Office 365 Cloud App Security

במסמך הזה מוסבר איך לשלב את Office 365 Cloud App Security עם Google SecOps.

תרחישים לדוגמה

  1. מעקב אחרי התראות מסביבת Office 365
  2. שימוש בנתונים של CloudApp Security לחקירה של אירועי אבטחה.

הגדרת Office 365 Cloud App Security לעבודה עם Google Security Operations

כדי לשלוח בקשות API, אתם צריכים להיות מסוגלים לאמת את עצמכם באמצעות אסימון Cloud App Security API. האסימון הזה ייכלל בכותרת כש-Cloud App Security ישלח בקשות API.

  1. כדי לקבל את אסימון ה-API של האבטחה, נכנסים לפורטל Microsoft Cloud App Security.

  2. בתפריט הגדרות, בוחרים באפשרות תוספי אבטחה ואז באפשרות טוקנים של API.

  3. לוחצים על לחצן הפלוס כדי ליצור טוקן חדש ומזינים שם כדי לזהות את הטוקן בעתיד. לוחצים על הבא.

    תיבת דו-שיח ליצירת טוקן חדש ב-Office 365 Cloud App Security

  4. אחרי שיוצרים אסימון חדש, מקבלים כתובת URL חדשה שאפשר להשתמש בה כדי לגשת לפורטל Cloud App Security.

    טוקן נוצר בהצלחה תיבת דו-שיח

הגדרה של שילוב Office 365 Cloud App Security ב-Google SecOps

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא השם של המופע שרוצים להגדיר עבורו שילוב.
תיאור String לא רלוונטי לא תיאור המופע.
כתובת ה-URL של פורטל Cloud App Security String לא רלוונטי כן כתובת ה-URL של פורטל Cloud App Security.
Cloud App Security API token String לא רלוונטי כן פרמטר שמשמש לציון טוקן Cloud App Security API כדי להתחבר ל-API. מידע נוסף זמין במאמר בנושא אסימוני API: https://go.microsoft.com/fwlink/?linkid=851419
הרצה מרחוק תיבת סימון לא מסומן לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הסוכן).

פעולות

פתרון בעיות בהתראות בכמות גדולה

תיאור

הפעולה הזו משמשת לפתרון של התראה אחת או יותר אחרי שנבדקו וצומצם הסיכון.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת מחדל חובה תיאור
מזהה התראה String לא רלוונטי כן מזהה ייחודי של ההתראה. אפשר להזין כמה מזהים שמופרדים בפסיקים.
תגובה String הסתיים לא תגובה שמסבירה למה ההתראות נפתרו.

תרחישים לדוגמה

האפליקציה Office 365 Cloud App Security מציגה התראה לגבי נסיעה בלתי אפשרית. המשתמש בודק את ההתראה ולא מצליח לזהות את המשתמש שנכנס ממיקום לא ידוע. המשתמש מחליט להשעות את המשתמש ששימש לכניסה לחשבון עד להודעה חדשה. לכן, המשתמש ימשיך לפתור את ההתראה.

השלבים ב-Google SecOps:

  1. ההתראה מוזנת על ידי המחבר למערכת.
  2. המשתמש פותח את ההתראה ולא מצליח לאשר את שמות המשתמשים של המשתמשים המעורבים ואת המיקומים שמהם הם נכנסים לחשבון אחרי חקירה.
  3. המשתמש לא מרוצה מהזהות של המשתמש ומהמיקום שממנו הוא נכנס לחשבון, לכן הוא משעה את המשתמש ומגדיר את ההתראה כפתורה.

ריצה

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

אם הפעולה הצליחה:

'ההתראות הבאות נפתרו בהצלחה:{Alert IDs}

אם יש שגיאות:

'אירעו כמה שגיאות. צריך לבדוק את היומן'.

אם הפעולה נכשלה:

'לא נפתרו התראות'

 כללי

סגירת ההתראה

תיאור

הפעולה משמשת לסגירת התראה באבטחת אפליקציות בענן, שלא נחשבת למעניינת או לרלוונטית.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת מחדל חובה תיאור
מזהה התראה String לא רלוונטי כן מזהה ייחודי של ההתראה. הפרמטר מקבל מזהה התראה יחיד.
תגובה String לא רלוונטי לא תגובה להסבר למה ההתראה נדחתה.

תרחישים לדוגמה

שני משתמשים שונים נכנסים ל-Office 365 Cloud App Security באמצעות אותו חשבון משתי מדינות שונות. כתוצאה מכך, המערכת מציגה התראה על כך שהתרחש מסלול נסיעה בלתי אפשרי. עם זאת, שני המשתמשים האלה כבר מוכרים ומאושרים, ולכן ההתראה לא רלוונטית. לכן ההתראה נסגרת.

השלבים ב-Google SecOps:

  1. ההתראה מוזנת למערכת על ידי מחבר.
  2. המשתמש פותח את ההתראה ומתחיל לחקור כדי לאשר את שמות המשתמשים של המשתמשים המעורבים ואת המיקומים שמהם הם נכנסים לחשבון.
  3. המשתמש מרוצה מהזהות ומהמיקום שלו, ולכן הוא סוגר את ההתראה.

ריצה

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

אם הפעולה הצליחה:

'ההתראה הבאה נדחתה בהצלחה:{Alert ID}

אם יש שגיאות:

'אירעו כמה שגיאות. צריך לבדוק את היומן'.

אם הפעולה נכשלה:

'לא נסגרו התראות'

 כללי

תיאור

הפעולה משמשת להצגת פעילויות שקשורות לכתובת IP.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת מחדל חובה תיאור
מגבלת התצוגה של הפעילות String 10 לא הגבלה על מספר הפעילויות שיוצגו.
שם המוצר String הכל לא רשימת מוצרים שבה המשתמש יכול לבחור אפליקציה שמחוברת ל-CloudAppSecurity כדי לקבל פעילויות שקשורות ל-IP של אפליקציה ספציפית שנבחרה. שם המוצר צריך להיות מומר/ממופה לקוד המוצר במסנני הפעולות. לדוגמה, אם נבחר Office 365, צריך להמיר אותו ל-11161.
מסגרת זמן String 24 כן מציינים את הערך כדי לאחזר את מספר הפעילויות שהתרחשו לפי הערך שצוין של מספר השעות שחלפו.

תרחישים לדוגמה

המערכת מציגה התראה על "פעילות ממדינה לא שכיחה". כתובת ה-IP שקשורה לפעילות מצוינת בהתראה, והמשתמש רוצה לבדוק פעילות נוספת שקשורה לכתובת ה-IP הזו כדי לקבל עזרה בחקירה.

השלבים ב-Google SecOps:

  1. המערכת מקבלת התראה.
  2. מאירוע ההתראה, המשתמש מקבל עוד נתונים מועשרים מנתוני האירועים ומחליט לחקור את כתובת ה-IP שבה נעשה שימוש.
  3. המשתמש מחפש העשרה של כתובת IP כדי לבדוק את הפעילויות הקודמות שהיא הייתה מעורבת בהן.

ריצה

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
uid הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
eventRouting הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
appName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
eventType הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
internals הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
aadTenantId הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
סשן הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
createdRaw הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
userAgent הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
resolvedActor הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
description הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
יצירת אובייקט הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
severity הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
saasId הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
location הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
timestampRaw הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
eventTypeValue הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
description_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
חותמת זמן הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
eventTypeName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
משתמש הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
appId הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
מכשיר הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
description_metadata הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
סיווגים הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
ההגדרות האישיות נוצרו הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
entityData הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
tenantId הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
instantiationRaw הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
confidenceLevel הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
mainInfo הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": [
            {
                "uid": "88814735_1574155880562_520d653579254156823c4f21fe09a522",
                "eventRouting":
                {
                    "auditing": true
                },
                "appName": "Microsoft Cloud App Security",
                "eventType": 917504,
                "internals":
                {
                    "otherIPs": ["8.8.8.8"]
                },
                "aadTenantId": "d48f52ca-5b1a-4708-8ed0-ebb98a26a46a",
                "session":
                {
                    "sessionId": "ad0bd5e207f2aaa97e7438ec2f6086310e2577842e711cb2a101b724d83ddd83"
                },
                "createdRaw": 1574156346552,
                "userAgent":
                {
                    "major": "78",
                    "family": "CHROME",
                    "nativeBrowser": false,
                    "os": "mac_os",
                    "typeName": "Browser",
                    "version": "78.0.3904.97",
                    "deviceType": "DESKTOP",
                    "browser": "CHROME",
                    "type": "Browser",
                    "operatingSystem":
                    {
                        "name": "OS X",
                        "family": "Mac OS"
                    },
                    "minor": "0",
                    "name": "Chrome"
                },
                "resolvedActor":
                {
                    "resolved": true,
                    "name": "User Name - Test User Spec",
                    "tags": ["5da46fb69eb3f06b037b409a"],
                    "instanceId": "0",
                    "saasId": "11161",
                    "role": "4",
                    "objType": "23",
                    "id": "8ef1de18-71c0-4a88-88da-019c1fbf1308"
                },
                "description": "Log on",
                "instantiation": 1574156346470,
                "severity": "INFO",
                "saasId": 20595,
                "location":
                {
                    "category": 0,
                    "city": "SomeCity",
                    "countryCode": "AM",
                    "region": "SomeCity",
                    "longitude": 11.1111,
                    "anonymousProxy": false,
                    "regionCode": "ER",
                    "isSatelliteProvider": false,
                    "latitude": 11.1111,
                    "categoryValue": "NONE",
                    "organizationSearchable": "GNC-Alfa CJSC"
                },
                "timestampRaw": 1574155880562,
                "eventTypeValue": "EVENT_ADALLOM_LOGIN",
                "description_id": "EVENT_DESCRIPTION_LOGIN",
                "timestamp": 1574155880562,
                "eventTypeName": "EVENT_CATEGORY_LOGIN",
                "user":
                {
                    "userName": "SomeCity",
                    "userTags": ["5da46fb69eb3f06b037b409a"]
                },
                "appId": 20595,
                "device":
                {
                   "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.97 Safari/537.36",
                    "clientIP": "8.8.8.8",
                    "countryCode\": "AM"
                },
                "description_metadata":
                {
                    "dash": " ",
                    "colon": " ",
                    "event_category": "Log on"
                },
                "classifications": ["access"],
                "created": 1574156346552,
                "entityData":
                {
                    "1": null,
                    "0":
                    {
                        "resolved": true,
                        "displayName": "User Name - Test User Spec",
                        "id":
                        {
                            "saas": 11161, "inst": 0,
                            "id": "SomeCity"
                        }},
                    "2":
                    {
                        "resolved": true,
                        "displayName": "User Name - Test User Spec",
                        "id":
                        {
                            "saas": 11161,
                            "inst": 0,
                            "id": "8ef1de18-71c0-4a88-88da-019c1fbf1308"
                        }}},
                "tenantId": 88814735,
                "instantiationRaw": 1574156346470,
                "confidenceLevel": 30,
                "mainInfo":
                {
                    "eventObjects": [
                        {
                            "resolved": true,
                            "name": "User Name - Test User Spec",
                            "tags": [],
                            "instanceId": 0,
                            "saasId": 11161,
                            "role": 4,
                            "objType": 21,
                            "link": -407163459,
                            "id": "SomeCity"
                        }, {
                            "resolved": true,
                            "name": "User Name - Test User Spec",
                            "tags": ["5da46fb69eb3f06b037b409a"],
                            "instanceId": 0,
                            "saasId": 11161,
                            "role": 4,
                            "objType": 23,
                            "link": -407163459,
                            "id": "8ef1de18-71c0-4a88-88da-019c1fbf1308"
                        }],
                    "rawOperationName": "login",
                    "activityResult":
                    {
                        "isSuccess": true
                    },
                    "type": "login",
                    "prettyOperationName": "login"
                },
                "_id": "88814735_1574155880562_520d653579254156823c4f21fe09a522",
                "genericEventType": "ENUM_ACTIVITY_GENERIC_TYPE_LOGIN"
            }],
        "Entity": "7.7.7.7"
    }
]
Case Wall
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

אם הפעולה הצליחה:

'נשלפו פעילויות שקשורות למשתמש הבא:{username}'

אם יש שגיאות:

'אירעו כמה שגיאות. צריך לבדוק את היומן'.

אם הפעולה נכשלה:

'לא נמצאו פעילויות שקשורות להתראה'

 כללי
טבלה עמודות: פעילות, משתמש, מיקום, כתובת IP, מכשיר, תאריך כללי

תיאור

הפעולה משמשת להצגת פעילויות שקשורות למשתמש. שם המשתמש של המשתמש משמש בפעולה הזו.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת מחדל חובה תיאור
מגבלת התצוגה של הפעילות String 10 לא הגבלה על מספר הפעילויות שיוצגו.
מסגרת זמן String 24 כן מציינים את הערך כדי לאחזר את מספר הפעילויות שהתרחשו לפי הערך שצוין של מספר השעות שחלפו.
שם המוצר String הכל לא רשימת מוצרים שבה המשתמש יכול לבחור אפליקציה שמחוברת ל-CloudAppSecurity כדי לקבל פעילויות שקשורות למשתמש באפליקציה ספציפית שנבחרה. שם המוצר צריך להיות מומר/ממופה לקוד המוצר במסנני הפעולות. לדוגמה, אם נבחר Office 365, הוא צריך להיות מומר ל-11161.

תרחישים לדוגמה

המערכת מציגה התראה על "פעילות ממדינה לא שכיחה". שם המשתמש שמעורב מצוין, והמשתמש רוצה לבדוק פעילות נוספת שקשורה לשם המשתמש הזה כדי לקבל עזרה בחקירה.

השלבים ב-Google SecOps:

  1. המערכת מקבלת התראה.
  2. מאירוע ההתראה, המשתמש מקבל העשרות נוספות עם שם המשתמש של המשתמש, שיעזרו בחקירת הפעילות החריגה.
  3. המשתמש מחפש העשרה של נתוני המשתמש במונחים של פעילויות קודמות שהמשתמש היה מעורב בהן.

ריצה

הפעולה הזו מופעלת בישות User.

תוצאות הפעולה

העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
uid הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
eventRouting הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
appName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
eventType הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
internals הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
aadTenantId הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
סשן הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
createdRaw הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
userAgent הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
resolvedActor הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
description הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
יצירת אובייקט הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
severity הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
saasId הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
location הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
timestampRaw הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
eventTypeValue הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
description_id הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
חותמת זמן הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
eventTypeName הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
משתמש הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
appId הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
מכשיר הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
description_metadata הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
סיווגים הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
ההגדרות האישיות נוצרו הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
entityData הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
tenantId הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
instantiationRaw הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
confidenceLevel הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
mainInfo הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "EntityResult": [
            {
                "uid": "88814735_1574244328290_714fdcea1316483e88072f0f2a068ec7",
                "eventRouting":
                {
                    "auditing": true,
                    "adminEvent": true
                },
                "appName": "Microsoft Cloud App Security",
                "eventType": 917544,
                "internals":
                {
                    "otherIPs": ["8.8.8.8"]
                },
                "aadTenantId": "d48f52ca-5b1a-4708-8ed0-ebb98a26a46a",
                "session":
                {
                    "sessionId": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855"
                },
                "createdRaw": 1574244328339,
                "userAgent":
                {
                    "nativeBrowser": false,
                    "family": "UNKNOWN",
                    "os": "OTHER",
                    "typeName": "Unknown",
                    "deviceType": "OTHER",
                    "browser": "UNKNOWN",
                    "type": "Unknown",
                    "operatingSystem":
                    {
                        "name": "Unknown",
                        "family": "Unknown"
                    },
                    "name": "Unknown"
                },
                "resolvedActor":
                {
                    "resolved": true,
                    "name": "User Name - Test User Spec",
                    "tags": ["5da46fb69eb3f06b037b409a"],
                    "instanceId": "0",
                    "saasId": "11161",
                    "role": "4",
                    "objType": "23",
                    "id": "8ef1de18-71c0-4a88-88da-019c1fbf1308"
                },
                "description": "Dismiss alert <b>Impossible travel activity</b>",
                "instantiation": 1574244328322,
                "severity": "INFO",
                "saasId": 20595,
                "location":
                {
                    "category": 0,
                    "countryCode": "CY",
                    "longitude": 33.0,
                    "anonymousProxy": false,
                    "isSatelliteProvider": false,
                    "latitude": 11.0,
                    "categoryValue": "NONE",
                    "organizationSearchable": "SomeOrganization Ltd."
                },
                "adallom":
                {
                    "alertSeverityValue": 1,
                    "count": 1,
                    "sendFeedback": false,
                    "feedback": " ",
                    "alertDate": "2019-11-13T14:29:06.0520000Z",
                    "title": "Impossible travel activity",
                    "alertTypeId": 15859716,
                    "handledByUser": "some@address2.email",
                    "alertSeverity": 1,
                    "alertBulk": false,
                    "alertMongoId": "5dcc13ab47654055292459d7",
                    "alertTitle": "Impossible travel activity",
                    "contact_email": " ",
                    "allowContact": false,
                    "licenses": ["AdallomDiscovery",
                                 "AdallomStandalone",
                                 "AdallomForO365",
                                 "AdallomForAATP"],
                    "isBulkDismissed": false,
                    "dismissId": "5dd50fe869d303b914d188ca",
                    "alertTimestamp": 1573655346052,
                    "alertUid": "VelocityDetection|88814735_11161_0_8ef1de18-71c0-4a88-88da-019c1fbf1308|[2019-11-13]_[(SK,US)]",
                    "alertScore": "32",
                    "alertActor": "11161|0|8ef1de18-71c0-4a88-88da-019c1fbf1308"
                },
                "timestampRaw": 1574244328290,
                "eventTypeValue": "EVENT_ADALLOM_ALERT_DISMISSED",
                "tags": ["000000110000000000000000"],
                "description_id": "EVENT_ADALLOM_ALERT_DISMISSED",
                "timestamp": 1574244328290,
                "eventTypeName": "EVENT_CATEGORY_DISMISS_ALERT",
                "user":
                {
                    "userName": "some@address2.email",
                    "userTags": ["5da46fb69eb3f06b037b409a"]
                },
                "appId": 20595,
                "device":
                {
                    "userAgent": "unknown",
                    "clientIP": "8.8.8.8",
                    "countryCode": "CY"
                },
                "description_metadata":
                {
                    "adallom_title": "Impossible travel activity"
                },
                "classifications": [],
                "created": 1574244328339,
                "entityData":
                {
                    "1": null,
                    "0":
                    {
                        "resolved": true,
                        "displayName": "User Name - Test User Spec",
                        "id":
                        {
                            "saas": 11161,
                            "inst": 0,
                            "id": "some@address2.email"
                        }},
                    "2":
                    {
                        "resolved": true,
                        "displayName": "User Name - Test User Spec",
                        "id":
                        {
                            "saas": 11161,
                            "inst": 0,
                            "id": "8ef1de18-71c0-4a88-88da-019c1fbf1308"
                        }}},
                "tenantId": 88814735,
                "instantiationRaw": 1574244328322,
                "mainInfo":
                {
                    "eventObjects": [
                        {
                            "resolved": true,
                            "name": "User Name - Test User Spec",
                            "tags": [],
                            "instanceId": 0,
                            "saasId": 11161,
                            "role": 4,
                            "objType": 21,
                            "link": -407163459,
                            "id": "some@address2.email"
                        }, {
                            "resolved": true,
                            "name": "User Name - Test User Spec",
                            "tags": ["5da46fb69eb3f06b037b409a"],
                            "instanceId": 0,
                            "saasId": 11161,
                            "role": 4,
                            "objType": 23,
                            "link": -407163459,
                            "id": "8ef1de18-71c0-4a88-88da-019c1fbf1308"
                        }],
                    "type": "unknown"
                },
                "_id": "88814735_1574244328290_714fdcea1316483e88072f0f2a068ec7",
                "genericEventType": "ENUM_ACTIVITY_GENERIC_TYPE_UNKNOWN"
            },
            "Entity": "some@email.address"
            }
]
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

אם הפעולה הצליחה:

נשלפו פעילויות שקשורות להתראה עבור כתובת ה-IP הבאה:{ip}'

אם יש שגיאות:

'אירעו כמה שגיאות. צריך לבדוק את היומן'.

אם הפעולה נכשלה:

'לא נמצאו פעילויות שקשורות להתראה'

 כללי
טבלה עמודות: פעילות, משתמש, מיקום, כתובת IP, מכשיר, תאריך

כללי

פינג

תיאור

הפעולה משמשת לבדיקת הקישוריות.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

המשתמש משנה את הגדרות המערכת ורוצה לבדוק אם החיבור עם ההגדרות החדשות מצליח.

השלבים ב-Google SecOps:

  1. שינוי הגדרות המערכת.
  2. בדיקת הקישוריות.

ריצה

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאות JSON
N/A

סגור התראה

תיאור

סגירת ההתראה ב-Microsoft Cloud App Security.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת מחדל חובה תיאור
מזהה התראה String לא רלוונטי כן מציינים את המזהה של ההתראה שרוצים לסגור ולסמן כהתראה שאינה זדונית.
תגובה String לא רלוונטי לא מציינים תגובה שמסבירה למה ההתראות נסגרו וסומנו כלא מזיקות.
מדינה DDL

תוצאה חיובית אמיתית

ערכים אפשריים:

שפיר

תוצאה חיובית כוזבת

תוצאה חיובית אמיתית

 כן מציינים מה צריך להיות מצב ההתראה.
סיבה DDL

אין סיבה

ערכים אפשריים:

אין סיבה

מידת החומרה בפועל נמוכה יותר

אחר

אושר על ידי משתמש הקצה

הופעלה על ידי בדיקה

לא מעניין

יותר מדי התראות דומות

ההתראה לא מדויקת

 לא מציינים את הסיבה לסגירת ההתראה. הערה: לפרמטר הזה אין השפעה אם המצב הוא True Positive.

ריצה

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאה ערך/תיאור סוג

הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההפעלה של playbook:
if closed_benign/close_false_positive/close_true_positive > 0(is_success=true): "Successfully closed alert with ID {alert id } in Microsoft Cloud App Security".

הפעולה תיכשל ותפסיק את ההפעלה של playbook:
if critical error: "Error executing action "{}". Reason: " {0}".format(exception.stacktrace)

אם closed_benign/close_false_positive/close_true_positive == 0: "Error executing action "{}". Reason: alert with ID {alert ID} was not found in Microsoft Cloud App Security"

אם הסיבה שגויה לסטטוס 'שפיר': 'שגיאה בהפעלת הפעולה '{}'. סיבה: נבחר ערך לא תקין בפרמטר 'סיבה' לסטטוס 'שפיר'. ערכים תקינים: No Reason, Actual Severity Is Lower, Other, Confirmed With End User, Triggered By Test."

אם הסיבה שצוינה למצב 'תוצאת שווא חיובית' שגויה: 'שגיאה בהפעלת הפעולה '{}'. סיבה: נבחר ערך לא תקין בפרמטר 'סיבה' למצב 'תוצאת שווא חיובית'. ערכים תקינים: No Reason (ללא סיבה), Not Of Interest (לא מעניין), Too Many Similar Alerts (יותר מדי התראות דומות), Alert Is Not Accurate (ההתראה לא מדויקת), Other (אחר)."

 כללי

העשרת ישויות

תיאור

העשרת ישויות באמצעות מידע מ-Microsoft Cloud App Security. ישויות נתמכות: שם משתמש.

פרמטרים

לא רלוונטי

הפעלה ב-

הפעולה הזו מופעלת על הישות Username (שם משתמש).

תוצאות הפעולה

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "type": 2,
    "status": 2,
    "displayName": "Aviel",
    "id": "2600d017-84a1-444f-94ba-4bebed30b09e",
    "_id": "5ea18b77c84b3e8dd20ead9b",
    "userGroups": [
        {
            "_id": "5da46fb69eb3f06b037b409b",
            "id": "5da46fb69eb3f06b037b409a",
            "name": "Office 365 administrator",
            "description": "Company administrators, user account administrators, helpdesk administrators, service support administrators, and billing administrators",
            "usersCount": 20,
            "appId": 11161
        }
    ],
    "identifiers": [],
    "sid": null,
    "appData": {
        "appId": 11161,
        "name": "Office 365",
        "saas": 11161,
        "instance": 0
    },
    "isAdmin": true,
    "isExternal": false,
    "email": "john.doe@siemplifycyarx.onmicrosoft.com",
    "role": "Global Administrator",
    "organization": null,
    "domain": "siemplifycyarx.onmicrosoft.com",
    "scoreTrends": {
        "20220609": {}
    },
    "subApps": [],
    "threatScore": 0,
    "idType": 1,
    "isFake": false,
    "ii": "11161|0|2600d017-84a1-444f-94ba-4bebed30b09e",
    "actions": [
        {
            "task_name": "ConfirmUserCompromisedTask",
            "display_title": "TASKS_ADALIBPY_CONFIRM_USER_COMPROMISED_DISPLAY_TITLE",
            "type": "user",
            "governance_type": null,
            "bulk_support": null,
            "has_icon": true,
            "display_description": {
                "template": "TASKS_ADALIBPY_CONFIRM_USER_COMPROMISED_DISPLAY_DESCRIPTION_O365",
                "parameters": {
                    "user": "john.doe@siemplifycyarx.onmicrosoft.com"
                }
            },
            "bulk_display_description": "TASKS_ADALIBPY_CONFIRM_USER_COMPROMISED_BULK_DISPLAY_DESCRIPTION_O365",
            "preview_only": false,
            "display_alert_text": "TASKS_ADALIBPY_CONFIRM_USER_COMPROMISED_DISPLAY_ALERT_TEXT",
            "display_alert_success_text": "TASKS_ADALIBPY_CONFIRM_USER_COMPROMISED_DISPLAY_ALERT_SUCCESS_TEXT",
            "is_blocking": null,
            "confirm_button_style": "red",
            "optional_notify": null,
            "uiGovernanceCategory": null,
            "alert_display_title": null,
            "confirmation_button_text": null,
            "confirmation_link": null
        }
    ],
    "username": "{\"id\": \"2600d017-84a1-444f-94ba-4bebed30b09e\", \"saas\": 11161, \"inst\": 0}",
    "sctime": 1655255102926,
    "accounts": [
        {
            "_id": "fa-5ea18b77c84b3e8dd20ead9b-12260",
            "i": "2600d017-84a1-444f-94ba-4bebed30b09e",
            "ii": "11161|0|2600d017-84a1-444f-94ba-4bebed30b09e",
            "inst": 0,
            "saas": 12260,
            "t": 1,
            "dn": "Aviel",
            "ext": false,
            "s": 2,
            "aliases": [
                "2600d017-84a1-444f-94ba-4bebed30b09e",
                "aviel",
                "john.doe@siemplifycyarx.onmicrosoft.com",
                "john.doe"
            ],
            "isFake": true,
            "pa": "john.doe@siemplifycyarx.onmicrosoft.com",
            "em": "john.doe@siemplifycyarx.onmicrosoft.com",
            "sublst": [],
            "p": "11161|0|2600d017-84a1-444f-94ba-4bebed30b09e",
            "appData": {
                "appId": 12260,
                "name": "Microsoft Azure"
            },
            "actions": []
        }
    ],
    "threatScoreHistory": [
        {
            "dateFormatted": "20220719",
            "dateUtc": 1658238168000,
            "score": 0,
            "percentile": 0,
            "breakdown": {}
        }
    ]
}
העשרה של ישויות – הקידומת MCAS_
שם שדה ההעשרה לוגיקה – מתי להחיל
is_admin isAdmin כשהוא זמין ב-JSON
is_external isExternal כשהוא זמין ב-JSON
תפקיד תפקיד כשהוא זמין ב-JSON
אימייל אימייל כשהוא זמין ב-JSON
דומיין דומיין כשהוא זמין ב-JSON
threat_score threatScore כשהוא זמין ב-JSON
is_fake isFake כשהוא זמין ב-JSON
Case Wall
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם הנתונים זמינים עבור ישות אחת (is_success=true): "Successfully enriched the following entities using information from Microsoft Cloud App Security: {entity.identifier}".

אם הנתונים לא זמינים עבור ישות אחת (is_success=true): "לא הייתה אפשרות להעשיר את הישויות הבאות באמצעות מידע מ-Microsoft Cloud App Security: {entity.identifier}".

אם הנתונים לא זמינים לכל הישויות (is_success=false): "אף אחת מהישויות שסופקו לא עברה העשרה".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת פרטים לישויות'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
Case Wall Table

שם הטבלה: {entity.identifier}

עמודות הטבלה:

  • מפתח
  • ערך
 ישות

יצירת טווח של כתובות IP

תיאור

יוצרים טווח של כתובות IP ב-Microsoft Cloud App Security.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן מציינים את השם של טווח כתובות ה-IP.
קטגוריה DDL

תאגידים

ערכים אפשריים:

  • תאגידים
  • מנהלי
  • VPN מסוכן
  • ספק שירותי ענן
  • אחר
 כן מציינים את הקטגוריה של טווח כתובות ה-IP.
ארגון String לא רלוונטי לא מציינים את הארגון שאליו משויך טווח כתובות ה-IP.
תת-רשתות CSV לא רלוונטי כן מציינים רשימה של תת-רשתות שמופרדות בפסיקים לטווח כתובות ה-IP.
תגים CSV לא רלוונטי לא מציינים רשימה מופרדת בפסיקים של תגים עבור טווח כתובות ה-IP.

הפעלה ב-

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "_id": "62d684ac92adb26e3a84dd52",
    "name": "range name",
    "subnets": [
        {
            "mask": 120,
            "address": "0000:0000:0000:0000:0000:ffff:c0a8:0100",
            "originalString": "192.168.1.0/24"
        },
        {
            "mask": 112,
            "address": "0000:0000:0000:0000:0000:ffff:c0a8:0000",
            "originalString": "192.168.2.0/16"
        }
    ],
    "location": null,
    "organization": "Microsoft",
    "tags": [
        {
            "_id": "62d684ac6025f11b4b3a4a3b",
            "_tid": 88814735,
            "name": "existing tag",
            "target": 1,
            "type": 0,
            "id": "62d684ac92adb26e3a84dd51",
            "status": 0
        }
    ],
    "category": 5,
    "lastModified": 1658225836921.4104,
    "_tid": 88814735
}
Case Wall
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם קוד הסטטוס 200 מדווח (is_success=true): "Successfully created an IP Address Range in Microsoft Cloud App Security ".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית: "Error executing action "{}". Reason: " {0}".format(exception.stacktrace)

אם השגיאה מדווחת בתגובה: "Error executing action "{}". Reason: " {0}".format(csv of errors/error)

 כללי

הוספת כתובת IP לטווח כתובות IP

תיאור

מוסיפים כתובת IP לטווח כתובות IP ב-Microsoft Cloud App Security. ישויות נתמכות: כתובת IP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן מציינים את השם של טווח כתובות ה-IP שרוצים לעדכן.

הפעלה ב-

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "_id": "62d684ac92adb26e3a84dd52",
    "name": "range name",
    "subnets": [
        {
            "mask": 120,
            "address": "0000:0000:0000:0000:0000:ffff:c0a8:0100",
            "originalString": "192.168.1.0/24"
        },
        {
            "mask": 112,
            "address": "0000:0000:0000:0000:0000:ffff:c0a8:0000",
            "originalString": "192.168.2.0/16"
        }
    ],
    "location": null,
    "organization": "Microsoft",
    "tags": [
        {
            "_id": "62d684ac6025f11b4b3a4a3b",
            "_tid": 88814735,
            "name": "existing tag",
            "target": 1,
            "type": 0,
            "id": "62d684ac92adb26e3a84dd51",
            "status": 0
        }
    ],
    "category": 5,
    "lastModified": 1658225836921.4104,
    "_tid": 88814735
}
Case Wall
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם הפעולה הצליחה עבור ישות אחת (is_success=true):

"הוספנו בהצלחה את כתובות ה-IP הבאות לטווח כתובות ה-IP של {name} ב-Microsoft Cloud App Security:‏ {entity.identifier}".

אם הפעולה לא הצליחה עבור ישות אחת (is_success=true):

"Action wasn't able to add the following IPs to the {name} IP Address Range in Microsoft Cloud App Security: {entity.identifier}".

אם כתובת ה-IP כבר קיימת (is_success=true):

"כתובות ה-IP הבאות כבר כלולות בטווח כתובות ה-IP של {name} ב-Microsoft Cloud App Security:‏ {entity.identifier}".

אם לא נוספו כתובות IP (is_success=false):

print "None of the IPs were added to the IP Address Range in Microsoft Cloud App Security."

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית: "Error executing action "{}". Reason: " {0}".format(exception.stacktrace)

אם טווח כתובות ה-IP לא נמצא: "Error executing action "{}". Reason: IP address range {name} wasn't found in Microsoft Cloud App Security. כדאי לבדוק את האיות". {0}".format(exception.stacktrace)

 כללי

הסרת כתובת IP מטווח כתובות IP

תיאור

מסירים כתובת IP מטווח כתובות IP ב-Microsoft Cloud App Security. יחידות נתמכות: כתובת IP.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן מציינים את השם של טווח כתובות ה-IP שרוצים לעדכן.

הפעלה ב-

הפעולה הזו מופעלת על ישות של כתובת IP.

תוצאות הפעולה

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "_id": "62d684ac92adb26e3a84dd52",
    "name": "range name",
    "subnets": [
        {
            "mask": 120,
            "address": "0000:0000:0000:0000:0000:ffff:c0a8:0100",
            "originalString": "192.168.1.0/24"
        },
        {
            "mask": 112,
            "address": "0000:0000:0000:0000:0000:ffff:c0a8:0000",
            "originalString": "192.168.2.0/16"
        }
    ],
    "location": null,
    "organization": "Microsoft",
    "tags": [
        {
            "_id": "62d684ac6025f11b4b3a4a3b",
            "_tid": 88814735,
            "name": "existing tag",
            "target": 1,
            "type": 0,
            "id": "62d684ac92adb26e3a84dd51",
            "status": 0
        }
    ],
    "category": 5,
    "lastModified": 1658225836921.4104,
    "_tid": 88814735
}
Case Wall
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם הפעולה בוצעה בהצלחה עבור ישות אחת (is_success=true): "Successfully removed the following IPs from the {name} IP Address Range in Microsoft Cloud App Security: {entity.identifier}".

אם הפעולה לא הצליחה עבור ישות אחת (is_success=true):

"הפעולה לא הצליחה למצוא ולהסיר את כתובות ה-IP הבאות מטווח כתובות ה-IP ‏{name} ב-Microsoft Cloud App Security:‏ {entity.identifier}".

אם התגובה לא הצליחה עבור כל הישויות (is_success=true):

"אף אחת מכתובות ה-IP לא נמצאה ולא הוסרה ב-Microsoft Cloud App Security".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית: "Error executing action "{}". Reason: " {0}".format(exception.stacktrace)

אם טווח הכתובות לא נמצא: "Error executing action "{}". Reason: IP address range {name} wasn't found in Microsoft Cloud App Security. כדאי לבדוק את האיות". {0}".format(exception.stacktrace)

 כללי

רשימת קבצים

תיאור

רשימת הקבצים שזמינים ב-Microsoft Cloud App Security.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מפתח סינון DDL

יש לבחור טווח

ערכים אפשריים:

  • מזהה
  • שם קובץ
  • סוג הקובץ
  • שיתוף סטטוס
 לא

מציינים את המפתח שבו רוצים להשתמש כדי לסנן קבצים.

הערכים האפשריים של 'סוג קובץ': Other,‏ Document,‏ Spreadsheet,‏ Presentation,‏ Text,‏ Image,‏ Folder.

הערכים האפשריים של 'סטטוס השיתוף': ציבורי (אינטרנט),ציבורי,חיצוני,פנימי,פרטי.
לוגיקת הסינון DDL

לא צוינה

ערכים אפשריים:

  • לא צוינה
  • שווה
  • מכיל
 לא

מציינים את לוגיקת הסינון שרוצים להחיל.

לוגיקת הסינון מבוססת על הערך שצוין בפרמטר Filter Key (מפתח סינון).

הערה: רק מפתחות המסנן 'שם הקובץ' ו'מזהה' פועלים עם הלוגיקה 'מכיל'.
ערך המסנן String לא רלוונטי לא

מציינים את הערך שבו רוצים להשתמש במסנן.

אם בוחרים באפשרות 'שווה ל', המערכת מנסה למצוא את ההתאמה המדויקת בין התוצאות.

אם האפשרות 'מכיל' נבחרה, הפעולה מנסה למצוא תוצאות שמכילות את מחרוזת המשנה הזו.

אם לא מציינים ערך בפרמטר הזה, המסנן לא מופעל.

לוגיקת הסינון מבוססת על הערך שצוין בפרמטר Filter Key (מפתח סינון).
מספר הרשומות המקסימלי להחזרה מספר שלם 50 לא

מציינים את מספר הרשומות שיוחזרו.

אם לא מספקים כלום, הפעולה מחזירה 50 רשומות.

הערה: בלוגיקה של 'מכיל', המחבר בודק רק 1,000 תוצאות להתאמה.

הפעלה ב-

הפעולה הזו לא מופעלת בישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "_id": "62cffdf1c0ff22b978334963",
    "_tid": 88814735,
    "appId": 15600,
    "id": "c58ea974-5511-4cf3-b12b-e1e0cabce8a0|187525f2-5280-4076-adc7-c85311daed1a",
    "alternateLink": "https://siemplifycyarx-my.sharepoint.com/personal/james_bond_siemplifycyarx_onmicrosoft_com/Documents/Malvertisement-master",
    "collaborators": [],
    "createdDate": 1657797767000,
    "domains": [
        "siemplifycyarx.onmicrosoft.com"
    ],
    "driveId": "c58ea974-5511-4cf3-b12b-e1e0cabce8a0|eca285b0-1cc1-49e5-a178-7a77507cbdea",
    "effectiveParents": [
        "c58ea974-5511-4cf3-b12b-e1e0cabce8a0|862dfe31-b358-4e27-9660-52ed97fb4955",
        "c58ea974-5511-4cf3-b12b-e1e0cabce8a0|eca285b0-1cc1-49e5-a178-7a77507cbdea"
    ],
    "emails": [
        "james.bond@siemplifycyarx.onmicrosoft.com"
    ],
    "externalShares": [],
    "facl": 0,
    "fileAccessLevel": [
        0,
        "PRIVATE"
    ],
    "filePath": "/personal/james_bond_siemplifycyarx_onmicrosoft_com/Documents/Malvertisement-master",
    "fileSize": null,
    "fileStatus": [
        0,
        "EXISTS"
    ],
    "fstat": 0,
    "graphId": "016XQ77WHSEV2RRACSOZAK3R6IKMI5V3I2",
    "groupIds": [],
    "groups": [],
    "instId": 0,
    "isFolder": true,
    "isForeign": false,
    "listId": "374dcd9b-dcff-46c6-b927-ad5411695361",
    "modifiedDate": 1657797768000,
    "name": "Malvertisement-master",
    "noGovernance": false,
    "ownerAddress": "james.bond@siemplifycyarx.onmicrosoft.com",
    "ownerExternal": false,
    "ownerName": "ג&#39;יימס בונד",
    "parentId": "c58ea974-5511-4cf3-b12b-e1e0cabce8a0|862dfe31-b358-4e27-9660-52ed97fb4955",
    "parentIds": [
        "c58ea974-5511-4cf3-b12b-e1e0cabce8a0|862dfe31-b358-4e27-9660-52ed97fb4955"
    ],
    "saasId": 15600,
    "scanVersion": 4,
    "sharepointItem": {
        "UniqueId": "187525f2-5280-4076-adc7-c85311daed1a",
        "hasUniqueRoleAssignments": false,
        "Author": {
            "name": "ג&#39;יימס בונד",
            "idInSiteCollection": "4",
            "sipAddress": "james.bond@siemplifycyarx.onmicrosoft.com",
            "sourceBitmask": 0,
            "trueEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "externalUser": false,
            "oneDriveEmail": "james.bond@siemplifycyarx.onmicrosoft.com",
            "LoginName": "i:0#.f|membership|james.bond@siemplifycyarx.onmicrosoft.com",
            "Email": "james.bond@siemplifycyarx.onmicrosoft.com",
            "Title": "ג&#39;יימס בונד"
        }
    },
    "siteCollection": "/personal/james_bond_siemplifycyarx_onmicrosoft_com",
    "siteCollectionId": "c58ea974-5511-4cf3-b12b-e1e0cabce8a0",
    "sitePath": "/personal/james_bond_siemplifycyarx_onmicrosoft_com",
    "snapshotLastModifiedDate": "2022-07-14T13:12:14.906Z",
    "spDomain": "https://siemplifycyarx-my.sharepoint.com",
    "unseenScans": 0,
    "cabinetMatchedRuleVersions": [
        "605362e8dace7f169f3b05b0"
    ],
    "cabinetState": [
        "605362e8dace7f169f3b05b1"
    ],
    "lastGlobalMatchDate": "2022-07-14T11:29:11.206Z",
    "name_l": "malvertisement-master",
    "originalId": "62cffdf1c0ff22b978334963",
    "dlpScanResults": [],
    "fTags": [],
    "enriched": true,
    "display_collaborators": [],
    "appName": "Microsoft OneDrive for Business",
    "actions": [
        {
            "task_name": "RescanFileTask",
            "display_title": "TASKS_ADALIBPY_RESCAN_FILE_DISPLAY_TITLE",
            "type": "file",
            "governance_type": null,
            "bulk_support": true,
            "has_icon": true,
            "display_description": null,
            "bulk_display_description": null,
            "preview_only": false,
            "display_alert_text": null,
            "display_alert_success_text": null,
            "is_blocking": null,
            "confirm_button_style": "red",
            "optional_notify": null,
            "uiGovernanceCategory": 0,
            "alert_display_title": null,
            "confirmation_button_text": null,
            "confirmation_link": null
        }
    ]
}
Case Wall
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה:

אם הנתונים זמינים (is_success=true): "Successfully found files for the provided criteria in Microsoft Cloud App Security".

אם הנתונים לא זמינים (is_success=false): "לא נמצאו קבצים לפי הקריטריונים שצוינו ב-Microsoft Cloud App Security"

אם הפרמטר Filter Value ריק (is_success=true):

"המסנן לא הוחל כי לפרמטר 'ערך המסנן' אין ערך".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם 'מקש הסינון' מוגדר ל'בחירת אפשרות אחת' ו'לוגיקת הסינון' מוגדרת ל'שווה' או ל'מכיל': שגיאה בהפעלת הפעולה '{שם הפעולה}'. הסיבה: צריך לבחור שדה מהפרמטר Filter Key (מפתח מסנן).

אם צוין ערך לא חוקי לפרמטר 'מספר הרשומות המקסימלי להחזרה': 'שגיאה בהפעלת הפעולה '{שם הפעולה}'. סיבה: צוין ערך לא חוקי עבור 'מספר הרשומות המקסימלי להחזרה': . צריך לציין מספר חיובי".

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת:

‫"Error executing action "{action name}". הסיבה: {0}''.format(error.Stacktrace)

אם 'מפתח המסנן' מוגדר כ'שיתוף סטטוס' או כ'סוג קובץ', ו'לוגיקת המסנן' מוגדרת כ'מכיל': 'שגיאה בהפעלת הפעולה {שם הפעולה}'. סיבה: רק 'מזהה' ו'שם קובץ' נתמכים בלוגיקת הסינון 'מכיל'.

אם צוין ערך לא תקין לפרמטר Share Status: "שגיאה בהפעלת הפעולה {שם הפעולה}". הסיבה: צוין ערך לא תקין למסנן 'שיתוף סטטוס'. ערכים אפשריים: ציבורי (אינטרנט), ציבורי, חיצוני, פנימי, פרטי".

אם צוין ערך לא תקין לפרמטר Share Status: "שגיאה בהפעלת הפעולה {שם הפעולה}". הסיבה: צוין ערך לא תקין למסנן 'שיתוף סטטוס'. הערכים האפשריים של 'סוג קובץ': אחר, מסמך, גיליון אלקטרוני, מצגת, טקסט, תמונה, תיקייה.

 כללי
Case Wall Table

שם הטבלה: קבצים זמינים

עמודות הטבלה:

  • שם – name
  • שם הבעלים – בעלים
  • שם הבעלים
  • אימייל – בעלים
  • קישור לכתובת – חלופי
  • קישור האפליקציה – אפליקציה
  • Name Folder - isFolder
  • מועד היצירה – createdDate
  • מועד השינוי – modifiedDate
 כללי

מחברים

מחבר Office 365 Cloud App Security

תיאור

מחבר Office 365 Cloud App Security קולט התראות שנוצרות בפלטפורמת Office 365 CloudApp Security לשרת Google SecOps.

הגדרה של מחבר Office 365 Cloud App Security ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
סביבה DDL לא רלוונטי כן

בוחרים את הסביבה הנדרשת. לדוגמה, 'לקוח מספר אחד'.

אם השדה Environment (סביבה) בהתראה ריק, ההתראה תוזרק לסביבה הזו.
תדירות ההרצה מספר שלם 0:0:0:10 לא בוחרים את השעה להפעלת החיבור.
שם שדה המוצר String לא נתמך כן אין תמיכה כרגע. המוצר ימולא בתווית של ישות סוג השירות של ההתראה.
שם השדה של האירוע String description כן שם השדה שמשמש לקביעת שם האירוע (סוג משנה).
זמן קצוב לתפוגת סקריפט (בשניות) String 60 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי (בשניות).
כתובת ה-URL של פורטל Cloud App Security String לא רלוונטי כן כתובת ה-URL של פורטל Office 365 Cloud App Security.
טוקן API סיסמה לא רלוונטי כן אסימון API שישמש לאימות ב-Office 365 Cloud App Security.
אימות SSL תיבת סימון לא מסומן לא אימות אישורי SSL לבקשות HTTPS אל Office 365 Cloud App Security.
מספר ההתראות המקסימלי בכל מחזור מספר שלם 10 כן כמה התראות צריך לעבד במהלך הפעלה אחת של המחבר. ברירת מחדל: 10.
הזמן שחלף בשעות מספר שלם 24 כן שליפת התראות מ-X שעות אחורה. ערך ברירת המחדל: 24 שעות.
שם השדה בסביבה String לא רלוונטי לא מתאר את שם השדה שבו מאוחסן שם הסביבה.
תבנית ביטוי רגולרי (regex) של סביבה מספר שלם לא רלוונטי לא אם מוגדר – המחבר יטמיע את תבנית הביטוי הרגולרי הספציפית בנתונים מ'שדה הסביבה' כדי לחלץ מחרוזת ספציפית. לדוגמה – חילוץ דומיין מכתובת השולח: "(?<=@)(\S+$)
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש של שרת ה-Proxy String לא רלוונטי לא שם המשתמש של ה-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של Connectors

תמיכה ב-Proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.