本頁面由 Cloud Translation API 翻譯而成。

Palo Alto Cortex XDR

整合版本：15.0

設定 Palo Alto Cortex XDR，以便與 Google Security Operations 搭配使用

憑證

取得 Cortex XDR API 金鑰的方法如下：

前往「設定」。
選取「+ 新增金鑰」。
選擇要產生的 API 金鑰類型 (「進階」「僅限」)。
提供說明 API 金鑰用途的註解 (選用)。
選取這個金鑰的所需存取層級。
產生 API 金鑰。
複製 API 金鑰，然後按一下「完成」。

如要取得 Cortex XDR API 金鑰 ID，請按照下列步驟操作：

前往「API Keys」表格 >「ID」欄。
記下對應的 ID 編號。這個值代表 x-xdr-auth-id:{key_id} 權杖。

在 Google SecOps 中設定 Palo Alto Cortex XDR 整合

如需在 Google SecOps 中設定整合功能的詳細操作說明，請參閱「設定整合功能」。

整合參數

請使用下列參數設定整合：

參數顯示名稱	類型	預設值	為必填項目	說明
API 根層級	字串	https://api-{fqdn}	是	Palo Alto Networks Cortex XDR API 根目錄。注意：FQDN 代表與每個租戶相關聯的專屬主機和網域名稱。產生 API 金鑰和金鑰 ID 時，系統會指派專屬的 FQDN。
API 金鑰	密碼	不適用	是	專屬 ID，用做驗證 API 呼叫時所需的「Authorization:{key}」標頭。您可以根據安全等級，從 Cortex XDR 應用程式產生進階 API 金鑰。
API 金鑰 ID	整數	3	是	用於驗證 API 金鑰的專屬權杖。執行 API 呼叫時使用的標頭為「x-xdr-auth-id:{key_id}」。
驗證 SSL	核取方塊	已取消勾選	是	驗證 SSL/TLS 連線的選項。

動作

乒乓

測試與 Palo Alto Networks Cortex XDR 的連線。

參數

不適用

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
is_connected	True/False	is_connected:False

JSON 結果

N/A

查詢

擷取特定事件的資料，包括快訊和重要構件。

參數

參數	類型	預設值	說明
事件 ID	字串	不適用	要擷取資料的事件 ID。

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
incident_alerts_count	不適用	不適用

JSON 結果

{
    "file_artifacts":
    {
        "total_count": 2,
        "data": [
            {
                "file_signature_status": "SIGNATURE_SIGNED",
                "is_process": "true",
                "is_malicious": "false",
                "is_manual": "false",
                "file_name": "cmd.exe",
                "file_signature_vendor_name": "Microsoft Corporation",
                "file_sha256": "6f88fb88ffb0f1d5465c2826e5b4f523598b1b8378377c8378ffebc171bad18b",
                "type": "HASH",
                "file_wildfire_verdict": "BENIGN",
                "alert_count": 1
            }, {
                "file_signature_status": "SIGNATURE_SIGNED",
                "is_process": "true",
                "is_malicious": "false",
                "is_manual": "false",
                "file_name": "WmiPrvSE.exe",
                "file_signature_vendor_name": "Microsoft Corporation",
                "file_sha256": "25dfb8168246e5d04dd6f124c95e4c4c4e8273503569acd5452205558d099871",
                "type": "HASH",
                "file_wildfire_verdict": "BENIGN",
                "alert_count": 1
            }]},
    "incident": {
        "status": "new",
        "incident_id": "1645",
        "user_count": 1,
        "assigned_user_mail": " ",
        "severity": "high",
        "resolve_comment": " ",
        "assigned_user_pretty_name": " ",
        "notes": " ",
        "creation_time": 1564877575921,
        "alert_count": 1,
        "med_severity_alert_count": 0,
        "detection_time": " ",
        "modification_time": 1564877575921,
        "manual_severity": " ",
        "xdr_url": "https://ac997a94-5e93-40ea-82d9-6a615038620b.xdr.us.paloaltonetworks.com/incident-view/1645",
        "manual_description": " ",
        "low_severity_alert_count": 0,
        "high_severity_alert_count": 1,
        "host_count": 1,
        "description": "WMI Lateral Movement generated by BIOC detected on host ILCSYS31 involving user ILLICIUM\\\\ibojer"
    },
    "alerts": {
        "total_count": 1,
        "data": [
            {
                "action_pretty": "Detected",
                "description": "Process action type = execution AND name = cmd.exe Process name = wmiprvse.exe, cgo name = wmiprvse.exe",
                "host_ip": "10.0.50.31",
                "alert_id": "21631",
                "detection_timestamp": 1564877525123,
                "name": "WMI Lateral Movement",
                "category": "Lateral Movement",
                "severity": "high",
                "source": "BIOC",
                "host_name": "ILCSYS31",
                "action": "DETECTED",
                "user_name": "ILLICIUM\\\\ibojer"
            }]},
    "network_artifacts": {
        "total_count": 0,
        "data": []
    }
}

解決事件

能夠關閉 XDR 事件，並提供關閉原因。

參數

參數	類型	預設值	說明
事件 ID	字串	不適用	要更新的事件 ID。
狀態	清單	UNDER_INVESTIGATION	更新事件狀態。
解決註解	字串	不適用	說明事件變更的描述性註解。

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
is_success	True/False	is_success:False

JSON 結果

N/A

更新事件

可將特定 XDR 事件設為調查中、指派給具名使用者等。

參數

參數	類型	預設值	說明
事件 ID	字串	不適用	要更新的事件 ID。
已指派的使用者名稱	字串	不適用	事件指派對象的更新全名。
嚴重性	清單	低	管理員定義的嚴重程度。
狀態	清單	UNDER_INVESTIGATION	更新事件狀態。

用途

不適用

執行日期

這項動作會對網址實體執行。

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
is_success	True/False	is_success:False

JSON 結果

N/A

充實實體

根據 Palo Alto Networks Cortex XDR 的資訊，擴充 Google SecOps 主機和 IP 實體。

參數

不適用

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

實體擴充

補充資料欄位名稱	邏輯 - 應用時機
網域	如果 JSON 結果中存在，則傳回
endpoint_name	如果 JSON 結果中存在，則傳回
endpoint_type	如果 JSON 結果中存在，則傳回
ip	如果 JSON 結果中存在，則傳回
endpoint_version	如果 JSON 結果中存在，則傳回
install_date	如果 JSON 結果中存在，則傳回
installation_package	如果 JSON 結果中存在，則傳回
is_isolated	如果 JSON 結果中存在，則傳回
group_name	如果 JSON 結果中存在，則傳回
別名	如果 JSON 結果中存在，則傳回
active_directory	如果 JSON 結果中存在，則傳回
endpoint_status	如果 JSON 結果中存在，則傳回
端點 ID	如果 JSON 結果中存在，則傳回
content_version	如果 JSON 結果中存在，則傳回
os_type	如果 JSON 結果中存在，則傳回
last_seen	如果 JSON 結果中存在，則傳回
first_seen	如果 JSON 結果中存在，則傳回
使用者	如果 JSON 結果中存在，則傳回

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
is_success	True/False	is_success:False

JSON 結果

[{
    "EntityResult":
       {
         "domain": "st2.local",
         "endpoint_name": "ST2-PC-1-14",
         "endpoint_type": "AGENT_TYPE_SERVER",
         "ip": null,
         "endpoint_version": "6.1.0.9915",
         "install_date": 1568103207592,
         "installation_package": "papi-test",
         "is_isolated": null,
         "group_name": null,
         "alias": "",
         "active_directory": null,
         "endpoint_status": "DISCONNECTED",
         "endpoint_id": "4ce98b4d8d2b45a9a1d82dc71f0d1304",
         "content_version": "",
         "os_type": "AGENT_OS_WINDOWS",
         "last_seen": 1568103207592,
         "first_seen": 1568103207591,
         "users": ["TEST USER"]
        },
    "Entity": "PC01"
 }]

取得端點代理程式報表

取得端點的代理程式報告。

參數

不適用

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
is_success	True/False	is_success:False

JSON 結果

N/A

隔離端點

隔離端點。

參數

不適用

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
is_success	True/False	is_success:False

JSON 結果

N/A

取消隔離端點

取消隔離端點。

參數

不適用

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

實體擴充

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值選項	示例
is_success	True/False	is_success:False

JSON 結果

N/A

將雜湊值新增至封鎖清單

使用這項動作將未列出的檔案新增至指定封鎖清單。

參數

參數顯示名稱	類型	預設值	是否為必要項目	說明
註解	字串	不適用	否	提供額外註解，代表與動作相關的其他資訊
事件 ID	字串	不適用	否	指定新增雜湊值所屬的事件 ID

執行日期

這項動作會對 Filehash 實體執行

動作執行結果

指令碼執行結果

指令碼結果名稱	值選項	示例
is_success	True/False	is_success:False

JSON 結果

{

"success": ["hashes that were added"],

"already_existed": ["hashes that already existed"]

"failed": ["hashes that failed"]

"unsupported": ["unsupported hashes"]

}

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不得失敗，也不得停止應對手冊執行：成功新增的實體：「已成功將下列實體新增至封鎖清單：」+successful_entities_list 對於未成功加入封鎖名單的實體：「無法將下列實體加入封鎖名單：」+unsuccessful_entities_list。如果提供不受支援類型的雜湊 (is_success=true)：系統不支援下列雜湊：{unsupported hashes} 如果提供的所有雜湊值都不支援 (is_success=false)：提供的雜湊值都不支援。動作應會失敗並停止執行應對手冊：「Failed to perform action "Add Hashes to Blacklist" {0}」。format(exception.stacktrace)	一般

結果類型

值/說明

類型

輸出訊息*

動作不得失敗，也不得停止應對手冊執行：

成功新增的實體：「已成功將下列實體新增至封鎖清單：」+successful_entities_list

對於未成功加入封鎖名單的實體：「無法將下列實體加入封鎖名單：」+unsuccessful_entities_list。

如果提供不受支援類型的雜湊 (is_success=true)：

系統不支援下列雜湊：{unsupported hashes}

如果提供的所有雜湊值都不支援 (is_success=false)：提供的雜湊值都不支援。

動作應會失敗並停止執行應對手冊：
「Failed to perform action "Add Hashes to Blacklist" {0}」。format(exception.stacktrace)

一般

為事件新增註解

使用「Add Comment To Incident」(在事件中新增註解) 動作，在 Palo Alto Cortex XDR 中為事件新增註解。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Comment To Incident」(在事件中新增留言) 動作需要下列參數：

參數說明

參數	說明
`Incident ID`	必填。要更新的事件 ID。
`Comment`	必填。要新增至事件的註解。

Incident ID

必填。

要更新的事件 ID。

Comment

必填。

要新增至事件的註解。

動作輸出內容

「Add Comment To Incident」(在事件中新增註解) 動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	無法使用
輸出訊息	可用
指令碼結果	可用

輸出訊息

「Add Comment To Incident」(在事件中新增留言) 動作可傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully added a comment to an incident with ID COMMENT_ID in Palo Alto XDR.`	動作成功。
`Error executing action "Add Comment To Incident". Reason: ERROR_REASON`	動作失敗。檢查伺服器的連線、輸入參數或憑證。

Successfully added a comment to an incident with ID COMMENT_ID in Palo Alto XDR.

動作成功。

Error executing action "Add Comment To Incident". Reason:
      ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「Add Comment To Incident」(在事件中新增留言) 動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`True`或`False`

取得事件詳細資料

使用「Get Incident Details」動作，擷取 Palo Alto Cortex XDR 中事件的相關資訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得事件詳細資料」動作需要下列參數：

參數說明

參數	說明
`Incident ID`	必填。要傳回的事件 ID。
`Lowest Alert Severity`	選填。快訊必須達到這個嚴重程度，才會納入報表。可能的值如下： `Critical` `High` `Medium` `Low` 預設值為 `High`。
`Max Alerts To Return`	選填。要傳回的快訊數量上限。上限為 `1000`。預設值為 `50`。

Incident ID

必填。

要傳回的事件 ID。

Lowest Alert Severity

選填。

快訊必須達到這個嚴重程度，才會納入報表。

可能的值如下：

Critical
High
Medium
Low

預設值為 High。

Max Alerts To Return

選填。

要傳回的快訊數量上限。

上限為 1000。

預設值為 50。

動作輸出內容

「Get Incident Details」(取得事件詳細資料) 動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

JSON 結果

下列範例顯示使用「取得事件詳細資料」動作時收到的 JSON 結果輸出內容：

{
    "incident_id": "146408",
    "is_blocked": false,
    "incident_name": null,
    "creation_time": 1756265930000,
    "modification_time": 1756265938000,
    "detection_time": null,
    "status": "new",
    "severity": "medium",
    "description": "'PHP XDebug Session Detection' generated by PAN NGFW",
    "assigned_user_mail": null,
    "assigned_user_pretty_name": null,
    "alert_count": 1,
    "low_severity_alert_count": 0,
    "med_severity_alert_count": 1,
    "high_severity_alert_count": 0,
    "critical_severity_alert_count": 0,
    "user_count": 0,
    "host_count": 0,
    "notes": null,
    "resolve_comment": null,
    "resolved_timestamp": null,
    "manual_severity": null,
    "manual_description": null,
    "xdr_url": "https://xyz.com/incident-view?caseId=146408",
    "starred": true,
    "starred_manually": false,
    "hosts": null,
    "users": [],
    "incident_sources": [
        "PAN NGFW"
    ],
    "rule_based_score": null,
    "predicted_score": 40,
    "manual_score": null,
    "aggregated_score": 40,
    "wildfire_hits": 0,
    "alerts_grouping_status": "Enabled",
    "mitre_tactics_ids_and_names": null,
    "mitre_techniques_ids_and_names": null,
    "alert_categories": [
        "Vulnerability"
    ],
    "original_tags": [
        "DS:PANW/NGFW"
    ],
    "tags": [
        "DS:PANW/NGFW"
    ],
    "network_artifacts": {
        "total_count": 1,
        "data": [
            {
                "type": "IP",
                "alert_count": 1,
                "is_manual": false,
                "network_domain": null,
                "network_remote_ip": "0.0.0.0",
                "network_remote_port": 500,
                "network_country": "JP"
            }
        ]
    },
    "file_artifacts": {
        "total_count": 0,
        "data": []
    },
    "alerts": [
        {
            "external_id": "7540915192461269271",
            "severity": "medium",
            "matching_status": "UNMATCHABLE",
            "end_match_attempt_ts": null,
            "local_insert_ts": 1756265929231,
            "last_modified_ts": null,
            "bioc_indicator": null,
            "matching_service_rule_id": null,
            "attempt_counter": 0,
            "bioc_category_enum_key": null,
            "case_id": 146408,
            "is_whitelisted": false,
            "starred": true,
            "deduplicate_tokens": "00421ab2ab1a43d089b1f690f8b4e54a",
            "filter_rule_id": null,
        }
    ]
}

輸出訊息

「取得事件詳細資料」動作可傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully returned information about incident with ID INCIDENT_ID in Palo Alto XDR.`	動作成功。
`Error executing action "Get Incident Details". Reason: ERROR_REASON`	動作失敗。檢查伺服器的連線、輸入參數或憑證。

Successfully returned information about incident with ID INCIDENT_ID in Palo Alto XDR.

動作成功。

Error executing action "Get Incident Details". Reason:
      ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「Get Incident Details」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`True`或`False`

執行 XQL 搜尋

使用「Execute XQL Search」(執行 XQL 搜尋) 動作，在 Palo Alto Cortex XDR 中透過 XQL 擷取資訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「執行 XQL 搜尋」動作需要下列參數：

參數	說明
`Query`	必填。要在 Palo Alto Cortex XDR 中執行的查詢。請勿在查詢中提供 `limit`。動作會從 `Max Results To Return` 擷取這個值。
`Time Frame`	選填。要在 Palo Alto Cortex XDR 中執行的查詢。請勿在查詢中提供 `limit`。動作會從 `Max Results To Return` 擷取這個值。可能的值如下： `Last Hour` `Last 6 Hours` `Last 24 Hours` `Last Week` `Last Month` `Custom` 預設值為 `Last Hour`。
`Start Time`	選填。結果的開始時間，格式為 ISO 8601。如果為 `Time Frame` 選取 `Custom`，則必須提供這個參數。
`End Time`	選填。結果的結束時間，格式為 ISO 8601。如果為 `Time Frame` 選取 `Custom`，但未提供任何值，動作會使用目前時間。
`Max Results To Return`	選填。這項動作會在提供的查詢中附加 `limit`。上限為 `1000`。預設值為 `50`。

動作輸出內容

「執行 XQL 搜尋」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

JSON 結果

以下範例顯示使用「執行 XQL 搜尋」動作時收到的 JSON 結果輸出內容：

{
    "events": [
        {
            "event_id": "AAABmRQvChTmouboArIcKg==",
            "_product": "XDR agent",
            "_time": 1756980296509,
            "_vendor": "PANW",
            "insert_timestamp": 1756980477113,
            "event_type": "NETWORK",
            "event_sub_type": "NETWORK_STREAM_CONNECT_FAILED"
        },
        {
            "event_id": "AAABmRQtb2XmouboArIb1g==",
            "_product": "XDR agent",
            "_time": 1756980191374,
            "_vendor": "PANW",
            "insert_timestamp": 1756980477113,
            "event_type": "NETWORK",
            "event_sub_type": "NETWORK_STREAM_CONNECT_FAILED"
        }
    ]
}

輸出訊息

「執行 XQL 搜尋」動作可能會傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully returned results for the query QUERY in Palo Alto XDR.` `No results were found for the query QUERY in Palo Alto XDR.` `Waiting for the search job to finish…`	動作成功。
`Error executing action "Execute XQL Search". Reason: ERROR_REASON`	動作失敗。檢查伺服器的連線、輸入參數或憑證。

Successfully returned results for the query QUERY in Palo Alto XDR.

No results were found for the query QUERY in Palo Alto XDR.

Waiting for the search job to finish…

動作成功。

Error executing action "Execute XQL Search". Reason:
      ERROR_REASON

動作失敗。

檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「執行 XQL 搜尋」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`True`或`False`

掃描端點

使用「掃描端點」動作掃描 Palo Alto Cortex XDR 中的端點。

這項動作會對下列 Google SecOps 實體執行：

IP Address
Hostname

動作輸入內容

「掃描端點」動作需要下列參數：

參數說明

參數	說明
`Incident ID`	選填。要與掃描活動建立關聯的事件 ID，可讓結果顯示在事件時間軸中。

Incident ID

選填。

要與掃描活動建立關聯的事件 ID，可讓結果顯示在事件時間軸中。

動作輸出內容

「掃描端點」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

輸出訊息

「掃描端點」動作可能會傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully scanned the following endpoints in Palo Alto XDR: ENTITY_ID` `The scan didn't complete for the following endpoints in Palo Alto XDR: ENTITY_ID` `The scan didn't complete for all of the provided endpoints in Palo Alto XDR.`	動作成功。
`Error executing action "Scan Endpoint". Reason: ERROR_REASON`	動作失敗。請檢查伺服器連線、輸入參數或憑證。

Successfully scanned the following endpoints in Palo Alto XDR: ENTITY_ID

The scan didn't complete for the following endpoints in Palo Alto XDR: ENTITY_ID

The scan didn't complete for all of the provided endpoints in Palo Alto XDR.

動作成功。

Error executing action "Scan Endpoint". Reason:
      ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

JSON 結果

下列範例顯示使用「掃描端點」動作時收到的 JSON 結果輸出內容：

[
   {
      "Entity": "192.168.1.10",
      "EntityResult": {
         "endpoint_id": "a0b1c2d3e4f5g6h7i8j9k0l1m2n3o4p5",
         "endpoint_name": "PLACEHOLDER-SERVER-NAME",
         "endpoint_type": "AGENT_TYPE_SERVER",
         "endpoint_status": "CONNECTED",
         "os_type": "AGENT_OS_WINDOWS",
         "os_version": "10.0.yyyy",
         "ip": [
            "192.168.1.10"
         ],
         "ipv6": [],
         "public_ip": "203.0.113.45",
         "users": [],
         "domain": "WORKGROUP",
         "alias": "",
         "first_seen": 1680000000000,
         "last_seen": 1760000000000,
         "content_version": "YYYY-ZZZZZ",
         "installation_package": "PLACEHOLDER-PACKAGE",
         "active_directory": [],
         "install_date": 1680000000000,
         "endpoint_version": "X.Y.Z.W",
         "is_isolated": "AGENT_UNISOLATED",
         "isolated_date": null,
         "group_name": [
            "PLACEHOLDER-GROUP"
         ],
         "operational_status": "PROTECTED",
         "operational_status_description": "[]",
         "operational_status_details": [],
         "scan_status": "SCAN_STATUS_PENDING",
         "content_release_timestamp": 1760000000000,
         "last_content_update_time": 1760000000000,
         "operating_system": "Windows Server PLACEHOLDER",
         "mac_address": [
            "00:1A:2B:3C:4D:5E"
         ],
         "assigned_prevention_policy": "PLACEHOLDER-POLICY",
         "assigned_extensions_policy": "Windows Default",
         "token_hash": "ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff",
         "tags": {
            "server_tags": [
               "PLACEHOLDER-TAG"
            ],
            "endpoint_tags": []
         },
         "content_status": "UP_TO_DATE"
      }
   }
]

指令碼結果

下表列出使用「掃描端點」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`True`或`False`

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Palo Alto Cortex XDR 連接器

使用這個連接器從 Palo Alto Cortex XDR 提取事件。

連接器輸入內容

Palo Alto Cortex XDR 連接器需要下列參數：

參數	說明
`Product Field Name`	必填。儲存產品名稱的欄位名稱。產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的回退值。這個參數的任何無效輸入內容，預設都會解析為備用值。預設值為 `Product Name`。
`Event Field Name`	必填。決定事件名稱 (子類型) 的欄位名稱。預設值為 `event_type`。
`Script Timeout (Seconds)`	必填。 Python 程序執行目前指令碼的逾時限制 (以秒為單位)。預設值為 `60`。
`API Root`	必填。 Palo Alto Cortex XDR 執行個體的 API 根目錄。預設值為 `https://api-{fqdn}`。
`API Key`	必填。 Palo Alto Cortex XDR API 金鑰。
`Api Key ID`	必填。用於日後驗證的 API 金鑰 ID。預設值為 `3`。
`Verify SSL`	選填。如果選取這個選項，整合服務會在連線至 Palo Alto Cortex XDR 伺服器時驗證 SSL 憑證。 (預設為啟用)。
`Alerts Count Limit`	選填。每個週期內的警報數量上限。預設值為 `10`。
`Max Days Backwards`	選填。連結器可從目前日期前最多幾天開始擷取資料。這個參數用於連接器的初始執行。預設值為 `1`。
`Environment Field Name`	選填。儲存環境名稱的欄位名稱。如果缺少環境欄位，連接器會使用預設值。預設值為 `""`。
`Environment Regex Pattern`	選填。要在「`Environment Field Name`」欄位中找到的值上執行的規則運算式模式。這個參數可讓您使用規則運算式邏輯，操控環境欄位。使用預設值 `.*` 擷取必要的原始 `Environment Field Name` 值。如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果就是預設環境。
`Proxy Server Address`	選填。要使用的 Proxy 伺服器位址。
`Proxy Username`	選填。用於驗證的 Proxy 使用者名稱。
`Proxy Password`	選填。用於驗證的 Proxy 密碼。
`Status Filter`	選填。以半形逗號分隔的警報狀態清單，供連接器擷取。如未提供任何值，連接器預設會擷取狀態為 `New` 和 `Under Investigation` 的快訊。可能的值如下： `New` `Under Investigation` `Resolved`
`Split Incident Alerts`	選填。如果選取此選項，連接器會將單一來源事件中的個別快訊分開，為每個快訊建立不同的 SOAR 快訊。預設為停用。
`Lowest Alert Severity To Fetch`	選填。要擷取的最低嚴重性快訊。如未提供值，連接器會擷取所有嚴重程度的快訊。 `Lowest Incident SmartScore To Fetch` 可做為主要篩選器。如果事件的分數達到這個門檻，系統就會處理所有相關聯的快訊，無論個別嚴重性篩選條件設定為何。可能的值如下： `Low` `Medium` `High` `Critical`
`Lowest Incident Severity To Fetch`	選填。要擷取事件的最低 SmartScore (0 到 100)。這個篩選器與嚴重程度篩選器無關。如未提供任何值，系統會忽略 SmartScore 篩選器。
`Lowest Incident SmartScore To Fetch`	選填。要擷取的事件最低嚴重程度。如果未提供任何值，連接器會擷取所有嚴重程度層級的事件。可能的值如下： `Low` `Medium` `High` `Critical`
`Use dynamic list as a blocklist`	必填。如果選取這個選項，連接器會將動態清單做為封鎖清單。預設為停用。
`Disable Overflow`	選填。如果選取此選項，連接器會忽略 Google SecOps 溢位機制。 (預設為啟用)。

連接器規則

這個連接器不支援許可清單/黑名單。

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。