Integrar o Google Chronicle ao Google SecOps
Este documento explica como integrar o Google Chronicle ao Google Security Operations.
Casos de uso
A integração do Google Chronicle usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:
Investigação e correção automatizadas de phishing: consulte automaticamente dados históricos de e-mails, registros de atividade do usuário e inteligência contra ameaças para avaliar a legitimidade dos e-mails. A correção automatizada pode ajudar na triagem e na contenção, impedindo a disseminação de malware ou violações de dados.
Enriquecimento de alertas de segurança: enriqueça um alerta gerado em um SIEM com contexto histórico, como comportamento anterior do usuário e informações de recursos. Isso fornece aos analistas uma visão abrangente de um incidente, permitindo uma tomada de decisões mais rápida e informada.
Busca de ameaças com base em insights do Google SecOps: automatize o processo de consulta de outras ferramentas de segurança para indicadores de comprometimento (IOCs) relacionados. Isso pode ajudar você a identificar proativamente possíveis violações antes que elas se agravem.
Playbooks de resposta automatizada a incidentes: acione playbooks predefinidos que usam dados do Google SecOps para isolar sistemas comprometidos, bloquear endereços IP maliciosos e notificar as partes interessadas relevantes. Isso pode reduzir o tempo de resposta a incidentes e minimizar o impacto dos incidentes de segurança.
Relatórios e auditoria de compliance: automatize a coleta de dados de segurança do Google SecOps para relatórios de compliance, simplificando o processo de auditoria e reduzindo o esforço manual.
Antes de começar
Antes de configurar a integração do Google Chronicle no Google SecOps, verifique se você tem acesso a um projeto ativo do Google Cloud .
Migrar a API Backstory para a API Chronicle
Alguns novos recursos e ações nessa integração só são compatíveis com a API Chronicle. Por isso, recomendamos que todos os usuários migrem a implantação para usar a API Chronicle.
Para migrar da API Backstory legada para a API Chronicle:
- Encontre a raiz da API Chronicle e insira-a no parâmetro
API Rootna configuração da integração, nos conectores e nos jobs. - Verifique se o método de autenticação é compatível com o tipo de projeto do Google Cloud e se ele é aplicado de maneira idêntica na configuração de integração, nos conectores e nos jobs.
Como encontrar a raiz da API Chronicle
Ao acessar a API Chronicle, você precisa localizar o API Root exclusivo do seu ambiente para as configurações de integração, conector e job.
Abra as Ferramentas para desenvolvedores do navegador e acesse a plataforma do Google SecOps.
Selecione Investigação > Tabelas de dados.
Nas Ferramentas para Desenvolvedores, acesse a guia Rede e clique em um item na coluna "Nome", como
dataTables?pageSize=1000.No painel de detalhes, selecione Cabeçalhos e copie o valor de
Request URL, encontrado em Geral, excluindo o endpoint e todos os parâmetros de consulta (o nome do item selecionado).Por exemplo, se o valor for
https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000, a raiz da API excluirá/dataTables?pageSize=1000e seráhttps://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}.
Métodos de autenticação e precedência de credenciais
A integração, os conectores e os jobs do Google Chronicle avaliam as credenciais na seguinte ordem:
- Credenciais integradas: usadas automaticamente quando você não fornece
Workload Identity EmaileUser's Service Account.- Quando usar: ideal para projetos gerenciados pelo Google (padrão) provisionados a partir do quarto trimestre de 2025 ou qualquer projeto gerenciado pelo Google que use a API Backstory legada. Não requer a criação de conta de serviço, atribuição de papéis ou gerenciamento de chaves. As credenciais integradas não são compatíveis com implantações do tipo Traga seu próprio projeto (BYOP, na sigla em inglês) que usam a API Chronicle.
- Projetos gerenciados pelo Google anteriores ao quarto trimestre de 2025: se você estiver migrando para a API Chronicle, entre em contato com o suporte do Google para ativar as credenciais integradas da API Chronicle ou configure uma conta de serviço usando a Identidade da carga de trabalho ou uma chave JSON.
- Identidade da carga de trabalho
(
Workload Identity Email): usado quando você fornece um e-mail de conta de serviço. Tem precedência seWorkload Identity EmaileUser's Service Accountforem preenchidos.- Quando usar: recomendado quando uma conta de serviço é necessária (como implantações do Bring Your Own Project (BYOP) ou projetos gerenciados pelo Google anteriores ao quarto trimestre de 2025 sem credenciais integradas da API Chronicle). Oferece autenticação sem chave, sem download ou rotação de chaves JSON, e obedece às políticas da organização que restringem a criação de chaves de conta de serviço.
- Chave JSON da conta de serviço
(
User's Service Account): usada apenas quandoWorkload Identity Emailestá vazio e você fornece uma chave JSON da conta de serviço.- Quando usar: use somente se uma conta de serviço for necessária e não for possível configurar a representação da Identidade da carga de trabalho. Exige o download e o gerenciamento de um arquivo de chave JSON estático.
Autenticação com a Identidade da carga de trabalho (recomendado)
Para autenticar usando a Identidade da carga de trabalho, crie uma conta de serviço, atribua o papel necessário e conceda permissões de representação à sua instância do Google SecOps.
Criar uma conta de serviço
No console do Google Cloud , acesse a página Credenciais.
No menu Criar credenciais, selecione Conta de serviço.
Em Detalhes da conta de serviço, insira um nome no campo Nome da conta de serviço.
Opcional: edite o ID da conta de serviço.
Clique em Criar e continuar. Uma tela de Permissões é exibida.
Clique em Continuar. Uma tela Principais com acesso será exibida.
Clique em Concluído.
API Chronicle: papel necessário para sua conta de serviço
Ao usar a API Chronicle, sua conta de serviço requer o
papel Chronicle API Editor:
No console do Google Cloud , acesse a página Credenciais.
Em Contas de serviço, selecione sua conta de serviço e clique em Permissões > Gerenciar acesso.
Clique em addAdicionar papel e selecione o papel
Chronicle API Editor. Clique em Salvar.
Conceder permissões de representação à instância do Google SecOps
Conceda à instância do Google SecOps permissão para personificar sua conta de serviço:
No Google SecOps, acesse Hub de conteúdo > Integrações de resposta.
Selecione a integração que você está configurando e insira o e-mail da conta de serviço em
Workload Identity Email.Clique em Salvar > Testar. O teste deve falhar.
Clique em close_small à direita de Teste e pesquise a mensagem de erro para
gke-init-python@PROJECT.iam.gserviceaccount.comousoar-python@TENANT_PROJECT.iam.gserviceaccount.com. Copie esse e-mail exclusivo (ele identifica sua instância do Google SecOps).Acesse Contas de serviço, selecione seu projeto e sua conta de serviço.
Selecione Principais com acesso > addConceder acesso.
Em Adicionar principais, cole o valor que você copiou.
Em Adicionar papéis, selecione o papel
Service Account Token Creator(roles/iam.serviceAccountTokenCreator).
Autenticação com uma chave JSON de conta de serviço
Para autenticar usando uma chave JSON de conta de serviço (em vez do método recomendado Identidade da carga de trabalho), crie uma conta de serviço dedicada e faça o download da chave JSON dela:
No console do Google Cloud , acesse IAM e administrador > Contas de serviço.
Selecione Criar conta de serviço e siga as instruções.
Selecione o endereço de e-mail da nova conta de serviço e acesse Chaves > Adicionar chave > Criar nova chave.
Selecione
JSONcomo o tipo de chave e clique em Criar. O download de um arquivo de chave JSON é feito no seu computador.Ao usar a API Chronicle, atribua o papel
Chronicle API Editorà sua conta de serviço.
Parâmetros de integração
A integração do Google Chronicle requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
UI Root |
Obrigatório. O URL de base da interface do Google SecOps. Usado para gerar links diretos para o Google SecOps nos seus casos. O valor padrão é |
API Root |
Obrigatório. O URL raiz da API para sua instância do Google SecOps:
|
User's Service Account |
Opcional. A chave JSON da conta de serviço usada para autenticação. Usado somente se
Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando compatíveis (consulte Métodos de autenticação e precedência de credenciais). |
Workload Identity Email |
Opcional. O e-mail da conta de serviço usado para autenticação da Identidade da carga de trabalho (recomendado quando uma conta de serviço é necessária). Tem precedência se os dois campos de credencial estiverem preenchidos. Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando compatíveis (consulte Métodos de autenticação e precedência de credenciais). |
Verify SSL |
Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google SecOps. Ativado por padrão. |
Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.
Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.
Ações
Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.
Adicionar entrada à lista de interesses
Use a ação Adicionar entrada à lista de monitoramento para adicionar uma entidade especificada a uma lista de monitoramento de análise de risco no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Adicionar entrada à lista de monitoramento requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Watchlist Name |
Obrigatório. O nome da lista de observação da Análise de risco à qual a entrada será adicionada. |
Entry |
Obrigatório. O objeto JSON que representa a entidade a ser adicionada à lista de sites de interesse. A estrutura JSON requer o valor da entidade, o tipo de entidade e um namespace opcional. O valor padrão é:
[
{
"entity": "",
"type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID",
"namespace": "Optional"
}
]
|
Saídas da ação
A ação Adicionar entrada à lista de interesses fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Adicionar entrada à lista de observação:
[
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
},
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
}
]
Mensagens de saída
A ação Adicionar entrada à lista de interesses pode retornar as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
|
A ação foi concluída. |
Error executing action "Add Entry To Watchlist". Reason:
ERROR_REASON |
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar entrada à lista de observação:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Adicionar linhas à tabela de dados
Use a ação Adicionar linhas à tabela de dados para adicionar linhas a uma tabela de dados no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
Para configurar a ação, use os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Data Table Name |
Obrigatório. O nome de exibição da tabela de dados a ser atualizada. |
Rows |
Obrigatório. Uma lista de objetos JSON que contém informações sobre as linhas a serem adicionadas. Exemplo:
[
{
"columnName1": "value1",
"columnName2": "value2",
},
{
"columnName1": "value1",
"columnName2": "value2",
}
]
|
Saídas da ação
A ação Adicionar linhas à tabela de dados fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Insight de entidade | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir mostra um resultado JSON de amostra retornado pela ação Adicionar linhas à tabela de dados:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
}
}
Mensagens de saída
A ação Adicionar linhas à tabela de dados fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully added rows to the data table
DATA_TABLE_NAME in
Google SecOps. |
A ação foi concluída. |
Error executing action "Add Rows to Data Table". Reason:
ERROR_REASON |
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Adicionar linhas à tabela de dados:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Adicionar valores à lista de referência
Use a ação Adicionar valores à lista de referência para adicionar valores a uma lista de referência no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
Para configurar a ação, use os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Reference List Name |
Obrigatório. O nome da lista de referência a ser atualizada. |
Values |
Obrigatório. Uma lista separada por vírgulas de valores a serem adicionados à lista de referência. |
Saídas da ação
A ação Adicionar valor à lista de referência fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Insight de entidade | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Adicionar valor à lista de referência com a API Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Adicionar valor à lista de referência com a API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
Mensagens de saída
A ação Adicionar valores à lista de referência fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully added values to the reference list
REFERENCE_LIST_NAME. |
A ação foi concluída. |
Error executing action "Add Values To Reference List". Reason:
ERROR_REASON |
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Adicionar valores à lista de referência:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Peça ao Gemini
Use a ação Peça ao Gemini para enviar um comando de texto ao Gemini no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Limites de processamento e tempos limite
Essa ação está sujeita a restrições de processamento no pipeline do Google SecOps. As ações que excedem essas restrições
geralmente resultam em um erro 503 Service Unavailable.
Para garantir uma execução bem-sucedida, suas solicitações precisam seguir as seguintes especificações:
Tempos limite: o reconhecimento de intent tem um tempo limite de 30 segundos. Tarefas de resumo grandes ou comandos complexos que excedem esse tempo de processamento fazem com que a ação falhe.
Limite de geração de respostas: a fase de geração é limitada a um máximo de 28.000 tokens.
Entradas da ação
A ação Peça ao Gemini requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Automatic Opt-in |
Opcional. Se selecionado, o playbook ativa automaticamente o usuário para a conversa no Gemini sem exigir uma confirmação manual. Ativado por padrão. |
Prompt |
Obrigatório. O comando de texto ou a pergunta inicial que será enviada ao Gemini. |
Saídas da ação
A ação Peça ao Gemini fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Insight de entidade | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Peça ao Gemini:
{
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
"input": {
"body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
},
"responses": [
{
"blocks": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal's IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal's last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
}
}
],
"references": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
}
}
],
"groundings": [
"IP address 159.138.84.217 malicious cybersecurity",
"IP address 159.138.84.217 threat intelligence"
]
}
],
"createTime": "2025-05-16T11:31:36.660538Z"
}
}
Mensagens de saída
A ação Peça ao Gemini fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully executed a prompt in Google SecOps. |
A ação foi concluída. |
Error executing action "GoogleChronicle - Ask Gemini".
Reason: ERROR_REASON |
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Peça ao Gemini:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Enriquecer domínio (descontinuado)
Use a ação Enriquecer domínio para enriquecer domínios usando informações de IoCs no Google SecOps.
Essa ação é executada nas seguintes entidades do Google SecOps:
URLHostname
Entradas da ação
A ação Enrich Domain requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Create Insight |
Se selecionada, a ação vai criar um insight com informações sobre as entidades. Ativado por padrão. |
Only Suspicious Insight |
Se selecionada, a ação só vai criar um insight para entidades marcadas como suspeitas. Não ativado por padrão. Se você selecionar esse parâmetro, também precisará selecionar
|
Lowest Suspicious Severity |
Obrigatório. A menor gravidade associada ao domínio necessária para sinalizá-lo como suspeito. O valor padrão é
|
Mark Suspicious N/A Severity |
Obrigatório. Se selecionada e as informações sobre gravidade não estiverem disponíveis, a ação marcará a entidade como suspeita. |
Saídas da ação
A ação Enrich Domain fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Disponível |
| Tabela de enriquecimento | Disponível |
| Insight de entidade | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Tabela do painel de casos
A ação Enrich Domain fornece a seguinte tabela:
Nome: ENTITY_IDENTIFIER
Colunas:
- Origem
- Gravidade
- Categoria
- Confiança
Enriquecimento de entidades
A ação Enrich Domain é compatível com a seguinte lógica de enriquecimento de entidade:
| Campo de enriquecimento | Lógica (quando aplicar) |
|---|---|
severity |
Quando disponível em JSON |
average_confidence |
Quando disponível em JSON |
related_domains |
Quando disponível em JSON |
categories |
Quando disponível em JSON |
sources |
Quando disponível em JSON |
first_seen |
Quando disponível em JSON |
last_seen |
Quando disponível em JSON |
report_link |
Quando disponível em JSON |
Resultado do JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Enrich Domain com a API Backstory:
{
{
"sources": [
{
"source": "ET Intelligence Rep List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Enrich Domain com a API Chronicle:
[
{
"Entity": "example.com",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
},
{
"category": "Phishing",
"firstActiveTime": null,
"lastActiveTime": "2020-11-27T14:31:37Z",
"addresses": [
{
"domain": "example.com"
},
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "high",
"confidenceScore": {
"strRawConfidenceScore": "high"
}
},
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
},
{
"metadata": {
"title": "ESET Threat Intelligence",
"description": "ESET Threat Intelligence"
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Phishing",
"activeTimerange": {
"end": "2020-11-27T14:31:37Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "High",
"rawSeverity": "High"
}
]
},
{
"metadata": {
"title": "Mandiant Active Breach Intelligence",
"description": "Mandiant Active Breach IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
}
]
}
}
]
Mensagens de saída
A ação Enrich Domain fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully enriched the following domain in Google Chronicle:
LIST_OF_IDS |
A ação foi concluída. |
Error executing action "Enrich Domain". Reason:
ERROR_REASON |
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Enrich Domain:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Enriquecer entidades
Use a ação Enriquecer entidades para consultar o Google SecOps em busca de contexto e atributos adicionais para tipos de entidade especificados. Essa ação melhora os dados de investigação de ameaças ao integrar inteligência externa.
Essa ação é executada nas seguintes entidades do Google SecOps:
DomainFile HashHostnameIP AddressURL(extrai o domínio do URL)UserEmail(entidade de usuário com regex de e-mail)
Entradas da ação
A ação Enriquecer entidades requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Namespace |
Opcional. O agrupamento lógico ou o escopo das entidades a serem enriquecidas. Se não for selecionado, o enriquecimento será aplicado às entidades no namespace padrão ou em todos os namespaces acessíveis. As entidades precisam pertencer a esse namespace para serem processadas. |
Time Frame |
Opcional. Um período relativo (por exemplo, Esse parâmetro tem precedência sobre |
Start Time |
Opcional. O horário de início do período de enriquecimento no formato ISO 8601. Use com |
End Time |
Opcional. O horário de término absoluto do período de enriquecimento no formato ISO 8601. Usado com |
Saídas da ação
A ação Enriquecer entidades fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Disponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
| Campo de enriquecimento | Origem (chave JSON) | Aplicabilidade |
|---|---|---|
GoogleSecOps_related_entities |
O número de related_entities | Quando disponível no resultado JSON. |
GoogleSecOps_alert_count_ruleName |
{alertCounts.count} para cada regra específica | Quando disponível no resultado JSON. |
GoogleSecOps_first_seen |
metric.firstSeen |
Quando disponível no resultado JSON. |
GoogleSecOps_last_seen |
metric.lastSeen |
Quando disponível no resultado JSON. |
GoogleSecOps_flattened_key_under_entity |
O valor da chave, nivelado da estrutura aninhada no objeto "entity". |
Quando disponível no resultado JSON. |
Resultado JSON
O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Enriquecer entidades:
[
{
"Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"domain": {
"name": "markossolomon.com",
"firstSeenTime": "1970-01-01T00:00:00Z",
"lastSeenTime": "1970-01-01T00:00:00Z",
"registrar": "NameCheap, Inc.",
"creationTime": "2013-12-06T02:41:09Z",
"updateTime": "2019-11-06T11:48:33Z",
"expirationTime": "2020-12-06T02:41:09Z",
"registrant": {
"userDisplayName": "WhoisGuard Protected",
"emailAddresses": [
"58d09cb5035042e9920408f8bafd0869.protect@whoisguard.com"
],
"personalAddress": { "countryOrRegion": "PANAMA" },
"companyName": "WhoisGuard, Inc."
}
}
}
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "npatni-sysops",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "npatni-sysops" }
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "329" },
{ "rule": "rule_testbucket", "count": "339" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "332" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 1000 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "exlab2019-ad",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "exlab2019-ad" }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.30.202.229",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "ip": ["172.30.202.229"] }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.17.0.1",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
}
},
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "911d039e71583a07320b32bde22f8e22",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"file": {
"sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
"md5": "911d039e71583a07320b32bde22f8e22",
"sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
"size": "278528",
"fileType": "FILE_TYPE_PE_EXE",
"names": [
"C:\\Windows\\System32\\cmd.exe",
"cmd",
"Cmd.Exe",
"C:\\Windows\\system32\\cmd.exe",
"C:\\Windows\\SYSTEM32\\cmd.exe",
"cmd.exe",
"C:\\\\Windows\\\\System32\\\\cmd.exe",
"C:\\windows\\SYSTEM32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
"c:\\Windows\\System32\\cmd.exe",
"Utilman.exe",
"c:\\windows\\system32\\cmd.exe",
"System32/cmd.exe",
"UtilityVM/Files/Windows/System32/cmd.exe",
"KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
"cmd.exe_",
"C:\\WINDOWS\\SYSTEM32\\cmd.exe",
"Cmd.exe",
"Windows/System32/cmd.exe",
"sethc.exe",
"C:\\WINDOWS\\System32\\cmd.exe",
"esRzqurX.exe",
"rofl.png",
"F:\\Windows\\SYSTEM32\\cmd.exe",
"utilman.exe",
"C:\\Windows\\system32\\CMD.exe",
"sys32exe/cmd.exe",
"cmd.txt",
"C:\\WINDOWS\\system32\\cmd.exe",
"cmd2.exe",
"Utilman.exe.sc",
"uhrHRIv8.exe",
"C:\\windows\\system32\\cmd.exe",
"submitted_file",
"C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
"J6ff7z0hLYo.exe",
"N:\\Windows\\System32\\cmd.exe",
"Q:\\Windows\\System32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
"C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
"test.exe",
"68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
"8FCVE0Kq.exe",
"cmd (7).exe",
"cmd (8).exe",
"21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
"LinX v0.9.11 (Intel)/cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
"cmd_b.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
"cMd.exe",
"Repl_Check.bat__",
"cmd.pdf",
"cmd.EXE",
"C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
"LFepc1St.exe",
"firefox.exe",
"3BcnNlWV.exe",
"Utilman.exebak",
"utilman1.exe",
"1.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
"cmd_1771019736291028992.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
"Sethc.exe",
"\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
"DANFE352023067616112.exe",
"file.exe",
"DANFE352023067616112/DANFE352023067616112.exe",
"C:\\Windows\\SYSTEM32\\Cmd.exe",
"pippo.exe",
"C:\\Windows\\System32\\sethc.exe",
"cmd.exe-bws024-windowsfolder",
"whatever.exe",
"sethc.exe.bak",
"S71dbOR1.exe",
"F:\\windows\\SYSTEM32\\cmd.exe",
"L6puhWL7.exe",
"DANFE357986551413927.exe",
"DANFE357666506667634.exe",
"\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
"\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
"\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
"\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
"\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
"\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
"winlogon.exe",
"AccessibilityEscalation.A' in file 'utilman.exe'",
"qpl9AqT0.exe",
"C:\\windows\\system32\\CMD.exe",
"C:\\po8az\\2po9hmc\\4v1b5.exe",
"batya.exe",
"nqAwJaba.exe",
"\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
"/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
"/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
"\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
"/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
"DANFE352429512050669.exe",
"/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
],
"firstSeenTime": "2024-12-15T09:07:02Z",
"lastSeenTime": "2025-07-18T07:43:59.045Z",
"lastAnalysisTime": "2025-07-16T10:06:40Z",
"signatureInfo": {
"sigcheck": {
"verificationMessage": "Signed",
"verified": true,
"signers": [{ "name": "Microsoft Windows" }]
}
},
"firstSubmissionTime": "2025-07-15T16:30:27Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "329" },
{ "rule": "rule_testbucket", "count": "345" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "326" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{ "alertCount": 31 },
{ "alertCount": 111 },
{ "alertCount": 109 },
{ "alertCount": 82 },
{ "alertCount": 86 },
{ "alertCount": 98 },
{ "alertCount": 86 },
{ "alertCount": 85 },
{ "alertCount": 92 },
{ "alertCount": 89 },
{ "alertCount": 90 },
{ "alertCount": 41 }
],
"bucketSize": "172800s"
},
"prevalenceResult": [
{ "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
],
"relatedEntities": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"hostname": "exlab2019-ad",
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"ip": ["172.30.202.229"],
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
}
]
}
},
{
"Entity": "tencent.com",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"domain": {
"name": "tencent.com",
"firstSeenTime": "2025-01-14T14:01:00Z",
"lastSeenTime": "2025-01-14T15:02:00Z",
"registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
"creationTime": "1998-09-14T04:00:00Z",
"updateTime": "2024-08-20T08:04:01Z",
"expirationTime": "2032-09-13T04:00:00Z",
"registrant": {
"emailAddresses": [""],
"personalAddress": { "countryOrRegion": "CHINA" },
"companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
}
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "00:50:56:b6:34:86",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "mac": ["00:50:56:b6:34:86"] }
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
}
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
}
]
Mensagens de saída
A ação Enrich Entities pode retornar as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
|
A ação foi concluída. |
Error executing action "Enrich Entities". Reason:
ERROR_REASON |
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Enriquecer entidades:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Enrich IP (descontinuado)
Use a ação Enriquecer IP para enriquecer entidades de IP usando informações de IoCs no Google SecOps.
Essa ação é executada na entidade "Endereço IP".
Entradas da ação
A ação Enrich IP requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Create Insight |
Opcional. Se selecionada, a ação cria um insight que contém informações sobre entidades.Ativado por padrão. |
Only Suspicious Insight |
Opcional. Se selecionada, a ação cria insights apenas para entidades marcadas como suspeitas.Não ativado por padrão. Se você selecionar esse parâmetro, |
Lowest Suspicious Severity |
Obrigatório. A gravidade mais baixa associada ao endereço IP para marcá-lo como suspeito. O valor padrão é
|
Mark Suspicious N/A Severity |
Obrigatório. Se selecionada e as informações sobre gravidade não estiverem disponíveis, a ação marcará a entidade como suspeita. |
Saídas da ação
A ação Enriquecer IP fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Disponível |
| Tabela de enriquecimento | Disponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Tabela do painel de casos
Nome: ENTITY_IDENTIFIER
Colunas:
- Origem
- Gravidade
- Categoria
- Confiança
- Domínios relacionados
Enriquecimento de entidades
A ação Enriquecer IP é compatível com a seguinte lógica de enriquecimento de entidade:
| Campo de enriquecimento | Lógica (quando aplicar) |
|---|---|
severity |
Quando disponível em JSON |
average_confidence |
Quando disponível em JSON |
related_domains |
Quando disponível em JSON |
categories |
Quando disponível em JSON |
sources |
Quando disponível em JSON |
first_seen |
Quando disponível em JSON |
last_seen |
Quando disponível em JSON |
report_link |
Quando disponível em JSON |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Enrich IP com a API Backstory:
{
{
"sources": [
{
"source": "Example List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Enrich IP com a API Chronicle:
[
{
"Entity": "192.0.2.121",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "low",
"confidenceScore": {
"strRawConfidenceScore": "67"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "67",
"rawSeverity": "Low"
}
]
}
]
}
}
]
Mensagens de saída
A ação Enriquecer IP fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully enriched the following IPs from Google Chronicle:
LIST_OF_IPS |
A ação foi concluída. |
Error executing action "Enrich IP". Reason:
ERROR_REASON |
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Enrich IP:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Executar o Retrohunt
Use a ação Executar Retrohunt para executar uma retrohunt de regra no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Executar Retrohunt requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Rule ID |
Obrigatório. O ID da regra para executar um RetroHunt. Use o formato |
Time Frame |
Opcional. Um período para recuperar os resultados. Os valores possíveis são os seguintes:
Se O valor padrão é |
Start Time |
O horário de início dos resultados no formato ISO 8601. Esse parâmetro é obrigatório se o parâmetro |
End Time |
O horário de término dos resultados no formato ISO 8601.
Se você não definir um valor e selecionar o valor |
Saídas da ação
A ação Executar Retrohunt fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Insight de entidade | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Executar Retrohunt com a API Backstory:
{
"retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
"ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
"versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
"eventStartTime": "2021-01-14T23:00:00Z",
"eventEndTime": "2021-01-30T23:00:00Z",
"retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
"state": "RUNNING"
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Executar Retrohunt com a API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
"metadata": {
"@type": "type.googleapis.com/RetrohuntMetadata",
"retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
"executionInterval": {
"startTime": "2025-01-22T12:16:20.963182Z",
"endTime": "2025-01-23T12:16:20.963182Z"
}
},
"retrohuntId": "RETROHUNT_ID",
"ruleId": "RULE_ID",
"versionId": "VERSION_ID",
"eventStartTime": "2025-01-22T12:16:20.963182Z",
"eventEndTime": "2025-01-23T12:16:20.963182Z"
}
Mensagens de saída
A ação Executar Retrohunt fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully executed a retrohunt for the provided rule in Google
Chronicle.
|
A ação foi concluída. |
Error executing action "Execute Retrohunt". Reason:
ERROR_REASON |
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Executar Retrohunt:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Executar consulta de UDM
Use a ação Executar consulta de UDM para executar uma consulta de UDM personalizada no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Executar consulta UDM requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Query |
Obrigatório. A consulta a ser executada no Google SecOps. |
Include Raw Log Data |
Opcional. Se selecionada, a ação recupera o arquivo de registro bruto original associado aos resultados da pesquisa de UDM. Essa opção só está disponível ao usar a autenticação da API Chronicle. Essa configuração está desativada por padrão. |
Time Frame |
Opcional. Um período para recuperar os resultados. Os valores possíveis são os seguintes:
Se O valor padrão é |
Start Time |
Opcional. O horário de início dos resultados no formato ISO 8601 (por exemplo,
Esse parâmetro é obrigatório se o parâmetro O período máximo é de 90 dias. |
End Time |
Opcional. O horário de término dos resultados em um formato ISO 8601 (por exemplo,
Se você não definir um valor e
o parâmetro O período máximo é de 90 dias. |
Max Results To Return |
Opcional. O número de resultados a serem retornados para uma única consulta. O valor máximo é O valor padrão é |
Saídas da ação
A ação Executar consulta UDM fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Executar consulta UDM:
{
"events": [
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:43:47.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"I did not create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:38:44.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"Did you create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"avg_seconds": {
"values": [
{
"doubleVal": 1755680893.3333333
}
]
},
"event_type_array": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
},
"target.file.vhash": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
}
}
]
}
Mensagens de saída
A ação Executar consulta UDM fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
|
A ação foi concluída. |
Error executing action "Execute UDM Query". Reason:
ERROR_REASON
|
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Error executing action "Execute UDM Query". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
A ação falhou. Aguarde alguns minutos antes de executar a ação novamente. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Executar consulta UDM:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Executar consulta de UDM assíncrona
Use a ação Executar consulta assíncrona do UDM para executar uma consulta personalizada do UDM no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Executar consulta UDM requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Query |
Obrigatório. A consulta a ser executada no Google SecOps. |
Time Frame |
Opcional. Um período para recuperar os resultados. Os valores possíveis são os seguintes:
Se Se Se O valor padrão é |
Start Time |
Opcional. O horário de início dos resultados no formato ISO 8601
( Esse parâmetro é obrigatório se |
End Time |
Opcional. O horário de término dos resultados em um formato ISO 8601 ( Se você não definir um valor e |
Max Results To Return |
Opcional. O número de resultados a serem retornados para uma única consulta. O valor máximo é O valor padrão é |
Saídas da ação
A ação Executar consulta UDM assíncrona fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Executar consulta UDM assíncrona:
{
"events": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-01-20T09:15:15.687Z",
"eventType": "USER_LOGIN",
"vendorName": "Microsoft",
"productName": "Active Directory",
"ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
},
"principal": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
],
"location": {
"city": "Metropolis",
"state": "New York",
"countryOrRegion": "US"
},
"asset": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50",
"192.168.1.50",
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
]
}
},
"target": {
"user": {
"userid": "user_alpha",
"userDisplayName": "User Alpha",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
"emailAddresses": [
"alpha@example.com",
"admin.alpha@example.com"
],
"employeeId": "1234567",
"productObjectId": "11111111-2222-3333-4444-555555555555",
"firstName": "User",
"lastName": "Alpha",
"phoneNumbers": [
"555-0199-0000"
],
"title": "Executive Assistant",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
],
"managers": [
{
"userDisplayName": "Manager Beta",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
"emailAddresses": [
"beta@example.com"
],
"employeeId": "7654321",
"productObjectId": "66666666-7777-8888-9999-000000000000",
"firstName": "Manager",
"lastName": "Beta",
"phoneNumbers": [
"555-0199-0001 ext 123"
],
"title": "Chief Technology Officer",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
]
}
]
},
"ip": [
"203.0.113.10"
],
"email": "alpha@example.com",
"application": "Windows Sign In"
},
"securityResult": [
{
"summary": "Successful Login",
"action": [
"ALLOW"
]
}
],
"rawLogData": {
"agent_id": "00000000000000000000000000000001",
"aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
"data_domains": [
"Endpoint"
],
"description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
"device": {
"agent_load_flags": "0",
"agent_local_time": "2025-08-07T01:42:54.415Z",
"agent_version": "7.27.18003.0",
"bios_manufacturer": "Generic Manufacturer LTD"
},
"template_instance_id": "10001",
"timestamp": "2025-08-19T15:08:13.742Z",
"user_name": "root"
},
"extensions": {
"auth": {
"type": "SSO"
}
}
},
"eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
}
]
}
Mensagens de saída
A ação Executar consulta UDM assíncrona fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
|
A ação foi concluída. |
Error executing action "Execute UDM Query Async". Reason:
ERROR_REASON
|
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Error executing action "Execute UDM Query Async ". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
A ação falhou. Aguarde alguns minutos antes de executar a ação novamente. |
Resultado do script
A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Executar consulta UDM assíncrona:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Gerar consulta de UDM
(Pré-lançamento) Use a ação Gerar consulta UDM para criar consultas UDM complexas usando comandos de linguagem natural no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Gerar consulta de UDM requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Prompt |
Obrigatório. O comando que o sistema usa para gerar a consulta estruturada do UDM. |
Saídas da ação
A ação Gerar consulta de UDM fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Gerar consulta UDM:
{
"query": "ip = \"10.0.0.1\""
}
Mensagens de saída
A ação Gerar consulta de UDM fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully generated a UDM query in Google SecOps. |
A ação foi concluída. |
Error executing action "Generate UDM Query". Reason:
ERROR_REASON |
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Gerar consulta UDM:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Acessar tabelas de dados
Use a ação Receber tabelas de dados para recuperar as tabelas de dados disponíveis no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Armazenamento em cache de tabelas de dados
É possível ativar o armazenamento em cache para reduzir as solicitações repetidas ao Google SecOps e acelerar as execuções do playbook:
Como o armazenamento em cache funciona: quando
Use Cacheé selecionado, a ação armazena as tabelas de dados recuperadas em um cache compartilhado para seu ambiente do Google SecOps. As execuções subsequentes em playbooks e ações de tabela de dados compatíveis no mesmo ambiente reutilizam os dados armazenados em cache até que eles expirem.Armazenamento em cache de tabela completa: a ação sempre armazena em cache todas as linhas de cada tabela correspondente (mesmo que
Expanded Rowsesteja desativado ouMax Data Table Rows To Returnesteja definido como um limite menor) para que O valor está na tabela de dados e O valor está na tabela de dados assíncrona possam reutilizar o cache.Primeiras execuções sem filtro: todas as linhas de cada tabela correspondente são armazenadas em cache. Portanto, executar a ação sem um
Filter Valuepode levar mais tempo quando o cache está vazio ou expirado.Impacto de
Cache TTL: controla por quanto tempo os dados em cache permanecem válidos antes que a ação busque dados novos do Google SecOps:- TTL mais longo: reduz as solicitações de API e acelera os playbooks, mas as atualizações da tabela de dados não são refletidas até que o cache expire.
- TTL mais curto: mantém os resultados mais atualizados para tabelas que mudam com frequência, mas aumenta as solicitações para o Google SecOps.
Entradas da ação
A ação Receber tabelas de dados requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Filter Key |
Opcional. A chave para filtrar A opção Os valores possíveis são os seguintes: NameDescription |
Filter Logic |
Opcional. A lógica de filtro que será aplicada. Os valores possíveis são os seguintes: Equal (para correspondências exatas)Contains(para correspondências de substring) |
Filter Value |
Opcional. O valor a ser usado no filtro. Os valores possíveis são os seguintes: Equal (para correspondências exatas)Contains(para correspondências de substring)
Se nada for fornecido, o filtro não será aplicado. |
Expanded Rows |
Opcional. Se selecionada, a resposta vai incluir linhas detalhadas da tabela de dados. |
Max Data Tables To Return |
Obrigatório. O número de tabelas de dados que serão retornadas. O valor máximo é |
Max Data Table Rows To Return |
Obrigatório. A quantidade de linhas da tabela de dados que serão retornadas. Use esse parâmetro apenas se O valor máximo é |
Use Cache |
Opcional. Se selecionada, a ação vai usar os resultados da tabela de dados em cache quando disponíveis, em vez de consultar o Google SecOps em cada execução. Para mais detalhes, consulte Armazenamento em cache de tabelas de dados. |
Cache TTL |
Opcional. O tempo de vida do cache em minutos antes que a ação busque dados novos do Google SecOps. Para mais detalhes, consulte Armazenamento em cache de tabelas de dados. O valor mínimo é O valor padrão é |
Saídas da ação
A ação Get Data Tables fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Receber tabelas de dados:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
"displayName": "data_table",
"createTime": "2025-05-14T12:52:50.064133Z",
"updateTime": "2025-05-14T13:13:48.631442Z",
"columnInfo": [
{
"originalColumn": "columnName1",
"columnType": "STRING"
},
{
"columnIndex": 1,
"originalColumn": "columnName2",
"columnType": "STRING"
},
{
"columnIndex": 2,
"originalColumn": "columnName3",
"columnType": "STRING"
}
],
"dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
"approximateRowCount": "2",
"Used cache": true,
"rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
Mensagens de saída
A ação Receber tabelas de dados fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully found data tables for the provided criteria in Google
SecOps |
A ação foi concluída. |
Error executing action "Get Data Tables". Reason:
ERROR_REASON |
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Get Data Tables:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Receber detalhes da detecção
Use a ação Receber detalhes da detecção para recuperar informações sobre uma detecção no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Receber detalhes da detecção requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Rule ID |
Obrigatório. O ID da regra relacionada à detecção. Use o formato |
Detection ID |
Obrigatório. O ID da detecção para buscar detalhes. Se caracteres especiais forem fornecidos, a ação não falhará, mas retornará uma lista de detecções. |
Include Raw Log Data |
Opcional. Se selecionada, a ação recupera o arquivo de registro bruto original associado aos resultados da pesquisa de UDM. Essa opção só está disponível ao usar a autenticação da API Chronicle. Essa configuração está desativada por padrão. |
Saídas da ação
A ação Get Detection Details fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Receber detalhes da detecção:
{
"collectionElements": [
{
"label": "e",
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2023-10-04T21:18:44Z",
"eventType": "NETWORK_CONNECTION",
"id": "yyyx=",
"ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
"logType": "UDM",
"productEventType": "Traffic - start",
"productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
"productName": "NGFW",
"vendorName": "Palo Alto Networks"
},
"network": {
"ipProtocol": "TCP",
"receivedBytes": "yyyyyyyyyxx",
"sentBytes": "yyyyyyyyyxx",
"sessionId": "yyyyyyyyyxx"
},
"principal": {
"asset": {
"hostname": "test3",
"ip": [
"00.0.0.00"
],
"mac": [
"00:00:00:0b:c9:11"
]
},
"hostname": "test3",
"ip": [
"x.x.0.x"
],
"mac": [
"00:00:00:0b:c9:11"
],
"port": 18985
},
"rawLogData": {
"action": "yyyyyy",
"decodedString": "yyyyyy",
"external_id": "yyyyyy",
"matching_status": "yyyyyy",
"severity": "yyyyyy",
"source": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
],
"target": {
"asset": {
"hostname": "youtube.com"
},
"hostname": "youtube.com",
"port": 4548
}
}
}
]
}
],
"createdTime": "2023-10-04T22:16:22.145254Z",
"detection": [
{
"alertState": "ALERTING",
"riskScore": 40,
"ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
"ruleLabels": [
{
"key": "priority",
"value": "Medium"
},
{
"key": "severity",
"value": "Medium"
}
],
"ruleName": "dns_not_google",
"ruleType": "SINGLE_EVENT",
"ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
"urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
}
],
"detectionTime": "2023-10-04T21:18:44Z",
"id": "yyyx-e380-yyyx-yyyx-yyyx",
"timeWindow": {
"endTime": "2023-10-04T21:18:44Z",
"startTime": "2023-10-04T21:18:44Z"
},
"type": "RULE_DETECTION"
}
Mensagens de saída
A ação Get Detection Details fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully fetched information about the detection with ID
DETECTION_ID in Google Chronicle. |
A ação foi concluída. |
Error executing action "Get Detection Details". Reason:
ERROR_REASON |
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Receber detalhes da detecção:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Receber listas de referências
Use a ação Get Reference Lists para recuperar as listas de referência disponíveis no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Get Reference Lists requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Filter Key |
A chave para filtrar.
Os valores possíveis são os seguintes:
|
Filter Logic |
A lógica de filtro que será aplicada. Os valores possíveis são os seguintes: Equal (para correspondências exatas)Contains(para correspondências de substring)O valor padrão é |
Filter Value |
O valor a ser usado no filtro.
Os valores possíveis são os seguintes: Equal (para correspondências exatas)Contains(para correspondências de substring)
Se nenhum valor for fornecido, o filtro não será aplicado. |
Expanded Details |
Se selecionada, a ação retorna informações detalhadas sobre as listas de
referência.
Não ativado por padrão. |
Max Reference Lists To Return |
O número de listas de referência que serão retornadas.
O valor padrão é |
Saídas da ação
A ação Get Reference List fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Disponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Tabela do painel de casos
Em um mural de casos, a opção Receber listas de referência fornece a seguinte tabela:
Nome: Listas de referência disponíveis
Colunas:
- Nome
- Descrição
- Tipo
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Get Reference Lists com a API Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Get Reference Lists com a API Chronicle:
[
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
"displayName": "REFERENCE_LIST_ID",
"revisionCreateTime": "2025-01-09T15:53:10.851775Z",
"description": "Test reference list",
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-09T15:53:10.851775Z"
}
]
Mensagens de saída
A ação Get Reference Lists fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
|
A ação foi concluída. |
Error executing action
ACTION_NAME. Reason:
ERROR_REASON
|
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Error executing action
ACTION_NAME. Reason: "Invalid
value was provided for "Max Reference Lists to Return":
PROVIIDED_VALUE. Positive number should be provided. |
A ação falhou.
Verifique o valor do parâmetro |
Script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Get Reference Lists:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Ver detalhes da regra
Use a ação Receber detalhes da regra para recuperar informações sobre uma regra no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Get Rule Details requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Rule ID |
Obrigatório. O ID exclusivo da regra que terá os detalhes buscados. O valor padrão é |
Saídas da ação
A ação Get Rule Details fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Receber detalhes da regra com a API Backstory:
{
"ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
"versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
"ruleName": "SampleRule",
"metadata": {
"description": "Sample Description of the Rule",
"author": "author@example.com"
},
"ruleText": "rule SampleRule {
meta:
description = \"Sample Description of the Rule\"
author = \"author@example.com\"
events:
// This will just generate lots of detections
$event.metadata.event_type = \"NETWORK_HTTP\"
condition:
$event
} ",
"liveRuleEnabled": true,
"versionCreateTime": "2020-10-13T23:18:13.146879Z",
"compilationState": "SUCCEEDED"
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Get Rule Details com a API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
"revisionId": "v_1733917896_973567000",
"displayName": "Test_rule_SingleEvent",
"text": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"author": "example_user",
"metadata": {
"author": "example_user",
"description": "windowed single event example rule",
"severity": null
},
"createTime": "2024-12-11T11:36:18.192127Z",
"revisionCreateTime": "2024-12-11T11:51:36.973567Z",
"compilationState": "SUCCEEDED",
"type": "SINGLE_EVENT",
"allowedRunFrequencies": [
"LIVE",
"HOURLY",
"DAILY"
],
"etag": "CMj55boGEJjondAD",
"ruleId": "RULE_ID",
"versionId": "RULE_ID@v_1733917896_973567000",
"ruleName": "Test_rule_SingleEvent",
"ruleText": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"ruleType": "SINGLE_EVENT",
"versionCreateTime": "2024-12-11T11:51:36.973567Z"
}
Mensagens de saída
A ação Get Rule Details fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully fetched information about the rule with ID
RULE_ID in Google Chronicle.
|
A ação foi concluída. |
Error executing action "Get Rule Details". Reason:
ERROR_REASON
|
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Get Rule Details:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
O CIDR está na tabela de dados
Use Is CIDR In Data Table para verificar se valores CIDR específicos são encontrados em uma tabela de dados específica no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação O CIDR está na tabela de dados requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Data Table Name |
Obrigatório. O nome de exibição da tabela de dados a ser pesquisada. |
Column |
Opcional. Uma lista separada por vírgulas de colunas para pesquisar na tabela de dados. Se você não fornecer um valor, a ação vai pesquisar todas as colunas. |
CIDR |
Obrigatório. A lista separada por vírgulas de valores CIDR a serem pesquisados na tabela de dados. |
Max Data Table Rows To Return |
Obrigatório. O número de linhas da tabela de dados que serão retornadas para cada valor correspondente. O valor máximo é O valor padrão é |
Saídas da ação
A ação O CIDR está na tabela de dados fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação O CIDR está na tabela de dados:
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
Mensagens de saída
A ação O CIDR está na tabela de dados fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully searched provided CIDR values in the data table
DATA_TABLE_NAME in Google SecOps |
A ação foi concluída. |
Error executing action "Is CIDR In Data Table". Reason:
ERROR_REASON |
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação O CIDR está na tabela de dados:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
O valor está na tabela de dados
Use O valor está na tabela de dados para verificar se os valores fornecidos estão em uma tabela de dados no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Armazenamento em cache de tabelas de dados
É possível ativar o armazenamento em cache para reduzir as solicitações repetidas ao Google SecOps e acelerar as execuções do playbook:
Como o armazenamento em cache funciona: quando
Use Cacheé selecionado, a ação armazena as tabelas de dados recuperadas em um cache compartilhado para seu ambiente do Google SecOps. As execuções subsequentes em playbooks e ações de tabela de dados compatíveis no mesmo ambiente reutilizam os dados armazenados em cache até que eles expirem.Armazenamento em cache de tabela completa: quando o cache está vazio ou expirado, a ação busca e armazena em cache toda a tabela de dados, em vez de apenas as linhas que correspondem a
Values. As pesquisas subsequentes de valores diferentes na mesma tabela podem reutilizar o cache sem consultar o Google SecOps.Limite de linhas de saída:
Max Data Table Rows To Returnlimita as linhas correspondentes retornadas na saída da ação para cada valor, não as linhas armazenadas no cache.Impacto de
Cache TTL: controla por quanto tempo os dados em cache permanecem válidos antes que a ação busque dados novos do Google SecOps:- TTL mais longo: reduz as solicitações de API e acelera os playbooks, mas as atualizações da tabela de dados não são refletidas até que o cache expire.
- TTL mais curto: mantém os resultados mais atualizados para tabelas que mudam com frequência, mas aumenta as solicitações para o Google SecOps.
Entradas da ação
A ação O valor está na tabela de dados requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Data Table Name |
Obrigatório. O nome de exibição da tabela de dados a ser pesquisada. |
Column |
Opcional. Uma lista separada por vírgulas de colunas para pesquisar. Se nenhum valor for fornecido, a ação vai pesquisar todas as colunas. |
Values |
Obrigatório. Uma lista separada por vírgulas de valores a serem pesquisados. |
Case Insensitive Search |
Opcional. Se selecionada, a pesquisa não diferencia maiúsculas de minúsculas. Ativado por padrão. |
Max Data Table Rows To Return |
Obrigatório. O número de linhas da tabela de dados a serem retornadas por valor correspondente. O valor máximo é |
Use Cache |
Opcional. Se selecionada, a ação vai usar os resultados da tabela de dados em cache quando disponíveis, em vez de consultar o Google SecOps em cada execução. Para mais detalhes, consulte Armazenamento em cache de tabelas de dados. |
Cache TTL |
Opcional. O tempo de vida do cache em minutos antes que a ação busque dados novos do Google SecOps. Para mais detalhes, consulte Armazenamento em cache de tabelas de dados. O valor mínimo é O valor padrão é |
Saídas da ação
A ação O valor está na tabela de dados fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação O valor está na tabela de dados:
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
Mensagens de saída
A ação O valor está na tabela de dados fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME
in Google SecOps.
|
A ação foi concluída. |
| Erro ao executar a ação "O valor está na tabela de dados". Motivo: ERROR_REASON | A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Error executing action "Is Value In Data Table". Reason: the
following data tables were not found in:
DATA_TABLE_NAME:
COLUMN_NAMES. Please check the
spelling.
|
A ação falhou. |
Error executing action "Is Value In Data Table". Reason:
This action isn't supported for Backstory API configuration. Please update
the integration configuration.
|
A ação falhou. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação O valor está na tabela de dados:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
O valor está na tabela de dados assíncrona
Use a ação Is Value In Data Table Async para verificar se os valores fornecidos são encontrados em uma tabela de dados no Google SecOps de forma assíncrona usando operações de pesquisa de longa duração.
Essa ação não é executada em entidades do Google SecOps.
Armazenamento em cache de tabelas de dados
É possível ativar o armazenamento em cache para reduzir as solicitações repetidas ao Google SecOps e acelerar as execuções do playbook:
Como o armazenamento em cache funciona: quando
Use Cacheé selecionado, a ação armazena as tabelas de dados recuperadas em um cache compartilhado para seu ambiente do Google SecOps. As execuções subsequentes em playbooks e ações de tabela de dados compatíveis no mesmo ambiente reutilizam os dados armazenados em cache até que eles expirem.Conclusão imediata quando armazenado em cache: quando há um cache válido para a tabela de dados, a ação pesquisa o cache e é concluída imediatamente sem iniciar uma pesquisa assíncrona no Google SecOps.
Tabelas com mais de 1.000.000 de linhas: se uma tabela de dados exceder 1.000.000 de linhas, a ação ainda vai retornar os resultados da pesquisa, mas vai pular o armazenamento em cache da tabela para evitar o armazenamento de uma cópia incompleta.
Impacto de
Cache TTL: controla por quanto tempo os dados em cache permanecem válidos antes que a ação busque dados novos do Google SecOps:- TTL mais longo: reduz as solicitações de API e acelera os playbooks, mas as atualizações da tabela de dados não são refletidas até que o cache expire.
- TTL mais curto: mantém os resultados mais atualizados para tabelas que mudam com frequência, mas aumenta as solicitações para o Google SecOps.
Entradas da ação
A ação Is Value In Data Table Async requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Data Table Name |
Obrigatório. O nome de exibição da tabela de dados a ser pesquisada. |
Column |
Opcional. Uma lista separada por vírgulas de colunas para pesquisar na tabela de dados. Se nenhum valor for fornecido, a ação vai pesquisar todas as colunas. |
Values |
Obrigatório. Uma lista separada por vírgulas de valores para pesquisar na tabela de dados. |
Case Insensitive Search |
Opcional. Se selecionada, a pesquisa não diferencia maiúsculas de minúsculas. Ativado por padrão. |
Max Data Table Rows To Return |
Obrigatório. O número de linhas da tabela de dados que serão retornadas para cada valor correspondente. O valor máximo é O valor padrão é |
Use Cache |
Opcional. Se selecionada, a ação vai usar os resultados da tabela de dados em cache quando disponíveis, em vez de consultar o Google SecOps em cada execução. Para mais detalhes, consulte Armazenamento em cache de tabelas de dados. |
Cache TTL |
Opcional. O tempo de vida do cache em minutos antes que a ação busque dados novos do Google SecOps. Para mais detalhes, consulte Armazenamento em cache de tabelas de dados. O valor mínimo é O valor padrão é |
Saídas da ação
A ação O valor está na tabela de dados assíncrona fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação O valor está na tabela de dados assíncrona:
[
{
"Entity": "example_value",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"createTime": "",
"name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
"updateTime": "",
"values": {
"columnName1": "example_value",
"columnName2": "sample_data"
}
}
]
}
}
]
Mensagens de saída
A ação O valor está na tabela de dados assíncrona fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME.
|
A ação foi concluída. |
Error executing action "Is Value In Data Table Async". Reason:
ERROR_REASON.
|
A ação falhou. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação O valor está na tabela de dados assíncrona:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
O valor está na lista de referência
Use a ação O valor está na lista de referência para verificar se os valores fornecidos são encontrados em listas de referência no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação O valor está na lista de referência requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Reference List Names |
Obrigatório. Uma lista separada por vírgulas de nomes de listas de referência para pesquisar. |
Values |
Obrigatório. Uma lista separada por vírgulas de valores a serem pesquisados. |
Case Insensitive Search |
Opcional. Se selecionada, a pesquisa não diferencia maiúsculas de minúsculas. |
Saídas da ação
A ação O valor está na lista de referência fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação O valor está na lista de referência com a API Backstory:
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação O valor está na lista de referência com a API Chronicle:
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
Mensagens de saída
A ação O valor está na lista de referência fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully searched provided values in the reference lists in
Google Chronicle.
|
A ação foi concluída. |
| Erro ao executar a ação "O valor está na lista de referência". Motivo: ERROR_REASON | A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Error executing action "Is Value In Reference List". Reason: the
following reference lists were not found in Google Chronicle:
MISSING_REFERENCE_LIST_NAME(S).
Please use the action "Get Reference Lists" to see what reference lists are
available.
|
A ação falhou. Execute a ação Get Reference Lists para verificar as listas disponíveis. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação O valor está na lista de referência:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Listar recursos
Use a ação Listar recursos para listar recursos no Google SecOps com base em entidades relacionadas em um período especificado.
Essa ação só é compatível com os hashes MD5, SHA-1 e SHA-256.
Essa ação é executada nas seguintes entidades do Google SecOps:
URLIP AddressHash
Entradas da ação
A ação Listar recursos requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Max Hours Backwards |
O número de horas anteriores ao momento atual para buscar os recursos.
O valor padrão é |
Create Insight |
Se selecionada, a ação cria um insight com informações
sobre as entidades. Ativado por padrão. |
Max Assets To Return |
O número de recursos que serão retornados. O valor padrão é |
Time Frame |
Opcional. Um período para recuperar os resultados. Os valores possíveis são os seguintes:
Se O valor padrão é |
Start Time |
O horário de início no formato ISO 8601. Esse parâmetro é obrigatório se o
parâmetro |
End Time |
O horário de término no formato ISO 8601.
Se você não definir um valor e definir o parâmetro |
Saídas da ação
A ação Listar recursos fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Disponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Tabela do painel de casos
Nome: ENTITY_IDENTIFIER
Colunas:
- Nome do host
- Endereço IP
- Artefato visto pela primeira vez
- Artefato visto pela última vez
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Listar recursos com a API Backstory:
{
"assets": [
{
"asset": {
"hostname": "example"
},
"firstSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-02-28T09:18:15.675Z"
},
"lastSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-09-24T06:43:59Z"
}
}
],
"uri": [
"https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
]
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Listar recursos com a API Chronicle:
[
{
"Entity": "192.0.2.229",
"EntityResult": {
"assets": [
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Open Source Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Open Source Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "OPEN_SOURCE_INTEL_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "ex ",
"valueType": "DOMAIN_NAME"
}
},
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Active Breach Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Active Breach Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "MANDIANT_ACTIVE_BREACH_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "example.com",
"valueType": "DOMAIN_NAME"
}
}
],
"uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
}
}
]
Mensagens de saída
A ação Listar recursos fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully listed related assets for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
A ação foi concluída. |
Error executing action "List Assets". Reason:
ERROR_REASON |
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Listar recursos:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Listar eventos
Use a ação Listar eventos para listar eventos em um recurso específico dentro de um período especificado.
Essa ação só pode recuperar 10.000 eventos.
Essa ação é executada nas seguintes entidades do Google SecOps:
IP addressMAC addressHostname
Entradas da ação
A ação Listar eventos requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Event Types |
Uma lista separada por vírgulas de tipos de evento.
Se nenhum valor for fornecido, todos os tipos de evento serão buscados. Para uma lista de todos os valores possíveis, consulte Valores possíveis do tipo de evento. |
Time Frame |
O período especificado. Recomendamos que ele seja o menor possível para garantir melhores resultados.
Se Se Os valores possíveis são os seguintes:
O valor padrão é |
Start Time |
O horário de início no formato ISO 8601. Esse parâmetro é obrigatório se o parâmetro |
End Time |
O horário de término no formato ISO 8601. Se nenhum valor for fornecido e o parâmetro Esse parâmetro aceita o valor |
Reference Time |
O horário de referência para a pesquisa de eventos.
Se nenhum valor for fornecido, a ação usará o horário de término como referência. |
Output |
Obrigatório. O formato de saída. Os valores possíveis são os seguintes:
|
Max Events To Return |
O número de eventos a serem processados para cada tipo de entidade. O valor padrão é |
Valores possíveis do tipo de evento
Os valores possíveis para o parâmetro Event Type são os seguintes:
EVENTTYPE_UNSPECIFIEDPROCESS_UNCATEGORIZEDPROCESS_LAUNCHPROCESS_INJECTIONPROCESS_PRIVILEGE_ESCALATIONPROCESS_TERMINATIONPROCESS_OPENPROCESS_MODULE_LOADREGISTRY_UNCATEGORIZEDREGISTRY_CREATIONREGISTRY_MODIFICATIONREGISTRY_DELETIONSETTING_UNCATEGORIZEDSETTING_CREATIONSETTING_MODIFICATIONSETTING_DELETIONMUTEX_UNCATEGORIZEDMUTEX_CREATIONFILE_UNCATEGORIZEDFILE_CREATIONFILE_DELETIONFILE_MODIFICATIONFILE_READFILE_COPYFILE_OPENFILE_MOVEFILE_SYNCUSER_UNCATEGORIZEDUSER_LOGINUSER_LOGOUTUSER_CREATIONUSER_CHANGE_PASSWORDUSER_CHANGE_PERMISSIONSUSER_STATSUSER_BADGE_INUSER_DELETIONUSER_RESOURCE_CREATIONUSER_RESOURCE_UPDATE_CONTENTUSER_RESOURCE_UPDATE_PERMISSIONSUSER_COMMUNICATIONUSER_RESOURCE_ACCESSUSER_RESOURCE_DELETIONGROUP_UNCATEGORIZEDGROUP_CREATIONGROUP_DELETIONGROUP_MODIFICATIONEMAIL_UNCATEGORIZEDEMAIL_TRANSACTIONEMAIL_URL_CLICKNETWORK_UNCATEGORIZEDNETWORK_FLOWNETWORK_CONNECTIONNETWORK_FTPNETWORK_DHCPNETWORK_DNSNETWORK_HTTPNETWORK_SMTPSTATUS_UNCATEGORIZEDSTATUS_HEARTBEATSTATUS_STARTUPSTATUS_SHUTDOWNSTATUS_UPDATESCAN_UNCATEGORIZEDSCAN_FILESCAN_PROCESS_BEHAVIORSSCAN_PROCESSSCAN_HOSTSCAN_VULN_HOSTSCAN_VULN_NETWORKSCAN_NETWORKSCHEDULED_TASK_UNCATEGORIZEDSCHEDULED_TASK_CREATIONSCHEDULED_TASK_DELETIONSCHEDULED_TASK_ENABLESCHEDULED_TASK_DISABLESCHEDULED_TASK_MODIFICATIONSYSTEM_AUDIT_LOG_UNCATEGORIZEDSYSTEM_AUDIT_LOG_WIPESERVICE_UNSPECIFIEDSERVICE_CREATIONSERVICE_DELETIONSERVICE_STARTSERVICE_STOPSERVICE_MODIFICATIONGENERIC_EVENTRESOURCE_CREATIONRESOURCE_DELETIONRESOURCE_PERMISSIONS_CHANGERESOURCE_READRESOURCE_WRITTENANALYST_UPDATE_VERDICTANALYST_UPDATE_REPUTATIONANALYST_UPDATE_SEVERITY_SCOREANALYST_UPDATE_STATUSANALYST_ADD_COMMENT
Saídas da ação
A ação Listar eventos fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado em JSON recebida ao usar a ação Listar eventos:
{
"statistics": {
"NETWORK_CONNECTION": 10
}
{
"events": [
{
"metadata": {
"eventTimestamp": "2020-09-28T14:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
},
{
"metadata": {
"eventTimestamp": "2020-09-28T17:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
}
],
"uri": [
"https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
]
}
}
Mensagens de saída
A ação Listar eventos fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully listed related events for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
A ação foi concluída. |
Error executing action "List Events". Reason:
ERROR_REASON
|
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Error executing action "List Events". Reason: invalid event type
is provided. Please check the spelling. Supported event types:
SUPPORTED_EVENT_TYPES
|
A ação falhou.
Verifique a ortografia. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Listar eventos:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Listar IOCs
Use a ação Listar IOCs para listar todos os IoCs descobertos na sua empresa em um período especificado.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Listar IOCs requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Start Time |
O horário de início dos resultados no formato ISO 8601. |
Max IoCs to Fetch |
O número máximo de IoCs a serem retornados.
O intervalo é de O valor padrão é |
Saídas da ação
A ação Listar IOCs fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Disponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Tabela do painel de casos
Colunas:
- Domínio
- Categoria
- Origem
- Confiança
- Gravidade
- Tempo de ingestão do IoC
- Horário da primeira visualização do IoC
- Horário da última visualização do IoC
- URI
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Listar IOCs:
{
"matches":[
{
"artifact":{
"domainName":"www.example.com"
},
"firstSeenTime":"2018-05-25T20:47:11.048998Z",
"iocIngestTime":"2019-08-14T21:00:00Z",
"lastSeenTime":"2019-10-24T16:19:46.880830Z",
"sources":[
{
"category":"Spyware Reporting Server",
"confidenceScore":{
"intRawConfidenceScore":0,
"normalizedConfidenceScore":"Low"
},
"rawSeverity":"Medium",
"source":"Example List"
}
],
"uri":["URI"]
}
],
"moreDataAvailable":true
}
Mensagens de saída
A ação Listar IOCs fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully listed IOCs from the provided timeframe in Google
Chronicle. |
A ação foi concluída. |
Error executing action "List IOCs". Reason:
ERROR_REASON.
|
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Listar IOCs:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Pesquisar alertas semelhantes
Use a ação Pesquisar alertas semelhantes para procurar alertas parecidos no Google SecOps.
Entradas da ação
A ação Procurar alertas semelhantes requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Time Frame |
O período dos resultados. Para ter os melhores resultados, mantenha
o período o mais curto possível.
Os valores possíveis são os seguintes:
|
IOCs / Assets |
Obrigatório. Uma lista separada por vírgulas de IoCs ou recursos para encontrar nos alertas. A ação realiza uma pesquisa separada para cada item fornecido. |
Similarity By |
Os atributos a serem usados para encontrar alertas semelhantes. Os valores possíveis são os seguintes:
O valor padrão é |
Como o parâmetro "Semelhante por" funciona
O parâmetro Similarity By se aplica de maneira diferente aos alertas de regra e aos alertas externos.
Se
Alert Name, Alert Type and ProductouAlert Name, Alert Typeestiver selecionado:Para alertas externos, a ação pesquisa outros alertas externos que têm o mesmo nome.
Para alertas de regra, a ação processa alertas que se originaram da mesma regra.
Se
Productestiver selecionado:- A ação processa alertas que se originaram do mesmo produto, sejam eles de regra ou externos.
Por exemplo, um alerta originado no Crowdstrike só será correspondido com outros alertas do Crowdstrike.
Se
Only IOCs/Assetsestiver selecionado:A ação corresponde aos alertas com base nos IOCs fornecidos no parâmetro
IOCs/Assets. Ele pesquisa esses indicadores em alertas de regras e alertas externos.Um alerta de IOC só pode executar essa ação quando essa opção está selecionada. Se qualquer outra opção for fornecida, a ação padrão será
Only IOCs/Assets.
A ação Pesquisar alertas semelhantes é uma ferramenta versátil para analisar alertas. Ele permite que os analistas correlacionem alertas do mesmo período e extraiam IOCs relevantes para determinar se um incidente é um verdadeiro positivo.
Saídas da ação
A ação Pesquisar alertas semelhantes fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Disponível |
| Tabela do painel de casos | Disponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Link do Painel de Casos
A ação Pesquisar alertas semelhantes pode retornar os seguintes links:
- CBN: GENERATED_LINK_BASED_ON_IU_ROOT_URL
- Regra: GENERATED_LINK_BASED_ON_IU_ROOT_URL
Tabela do painel de casos
Nome da tabela: IOC/ASSET_IDENTIFIER
Colunas da tabela:
- Produto
- Nomes de host
- IPs
- Usuários
- Endereços de e-mail
- Subjects
- URLs
- Hashes
- Processos
- Visto pela primeira vez
- Visto pela última vez
- Nome do alerta
- Geral
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Pesquisar alertas semelhantes:
{
"count": 123,
"distinct": [
{
"first_seen": "time of the first alert that matched our conditions",
"last_seen": "time of the last alert that matched our conditions",
"product_name": "product name",
"used_ioc_asset": "what user provided in the parameter IOCs and Assets",
"name": "Alert Name/Rule Name",
"hostnames": "csv list of unique hostnames that were found in alerts",
"urls": "csv list of unique urls that were found in alerts",
"ips": "csv list of unique ips that were found in alerts",
"subjects": "csv list of unique subjects that were found in alerts",
"users": "csv list of unique users that were found in alerts",
"email_addresses": "csv list of unique email_addresses that were found in alerts",
"hashes": "csv list of unique hashes that were found in alerts",
"processes": "csv list of unique processes that were found in alerts"
"rule_urls": ["Chronicle URL from API response for Rule"]
"count": 123
}
],
"processed_alerts": 10000,
"run_time": "how long it took to run the action or at least API request",
"EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"
}
Mensagens de saída
A ação Procurar alertas semelhantes fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
|
A ação foi concluída. |
Error executing action "Lookup Similar Alerts". Reason:
ERROR_REASON
|
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Error executing action "Lookup Similar Alerts". Reason: all of the
retries are exhausted. Please wait for a minute and try again.
|
A ação falhou. Aguarde alguns minutos antes de executar a ação novamente. |
Resultado do script
A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Procurar alertas semelhantes:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Ping
Use a ação Ping para testar a conectividade com o Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
Nenhuma.
Saídas da ação
A ação Ping fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Indisponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Mensagens de saída
A ação Ping fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully connected to the Google Chronicle backstory with the
provided connection parameters! |
A ação foi concluída. |
Failed to connect to the Google Chronicle backstory. Error is
ERROR_REASON
|
A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Ping:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Remover linhas da tabela de dados
Use a ação Remover linhas da tabela de dados para remover linhas de uma tabela de dados no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Remover linhas da tabela de dados requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Data Table Name |
Obrigatório. O nome de exibição da tabela de dados a ser atualizada. |
Rows |
Obrigatório. Uma lista de objetos JSON usados para pesquisar e excluir linhas. Inclua apenas colunas válidas. O valor padrão é o seguinte: |
Saídas da ação
A ação Remover linhas da tabela de dados fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado em JSON recebida ao usar a ação Remover linhas da tabela de dados:
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
Mensagens de saída
A ação Remover linhas da tabela de dados fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully removed rows from the data table
DATA_TABLE_NAME in
Google SecOps.
|
A ação foi concluída. |
Error executing action "Remove Rows From Data Table". Reason:
ERROR_REASON
|
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Remover linhas da tabela de dados:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Remover valores da lista de referência
Use a ação Remover valores da lista de referência para remover valores de uma lista de referência no Google SecOps.
Essa ação não é executada em entidades do Google SecOps.
Entradas da ação
A ação Remover valores da lista de referência requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Reference List Name |
Obrigatório. O nome da lista de referência a ser atualizada. |
Values |
Obrigatório. Uma lista separada por vírgulas de valores a serem removidos da lista de referência. |
Saídas da ação
A ação Remover valores da lista de referência fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Painel de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Remover valores da lista de referência com a API Backstory:
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Remover valores da lista de referência com a API Chronicle:
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
Mensagens de saída
A ação Remover valores da lista de referência fornece as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully removed values from the reference list.
|
A ação foi concluída. |
Error executing action "Remove Values From Reference List". Reason:
ERROR_REASON
|
A ação falhou.
Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Remover valores da lista de referência:
| Nome do resultado do script | Valor |
|---|---|
is_success |
true ou false |
Conectores
Para saber como configurar conectores no Google SecOps, consulte Ingerir seus dados (conectores).
Google Chronicle: conector de alertas do Chronicle
Use o conector do Google Chronicle - Alertas do Chronicle para extrair informações sobre alertas baseados em regras do Google SecOps.
Visão geral
O Google Chronicle - Conector de alertas do Chronicle ingere alertas baseados em regras do Google SecOps.
Os principais recursos e detalhes operacionais incluem:
Consulta dados em um período de uma semana. Para evitar que alertas sejam perdidos devido a atrasos na indexação, é possível configurar um período de preenchimento e um tempo limite maior para o conector, embora um preenchimento significativo possa afetar negativamente o desempenho.
Usa listas dinâmicas para uma configuração flexível.
Fornece um
Fallback Severitypara alertas que não têm um valor de gravidade.
Filtro de lista dinâmica
A lista dinâmica é usada para filtrar alertas diretamente na página de configuração do conector.
Lógica do operador
A lista dinâmica usa uma combinação de avaliação baseada em conjuntos e lógica de várias linhas para processar regras de filtro:
Valores separados por vírgula (avaliação de conjunto): os valores na mesma linha, separados por vírgula, são tratados como um único conjunto. A lógica aplicada depende do operador usado:
- Inclusão (
=): funciona como uma lista de permissões.
Ingere o alerta se o valor corresponder a qualquer item da lista (por exemplo,
Rule.severity = low,mediumsignificalowOUmedium).- Exclusão (
!=): funciona como uma lista de bloqueio.
Ingere o alerta somente se o valor não corresponder a nenhum dos itens da lista (por exemplo,
Rule.ruleName != rule_a,rule_bsignifica que o nome da regra NÃO érule_aE NÃOrule_b).- Inclusão (
Linhas separadas (lógica AND): cada linha separada na lista dinâmica restringe ainda mais o filtro (por exemplo, Linha 1 AND Linha 2).
Operadores compatíveis: (
=,!=,>,<,>=,<=) variam de acordo com a chave de filtro.
Veja a seguir exemplos de uso de regras de operador:
Rule.severity = medium: o conector só ingere alertas de regras com gravidade média.
Rule.severity = low,medium: o conector só ingere alertas de regra com gravidade média ou baixa.
Rule.ruleName != rule_a,rule_b: o conector ingere todos os alertas, exceto aqueles em que o nome da regra é
rule_aourule_b.Rule.ruleName = default_rule: o conector só ingere alertas de regra com o nome
default_rule.
Filtros compatíveis
O conector de alertas do Chronicle permite filtrar as seguintes chaves:
| Chave de filtro | Chave de resposta | Operadores | Valores possíveis |
|---|---|---|---|
Rule.severity |
detection, ruleLabels ou severity |
=, !=, >, <,
>=, <= |
Os valores não diferenciam maiúsculas de minúsculas. |
Rule.ruleName |
detection ou ruleName |
=, != |
Definido pelo usuário. |
Rule.ruleID |
detection ou ruleId |
=, != |
Definido pelo usuário. |
Rule.ruleType |
detection ou ruleClass |
=, != |
Os valores não diferenciam maiúsculas de minúsculas. |
Rule.ruleLabels.{key} |
detection ou ruleLabels |
=, != |
Definido pelo usuário. |
Como lidar com ruleLabels
Para filtrar um rótulo específico em uma regra, use o formato Rule.ruleLabels.{key}.
Por exemplo, para filtrar um rótulo com a chave type e o valor
suspicious_behaviour, a entrada da lista dinâmica precisa ser:
Rule.ruleLabels.type=suspicious_behaviour
Entradas do conector
O conector de alertas do Chronicle requer os seguintes parâmetros:
O valor padrão é Medium.
| Parâmetro | Descrição |
|---|---|
Product Field Name |
Obrigatório. O nome do campo em que o nome do produto é armazenado. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão é resolvido para um valor substituto que é referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão. O valor padrão é |
Event Field Name |
Obrigatório. O nome do campo que determina o nome do evento (subtipo). |
Environment Field Name |
Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão. O valor padrão é |
Environment Regex Pattern |
Opcional. Um padrão de expressão regular para executar no valor encontrado no campo Use o valor padrão Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão. |
Script Timeout (Seconds) |
Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é |
API Root |
Obrigatório. O URL raiz da API para sua instância do Google SecOps:
|
User's Service Account |
Opcional. A chave JSON da conta de serviço usada para autenticação. Usado somente se
Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando disponíveis (consulte Métodos de autenticação e precedência de credenciais). |
Workload Identity Email |
Opcional. O e-mail da conta de serviço usado para autenticação da Identidade da carga de trabalho (recomendado quando uma conta de serviço é necessária). Tem precedência se os dois campos de credencial forem preenchidos. Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando disponíveis (consulte Métodos de autenticação e precedência de credenciais). |
Fallback Severity |
Obrigatório. A gravidade padrão a ser usada se o alerta do Google SecOps não incluir um valor de gravidade. Os valores possíveis são os seguintes:
|
Max Hours Backwards |
Opcional. O número de horas antes da execução inicial do conector para recuperar incidentes. Esse parâmetro se aplica apenas uma vez. O valor máximo é O valor padrão é |
Max Alerts To Fetch |
Opcional. O número de alertas a serem processados em cada iteração do conector. O valor padrão é |
Disable Event Splitting |
Opcional. Se selecionado, o conector não divide os eventos originais em várias partes, garantindo que a contagem de eventos corresponda entre a origem e o Google SecOps. Não ativado por padrão. |
Verify SSL |
Obrigatório. Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google SecOps. Ativado por padrão. |
Proxy Server Address |
Opcional. O endereço do servidor proxy a ser usado. |
Proxy Username |
Opcional. O nome de usuário do proxy para autenticação. |
Proxy Password |
Opcional. A senha do proxy para autenticação. |
Disable Overflow |
Opcional. Se selecionado, o conector ignora o mecanismo de overflow do Google SecOps. Não ativado por padrão. |
Validate Dynamic List Entries |
Opcional. Se ativado, o conector valida se as entradas na lista dinâmica existem na plataforma antes do processamento para evitar erros de ingestão. Não ativado por padrão. |
Regras do conector
O Google Chronicle - Conector de alertas do Chronicle é compatível com proxies.
Eventos do conector
A seção a seguir descreve a estrutura dos eventos recuperados pelo conector. Esse conector extrai especificamente alertas gerados por regras de detecção no Google SecOps.
Alertas baseados em regras
Esse tipo de evento é gerado quando uma regra de detecção corresponde aos dados de registro recebidos. A saída JSON contém os metadados da regra, o ID de detecção exclusivo e os dados de eventos do UDM associados que acionaram o alerta.
{
"alert_type": "RULE",
"event_type": "NETWORK_DHCP",
"type": "RULE_DETECTION",
"detection": [
{
"ruleName": "d3_test",
"urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
"ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
"ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
"alertState": "NOT_ALERTING",
"ruleType": "SINGLE_EVENT",
"ruleLabels": [
{
"key": "author",
"value": "analyst123"
},
{
"key": "description",
"value": "8:00 AM local time"
},
{
"key": "severity",
"value": "Medium"
}
]
}
],
"createdTime": "2022-02-08T06:07:33.944951Z",
"id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
"timeWindow": {
"startTime": "2022-02-08T05:02:36Z",
"endTime": "2022-02-08T05:02:36Z"
},
"collectionElements": [
{
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-02-08T05:02:36Z",
"eventType": "NETWORK_DHCP",
"productName": "Infoblox DHCP",
"ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
},
"principal": {
"ip": [
"198.51.100.255",
"198.51.100.1"
],
"mac": [
"01:23:45:ab:cd:ef"
],
"email_address": [
"example@example.com"
]
},
"target": {
"hostname": "dhcp_server",
"ip": [
"198.51.100.0",
"198.51.100.1"
]
},
"network": {
"applicationProtocol": "DHCP",
"dhcp": {
"opcode": "BOOTREQUEST",
"ciaddr": "198.51.100.255",
"giaddr": "198.51.100.0",
"chaddr": "01:23:45:ab:cd:ef",
"type": "REQUEST",
"clientHostname": "example-user-pc",
"clientIdentifier": "AFm/LDfjAw=="
}
}
}
}
],
"label": "e"
}
],
"detectionTime": "2022-02-08T05:02:36Z"
}
Estrutura do alerta
A tabela a seguir descreve como o Google Chronicle - Conector de alertas do Chronicle preenche os atributos de um alerta no Google SecOps.
Atributos gerados internamente
Esses atributos são gerados pelo framework da plataforma, em vez de serem extraídos do alerta de origem:
| Nome do atributo do alerta | Origem |
|---|---|
SourceSystemName |
Gerado internamente pelo framework. |
TicketId |
Origem: ID de detecção de alerta (id). |
DisplayId |
Gerado automaticamente. |
Atributos para todos os tipos de alerta
Esses atributos são derivados do alerta de origem.
| Nome do atributo do alerta | Origem |
|---|---|
Priority |
Retirado da resposta da API ou do parâmetro Fallback Severity. |
DeviceVendor |
O valor fixado no código é Google Chronicle. |
DeviceProduct |
O valor fixado no código é RULE. |
Description |
Fonte: detection/ruleLabels/description (se houver). |
Reason |
Indisponível. |
SourceGroupingIdentifier |
Indisponível. |
Chronicle Alert - Attachments |
Indisponível. |
Descontinuado: Google Chronicle – Conector de alertas
Esse conector extrai alertas de recursos do Google SecOps para ingestão em casos.
Esse conector requer a API SIEM Search do Google SecOps.
Entradas do conector
O conector de alertas requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Product Field Name |
Obrigatório.
O nome do campo em que o nome do produto é armazenado. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão é resolvido para um valor substituto que é referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão. O valor padrão é |
Environment Field Name |
Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão. O valor padrão é |
Environment Regex Pattern |
Opcional. Um padrão de expressão regular para executar no valor encontrado no campo Use o valor padrão Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão. |
Script Timeout (Seconds) |
Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é |
Service Account Credentials |
Obrigatório. O conteúdo do arquivo JSON da conta de serviço. |
Fetch Max Hours Backwards |
Opcional. O número de horas antes da execução inicial do conector para recuperar incidentes. Esse parâmetro se aplica apenas uma vez. O valor máximo é O valor padrão é |
Descontinuado: Google Chronicle – Conector de IoCs
Use o conector de alertas do Chronicle.
Esse conector extrai correspondências de domínio de IOC do Google SecOps para ingestão em casos.
Esse conector usa a API Google SecOps Search.
Entradas do conector
O conector do Google Chronicle - IoCs requer os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Product Field Name |
Obrigatório.
O nome do campo em que o nome do produto é armazenado. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão é resolvido para um valor substituto que é referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão. O valor padrão é |
Environment Field Name |
Opcional. O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão. O valor padrão é |
Environment Regex Pattern |
Opcional. Um padrão de expressão regular para executar no valor encontrado no campo Use o valor padrão Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão. |
Script Timeout (Seconds) |
Obrigatório. O limite de tempo limite, em segundos, para o processo do Python que executa o script atual. O valor padrão é |
Service Account Credentials |
Obrigatório. O conteúdo do arquivo JSON da conta de serviço. |
Fetch Max Hours Backwards |
Opcional. O número de horas antes da execução inicial do conector para recuperar alertas. Esse parâmetro se aplica apenas uma vez. O valor máximo é O valor padrão é |
Max Alerts To Fetch |
Opcional. O número máximo de alertas a serem processados em cada iteração do conector. O valor padrão é |
Jobs
Para mais informações sobre jobs, consulte Configurar um novo job e Programação avançada.
Pré-requisitos de configuração do job
Antes de prosseguir para a configuração do job, configure o conector de alertas do Chronicle.
Para configurar jobs do Google Chronicle, siga estas etapas:
No Google SecOps, acesse Resposta > Programador de jobs.
Clique em addCriar novo job.
Na caixa de diálogo Adicionar job que aparece, selecione o job correspondente do Google Chronicle e clique em Salvar.
Opcional: edite o nome e a descrição do job, se necessário.
Na seção Detalhes do job:
- Verifique se GoogleChronicle está selecionado no campo Integração.
Para executar o job automaticamente em intervalos especificados, configure um intervalo de programador. A configuração do programador é obrigatória para concluir a configuração do job.
Como os jobs do Google Chronicle podem sincronizar grandes quantidades de dados em uma única execução, o Google recomenda definir o intervalo do programador como pelo menos 2 minutos.
Google Chronicle: job de sincronização de dados
Esse job funciona com alertas criados pelo conector de alertas do Chronicle e pelo job criador de alertas do Chronicle, mas não com alertas de conectores descontinuados (conector de alertas e conector de IOCs).
O job Google Chronicle Sync Data sincroniza casos e alertas atualizados no Google SecOps para que as mudanças feitas durante o gerenciamento de casos sejam refletidas imediatamente em toda a plataforma.
Sincronização de dados de casos e alertas
O job Google Chronicle Sync Data rastreia e sincroniza os seguintes campos para casos:
| Campo monitorado | Campo sincronizado |
|---|---|
Priority |
Priority |
Status |
Status |
Title |
Title |
| Não relevante | Stage |
| Não relevante | Google SecOps Case ID |
O ID do caso do Google SecOps é um identificador exclusivo de caso no Google SecOps.
O job Google Chronicle Sync Data rastreia e sincroniza os seguintes campos para alertas:
| Campo monitorado | Campo sincronizado |
|---|---|
Priority |
Priority |
Status |
Status |
Case ID |
Não relevante |
| Não relevante | Google SecOps Alert ID |
| Não relevante | Google SecOps Case ID |
| Não relevante | Verdict |
| Não relevante | Closure Comment |
| Não relevante | Closure Reason |
| Não relevante | Closure Root Cause |
| Não relevante | Usefulness |
O ID de alerta do Google SecOps é um identificador de alerta exclusivo no Google SecOps.
Em uma iteração, o job sincroniza até 1.000 casos e 1.000 alertas. A sincronização ocorre no ambiente do Google SecOps especificado na configuração do job. O mecanismo de sincronização garante que um caso do ambiente especificado não possa ser sincronizado com outro ambiente.
Configurar o job de sincronização de dados do Google Chronicle Sync
Esse job sincroniza apenas casos que contêm alertas ingeridos do Google SecOps.
Verifique se você concluiu as etapas de pré-requisito antes de configurar esse job.
Para configurar o job Google Chronicle Sync Data, siga estas etapas:
Na seção Parâmetros, configure os seguintes parâmetros:
Parâmetro Descrição EnvironmentObrigatório.
O nome do ambiente criado no Google SecOps para sincronizar casos e alertas.
API RootObrigatório.
O URL raiz da API para sua instância do Google SecOps:
- API Chronicle: inclui o ID do projeto, a região e o ID da instância
(por exemplo,
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Consulte Como encontrar a raiz da API Chronicle. - API Backstory (legada): o endpoint regional do Backstory. O valor padrão é
https://backstory.googleapis.com.
User's Service AccountOpcional.
A chave JSON da conta de serviço usada para autenticação. Usado somente se
Workload Identity Emailestiver vazio.Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando compatíveis (consulte Métodos de autenticação e precedência de credenciais).
Workload Identity EmailOpcional.
O e-mail da conta de serviço usado para autenticação da Identidade da carga de trabalho (recomendado quando uma conta de serviço é necessária). Tem precedência se os dois campos de credencial estiverem preenchidos.
Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando compatíveis (consulte Métodos de autenticação e precedência de credenciais).
Max Hours BackwardsOpcional.
O número de horas para buscar alertas. Use somente números positivos.
O valor padrão é
24.Verify SSLObrigatório.
Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google SecOps.
Ativado por padrão.
O job Google Chronicle Sync Data é ativado por padrão. Quando você salva o job configurado corretamente, ele começa a sincronizar dados com o Google SecOps imediatamente. Para desativar o job, mude a chave ao lado do nome dele.
- API Chronicle: inclui o ID do projeto, a região e o ID da instância
(por exemplo,
Para concluir a configuração, clique em Salvar.
Se o botão Salvar estiver inativo, verifique se você definiu todos os parâmetros obrigatórios.
Opcional: para executar o job imediatamente após salvar, clique em Executar agora.
A opção Executar agora permite acionar uma única execução de job para sincronizar imediatamente os dados atuais de alertas e casos.
Mensagens de registro
A tabela a seguir lista as possíveis mensagens de registro para o job de sincronização de dados do Google Chronicle:
| Entrada de registro | Tipo | Descrição |
|---|---|---|
Unable to parse credentials as JSON. Please validate creds.
|
Erro | A conta de serviço fornecida no parâmetro User's Service Account está corrompida. |
"Max Hours Backwards" parameter must be a positive number. |
Erro | O parâmetro Max Hours backwards está definido como 0 ou um número negativo. |
Current platform version doesn't support SDK methods designed for
Google SecOps. Please use version 6.1.33 or higher. |
Erro | A versão atual da instância da plataforma do Google SecOps não é compatível com a execução do script de job de sincronização de dados do Chronicle. Isso significa que a versão do build da instância é anterior à 6.1.33. |
Unable to connect to Google SecOps, please validate
your credentials: CREDENTIALS |
Erro | Não foi possível validar os valores raiz da conta de serviço ou da API em relação à instância do Google SecOps. Esse erro será informado se o teste de conectividade falhar. |
--- Start Processing Updated Cases --- |
Informações | O loop de processamento de casos começou a ser executado. |
Last success time. Date time:DATE_AND_TIME.
Unix:UNIX_EPOCH_TIME
|
Informações | O carimbo de data/hora da última execução bem-sucedida de casos ou alertas, mostrado como uma data e hora (DATE_AND_TIME) e como um carimbo de data/hora da época Unix (UNIX_EPOCH_TIME). |
Key: "DATABASE_KEY" doesn't exist in the
database. Returning default
value instead: DEFAULT_VALUE |
Informações | A chave do banco de dados do caso ou alerta pendente não existe no banco de dados. Essa entrada de registro sempre aparece na primeira execução do script. |
Failed to parse data as JSON. Returning default value instead:
"DEFAULT_VALUE. ERROR:
ERROR |
Erro | O valor recuperado do banco de dados não está em um formato JSON válido. |
Exception was raised from the database. ERROR:
ERROR. |
Erro | Há um problema de conexão com o banco de dados. |
|
Informações | Os IDs dos casos ou alertas pendentes foram recuperados do backlog. CASE_IDS é o número de IDs de caso informados. |
|
Erro | O número de IDs de casos ou alertas pendentes que são buscados no banco de dados é maior que o limite (1.000). Os IDs que excederem o limite serão ignorados. Esse erro pode indicar uma possível corrupção do banco de dados. |
|
Informações | Os IDs de casos ou alertas atualizados foram buscados na plataforma. |
|
Informações | A atualização de casos e alertas na instância do Google SecOps começou. |
|
Erro | Não é possível sincronizar o caso ou alerta especificado com o Google SecOps. |
|
Informações | O caso ou alerta pendente especificado atingiu o limite de novas tentativas de sincronização (5) e não foi inserido novamente no backlog. |
|
Informações | A lista de IDs de casos ou alertas que não podem ser sincronizados com o Google SecOps. |
Updated External Case IDs for the following cases:
CASE_IDS |
Informações | A lista de casos em que o job atualizou o ID do caso externo correspondente do Google SecOps na plataforma Google SecOps. |
Failed to update external ids. |
Erro | Um erro de conexão ou de plataforma impediu a atualização dos IDs de casos externos. |
|
Erro | Um erro interrompeu as atualizações de casos ou alertas antes da conclusão. Consulte o stack trace após esse registro para mais detalhes. |
|
Informações | A etapa de atualização de casos e alertas foi concluída. |
|
Erro | A lista de IDs de casos ou alertas com falha que têm uma contagem de novas tentativas menor ou igual a 5 para serem gravados novamente no backlog. |
|
Informações | A etapa de processamento do caso e do alerta foi concluída. |
Saving timestamps. |
Informações | Salvando os carimbos de data/hora do último caso e da última atualização de alerta no banco de dados. |
Saving pending ids. |
Informações | Salvando os IDs de casos e alertas pendentes no banco de dados. |
Got exception on main handler. Error:
ERROR_REASON |
Erro | Ocorreu um erro geral de encerramento. O stacktrace é impresso após esse registro com o erro específico. |
Job do Google Chronicle Alerts Creator
O job Criador de alertas do Google Chronicle requer a versão 6.2.30 ou mais recente da plataforma Google SecOps.
Esse job sincroniza os alertas ingeridos de conectores de terceiros (incluindo alertas de estouro) com o Google SecOps. Ele não duplica alertas que já se originam de detecções do Google SecOps.
Relação entre os jobs do Google Chronicle
Uma implantação completa do Google SecOps executa os três componentes a seguir simultaneamente:
- Conector de alertas do Chronicle: ingere alertas de detecção do Google SecOps em casos.
- Job Criador de alertas do Google Chronicle: sincroniza os alertas ingeridos de conectores de terceiros com o Google SecOps e atribui a cada alerta um identificador exclusivo do Google SecOps.
- Job Google Chronicle Sync Data: sincroniza atualizações de casos e alertas (como mudanças de prioridade ou status) no Google SecOps.
Configurar o job do Criador de Alertas do Google Chronicle
Verifique se você concluiu as etapas de pré-requisito antes de configurar o job.
Para configurar o job Criador de alertas do Google Chronicle, siga estas etapas:
Configure os parâmetros do job na tabela a seguir:
Parâmetro Descrição EnvironmentObrigatório.
O nome do ambiente criado no Google SecOps em que você quer sincronizar casos e alertas.
API RootObrigatório.
O URL raiz da API para sua instância do Google SecOps:
- API Chronicle: inclui o ID do projeto, a região e o ID da instância
(por exemplo,
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID). Consulte Como encontrar a raiz da API Chronicle. - API Backstory (legada): o endpoint regional do Backstory. O valor padrão é
https://backstory.googleapis.com.
User's Service AccountOpcional.
A chave JSON da conta de serviço usada para autenticação. Usado somente se
Workload Identity Emailestiver vazio.Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando compatíveis (consulte Métodos de autenticação e precedência de credenciais).
Workload Identity EmailOpcional.
O e-mail da conta de serviço usado para autenticação da Identidade da carga de trabalho (recomendado quando uma conta de serviço é necessária). Tem precedência se os dois campos de credencial estiverem preenchidos.
Deixe os dois campos de credenciais vazios para usar as credenciais integradas, quando compatíveis (consulte Métodos de autenticação e precedência de credenciais).
Verify SSLObrigatório.
Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Google SecOps.
Ativado por padrão.
- API Chronicle: inclui o ID do projeto, a região e o ID da instância
(por exemplo,
Para concluir a configuração, clique em Salvar.
Se o botão Salvar estiver inativo, verifique se você definiu todos os parâmetros obrigatórios.
Opcional: para executar o job imediatamente após salvar, clique em Executar agora.
A opção Executar agora permite acionar uma única execução de job para sincronizar imediatamente os dados atuais de alertas e casos.
Mensagens de registro e tratamento de erros
| Registro | Nível | Descrição |
|---|---|---|
|
ERRO | A conta de serviço fornecida no parâmetro "Conta de serviço do usuário" está corrompida. |
|
ERRO | A versão atual da instância da plataforma Google SecOps não é compatível com a execução do script do job do Criador de Alertas do Google Chronicle. Esse erro significa que a versão do build da instância é anterior à 6.2.30. |
|
ERRO | Não é possível validar a conta de serviço ou os valores raiz da API em relação à instância do Google SecOps. Esse erro será informado se o teste de conectividade falhar. |
|
INFORMAÇÕES | Mensagem de registro indicando que o job foi iniciado. |
|
INFORMAÇÕES | A execução do job principal foi iniciada. |
|
INFORMAÇÕES | O número da iteração para a tentativa de busca atual. |
|
INFORMAÇÕES | O job está buscando até BATCH_SIZE novos alertas. |
|
INFORMAÇÕES | O número de novos Alertas do Notícias buscados no lote atual. |
|
INFORMAÇÕES | Nenhum alerta não sincronizado foi encontrado, então o job está sendo interrompido. |
|
INFORMAÇÕES | Os identificadores dos alertas buscados no lote atual. |
|
INFORMAÇÕES | O job está enviando os alertas buscados para o Google SecOps. |
|
ERRO | Não foi possível sincronizar o alerta especificado com o Google SecOps. |
|
INFORMAÇÕES | O job está atualizando o status do alerta sincronizado. |
|
AVISO | A plataforma não conseguiu atualizar o status de sincronização do alerta especificado. |
|
INFORMAÇÕES | O número total de alertas sincronizados durante a execução do job atual. |
|
INFORMAÇÕES | A execução do job foi concluída. |
|
ERRO | Um erro geral interrompeu o job. Veja os detalhes na mensagem de erro. |
Casos de uso
A integração do Google Chronicle permite executar os seguintes casos de uso:
- Investigação e resposta a ameaças do Windows no Chronicle
- Security Command Center e Chronicle Cloud DIR
Instalar o caso de uso
No Google SecOps Content Hub, acesse a guia Casos de uso.
Em um campo de pesquisa, insira o nome do caso de uso.
Clique no caso de uso.
Siga as etapas de configuração e as instruções no assistente de instalação.
Quando terminar, todos os componentes necessários serão instalados na sua máquina do Google SecOps. Para finalizar a instalação, configure o bloco Inicialização no playbook que corresponde ao seu caso de uso.
Investigação e resposta a ameaças do Windows no Chronicle
Use o poder do Google SecOps para responder em tempo real a ameaças do Windows no seu ambiente. Com o Threat Intelligence para o Google SecOps, as equipes de segurança podem aproveitar um serviço de inteligência contra ameaças de alta fidelidade junto com o Google SecOps. As ameaças reais no seu ambiente agora podem ser triadas e corrigidas automaticamente em um período curto e eficaz.
No Google SecOps, acesse Resposta > Playbooks.
Selecione o playbook Google Chronicle - Investigação e resposta a ameaças do Windows. O playbook é aberto na visualização do designer de playbooks.
Clique duas vezes em Set Initialization Block_1. A caixa de diálogo de configuração do bloco é aberta.
Para configurar o playbook, use os seguintes parâmetros:
Parâmetro de entrada Valores possíveis Descrição edr_product- CrowdStrike
- Carbon Black
- Nenhum
O produto de EDR a ser usado no playbook. itsm_product- Service Now
- Jira
- ZenDesk
- Nenhum
O produto de ITSM que será usado no playbook. O Jira requer configuração adicional no bloco "Abrir tíquete". crowdstrike_use_spotlighttrueoufalseSe for True, o playbook vai executar ações do Crowdstrike que exigem uma licença do Spotlight (informações de vulnerabilidade).use_mandianttrueoufalseSe for True, o playbook vai executar o bloco da Mandiant.slack_userNome de usuário ou endereço de e-mail O nome de usuário ou endereço de e-mail do usuário do Slack. Se nenhum for fornecido, o playbook vai pular os blocos do Slack. Clique em Salvar. A caixa de diálogo de configuração do bloco é fechada.
No painel do designer de playbook, clique em Salvar.
Para testar o playbook no caso de uso, faça a ingestão do caso de teste incluído no pacote. Alguns recursos de casos de teste podem falhar porque os dados usados para teste não estão disponíveis no seu ambiente.
Security Command Center e Chronicle Cloud DIR
Integre o Security Command Center ao Google SecOps para permitir que seus analistas investiguem incidentes e ameaças detectados pelo Security Command Center.
Configurar o caso de uso
O caso de uso exige que você configure as seguintes integrações:
- Siemplify
- Ferramentas
- Mitre ATT&CK
- Google Cloud IAM
- Google Chronicle
- Funções
- Google Cloud Compute
- E-mail V2
- VirusTotal v3
As integrações do Google Security Command Center e da Mandiant são opcionais.
Verifique se você instalou o caso de uso antes de configurá-lo.
- No Google SecOps, acesse a guia Playbooks.
- Selecione o playbook SCC e Chronicle Cloud DIR.
- Clique duas vezes no Bloco de inicialização para configurá-lo.
- Configure o playbook usando os seguintes parâmetros:
| Nome do parâmetro | Valores possíveis | Descrição |
|---|---|---|
Mandiant_Enrichment |
true ou false |
Se for A integração da Mandiant precisa ser configurada para essa configuração. Você pode remover o enriquecimento se raramente receber informações significativas. A remoção do bloco de enriquecimento melhora a velocidade de execução do playbook. |
SCC_Enrichment |
true ou false |
Se for A integração do Security Command Center precisa ser configurada para essa configuração. Você pode remover o enriquecimento se raramente receber informações significativas. A remoção do bloco de enriquecimento melhora a velocidade de execução do playbook. |
IAM_Enrichment |
true ou false |
Se for True, o playbook vai usar os recursos do IAM
para enriquecimento adicional. Você pode remover o enriquecimento se raramente
receber informações significativas. A remoção do bloco de enriquecimento melhora
a velocidade de execução do playbook. |
Compute_Enrichment |
true ou false |
Se for True, o playbook vai usar os recursos do Compute Engine
para enriquecimento adicional. Você pode remover o enriquecimento se
raramente receber informações significativas. A remoção do bloco de enriquecimento melhora
a velocidade de execução do playbook. |
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.