SiemplifyUtilities in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie SiemplifyUtilities in Google Security Operations (Google SecOps) einbinden.

Hinweis: Diese Integration verwendet eine oder mehrere Open-Source-Komponenten. Sie können eine Kopie des vollständigen Quellcodes dieser Integration aus dem Storage-Bucket herunterladen.

Anwendungsfälle

Die Integration SiemplifyUtilities kann für die folgenden Anwendungsfälle verwendet werden:

• Exportieren und Freigeben: Verwenden Sie die Google SecOps-Funktionen mit der Aktion Entitäten als OpenIOC-Datei exportieren, um schnell standardisierte OpenIOC-Dateien aus Sicherheitsentitäten (z. B. IP-Adressen, Dateihashes oder URLs) zu generieren und sie mit Threat Intelligence-Plattformen oder anderen Sicherheitsteams zu teilen.

• Listenmanipulation für Logik: Verwenden Sie Google SecOps-Funktionen mit der Aktion Listenvorgänge, um komplexe logische Vorgänge (z. B. Schnittmenge, Vereinigung, Subtraktion) für zwei verschiedene Wertelisten in einem Playbook auszuführen. So können Sie Datenquellen erweitert filtern oder kombinieren.

• Datentransformation und -analyse: Verwenden Sie Google SecOps-Funktionen mit der Aktion Top-Ergebnisse aus JSON extrahieren, um große, verschachtelte JSON-Datasets zu verarbeiten und zu priorisieren. Dazu werden sie nach einem bestimmten verschachtelten Schlüssel (z. B. einem Schweregrad) sortiert und nur die relevantesten Ergebnisse für die sofortige Analyse zurückgegeben.

• E‑Mail-Forensik: Verwenden Sie Google SecOps-Funktionen mit der Aktion EML in JSON parsen, um unformatierte, base64-codierte E‑Mail-Nachrichten (EML- oder MSG-Dateien) in ein strukturiertes JSON-Format zu konvertieren. So können die Header, der Text, die Anhänge und die Links der E‑Mail für das automatisierte Parsen und die Untersuchung zugänglich gemacht werden.

Hinweis

Diese Integration bietet native Plattformfunktionen und erfordert keine externen API-Schlüssel oder Anmeldedaten von Drittanbietern für die Authentifizierung. Bevor Sie beginnen, müssen Sie die Integration über den Content Hub in Ihrer Google SecOps-Instanz installieren.

Integrationsparameter

Keine.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Entitäten im Bereich zählen

Verwenden Sie Entitäten im Bereich zählen, um die Anzahl der Entitäten in einem bestimmten Bereich abzurufen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Entitäten im Bereich zählen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Entity Type	Pflichtangabe. Der Typ der Zielentitäten.

Aktionsausgaben

Die Aktion Entitäten im Bereich zählen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Entitäten im Bereich zählen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
There are NUMBER_OF_ENTITIES entities from ENTITY_TYPE type.	Die Aktion war erfolgreich.
Error executing action "Count Entities in Scope". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion Entitäten im Bereich zählen verwendet wird:

Name des Skriptergebnisses	Wert
list_count	NUMBER_OF_ENTITIES

Zählliste

Mit der Aktion Liste zählen können Sie die Anzahl der Elemente in einer Liste abrufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Liste zählen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Input String	Optional. Eine durch Kommas getrennte Liste von Strings, z. B. value1,value2,value3.
Delimiter	Optional. Das Symbol, das zum Trennen einzelner Werte innerhalb des Input String verwendet wird.

Aktionsausgaben

Die Aktion Liste zählen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Liste zählen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
List length is: NUMBER_OF_ENTITIES	Die Aktion war erfolgreich.
Error executing action "Count List". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Liste zählen beschrieben:

Name des Skriptergebnisses	Wert
list_count	NUMBER_OF_ENTITIES

Datei löschen

Verwenden Sie die Aktion Datei löschen, um eine ausgewählte Datei aus dem Dateisystem zu löschen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Datei löschen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
File Path	Pflichtangabe. Der absolute Pfad der zu löschenden Datei.

Aktionsausgaben

Die Aktion Datei löschen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Datei löschen empfangen werden:

{
"filepath": ""
"status": "deleted/not found"
}

Ausgabenachrichten

Die Aktion Datei löschen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully deleted file.	Die Aktion war erfolgreich.
Error executing action "Delete File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Datei löschen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Entitäten als OpenIOC-Datei exportieren

Mit der Aktion Entitäten als OpenIOC-Datei exportieren können Sie unterstützte Sicherheitsartefakte aus dem aktuellen Fall in ein standardmäßiges OpenIOC-Dateiformat verpacken. Diese Datei kann für die Freigabe, Threat Intelligence oder den Import in andere Sicherheitstools verwendet werden.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Filehash

• IP Address

• URL

• Hostname

• User

Aktionseingaben

Für die Aktion Entitäten als OpenIOC-Datei exportieren sind die folgenden Parameter erforderlich:

                       

Parameter	Beschreibung
Export Folder Path	Pflichtangabe.     Der lokale Pfad des Ordners, in dem die generierte OpenIOC-Datei gespeichert wird.

Aktionsausgaben

Die Aktion Entitäten als OpenIOC-Datei exportieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Entitäten als OpenIOC-Datei exportieren empfangen werden:

{
    "absolute_file_path": OpenIOC_{random_guid}.txt
}

Ausgabenachrichten

Die Aktion Entitäten als OpenIOC-Datei exportieren kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully created an OpenIOC file based on provided entities. Action wasn't able to create an OpenIOC file, because there are no entities in the action execution scope.	Die Aktion war erfolgreich.
Error executing action "Export Entities as OpenIOC File". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Top-From-JSON extrahieren

Mit der Aktion Top-Elemente aus JSON extrahieren können Sie eine JSON-Eingabe nach einem bestimmten Schlüssel sortieren und die am höchsten bewerteten Zweige oder Datensätze zurückgeben.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Top-Elemente aus JSON extrahieren sind die folgenden Parameter erforderlich:

                                                                       

Parameter	Beschreibung
JSON Data	Pflichtangabe.     Die zu verarbeitenden JSON-Daten.
Key To Sort By	Pflichtangabe.     Der verschachtelte Schlüssel, der für die Sortierung verwendet wird, wobei die Segmente durch Punkte getrennt sind. Verwenden Sie * als Platzhalter. Beispiel: Host.*.wassap_list.Severity.
Field Type	Pflichtangabe.     Der Datentyp des für die Sortierung angegebenen Schlüssels. Folgende Werte sind möglich: int string Date
Reverse (DESC -> ASC)	Optional.     Wenn diese Option ausgewählt ist, ist die Sortierreihenfolge Absteigend. Wenn diese Option nicht ausgewählt ist, ist die Sortierreihenfolge Aufsteigend.     Standardmäßig aktiviert.
Top Rows	Optional.     Die Anzahl der Top-Datensätze (Zeilen), die aus der sortierten JSON-Ausgabe abgerufen werden sollen.

Aktionsausgaben

Die Aktion Top-Elemente aus JSON extrahieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Top-Elemente aus JSON extrahieren empfangen werden:

[
    {
        "HOST": {
            "DETECTION":{
                "QID": "82003",
                "SEVERITY": "1",
                "RESULTS": "Timestamp of host (network byte ordering): 03:40:14 GMT"
            },
            "IP": "1.1.1.1",
            "LAST_SCAN_DATETIME": "2018-08-13T10:24:35Z",
            "OS": "Windows 10"
        },
        "DATETIME": "2018-08-29T14:01:12Z"
    }, {
        "HOST":{
            "DETECTION": {
                "PORT": "443",
                "QID": "11827",
                "PROTOCOL": "tcp",
                "RESULTS": "X-Frame-Options or Content-Security-Policy: frame-ancestors HTTP Headers missing on port 443.",
                "SEVERITY": "2"
            },
            "IP": "1.1.1.1",
            "LAST_SCAN_DATETIME": "2018-08-13T08:31:58Z",
            "OS": "Linux 3.13"
        },
        "DATETIME": "2018-08-29T14:01:12Z"
    }, {
        "HOST": {
            "DETECTION": {
                "PORT": "53",
                "QID": "15033",
                "PROTOCOL": "udp",
                "RESULTS": "--- IPv4 --- ",
                "SEVERITY": "4"
            },
            "IP": "1.1.1.1",
            "LAST_SCAN_DATETIME": "2018-08-13T08:31:58Z",
            "OS": "Linux 3.13"
        },
        "DATETIME": "2018-08-29T14:01:12Z"
    }
]

Ausgabenachrichten

Die Aktion Top-Elemente aus JSON extrahieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Results: RESULTS. No branches were found.	Die Aktion war erfolgreich.
Error executing action "Extract top From JSON". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Extract top From JSON verwendet wird:

Name des Skriptergebnisses	Wert
result	RESULTS

JSON filtern

Mit der Aktion JSON filtern können Sie ein JSON-Objekt anhand einer bestimmten Bedingung filtern und bestimmte Ergebnisse extrahieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion JSON filtern sind die folgenden Parameter erforderlich:

                                                                                               

Parameter	Beschreibung
JSON Data	Pflichtangabe.     Die JSON-Wörterbuchdaten, auf die der Filter angewendet werden soll.
Root Key Path	Optional.     Der durch Punkte getrennte Startpfad für die JSON-Suche.
Condition Path	Pflichtangabe.     Der durch Punkte getrennte Pfad zum Feld, dessen Wert anhand der filter-Bedingung ausgewertet wird.
Condition Operator	Pflichtangabe.     Der Vergleichsoperator, der in der Bedingung verwendet werden soll.     Folgende Werte sind möglich: = != > < >= <= in not in
Condition Value	Pflichtangabe.     Der spezifische Wert, der in der filter-Bedingung verwendet werden soll.
Output Path	Optional.     Der durch Punkte getrennte Pfad zu den spezifischen Datenelementen, die aus dem gefilterten JSON zurückgegeben werden sollen.
Delimiter	Optional.     Das Zeichen, mit dem die Ausgabewerte verbunden werden, wenn mehrere Elemente zurückgegeben werden.     Der Standardwert ist ,.

Aktionsausgaben

Die Aktion JSON filtern liefert die folgenden Ausgaben:

                                                                                                                                                       

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion JSON filtern empfangen wird:

{
    "a": {
        "HOST": [
            {
                "DETECTION": {
                    "QID": "82003",
                    "SEVERITY": "1",
                    "RESULTS": "Timestamp of host (network byte ordering): 03:40:14 GMT"
                },
                "IP": "1.1.1.1",
                "LAST_SCAN_DATETIME": "2018-08-13T10:24:35Z",
                "OS": "Windows 10"
            }
        ],
        "DATETIME": "2018-08-29T14:01:12Z"
    }
}

Ausgabenachrichten

Die Aktion JSON filtern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully filtered JSON.	Die Aktion war erfolgreich.
Error executing action "Filter JSON". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion JSON filtern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Bereitstellungs-URL abrufen

Verwenden Sie die Aktion Bereitstellungs-URL abrufen, um die Bereitstellungs-URL für Ihre aktuelle Google SecOps-Instanz abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Bereitstellungs-URL abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Bereitstellungs-URL abrufen empfangen werden:

{
"url": ""
}

Ausgabenachrichten

Die Aktion Deployment-URL abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved deployment URL.	Die Aktion war erfolgreich.
Error executing action "Get Deployment URL". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Bereitstellungs-URL abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Vorgänge auflisten

Mit der Aktion Listenvorgänge können Sie Set-Operationen zwischen zwei durch Kommas getrennten Listen ausführen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Vorgänge auflisten sind die folgenden Parameter erforderlich:

                                                           

Parameter	Beschreibung
First List	Pflichtangabe.     Die erste Liste mit durch Kommas getrennten Werten für den Vorgang set.
Second List	Pflichtangabe.     Die zweite Liste mit CSV-Werten für den Vorgang set.
Delimiter	Optional.     Das Symbol oder Zeichen, das zum Trennen von Werten in First List und Second List verwendet wird.     Der Standardwert ist ,.
Operator	Pflichtangabe.     Der Typ des auszuführenden set-Vorgangs.     Folgende Werte sind möglich: intersection union subtract xor (exklusives ODER).

Aktionsausgaben

Die Aktion Vorgänge auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Vorgänge auflisten empfangen werden:

{
    "results": {
        "count": 6,
        "data": [
            "item",
            "item1",
            "item2"
        ]
    }
}​​

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn Sie die Aktion Vorgänge auflisten verwenden:

Name des Skriptergebnisses	Wert
result_list	RESULTS

EML in JSON parsen

Mit der Aktion EML in JSON parsen können Sie den Inhalt einer EML- oder MSG-E-Mail-Datei in ein strukturiertes JSON-Objekt in Google SecOps konvertieren.

Hinweis: Diese Aktion unterstützt das Parsen von EML- und MSG-Dateitypen. Wenn die Datei Anhänge enthält, werden nur Anhänge in EML-Dateien unterstützt.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion EML in JSON parsen sind die folgenden Parameter erforderlich:

                                               

Parameter	Beschreibung
EML Content	Pflichtangabe.     Der base64-codierte Inhalt der EML- oder MSG-Datei.
Blacklisted Headers	Optional.     Eine durch Kommas getrennte Liste von Headern, die von der endgültigen JSON-Ausgabe ausgeschlossen werden sollen.
Use Blacklist As Whitelist	Optional.     Wenn diese Option ausgewählt ist, fungiert die in Blacklisted Headers angegebene Liste als Zulassungsliste, die nur die aufgeführten Header in der JSON-Ausgabe enthält.

Aktionsausgaben

Die Aktion EML in JSON parsen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgaben, die bei Verwendung der Aktion EML in JSON parsen empfangen werden:

{
    "HTML Body": "<div><br></div>",
    "Attachments": {},
    "Recipients": "[e-mail]",
    "CC": "",
    "Links": {
        "urls_1": "https://lh4.googleusercontent.com/rE6-WYjfFuiHbHUV33G31NCtUeBl9YGnw4bvlorqMeNaC60qWagqtohFwCpq2eJxlMYMJPPDAqqXRZW6Oja8GqOjt3jB3aB6tzJP-jdtbCBoj-m3vu49tttHmWpXGJUSI6UuTUYS",
        "urls_2": "https://lh4.googleusercontent.com/Uih5TalWnJjBbG_QaRICp8emX5wIakbCmstEDP3YHT7l45qdjIllcxg_Ddapvrh5DqGKszK3KKM5M0kEoC1YX6TgbWKJKPX0OxD5BeWr3uu6SRAHs7lwP20khjHSlxsIM46egQ-M"
    },
    "BCC": "",
    "To": "[e-mail]",
    "Date": "Mon, 13 Aug 2018 13:20:34 +0300",
    "From": "[e-mail]",
    "Subject": "TEST6:::Test:::ADVANCE NOTICE: 07.08.2018-Disable Accounts-user\\\r\\\\n Office Il Office"
}

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion EML in JSON parsen verwendet wird:

Name des Skriptergebnisses	Wert
parsed_eml	RESULTS

Die JSON-Ausgabe der Aktion für das Feld with wird so umstrukturiert, dass der ID-Wert in ein eigenes Feld verschoben wird. Diese Änderung gilt für Version 10 und höher der Integration, wie in der folgenden Tabelle beschrieben:

                                               

Integrationsversion	Feldstruktur und -beschreibung	Beispiel für JSON-Code
Version 9 und älter	Die ID und das Protokoll werden im Feld with kombiniert.	{"with": "smtp id ID"}
Version 10 und höher	Die ID wird im neuen Feld id gespeichert und das Feld with enthält nur das Protokoll.	{"id": "ID", "with": "SMTP"}

Hinweis: Wenn Ihre vorhandenen Playbooks die Ausgabe der Aktion Parse EML to JSON verwenden, müssen Sie die Playbook-Logik aktualisieren. Verweisen Sie auf das neue Feld id, anstatt die ID aus dem Feld with zu parsen.

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu SiemplifyUtilities zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Ping liefert die folgenden Ausgabenachrichten:

Ausgabemeldung	Beschreibung der Nachricht
Connection Established.	Die Aktion war erfolgreich.
Failed to connect to SiemplifyUtilities. Error is ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping beschrieben:

Name des Skriptergebnisses	Wert
is_success	True oder False

Query Joiner

Mit der Aktion Abfrage-Joiner können Sie einen strukturierten Abfragestring dynamisch erstellen, indem Sie eine Liste von Suchwerten, ein Zielfeld und einen logischen Operator kombinieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Query Joiner sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Values	Erforderlich. Eine durch Kommas getrennte Liste von Werten, nach denen gesucht werden soll, z. B. value1,value2,value3.
Query Field	Erforderlich. Der Name des Zielfelds, in dem gesucht werden soll, z. B. SrcIP, DestHost oder UserName.
Query Operator	Erforderlich. Der logische Operator, der die Werte kombiniert, z. B. AND oder OR.
Add Quotes	Optional. Wenn diese Option ausgewählt ist, werden mit der Aktion einfache Anführungszeichen (') um jedes Element in Values hinzugefügt.
Add Double Quotes	Optional. Wenn diese Option ausgewählt ist, werden bei der Aktion doppelte Anführungszeichen (") um jedes Element in Values gesetzt.
Add Backticks	Optional. Wenn diese Option ausgewählt ist, werden bei der Aktion Backticks (`) um jedes Element in Values hinzugefügt. Dies ist nützlich, um komplexe Strings oder Sonderzeichen (z. B. lange URLs) zu maskieren und Fehler bei der Abfragekompilierung zu vermeiden.
Delimiter	Optional. Das Zeichen, das die Elemente in Values trennt. Wenn kein Wert angegeben ist, wird standardmäßig ein Komma (,) als Trennzeichen verwendet.

Aktionsausgaben

Die Aktion Query Joiner liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Query Joiner kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully formed query: QUERY_FIELD= VALUE_1 OPERATOR QUERY_FIELD= VALUE_2 OPERATOR QUERY_FIELD= VALUE_3	Die Aktion war erfolgreich.
Error executing action "Query Joiner". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Query Joiner verwendet wird:

Name des Skriptergebnisses	Wert
query	QUERY_FIELD= VALUE_1 OPERATOR QUERY_FIELD= VALUE_2 OPERATOR QUERY_FIELD= VALUE_3

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten