmd.exe",
             "L6puhWL7.exe",
             "DANFE357986551413927.exe",
             "DANFE357666506667634.exe",
             "\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
             "\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
             "\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
             "\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
             "\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
             "\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
             "winlogon.exe",
             "AccessibilityEscalation.A' in file 'utilman.exe'",
             "qpl9AqT0.exe",
             "C:\\windows\\system32\\CMD.exe",
             "C:\\po8az\\2po9hmc\\4v1b5.exe",
             "batya.exe",
             "nqAwJaba.exe",
             "\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
             "/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
             "/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
             "\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
             "/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
             "DANFE352429512050669.exe",
             "/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
           ],
           "firstSeenTime": "2024-12-15T09:07:02Z",
           "lastSeenTime": "2025-07-18T07:43:59.045Z",
           "lastAnalysisTime": "2025-07-16T10:06:40Z",
           "signatureInfo": {
             "sigcheck": {
               "verificationMessage": "Signed",
               "verified": true,
               "signers": [{ "name": "Microsoft Windows" }]
             }
           },
           "firstSubmissionTime": "2025-07-15T16:30:27Z"
         }
       },
       "metric": {
         "firstSeen": "2024-12-15T09:07:02Z",
         "lastSeen": "2025-07-18T07:43:59.045Z"
       }
     },
     "metric": {
       "firstSeen": "2024-12-15T09:07:02Z",
       "lastSeen": "2025-07-18T07:43:59.045Z"
     },
     "alertCounts": [
       { "rule": "pavel_test2_rule_1749239699456", "count": "329" },
       { "rule": "rule_testbucket", "count": "345" },
       { "rule": "rule_Pavel_test_Risk_score", "count": "326" }
     ],
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         { "alertCount": 31 },
         { "alertCount": 111 },
         { "alertCount": 109 },
         { "alertCount": 82 },
         { "alertCount": 86 },
         { "alertCount": 98 },
         { "alertCount": 86 },
         { "alertCount": 85 },
         { "alertCount": 92 },
         { "alertCount": 89 },
         { "alertCount": 90 },
         { "alertCount": 41 }
       ],
       "bucketSize": "172800s"
     },
     "prevalenceResult": [
       { "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
       { "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
       { "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
     ],
     "relatedEntities": [
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "hostname": "exlab2019-ad",
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       },
       {
         "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
         "metadata": {
           "entityType": "ASSET",
           "interval": {
             "startTime": "2025-01-16T12:07:18Z",
             "endTime": "2025-07-18T07:43:59.045Z"
           }
         },
         "entity": {
           "namespace": "Yuriy",
           "asset": {
             "ip": ["172.30.202.229"],
             "firstSeenTime": "2025-01-16T12:07:18Z"
           }
         },
         "metric": {
           "firstSeen": "2025-01-16T12:07:18Z",
           "lastSeen": "2025-07-18T07:43:59.045Z"
         }
       }
     ]
   }
 },
 {
   "Entity": "tencent.com",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
     "metadata": {
       "entityType": "DOMAIN_NAME",
       "interval": {
         "startTime": "2025-01-14T14:01:00Z",
         "endTime": "2025-01-14T15:02:00Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
       "metadata": {
         "entityType": "DOMAIN_NAME",
         "interval": {
           "startTime": "2025-01-14T14:01:00Z",
           "endTime": "2025-01-14T15:02:00Z"
         }
       },
       "entity": {
         "domain": {
           "name": "tencent.com",
           "firstSeenTime": "2025-01-14T14:01:00Z",
           "lastSeenTime": "2025-01-14T15:02:00Z",
           "registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
           "creationTime": "1998-09-14T04:00:00Z",
           "updateTime": "2024-08-20T08:04:01Z",
           "expirationTime": "2032-09-13T04:00:00Z",
           "registrant": {
             "emailAddresses": [""],
             "personalAddress": { "countryOrRegion": "CHINA" },
             "companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
           }
         }
       },
       "metric": {
         "firstSeen": "2025-01-14T14:01:00Z",
         "lastSeen": "2025-01-14T15:02:00Z"
       }
     },
     "metric": {
       "firstSeen": "2025-01-14T14:01:00Z",
       "lastSeen": "2025-01-14T15:02:00Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 },
 {
   "Entity": "00:50:56:b6:34:86",
   "EntityResult": {
     "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
     "metadata": {
       "entityType": "ASSET",
       "interval": {
         "startTime": "1970-01-01T00:00:00Z",
         "endTime": "2025-05-22T11:37:02Z"
       }
     },
     "entity": {
       "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
       "metadata": {
         "entityType": "ASSET",
         "interval": {
           "startTime": "1970-01-01T00:00:00Z",
           "endTime": "2025-05-22T11:37:02Z"
         }
       },
       "entity": {
         "namespace": "Yuriy",
         "asset": { "mac": ["00:50:56:b6:34:86"] }
       },
       "metric": {
         "firstSeen": "1970-01-01T00:00:00Z",
         "lastSeen": "2025-05-22T11:37:02Z"
       }
     },
     "metric": {
       "firstSeen": "1970-01-01T00:00:00Z",
       "lastSeen": "2025-05-22T11:37:02Z"
     },
     "timeline": {
       "buckets": [
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {},
         {}
       ],
       "bucketSize": "172800s"
     }
   }
 }
]

Pesan output

Tindakan Perkaya Entitas dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following entities information from Google SecOps: ENTITY_ID Action wasn't able to enrich the following entities using information from Google SecOps: ENTITY_ID None of the provided entities were enriched using information from Google SecOps.	Tindakan berhasil.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Perkaya Entitas:

Nama hasil skrip	Nilai
is_success	true atau false

Memperkaya IP - Tidak digunakan lagi

Tidak digunakan lagi: Tindakan ini tidak digunakan lagi.

Gunakan tindakan Perkaya IP untuk memperkaya entitas IP menggunakan informasi dari IoC di Google SecOps.

Tindakan ini dijalankan pada entity `Alamat IP`.

Input tindakan

Tindakan Enrich IP memerlukan parameter berikut:

Parameter	Deskripsi
Create Insight	Opsional. Jika dipilih, tindakan ini akan membuat insight yang berisi informasi tentang entitas. Diaktifkan secara default.
Only Suspicious Insight	Opsional. Jika dipilih, tindakan ini hanya membuat insight untuk entity yang ditandai sebagai mencurigakan. Tidak diaktifkan secara default. Jika Anda memilih parameter ini, Create Insight juga harus dipilih.
Lowest Suspicious Severity	Wajib. Tingkat keparahan terendah yang terkait dengan alamat IP untuk menandainya mencurigakan. Nilai defaultnya adalah Medium. Nilai yang mungkin adalah sebagai berikut: High Medium Low Info
Mark Suspicious N/A Severity	Wajib. Jika dipilih dan informasi tentang tingkat keparahan tidak tersedia, tindakan menandai entitas sebagai mencurigakan.

Output tindakan

Tindakan Enrich IP memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Nama: ENTITY_IDENTIFIER

Kolom:

• Source
• Keparahan
• Kategori
• Keyakinan
• Domain Terkait

Pengayaan entitas

Tindakan Enrich IP mendukung logika pengayaan entitas berikut:

Kolom pengayaan	Logika (kapan harus diterapkan)
severity	Jika tersedia dalam JSON
average_confidence	Jika tersedia dalam JSON
related_domains	Jika tersedia dalam JSON
categories	Jika tersedia dalam JSON
sources	Jika tersedia dalam JSON
first_seen	Jika tersedia dalam JSON
last_seen	Jika tersedia dalam JSON
report_link	Jika tersedia dalam JSON

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Enrich IP dengan Backstory API:

{
            {
                "sources": [
                    {
                        "source": "Example List",
                        "confidenceScore": {
                            "normalizedConfidenceScore": "Low",
                            "intRawConfidenceScore": 0
                        },
                        "rawSeverity": "High",
                        "category": "Malware Command and Control Server"
                    }
                ],
                "iocIngestTime": "2021-01-26T17:00:00Z",
                "firstSeenTime": "2018-10-03T00:03:53Z",
                "lastSeenTime": "2022-02-09T10:52:21.229Z",
                "uri": [
                    "https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
                ]
            }
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Perkaya IP dengan Chronicle API:

[
  {
    "Entity": "192.0.2.121",
    "EntityResult": {
      "sources": [
        {
          "category": "Indicator was published in publicly available sources",
          "firstActiveTime": "1970-01-01T00:00:01Z",
          "lastActiveTime": "9999-12-31T23:59:59Z",
          "addresses": [
            {
              "ipAddress": "IP_ADDRESS"
            }
          ],
          "rawSeverity": "low",
          "confidenceScore": {
            "strRawConfidenceScore": "67"
          }
        }
      ],
      "feeds": [
        {
          "metadata": {
            "title": "Mandiant Open Source Intelligence",
            "description": "Open Source Intel IoC",
            "confidenceScoreBucket": {
              "rangeEnd": 100
            }
          },
          "iocs": [
            {
              "categorization": "Indicator was published in publicly available sources",
              "activeTimerange": {
                "start": "1970-01-01T00:00:01Z",
                "end": "9999-12-31T23:59:59Z"
              },
              "ipAndPorts": {
                "ipAddress": "IP_ADDRESS"
              },
              "confidenceScore": "67",
              "rawSeverity": "Low"
            }
          ]
        }
      ]
    }
  }
]

Pesan output

Tindakan Enrich IP memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully enriched the following IPs from Google Chronicle: LIST_OF_IPS	Tindakan berhasil.
Error executing action "Enrich IP". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Enrich IP:

Nama hasil skrip	Nilai
is_success	true atau false

Menjalankan Retrohunt

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Jalankan Retrohunt untuk menjalankan retrohunt aturan di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan Execute Retrohunt memerlukan parameter berikut:

Parameter	Deskripsi
Rule ID	Wajib. ID aturan untuk menjalankan retrohunt. Gunakan format ru_{UUID} untuk versi terbaru aturan, atau ru_{UUID}@v_{int64}_{int64} untuk versi tertentu.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Custom dipilih, parameter Start Time wajib diisi. Nilai defaultnya adalah Last Hour.
Start Time	Waktu mulai untuk hasil dalam format ISO 8601. Parameter ini wajib diisi jika parameter Time Frame ditetapkan ke Custom.
End Time	Waktu berakhir untuk hasil dalam format ISO 8601. Jika Anda tidak menetapkan nilai dan memilih nilai Custom untuk parameter Time Frame, waktu saat ini akan digunakan.

Output tindakan

Tindakan Execute Retrohunt memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Insight entitas	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute Retrohunt dengan Backstory API:

{
  "retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
  "ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
  "versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
  "eventStartTime": "2021-01-14T23:00:00Z",
  "eventEndTime": "2021-01-30T23:00:00Z",
  "retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
  "state": "RUNNING"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute Retrohunt dengan Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/RetrohuntMetadata",
    "retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
    "executionInterval": {
      "startTime": "2025-01-22T12:16:20.963182Z",
      "endTime": "2025-01-23T12:16:20.963182Z"
    }
  },
  "retrohuntId": "RETROHUNT_ID",
  "ruleId": "RULE_ID",
  "versionId": "VERSION_ID",
  "eventStartTime": "2025-01-22T12:16:20.963182Z",
  "eventEndTime": "2025-01-23T12:16:20.963182Z"
}

Pesan output

Tindakan Execute Retrohunt memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully executed a retrohunt for the provided rule in Google Chronicle.	Tindakan berhasil.
Error executing action "Execute Retrohunt". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute Retrohunt:

Nama hasil skrip	Nilai
is_success	true atau false

Menjalankan Kueri UDM

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Execute UDM Query untuk menjalankan kueri UDM kustom di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Untuk mengetahui informasi tentang batas kapasitas, lihat Batas kapasitas penelusuran UDM.

Input tindakan

Tindakan Execute UDM Query memerlukan parameter berikut:

Parameter	Deskripsi
Query	Wajib. Kueri yang akan dijalankan di Google SecOps. Catatan: Parameter ini melakukan pemeriksaan kepekaan huruf besar/kecil secara eksplisit pada kueri UDM (tidak seperti di penelusuran UDM). Untuk melewati pemeriksaan ini, tambahkan nocase ke nilai parameter UDM Query.
Include Raw Log Data	Opsional. Jika dipilih, tindakan ini akan mengambil file log mentah asli yang terkait dengan hasil penelusuran UDM. Opsi ini hanya tersedia saat menggunakan autentikasi Chronicle API. Dinonaktifkan secara default.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Custom dipilih, parameter Start Time wajib diisi. Nilai defaultnya adalah Last Hour.
Start Time	Opsional. Waktu mulai untuk hasil dalam format ISO 8601 (misalnya, YYYY-MM-DD HH:mm:ss.SSSZ). Parameter ini wajib diisi jika parameter Time Frame ditetapkan ke Custom. Rentang waktu maksimum adalah 90 hari.
End Time	Opsional. Waktu berakhir untuk hasil dalam format ISO 8601 (misalnya, YYYY-MM-DD HH:mm:ss.SSSZ). Jika Anda tidak menetapkan nilai dan parameter Time Frame ditetapkan ke Custom, maka waktu saat ini akan digunakan. Rentang waktu maksimum adalah 90 hari.
Max Results To Return	Opsional. Jumlah hasil yang akan ditampilkan untuk satu kueri. Nilai maksimum adalah 10,000. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Execute UDM Query memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute UDM Query:

{
    "events": [
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:43:47.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "I did not create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
            "udm": {
                "metadata": {
                    "enrichmentState": "ENRICHED",
                    "eventTimestamp": "2022-04-11T17:38:44.586Z",
                    "eventType": "EMAIL_TRANSACTION",
                    "ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
                    "productName": "Chronicle Internal"
                },
                "network": {
                    "email": {
                        "from": "[e-mail]",
                        "subject": [
                            "Did you create this service account"
                        ],
                        "to": [
                            "[e-mail]"
                        ]
                    }
                },
                "principal": {
                    "asset": {
                        "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                        "hostname": "test-pc",
                        "ip": [
                            "10.2.xx.yyy"
                        ],
                        "mac": [
                            "b5:1c:8b:xx:xx:xx"
                        ]
                    },
                    "assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
                    "hostname": "test-pc",
                    "ip": [
                        "10.2.xx.yyy"
                    ],
                    "location": {
                        "city": "San Francisco",
                        "countryOrRegion": "US",
                        "state": "California"
                    },
                    "mac": [
                        "b5:1c:8b:xx:xx:xx"
                    ],
                    "user": {
                        "attribute": {
                            "labels": [
                                {
                                    "key": "2FA Enabled",
                                    "value": "false"
                                }
                            ]
                        },
                        "department": [
                            "Cymbal Investments IT Contractors"
                        ],
                        "emailAddresses": [
                            "[e-mail]"
                        ],
                        "groupIdentifiers": [
                            "Contractors"
                        ],
                        "productObjectId": "test",
                        "title": "IT Support Agent",
                        "userDisplayName": "test test",
                        "userid": "test",
                        "windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
                    }
                },
                "rawLogData": {
                    "agent_id": "yyyyyy",
                    "aggregate_id": "yyyyyy",
                    "created_timestamp": "yyyyyy",
                    "decodedString": "yyyyyy",
                    "description": "yyyyyy",
                    "display_name": "yyyyyy",
                    "filename": "yyyyyy"
                },
                "securityResult": [
                    {
                        "action": [
                            "ALLOW"
                        ]
                    }
                ]
            }
        },
        {
            "avg_seconds": {
                "values": [
                    {
                        "doubleVal": 1755680893.3333333
                    }
                ]
            },
            "event_type_array": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            },
            "target.file.vhash": {
                "values": [
                    {
                        "stringVal": "673961a71ba82e0556ef95cb2147e212"
                    }
                ]
            }
        }
    ]
}

Pesan output

Tindakan Execute UDM Query memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	Tindakan berhasil.
Error executing action "Execute UDM Query". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Execute UDM Query". Reason: you've reached a rate limit. Please wait for several minutes and try again.	Tindakan gagal. Tunggu beberapa menit sebelum menjalankan tindakan lagi.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute UDM Query:

Nama hasil skrip	Nilai
is_success	true atau false

Menjalankan Kueri UDM Asinkron

Penting: Kueri gabungan hanya didukung melalui konfigurasi integrasi Chronicle API.

Gunakan tindakan Execute UDM Query Async untuk menjalankan kueri UDM kustom di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Tindakan ini bersifat asinkron. Sesuaikan nilai waktu tunggu skrip di lingkungan pengembangan terintegrasi (IDE) Google SecOps untuk tindakan sesuai kebutuhan.

Untuk mengetahui informasi tentang batas kapasitas, lihat Batas kapasitas penelusuran UDM.

Input tindakan

Tindakan Execute UDM Query memerlukan parameter berikut:

Parameter	Deskripsi
Query	Wajib. Kueri yang akan dijalankan di Google SecOps. Catatan: Parameter ini melakukan pemeriksaan kepekaan huruf besar/kecil secara eksplisit pada kueri UDM (tidak seperti di penelusuran UDM). Untuk melewati pemeriksaan ini, tambahkan nocase ke nilai parameter UDM Query.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Alert Time Till Now dipilih, tindakan akan menelusuri dari waktu mulai pemberitahuan hingga waktu saat ini. Jika 5 Minutes Around Alert Time, 30 Minutes Around Alert Time, atau 1 Hour Around Alert Time dipilih, tindakan akan menelusuri menit yang ditentukan di sekitar waktu mulai pemberitahuan. Jika Custom dipilih, parameter Start Time wajib diisi. Nilai defaultnya adalah Last Hour.
Start Time	Opsional. Waktu mulai untuk hasil dalam format ISO 8601 (YYYY-MM-DD HH:mm:ss.SSSZ). Parameter ini wajib diisi jika Time Frame ditetapkan ke Custom. Catatan: Start Time dan End Time harus berada dalam rentang 90 hari satu sama lain.
End Time	Opsional. Waktu berakhir untuk hasil dalam format ISO 8601 (YYYY-MM-DD HH:mm:ss.SSSZ). Jika Anda tidak menetapkan nilai dan Time Frame ditetapkan ke Custom, waktu saat ini akan digunakan. Catatan: Start Time dan End Time harus berada dalam rentang 90 hari satu sama lain.
Max Results To Return	Opsional. Jumlah hasil yang akan ditampilkan untuk satu kueri. Nilai maksimum adalah 1,000,000. Nilai defaultnya adalah 50.

Output tindakan

Tindakan Execute UDM Query Async memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute UDM Query Async:

{
    "events": [
        {
            "event": {
                "metadata": {
                    "eventTimestamp": "2022-01-20T09:15:15.687Z",
                    "eventType": "USER_LOGIN",
                    "vendorName": "Microsoft",
                    "productName": "Active Directory",
                    "ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
                },
                "principal": {
                    "hostname": "workstation-01",
                    "ip": [
                        "192.168.1.50"
                    ],
                    "mac": [
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E",
                        "00:1A:2B:3C:4D:5E"
                    ],
                    "location": {
                        "city": "Metropolis",
                        "state": "New York",
                        "countryOrRegion": "US"
                    },
                    "asset": {
                        "hostname": "workstation-01",
                        "ip": [
                            "192.168.1.50",
                            "192.168.1.50",
                            "192.168.1.50"
                        ],
                        "mac": [
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E",
                            "00:1A:2B:3C:4D:5E"
                        ]
                    }
                },
                "target": {
                    "user": {
                        "userid": "user_alpha",
                        "userDisplayName": "User Alpha",
                        "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
                        "emailAddresses": [
                            "[e-mail]",
                            "[e-mail]"
                        ],
                        "employeeId": "1234567",
                        "productObjectId": "11111111-2222-3333-4444-555555555555",
                        "firstName": "User",
                        "lastName": "Alpha",
                        "phoneNumbers": [
                            "555-0199-0000"
                        ],
                        "title": "Executive Assistant",
                        "companyName": "Example Corp",
                        "department": [
                            "Executive - Admin"
                        ],
                        "managers": [
                            {
                                "userDisplayName": "Manager Beta",
                                "windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
                                "emailAddresses": [
                                    "[e-mail]"
                                ],
                                "employeeId": "7654321",
                                "productObjectId": "66666666-7777-8888-9999-000000000000",
                                "firstName": "Manager",
                                "lastName": "Beta",
                                "phoneNumbers": [
                                    "555-0199-0001 ext 123"
                                ],
                                "title": "Chief Technology Officer",
                                "companyName": "Example Corp",
                                "department": [
                                    "Executive - Admin"
                                ]
                            }
                        ]
                    },
                    "ip": [
                        "203.0.113.10"
                    ],
                    "email": "[e-mail]",
                    "application": "Windows Sign In"
                },
                "securityResult": [
                    {
                        "summary": "Successful Login",
                        "action": [
                            "ALLOW"
                        ]
                    }
                ],
                "rawLogData": {
                    "agent_id": "00000000000000000000000000000001",
                    "aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
                    "data_domains": [
                        "Endpoint"
                    ],
                    "description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
                    "device": {
                        "agent_load_flags": "0",
                        "agent_local_time": "2025-08-07T01:42:54.415Z",
                        "agent_version": "7.27.18003.0",
                        "bios_manufacturer": "Generic Manufacturer LTD"
                    },
                    "template_instance_id": "10001",
                    "timestamp": "2025-08-19T15:08:13.742Z",
                    "user_name": "root"
                },
                "extensions": {
                    "auth": {
                        "type": "SSO"
                    }
                }
            },
            "eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
        }
    ]
}

Pesan output

Tindakan Execute UDM Query Async memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully returned results for the query QUERY in Google Chronicle. No results were found for the query QUERY in Google Chronicle.	Tindakan berhasil.
Error executing action "Execute UDM Query Async". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Execute UDM Query Async ". Reason: you've reached a rate limit. Please wait for several minutes and try again.	Tindakan gagal. Tunggu beberapa menit sebelum menjalankan tindakan lagi.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute UDM Query Async:

Nama hasil skrip	Nilai
is_success	true atau false

Buat Kueri UDM

(Pratinjau) Gunakan tindakan Buat Kueri UDM untuk membuat kueri UDM yang kompleks menggunakan perintah bahasa alami di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Tindakan ini memerlukan autentikasi Chronicle API. Autentikasi Backstory API lama tidak didukung

Input tindakan

Tindakan Generate UDM Query memerlukan parameter berikut:

Parameter	Deskripsi
Prompt	Wajib. Perintah yang digunakan sistem untuk membuat kueri UDM terstruktur.

Output tindakan

Tindakan Dapatkan Tabel Data memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Buat Kueri UDM:

{
  "query": "ip = \"10.0.0.1\""
}

Pesan output

Tindakan Buat Kueri UDM memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully generated a UDM query in Google SecOps.	Tindakan berhasil.
Error executing action "Generate UDM Query". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Buat Kueri UDM:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Tabel Data

Gunakan tindakan Get Data Tables untuk mengambil tabel data yang tersedia di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Tindakan ini hanya berfungsi dengan autentikasi Chronicle API. Backstory API tidak didukung. Jika Anda menggunakan deployment Unified SecOps, pastikan Anda telah mengonfigurasi akun layanan khusus dan memberikan kredensial di parameter integrasi.

Input tindakan

Tindakan Get Data Tables memerlukan parameter berikut:

Parameter	Deskripsi
Filter Key	Opsional. Kunci yang akan difilter Opsi Name mengacu pada nama tampilan tabel data. Kemungkinan nilainya adalah sebagai berikut: Name Description
Filter Logic	Opsional. Logika filter yang akan diterapkan. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk kecocokan substring)
Filter Value	Opsional. Nilai yang akan digunakan dalam filter. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk kecocokan substring) Equal berfungsi dengan parameter Title, sementara Contains berfungsi dengan semua nilai dalam respons. Jika tidak ada yang diberikan, filter tidak akan diterapkan.
Expanded Rows	Opsional. Jika dipilih, respons akan menyertakan baris tabel data yang mendetail. Tidak diaktifkan secara default.
Max Data Tables To Return	Wajib. Jumlah tabel data yang akan ditampilkan. Nilai maksimum adalah 1000.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan. Hanya gunakan parameter ini jika Expanded Rows diaktifkan. Nilai maksimum adalah 1000.

Output tindakan

Tindakan Dapatkan Tabel Data memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Data Tables:

{
      "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
      "displayName": "data_table",
      "createTime": "2025-05-14T12:52:50.064133Z",
      "updateTime": "2025-05-14T13:13:48.631442Z",
      "columnInfo": [
          {
              "originalColumn": "columnName1",
              "columnType": "STRING"
          },
          {
              "columnIndex": 1,
              "originalColumn": "columnName2",
              "columnType": "STRING"
          },
          {
              "columnIndex": 2,
              "originalColumn": "columnName3",
              "columnType": "STRING"
          }
      ],
      "dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
      "approximateRowCount": "2",
      "rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
}

Pesan output

Tindakan Get Data Tables memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found data tables for the provided criteria in Google SecOps	Tindakan berhasil.
Error executing action "Get Data Tables". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Dapatkan Tabel Data:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Detail Deteksi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Get Detection Details untuk mengambil informasi tentang deteksi di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan Get Detection Details memerlukan parameter berikut:

Parameter	Deskripsi
Rule ID	Wajib. ID aturan yang terkait dengan deteksi. Gunakan format ru_{UUID} untuk versi terbaru aturan, atau ru_{UUID}@v_{int64}_{int64} untuk versi tertentu.
Detection ID	Wajib. ID deteksi untuk mengambil detailnya. Jika karakter khusus diberikan, tindakan tidak akan gagal, tetapi akan menampilkan daftar deteksi.
Include Raw Log Data	Opsional. Jika dipilih, tindakan ini akan mengambil file log mentah asli yang terkait dengan hasil penelusuran UDM. Opsi ini hanya tersedia saat menggunakan autentikasi Chronicle API. Dinonaktifkan secara default.

Output tindakan

Tindakan Get Detection Details memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Detection Details:

{
    "collectionElements": [
        {
            "label": "e",
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2023-10-04T21:18:44Z",
                            "eventType": "NETWORK_CONNECTION",
                            "id": "yyyx=",
                            "ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
                            "logType": "UDM",
                            "productEventType": "Traffic - start",
                            "productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
                            "productName": "NGFW",
                            "vendorName": "Palo Alto Networks"
                        },
                        "network": {
                            "ipProtocol": "TCP",
                            "receivedBytes": "yyyyyyyyyxx",
                            "sentBytes": "yyyyyyyyyxx",
                            "sessionId": "yyyyyyyyyxx"
                        },
                        "principal": {
                            "asset": {
                                "hostname": "test3",
                                "ip": [
                                    "00.0.0.00"
                                ],
                                "mac": [
                                    "00:00:00:0b:c9:11"
                                ]
                            },
                            "hostname": "test3",
                            "ip": [
                                "x.x.0.x"
                            ],
                            "mac": [
                                "00:00:00:0b:c9:11"
                            ],
                            "port": 18985
                        },
                        "rawLogData": {
                            "action": "yyyyyy",
                            "decodedString": "yyyyyy",
                            "external_id": "yyyyyy",
                            "matching_status": "yyyyyy",
                            "severity": "yyyyyy",
                            "source": "yyyyyy"
                        },
                        "securityResult": [
                            {
                                "action": [
                                    "ALLOW"
                                ]
                            }
                        ],
                        "target": {
                            "asset": {
                                "hostname": "youtube.com"
                            },
                            "hostname": "youtube.com",
                            "port": 4548
                        }
                    }
                }
            ]
        }
    ],
    "createdTime": "2023-10-04T22:16:22.145254Z",
    "detection": [
        {
            "alertState": "ALERTING",
            "riskScore": 40,
            "ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
            "ruleLabels": [
                {
                    "key": "priority",
                    "value": "Medium"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ],
            "ruleName": "dns_not_google",
            "ruleType": "SINGLE_EVENT",
            "ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
            "urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
        }
    ],
    "detectionTime": "2023-10-04T21:18:44Z",
    "id": "yyyx-e380-yyyx-yyyx-yyyx",
    "timeWindow": {
        "endTime": "2023-10-04T21:18:44Z",
        "startTime": "2023-10-04T21:18:44Z"
    },
    "type": "RULE_DETECTION"
}

Pesan output

Tindakan Get Detection Details memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully fetched information about the detection with ID DETECTION_ID in Google Chronicle.	Tindakan berhasil.
Error executing action "Get Detection Details". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Get Detection Details:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Dapatkan Daftar Referensi untuk mengambil daftar referensi yang tersedia di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan Get Reference Lists memerlukan parameter berikut:

Parameter	Deskripsi
Filter Key	Kunci untuk memfilter. Kemungkinan nilainya adalah sebagai berikut: Name Content Type Description
Filter Logic	Logika filter yang akan diterapkan. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk kecocokan substring) Nilai defaultnya adalah Equal.
Filter Value	Nilai yang akan digunakan dalam filter. Kemungkinan nilainya adalah sebagai berikut: Equal (untuk pencocokan persis) Contains(untuk kecocokan substring) Equal berfungsi dengan parameter Title, sementara Contains berfungsi dengan semua nilai dalam respons. Jika tidak ada nilai yang diberikan, filter tidak akan diterapkan.
Expanded Details	Jika dipilih, tindakan ini akan menampilkan informasi mendetail tentang daftar referensi. Tidak diaktifkan secara default.
Max Reference Lists To Return	Jumlah daftar referensi yang akan ditampilkan. Nilai defaultnya adalah 100.

Output tindakan

Tindakan Get Reference List memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Di Dinding Kasus, Dapatkan Daftar Referensi menyediakan tabel berikut:

Nama: Available Reference Lists (Daftar Referensi yang Tersedia)

Kolom:

• Nama
• Deskripsi
• Jenis

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Reference Lists dengan Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Reference Lists dengan Chronicle API:

[
  {
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
    "displayName": "REFERENCE_LIST_ID",
    "revisionCreateTime": "2025-01-09T15:53:10.851775Z",
    "description": "Test reference list",
    "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
    "scopeInfo": {
      "referenceListScope": {}
    },
    "createTime": "2025-01-09T15:53:10.851775Z"
  }
]

Pesan output

Tindakan Get Reference Lists memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found reference lists for the provided criteria in Google Chronicle. The filter was not applied because parameter "Filter Value" has an empty value.	Tindakan berhasil.
Error executing action ACTION_NAME. Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action ACTION_NAME. Reason: "Invalid value was provided for "Max Reference Lists to Return": PROVIIDED_VALUE. Positive number should be provided.	Tindakan gagal. Periksa nilai untuk parameter Max Reference Lists to Return.

Skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Dapatkan Daftar Referensi:

Nama hasil skrip	Nilai
is_success	true atau false

Mendapatkan Detail Aturan

Gunakan tindakan Get Rule Details untuk mengambil informasi tentang aturan di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Informasi terkait aturan yang dikurasi hanya dapat diambil menggunakan Chronicle API dan mungkin memerlukan izin tertentu.

Input tindakan

Tindakan Get Rule Details memerlukan parameter berikut:

Parameter	Deskripsi
Rule ID	Wajib. ID unik aturan yang detailnya akan diambil. Nilai defaultnya adalah [Alert.rule_id].

Output tindakan

Tindakan Get Rule Details memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Rule Details dengan Backstory API:

{
    "ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
    "versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
    "ruleName": "SampleRule",
    "metadata": {
      "description": "Sample Description of the Rule",
      "author": "[e-mail]"
    },
    "ruleText": "rule SampleRule {
        meta:
          description = \"Sample Description of the Rule\"
          author = \"[e-mail]\"
        events:
          // This will just generate lots of detections
          $event.metadata.event_type = \"NETWORK_HTTP\"
        condition:
          $event
        } ",
    "liveRuleEnabled": true,
    "versionCreateTime": "2020-10-13T23:18:13.146879Z",
    "compilationState": "SUCCEEDED"
  }

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Get Rule Details dengan Chronicle API:

{
    "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
    "revisionId": "v_1733917896_973567000",
    "displayName": "Test_rule_SingleEvent",
    "text": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "author": "example_user",
    "metadata": {
        "author": "example_user",
        "description": "windowed single event example rule",
        "severity": null
    },
    "createTime": "2024-12-11T11:36:18.192127Z",
    "revisionCreateTime": "2024-12-11T11:51:36.973567Z",
    "compilationState": "SUCCEEDED",
    "type": "SINGLE_EVENT",
    "allowedRunFrequencies": [
        "LIVE",
        "HOURLY",
        "DAILY"
    ],
    "etag": "CMj55boGEJjondAD",
    "ruleId": "RULE_ID",
    "versionId": "RULE_ID@v_1733917896_973567000",
    "ruleName": "Test_rule_SingleEvent",
    "ruleText": "rule Test_rule_SingleEvent {\n  // This rule matches single events. Rules can also match multiple events within\n  // some time window. For details about how to write a multi-event rule, see\n  // URL\n\n  meta:\n    // Allows for storage of arbitrary key-value pairs of rule details - who\n    // wrote it, what it detects on, version control, etc.\n    // The \"author\" and \"severity\" fields are special, as they are used as\n    // columns on the rules dashboard. If you want to sort based on\n    // these fields on the dashboard, make sure to add them here.\n    // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n    author = \"example_user\"\n    description = \"windowed single event example rule\"\n    //severity = \"Medium\"\n\n  events:\n    $e.metadata.event_type = \"USER_LOGIN\"\n    $e.principal.user.userid = $user\n\n  //outcome:\n    // For a multi-event rule an aggregation function is required\n    // e.g., risk_score = max(0)\n    // See URL\n    //$risk_score = 0\n  match:\n    $user over 1m\n\n  condition:\n    #e > 0\n}\n",
    "ruleType": "SINGLE_EVENT",
    "versionCreateTime": "2024-12-11T11:51:36.973567Z"
}

Pesan output

Tindakan Get Rule Details memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully fetched information about the rule with ID RULE_ID in Google Chronicle.	Tindakan berhasil.
Error executing action "Get Rule Details". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Dapatkan Detail Aturan:

Nama hasil skrip	Nilai
is_success	true atau false

Apakah CIDR Ada di Tabel Data

Gunakan Is CIDR In Data Table untuk memeriksa apakah nilai CIDR tertentu ditemukan dalam tabel data tertentu di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Tindakan ini hanya berfungsi dengan autentikasi Chronicle API. Backstory API tidak didukung.

Jika Anda menggunakan deployment Unified SecOps, pastikan Anda telah mengonfigurasi akun layanan khusus dan memberikan kredensial dalam parameter integrasi.

Input tindakan

Tindakan Is CIDR In Data Table memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan dicari.
Column	Opsional. Daftar kolom yang dipisahkan koma untuk ditelusuri dalam tabel data. Jika Anda tidak memberikan nilai, tindakan akan menelusuri semua kolom.
CIDR	Wajib. Daftar nilai CIDR yang dipisahkan koma untuk ditelusuri dalam tabel data.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan untuk setiap nilai yang cocok. Nilai maksimum adalah 1000. Nilai defaultnya adalah 1000.

Output tindakan

Tindakan Is CIDR In Data Table memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is CIDR In Data Table:

[{
   "Entity": "asda",
   "EntityResult": {
       "is_found": true,
       "matched_rows": [
           {
               "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
               "values": {
                   "columnName1": "asda",
                   "columnName2": "asdasd",
                   "columnName3": "zxczxc"
               },
               "createTime": "2025-05-14T12:52:51.908143Z",
               "updateTime": "2025-05-14T12:52:51.908143Z"
           }
       ]
   }
}]

Pesan output

Tindakan Is CIDR In Data Table memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided CIDR values in the data table DATA_TABLE_NAME in Google SecOps	Tindakan berhasil.
Error executing action "Is CIDR In Data Table". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Is CIDR In Data Table:

Nama hasil skrip	Nilai
is_success	true atau false

Apakah Nilai Ada Dalam Tabel Data

Gunakan Is Value In Data Table untuk memeriksa apakah nilai yang diberikan ada dalam tabel data di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Tindakan ini hanya berfungsi dengan autentikasi Chronicle API. Backstory API tidak didukung. Jika Anda menggunakan deployment Unified SecOps, pastikan Anda telah mengonfigurasi akun layanan khusus dan memberikan kredensial di parameter integrasi.

Input tindakan

Tindakan Is Value In Data Table memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan dicari.
Column	Opsional. Daftar kolom yang dipisahkan koma untuk ditelusuri. Jika tidak ada nilai yang diberikan, tindakan akan menelusuri semua kolom.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditelusuri.
Case Insensitive Search	Opsional. Jika dipilih, penelusuran tidak peka huruf besar/kecil. Diaktifkan secara default.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan per nilai yang cocok. Nilai maksimum adalah 1000.

Output tindakan

Tindakan Is Value In Data Table memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Data Table:

[{
  "Entity": "asda",
  "EntityResult": {
      "is_found": true,
      "matched_rows": [
          {
              "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
              "values": {
                  "columnName1": "asda",
                  "columnName2": "asdasd",
                  "columnName3": "zxczxc"
              },
              "createTime": "2025-05-14T12:52:51.908143Z",
              "updateTime": "2025-05-14T12:52:51.908143Z"
          }
      ]
  }
}]

Pesan output

Tindakan Is Value In Data Table memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided values in the data table DATA_TABLE_NAME in Google SecOps.	Tindakan berhasil.
Terjadi error saat menjalankan tindakan "Is Value In Data Table". Alasan: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Is Value In Data Table". Reason: the following data tables were not found in: DATA_TABLE_NAME: COLUMN_NAMES. Please check the spelling.	Tindakan gagal.
Error executing action "Is Value In Data Table". Reason: This action isn't supported for Backstory API configuration. Please update the integration configuration.	Tindakan gagal.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Is Value In Data Table:

Nama hasil skrip	Nilai
is_success	true atau false

Apakah Nilai Dalam Tabel Data Asinkron

Gunakan tindakan Is Value In Data Table Async untuk memeriksa apakah nilai yang diberikan ditemukan dalam tabel data di Google SecOps secara asinkron menggunakan operasi penelusuran yang berjalan lama.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Catatan: Ini adalah tindakan asinkron. Sesuaikan nilai waktu tunggu skrip di Google SecOps IDE untuk tindakan sesuai kebutuhan.

Tindakan ini hanya berfungsi dengan autentikasi Chronicle API. Backstory API tidak didukung. Jika Anda menggunakan deployment Unified SecOps, pastikan Anda telah mengonfigurasi akun layanan khusus dan memberikan kredensial dalam parameter integrasi.

Input tindakan

Tindakan Is Value In Data Table Async memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan dicari.
Column	Opsional. Daftar kolom yang dipisahkan koma untuk ditelusuri dalam tabel data. Jika tidak ada nilai yang diberikan, tindakan akan menelusuri semua kolom.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditelusuri di dalam tabel data.
Case Insensitive Search	Opsional. Jika dipilih, penelusuran tidak peka huruf besar/kecil. Diaktifkan secara default.
Max Data Table Rows To Return	Wajib. Jumlah baris tabel data yang akan ditampilkan untuk setiap nilai yang cocok. Nilai maksimum adalah 1000. Nilai defaultnya adalah 1000.

Output tindakan

Tindakan Is Value In Data Table Async memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Data Table Async:

[
  {
    "Entity": "example_value",
    "EntityResult": {
      "is_found": true,
      "matched_rows": [
        {
          "createTime": "",
          "name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
          "updateTime": "",
          "values": {
            "columnName1": "example_value",
            "columnName2": "sample_data"
          }
        }
      ]
    }
  }
]

Pesan output

Tindakan Is Value In Data Table Async memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided values in the data table DATA_TABLE_NAME. No provided values were found in the data table DATA_TABLE_NAME.	Tindakan berhasil.
Error executing action "Is Value In Data Table Async". Reason: ERROR_REASON.	Tindakan gagal.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Is Value In Data Table Async:

Nama hasil skrip	Nilai
is_success	true atau false

Nilai Ada Dalam Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Apakah Nilai Ada Dalam Daftar Referensi untuk memeriksa apakah nilai yang diberikan ditemukan dalam daftar referensi di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan Apakah Nilai Ada dalam Daftar Referensi memerlukan parameter berikut:

Parameter	Deskripsi
Reference List Names	Wajib. Daftar nama daftar referensi yang dipisahkan koma untuk ditelusuri.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk ditelusuri.
Case Insensitive Search	Opsional. Jika dipilih, penelusuran tidak peka huruf besar/kecil.

Output tindakan

Tindakan Is Value In Reference List memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Reference List dengan Backstory API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Is Value In Reference List dengan Chronicle API:

{
    "Entity": "example.com",
    "EntityResult": {
        "found_in": [
            "Reference list names, where item was found"
        ],
        "not_found_in": [
            "Reference list names, where items wasn't found"
        ],
        "overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
    }
}

Pesan output

Tindakan Is Value In Reference List memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully searched provided values in the reference lists in Google Chronicle.	Tindakan berhasil.
Terjadi error saat menjalankan tindakan "Is Value In Reference List". Alasan: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Is Value In Reference List". Reason: the following reference lists were not found in Google Chronicle: MISSING_REFERENCE_LIST_NAME(S). Please use the action "Get Reference Lists" to see what reference lists are available.	Tindakan gagal. Jalankan tindakan Get Reference Lists untuk memeriksa daftar yang tersedia.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Nilai Ada dalam Daftar Referensi:

Nama hasil skrip	Nilai
is_success	true atau false

Membuat Daftar Aset

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan List Assets untuk mencantumkan aset di Google SecOps berdasarkan entitas terkait dalam jangka waktu tertentu.

Tindakan ini hanya mendukung hash MD5, SHA-1, dan SHA-256.

Tindakan ini berjalan di entity Google SecOps berikut:

• URL
• IP Address
• Hash

Input tindakan

Tindakan List Assets memerlukan parameter berikut:

Parameter	Deskripsi
Max Hours Backwards	Jumlah jam sebelum saat ini untuk mengambil aset. Nilai defaultnya adalah 1.
Create Insight	Jika dipilih, tindakan ini akan membuat insight dengan informasi tentang entity. Diaktifkan secara default.
Max Assets To Return	Jumlah aset yang akan ditampilkan. Nilai defaultnya adalah 50.
Time Frame	Opsional. Periode untuk mengambil hasil. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now 5 Minutes Around Alert Time 30 Minutes Around Alert Time 1 Hour Around Alert Time Custom Jika Custom dipilih, parameter Start Time wajib diisi. Nilai defaultnya adalah Last Hour.
Start Time	Waktu mulai dalam format ISO 8601. Parameter ini wajib diisi jika parameter Time Frame ditetapkan ke Custom.
End Time	Waktu berakhir dalam format ISO 8601. Jika Anda tidak menetapkan nilai dan menetapkan parameter Time Frame ke Custom, waktu saat ini akan digunakan.

Output tindakan

Tindakan List Assets memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Nama: ENTITY_IDENTIFIER

Kolom:

• Hostname
• Alamat IP
• Artefak yang Pertama Kali Terlihat
• Artefak Terakhir Terlihat

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Assets dengan Backstory API:

{
    "assets": [
      {
        "asset": {
          "hostname": "example"
        },
        "firstSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-02-28T09:18:15.675Z"
        },
        "lastSeenArtifactInfo": {
          "artifactIndicator": {
            "domainName": "www.example.com"
          },
          "seenTime": "2020-09-24T06:43:59Z"
        }
      }
    ],
    "uri": [
      "https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
    ]
  }

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Assets dengan Chronicle API:

[
  {
    "Entity": "192.0.2.229",
    "EntityResult": {
      "assets": [
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Open Source Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Open Source Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "OPEN_SOURCE_INTEL_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "ex  ",
            "valueType": "DOMAIN_NAME"
          }
        },
        {
          "artifactIndicator": {
            "domain": "example.com"
          },
          "sources": [
            "Mandiant Active Breach Intelligence"
          ],
          "categories": [
            "Indicator was published in publicly available sources"
          ],
          "assetIndicators": [
            {
              "assetIpAddress": "192.0.2.229"
            }
          ],
          "iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
          "firstSeenTimestamp": "2025-01-15T11:20:00Z",
          "lastSeenTimestamp": "2025-01-15T11:20:00Z",
          "filterProperties": {
            "stringProperties": {
              "IOC/ALERT SEVERITY": {
                "values": [
                  {
                    "rawValue": "Medium"
                  }
                ]
              },
              "IOC CONFIDENCE SCORE": {
                "values": [
                  {
                    "rawValue": "High"
                  }
                ]
              },
              "IOC FEED": {
                "values": [
                  {
                    "rawValue": "Mandiant Active Breach Intelligence"
                  }
                ]
              },
              "IOC CATEGORIES": {
                "values": [
                  {
                    "rawValue": "Indicator was published in publicly available sources"
                  }
                ]
              },
              "TLD": {
                "values": [
                  {
                    "rawValue": ".com"
                  }
                ]
              }
            }
          },
          "confidenceBucket": "High",
          "rawSeverity": "Medium",
          "logType": "MANDIANT_ACTIVE_BREACH_IOC",
          "confidenceScore": 100,
          "globalCustomerId": "ID",
          "confidenceScoreBucket": {
            "rangeEnd": 100
          },
          "categorization": "Indicator was published in publicly available sources",
          "domainAndPorts": {
            "domain": "example.com"
          },
          "activeTimerange": {
            "startTime": "1970-01-01T00:00:01Z",
            "endTime": "9999-12-31T23:59:59Z"
          },
          "feedName": "MANDIANT",
          "id": "ID",
          "fieldAndValue": {
            "value": "example.com",
            "valueType": "DOMAIN_NAME"
          }
        }
      ],
      "uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
    }
  }
]

Pesan output

Tindakan List Assets memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully listed related assets for the following entities from Google Chronicle: ENTITY_IDENTIFIER	Tindakan berhasil.
Error executing action "List Assets". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Assets:

Nama hasil skrip	Nilai
is_success	true atau false

Mencantumkan Acara

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Buat Daftar Peristiwa untuk mencantumkan peristiwa pada aset tertentu dalam jangka waktu yang ditentukan.

Tindakan ini hanya dapat mengambil 10.000 acara.

Tindakan ini berjalan di entity Google SecOps berikut:

• IP address
• MAC address
• Hostname

Input tindakan

Tindakan List Events memerlukan parameter berikut:

Parameter	Deskripsi
Event Types	Daftar jenis acara yang dipisahkan koma. Jika tidak ada nilai yang diberikan, semua jenis peristiwa akan diambil. Untuk mengetahui daftar semua nilai yang mungkin, lihat Nilai yang mungkin untuk jenis peristiwa.
Time Frame	Periode waktu yang ditentukan. Sebaiknya buat sekecil mungkin untuk mendapatkan hasil yang lebih baik. Jika Custom dipilih, parameter Start Time wajib diisi. Jika Max Hours Backwards dipilih, akan menyediakan filter waktu dan memastikan kompatibilitas mundur. Kemungkinan nilainya adalah sebagai berikut: Max Hours Backwards Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Nilai defaultnya adalah Custom.
Start Time	Waktu mulai dalam format ISO 8601. Parameter ini wajib diisi jika parameter Time Frame ditetapkan ke Custom.
End Time	Waktu berakhir dalam format ISO 8601. Jika tidak ada nilai yang diberikan dan parameter Time Frame ditetapkan ke Custom, waktu saat ini akan digunakan. Parameter ini menerima nilai now.
Reference Time	Waktu referensi untuk penelusuran peristiwa. Jika tidak ada nilai yang diberikan, tindakan akan menggunakan waktu berakhir sebagai referensi.
Output	Wajib. Format output. Kemungkinan nilainya adalah sebagai berikut: Events + Statistics Only Events Only Statistics
Max Events To Return	Jumlah peristiwa yang akan diproses untuk setiap jenis entity. Nilai defaultnya adalah 100.

Nilai yang mungkin untuk jenis peristiwa

Kemungkinan nilai untuk parameter Event Type adalah sebagai berikut:

• EVENTTYPE_UNSPECIFIED
• PROCESS_UNCATEGORIZED
• PROCESS_LAUNCH
• PROCESS_INJECTION
• PROCESS_PRIVILEGE_ESCALATION
• PROCESS_TERMINATION
• PROCESS_OPEN
• PROCESS_MODULE_LOAD
• REGISTRY_UNCATEGORIZED
• REGISTRY_CREATION
• REGISTRY_MODIFICATION
• REGISTRY_DELETION
• SETTING_UNCATEGORIZED
• SETTING_CREATION
• SETTING_MODIFICATION
• SETTING_DELETION
• MUTEX_UNCATEGORIZED
• MUTEX_CREATION
• FILE_UNCATEGORIZED
• FILE_CREATION
• FILE_DELETION
• FILE_MODIFICATION
• FILE_READ
• FILE_COPY
• FILE_OPEN
• FILE_MOVE
• FILE_SYNC
• USER_UNCATEGORIZED
• USER_LOGIN
• USER_LOGOUT
• USER_CREATION
• USER_CHANGE_PASSWORD
• USER_CHANGE_PERMISSIONS
• USER_STATS
• USER_BADGE_IN
• USER_DELETION
• USER_RESOURCE_CREATION
• USER_RESOURCE_UPDATE_CONTENT
• USER_RESOURCE_UPDATE_PERMISSIONS
• USER_COMMUNICATION
• USER_RESOURCE_ACCESS
• USER_RESOURCE_DELETION
• GROUP_UNCATEGORIZED
• GROUP_CREATION
• GROUP_DELETION
• GROUP_MODIFICATION
• EMAIL_UNCATEGORIZED
• EMAIL_TRANSACTION
• EMAIL_URL_CLICK
• NETWORK_UNCATEGORIZED
• NETWORK_FLOW
• NETWORK_CONNECTION
• NETWORK_FTP
• NETWORK_DHCP
• NETWORK_DNS
• NETWORK_HTTP
• NETWORK_SMTP
• STATUS_UNCATEGORIZED
• STATUS_HEARTBEAT
• STATUS_STARTUP
• STATUS_SHUTDOWN
• STATUS_UPDATE
• SCAN_UNCATEGORIZED
• SCAN_FILE
• SCAN_PROCESS_BEHAVIORS
• SCAN_PROCESS
• SCAN_HOST
• SCAN_VULN_HOST
• SCAN_VULN_NETWORK
• SCAN_NETWORK
• SCHEDULED_TASK_UNCATEGORIZED
• SCHEDULED_TASK_CREATION
• SCHEDULED_TASK_DELETION
• SCHEDULED_TASK_ENABLE
• SCHEDULED_TASK_DISABLE
• SCHEDULED_TASK_MODIFICATION
• SYSTEM_AUDIT_LOG_UNCATEGORIZED
• SYSTEM_AUDIT_LOG_WIPE
• SERVICE_UNSPECIFIED
• SERVICE_CREATION
• SERVICE_DELETION
• SERVICE_START
• SERVICE_STOP
• SERVICE_MODIFICATION
• GENERIC_EVENT
• RESOURCE_CREATION
• RESOURCE_DELETION
• RESOURCE_PERMISSIONS_CHANGE
• RESOURCE_READ
• RESOURCE_WRITTEN
• ANALYST_UPDATE_VERDICT
• ANALYST_UPDATE_REPUTATION
• ANALYST_UPDATE_SEVERITY_SCORE
• ANALYST_UPDATE_STATUS
• ANALYST_ADD_COMMENT

Output tindakan

Tindakan List Events memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Events:

{
    "statistics": {
"NETWORK_CONNECTION": 10
}
{
    "events": [
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T14:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      },
      {
        "metadata": {
          "eventTimestamp": "2020-09-28T17:20:00Z",
          "eventType": "NETWORK_CONNECTION",
          "productName": "EXAMPLE Name",
          "productEventType": "NETWORK_DNS",
          "ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
        },
        "principal": {
          "hostname": "user-example-pc",
          "assetId": "EXAMPLE:user-example-pc",
          "process": {
            "pid": "1101",
            "productSpecificProcessId": "EXAMPLE:32323"
          }
        },
        "target": {
          "hostname": "example.com",
          "user": {
            "userid": "user"
          },
          "process": {
            "pid": "8172",
            "file": {
              "md5": "a219fc7fcc93890a842183388f80369e",
              "fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
            },
            "commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
            "productSpecificProcessId": "EXAMPLE:82315"
          }
        }
      }
    ],
    "uri": [
      "https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
    ]
  }
}

Pesan output

Tindakan List Events memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully listed related events for the following entities from Google Chronicle: ENTITY_IDENTIFIER	Tindakan berhasil.
Error executing action "List Events". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "List Events". Reason: invalid event type is provided. Please check the spelling. Supported event types: SUPPORTED_EVENT_TYPES	Tindakan gagal. Periksa ejaan.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Events:

Nama hasil skrip	Nilai
is_success	true atau false

Mencantumkan IOC

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan List IOCs untuk mencantumkan semua IoC yang ditemukan di perusahaan Anda dalam rentang waktu tertentu.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan List IOCs memerlukan parameter berikut:

Parameter	Deskripsi
Start Time	Waktu mulai untuk hasil dalam format ISO 8601.
Max IoCs to Fetch	Jumlah maksimum IoC yang akan ditampilkan. Rentangnya adalah 1 - 10,000. Nilai defaultnya adalah 50.

Output tindakan

Tindakan List IOCs memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Tabel repositori kasus

Kolom:

• Domain
• Kategori
• Source
• Keyakinan
• Keparahan
• Waktu Penyerapan IoC
• Waktu Pertama Kali IoC Terlihat
• Waktu Terakhir Terlihat IoC
• URI

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List IOCs:

{
   "matches":[
      {
         "artifact":{
            "domainName":"www.example.com"
         },
         "firstSeenTime":"2018-05-25T20:47:11.048998Z",
         "iocIngestTime":"2019-08-14T21:00:00Z",
         "lastSeenTime":"2019-10-24T16:19:46.880830Z",
         "sources":[
            {
               "category":"Spyware Reporting Server",
               "confidenceScore":{
                  "intRawConfidenceScore":0,
                  "normalizedConfidenceScore":"Low"
               },
               "rawSeverity":"Medium",
               "source":"Example List"
            }
         ],
         "uri":["URI"]
      }
   ],
   "moreDataAvailable":true
}

Pesan output

Tindakan List IOCs memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully listed IOCs from the provided timeframe in Google Chronicle.	Tindakan berhasil.
Error executing action "List IOCs". Reason: ERROR_REASON.	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List IOCs:

Nama hasil skrip	Nilai
is_success	true atau false

Mencari Pemberitahuan Serupa

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Cari Pemberitahuan Serupa untuk menelusuri pemberitahuan serupa di Google SecOps.

Penting: Tindakan ini hanya berfungsi dengan pemberitahuan Google SecOps yang diterima dari Chronicle Alerts Connector.

Input tindakan

Tindakan Cari Pemberitahuan Serupa memerlukan parameter berikut:

Parameter	Deskripsi
Time Frame	Jangka waktu untuk hasil. Untuk mendapatkan hasil terbaik, pertahankan jangka waktu sesempit mungkin. Kemungkinan nilainya adalah sebagai berikut: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Alert Time Till Now: Menelusuri peristiwa dari waktu mulai pemberitahuan hingga End Time. 5 Minutes Around Alert Time: Menelusuri peristiwa 5 menit sebelum dan setelah waktu pembuatan pemberitahuan. 30 Minutes Around Alert Time: Menelusuri peristiwa 30 menit sebelum dan setelah waktu pembuatan pemberitahuan. 1 Hour Around Alert Time : Menelusuri peristiwa 1 jam sebelum dan setelah waktu pembuatan pemberitahuan.
IOCs / Assets	Wajib. Daftar IoC atau aset yang dipisahkan koma untuk ditemukan dalam pemberitahuan. Tindakan melakukan penelusuran terpisah untuk setiap item yang diberikan.
Similarity By	Atribut yang akan digunakan untuk menemukan pemberitahuan serupa. Kemungkinan nilainya adalah sebagai berikut: Alert Name, Alert Type and Product Alert Name and Alert Type Product Only IOCs/Assets Untuk mengetahui informasi selengkapnya tentang perilaku parameter ini. Nilai defaultnya adalah Alert Name, Alert Type and Product.

Cara kerja parameter Kemiripan Dengan

Parameter Similarity By berlaku secara berbeda untuk pemberitahuan Aturan dan pemberitahuan Eksternal.

• Jika Alert Name, Alert Type and Product atau Alert Name, Alert Type dipilih:

  • Untuk pemberitahuan Eksternal, tindakan ini akan menelusuri pemberitahuan Eksternal lain yang memiliki nama yang sama.

  • Untuk Notifikasi aturan, tindakan memproses notifikasi yang berasal dari aturan yang sama.

• Jika Product dipilih:

  • Tindakan ini memproses notifikasi yang berasal dari produk yang sama, terlepas dari apakah notifikasi tersebut adalah Notifikasi aturan atau Notifikasi eksternal.

  Misalnya, pemberitahuan yang berasal dari Crowdstrike hanya akan dicocokkan dengan pemberitahuan lain dari Crowdstrike.

• Jika Only IOCs/Assets dipilih:

  • Tindakan ini mencocokkan pemberitahuan berdasarkan IOC yang diberikan dalam parameter IOCs/Assets. Fitur ini menelusuri indikator ini di Notifikasi aturan dan Notifikasi eksternal.

  • Pemberitahuan IOC hanya dapat menjalankan tindakan ini jika opsi ini dipilih. Jika opsi lain diberikan, tindakan akan ditetapkan secara default ke Only IOCs/Assets.

Tindakan Cari Pemberitahuan Serupa adalah alat serbaguna untuk menganalisis pemberitahuan. Fitur ini memungkinkan analis mengorelasikan pemberitahuan dari periode waktu yang sama dan mengekstrak IOC yang relevan untuk menentukan apakah suatu insiden adalah positif sebenarnya.

Output tindakan

Tindakan Cari Pemberitahuan Serupa memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tersedia
Tabel repositori kasus	Tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Link repositori kasus

Tindakan Cari Pemberitahuan Serupa dapat menampilkan link berikut:

• CBN: GENERATED_LINK_BASED_ON_IU_ROOT_URL
• Aturan: GENERATED_LINK_BASED_ON_IU_ROOT_URL

Tabel repositori kasus

Nama tabel: IOC/ASSET_IDENTIFIER

Kolom tabel:

• Produk
• Nama host
• IP
• Pengguna
• Alamat Email
• Subjek
• URL
• Hash
• Proses
• Pertama Terlihat
• Terakhir Terlihat
• Nama Pemberitahuan
• Umum

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Lookup Similar Alerts:

{
    "count": 123,
    "distinct": [
        {
            "first_seen": "time of the first alert that matched our conditions",
            "last_seen": "time of the last alert that matched our conditions",
            "product_name": "product name",
            "used_ioc_asset": "what user provided in the parameter IOCs and Assets",
            "name": "Alert Name/Rule Name",
            "hostnames": "csv list of unique hostnames that were found in alerts",
            "urls": "csv list of unique urls that were found in alerts",
            "ips": "csv list of unique ips that were found in alerts",
            "subjects": "csv list of unique subjects that were found in alerts",
            "users": "csv list of unique users that were found in alerts",
            "email_addresses": "csv list of unique email_addresses that were found in alerts",
            "hashes": "csv list of unique hashes that were found in alerts",
            "processes": "csv list of unique processes that were found in alerts"
            "rule_urls": ["Chronicle URL from API response for Rule"]
            "count": 123
        }
    ],
    "processed_alerts": 10000,
    "run_time": "how long it took to run the action or at least API request",
    "EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"

}

Pesan output

Tindakan Lookup Similar Alerts memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully found similar alerts from the provided timeframe in Google Chronicle. No similar alerts were found from the provided timeframe in Google Chronicle.	Tindakan berhasil.
Error executing action "Lookup Similar Alerts". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.
Error executing action "Lookup Similar Alerts". Reason: all of the retries are exhausted. Please wait for a minute and try again.	Tindakan gagal. Tunggu beberapa menit sebelum menjalankan tindakan lagi.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Cari Pemberitahuan Serupa:

Nama hasil skrip	Nilai
is_success	true atau false

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Ping memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully connected to the Google Chronicle backstory with the provided connection parameters!	Tindakan berhasil.
Failed to connect to the Google Chronicle backstory. Error is ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
is_success	true atau false

Menghapus Baris dari Tabel Data

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Hapus Baris Dari Tabel Data untuk menghapus baris dari tabel data di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan Hapus Baris dari Tabel Data memerlukan parameter berikut:

Parameter	Deskripsi
Data Table Name	Wajib. Nama tampilan tabel data yang akan diupdate.
Rows	Wajib. Daftar objek JSON yang digunakan untuk menelusuri dan menghapus baris. Hanya sertakan kolom yang valid. Nilai defaultnya adalah sebagai berikut: [ { "columnName1": "value1", "columnName2": "value2", }, { "columnName1": "value1", "columnName2": "value2", } ]

Output tindakan

Tindakan Hapus Baris Dari Tabel Data memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Hapus Baris dari Tabel Data:

{
          "name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
          "values": {
              "columnName1": "asda",
              "columnName2": "asdasd",
              "columnName3": "zxczxc"
          },
          "createTime": "2025-05-14T12:52:51.908143Z",
          "updateTime": "2025-05-14T12:52:51.908143Z"
}

Pesan output

Tindakan Hapus Baris dari Tabel Data memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully removed rows from the data table DATA_TABLE_NAME in Google SecOps.	Tindakan berhasil.
Error executing action "Remove Rows From Data Table". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Hapus Baris dari Tabel Data:

Nama hasil skrip	Nilai
is_success	true atau false

Menghapus Nilai dari Daftar Referensi

Perhatian: Tindakan ini bergantung pada Backstory API lama, yang akan berhenti berfungsi secara permanen pada 20 Juli 2027. Untuk mencegah kegagalan playbook, Anda harus mengupgrade integrasi Google Chronicle ke versi 54 atau yang lebih tinggi untuk menggunakan Chronicle API. Pantau output tindakan ini setelah mengupgrade, karena format output dapat berubah.

Gunakan tindakan Hapus Nilai dari Daftar Referensi untuk menghapus nilai dari daftar referensi di Google SecOps.

Tindakan ini tidak dijalankan pada entity Google SecOps.

Input tindakan

Tindakan Hapus Nilai dari Daftar Referensi memerlukan parameter berikut:

Parameter	Deskripsi
Reference List Name	Wajib. Nama daftar referensi yang akan diperbarui.
Values	Wajib. Daftar nilai yang dipisahkan koma untuk dihapus dari daftar referensi.

Output tindakan

Tindakan Hapus Nilai dari Daftar Referensi memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Hapus Nilai dari Daftar Referensi dengan Backstory API:

{
   "name": "list_name",
   "description": "description of the list",
   "lines": [
       "192.0.2.0/24",
       "198.51.100.0/24"
   ],
   "create_time": "2020-11-20T17:18:20.409247Z",
   "content_type": "CIDR"
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Hapus Nilai dari Daftar Referensi dengan Chronicle API:

{
  "name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/<var class="readonly">REFERENCE_LIST_NAME</var>' }}",
  "displayName": "REFERENCE_LIST_NAME",
  "revisionCreateTime": "2025-01-16T09:15:21.795743Z",
  "description": "Test reference list",
  "entries": [
    {
      "value": "example.com"
    },
    {
      "value": "exampledomain.com"
    }
  ],
  "syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
  "scopeInfo": {
    "referenceListScope": {}
  },
  "createTime": "2025-01-16T09:15:21.795743Z",
  "lines": [
    "example.com",
    "exampledomain.com"
  ]
}

Pesan output

Tindakan Hapus Nilai dari Daftar Referensi memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully removed values from the reference list.	Tindakan berhasil.
Error executing action "Remove Values From Reference List". Reason: ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Hapus Nilai dari Daftar Referensi:

Nama hasil skrip	Nilai
is_success	true atau false

Konektor

Untuk mempelajari lebih lanjut cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data Anda (konektor).

Catatan: Untuk mencegah kehilangan data, konektor menggunakan Perataan Peristiwa. Jika pemberitahuan mentah berisi daftar entitas (seperti beberapa alamat email, nama host, atau alamat IP), konektor akan otomatis meratakan entitas tersebut menjadi peristiwa terpisah dan unik.

Misalnya, satu pemberitahuan mentah yang berisi tiga alamat email berbeda akan diserap sebagai tiga peristiwa terpisah, yang masing-masing berisi satu alamat email yang berbeda.

Proses ini memastikan bahwa setiap entitas diindeks dengan benar sebagai aset unik, sehingga dapat ditelusuri dan dapat ditindaklanjuti sepenuhnya dalam playbook.

Google Chronicle - Chronicle Alerts Connector

Penting: Untuk memastikan fungsi yang berkelanjutan sebelum penghentian penggunaan API lama, Anda harus mengonfigurasi konektor ini secara eksplisit untuk menggunakan Chronicle API. Pastikan metode autentikasi yang diterapkan di sini sama persis dengan konfigurasi integrasi Anda.

Gunakan Google Chronicle - Chronicle Alerts Connector untuk menarik informasi tentang pemberitahuan berbasis aturan dari Google SecOps.

Catatan: Konektor ini dapat difilter menggunakan daftar dinamis.

Ringkasan

Google Chronicle - Chronicle Alerts Connector menyerap pemberitahuan berbasis aturan dari Google SecOps.

Fitur utama dan detail operasional meliputi:

• Mengkueri data dalam periode satu minggu. Untuk mencegah keterlambatan pengindeksan yang menyebabkan pemberitahuan terlewat, periode padding dan waktu tunggu konektor yang lebih lama dapat dikonfigurasi, meskipun padding yang signifikan dapat memengaruhi performa secara negatif.

• Memanfaatkan daftar dinamis untuk konfigurasi yang fleksibel.

• Menyediakan Fallback Severity untuk pemberitahuan yang tidak memiliki nilai tingkat keparahan.

  Catatan: Konektor menyerap data setelah batas Script Timeout (Seconds) tercapai atau nilai minimum Max Alerts To Fetch terpenuhi. Di lingkungan dengan volume pemberitahuan rendah, nilai waktu tunggu skrip yang tinggi dapat menyebabkan penundaan karena proses tetap aktif saat menunggu data. Karena setelan optimal bergantung pada volume tenant dan persyaratan penyerapan data spesifik Anda, Google merekomendasikan pengujian konfigurasi untuk menyeimbangkan batas waktu dengan rasio kedatangan pemberitahuan.

Filter daftar dinamis

Daftar dinamis digunakan untuk memfilter pemberitahuan langsung dari halaman konfigurasi konektor.

Logika operator

Daftar dinamis menggunakan kombinasi evaluasi berbasis set dan logika multi-baris untuk memproses aturan filter:

• Nilai yang dipisahkan koma (evaluasi set): Nilai pada baris yang sama, yang dipisahkan oleh koma, diperlakukan sebagai satu set. Logika yang diterapkan bergantung pada operator yang digunakan:

  • Pencantuman (=): Berfungsi sebagai daftar yang diizinkan.

  Menerima pemberitahuan jika nilai cocok dengan item apa pun dalam daftar (misalnya, Rule.severity = low,medium berarti low ATAU medium).

  • Pengecualian (!=): Berfungsi sebagai daftar yang diblokir.

  Menerima pemberitahuan hanya jika nilai tidak cocok dengan item apa pun dalam daftar (misalnya, Rule.ruleName != rule_a,rule_b berarti nama aturan BUKAN rule_a DAN BUKAN rule_b).

• Baris terpisah (logika AND): Setiap baris terpisah dalam daftar dinamis semakin membatasi filter (misalnya, Baris 1 AND Baris 2).

• Operator yang didukung: (=, !=, >, <, >=, <=) bervariasi bergantung pada kunci filter.

Berikut adalah contoh penggunaan aturan operator:

• Rule.severity = medium: Konektor hanya menyerap pemberitahuan aturan dengan tingkat keparahan sedang.

• Rule.severity = low,medium: Konektor hanya menyerap notifikasi aturan dengan tingkat keseriusan sedang atau rendah.

• Rule.ruleName != rule_a,rule_b: Konektor menyerap semua pemberitahuan kecuali pemberitahuan yang nama aturannya adalah rule_a atau rule_b.

• Rule.ruleName = default_rule: Konektor hanya menyerap pemberitahuan aturan dengan nama default_rule.

Filter yang didukung

Chronicle Alerts Connector mendukung pemfilteran pada kunci berikut:

Kunci filter	Kunci respons	Operator	Nilai yang memungkinkan
Rule.severity	detection atau ruleLabels atau severity	=, !=, >, <, >=, <=	Info, Error, Low, Medium, High, Critical. Nilai ini tidak peka huruf besar/kecil.
Rule.ruleName	detection atau ruleName	=, !=	Ditentukan oleh pengguna.
Rule.ruleID	detection atau ruleId	=, !=	Ditentukan oleh pengguna.
Rule.ruleType	detection atau ruleClass	=, !=	curated, custom. Nilai ini tidak peka huruf besar/kecil.
Rule.ruleLabels.{key}	detection atau ruleLabels	=, !=	Ditentukan oleh pengguna.

Menangani ruleLabels

Untuk memfilter label tertentu dalam aturan, gunakan format Rule.ruleLabels.{key}.

Misalnya, untuk memfilter label dengan kunci type dan nilai suspicious_behaviour, input daftar dinamisnya harus:

Rule.ruleLabels.type=suspicious_behaviour

Input konektor

Chronicle Alerts Connector memerlukan parameter berikut:

Nilai defaultnya adalah Medium.

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai penggantian yang dirujuk dari kode. Input yang tidak valid untuk parameter ini akan diselesaikan ke nilai penggantian secara default. Nilai defaultnya adalah Product Name.
Event Field Name	Wajib. Nama kolom yang menentukan nama peristiwa (subjenis).
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom environment tidak ada, konektor akan menggunakan nilai default. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib. Batas waktu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
API Root	Wajib. Root API instance Google SecOps. Google SecOps menyediakan endpoint regional untuk setiap API, misalnya, https://europe-backstory.googleapis.com atau https://asia-southeast1-backstory.googleapis.com Hubungi Cloud Customer Care untuk mengetahui endpoint mana yang harus digunakan. Nilai defaultnya adalah https://backstory.googleapis.com.
User's Service Account	Wajib. Konten JSON lengkap akun layanan yang digunakan untuk autentikasi.
Fallback Severity	Wajib. Tingkat keparahan default yang akan digunakan jika pemberitahuan dari Google SecOps tidak menyertakan nilai tingkat keparahan. Kemungkinan nilainya adalah sebagai berikut: Critical High Medium Low Info
Max Hours Backwards	Opsional. Jumlah jam sebelum konektor awal dijalankan untuk mengambil insiden dari. Parameter ini hanya berlaku satu kali. Nilai maksimumnya adalah 168 (satu minggu). Nilai defaultnya adalah 1.
Max Alerts To Fetch	Opsional. Jumlah pemberitahuan yang akan diproses dalam setiap iterasi konektor. Nilai defaultnya adalah 100.
Disable Event Splitting	Opsional. Jika dipilih, konektor tidak membagi peristiwa asli menjadi beberapa bagian, sehingga memastikan jumlah peristiwa cocok antara sumber dan Google SecOps SOAR. Tidak diaktifkan secara default.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.
Proxy Server Address	Opsional. Alamat server proxy yang akan digunakan.
Proxy Username	Opsional. Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional. Sandi proxy untuk melakukan autentikasi.
Disable Overflow	Opsional. Jika dipilih, konektor akan mengabaikan mekanisme peluapan Google SecOps. Tidak diaktifkan secara default.
Validate Dynamic List Entries	Opsional. Jika diaktifkan, konektor akan memvalidasi bahwa entri dalam Daftar Dinamis ada di platform sebelum diproses untuk mencegah error penyerapan. Tidak diaktifkan secara default.

Aturan konektor

Google Chronicle - Chronicle Alerts Connector mendukung proxy.

Peristiwa konektor

Bagian berikut menjelaskan struktur peristiwa yang diambil oleh konektor. Konektor ini secara khusus menarik pemberitahuan yang dihasilkan oleh aturan deteksi dalam Google SecOps.

Pemberitahuan berbasis aturan

Jenis peristiwa ini dibuat saat aturan deteksi cocok dengan data log yang masuk. Output JSON berisi metadata aturan, ID deteksi unik, dan data peristiwa UDM terkait yang memicu pemberitahuan.

 {
    "alert_type": "RULE",
    "event_type": "NETWORK_DHCP",
    "type": "RULE_DETECTION",
    "detection": [
        {
            "ruleName": "d3_test",
            "urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
            "ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
            "ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
            "alertState": "NOT_ALERTING",
            "ruleType": "SINGLE_EVENT",
            "ruleLabels": [
                {
                    "key": "author",
                    "value": "analyst123"
                },
                {
                    "key": "description",
                    "value": "8:00 AM local time"
                },
                {
                    "key": "severity",
                    "value": "Medium"
                }
            ]
        }
    ],
    "createdTime": "2022-02-08T06:07:33.944951Z",
    "id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
    "timeWindow": {
        "startTime": "2022-02-08T05:02:36Z",
        "endTime": "2022-02-08T05:02:36Z"
    },
    "collectionElements": [
        {
            "references": [
                {
                    "event": {
                        "metadata": {
                            "eventTimestamp": "2022-02-08T05:02:36Z",
                            "eventType": "NETWORK_DHCP",
                            "productName": "Infoblox DHCP",
                            "ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
                        },
                        "principal": {
                            "ip": [
                                "198.51.100.255",
                                "198.51.100.1"
                            ],
                            "mac": [
                                "01:23:45:ab:cd:ef"
                            ],
                            "email_address": [
                                "[e-mail]"
                            ]
                        },
                        "target": {
                            "hostname": "dhcp_server",
                            "ip": [
                                "198.51.100.0",
                                "198.51.100.1"
                            ]
                        },
                        "network": {
                            "applicationProtocol": "DHCP",
                            "dhcp": {
                                "opcode": "BOOTREQUEST",
                                "ciaddr": "198.51.100.255",
                                "giaddr": "198.51.100.0",
                                "chaddr": "01:23:45:ab:cd:ef",
                                "type": "REQUEST",
                                "clientHostname": "example-user-pc",
                                "clientIdentifier": "AFm/LDfjAw=="
                            }
                        }
                    }
                }
            ],
            "label": "e"
        }
    ],
    "detectionTime": "2022-02-08T05:02:36Z"
}

Struktur pemberitahuan

Tabel berikut menjelaskan cara Google Chronicle - Chronicle Alerts Connector mengisi atribut pemberitahuan di Google SecOps.

Atribut yang dihasilkan secara internal

Atribut ini berasal dari pemberitahuan sumber.

Catatan: Beberapa atribut pemberitahuan tidak diisi oleh konektor ini karena Chronicle API tidak menyediakan kolom yang sesuai untuk data ini dalam respons pemberitahuan.

Nama Atribut Pemberitahuan	Sumber
SourceSystemName	Dibuat secara internal oleh framework.
TicketId	Nilai diambil dari file ids.json.
DisplayId	Dibuat secara otomatis.

Atribut untuk semua jenis pemberitahuan

Atribut ini berasal dari pemberitahuan sumber.

Catatan: Beberapa atribut pemberitahuan tidak diisi oleh konektor ini karena Chronicle API tidak menyediakan kolom yang sesuai untuk data ini dalam respons pemberitahuan.

Nama Atribut Pemberitahuan	Sumber
Priority	Diambil dari respons API atau parameter Fallback Severity.
DeviceVendor	Nilai yang dikodekan secara permanen adalah Google Chronicle.
DeviceProduct	Nilai yang dikodekan secara permanen adalah RULE.
Description	Diambil dari detection/ruleLabels/description (jika ada).
Reason	Tidak tersedia.
SourceGroupingIdentifier	Tidak tersedia.
Chronicle Alert - Attachments	Tidak tersedia.

Tidak digunakan lagi: Google Chronicle - Alerts Connector

Konektor ini tidak lagi mendapatkan update atau perubahan kode.

Sebagai gantinya, gunakan Chronicle Alerts Connector.

Konektor ini menarik pemberitahuan aset dari Google SecOps dan mengonversinya menjadi pemberitahuan Google SecOps.

Anda dapat melakukan autentikasi menggunakan library Google dengan google.oauth2.service_account dan AuthorizedSession.

Konektor ini memerlukan SIEM Search API Google SecOps.

Input konektor

Alerts Connector memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai penggantian yang dirujuk dari kode. Input yang tidak valid untuk parameter ini akan diselesaikan ke nilai penggantian secara default. Nilai defaultnya adalah Product Name.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom environment tidak ada, konektor akan menggunakan nilai default. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib. Batas waktu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
Service Account Credentials	Wajib. Konten file JSON akun layanan.
Fetch Max Hours Backwards	Opsional. Jumlah jam sebelum konektor awal dijalankan untuk mengambil insiden dari. Parameter ini hanya berlaku satu kali. Nilai maksimumnya adalah 168 (satu minggu). Nilai defaultnya adalah 1.

Tidak digunakan lagi: Google Chronicle - IoCs Connector

Konektor ini tidak lagi mendapatkan update atau perubahan kode.

Sebagai gantinya, gunakan Chronicle Alerts Connector.

Konektor ini menarik kecocokan domain IOC dari Google SecOps dan mengonversinya menjadi pemberitahuan Google SecOps.

Anda dapat melakukan autentikasi menggunakan library Google dengan google.oauth2.service_account dan AuthorizedSession.

Konektor ini menggunakan Google SecOps Search API.

Input konektor

Konektor Google Chronicle - IoCs memerlukan parameter berikut:

Parameter	Deskripsi
Product Field Name	Wajib. Nama kolom tempat nama produk disimpan. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default di-resolve ke nilai penggantian yang dirujuk dari kode. Input yang tidak valid untuk parameter ini akan diselesaikan ke nilai penggantian secara default. Nilai defaultnya adalah Product Name.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom environment tidak ada, konektor akan menggunakan nilai default. Nilai defaultnya adalah "".
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib. Batas waktu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180.
Service Account Credentials	Wajib. Konten file JSON akun layanan.
Fetch Max Hours Backwards	Opsional. Jumlah jam sebelum konektor awal dijalankan untuk mengambil pemberitahuan. Parameter ini hanya berlaku satu kali. Nilai maksimumnya adalah 168 (satu minggu). Nilai defaultnya adalah 1.
Max Alerts To Fetch	Opsional. Jumlah maksimum pemberitahuan yang akan diproses dalam setiap iterasi konektor. Nilai defaultnya adalah 100.

Pekerjaan

Untuk mengetahui informasi selengkapnya tentang tugas, lihat Mengonfigurasi tugas baru dan Penjadwalan lanjutan.

Prasyarat konfigurasi tugas

Penting: Jika Anda memperbarui integrasi, buat ulang tugas Google SecOps untuk memperbarui kodenya.

Sebelum melanjutkan ke konfigurasi tugas, konfigurasi Chronicle Alerts Connector.

Untuk mengonfigurasi tugas Google Chronicle, ikuti langkah-langkah berikut:

1. Di Google SecOps SOAR, buka Respons > Penjadwal Tugas.

2. Klik addCreate New Job.

3. Pada dialog Add Job yang muncul, pilih tugas Google Chronicle yang sesuai, lalu klik Save.

4. Opsional: Edit nama dan deskripsi tugas, jika perlu.

5. Di bagian Job Details:

   • Pastikan GoogleChronicle dipilih di kolom Integration.

   • Untuk menjalankan tugas secara otomatis pada interval tertentu, siapkan interval penjadwal. Konfigurasi penjadwal wajib dilakukan untuk menyelesaikan konfigurasi tugas.

     Karena tugas Google Chronicle dapat menyinkronkan data dalam jumlah besar dalam satu kali proses, Google merekomendasikan agar Anda menetapkan interval penjadwal minimal 2 menit.

Google Chronicle - Tugas Sinkronisasi Data

Penting: Untuk memastikan fungsi yang berkelanjutan sebelum penghentian penggunaan API lama, Anda harus mengonfigurasi konektor ini secara eksplisit untuk menggunakan Chronicle API. Pastikan metode autentikasi yang diterapkan di sini sama persis dengan konfigurasi integrasi Anda.

Pekerjaan ini berfungsi dengan pemberitahuan yang dibuat oleh Chronicle Alerts Connector dan pekerjaan Chronicle Alerts Creator, tetapi tidak dengan pemberitahuan dari konektor yang tidak digunakan lagi (Alerts Connector dan IOCs Connector).

Pekerjaan Google Chronicle Sync Data menyinkronkan pemberitahuan dan kasus Google SecOps yang diperbarui yang dikelola di Google SecOps SOAR kembali ke Google SecOps. Oleh karena itu, Anda dapat melacak informasi yang sama di kedua sistem segera setelah Anda melakukan perubahan di Google SecOps SOAR.

Sinkronisasi data kasus dan pemberitahuan

Pekerjaan Google Chronicle Sync Data melacak dan menyinkronkan kolom berikut untuk kasus:

Kolom yang dilacak	Kolom yang disinkronkan
Priority	Priority
Status	Status
Title	Title
Tidak berlaku	Stage
Tidak berlaku	Google SecOps Case ID
Tidak berlaku	Google SecOps Case ID

ID Kasus Google SecOps adalah ID kasus unik di Google SecOps SOAR dan Google SecOps.

Tugas Google Chronicle Sync Data melacak dan menyinkronkan kolom berikut untuk pemberitahuan:

Kolom yang dilacak	Kolom yang disinkronkan
Priority	Priority
Status	Status
Case ID	Tidak berlaku
Tidak berlaku	Google SecOps Alert ID
Tidak berlaku	Google SecOps Case ID
Tidak berlaku	Verdict
Tidak berlaku	Closure Comment
Tidak berlaku	Closure Reason
Tidak berlaku	Closure Root Cause
Tidak berlaku	Usefulness

ID Pemberitahuan Google SecOps adalah ID pemberitahuan unik di Google SecOps SOAR.

Dalam satu iterasi, tugas menyinkronkan hingga 1.000 kasus dan 1.000 pemberitahuan. Sinkronisasi terjadi dalam lingkungan Google SecOps SOAR yang ditentukan dalam konfigurasi tugas. Mekanisme sinkronisasi memastikan bahwa kasus dari lingkungan yang ditentukan tidak dapat disinkronkan dengan lingkungan lain.

Mengonfigurasi tugas Data Sinkronisasi Google Chronicle

Pekerjaan ini hanya menyinkronkan kasus Google SecOps SOAR yang di-ingest dari Google SecOps.

Pastikan Anda telah menyelesaikan langkah-langkah prasyarat sebelum mengonfigurasi tugas ini.

Untuk mengonfigurasi tugas Google Chronicle Sync Data, ikuti langkah-langkah berikut:

1. Di bagian Parameters, konfigurasi parameter berikut:

   Parameter	Deskripsi
   Environment	Wajib. Nama lingkungan yang dibuat di Google SecOps SOAR untuk menyinkronkan kasus dan pemberitahuan.
   API Root	Wajib. Root API instance Google SecOps. Google SecOps menyediakan endpoint regional untuk setiap API. Misalnya, https://europe-backstory.googleapis.com atau https://asia-southeast1-backstory.googleapis.com. Jika Anda tidak tahu endpoint mana yang harus digunakan, [hubungi Cloud Customer Care](/chronicle/docs/getting-support). Nilai defaultnya adalah https://backstory.googleapis.com.
   User's Service Account	Wajib. Konten file JSON akun layanan instance Google SecOps Anda.
   Max Hours Backwards	Opsional. Jumlah jam untuk mengambil notifikasi. Hanya gunakan bilangan positif. Nilai defaultnya adalah 24.
   Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.

   Job Google Chronicle Sync Data diaktifkan secara default. Saat Anda menyimpan tugas yang dikonfigurasi dengan benar, tugas tersebut akan segera menyinkronkan data dengan Google SecOps. Untuk menonaktifkan tugas, alihkan tombol di samping nama tugas.

2. Untuk menyelesaikan konfigurasi, klik Save.

   Jika tombol Simpan tidak aktif, pastikan Anda telah menetapkan semua parameter wajib.

3. Opsional: Untuk menjalankan tugas segera setelah menyimpan, klik Jalankan Sekarang.

   Opsi Jalankan Sekarang memungkinkan Anda memicu satu eksekusi tugas yang menyinkronkan data kasus dan pemberitahuan SOAR Google SecOps saat ini dengan Google SecOps.

Pesan log

Tabel berikut mencantumkan kemungkinan pesan log untuk tugas Sinkronisasi Data Google Chronicle:

Entri log	Jenis	Deskripsi
Unable to parse credentials as JSON. Please validate creds.	Error	Akun layanan yang diberikan dalam parameter User's Service Account rusak.
"Max Hours Backwards" parameter must be a positive number.	Error	Parameter Max Hours backwards disetel ke 0 atau angka negatif.
Current platform version doesn't support SDK methods designed for Google SecOps. Please use version 6.1.33 or higher.	Error	Versi instance platform Google SecOps saat ini tidak mendukung eksekusi skrip tugas Data Sinkronisasi Chronicle. Artinya, versi build instance lebih lama dari 6.1.33.
Unable to connect to Google SecOps, please validate your credentials: CREDENTIALS	Error	Nilai akun layanan atau root API tidak dapat divalidasi terhadap instance Google SecOps. Error ini dilaporkan jika pengujian konektivitas gagal.
--- Start Processing Updated Cases ---	Info	Loop pemrosesan kasus telah mulai berjalan.
Last success time. Date time:DATE_AND_TIME. Unix:UNIX_EPOCH_TIME	Info	Stempel waktu eksekusi skrip terakhir yang berhasil untuk kasus atau pemberitahuan: datetime_result adalah nilai tanggal dan waktu unix_result adalah nilai waktu epoch Unix
Key: "DATABASE_KEY" doesn't exist in the database. Returning default value instead: DEFAULT_VALUE	Info	Kunci database kasus atau pemberitahuan yang tertunda tidak ada dalam database. Entri log ini selalu muncul dalam eksekusi pertama skrip.
Failed to parse data as JSON. Returning default value instead: "DEFAULT_VALUE. ERROR: ERROR	Error	Nilai yang diambil dari database bukan format JSON yang valid.
Exception was raised from the database. ERROR: ERROR.	Error	Ada masalah koneksi dengan database.
Successfully loaded CASE_IDS pending IDs. Successfully loaded ALERT_IDS pending alert IDs.	Info	ID kasus atau pemberitahuan yang tertunda telah berhasil diambil dari backlog. CASE_IDS adalah jumlah ID kasus yang dibawa.
Cases overload: case limit is 1000 NUMBER_OF_CASES cases will not be synced. Alerts overload: alert limit is 1000 NUMBER_OF_ALERTS alerts will not be synced.	Error	Jumlah ID kasus atau pemberitahuan tertunda yang diambil dari database lebih besar dari batas (1000). ID yang melebihi batas akan diabaikan. Error ini dapat menunjukkan kemungkinan kerusakan database.
Found NUMBER_OF_UPDATED_CASES updated cases since last fetch time.	Info	ID kasus atau pemberitahuan yang baru diperbarui berhasil diambil dari platform.
--- Start Updating Cases in Google SecOps ---- -- Start Processing Updated Alerts ---	Info	Pembaruan kasus dan pemberitahuan di instance Google SecOps telah dimulai.
Failed to update case CASE_ID. Reason: ERROR_REASON Failed to update alert ALERT_ID. Reason: ERROR_REASON	Error	Kasus atau pemberitahuan yang ditentukan tidak dapat disinkronkan dengan Google SecOps.
Max retries reached for case CASE_ID. Removing from backlog. Max retries reached for alert ALERT_GROUP_ID . Removing from backlog.	Info	Kasus atau pemberitahuan tertunda yang ditentukan telah mencapai batas coba lagi sinkronisasi (5) dan tidak dimasukkan kembali ke backlog.
The following cases were not synced: CASE_IDS The following alerts were not synced: ALERT_IDS	Info	Daftar ID kasus atau pemberitahuan yang tidak dapat disinkronkan dengan Google SecOps.
Updated External Case IDs for the following cases: CASE_IDS	Info	Daftar kasus yang tugasnya memperbarui ID kasus eksternal Google SecOps yang cocok di platform Google SecOps SOAR.
Failed to update external ids.	Error	Entri log yang menunjukkan bahwa ada masalah dengan metode atau koneksi SDK yang mencegah pembaruan ID kasus eksternal di platform.
Failed to update cases in Google SecOps. Failed to update alerts in Google SecOps.	Error	Entri log yang menunjukkan bahwa ada error penghentian tertentu yang mencegah loop pemrosesan kasus atau pemberitahuan selesai secara alami. Stacktrace dicetak setelah log ini dengan error tertentu.
--- Finished Updating Cases in Google SecOps --- --- Finished Updating Alerts in Google SecOps ---	Info	Loop pemrosesan kasus dan pemberitahuan telah selesai, baik secara alami maupun dengan error.
The following failed case ids were put in the backlog: CASE_IDS The following failed alert ids were put in the backlog: ALERT_IDS	Error	Daftar ID kasus atau pemberitahuan yang gagal dan memiliki jumlah percobaan ulang kurang dari atau sama dengan 5 untuk ditulis kembali ke backlog.
--- Finished Processing Updated Cases --- --- Finished Processing Updated Alerts ---	Info	Tahap pemrosesan kasus dan pemberitahuan telah selesai.
Saving timestamps.	Info	Menyimpan stempel waktu update kasus dan pemberitahuan terakhir yang berhasil ke database.
Saving pending ids.	Info	Menyimpan ID kasus dan pemberitahuan yang tertunda ke database.
Got exception on main handler. Error: ERROR_REASON	Error	Terjadi error penghentian umum. Stacktrace dicetak setelah log ini dengan error tertentu.

Pekerjaan Google Chronicle Alerts Creator

Penting: Untuk memastikan fungsi yang berkelanjutan sebelum penghentian penggunaan API lama, Anda harus mengonfigurasi konektor ini secara eksplisit untuk menggunakan Chronicle API. Pastikan metode autentikasi yang diterapkan di sini sama persis dengan konfigurasi integrasi Anda.

Job Google Chronicle Alerts Creator memerlukan platform Google SecOps versi 6.2.30 atau yang lebih baru.

Pekerjaan ini membuat semua pemberitahuan dari Google SecOps SOAR ke Google SecOps, termasuk pemberitahuan overflow. Tugas Google Chronicle Alerts Creator tidak mereplikasi pemberitahuan yang berasal dari Google SecOps.

Pekerjaan Google Chronicle Alerts Creator mengkueri platform SOAR menggunakan Python SDK untuk pemberitahuan yang tidak disinkronkan. Tugas mengirimkan pemberitahuan yang tidak disinkronkan ke SIEM satu per satu. SIEM memperbarui dan menampilkan ID pemberitahuan SIEM yang sesuai, dan SOAR menyimpan ID menggunakan SOAR platform API melalui Python SDK.

Hubungan antara tugas Google Chronicle

Sistem Google SecOps yang lengkap menjalankan tiga komponen berikut secara bersamaan:

1. Konektor Pemberitahuan Chronicle
2. Google Chronicle Sync Data
3. Tugas Google Chronicle Alerts Creator

Pekerjaan Google Chronicle Sync Data membuat dan menyinkronkan kasus. API ini juga menyinkronkan modifikasi kasus dan pemberitahuan, seperti perubahan prioritas.

Tugas Google Chronicle Alerts Creator menghasilkan semua pemberitahuan, kecuali pemberitahuan SIEM. Tugas Data Sinkronisasi Google Chronicle mengirimkan update tentang pemberitahuan yang belum disinkronkan setelah tugas Pembuat Pemberitahuan Google Chronicle membuat pemberitahuan.

Sinkronisasi data kasus dan pemberitahuan

Kasus disinkronkan dengan cara yang sama seperti tugas Data Sinkronisasi Google Chronicle.

Di Google SecOps, setiap pemberitahuan diidentifikasi dengan ID pemberitahuan SIEM. Pemberitahuan SOAR dapat menggunakan ID SIEM dalam dua skenario:

1. Pemberitahuan dibuat di SIEM.

   Peringatan ini sudah ada di Google SecOps dan tidak perlu diduplikasi. Konektor mengisi kolom siem_alert_id.

2. Pemberitahuan dibuat di konektor pihak ketiga.

   Peringatan ini tidak ada di Google SecOps dan memerlukan operasi sinkronisasi eksplisit yang menjadi tanggung jawab tugas Google Chronicle Alerts Creator. Setelah menyelesaikan operasi sinkronisasi, pemberitahuan akan mendapatkan ID SIEM baru.

Mengonfigurasi tugas Google Chronicle Alerts Creator

Pastikan Anda telah menyelesaikan langkah-langkah prasyarat sebelum mengonfigurasi tugas.

Untuk mengonfigurasi tugas Google Chronicle Alerts Creator, ikuti langkah-langkah berikut:

1. Konfigurasi parameter tugas dari tabel berikut:

   Parameter	Deskripsi
   Environment	Wajib. Nama lingkungan yang dibuat di Google SecOps SOAR tempat Anda ingin menyinkronkan kasus dan pemberitahuan.
   API Root	Wajib. Root API instance Google SecOps. Google SecOps menyediakan endpoint regional untuk setiap API. Misalnya, https://europe-backstory.googleapis.com atau https://asia-southeast1-backstory.googleapis.com. Jika Anda tidak tahu endpoint mana yang harus digunakan, [hubungi Cloud Customer Care](/chronicle/docs/getting-support). Nilai defaultnya adalah https://backstory.googleapis.com.
   User's Service Account	Wajib. Konten file JSON akun layanan instance Google SecOps Anda.
   Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Google SecOps. Diaktifkan secara default.

2. Untuk menyelesaikan konfigurasi, klik Save.

   Jika tombol Simpan tidak aktif, pastikan Anda telah menetapkan semua parameter wajib.

3. Opsional: Untuk menjalankan tugas segera setelah menyimpan, klik Jalankan Sekarang.

   Opsi Jalankan Sekarang memungkinkan Anda memicu satu eksekusi tugas yang menyinkronkan data kasus dan pemberitahuan SOAR Google SecOps saat ini dengan Google SecOps.

Pesan log dan penanganan error

Log	Tingkat	Deskripsi
Unable to parse credentials as JSON. Please validate creds.	ERROR	Akun layanan yang diberikan dalam parameter Akun Layanan Pengguna rusak.
Current platform version doesn't support SDK methods designed for Google Chronicle. Please use version 6.2.30 or later.	ERROR	Versi instance platform Google SecOps saat ini tidak mendukung eksekusi skrip Google Chronicle Alerts Creator Job. Error ini berarti versi build instance lebih lama dari 6.2.30.
Unable to connect to Google Chronicle, please validate your credentials: CREDENTIALS	ERROR	Nilai akun layanan atau root API tidak dapat divalidasi terhadap instance Google SecOps. Error ini dilaporkan jika pengujian konektivitas gagal.
--------------- JOB STARTED ---------------	INFO	Pesan log yang menunjukkan bahwa tugas telah dimulai.
----------------- Main - Started -----------------	INFO	Pesan log yang menunjukkan bahwa fungsi utama telah dimulai.
"Starting i + 1/MAXIMUM_ITERATIONS_NUMBER fetch attempt"	INFO	Pesan log yang menunjukkan nomor iterasi untuk upaya berurutan saat ini.
"Fetching up to BATCH_SIZE new alerts from the SOAR"	INFO	Pesan log yang menunjukkan bahwa kode tidak mengambil lebih dari BATCH_SIZE pemberitahuan baru dari SOAR.
"NUMBER_OF_NEW_ALERTS SOAR alerts were fetched"	INFO	Pesan log yang menunjukkan bahwa pemberitahuan SOAR NUMBER_OF_NEW_ALERTS telah diambil.
"No new SOAR alerts were found. Stopping..."	INFO	Pesan log yang menunjukkan bahwa tidak ada pemberitahuan SOAR baru yang ditemukan, dan bahwa tugas sedang berhenti.
"Fetched the following SOAR alerts: ID_LIST"	INFO	Pesan log yang menunjukkan bahwa tugas telah mengambil pemberitahuan SOAR dengan ID berikut dalam daftar ID. Anda dapat menggunakan informasi ini untuk melacak progres tugas dan memecahkan masalah pada kode.
"Dispatching SOAR alerts to SIEM"	INFO	Pesan log yang menunjukkan bahwa tugas mengirimkan pemberitahuan SOAR ke SIEM.
"Failed to create alert ALERT_GROUP_ID in SIEM. Reason: ERROR_REASON"	ERROR	Pesan log yang menunjukkan bahwa pemberitahuan tidak berhasil dibuat di SIEM karena error.
"Updating SOAR with SIEM response"	INFO	Pesan log yang menunjukkan bahwa tugas sedang memperbarui SOAR dengan respons SIEM.
"SOAR has failed updating the status of alert ALERT_ID"	PERINGATAN	Menunjukkan bahwa SOAR tidak dapat memperbarui status sinkronisasi pemberitahuan.
"Total of NUMBER_OF_SYNCED_ALERTS alerts were synced in this run"	INFO	Pesan log yang menunjukkan bahwa total total_synced pemberitahuan disinkronkan dalam proses saat ini.
"--------------- JOB FINISHED ---------------"	INFO	Pesan log yang menunjukkan bahwa tugas telah selesai.
"Got exception on main handler. Error: ERROR_REASON"	ERROR	Pesan log yang menunjukkan bahwa pengecualian terjadi dalam fungsi utama. Pesan pengecualian disertakan dalam pesan log.

Kasus penggunaan

Integrasi Google Chronicle memungkinkan Anda menjalankan kasus penggunaan berikut:

• Chronicle Windows Threats Investigation and Response
• Security Command Center dan Chronicle Cloud DIR

Menginstal kasus penggunaan

1. Di Google SecOps Marketplace, buka tab Use Cases.

2. Di kolom penelusuran, masukkan nama kasus penggunaan.

3. Klik kasus penggunaan.

4. Ikuti langkah-langkah dan petunjuk konfigurasi di wizard penginstalan.

Setelah selesai, semua komponen yang diperlukan akan diinstal di komputer Google SecOps Anda. Untuk menyelesaikan penginstalan, konfigurasi blok Initialization di playbook yang sesuai dengan kasus penggunaan Anda.

Investigasi & Respons Ancaman Windows di Chronicle

Gunakan kecanggihan Google SecOps untuk merespons ancaman Windows secara real time di lingkungan Anda. Dengan menggunakan Threat Intelligence untuk Google SecOps, tim keamanan dapat memanfaatkan layanan kecerdasan ancaman dengan fidelitas tinggi bersama dengan Google SecOps. Ancaman nyata di lingkungan Anda kini dapat ditriase dan diperbaiki secara otomatis dalam jangka waktu yang singkat dan efektif.

1. Di Google SecOps, buka Respons > Playbook.

2. Pilih playbook Google Chronicle - Windows Threats Investigation & Response. Playbook akan terbuka di tampilan desainer playbook.

3. Klik dua kali Set Initialization Block_1. Dialog konfigurasi blok akan terbuka.

4. Untuk mengonfigurasi playbook, gunakan parameter berikut:

   Parameter input	Nilai yang memungkinkan	Deskripsi
   edr_product	Crowdstrike Carbon Black Tidak ada	Produk EDR yang akan digunakan dalam playbook.
   itsm_product	Layanan Sekarang Jira ZenDesk Tidak ada	Produk ITSM yang akan digunakan dalam playbook. Jira memerlukan konfigurasi tambahan di blok Buka Tiket.
   crowdstrike_use_spotlight	true atau false	Jika True, playbook akan menjalankan tindakan Crowdstrike yang memerlukan lisensi Spotlight (Informasi kerentanan).
   use_mandiant	true atau false	Jika True, playbook akan mengeksekusi blok Mandiant.
   slack_user	Nama Pengguna atau Alamat Email	Nama pengguna atau alamat email pengguna Slack. Jika tidak ada yang diberikan, playbook akan melewati blok Slack.

5. Klik Simpan. Dialog konfigurasi blok akan ditutup.

6. Di panel perancang playbook, klik Simpan.

Untuk menguji playbook dalam kasus penggunaan, masukkan kasus pengujian yang disertakan dalam paket. Beberapa kemampuan kasus pengujian dapat gagal karena data yang digunakan untuk pengujian tidak tersedia di lingkungan Anda.

Security Command Center dan Chronicle Cloud DIR

Integrasikan Security Command Center dengan Google SecOps agar analis Anda dapat menyelidiki insiden dan ancaman yang dideteksi oleh Security Command Center.

Mengonfigurasi kasus penggunaan

Kasus penggunaan ini mengharuskan Anda mengonfigurasi integrasi berikut:

• Siemplify
• Alat
• Mitre ATT&CK
• Google Cloud IAM
• Google Chronicle
• Fungsi
• Google Cloud Compute
• Email V2
• VirusTotal v3

Integrasi Google Security Command Center dan Mandiant bersifat opsional.

Pastikan Anda telah menginstal kasus penggunaan sebelum mengonfigurasinya.

1. Di Google SecOps, buka tab Playbooks.
2. Pilih playbook SCC & Chronicle Cloud DIR.
3. Klik dua kali Initialization block untuk mengonfigurasinya.
4. Konfigurasi playbook menggunakan parameter berikut:

Nama parameter	Nilai yang memungkinkan	Deskripsi
Mandiant_Enrichment	true atau false	Jika True, playbook menggunakan Mandiant untuk pengayaan tambahan. Integrasi Mandiant perlu dikonfigurasi untuk penyiapan ini. Anda dapat menghapus pengayaan jika jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.
SCC_Enrichment	true atau false	Jika True, playbook menggunakan kemampuan Security Command Center untuk pengayaan tambahan. Integrasi Security Command Center harus dikonfigurasi untuk penyiapan ini. Anda dapat menghapus pengayaan jika Anda jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.
IAM_Enrichment	true atau false	Jika True, playbook menggunakan kemampuan IAM untuk pengayaan tambahan. Anda dapat menghapus pengayaan jika jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.
Compute_Enrichment	true atau false	Jika True, playbook akan menggunakan kemampuan Compute Engine untuk pengayaan tambahan. Anda dapat menghapus pengayaan jika Anda jarang mendapatkan informasi yang bermakna. Menghapus blok pengayaan akan meningkatkan kecepatan eksekusi playbook.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.