Integra Google Chronicle con Google SecOps
Questo documento spiega come integrare Google Chronicle con Google Security Operations.
Casi d'uso
L'integrazione di Google Chronicle utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:
Indagine e correzione automatizzate del phishing: esegui automaticamente query sui dati storici delle email, sui log attività utente e sulla threat intelligence per valutare la legittimità delle email. La correzione automatica può aiutarti con il triage e il contenimento, impedendo la diffusione di malware o violazioni dei dati.
Arricchimento degli avvisi di sicurezza: arricchisci un avviso generato in un SIEM con il contesto storico, ad esempio il comportamento passato dell'utente e le informazioni sugli asset. In questo modo, gli analisti hanno una visione completa di un incidente, il che consente di prendere decisioni più rapide e consapevoli.
Caccia alle minacce basata sugli insight di Google SecOps: automatizza il processo di query di altri strumenti di sicurezza per gli indicatori di compromissione (IoC) correlati. In questo modo puoi identificare in modo proattivo potenziali violazioni prima che si aggravino.
Playbook di risposta agli incidenti automatizzati: attiva playbook predefiniti che utilizzano i dati di Google SecOps per isolare i sistemi compromessi, bloccare gli indirizzi IP dannosi e informare gli stakeholder pertinenti. In questo modo, è possibile ridurre i tempi di risposta agli incidenti e minimizzare l'impatto degli incidenti di sicurezza.
Reporting e controllo della conformità: automatizza la raccolta dei dati di sicurezza da Google SecOps per i report sulla conformità, semplificando il processo di controllo e riducendo le attività manuali.
Prima di iniziare
Prima di configurare l'integrazione di Google Chronicle in Google SecOps, assicurati di avere accesso a un progettoGoogle Cloud attivo.
Esegui la migrazione dall'API Backstory all'API Chronicle
Alcune nuove funzionalità e azioni di questa integrazione supportano solo l'API Chronicle, pertanto consigliamo vivamente a tutti gli utenti di eseguire la migrazione del deployment per utilizzare l'API Chronicle.
Per eseguire la migrazione dall'API Backstory legacy all'API Chronicle:
- Trova la radice dell'API Chronicle e inseriscila nel parametro
API Rootnella configurazione dell'integrazione, nei connettori e nei job. - Verifica che il metodo di autenticazione sia supportato per il tipo di progetto Google Cloud e applicato in modo identico alla configurazione dell'integrazione, ai connettori e ai job.
Ricerca della radice dell'API Chronicle
Quando accedi all'API Chronicle, devi individuare l'API Root univoco del tuo ambiente per le configurazioni di integrazione, connettore e job.
Apri gli strumenti per sviluppatori del browser e vai alla piattaforma Google SecOps.
Seleziona Indagine > Tabelle dati.
In Strumenti per sviluppatori, vai alla scheda Rete e fai clic su un elemento nella colonna Nome, ad esempio
dataTables?pageSize=1000.Nel riquadro dei dettagli, seleziona Intestazioni e copia il valore di
Request URL, che si trova in Generali, escludendo l'endpoint e i parametri di query (il nome dell'elemento selezionato).Ad esempio, se il valore è
https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000, la radice dell'API esclude/dataTables?pageSize=1000ed èhttps://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.
Metodi di autenticazione e precedenza delle credenziali
L'integrazione, i connettori e i job di Google Chronicle valutano le credenziali nel seguente ordine:
- Credenziali integrate: utilizzate automaticamente quando non fornisci
Workload Identity EmaileUser's Service Account.- Quando utilizzarlo: ideale per i progetti gestiti da Google (impostazione predefinita) di cui è stato eseguito il provisioning dal quarto trimestre del 2025 in poi o per qualsiasi progetto gestito da Google che utilizza l'API Backstory legacy. Non richiede la creazione di account di servizio, l'assegnazione di ruoli o la gestione delle chiavi. Le credenziali integrate non sono supportate per i deployment Bring Your Own Project (BYOP) che utilizzano l'API Chronicle.
- Progetti gestiti da Google precedenti al quarto trimestre del 2025: se esegui la migrazione all'API Chronicle, contatta l'Assistenza Google per attivare le credenziali integrate dell'API Chronicle o configura un account di servizio utilizzando Workload Identity o una chiave JSON.
- Workload Identity
(
Workload Identity Email): utilizzato quando fornisci un indirizzo email di un account di servizio. Ha la precedenza se vengono compilati siaWorkload Identity EmailsiaUser's Service Account.- Quando utilizzarlo: consigliato quando è richiesto un account di servizio (ad esempio deployment Bring Your Own Project (BYOP) o progetti gestiti da Google precedenti al quarto trimestre del 2025 senza credenziali API Chronicle integrate). Fornisce l'autenticazione senza chiavi, senza scaricare o ruotare le chiavi JSON, e rispetta le policy dell'organizzazione che limitano la creazione di chiavi per i service account.
- Chiave JSON del service account
(
User's Service Account): utilizzata solo quandoWorkload Identity Emailè vuoto e fornisci una chiave JSON del account di servizio.- Quando utilizzarlo: utilizza questa opzione solo se è richiesto un account di servizio e non puoi configurare la simulazione dell'identità di Workload Identity. Richiede il download e la gestione di un file di chiave JSON statico.
Autenticazione con Workload Identity (consigliata)
Per eseguire l'autenticazione utilizzando Workload Identity, crea un account di servizio, assegna il ruolo richiesto e concedi le autorizzazioni di simulazione dell'identità alla tua istanza Google SecOps.
Crea un account di servizio
Nella console Google Cloud , vai alla pagina Credenziali.
Dal menu Crea credenziali, seleziona Service account.
In Dettagli service account, inserisci un nome nel campo Nome service account.
(Facoltativo) Modifica l'ID del account di servizio.
Fai clic su Crea e continua. Viene visualizzata la schermata Autorizzazioni.
Fai clic su Continua. Viene visualizzata la schermata Entità con accesso.
Fai clic su Fine.
API Chronicle: ruolo richiesto per il account di servizio
Quando utilizzi l'API Chronicle, il tuo account di servizio richiede il ruolo Chronicle API Editor:
Nella console Google Cloud , vai alla pagina Credenziali.
In Service account, seleziona il tuo account di servizio e fai clic su Autorizzazioni > Gestisci accesso.
Fai clic su addAggiungi ruolo e seleziona il ruolo
Chronicle API Editor. Fai clic su Salva.
Concedi le autorizzazioni di impersonificazione alla tua istanza Google SecOps
Concedi alla tua istanza Google SecOps l'autorizzazione per simulare l'identità del tuo account di servizio:
In Google SecOps, vai a Content Hub > Integrazioni di risposta.
Seleziona l'integrazione che stai configurando e inserisci l'indirizzo email del account di servizio in
Workload Identity Email.Fai clic su Salva > Verifica. Il test dovrebbe non riuscire.
Fai clic su close_small a destra di Test e cerca nel messaggio di errore
gke-init-python@PROJECT.iam.gserviceaccount.comosoar-python@TENANT_PROJECT.iam.gserviceaccount.com. Copia questo indirizzo email univoco (identifica la tua istanza Google SecOps).Vai a Service account, seleziona il tuo progetto e seleziona il tuo account di servizio.
Seleziona Entità con accesso > addConcedi l'accesso.
In Aggiungi entità, incolla il valore copiato.
In Aggiungi ruoli, seleziona il ruolo
Service Account Token Creator(roles/iam.serviceAccountTokenCreator).
Autenticazione con una chiave JSON del account di servizio
Per eseguire l'autenticazione utilizzando una chiave JSON del account di servizio (anziché il metodo Workload Identity consigliato), crea un account di servizio dedicato e scarica la relativa chiave JSON:
Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio.
Seleziona Crea service account e segui le istruzioni.
Seleziona l'indirizzo email del nuovo account di servizio e vai a Chiavi > Aggiungi chiave > Crea nuova chiave.
Seleziona
JSONcome tipo di chiave e fai clic su Crea. Un file della chiave JSON viene scaricato sul computer.Quando utilizzi l'API Chronicle, assegna il ruolo
Chronicle API Editoral tuo account di servizio.
Parametri di integrazione
L'integrazione di Google Chronicle richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
UI Root |
Obbligatorio. L'URL di base dell'interfaccia di Google SecOps. Utilizzato per generare link diretti a Google SecOps dalle tue richieste. Il valore predefinito è |
API Root |
Obbligatorio. L'URL di base dell'API per la tua istanza di Google SecOps:
|
User's Service Account |
Facoltativo. La chiave JSON del service account utilizzata per l'autenticazione. Utilizzato solo se Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali). |
Workload Identity Email |
Facoltativo. L'indirizzo email del account di servizio utilizzato per l'autenticazione di Workload Identity (consigliato quando è richiesto un account di servizio). Ha la precedenza se entrambi i campi delle credenziali sono compilati. Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali). |
Verify SSL |
Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Google SecOps. Abilitato per impostazione predefinita. |
Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.
Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.
Azioni
Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.
Aggiungi voce alla lista di titoli
Utilizza l'azione Aggiungi voce alla lista di titoli per aggiungere un'entità specificata a una lista di titoli di analisi dei rischi esistente in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Add Entry To Watchlist richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Watchlist Name |
Obbligatorio. Il nome della lista di controllo di Risk Analytics a cui aggiungere la voce. |
Entry |
Obbligatorio. L'oggetto JSON che rappresenta l'entità da aggiungere alla lista di titoli. La struttura JSON richiede il valore dell'entità, il tipo di entità e uno spazio dei nomi facoltativo. Il valore predefinito è:
[
{
"entity": "",
"type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID",
"namespace": "Optional"
}
]
|
Output azione
L'azione Aggiungi voce alla lista di titoli fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Aggiungi voce alla lista di controllo:
[
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
},
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
}
]
Messaggi di output
L'azione Aggiungi voce alla lista di titoli può restituire i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action "Add Entry To Watchlist". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Aggiungi voce alla lista di controllo:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Aggiungi righe alla tabella di dati
Utilizza l'azione Aggiungi righe alla tabella di dati per aggiungere righe a una tabella di dati in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
Per configurare l'azione, utilizza i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Data Table Name |
Obbligatorio. Il nome visualizzato della tabella di dati da aggiornare. |
Rows |
Obbligatorio. Un elenco di oggetti JSON contenenti informazioni sulle righe da aggiungere. Ad esempio:
[
{
"columnName1": "value1",
"columnName2": "value2",
},
{
"columnName1": "value1",
"columnName2": "value2",
}
]
|
Output azione
L'azione Aggiungi righe alla tabella dati fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Insight sull'entità | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente mostra un risultato JSON di esempio restituito dall'azione Aggiungi righe alla tabella dati:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
}
}
Messaggi di output
L'azione Aggiungi righe alla tabella di dati fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully added rows to the data table
DATA_TABLE_NAME in
Google SecOps. |
L'azione è andata a buon fine. |
Error executing action "Add Rows to Data Table". Reason:
ERROR_REASON |
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiungi righe alla tabella dati:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Aggiungi valori all'elenco di riferimento
Utilizza l'azione Aggiungi valori all'elenco di riferimento per aggiungere valori a un elenco di riferimento in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
Per configurare l'azione, utilizza i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Reference List Name |
Obbligatorio. Il nome dell'elenco di riferimento da aggiornare. |
Values |
Obbligatorio. Un elenco separato da virgole di valori da aggiungere all'elenco di riferimento. |
Output azione
L'azione Aggiungi valore all'elenco di riferimento fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Insight sull'entità | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Aggiungi valore all'elenco di riferimento con l'API Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Aggiungi valore all'elenco di riferimento con l'API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
Messaggi di output
L'azione Aggiungi valori all'elenco di riferimento fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully added values to the reference list
REFERENCE_LIST_NAME. |
L'azione è andata a buon fine. |
Error executing action "Add Values To Reference List". Reason:
ERROR_REASON |
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Aggiungi valori all'elenco di riferimento:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Chiedi a Gemini
Utilizza l'azione Chiedi a Gemini per inviare un prompt testuale a Gemini in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Limiti di elaborazione e timeout
Questa azione è soggetta a vincoli di elaborazione all'interno della pipeline di Google SecOps. Le azioni che superano questi vincoli
in genere generano un errore 503 Service Unavailable.
Per garantire un'esecuzione corretta, le tue richieste devono rispettare le seguenti specifiche:
Timeout: il riconoscimento degli intent ha un timeout di 30 secondi. Le attività di riassunto di grandi dimensioni o i prompt complessi che superano questo tempo di elaborazione causano l'errore dell'azione.
Limite di generazione delle risposte: la fase di generazione è limitata a un massimo di 28.000 token.
Input azione
L'azione Chiedi a Gemini richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Automatic Opt-in |
Facoltativo. Se selezionata, l'utente viene attivato automaticamente per la conversazione con Gemini senza richiedere una conferma manuale. Abilitato per impostazione predefinita. |
Prompt |
Obbligatorio. Il prompt testuale o la domanda iniziale da inviare a Gemini. |
Output azione
L'azione Chiedi a Gemini fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Insight sull'entità | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Chiedi a Gemini:
{
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
"input": {
"body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
},
"responses": [
{
"blocks": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal's IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal's last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
}
}
],
"references": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
}
}
],
"groundings": [
"IP address 159.138.84.217 malicious cybersecurity",
"IP address 159.138.84.217 threat intelligence"
]
}
],
"createTime": "2025-05-16T11:31:36.660538Z"
}
}
Messaggi di output
L'azione Chiedi a Gemini fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully executed a prompt in Google SecOps. |
L'azione è andata a buon fine. |
Error executing action "GoogleChronicle - Ask Gemini".
Reason: ERROR_REASON |
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Chiedi a Gemini:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Arricchisci dominio - Obsoleto
Utilizza l'azione Arricchisci dominio per arricchire i domini utilizzando le informazioni degli IoC in Google SecOps.
Questa azione viene eseguita sulle seguenti entità Google SecOps:
URLHostname
Input azione
L'azione Arricchisci dominio richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Create Insight |
Se selezionata, l'azione creerà un insight contenente informazioni sulle entità. Abilitato per impostazione predefinita. |
Only Suspicious Insight |
Se selezionata, l'azione creerà un insight solo per le entità contrassegnate come sospette. Non abilitata per impostazione predefinita. Se selezioni questo parametro, devi selezionare anche |
Lowest Suspicious Severity |
Obbligatorio. La gravità minima associata al dominio necessaria per contrassegnarlo come sospetto. Il valore predefinito è
|
Mark Suspicious N/A Severity |
Obbligatorio. Se questa opzione è selezionata e le informazioni sulla gravità non sono disponibili, l'azione contrassegna l'entità come sospetta. |
Output azione
L'azione Arricchisci dominio fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Disponibile |
| Insight sull'entità | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
L'azione Enrich Domain (Arricchisci dominio) fornisce la seguente tabella:
Nome: ENTITY_IDENTIFIER
Colonne:
- Origine
- Gravità
- Category
- Sicurezza di sé
Enrichment delle entità
L'azione Enrich Domain supporta la seguente logica di arricchimento delle entità:
| Campo di arricchimento | Logica (quando applicarle) |
|---|---|
severity |
Se disponibile in JSON |
average_confidence |
Se disponibile in JSON |
related_domains |
Se disponibile in JSON |
categories |
Se disponibile in JSON |
sources |
Se disponibile in JSON |
first_seen |
Se disponibile in JSON |
last_seen |
Se disponibile in JSON |
report_link |
Se disponibile in JSON |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Arricchisci dominio con l'API Backstory:
{
{
"sources": [
{
"source": "ET Intelligence Rep List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Arricchisci dominio con l'API Chronicle:
[
{
"Entity": "example.com",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
},
{
"category": "Phishing",
"firstActiveTime": null,
"lastActiveTime": "2020-11-27T14:31:37Z",
"addresses": [
{
"domain": "example.com"
},
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "high",
"confidenceScore": {
"strRawConfidenceScore": "high"
}
},
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
},
{
"metadata": {
"title": "ESET Threat Intelligence",
"description": "ESET Threat Intelligence"
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Phishing",
"activeTimerange": {
"end": "2020-11-27T14:31:37Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "High",
"rawSeverity": "High"
}
]
},
{
"metadata": {
"title": "Mandiant Active Breach Intelligence",
"description": "Mandiant Active Breach IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
}
]
}
}
]
Messaggi di output
L'azione Enrich Domain fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully enriched the following domain in Google Chronicle:
LIST_OF_IDS |
L'azione è andata a buon fine. |
Error executing action "Enrich Domain". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Arricchisci dominio:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Arricchisci le entità
Utilizza l'azione Arricchisci entità per eseguire query su Google SecOps per ottenere contesto e attributi aggiuntivi per i tipi di entità specificati. Questa azione migliora i dati di indagine sulle minacce integrando l'intelligence esterna.
Questa azione viene eseguita sulle seguenti entità Google SecOps:
DomainFile HashHostnameIP AddressURL(estrae il dominio dall'URL)UserEmail(entità utente con regex email)
Input azione
L'azione Arricchisci entità richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Namespace |
Facoltativo. Il gruppo logico o l'ambito delle entità da arricchire. Se non viene selezionato, l'arricchimento viene applicato alle entità nello spazio dei nomi predefinito o in tutti gli spazi dei nomi accessibili. Le entità devono appartenere a questo spazio dei nomi per essere elaborate. |
Time Frame |
Facoltativo. Un periodo di tempo relativo (ad esempio, Questo parametro ha la precedenza su |
Start Time |
Facoltativo. L'ora di inizio del periodo di arricchimento nel formato ISO 8601. Utilizza questa opzione con |
End Time |
Facoltativo. L'ora di fine assoluta del periodo di arricchimento nel formato ISO 8601. Utilizzato con |
Output azione
L'azione Arricchisci entità fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
| Campo di arricchimento | Origine (chiave JSON) | Applicabilità |
|---|---|---|
GoogleSecOps_related_entities |
Il numero di related_entities | Se disponibile nel risultato JSON. |
GoogleSecOps_alert_count_ruleName |
{alertCounts.count} per ogni regola specifica | Se disponibile nel risultato JSON. |
GoogleSecOps_first_seen |
metric.firstSeen |
Se disponibile nel risultato JSON. |
GoogleSecOps_last_seen |
metric.lastSeen |
Se disponibile nel risultato JSON. |
GoogleSecOps_flattened_key_under_entity |
Il valore della chiave, appiattito dalla struttura nidificata nell'oggetto "entity". |
Se disponibile nel risultato JSON. |
Risultato JSON
L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Arricchisci entità:
[
{
"Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"domain": {
"name": "markossolomon.com",
"firstSeenTime": "1970-01-01T00:00:00Z",
"lastSeenTime": "1970-01-01T00:00:00Z",
"registrar": "NameCheap, Inc.",
"creationTime": "2013-12-06T02:41:09Z",
"updateTime": "2019-11-06T11:48:33Z",
"expirationTime": "2020-12-06T02:41:09Z",
"registrant": {
"userDisplayName": "WhoisGuard Protected",
"emailAddresses": [
"58d09cb5035042e9920408f8bafd0869.protect@whoisguard.com"
],
"personalAddress": { "countryOrRegion": "PANAMA" },
"companyName": "WhoisGuard, Inc."
}
}
}
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "npatni-sysops",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "npatni-sysops" }
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "329" },
{ "rule": "rule_testbucket", "count": "339" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "332" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 1000 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "exlab2019-ad",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "exlab2019-ad" }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.30.202.229",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "ip": ["172.30.202.229"] }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.17.0.1",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
}
},
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "911d039e71583a07320b32bde22f8e22",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"file": {
"sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
"md5": "911d039e71583a07320b32bde22f8e22",
"sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
"size": "278528",
"fileType": "FILE_TYPE_PE_EXE",
"names": [
"C:\\Windows\\System32\\cmd.exe",
"cmd",
"Cmd.Exe",
"C:\\Windows\\system32\\cmd.exe",
"C:\\Windows\\SYSTEM32\\cmd.exe",
"cmd.exe",
"C:\\\\Windows\\\\System32\\\\cmd.exe",
"C:\\windows\\SYSTEM32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
"c:\\Windows\\System32\\cmd.exe",
"Utilman.exe",
"c:\\windows\\system32\\cmd.exe",
"System32/cmd.exe",
"UtilityVM/Files/Windows/System32/cmd.exe",
"KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
"cmd.exe_",
"C:\\WINDOWS\\SYSTEM32\\cmd.exe",
"Cmd.exe",
"Windows/System32/cmd.exe",
"sethc.exe",
"C:\\WINDOWS\\System32\\cmd.exe",
"esRzqurX.exe",
"rofl.png",
"F:\\Windows\\SYSTEM32\\cmd.exe",
"utilman.exe",
"C:\\Windows\\system32\\CMD.exe",
"sys32exe/cmd.exe",
"cmd.txt",
"C:\\WINDOWS\\system32\\cmd.exe",
"cmd2.exe",
"Utilman.exe.sc",
"uhrHRIv8.exe",
"C:\\windows\\system32\\cmd.exe",
"submitted_file",
"C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
"J6ff7z0hLYo.exe",
"N:\\Windows\\System32\\cmd.exe",
"Q:\\Windows\\System32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
"C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
"test.exe",
"68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
"8FCVE0Kq.exe",
"cmd (7).exe",
"cmd (8).exe",
"21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
"LinX v0.9.11 (Intel)/cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
"cmd_b.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
"cMd.exe",
"Repl_Check.bat__",
"cmd.pdf",
"cmd.EXE",
"C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
"LFepc1St.exe",
"firefox.exe",
"3BcnNlWV.exe",
"Utilman.exebak",
"utilman1.exe",
"1.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
"cmd_1771019736291028992.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
"Sethc.exe",
"\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
"DANFE352023067616112.exe",
"file.exe",
"DANFE352023067616112/DANFE352023067616112.exe",
"C:\\Windows\\SYSTEM32\\Cmd.exe",
"pippo.exe",
"C:\\Windows\\System32\\sethc.exe",
"cmd.exe-bws024-windowsfolder",
"whatever.exe",
"sethc.exe.bak",
"S71dbOR1.exe",
"F:\\windows\\SYSTEM32\\cmd.exe",
"L6puhWL7.exe",
"DANFE357986551413927.exe",
"DANFE357666506667634.exe",
"\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
"\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
"\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
"\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
"\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
"\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
"winlogon.exe",
"AccessibilityEscalation.A' in file 'utilman.exe'",
"qpl9AqT0.exe",
"C:\\windows\\system32\\CMD.exe",
"C:\\po8az\\2po9hmc\\4v1b5.exe",
"batya.exe",
"nqAwJaba.exe",
"\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
"/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
"/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
"\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
"/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
"DANFE352429512050669.exe",
"/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
],
"firstSeenTime": "2024-12-15T09:07:02Z",
"lastSeenTime": "2025-07-18T07:43:59.045Z",
"lastAnalysisTime": "2025-07-16T10:06:40Z",
"signatureInfo": {
"sigcheck": {
"verificationMessage": "Signed",
"verified": true,
"signers": [{ "name": "Microsoft Windows" }]
}
},
"firstSubmissionTime": "2025-07-15T16:30:27Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "329" },
{ "rule": "rule_testbucket", "count": "345" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "326" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{ "alertCount": 31 },
{ "alertCount": 111 },
{ "alertCount": 109 },
{ "alertCount": 82 },
{ "alertCount": 86 },
{ "alertCount": 98 },
{ "alertCount": 86 },
{ "alertCount": 85 },
{ "alertCount": 92 },
{ "alertCount": 89 },
{ "alertCount": 90 },
{ "alertCount": 41 }
],
"bucketSize": "172800s"
},
"prevalenceResult": [
{ "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
],
"relatedEntities": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"hostname": "exlab2019-ad",
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"ip": ["172.30.202.229"],
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
}
]
}
},
{
"Entity": "tencent.com",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"domain": {
"name": "tencent.com",
"firstSeenTime": "2025-01-14T14:01:00Z",
"lastSeenTime": "2025-01-14T15:02:00Z",
"registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
"creationTime": "1998-09-14T04:00:00Z",
"updateTime": "2024-08-20T08:04:01Z",
"expirationTime": "2032-09-13T04:00:00Z",
"registrant": {
"emailAddresses": [""],
"personalAddress": { "countryOrRegion": "CHINA" },
"companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
}
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "00:50:56:b6:34:86",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "mac": ["00:50:56:b6:34:86"] }
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
}
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
}
]
Messaggi di output
L'azione Arricchisci entità può restituire i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action "Enrich Entities". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Arricchisci entità:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Arricchisci IP - Obsoleto
Utilizza l'azione Arricchisci IP per arricchire le entità IP utilizzando le informazioni degli IoC in Google SecOps.
Questa azione viene eseguita sull'entità "Indirizzo IP".
Input azione
L'azione Arricchisci IP richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Create Insight |
Facoltativo. Se selezionata, l'azione crea un insight che contiene informazioni sulle entità.Abilitato per impostazione predefinita. |
Only Suspicious Insight |
Facoltativo. Se selezionata, l'azione crea insight solo per le entità contrassegnate come sospette.Non abilitata per impostazione predefinita. Se selezioni questo parametro, devi selezionare anche |
Lowest Suspicious Severity |
Obbligatorio. La gravità più bassa associata all'indirizzo IP per contrassegnarlo come sospetto. Il valore predefinito è
|
Mark Suspicious N/A Severity |
Obbligatorio. Se questa opzione è selezionata e le informazioni sulla gravità non sono disponibili, l'azione contrassegna l'entità come sospetta. |
Output azione
L'azione Arricchisci IP fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
Nome: ENTITY_IDENTIFIER
Colonne:
- Origine
- Gravità
- Category
- Sicurezza di sé
- Domini correlati
Enrichment delle entità
L'azione Arricchisci IP supporta la seguente logica di arricchimento delle entità:
| Campo di arricchimento | Logica (quando applicarle) |
|---|---|
severity |
Se disponibile in JSON |
average_confidence |
Se disponibile in JSON |
related_domains |
Se disponibile in JSON |
categories |
Se disponibile in JSON |
sources |
Se disponibile in JSON |
first_seen |
Se disponibile in JSON |
last_seen |
Se disponibile in JSON |
report_link |
Se disponibile in JSON |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Arricchisci IP con l'API Backstory:
{
{
"sources": [
{
"source": "Example List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Arricchisci IP con l'API Chronicle:
[
{
"Entity": "192.0.2.121",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "low",
"confidenceScore": {
"strRawConfidenceScore": "67"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "67",
"rawSeverity": "Low"
}
]
}
]
}
}
]
Messaggi di output
L'azione Arricchisci IP fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully enriched the following IPs from Google Chronicle:
LIST_OF_IPS |
L'azione è andata a buon fine. |
Error executing action "Enrich IP". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Arricchisci IP:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Esegui Retrohunt
Utilizza l'azione Esegui Retrohunt per eseguire un Retrohunt delle regole in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Esegui Retrohunt richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Rule ID |
Obbligatorio. L'ID della regola per cui eseguire una RetroHunt. Utilizza il formato |
Time Frame |
Facoltativo. Un periodo per il quale recuperare i risultati. I valori possibili sono:
Se è selezionato Il valore predefinito è |
Start Time |
L'ora di inizio dei risultati in formato ISO 8601. Questo parametro è obbligatorio se il parametro |
End Time |
L'ora di fine dei risultati in formato ISO 8601.
Se non imposti un valore e selezioni il valore |
Output azione
L'azione Esegui Retrohunt fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Insight sull'entità | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Esegui retrohunt con l'API Backstory:
{
"retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
"ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
"versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
"eventStartTime": "2021-01-14T23:00:00Z",
"eventEndTime": "2021-01-30T23:00:00Z",
"retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
"state": "RUNNING"
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Esegui Retrohunt con l'API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
"metadata": {
"@type": "type.googleapis.com/RetrohuntMetadata",
"retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
"executionInterval": {
"startTime": "2025-01-22T12:16:20.963182Z",
"endTime": "2025-01-23T12:16:20.963182Z"
}
},
"retrohuntId": "RETROHUNT_ID",
"ruleId": "RULE_ID",
"versionId": "VERSION_ID",
"eventStartTime": "2025-01-22T12:16:20.963182Z",
"eventEndTime": "2025-01-23T12:16:20.963182Z"
}
Messaggi di output
L'azione Esegui Retrohunt fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully executed a retrohunt for the provided rule in Google
Chronicle.
|
L'azione è andata a buon fine. |
Error executing action "Execute Retrohunt". Reason:
ERROR_REASON |
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Esegui Retrohunt:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Esegui query UDM
Utilizza l'azione Esegui query UDM per eseguire una query UDM personalizzata in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Esegui query UDM richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Query |
Obbligatorio. La query da eseguire in Google SecOps. |
Include Raw Log Data |
Facoltativo. Se selezionata, l'azione recupera il file di log non elaborato originale associato ai risultati di ricerca UDM. Questa opzione è disponibile solo quando utilizzi l'autenticazione dell'API Chronicle. Disattivato per impostazione predefinita. |
Time Frame |
Facoltativo. Un periodo per il quale recuperare i risultati. I valori possibili sono:
Se è selezionato Il valore predefinito è |
Start Time |
Facoltativo. L'ora di inizio dei risultati in formato ISO 8601 (ad esempio, Questo parametro è obbligatorio se il parametro L'intervallo di tempo massimo è di 90 giorni. |
End Time |
Facoltativo. L'ora di fine dei risultati in formato ISO 8601 (ad esempio, Se non imposti un valore e il parametro L'intervallo di tempo massimo è di 90 giorni. |
Max Results To Return |
Facoltativo. Il numero di risultati da restituire per una singola query. Il valore massimo è Il valore predefinito è |
Output azione
L'azione Esegui query UDM fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Esegui query UDM:
{
"events": [
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:43:47.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"I did not create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:38:44.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"Did you create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"avg_seconds": {
"values": [
{
"doubleVal": 1755680893.3333333
}
]
},
"event_type_array": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
},
"target.file.vhash": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
}
}
]
}
Messaggi di output
L'azione Esegui query UDM fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action "Execute UDM Query". Reason:
ERROR_REASON
|
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Execute UDM Query". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
L'azione non è andata a buon fine. Attendi qualche minuto prima di eseguire nuovamente l'azione. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Esegui query UDM:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Esegui query UDM in modo asincrono
Utilizza l'azione Esegui query UDM asincrona per eseguire una query UDM personalizzata in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Esegui query UDM richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Query |
Obbligatorio. La query da eseguire in Google SecOps. |
Time Frame |
Facoltativo. Un periodo per il quale recuperare i risultati. I valori possibili sono:
Se è selezionato Se è selezionato Se è selezionato Il valore predefinito è |
Start Time |
Facoltativo. L'ora di inizio dei risultati in formato ISO 8601 ( Questo parametro è obbligatorio se |
End Time |
Facoltativo. L'ora di fine dei risultati in formato ISO 8601
( Se non imposti un valore e |
Max Results To Return |
Facoltativo. Il numero di risultati da restituire per una singola query. Il valore massimo è Il valore predefinito è |
Output azione
L'azione Esegui query UDM in modo asincrono fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Esegui query UDM asincrona:
{
"events": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-01-20T09:15:15.687Z",
"eventType": "USER_LOGIN",
"vendorName": "Microsoft",
"productName": "Active Directory",
"ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
},
"principal": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
],
"location": {
"city": "Metropolis",
"state": "New York",
"countryOrRegion": "US"
},
"asset": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50",
"192.168.1.50",
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
]
}
},
"target": {
"user": {
"userid": "user_alpha",
"userDisplayName": "User Alpha",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
"emailAddresses": [
"alpha@example.com",
"admin.alpha@example.com"
],
"employeeId": "1234567",
"productObjectId": "11111111-2222-3333-4444-555555555555",
"firstName": "User",
"lastName": "Alpha",
"phoneNumbers": [
"555-0199-0000"
],
"title": "Executive Assistant",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
],
"managers": [
{
"userDisplayName": "Manager Beta",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
"emailAddresses": [
"beta@example.com"
],
"employeeId": "7654321",
"productObjectId": "66666666-7777-8888-9999-000000000000",
"firstName": "Manager",
"lastName": "Beta",
"phoneNumbers": [
"555-0199-0001 ext 123"
],
"title": "Chief Technology Officer",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
]
}
]
},
"ip": [
"203.0.113.10"
],
"email": "alpha@example.com",
"application": "Windows Sign In"
},
"securityResult": [
{
"summary": "Successful Login",
"action": [
"ALLOW"
]
}
],
"rawLogData": {
"agent_id": "00000000000000000000000000000001",
"aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
"data_domains": [
"Endpoint"
],
"description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
"device": {
"agent_load_flags": "0",
"agent_local_time": "2025-08-07T01:42:54.415Z",
"agent_version": "7.27.18003.0",
"bios_manufacturer": "Generic Manufacturer LTD"
},
"template_instance_id": "10001",
"timestamp": "2025-08-19T15:08:13.742Z",
"user_name": "root"
},
"extensions": {
"auth": {
"type": "SSO"
}
}
},
"eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
}
]
}
Messaggi di output
L'azione Esegui query UDM in modo asincrono fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action "Execute UDM Query Async". Reason:
ERROR_REASON
|
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Execute UDM Query Async ". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
L'azione non è andata a buon fine. Attendi qualche minuto prima di eseguire nuovamente l'azione. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Esegui query UDM asincrona:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Genera query UDM
(Anteprima) Utilizza l'azione Genera query UDM per creare query UDM complesse utilizzando prompt in linguaggio naturale in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Genera query UDM richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Prompt |
Obbligatorio. Il prompt utilizzato dal sistema per generare la query UDM strutturata. |
Output azione
L'azione Genera query UDM fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Genera query UDM:
{
"query": "ip = \"10.0.0.1\""
}
Messaggi di output
L'azione Genera query UDM fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully generated a UDM query in Google SecOps. |
L'azione è andata a buon fine. |
Error executing action "Generate UDM Query". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Genera query UDM:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Ottieni tabelle di dati
Utilizza l'azione Recupera tabelle di dati per recuperare le tabelle di dati disponibili in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Memorizzazione nella cache della tabella di dati
Puoi attivare la memorizzazione nella cache per ridurre le richieste ripetute a Google SecOps e velocizzare le esecuzioni dei playbook:
Come funziona la memorizzazione nella cache: quando è selezionato
Use Cache, l'azione archivia le tabelle di dati recuperate in una cache condivisa per il tuo ambiente Google SecOps. Le esecuzioni successive nei playbook e nelle azioni della tabella di dati supportate nello stesso ambiente riutilizzano i dati memorizzati nella cache fino alla scadenza.Memorizzazione nella cache della tabella completa: l'azione memorizza sempre nella cache tutte le righe per ogni tabella corrispondente (anche se
Expanded Rowsè disattivato oMax Data Table Rows To Returnè impostato su un limite inferiore), in modo che Is Value In Data Table e Is Value In Data Table Async possano riutilizzare la cache.Prime esecuzioni non filtrate: tutte le righe di ogni tabella corrispondente vengono memorizzate nella cache, quindi l'esecuzione dell'azione senza un
Filter Valuepuò richiedere più tempo quando la cache è vuota o scaduta.Impatto di
Cache TTL: controlla per quanto tempo i dati memorizzati nella cache rimangono validi prima che l'azione recuperi dati aggiornati da Google SecOps:- TTL più lungo: riduce le richieste API e velocizza i playbook, ma gli aggiornamenti della tabella di dati non vengono applicati fino alla scadenza della cache.
- TTL più breve: mantiene i risultati più aggiornati per le tabelle che cambiano di frequente, ma aumenta le richieste a Google SecOps.
Input azione
L'azione Get Data Tables richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Filter Key |
Facoltativo. La chiave in base alla quale filtrare L'opzione I valori possibili sono: NameDescription |
Filter Logic |
Facoltativo. La logica di filtro da applicare. I valori possibili sono: Equal (per le corrispondenze esatte)Contains(per le corrispondenze di sottostringhe) |
Filter Value |
Facoltativo. Il valore da utilizzare nel filtro. I valori possibili sono: Equal (per le corrispondenze esatte)Contains(per le corrispondenze di sottostringhe)
Se non viene fornito alcun valore, il filtro non verrà applicato. |
Expanded Rows |
Facoltativo. Se selezionata, la risposta include righe della tabella di dati dettagliate. |
Max Data Tables To Return |
Obbligatorio. Il numero di tabelle di dati da restituire. Il valore massimo è |
Max Data Table Rows To Return |
Obbligatorio. Il numero di righe della tabella di dati da restituire. Utilizza questo parametro solo se Il valore massimo è |
Use Cache |
Facoltativo. Se selezionata, l'azione utilizza i risultati della tabella di dati memorizzati nella cache, se disponibili, anziché eseguire query su Google SecOps a ogni esecuzione. Per maggiori dettagli, consulta Memorizzazione nella cache delle tabelle di dati. |
Cache TTL |
Facoltativo. La durata della cache in minuti prima che l'azione recuperi i dati aggiornati da Google SecOps. Per maggiori dettagli, consulta Memorizzazione nella cache delle tabelle di dati. Il valore minimo è Il valore predefinito è |
Output azione
L'azione Get Data Tables fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera tabelle di dati:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
"displayName": "data_table",
"createTime": "2025-05-14T12:52:50.064133Z",
"updateTime": "2025-05-14T13:13:48.631442Z",
"columnInfo": [
{
"originalColumn": "columnName1",
"columnType": "STRING"
},
{
"columnIndex": 1,
"originalColumn": "columnName2",
"columnType": "STRING"
},
{
"columnIndex": 2,
"originalColumn": "columnName3",
"columnType": "STRING"
}
],
"dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
"approximateRowCount": "2",
"Used cache": true,
"rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
Messaggi di output
L'azione Get Data Tables fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully found data tables for the provided criteria in Google
SecOps |
L'azione è andata a buon fine. |
Error executing action "Get Data Tables". Reason:
ERROR_REASON |
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Recupera tabelle di dati:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Ottieni i dettagli del rilevamento
Utilizza l'azione Recupera dettagli rilevamento per recuperare informazioni su un rilevamento in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Get Detection Details richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Rule ID |
Obbligatorio. L'ID della regola relativa al rilevamento. Utilizza il formato |
Detection ID |
Obbligatorio. L'ID del rilevamento di cui recuperare i dettagli. Se vengono forniti caratteri speciali, l'azione non ha esito negativo, ma restituisce un elenco di rilevamenti. |
Include Raw Log Data |
Facoltativo. Se selezionata, l'azione recupera il file di log non elaborato originale associato ai risultati di ricerca UDM. Questa opzione è disponibile solo quando utilizzi l'autenticazione dell'API Chronicle. Disattivato per impostazione predefinita. |
Output azione
L'azione Get Detection Details fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera dettagli rilevamento:
{
"collectionElements": [
{
"label": "e",
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2023-10-04T21:18:44Z",
"eventType": "NETWORK_CONNECTION",
"id": "yyyx=",
"ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
"logType": "UDM",
"productEventType": "Traffic - start",
"productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
"productName": "NGFW",
"vendorName": "Palo Alto Networks"
},
"network": {
"ipProtocol": "TCP",
"receivedBytes": "yyyyyyyyyxx",
"sentBytes": "yyyyyyyyyxx",
"sessionId": "yyyyyyyyyxx"
},
"principal": {
"asset": {
"hostname": "test3",
"ip": [
"00.0.0.00"
],
"mac": [
"00:00:00:0b:c9:11"
]
},
"hostname": "test3",
"ip": [
"x.x.0.x"
],
"mac": [
"00:00:00:0b:c9:11"
],
"port": 18985
},
"rawLogData": {
"action": "yyyyyy",
"decodedString": "yyyyyy",
"external_id": "yyyyyy",
"matching_status": "yyyyyy",
"severity": "yyyyyy",
"source": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
],
"target": {
"asset": {
"hostname": "youtube.com"
},
"hostname": "youtube.com",
"port": 4548
}
}
}
]
}
],
"createdTime": "2023-10-04T22:16:22.145254Z",
"detection": [
{
"alertState": "ALERTING",
"riskScore": 40,
"ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
"ruleLabels": [
{
"key": "priority",
"value": "Medium"
},
{
"key": "severity",
"value": "Medium"
}
],
"ruleName": "dns_not_google",
"ruleType": "SINGLE_EVENT",
"ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
"urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
}
],
"detectionTime": "2023-10-04T21:18:44Z",
"id": "yyyx-e380-yyyx-yyyx-yyyx",
"timeWindow": {
"endTime": "2023-10-04T21:18:44Z",
"startTime": "2023-10-04T21:18:44Z"
},
"type": "RULE_DETECTION"
}
Messaggi di output
L'azione Get Detection Details fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully fetched information about the detection with ID
DETECTION_ID in Google Chronicle. |
L'azione è andata a buon fine. |
Error executing action "Get Detection Details". Reason:
ERROR_REASON |
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Get Detection Details:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Ottieni elenchi di riferimento
Utilizza l'azione Get Reference Lists per recuperare gli elenchi di riferimento disponibili in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Get Reference Lists richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Filter Key |
La chiave in base alla quale filtrare.
I valori possibili sono:
|
Filter Logic |
La logica di filtro da applicare. I valori possibili sono: Equal (per le corrispondenze esatte)Contains(per le corrispondenze di sottostringhe)Il valore predefinito è |
Filter Value |
Il valore da utilizzare nel filtro.
I valori possibili sono: Equal (per le corrispondenze esatte)Contains(per le corrispondenze di sottostringhe)
Se non viene fornito alcun valore, il filtro non viene applicato. |
Expanded Details |
Se selezionata, l'azione restituisce informazioni dettagliate sugli elenchi di riferimento.
Non abilitata per impostazione predefinita. |
Max Reference Lists To Return |
Il numero di elenchi di riferimento da restituire.
Il valore predefinito è |
Output azione
L'azione Get Reference List fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
In una bacheca richieste, l'opzione Ottieni elenchi di riferimento fornisce la seguente tabella:
Nome: Available Reference Lists (Elenchi di riferimento disponibili)
Colonne:
- Nome
- Descrizione
- Tipo
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Get Reference Lists con l'API Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera elenchi di riferimento con l'API Chronicle:
[
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
"displayName": "REFERENCE_LIST_ID",
"revisionCreateTime": "2025-01-09T15:53:10.851775Z",
"description": "Test reference list",
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-09T15:53:10.851775Z"
}
]
Messaggi di output
L'azione Get Reference Lists (Ottieni elenchi di riferimento) fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action
ACTION_NAME. Reason:
ERROR_REASON
|
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action
ACTION_NAME. Reason: "Invalid
value was provided for "Max Reference Lists to Return":
PROVIIDED_VALUE. Positive number should be provided. |
L'azione non è andata a buon fine.
Controlla il valore del parametro |
Script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Get Reference Lists:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Ottieni i dettagli della regola
Utilizza l'azione Recupera dettagli regola per recuperare informazioni su una regola in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Get Rule Details richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Rule ID |
Obbligatorio. L'ID univoco della regola per cui recuperare i dettagli. Il valore predefinito è |
Output azione
L'azione Get Rule Details fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera dettagli regola con l'API Backstory:
{
"ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
"versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
"ruleName": "SampleRule",
"metadata": {
"description": "Sample Description of the Rule",
"author": "author@example.com"
},
"ruleText": "rule SampleRule {
meta:
description = \"Sample Description of the Rule\"
author = \"author@example.com\"
events:
// This will just generate lots of detections
$event.metadata.event_type = \"NETWORK_HTTP\"
condition:
$event
} ",
"liveRuleEnabled": true,
"versionCreateTime": "2020-10-13T23:18:13.146879Z",
"compilationState": "SUCCEEDED"
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Recupera dettagli regola con l'API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
"revisionId": "v_1733917896_973567000",
"displayName": "Test_rule_SingleEvent",
"text": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"author": "example_user",
"metadata": {
"author": "example_user",
"description": "windowed single event example rule",
"severity": null
},
"createTime": "2024-12-11T11:36:18.192127Z",
"revisionCreateTime": "2024-12-11T11:51:36.973567Z",
"compilationState": "SUCCEEDED",
"type": "SINGLE_EVENT",
"allowedRunFrequencies": [
"LIVE",
"HOURLY",
"DAILY"
],
"etag": "CMj55boGEJjondAD",
"ruleId": "RULE_ID",
"versionId": "RULE_ID@v_1733917896_973567000",
"ruleName": "Test_rule_SingleEvent",
"ruleText": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"ruleType": "SINGLE_EVENT",
"versionCreateTime": "2024-12-11T11:51:36.973567Z"
}
Messaggi di output
L'azione Get Rule Details (Ottieni dettagli regola) fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully fetched information about the rule with ID
RULE_ID in Google Chronicle.
|
L'azione è andata a buon fine. |
Error executing action "Get Rule Details". Reason:
ERROR_REASON
|
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Get Rule Details:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Is CIDR In Data Table
Utilizza Is CIDR In Data Table per verificare se valori CIDR specifici si trovano in una tabella di dati specifica in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Is CIDR In Data Table richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Data Table Name |
Obbligatorio. Il nome visualizzato della tabella di dati in cui eseguire la ricerca. |
Column |
Facoltativo. Un elenco separato da virgole di colonne in cui eseguire la ricerca nella tabella di dati. Se non fornisci un valore, l'azione esegue la ricerca in tutte le colonne. |
CIDR |
Obbligatorio. L'elenco di valori CIDR separati da virgole da cercare nella tabella di dati. |
Max Data Table Rows To Return |
Obbligatorio. Il numero di righe della tabella di dati da restituire per ogni valore corrispondente. Il valore massimo è Il valore predefinito è |
Output azione
L'azione Is CIDR In Data Table fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Is CIDR In Data Table:
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
Messaggi di output
L'azione Is CIDR In Data Table fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully searched provided CIDR values in the data table
DATA_TABLE_NAME in Google SecOps |
L'azione è andata a buon fine. |
Error executing action "Is CIDR In Data Table". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Is CIDR In Data Table:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Is Value In Data Table
Utilizza Is Value In Data Table per verificare se i valori forniti si trovano in una tabella di dati in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Memorizzazione nella cache della tabella di dati
Puoi attivare la memorizzazione nella cache per ridurre le richieste ripetute a Google SecOps e velocizzare le esecuzioni dei playbook:
Come funziona la memorizzazione nella cache: quando è selezionato
Use Cache, l'azione archivia le tabelle di dati recuperate in una cache condivisa per il tuo ambiente Google SecOps. Le esecuzioni successive nei playbook e nelle azioni della tabella di dati supportate nello stesso ambiente riutilizzano i dati memorizzati nella cache fino alla scadenza.Memorizzazione nella cache della tabella completa: quando la cache è vuota o scaduta, l'azione recupera e memorizza nella cache l'intera tabella di dati anziché solo le righe corrispondenti a
Values. Le ricerche successive di valori diversi nella stessa tabella possono quindi riutilizzare la cache senza eseguire query su Google SecOps.Limite di righe di output:
Max Data Table Rows To Returnlimita le righe corrispondenti restituite nell'output dell'azione per ogni valore, non le righe memorizzate nella cache.Impatto di
Cache TTL: controlla per quanto tempo i dati memorizzati nella cache rimangono validi prima che l'azione recuperi dati aggiornati da Google SecOps:- TTL più lungo: riduce le richieste API e velocizza i playbook, ma gli aggiornamenti della tabella di dati non vengono applicati fino alla scadenza della cache.
- TTL più breve: mantiene i risultati più aggiornati per le tabelle che cambiano di frequente, ma aumenta le richieste a Google SecOps.
Input azione
L'azione Is Value In Data Table richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Data Table Name |
Obbligatorio. Il nome visualizzato della tabella di dati in cui eseguire la ricerca. |
Column |
Facoltativo. Un elenco di colonne da cercare, separate da virgole. Se non viene fornito alcun valore, l'azione esegue la ricerca in tutte le colonne. |
Values |
Obbligatorio. Un elenco separato da virgole di valori da cercare. |
Case Insensitive Search |
Facoltativo. Se selezionata, la ricerca non distingue tra maiuscole e minuscole. Abilitato per impostazione predefinita. |
Max Data Table Rows To Return |
Obbligatorio. Il numero di righe della tabella di dati da restituire per valore corrispondente. Il valore massimo è |
Use Cache |
Facoltativo. Se selezionata, l'azione utilizza i risultati della tabella di dati memorizzati nella cache, se disponibili, anziché eseguire query su Google SecOps a ogni esecuzione. Per maggiori dettagli, consulta Memorizzazione nella cache delle tabelle di dati. |
Cache TTL |
Facoltativo. La durata della cache in minuti prima che l'azione recuperi i dati aggiornati da Google SecOps. Per maggiori dettagli, consulta Memorizzazione nella cache delle tabelle di dati. Il valore minimo è Il valore predefinito è |
Output azione
L'azione Is Value In Data Table fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Is Value In Data Table:
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
Messaggi di output
L'azione Is Value In Data Table (Il valore è nella tabella dati) fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME
in Google SecOps.
|
L'azione è andata a buon fine. |
| Errore durante l'esecuzione dell'azione "Il valore è nella tabella di dati". Motivo: ERROR_REASON | L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Is Value In Data Table". Reason: the
following data tables were not found in:
DATA_TABLE_NAME:
COLUMN_NAMES. Please check the
spelling.
|
L'azione non è andata a buon fine. |
Error executing action "Is Value In Data Table". Reason:
This action isn't supported for Backstory API configuration. Please update
the integration configuration.
|
L'azione non è andata a buon fine. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Is Value In Data Table:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Is Value In Data Table Async
Utilizza l'azione Is Value In Data Table Async per verificare se i valori forniti si trovano in una tabella di dati in Google SecOps in modo asincrono utilizzando operazioni di ricerca di lunga durata.
Questa azione non viene eseguita sulle entità Google SecOps.
Memorizzazione nella cache della tabella di dati
Puoi attivare la memorizzazione nella cache per ridurre le richieste ripetute a Google SecOps e velocizzare le esecuzioni dei playbook:
Come funziona la memorizzazione nella cache: quando è selezionato
Use Cache, l'azione archivia le tabelle di dati recuperate in una cache condivisa per il tuo ambiente Google SecOps. Le esecuzioni successive nei playbook e nelle azioni della tabella di dati supportate nello stesso ambiente riutilizzano i dati memorizzati nella cache fino alla scadenza.Completamento immediato quando i dati sono memorizzati nella cache: quando esiste una cache valida per la tabella dei dati, l'azione esegue una ricerca nella cache e viene completata immediatamente senza avviare una ricerca asincrona in Google SecOps.
Tabelle con più di 1.000.000 di righe: se una tabella di dati supera 1.000.000 di righe, l'azione restituisce comunque i risultati di ricerca, ma ignora la memorizzazione nella cache della tabella per evitare di archiviare una copia incompleta.
Impatto di
Cache TTL: controlla per quanto tempo i dati memorizzati nella cache rimangono validi prima che l'azione recuperi dati aggiornati da Google SecOps:- TTL più lungo: riduce le richieste API e velocizza i playbook, ma gli aggiornamenti della tabella di dati non vengono applicati fino alla scadenza della cache.
- TTL più breve: mantiene i risultati più aggiornati per le tabelle che cambiano di frequente, ma aumenta le richieste a Google SecOps.
Input azione
L'azione Is Value In Data Table Async richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Data Table Name |
Obbligatorio. Il nome visualizzato della tabella di dati in cui eseguire la ricerca. |
Column |
Facoltativo. Un elenco separato da virgole di colonne in cui eseguire la ricerca nella tabella di dati. Se non viene fornito alcun valore, l'azione esegue la ricerca in tutte le colonne. |
Values |
Obbligatorio. Un elenco separato da virgole di valori da cercare nella tabella di dati. |
Case Insensitive Search |
Facoltativo. Se selezionata, la ricerca non distingue tra maiuscole e minuscole. Abilitato per impostazione predefinita. |
Max Data Table Rows To Return |
Obbligatorio. Il numero di righe della tabella di dati da restituire per ogni valore corrispondente. Il valore massimo è Il valore predefinito è |
Use Cache |
Facoltativo. Se selezionata, l'azione utilizza i risultati della tabella di dati memorizzati nella cache, se disponibili, anziché eseguire query su Google SecOps a ogni esecuzione. Per maggiori dettagli, consulta Memorizzazione nella cache delle tabelle di dati. |
Cache TTL |
Facoltativo. La durata della cache in minuti prima che l'azione recuperi i dati aggiornati da Google SecOps. Per maggiori dettagli, consulta Memorizzazione nella cache delle tabelle di dati. Il valore minimo è Il valore predefinito è |
Output azione
L'azione Is Value In Data Table Async fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Is Value In Data Table Async:
[
{
"Entity": "example_value",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"createTime": "",
"name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
"updateTime": "",
"values": {
"columnName1": "example_value",
"columnName2": "sample_data"
}
}
]
}
}
]
Messaggi di output
L'azione Is Value In Data Table Async fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME.
|
L'azione è andata a buon fine. |
Error executing action "Is Value In Data Table Async". Reason:
ERROR_REASON.
|
L'azione non è andata a buon fine. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Is Value In Data Table Async:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Is Value In Reference List
Utilizza l'azione Is Value In Reference List per verificare se i valori forniti si trovano negli elenchi di riferimento in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Is Value In Reference List richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Reference List Names |
Obbligatorio. Un elenco separato da virgole di nomi di elenchi di riferimento da cercare. |
Values |
Obbligatorio. Un elenco separato da virgole di valori da cercare. |
Case Insensitive Search |
Facoltativo. Se selezionata, la ricerca non distingue tra maiuscole e minuscole. |
Output azione
L'azione Is Value In Reference List fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Is Value In Reference List con l'API Backstory:
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Is Value In Reference List con l'API Chronicle:
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
Messaggi di output
L'azione Is Value In Reference List fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully searched provided values in the reference lists in
Google Chronicle.
|
L'azione è andata a buon fine. |
| Errore durante l'esecuzione dell'azione "Is Value In Reference List". Motivo: ERROR_REASON | L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Is Value In Reference List". Reason: the
following reference lists were not found in Google Chronicle:
MISSING_REFERENCE_LIST_NAME(S).
Please use the action "Get Reference Lists" to see what reference lists are
available.
|
L'azione non è andata a buon fine. Esegui l'azione Get Reference Lists per verificare la presenza di elenchi disponibili. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Is Value In Reference List:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Elenco asset
Utilizza l'azione Elenca asset per elencare gli asset in Google SecOps in base alle entità correlate entro un periodo di tempo specificato.
Questa azione supporta solo gli hash MD5, SHA-1 e SHA-256.
Questa azione viene eseguita sulle seguenti entità Google SecOps:
URLIP AddressHash
Input azione
L'azione Elenca asset richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Max Hours Backwards |
Il numero di ore precedenti al momento attuale per recuperare gli asset.
Il valore predefinito è |
Create Insight |
Se selezionata, l'azione crea un insight con informazioni sulle entità. Abilitato per impostazione predefinita. |
Max Assets To Return |
Il numero di asset da restituire. Il valore predefinito è |
Time Frame |
Facoltativo. Un periodo per il quale recuperare i risultati. I valori possibili sono:
Se è selezionato Il valore predefinito è |
Start Time |
L'ora di inizio nel formato ISO 8601. Questo parametro è obbligatorio se il parametro |
End Time |
L'ora di fine nel formato ISO 8601.
Se non imposti un valore e imposti il parametro |
Output azione
L'azione Elenca asset fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
Nome: ENTITY_IDENTIFIER
Colonne:
- Nome host
- Indirizzo IP
- First Seen Artifact
- Ultimo artefatto rilevato
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Elenca asset con l'API Backstory:
{
"assets": [
{
"asset": {
"hostname": "example"
},
"firstSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-02-28T09:18:15.675Z"
},
"lastSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-09-24T06:43:59Z"
}
}
],
"uri": [
"https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
]
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Elenca asset con l'API Chronicle:
[
{
"Entity": "192.0.2.229",
"EntityResult": {
"assets": [
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Open Source Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Open Source Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "OPEN_SOURCE_INTEL_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "ex ",
"valueType": "DOMAIN_NAME"
}
},
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Active Breach Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Active Breach Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "MANDIANT_ACTIVE_BREACH_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "example.com",
"valueType": "DOMAIN_NAME"
}
}
],
"uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
}
}
]
Messaggi di output
L'azione Elenca asset fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully listed related assets for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
L'azione è andata a buon fine. |
Error executing action "List Assets". Reason:
ERROR_REASON |
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca asset:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Elenca eventi
Utilizza l'azione Elenca eventi per elencare gli eventi relativi a un asset specifico in un periodo di tempo specificato.
Questa azione può recuperare solo 10.000 eventi.
Questa azione viene eseguita sulle seguenti entità Google SecOps:
IP addressMAC addressHostname
Input azione
L'azione Elenca eventi richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Event Types |
Un elenco separato da virgole di tipi di eventi.
Se non viene fornito alcun valore, vengono recuperati tutti i tipi di eventi. Per un elenco di tutti i valori possibili, consulta Valori possibili per il tipo di evento. |
Time Frame |
Il periodo di tempo specificato. Per ottenere risultati migliori, ti consigliamo di mantenerlo il più piccolo possibile.
Se è selezionato Se selezioni I valori possibili sono:
Il valore predefinito è |
Start Time |
L'ora di inizio nel formato ISO 8601. Questo parametro è obbligatorio se il parametro |
End Time |
L'ora di fine nel formato ISO 8601. Se non viene fornito alcun valore e il parametro Questo parametro accetta il valore |
Reference Time |
L'ora di riferimento per la ricerca degli eventi.
Se non viene fornito alcun valore, l'azione utilizza l'ora di fine come riferimento. |
Output |
Obbligatorio. Il formato di output. I valori possibili sono:
|
Max Events To Return |
Il numero di eventi da elaborare per ogni tipo di entità. Il valore predefinito è |
Valori possibili per il tipo di evento
I valori possibili per il parametro Event Type sono i seguenti:
EVENTTYPE_UNSPECIFIEDPROCESS_UNCATEGORIZEDPROCESS_LAUNCHPROCESS_INJECTIONPROCESS_PRIVILEGE_ESCALATIONPROCESS_TERMINATIONPROCESS_OPENPROCESS_MODULE_LOADREGISTRY_UNCATEGORIZEDREGISTRY_CREATIONREGISTRY_MODIFICATIONREGISTRY_DELETIONSETTING_UNCATEGORIZEDSETTING_CREATIONSETTING_MODIFICATIONSETTING_DELETIONMUTEX_UNCATEGORIZEDMUTEX_CREATIONFILE_UNCATEGORIZEDFILE_CREATIONFILE_DELETIONFILE_MODIFICATIONFILE_READFILE_COPYFILE_OPENFILE_MOVEFILE_SYNCUSER_UNCATEGORIZEDUSER_LOGINUSER_LOGOUTUSER_CREATIONUSER_CHANGE_PASSWORDUSER_CHANGE_PERMISSIONSUSER_STATSUSER_BADGE_INUSER_DELETIONUSER_RESOURCE_CREATIONUSER_RESOURCE_UPDATE_CONTENTUSER_RESOURCE_UPDATE_PERMISSIONSUSER_COMMUNICATIONUSER_RESOURCE_ACCESSUSER_RESOURCE_DELETIONGROUP_UNCATEGORIZEDGROUP_CREATIONGROUP_DELETIONGROUP_MODIFICATIONEMAIL_UNCATEGORIZEDEMAIL_TRANSACTIONEMAIL_URL_CLICKNETWORK_UNCATEGORIZEDNETWORK_FLOWNETWORK_CONNECTIONNETWORK_FTPNETWORK_DHCPNETWORK_DNSNETWORK_HTTPNETWORK_SMTPSTATUS_UNCATEGORIZEDSTATUS_HEARTBEATSTATUS_STARTUPSTATUS_SHUTDOWNSTATUS_UPDATESCAN_UNCATEGORIZEDSCAN_FILESCAN_PROCESS_BEHAVIORSSCAN_PROCESSSCAN_HOSTSCAN_VULN_HOSTSCAN_VULN_NETWORKSCAN_NETWORKSCHEDULED_TASK_UNCATEGORIZEDSCHEDULED_TASK_CREATIONSCHEDULED_TASK_DELETIONSCHEDULED_TASK_ENABLESCHEDULED_TASK_DISABLESCHEDULED_TASK_MODIFICATIONSYSTEM_AUDIT_LOG_UNCATEGORIZEDSYSTEM_AUDIT_LOG_WIPESERVICE_UNSPECIFIEDSERVICE_CREATIONSERVICE_DELETIONSERVICE_STARTSERVICE_STOPSERVICE_MODIFICATIONGENERIC_EVENTRESOURCE_CREATIONRESOURCE_DELETIONRESOURCE_PERMISSIONS_CHANGERESOURCE_READRESOURCE_WRITTENANALYST_UPDATE_VERDICTANALYST_UPDATE_REPUTATIONANALYST_UPDATE_SEVERITY_SCOREANALYST_UPDATE_STATUSANALYST_ADD_COMMENT
Output azione
L'azione Elenca eventi fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Elenca eventi:
{
"statistics": {
"NETWORK_CONNECTION": 10
}
{
"events": [
{
"metadata": {
"eventTimestamp": "2020-09-28T14:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
},
{
"metadata": {
"eventTimestamp": "2020-09-28T17:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
}
],
"uri": [
"https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
]
}
}
Messaggi di output
L'azione Elenca eventi fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully listed related events for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
L'azione è andata a buon fine. |
Error executing action "List Events". Reason:
ERROR_REASON
|
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "List Events". Reason: invalid event type
is provided. Please check the spelling. Supported event types:
SUPPORTED_EVENT_TYPES
|
L'azione non è andata a buon fine.
Controlla l'ortografia. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca eventi:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Elenca gli IOC
Utilizza l'azione Elenca IoC per elencare tutti gli IoC rilevati nella tua azienda in un intervallo di tempo specificato.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Elenca IOC richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Start Time |
L'ora di inizio dei risultati in formato ISO 8601. |
Max IoCs to Fetch |
Il numero massimo di IoC da restituire.
L'intervallo è Il valore predefinito è |
Output azione
L'azione Elenca IOC fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Tabella della bacheca casi
Colonne:
- Dominio
- Category
- Origine
- Sicurezza di sé
- Gravità
- Ora di importazione IoC
- IoC First Seen Time
- IoC Last Seen Time
- URI
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Elenca IOC:
{
"matches":[
{
"artifact":{
"domainName":"www.example.com"
},
"firstSeenTime":"2018-05-25T20:47:11.048998Z",
"iocIngestTime":"2019-08-14T21:00:00Z",
"lastSeenTime":"2019-10-24T16:19:46.880830Z",
"sources":[
{
"category":"Spyware Reporting Server",
"confidenceScore":{
"intRawConfidenceScore":0,
"normalizedConfidenceScore":"Low"
},
"rawSeverity":"Medium",
"source":"Example List"
}
],
"uri":["URI"]
}
],
"moreDataAvailable":true
}
Messaggi di output
L'azione Elenca IOC fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully listed IOCs from the provided timeframe in Google
Chronicle. |
L'azione è andata a buon fine. |
Error executing action "List IOCs". Reason:
ERROR_REASON.
|
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca IOC:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Cerca avvisi simili
Utilizza l'azione Cerca avvisi simili per cercare avvisi simili in Google SecOps.
Input azione
L'azione Cerca avvisi simili richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Time Frame |
Il periodo di tempo per i risultati. Per ottenere i risultati migliori, mantieni il periodo di tempo il più ristretto possibile.
I valori possibili sono:
|
IOCs / Assets |
Obbligatorio. Un elenco separato da virgole di IoC o asset da trovare negli avvisi. L'azione esegue una ricerca separata per ogni elemento fornito. |
Similarity By |
Gli attributi da utilizzare per trovare avvisi simili. I valori possibili sono:
Il valore predefinito è |
Come funziona il parametro Similarity By
Il parametro Similarity By si applica in modo diverso agli avvisi relativi alle regole e agli avvisi esterni.
Se viene selezionato
Alert Name, Alert Type and ProductoAlert Name, Alert Type:Per gli avvisi esterni, l'azione cerca altri avvisi esterni con lo stesso nome.
Per gli avvisi relativi alle regole, l'azione elabora gli avvisi provenienti dalla stessa regola.
Se selezioni
Product:- L'azione elabora gli avvisi provenienti dallo stesso prodotto, indipendentemente dal fatto che si tratti di avvisi relativi alle regole o di avvisi esterni.
Ad esempio, un avviso proveniente da Crowdstrike verrà abbinato solo ad altri avvisi di Crowdstrike.
Se selezioni
Only IOCs/Assets:L'azione trova gli avvisi in base agli IOC forniti nel parametro
IOCs/Assets. Cerca questi indicatori sia negli avvisi relativi alle regole sia negli avvisi esterni.Un avviso IOC può eseguire questa azione solo quando questa opzione è selezionata. Se viene fornita un'altra opzione, l'azione predefinita è
Only IOCs/Assets.
L'azione Cerca avvisi simili è uno strumento versatile per l'analisi degli avvisi. Consente agli analisti di correlare gli avvisi dello stesso periodo di tempo ed estrarre gli IOC pertinenti per determinare se un incidente è un vero positivo.
Output azione
L'azione Cerca avvisi simili fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Disponibile |
| Tabella della bacheca casi | Disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Link alla bacheca casi
L'azione Cerca avvisi simili può restituire i seguenti link:
- CBN: GENERATED_LINK_BASED_ON_IU_ROOT_URL
- Regola: GENERATED_LINK_BASED_ON_IU_ROOT_URL
Tabella della bacheca casi
Nome tabella: IOC/ASSET_IDENTIFIER
Colonne della tabella:
- Prodotto
- Nomi host
- IP
- Utenti
- Indirizzi email
- Materie
- URL
- Hash
- Processi
- Prima visualizzazione
- Ultimo rilevamento
- Nome avviso
- Generali
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Cerca avvisi simili:
{
"count": 123,
"distinct": [
{
"first_seen": "time of the first alert that matched our conditions",
"last_seen": "time of the last alert that matched our conditions",
"product_name": "product name",
"used_ioc_asset": "what user provided in the parameter IOCs and Assets",
"name": "Alert Name/Rule Name",
"hostnames": "csv list of unique hostnames that were found in alerts",
"urls": "csv list of unique urls that were found in alerts",
"ips": "csv list of unique ips that were found in alerts",
"subjects": "csv list of unique subjects that were found in alerts",
"users": "csv list of unique users that were found in alerts",
"email_addresses": "csv list of unique email_addresses that were found in alerts",
"hashes": "csv list of unique hashes that were found in alerts",
"processes": "csv list of unique processes that were found in alerts"
"rule_urls": ["Chronicle URL from API response for Rule"]
"count": 123
}
],
"processed_alerts": 10000,
"run_time": "how long it took to run the action or at least API request",
"EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"
}
Messaggi di output
L'azione Cerca avvisi simili fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
|
L'azione è andata a buon fine. |
Error executing action "Lookup Similar Alerts". Reason:
ERROR_REASON
|
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Error executing action "Lookup Similar Alerts". Reason: all of the
retries are exhausted. Please wait for a minute and try again.
|
L'azione non è andata a buon fine. Attendi qualche minuto prima di eseguire nuovamente l'azione. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Cerca avvisi simili:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Dindin
Utilizza l'azione Ping per verificare la connettività a Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
Nessuno.
Output azione
L'azione Ping fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Non disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Messaggi di output
L'azione Ping fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully connected to the Google Chronicle backstory with the
provided connection parameters! |
L'azione è andata a buon fine. |
Failed to connect to the Google Chronicle backstory. Error is
ERROR_REASON
|
L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Ping:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Rimuovi righe dalla tabella di dati
Utilizza l'azione Rimuovi righe dalla tabella di dati per rimuovere le righe da una tabella di dati in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Rimuovi righe dalla tabella di dati richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Data Table Name |
Obbligatorio. Il nome visualizzato della tabella di dati da aggiornare. |
Rows |
Obbligatorio. Un elenco di oggetti JSON utilizzati per cercare ed eliminare righe. Includi solo colonne valide. Il valore predefinito è il seguente: |
Output azione
L'azione Rimuovi righe dalla tabella di dati fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Rimuovi righe dalla tabella dati:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
Messaggi di output
L'azione Rimuovi righe dalla tabella di dati fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully removed rows from the data table
DATA_TABLE_NAME in
Google SecOps.
|
L'azione è andata a buon fine. |
Error executing action "Remove Rows From Data Table". Reason:
ERROR_REASON
|
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Rimuovi righe dalla tabella dati:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Rimuovi valori dall'elenco di riferimento
Utilizza l'azione Rimuovi valori dall'elenco di riferimento per rimuovere i valori da un elenco di riferimento in Google SecOps.
Questa azione non viene eseguita sulle entità Google SecOps.
Input azione
L'azione Rimuovi valori dall'elenco di riferimento richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Reference List Name |
Obbligatorio. Il nome dell'elenco di riferimento da aggiornare. |
Values |
Obbligatorio. Un elenco separato da virgole di valori da rimuovere dall'elenco di riferimento. |
Output azione
L'azione Rimuovi valori dall'elenco di riferimento fornisce i seguenti output:
| Tipo di output dell'azione | Disponibilità |
|---|---|
| Allegato della bacheca richieste | Non disponibile |
| Link alla bacheca casi | Non disponibile |
| Tabella della bacheca casi | Non disponibile |
| Tabella di arricchimento | Non disponibile |
| Risultato JSON | Disponibile |
| Messaggi di output | Disponibile |
| Risultato dello script | Disponibile |
Risultato JSON
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Rimuovi valori dall'elenco di riferimento con l'API Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Rimuovi valori dall'elenco di riferimento con l'API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
Messaggi di output
L'azione Rimuovi valori dall'elenco di riferimento fornisce i seguenti messaggi di output:
| Messaggio di output | Descrizione del messaggio |
|---|---|
Successfully removed values from the reference list.
|
L'azione è andata a buon fine. |
Error executing action "Remove Values From Reference List". Reason:
ERROR_REASON
|
L'azione non è andata a buon fine.
Controlla la connessione al server, i parametri di input o le credenziali. |
Risultato dello script
La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Rimuovi valori dall'elenco di riferimento:
| Nome del risultato dello script | Valore |
|---|---|
is_success |
true o false |
Connettori
Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importa i dati (connettori).
Google Chronicle - Connettore per gli avvisi di Chronicle
Utilizza il connettore Google Chronicle - Chronicle Alerts per estrarre informazioni sugli avvisi basati su regole da Google SecOps.
Panoramica
Il connettore Google Chronicle - Chronicle Alerts importa gli avvisi basati su regole da Google SecOps.
Le funzionalità principali e i dettagli operativi includono:
Esegue query sui dati entro un periodo di una settimana. Per evitare di perdere avvisi a causa di ritardi nell'indicizzazione, è possibile configurare un periodo di padding e un timeout del connettore più lungo, anche se un padding significativo potrebbe influire negativamente sulle prestazioni.
Utilizza elenchi dinamici per una configurazione flessibile.
Fornisce un
Fallback Severityper gli avvisi privi di un valore di gravità.
Filtro elenco dinamico
L'elenco dinamico viene utilizzato per filtrare gli avvisi direttamente dalla pagina di configurazione del connettore.
Logica degli operatori
L'elenco dinamico utilizza una combinazione di valutazione basata su set e logica su più righe per elaborare le regole di filtro:
Valori separati da virgole (valutazione dell'insieme): i valori sulla stessa riga, separati da una virgola, vengono trattati come un unico insieme. La logica applicata dipende dall'operatore utilizzato:
- Inclusione (
=): funge da lista consentita.
Importa l'avviso se il valore corrisponde a un elemento dell'elenco (ad esempio,
Rule.severity = low,mediumsignificalowOmedium).- Esclusione (
!=): funge da lista bloccata.
Importa l'avviso solo se il valore non corrisponde a nessuno degli elementi dell'elenco (ad esempio,
Rule.ruleName != rule_a,rule_bsignifica che il nome della regola NON èrule_aE NONrule_b).- Inclusione (
Righe separate (logica AND): ogni riga separata nell'elenco dinamico limita ulteriormente il filtro (ad esempio, Riga 1 AND Riga 2).
Operatori supportati: (
=,!=,>,<,>=,<=) variano a seconda della chiave di filtro.
Di seguito sono riportati alcuni esempi di utilizzo delle regole degli operatori:
Rule.severity = medium: il connettore importa solo gli avvisi delle regole con gravità media.
Rule.severity = low,medium: il connettore importa solo gli avvisi delle regole con gravità media o bassa.
Rule.ruleName != rule_a,rule_b: il connettore importa tutti gli avvisi tranne quelli in cui il nome della regola è
rule_aorule_b.Rule.ruleName = default_rule: il connettore importa solo gli avvisi delle regole con il nome
default_rule.
Filtri supportati
Il connettore Chronicle Alerts supporta l'applicazione di filtri alle seguenti chiavi:
| Chiave filtro | Chiave di risposta | Operatori | Valori possibili |
|---|---|---|---|
Rule.severity |
detection, ruleLabels o severity |
=, !=, >, <,
>=, <= |
I valori non fanno distinzione tra maiuscole e minuscole. |
Rule.ruleName |
detection o ruleName |
=, != |
Definito dall'utente. |
Rule.ruleID |
detection o ruleId |
=, != |
Definito dall'utente. |
Rule.ruleType |
detection o ruleClass |
=, != |
I valori non fanno distinzione tra maiuscole e minuscole. |
Rule.ruleLabels.{key} |
detection o ruleLabels |
=, != |
Definito dall'utente. |
Gestione di ruleLabels
Per filtrare in base a un'etichetta specifica all'interno di una regola, utilizza il formato Rule.ruleLabels.{key}.
Ad esempio, per filtrare in base a un'etichetta con la chiave type e il valore suspicious_behaviour, l'input dell'elenco dinamico deve essere:
Rule.ruleLabels.type=suspicious_behaviour
Input del connettore
Il connettore Chronicle Alerts richiede i seguenti parametri:
Il valore predefinito è Medium.
| Parametro | Descrizione |
|---|---|
Product Field Name |
Obbligatorio. Il nome del campo in cui è memorizzato il nome del prodotto. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita. Il valore predefinito è |
Event Field Name |
Obbligatorio. Il nome del campo che determina il nome dell'evento (sottotipo). |
Environment Field Name |
Facoltativo. Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non è presente, il connettore utilizza il valore predefinito. Il valore predefinito è |
Environment Regex Pattern |
Facoltativo. Un pattern di espressione regolare da eseguire sul valore trovato nel campo Utilizza il valore predefinito Se il pattern dell'espressione regolare è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito. |
Script Timeout (Seconds) |
Obbligatorio. Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente. Il valore predefinito è |
API Root |
Obbligatorio. L'URL di base dell'API per la tua istanza di Google SecOps:
|
User's Service Account |
Facoltativo. La chiave JSON del service account utilizzata per l'autenticazione. Utilizzato solo se Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali). |
Workload Identity Email |
Facoltativo. L'indirizzo email del account di servizio utilizzato per l'autenticazione di Workload Identity (consigliato quando è richiesto un account di servizio). Ha la precedenza se entrambi i campi delle credenziali sono compilati. Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali). |
Fallback Severity |
Obbligatorio. La gravità predefinita da utilizzare se l'avviso di Google SecOps non include un valore di gravità. I valori possibili sono:
|
Max Hours Backwards |
Facoltativo. Il numero di ore precedenti l'esecuzione iniziale del connettore da cui recuperare gli incidenti. Questo parametro viene applicato una sola volta. Il valore massimo è Il valore predefinito è |
Max Alerts To Fetch |
Facoltativo. Il numero di avvisi da elaborare in ogni iterazione del connettore. Il valore predefinito è |
Disable Event Splitting |
Facoltativo. Se selezionata, il connettore non suddivide gli eventi originali in più parti, garantendo che il conteggio degli eventi corrisponda tra l'origine e Google SecOps. Non abilitata per impostazione predefinita. |
Verify SSL |
Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Google SecOps. Abilitato per impostazione predefinita. |
Proxy Server Address |
Facoltativo. L'indirizzo del server proxy da utilizzare. |
Proxy Username |
Facoltativo. Il nome utente del proxy con cui eseguire l'autenticazione. |
Proxy Password |
Facoltativo. La password del proxy con cui eseguire l'autenticazione. |
Disable Overflow |
Facoltativo. Se selezionata, il connettore ignora il meccanismo di overflow di Google SecOps. Non abilitata per impostazione predefinita. |
Validate Dynamic List Entries |
Facoltativo. Se questa opzione è attiva, il connettore verifica che le voci nell'elenco dinamico esistano nella piattaforma prima dell'elaborazione per evitare errori di importazione. Non abilitata per impostazione predefinita. |
Regole del connettore
Il connettore Google Chronicle - Chronicle Alerts supporta i proxy.
Eventi del connettore
La sezione seguente descrive la struttura degli eventi recuperati dal connettore. Questo connettore estrae in modo specifico gli avvisi generati dalle regole di rilevamento all'interno di Google SecOps.
Avvisi basati su regole
Questo tipo di evento viene generato quando una regola di rilevamento corrisponde ai dati di log in entrata. L'output JSON contiene i metadati della regola, l'ID di rilevamento univoco e i dati sugli eventi UDM associati che hanno attivato l'avviso.
{
"alert_type": "RULE",
"event_type": "NETWORK_DHCP",
"type": "RULE_DETECTION",
"detection": [
{
"ruleName": "d3_test",
"urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
"ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
"ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
"alertState": "NOT_ALERTING",
"ruleType": "SINGLE_EVENT",
"ruleLabels": [
{
"key": "author",
"value": "analyst123"
},
{
"key": "description",
"value": "8:00 AM local time"
},
{
"key": "severity",
"value": "Medium"
}
]
}
],
"createdTime": "2022-02-08T06:07:33.944951Z",
"id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
"timeWindow": {
"startTime": "2022-02-08T05:02:36Z",
"endTime": "2022-02-08T05:02:36Z"
},
"collectionElements": [
{
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-02-08T05:02:36Z",
"eventType": "NETWORK_DHCP",
"productName": "Infoblox DHCP",
"ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
},
"principal": {
"ip": [
"198.51.100.255",
"198.51.100.1"
],
"mac": [
"01:23:45:ab:cd:ef"
],
"email_address": [
"example@example.com"
]
},
"target": {
"hostname": "dhcp_server",
"ip": [
"198.51.100.0",
"198.51.100.1"
]
},
"network": {
"applicationProtocol": "DHCP",
"dhcp": {
"opcode": "BOOTREQUEST",
"ciaddr": "198.51.100.255",
"giaddr": "198.51.100.0",
"chaddr": "01:23:45:ab:cd:ef",
"type": "REQUEST",
"clientHostname": "example-user-pc",
"clientIdentifier": "AFm/LDfjAw=="
}
}
}
}
],
"label": "e"
}
],
"detectionTime": "2022-02-08T05:02:36Z"
}
Struttura degli avvisi
La tabella seguente descrive in che modo il connettore Google Chronicle - Chronicle Alerts compila gli attributi di un avviso in Google SecOps.
Attributi generati internamente
Questi attributi vengono generati dal framework della piattaforma anziché essere estratti dall'avviso di origine:
| Nome attributo avviso | Origine |
|---|---|
SourceSystemName |
Generato internamente dal framework. |
TicketId |
Proveniente dall'ID di rilevamento dell'avviso (id). |
DisplayId |
Generati automaticamente. |
Attributi per tutti i tipi di avvisi
Questi attributi derivano dall'avviso di origine.
| Nome attributo avviso | Origine |
|---|---|
Priority |
Ricavato dalla risposta dell'API o dal parametro Fallback Severity. |
DeviceVendor |
Il valore impostato come hardcoded è Google Chronicle. |
DeviceProduct |
Il valore impostato come hardcoded è RULE. |
Description |
Proveniente da detection/ruleLabels/description (se esiste). |
Reason |
Non disponibile. |
SourceGroupingIdentifier |
Non disponibile. |
Chronicle Alert - Attachments |
Non disponibile. |
Ritirato: Google Chronicle - Connettore avvisi
Questo connettore estrae gli avvisi sugli asset da Google SecOps per l'importazione nelle richieste.
Questo connettore richiede l'API SIEM Search di Google SecOps.
Input del connettore
Il connettore degli avvisi richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Product Field Name |
Obbligatorio.
Il nome del campo in cui è memorizzato il nome del prodotto. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita. Il valore predefinito è |
Environment Field Name |
Facoltativo. Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non è presente, il connettore utilizza il valore predefinito. Il valore predefinito è |
Environment Regex Pattern |
Facoltativo. Un pattern di espressione regolare da eseguire sul valore trovato nel campo Utilizza il valore predefinito Se il pattern dell'espressione regolare è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito. |
Script Timeout (Seconds) |
Obbligatorio. Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente. Il valore predefinito è |
Service Account Credentials |
Obbligatorio. Il contenuto del file JSON del account di servizio. |
Fetch Max Hours Backwards |
Facoltativo. Il numero di ore precedenti all'esecuzione iniziale del connettore da cui recuperare gli incidenti. Questo parametro viene applicato una sola volta. Il valore massimo è Il valore predefinito è |
Ritirato: Google Chronicle - Connettore IoC
Utilizza invece il connettore di avvisi di Chronicle.
Questo connettore estrae le corrispondenze dei domini IOC da Google SecOps per l'importazione nelle richieste.
Questo connettore utilizza l'API Google SecOps Search.
Input del connettore
Il connettore Google Chronicle - IoC richiede i seguenti parametri:
| Parametro | Descrizione |
|---|---|
Product Field Name |
Obbligatorio.
Il nome del campo in cui è memorizzato il nome del prodotto. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita. Il valore predefinito è |
Environment Field Name |
Facoltativo. Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non è presente, il connettore utilizza il valore predefinito. Il valore predefinito è |
Environment Regex Pattern |
Facoltativo. Un pattern di espressione regolare da eseguire sul valore trovato nel campo Utilizza il valore predefinito Se il pattern dell'espressione regolare è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito. |
Script Timeout (Seconds) |
Obbligatorio. Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente. Il valore predefinito è |
Service Account Credentials |
Obbligatorio. Il contenuto del file JSON del account di servizio. |
Fetch Max Hours Backwards |
Facoltativo. Il numero di ore precedenti l'esecuzione iniziale del connettore da cui recuperare gli avvisi. Questo parametro viene applicato una sola volta. Il valore massimo è Il valore predefinito è |
Max Alerts To Fetch |
Facoltativo. Il numero massimo di avvisi da elaborare in ogni iterazione del connettore. Il valore predefinito è |
Job
Per saperne di più sui job, consulta Configura un nuovo job e Pianificazione avanzata.
Prerequisiti per la configurazione del job
Prima di procedere alla configurazione del job, configura il connettore di Chronicle Alerts.
Per configurare i job di Google Chronicle, segui questi passaggi:
In Google SecOps, vai a Risposta > Pianificatore di job.
Fai clic su addCrea nuovo job.
Nella finestra di dialogo Aggiungi job visualizzata, seleziona il job Google Chronicle corrispondente e fai clic su Salva.
(Facoltativo) Se necessario, modifica il nome e la descrizione del job.
Nella sezione Dettagli job:
- Assicurati che l'opzione GoogleChronicle sia selezionata nel campo Integration (Integrazione).
Per eseguire automaticamente il job a intervalli specificati, configura un intervallo dello scheduler. La configurazione dello scheduler è obbligatoria per completare la configurazione del job.
Poiché i job di Google Chronicle possono sincronizzare grandi quantità di dati in un'unica esecuzione, Google consiglia di impostare l'intervallo dello scheduler su almeno 2 minuti.
Google Chronicle - Job di sincronizzazione dei dati
Questo job funziona con gli avvisi creati dal Chronicle Alerts Connector e dal job Chronicle Alerts Creator, ma non con gli avvisi dei connettori ritirati (Alerts Connector e IOCs Connector).
Il job Google Chronicle Sync Data sincronizza gli avvisi e i casi aggiornati in Google SecOps in modo che le modifiche apportate durante la gestione dei casi vengano applicate immediatamente su tutta la piattaforma.
Sincronizzazione dei dati di casi e avvisi
Il job Google Chronicle Sync Data monitora e sincronizza i seguenti campi per le richieste:
| Campo monitorato | Campo sincronizzato |
|---|---|
Priority |
Priority |
Status |
Status |
Title |
Title |
| Non applicabile | Stage |
| Non applicabile | Google SecOps Case ID |
L'ID richiesta di Google SecOps è un identificatore univoco della richiesta in Google SecOps.
Il job Google Chronicle Sync Data monitora e sincronizza i seguenti campi per gli avvisi:
| Campo monitorato | Campo sincronizzato |
|---|---|
Priority |
Priority |
Status |
Status |
Case ID |
Non applicabile |
| Non applicabile | Google SecOps Alert ID |
| Non applicabile | Google SecOps Case ID |
| Non applicabile | Verdict |
| Non applicabile | Closure Comment |
| Non applicabile | Closure Reason |
| Non applicabile | Closure Root Cause |
| Non applicabile | Usefulness |
L'ID avviso di Google SecOps è un identificatore univoco degli avvisi in Google SecOps.
In un'iterazione, il job sincronizza fino a 1000 richieste e 1000 avvisi. La sincronizzazione avviene all'interno dell'ambiente Google SecOps specificato nella configurazione del job. Il meccanismo di sincronizzazione garantisce che una richiesta dell'ambiente specificato non possa essere sincronizzata con un altro ambiente.
Configura il job di sincronizzazione dei dati di Google Chronicle
Questo job sincronizza solo le richieste che contengono avvisi importati da Google SecOps.
Assicurati di aver completato i passaggi preliminari prima di configurare questo job.
Per configurare il job Google Chronicle Sync Data, segui questi passaggi:
Nella sezione Parametri, configura i seguenti parametri:
Parametro Descrizione EnvironmentObbligatorio.
Il nome dell'ambiente creato in Google SecOps con cui sincronizzare richieste e avvisi.
API RootObbligatorio.
L'URL di base dell'API per la tua istanza di Google SecOps:
- API Chronicle: include l'ID progetto, la regione e l'ID istanza
(ad esempio,
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Consulta Ricerca della radice dell'API Chronicle. - API Backstory (legacy): l'endpoint Backstory regionale. Il valore predefinito è
https://backstory.googleapis.com.
User's Service AccountFacoltativo.
La chiave JSON del service account utilizzata per l'autenticazione. Utilizzato solo se
Workload Identity Emailè vuoto.Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali).
Workload Identity EmailFacoltativo.
L'indirizzo email del account di servizio utilizzato per l'autenticazione di Workload Identity (consigliato quando è richiesto un account di servizio). Ha la precedenza se entrambi i campi delle credenziali sono compilati.
Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali).
Max Hours BackwardsFacoltativo.
Il numero di ore da cui recuperare gli avvisi. Utilizza solo numeri positivi.
Il valore predefinito è
24.Verify SSLObbligatorio.
Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Google SecOps.
Abilitato per impostazione predefinita.
Il job Google Chronicle Sync Data è abilitato per impostazione predefinita. Quando salvi il job configurato correttamente, la sincronizzazione dei dati con Google SecOps inizia immediatamente. Per disattivare il job, sposta l'interruttore accanto al nome del job.
- API Chronicle: include l'ID progetto, la regione e l'ID istanza
(ad esempio,
Per completare la configurazione, fai clic su Salva.
Se il pulsante Salva non è attivo, assicurati di aver impostato tutti i parametri obbligatori.
(Facoltativo) Per eseguire il job immediatamente dopo il salvataggio, fai clic su Esegui ora.
L'opzione Esegui ora consente di attivare una singola esecuzione del job per sincronizzare immediatamente i dati correnti di avvisi e casi.
Messaggi di log
La tabella seguente elenca i possibili messaggi di log per il job Sincronizzazione dei dati di Google Chronicle:
| Voce di log | Tipo | Descrizione |
|---|---|---|
Unable to parse credentials as JSON. Please validate creds.
|
Errore | Il account di servizio fornito nel parametro User's Service Account è danneggiato. |
"Max Hours Backwards" parameter must be a positive number. |
Errore | Il parametro Max Hours backwards è impostato su 0 o su un numero negativo. |
Current platform version doesn't support SDK methods designed for
Google SecOps. Please use version 6.1.33 or higher. |
Errore | La versione corrente dell'istanza della piattaforma Google SecOps non supporta l'esecuzione dello script del job di sincronizzazione dei dati di Chronicle. Ciò significa che la versione di build dell'istanza è precedente alla 6.1.33. |
Unable to connect to Google SecOps, please validate
your credentials: CREDENTIALS |
Errore | Impossibile convalidare i valori del account di servizio o della radice dell'API rispetto all'istanza Google SecOps. Questo errore viene segnalato se il test di connettività non va a buon fine. |
--- Start Processing Updated Cases --- |
Informazioni | Il loop di elaborazione delle richieste è stato avviato. |
Last success time. Date time:DATE_AND_TIME.
Unix:UNIX_EPOCH_TIME
|
Informazioni | Il timestamp dell'ultima esecuzione riuscita per richieste o avvisi, mostrato come data e ora (DATE_AND_TIME) e come timestamp dell'epoca di Unix (UNIX_EPOCH_TIME). |
Key: "DATABASE_KEY" doesn't exist in the
database. Returning default
value instead: DEFAULT_VALUE |
Informazioni | La chiave del database della richiesta o dell'avviso in attesa non esiste nel database. Questa voce di log viene sempre visualizzata nella prima esecuzione dello script. |
Failed to parse data as JSON. Returning default value instead:
"DEFAULT_VALUE. ERROR:
ERROR |
Errore | Il valore recuperato dal database non è in un formato JSON valido. |
Exception was raised from the database. ERROR:
ERROR. |
Errore | Si è verificato un problema di connessione con il database. |
|
Informazioni | Gli ID delle richieste o degli avvisi in attesa sono stati recuperati correttamente dal backlog. CASE_IDS è il numero di ID richiesta forniti. |
|
Errore | Il numero di ID di richieste o avvisi in attesa recuperati dal database è superiore al limite (1000). Gli ID che superano il limite vengono ignorati. Questo errore può indicare un possibile danneggiamento del database. |
|
Informazioni | Gli ID delle richieste o degli avvisi appena aggiornati sono stati recuperati correttamente dalla piattaforma. |
|
Informazioni | L'aggiornamento di richieste e avvisi nell'istanza Google SecOps è iniziato. |
|
Errore | La richiesta o l'avviso specificato non può essere sincronizzato con Google SecOps. |
|
Informazioni | La richiesta o l'avviso in attesa specificato ha raggiunto il limite di tentativi di sincronizzazione (5) e non viene reinserito nel backlog. |
|
Informazioni | L'elenco degli ID di casi o avvisi che non possono essere sincronizzati con Google SecOps. |
Updated External Case IDs for the following cases:
CASE_IDS |
Informazioni | L'elenco delle richieste per cui il job ha aggiornato l'case ID esterno Google SecOps corrispondente nella piattaforma Google SecOps. |
Failed to update external ids. |
Errore | Un errore di connessione o della piattaforma ha impedito l'aggiornamento degli ID richiesta esterni. |
|
Errore | Un errore ha interrotto gli aggiornamenti della richiesta o dell'avviso prima del completamento. Per i dettagli, consulta l'analisi dello stack che segue questo log. |
|
Informazioni | La fase di aggiornamento della richiesta e dell'avviso è terminata. |
|
Errore | L'elenco degli ID di richieste o avvisi non riusciti con un numero di tentativi inferiore o uguale a 5 da riscrivere nel backlog. |
|
Informazioni | La fase di elaborazione della richiesta e dell'avviso è stata completata. |
Saving timestamps. |
Informazioni | Salvataggio nel database dei timestamp dell'ultimo aggiornamento riuscito di richieste e avvisi. |
Saving pending ids. |
Informazioni | Salvataggio degli ID delle richieste e degli avvisi in attesa nel database. |
Got exception on main handler. Error:
ERROR_REASON |
Errore | Si è verificato un errore di terminazione generale. La traccia dello stack viene stampata dopo questo log con l'errore specifico. |
Job Google Chronicle Alerts Creator
Il job Google Chronicle Alerts Creator richiede la versione 6.2.30 o successive della piattaforma Google SecOps.
Questo job sincronizza gli avvisi importati dai connettori di terze parti (inclusi gli avvisi di overflow) con Google SecOps. Non duplica gli avvisi che provengono già dai rilevamenti di Google SecOps.
Relazione tra i job di Google Chronicle
Un deployment completo di Google SecOps esegue contemporaneamente i seguenti tre componenti:
- Connettore degli avvisi di Chronicle: importa gli avvisi di rilevamento da Google SecOps nei casi.
- Job Google Chronicle Alerts Creator: sincronizza gli avvisi importati dai connettori di terze parti con Google SecOps e assegna a ogni avviso un identificatore univoco di Google SecOps.
- Job Google Chronicle Sync Data: sincronizza gli aggiornamenti di casi e avvisi (ad esempio modifiche di priorità o stato) in Google SecOps.
Configura il job Google Chronicle Alerts Creator
Assicurati di aver completato i passaggi dei prerequisiti prima di configurare il job.
Per configurare il job Google Chronicle Alerts Creator, segui questi passaggi:
Configura i parametri del job dalla seguente tabella:
Parametro Descrizione EnvironmentObbligatorio.
Il nome dell'ambiente creato in Google SecOps in cui vuoi sincronizzare richieste e avvisi.
API RootObbligatorio.
L'URL di base dell'API per la tua istanza di Google SecOps:
- API Chronicle: include l'ID progetto, la regione e l'ID istanza
(ad esempio,
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Consulta Ricerca della radice dell'API Chronicle. - API Backstory (legacy): l'endpoint Backstory regionale. Il valore predefinito è
https://backstory.googleapis.com.
User's Service AccountFacoltativo.
La chiave JSON del service account utilizzata per l'autenticazione. Utilizzato solo se
Workload Identity Emailè vuoto.Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali).
Workload Identity EmailFacoltativo.
L'indirizzo email del account di servizio utilizzato per l'autenticazione di Workload Identity (consigliato quando è richiesto un account di servizio). Ha la precedenza se entrambi i campi delle credenziali sono compilati.
Lascia vuoti entrambi i campi delle credenziali per utilizzare le credenziali integrate, se supportate (consulta Metodi di autenticazione e precedenza delle credenziali).
Verify SSLObbligatorio.
Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Google SecOps.
Abilitato per impostazione predefinita.
- API Chronicle: include l'ID progetto, la regione e l'ID istanza
(ad esempio,
Per completare la configurazione, fai clic su Salva.
Se il pulsante Salva non è attivo, assicurati di aver impostato tutti i parametri obbligatori.
(Facoltativo) Per eseguire il job immediatamente dopo il salvataggio, fai clic su Esegui ora.
L'opzione Esegui ora consente di attivare una singola esecuzione del job per sincronizzare immediatamente i dati correnti di avvisi e casi.
Messaggi di log e gestione degli errori
| Log | Livello | Descrizione |
|---|---|---|
|
ERRORE | Il account di servizio fornito nel parametro Service account dell'utente è danneggiato. |
|
ERRORE | La versione corrente dell'istanza della piattaforma Google SecOps non supporta l'esecuzione dello script Google Chronicle Alerts Creator Job. Questo errore indica che la versione della build dell'istanza è precedente alla 6.2.30. |
|
ERRORE | Impossibile convalidare i valori root del account di servizio o dell'API rispetto all'istanza Google SecOps. Questo errore viene segnalato se il test di connettività non va a buon fine. |
|
INFO | Messaggio di log che indica che il job è stato avviato. |
|
INFO | L'esecuzione del job principale è iniziata. |
|
INFO | Il numero di iterazione per il tentativo di recupero corrente. |
|
INFO | Il job sta recuperando fino a BATCH_SIZE nuovi avvisi. |
|
INFO | Il numero di nuovi avvisi recuperati nel batch corrente. |
|
INFO | Non sono stati trovati nuovi avvisi non sincronizzati, pertanto il job verrà interrotto. |
|
INFO | Gli identificatori degli avvisi recuperati nel batch corrente. |
|
INFO | Il job sta inviando gli avvisi recuperati a Google SecOps. |
|
ERRORE | Impossibile sincronizzare l'avviso specificato con Google SecOps. |
|
INFO | Il job sta aggiornando lo stato dell'avviso sincronizzato. |
|
AVVISO | La piattaforma non è riuscita ad aggiornare lo stato di sincronizzazione per l'avviso specificato. |
|
INFO | Il numero totale di avvisi sincronizzati durante l'esecuzione del job corrente. |
|
INFO | L'esecuzione del job è terminata. |
|
ERRORE | Un errore generale ha interrotto il job. Per maggiori dettagli, consulta il messaggio di errore. |
Casi d'uso
L'integrazione di Google Chronicle ti consente di eseguire i seguenti casi d'uso:
- Chronicle Windows Threats Investigation and Response
- Security Command Center e Chronicle Cloud DIR
Installa il caso d'uso
In Google SecOps Content Hub, vai alla scheda Casi d'uso.
In un campo di ricerca, inserisci il nome del caso d'uso.
Fai clic sul caso d'uso.
Segui i passaggi di configurazione e le istruzioni della procedura guidata di installazione.
Al termine, tutti i componenti richiesti vengono installati sulla tua macchina Google SecOps. Per completare l'installazione, configura il blocco Inizializzazione nel playbook corrispondente al tuo caso d'uso.
Chronicle Windows Threats Investigation & Response
Sfrutta la potenza di Google SecOps per rispondere in tempo reale alle minacce di Windows nel tuo ambiente. Utilizzando Threat Intelligence per Google SecOps, i team di sicurezza possono usufruire di un servizio di threat intelligence ad alta fedeltà insieme a Google SecOps. Le minacce reali nel tuo ambiente possono ora essere valutate e corrette automaticamente in un periodo di tempo breve ed efficace.
In Google SecOps, vai a Risposta > Playbook.
Seleziona il playbook Google Chronicle - Windows Threats Investigation & Response. Il playbook si apre nella visualizzazione struttura del designer di playbook.
Fai doppio clic su Set Initialization Block_1. Si apre la finestra di dialogo di configurazione del blocco.
Per configurare il playbook, utilizza i seguenti parametri:
Parametro di input Valori possibili Descrizione edr_product- CrowdStrike
- Carbon Black
- Nessuno
Il prodotto EDR da utilizzare nel playbook. itsm_product- Service Now
- Jira
- ZenDesk
- Nessuno
Il prodotto ITSM da utilizzare nel playbook. Jira richiede una configurazione aggiuntiva nel blocco Apri ticket. crowdstrike_use_spotlighttrueofalseSe True, il playbook esegue le azioni Crowdstrike che richiedono una licenza Spotlight (informazioni sulle vulnerabilità).use_mandianttrueofalseSe True, il playbook esegue il blocco Mandiant.slack_userNome utente o indirizzo email Il nome utente o l'indirizzo email dell'utente Slack. Se non viene fornito, il playbook ignora i blocchi Slack. Fai clic su Salva. La finestra di dialogo di configurazione del blocco si chiude.
Nel riquadro di progettazione del playbook, fai clic su Salva.
Per testare il playbook nel caso d'uso, importa lo scenario di test incluso nel pacchetto. Alcune funzionalità degli scenari di test potrebbero non riuscire perché i dati utilizzati per i test non sono disponibili nel tuo ambiente.
Security Command Center e Chronicle Cloud DIR
Integra Security Command Center con Google SecOps per consentire ai tuoi analisti di esaminare gli incidenti e le minacce rilevati da Security Command Center.
Configura il caso d'uso
Il caso d'uso richiede la configurazione delle seguenti integrazioni:
- Siemplify
- Strumenti
- Mitre ATT&CK
- Google Cloud IAM
- Google Chronicle
- Funzioni
- Google Cloud Compute
- Email V2
- VirusTotal v3
Le integrazioni di Google Security Command Center e Mandiant sono facoltative.
Assicurati di aver installato il caso d'uso prima di configurarlo.
- In Google SecOps, vai alla scheda Playbook.
- Seleziona il playbook SCC & Chronicle Cloud DIR.
- Fai doppio clic sul blocco di inizializzazione per configurarlo.
- Configura il playbook utilizzando i seguenti parametri:
| Nome parametro | Valori possibili | Descrizione |
|---|---|---|
Mandiant_Enrichment |
true o false |
Se Per questa configurazione è necessario configurare l'integrazione di Mandiant. Puoi rimuovere l'arricchimento se raramente ricevi informazioni significative. La rimozione del blocco di arricchimento migliora la velocità di esecuzione del playbook. |
SCC_Enrichment |
true o false |
Se Per questa configurazione è necessario configurare l'integrazione di Security Command Center. Puoi rimuovere l'arricchimento se ottieni raramente informazioni significative. La rimozione del blocco di arricchimento migliora la velocità di esecuzione del playbook. |
IAM_Enrichment |
true o false |
Se True, il playbook utilizza le funzionalità IAM per un ulteriore arricchimento. Puoi rimuovere l'arricchimento se raramente ottieni informazioni significative. La rimozione del blocco di arricchimento migliora la velocità di esecuzione del playbook. |
Compute_Enrichment |
true o false |
Se True, il playbook utilizza le funzionalità di Compute Engine per un ulteriore arricchimento. Puoi rimuovere l'arricchimento se
ottieni raramente informazioni significative. La rimozione del blocco di arricchimento migliora la velocità di esecuzione del playbook. |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.