Integra Siemplify con Google SecOps

Versión de integración: 94.0

En este documento, se explica cómo integrar Siemplify en Google Security Operations (Google SecOps).

Casos de uso

La integración de Siemplify puede abordar los siguientes casos de uso:

• Investigación de phishing: Usa las capacidades de Google SecOps para automatizar el proceso de análisis de correos electrónicos de phishing, extraer indicadores de vulnerabilidad (IOC) y enriquecerlos con inteligencia sobre amenazas.

• Contención de software malicioso: Usa las capacidades de Google SecOps para aislar automáticamente los endpoints infectados, iniciar análisis y poner en cuarentena los archivos maliciosos cuando se detecte software malicioso.

• Administración de vulnerabilidades: Usa las capacidades de SecOps de Google para coordinar análisis de vulnerabilidades, priorizar vulnerabilidades según el riesgo y crear automáticamente tickets para la corrección.

• Búsqueda de amenazas: Usa las capacidades de Google SecOps para automatizar la ejecución de consultas de búsqueda de amenazas en varias herramientas y conjuntos de datos de seguridad.

• Clasificación de alertas de seguridad: Usa las capacidades de Google SecOps para enriquecer automáticamente las alertas de seguridad con información contextual, correlacionarlas con otros eventos y priorizarlas según su gravedad.

• Respuesta ante incidentes: Usa las capacidades de Google SecOps para coordinar todo el proceso de respuesta ante incidentes, desde la detección inicial hasta la contención y la erradicación.

• Informes de cumplimiento: Usa las capacidades de Google SecOps para automatizar la recopilación y el análisis de datos de seguridad para los informes de cumplimiento.

Parámetros de integración

La integración de Siemplify requiere los siguientes parámetros:

Parámetro	Descripción
Monitors Mail Recipients	Obligatorio. Es una lista separada por comas de direcciones de correo electrónico para la validación en los flujos de trabajo relacionados con el correo electrónico de la integración. Esta lista se usa para definir los destinatarios del procesamiento. El valor predeterminado es [e-mail],[e-mail].
Elastic Server Address	Obligatorio. Dirección del servidor de Elastic que se usa para conectarse a la base de datos de Siemplify. Por lo general, es la dirección de la máquina anfitrión en la que se ejecuta la instancia de Elastic. El valor predeterminado es localhost.

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Compatibilidad con varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Cómo responder a las acciones pendientes de Tu escritorio y Cómo realizar una acción manual.

Agregar estadísticas de la entidad

Usa la acción Add Entity Insight para agregar una estadística a una entidad de Google SecOps en Siemplify.

Esta acción se ejecuta en todas las entidades de SecOps de Google.

Entradas de acción

La acción Add Entity Insight requiere los siguientes parámetros:

Parámetro	Descripción
Message	Obligatorio. Es el mensaje que se agregará a la entidad. Este parámetro admite elementos HTML, como los siguientes: Encabezados (<h1></h1>, <h2></h2>) Párrafos (<p></p>) Formato de texto (<b></b>, <i></i>, <br>) Vínculos (<a href="example.com"></a>).

Resultados de la acción

La acción Add Entity Insight proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Entity Insight puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Added insight with message MESSAGE to ENTITY_ID.	La acción se completó correctamente.
Error executing action "Add Entity Insight". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Add Entity Insight:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Agregar estadística general

Usa la acción Add General Insight para agregar una sugerencia general al caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Add General Insight requiere los siguientes parámetros:

Parámetro	Descripción
Title	Obligatorio. Es el título de la estadística.
Message	Obligatorio. Es el mensaje que se agregará a la entidad. Este parámetro admite elementos HTML, como los siguientes: Encabezados (<h1></h1>, <h2></h2>) Párrafos (<p></p>) Formato de texto (<b></b>, <i></i>, <br>) Vínculos (<a href="example.com"></a>).
Triggered By	Es opcional. Es un campo de texto libre para proporcionar una justificación de la sugerencia, en el que se explica por qué se agregó al caso.

Resultados de la acción

La acción Add General Insight proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add General Insight puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Added insight with message MESSAGE.	La acción se completó correctamente.
Error executing action "Add General Insight". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Add General Insight:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Agregar etiquetas a casos similares

Usa la acción Add Tags To Similar Cases para agregar etiquetas a casos similares.

Para encontrar casos similares, la acción usa la función siemplify.get_similar_cases() para recuperar una lista de IDs de casos según un conjunto de criterios y parámetros.

El operador lógico AND se aplica a los parámetros Rule Generator, Port, Category Outcome y Entity Identifier para filtrar los casos que coinciden con todos los criterios especificados.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Add Tags To Similar Cases requiere los siguientes parámetros:

Parámetro	Descripción
Rule Generator	Es opcional. Si se selecciona esta opción, la acción busca casos similares con el generador de reglas. Está habilitada de forma predeterminada.
Port	Es opcional. Si se selecciona esta opción, la acción buscará casos similares usando números de puerto. Está habilitada de forma predeterminada.
Category Outcome	Es opcional. Si se selecciona, la acción busca casos similares utilizando el resultado de la categoría. Está habilitada de forma predeterminada.
Entity Identifier	Es opcional. Si se selecciona esta opción, la acción buscará casos similares con el identificador de entidad. Está habilitada de forma predeterminada.
Days Back	Obligatorio. Es la cantidad de días anteriores a la fecha actual en los que se buscarán casos similares.
Tags	Obligatorio. Es una lista de etiquetas separadas por comas que se aplicarán a los casos similares encontrados.

Resultados de la acción

La acción Add Tags To Similar Cases proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Tags To Similar Cases puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS	La acción se completó correctamente.
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Add Tags To Similar Cases:

Nombre del resultado de la secuencia de comandos	Valor
SimilarCasesIds	Es una lista de IDs de casos similares.

Agregar a la lista personalizada

Usa la acción Agregar a la lista personalizada para agregar un identificador de entidad a una lista personalizada categorizada y realizar comparaciones futuras en otras acciones.

Esta acción se ejecuta en todas las entidades de SecOps de Google.

Entradas de acción

La acción Agregar a la lista personalizada requiere los siguientes parámetros:

Parámetro	Descripción
Category	Obligatorio. Es el nombre de la categoría de la lista personalizada a la que se agregará el identificador de la entidad.

Resultados de la acción

La acción Agregar a la lista personalizada proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add to Custom List puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.	La acción se completó correctamente.
Error executing action "Add to Custom List". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Add to Custom List:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Asignar caso

Usa la acción Assign Case para asignar el caso a un usuario o grupo de usuarios específico.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Assign Case requiere los siguientes parámetros:

Parámetro	Descripción
Assigned User	Obligatorio. Es el usuario o grupo de usuarios al que se le asignará el caso.

Resultados de la acción

La acción Assign Case proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add to Custom List puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The case was successfully assigned to ASSIGNED_USER.	La acción se completó correctamente.
Error executing action "Assign Case". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Assign Case:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Cómo adjuntar una guía a una alerta

Usa la acción Attach Playbook to Alert para adjuntar una guía específica a la alerta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Attach Playbook to Alert requiere los siguientes parámetros:

Parámetro	Descripción
Playbook Name	Obligatorio. Es el nombre de la guía que se adjuntará a la alerta actual.
Allow Duplicates	Es opcional. Si se selecciona esta opción, la guía se puede adjuntar a la alerta más de una vez. Está habilitada de forma predeterminada.

Resultados de la acción

La acción Attach Playbook to Alert proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Search Graphs puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.	La acción se completó correctamente.
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Attach Playbook to Alert:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Comentario del caso

Usa la acción Case Comment para agregar un comentario al caso en el que se agrupa la alerta actual.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Case Comment requiere los siguientes parámetros:

Parámetro	Descripción
Comment	Obligatorio. Es el comentario que se agregará al caso.

Resultados de la acción

La acción Case Comment proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Comment added to case: CASE_COMMENT.	La acción se completó correctamente.
Error executing action "Case Comment". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Case Comment:

Nombre del resultado de la secuencia de comandos	Valor
SuccessStatus	true o false

Etiqueta del caso

Usa la acción Case Tag para agregar una etiqueta al caso en el que se agrupa la alerta actual.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Case Tag requiere los siguientes parámetros:

Parámetro	Descripción
Tag	Obligatorio. Es la etiqueta que se agregará al caso.

Resultados de la acción

La acción Case Tag proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Case Tag puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The tag TAG_NAME was added to the case	La acción se completó correctamente.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Case Tag:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Cambiar prioridad de la alerta

Usa la acción Cambiar prioridad de la alerta para actualizar la prioridad de una alerta en un caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Nota: En Google SecOps, la prioridad de alerta más alta determina la prioridad del caso de forma predeterminada.

Por ejemplo, si la prioridad del caso es Medium, significa que al menos una alerta entre todas las alertas agrupadas en el caso tiene una prioridad Medium, mientras que otras tienen prioridades más bajas, como Low o Informative.

Si actualizas la prioridad del caso a Low, Google SecOps la reemplazará por Low.

Si actualizas la prioridad de una alerta en un caso a High, Google SecOps establece automáticamente la prioridad del caso en High.

Entradas de acción

La acción Change Alert Priority requiere los siguientes parámetros:

Parámetro	Descripción
Alert Priority	Obligatorio. Es la nueva prioridad de la alerta. Si la prioridad de la alerta se actualiza a un nivel más alto que la prioridad actual del caso, la prioridad del caso se actualizará automáticamente para que coincida con la nueva prioridad más alta. Los valores posibles son los siguientes: Informative Low Medium High Critical

Resultados de la acción

La acción Change Alert Priority proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The alert priority was set to NEW_PRIORITY_LEVEL.	La acción se completó correctamente.
Error executing action "Change Alert Priority". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Change Alert Priority:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Cambiar etapa del caso

Usa la acción Change Case Stage para cambiar la etapa del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Change Case Stage requiere los siguientes parámetros:

Parámetro	Descripción
Stage	Obligatorio. Etapa a la que se moverá el caso. Los valores posibles son los siguientes: Triage Assessment Investigation Incident Improvement Research

Resultados de la acción

La acción Change Case Stage proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Case stage was successfully changed to NEW_CASE_STAGE.	La acción se completó correctamente.
Error executing action "Change Case Stage". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Change Case Stage:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Cambiar prioridad

Usa la acción Cambiar prioridad para cambiar la prioridad del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Change Priority requiere los siguientes parámetros:

Parámetro	Descripción
Priority	Obligatorio. Es la prioridad que se establecerá para el caso. Los valores posibles son los siguientes: Informative Low Medium High Critical

Resultados de la acción

La acción Change Priority proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The case priority was set to NEW_CASE_PRIORITY	La acción se completó correctamente.
Error executing action "Close Alert". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Change Priority:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Cerrar la alerta

Usa la acción Cerrar alerta para cerrar la alerta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Close Alert requiere los siguientes parámetros:

Parámetro	Descripción
Reason	Obligatorio. Es la clasificación principal del cierre de la alerta. Los valores posibles son los siguientes: Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatorio. Explicación detallada del problema técnico que generó la alerta.
Comment	Obligatorio. Son las notas, el resumen de la investigación o el contexto adicional para el cierre de la alerta.
Assign to User	Es opcional. Es el usuario al que se le asignará la alerta después de su cierre.
Tags	Es opcional. Es una lista de etiquetas separadas por comas que se adjuntarán a la alerta para su clasificación, filtrado y capacidad de búsqueda futura.

Resultados de la acción

La acción Cerrar alerta proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON	La acción se completó correctamente.
Error executing action "Close Alert". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Cerrar alerta:

Nombre del resultado de la secuencia de comandos	Valor
StatusResult	true o false

Cierre del caso

Usa la acción Cerrar caso para cerrarlo.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Close Case requiere los siguientes parámetros:

Parámetro	Descripción
Reason	Obligatorio. Es la clasificación principal del cierre de la alerta. Los valores posibles son los siguientes: Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatorio. Una explicación detallada del problema técnico que generó la alerta.
Comment	Obligatorio. Son las notas, el resumen de la investigación o el contexto adicional para el cierre de la alerta.

Resultados de la acción

La acción Close Case proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The case was closed. Root Cause: ROOT_CAUSE Comment: REASON	La acción se completó correctamente.
Error executing action "Close Case". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Close Case:

Nombre del resultado de la secuencia de comandos	Valor
StatusResult	true o false

Crear entidad

Usa la acción Create Entity para crear una entidad nueva y agregarla a una alerta.

Esta acción se ejecuta en todas las entidades de SecOps de Google.

Nota: Para la versión 5.6.2 y posteriores de la plataforma de Google SecOps, puedes elegir el delimitador directamente en las entradas de la acción y omitir la configuración de la base de datos.

En las versiones 5.6.0 a 5.6.2 de la plataforma de Google SecOps, el delimitador se puede configurar en la acción Create Entity o en la base de datos.

Para usar un delimitador personalizado (no predeterminado), elige una de las siguientes opciones:

• Cambia el delimitador predeterminado (,) por tu delimitador personalizado en las entradas de acción y en la base de datos.
• Cambia el delimitador en la base de datos y mantén el parámetro Delimiter vacío en esta acción.

Entradas de acción

La acción Create Entity requiere los siguientes parámetros:

Parámetro	Descripción
Entities Identifies	Obligatorio. Es una lista de identificadores de entidades separados por comas que se crearán en el caso, como VALUE1, VALUE2, VALUE3.
Delimiter	Es opcional. Es un delimitador que se usa para dividir la entrada de Entities Identifies en varios identificadores. Si no se proporciona ningún valor, la acción trata la entrada como un solo identificador de entidad. El valor predeterminado es ,.
Entity Type	Obligatorio. Es el tipo de entidad que se creará, como HOST NAME, USER NAME o IP Set.
Is Internal	Es opcional. Si se selecciona, la acción marca las entidades como parte de una red interna. No está habilitado de forma predeterminada.
Is Suspicious	Es opcional. Si se selecciona, la acción marca las entidades como sospechosas. No está habilitado de forma predeterminada.

Resultados de la acción

La acción Create Entity proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Create Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
ENTITY_IDS created successfully.	La acción se completó correctamente.
Error executing action "Create Entity". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Create Entity:

Nombre del resultado de la secuencia de comandos	Valor
StatusResult	true o false

Crea un resumen del caso con Gemini

Usa la acción Create Gemini Case Summary para crear un nuevo resumen del caso de Gemini y agregarlo a una alerta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Create Gemini Case Summary proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Create Gemini Case Summary:

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}

Mensajes de salida

La acción Create Gemini Case Summary puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Case summary generation completed.	La acción se completó correctamente.
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Create Gemini Case Summary:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Crea o actualiza propiedades de entidades

Usa la acción Create Or Update Entity Properties para crear o cambiar las propiedades de las entidades en el alcance de la entidad.

Esta acción se ejecuta en todas las entidades de SecOps de Google.

Entradas de acción

La acción Create Or Update Entity Properties requiere los siguientes parámetros:

Parámetro	Descripción
Entity Field	Obligatorio. Es el campo de la entidad que se creará o actualizará.
Field Value	Obligatorio. Es el valor del campo de la entidad especificada.

Resultados de la acción

La acción Create Or Update Entity Properties proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Create Or Update Entity Properties puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.	La acción se completó correctamente.
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Create Or Update Entity Properties:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Cómo recibir alertas de casos

Usa la acción Get Case Alerts para recuperar alertas relacionadas con casos específicos.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Case Alerts requiere los siguientes parámetros:

Parámetro	Descripción
Case ID	Obligatorio. Es una lista separada por comas de los IDs de los casos para los que la acción recupera las alertas asociadas.
Alert ID	Es opcional. Es una lista separada por comas de los IDs de alertas que limita las alertas que se muestran. Este parámetro solo se usa cuando Case ID contiene valores.
Fields To Return	Es opcional. Es una lista de campos separados por comas que se devolverán en el resultado JSON. Para recuperar valores anidados, usa Nested Keys Delimiter para encadenar claves anidadas e índices de listas. Por ejemplo, si el delimitador es ".": key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1 Si no se proporciona ningún valor, se devuelven todos los campos.
Nested Keys Delimiter	Es opcional. Es el carácter que se usa para separar las claves anidadas y los índices de listas cuando se definen los campos que se devolverán. Este parámetro no puede ser una coma (,).

Obtén detalles del caso

Usa la acción Get Case Details para obtener todos los datos de un caso (incluidos los comentarios, la información de la entidad, las estadísticas, las guías que se ejecutaron, la información de las alertas y los eventos).

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Case Details requiere los siguientes parámetros:

Parámetro	Descripción
Case Id	Es opcional. Es el ID del caso del que se recuperarán los detalles. Si no se proporciona ningún valor, la acción usará el caso actual.
Fields to Return	Es opcional. Es una lista de campos separados por comas que se devolverán. Si no se proporciona nada, se devuelven todos los campos. Los valores anidados específicos se pueden recuperar con el parámetro Nested Keys Delimiter para separar las claves y los índices de la lista.
Nested Keys Delimiter	Es opcional. Es el carácter que se usa para separar las claves anidadas cuando se solicitan campos específicos. Esto te permite recuperar valores de objetos anidados. El delimitador no puede ser una coma(,).

Resultados de la acción

La acción Get Case Details proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado en formato JSON que se recibe cuando se usa la acción Get Case Details:

{
"id": 24879,
"creationTimeUnixTimeInMs": 1750862500562,
"modificationTimeUnixTimeInMs": 1750862500562,
"name": "Malware",
"priority": -1,
"isImportant": false,
"isIncident": false,
"startTimeUnixTimeInMs": 1727243021999,
"endTimeUnixTimeInMs": 1727243022479,
"assignedUser": "@Tier1",
"description": null,
"isTestCase": true,
"type": 1,
"stage": "Triage",
"environment": "Default Environment",
"status": 1,
"incidentId": null,
"tags": ["hi", "Simulated Case"],
"alertCards": [{
  "id": 172354,
  "creationTimeUnixTimeInMs": 1750862500651,
  "modificationTimeUnixTimeInMs": 1750862500651,
  "identifier": "EICAR_TEST_VANSHIKAVW-TEST-NEW0CC43705-04A7-43FD-88CD-B3E7FECA881D",
  "status": 0,
  "name": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "priority": -1,
  "workflowsStatus": 1,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "startTime": 1727243021999,
  "endTime": 1727243022479,
  "alertGroupIdentifier": "MalwareSFBrxjAXvKJsJyKe5iQalf00zrv/QwX966dRoEyP2eA=_8cc160b5-7039-421c-926c-1a98073f11d2",
  "eventsCount": 3,
  "title": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "ruleGenerator": "Malware",
  "deviceProduct": "SentinelOneV2",
  "deviceVendor": "SentinelOneV2",
  "playbookAttached": "Testing",
  "playbookRunCount": 1,
  "isManualAlert": false,
  "sla": {
    "slaExpirationTime": null,
    "criticalExpirationTime": null,
    "expirationStatus": 2,
    "remainingTimeSinceLastPause": null
    },
  "fieldsGroups": [],
  "sourceUrl": null,
  "sourceRuleUrl": null,
  "siemAlertId": null,
  "relatedCases": [],
  "lastSourceUpdateUnixTimeInMs": null,
  "caseId": 24879,
  "nestingDepth": 0
  }],
"isOverflowCase": false,
"isManualCase": false,
"slaExpirationUnixTime": null,
"slaCriticalExpirationUnixTime": null,
"stageSlaExpirationUnixTimeInMs": null,
"stageSlaCriticalExpirationUnixTimeInMs": null,
"canOpenIncident": false,
"sla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null
  },
"stageSla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null},
  "relatedAlertTicketId": null,
  "relatedAlertCards": []
  }

Mensajes de salida

La acción Get Case Details puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Finished executing "Get Case Details" successfully	La acción se completó correctamente.
Error executing action "Get Case Details". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Get Case Details:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Obtener el valor del contexto del conector

Usa la acción Get Connector Context Value para recuperar un valor de una clave especificada en la base de datos de Google SecOps para un contexto del conector.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Connector Context Value requiere los siguientes parámetros:

Parámetro	Descripción
Connector Identifier	Obligatorio. Es el identificador único del conector del que se recuperará el valor de contexto.
Key Name	Obligatorio. Es la clave con la que se almacena el valor del contexto.
Create Case Wall Table	Es opcional. Si se selecciona, la acción crea una tabla de muro de casos con el valor de contexto recuperado. La tabla no se creará si el valor recuperado supera el límite de caracteres. Está habilitada de forma predeterminada.

Resultados de la acción

La acción Get Connector Context Value proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	Disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Tabla del muro de casos

La acción Get Connector Context Value puede generar la siguiente tabla:

Nombre de la tabla: Connector

Columnas de la tabla:

• Identificador del conector
• Clave
• Valor

Mensajes de salida

La acción Get Connector Context Value puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER. Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER. Action can't return the Case Wall table as the context values are too big.	La acción se completó correctamente.
Error executing action "Get Connector Context Value". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Get Connector Context Value:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Obtener valores de campos personalizados

Usa la acción Get Custom Field Values para recuperar los valores actuales de un campo personalizado según el alcance especificado.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Custom Field Values requiere los siguientes parámetros:

Parámetro	Descripción
Scope	Obligatorio. Es el alcance desde el que se recuperarán los campos personalizados. Los valores posibles son los siguientes: Case Alert All

Resultados de la acción

La acción Get Custom Field Values proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Get Custom Field Values:

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]

Mensajes de salida

La acción Get Custom Field Values puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully returned SCOPE custom fields. No custom fields were found in scope SCOPE.	La acción se completó correctamente.
Error executing action "Get Custom Field Values". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Get Custom Field Values:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Obtén el valor del contexto del alcance

Usa la acción Get Scope Context Value para recuperar un valor de la base de datos de Google SecOps que se almacena con una clave y un contexto especificados.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Scope Context Value requiere los siguientes parámetros:

Parámetro	Descripción
Context Scope	Obligatorio. Es el alcance del contexto desde el que se recuperará el valor. Los valores posibles son los siguientes: Not specified Alert Case Global El valor predeterminado es Not specified.
Key Name	Obligatorio. Es la clave con la que se almacena el valor en el contexto especificado.
Create Case Wall Table	Es opcional. Si se selecciona, la acción crea una tabla de muro de casos con el valor de contexto recuperado. La tabla no se creará si el valor recuperado supera el límite de caracteres. Está habilitada de forma predeterminada.

Resultados de la acción

La acción Get Scope Context Value proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	Disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Tabla del muro de casos

La acción Get Scope Context Value puede generar la siguiente tabla:

Nombre de la tabla: SCOPE

Columnas de la tabla:

• Clave
• Valor

Mensajes de salida

La acción Get Scope Context Value puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. No context values were found for the provided context scope CONTEXT_SCOPE. Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. Action can't return the Case Wall table as the context values are too big.	La acción se completó correctamente.
Error executing action "Get Scope Context Value". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Get Scope Context Value:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Obtener casos similares

Usa la acción Get Similar Cases para buscar casos similares y devolver sus IDs.

La acción aplica el operador lógico AND a los parámetros Rule Generator, Port, Category Outcome, Entity Identifier, Include Open Cases y Include Closed Cases para filtrar los casos que coincidan con todos los criterios especificados.

Esta acción se ejecuta en todas las entidades de SecOps de Google.

Entradas de acción

La acción Get Similar Cases requiere los siguientes parámetros:

Parámetro	Descripción
Rule Generator	Es opcional. Si se selecciona esta opción, la acción busca casos similares con el generador de reglas. Está habilitada de forma predeterminada.
Port	Es opcional. Si se selecciona esta opción, la acción buscará casos similares usando números de puerto. Está habilitada de forma predeterminada.
Category Outcome	Es opcional. Si se selecciona, la acción busca casos similares utilizando el resultado de la categoría. Está habilitada de forma predeterminada.
Entity Identifier	Es opcional. Si se selecciona esta opción, la acción buscará casos similares con el identificador de entidad. Está habilitada de forma predeterminada.
Days Back	Obligatorio. Es la cantidad de días anteriores a la fecha actual en los que se realizará la búsqueda de la acción.
Include Open Cases	Es opcional. Si se selecciona, la acción incluye los casos abiertos en la búsqueda. Está habilitada de forma predeterminada.
Include Closed Cases	Es opcional. Si se selecciona, la acción incluye los casos cerrados en la búsqueda. Está habilitada de forma predeterminada.

Resultados de la acción

La acción Get Similar Cases proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Get Similar Cases:

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}

Mensajes de salida

La acción Get Similar Cases puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST	La acción se completó correctamente.
Error executing action "Get Similar Cases". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Get Similar Cases:

Nombre del resultado de la secuencia de comandos	Valor
SimilarCasesIds	Es una lista de IDs de casos similares.

Instrucción

Usa la acción Instrucción para proporcionar instrucciones a un analista directamente en el caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Instruction requiere los siguientes parámetros:

Parámetro	Descripción
Instruction	Obligatorio. Son las instrucciones para el analista.

Resultados de la acción

La acción Instrucción proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Add Vote To Entity puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Please perform the following instructions: INSTRUCTION.	La acción se completó correctamente.
Error executing action "Instruction". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Instruction:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Está en la lista personalizada

Usa la acción Is In Custom List para verificar si una entidad existe en una lista personalizada designada.

Esta acción se ejecuta en todas las entidades de SecOps de Google.

Entradas de acción

La acción Is In Custom List requiere los siguientes parámetros:

Parámetro	Descripción
Category	Obligatorio. Es el nombre de la categoría de la lista personalizada que se buscará.

Resultados de la acción

La acción Is In Custom List proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Is In Custom List puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
This alert contains entities in the given custom list category: CATEGORY. This alert does not contain entities in the given custom list category: CATEGORY.	La acción se completó correctamente.
Error executing action "Is In Custom List". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Is In Custom List:

Nombre del resultado de la secuencia de comandos	Valor
ScriptResult	true o false

Marcar como importante

Usa la acción Marcar como importante para marcar el caso como importante.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Marcar como importante proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Marcar como importante puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The case was automatically marked as important.	La acción se completó correctamente.
Error executing action "Mark As Important". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Marcar como importante:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

URL de la Web abierta

Usa la acción Open Web Url para generar un vínculo del navegador.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Open Web Url requiere los siguientes parámetros:

Parámetro	Descripción
Title	Obligatorio. Es el título de la URL.
URL	Obligatorio. Es la URL de destino.

Resultados de la acción

La acción Open Web Url proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Open Web Url puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
URL_TITLE URL_LINK	La acción se completó correctamente.
Error executing action "Open Web Url". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Open Web Url:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Pausar el ANS de la alerta

Usa la acción Pausar el ANS de la alerta para pausar el temporizador del Acuerdo de Nivel de Servicio (ANS) de la alerta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Pausar el ANS de la alerta requiere los siguientes parámetros:

Parámetro	Descripción
Message	Es opcional. Es el motivo por el que se pausó el ANS de la alerta.

Resultados de la acción

La acción Pausar el ANS de la alerta proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Pausar el ANS de la alerta puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The alert SLA was paused.	La acción se completó correctamente.
Error executing action "Pause Alert SLA". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Pausar alerta del ANS:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Pausar el ANS del caso

Usa la acción Pausar el ANS del caso para pausar el temporizador del Acuerdo de Nivel de Servicio (ANS) del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Pausar el ANS del caso requiere los siguientes parámetros:

Parámetro	Descripción
Message	Es opcional. Es el motivo por el que se pausa el ANS del caso.

Resultados de la acción

La acción Pause Case SLA proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Pausar el ANS del caso puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The Case SLA was paused successfully.	La acción se completó correctamente.
Error executing action "Pause Case SLA". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Pause Case SLA:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Hora de alerta permitida

Usa la acción Permitted Alert Time para verificar si la hora de inicio de la alerta cumple con las condiciones de tiempo definidas por el usuario.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Permitted Alert Time requiere los siguientes parámetros:

Parámetro	Descripción
Timestamp Type	Es opcional. Es el tipo de marca de tiempo que se usará para la comparación. Los valores posibles son los siguientes: Alert Start Time Alert Creation Time Case Creation Time El valor predeterminado es Alert Start Time.
Permitted Start Time	Obligatorio. Es la hora de inicio del período permitido para las alertas, como 0:00:00.
Permitted End Time	Obligatorio. Hora de finalización del período permitido para las alertas, por ejemplo, 0:00:00.
Monday	Es opcional. Si se selecciona, la acción incluye los lunes en los días permitidos para las alertas. No está habilitado de forma predeterminada.
Tuesday	Es opcional. Si se selecciona, la acción incluye los martes en los días permitidos para las alertas. Está habilitada de forma predeterminada.
Wednesday	Es opcional. Si se selecciona, la acción incluye los miércoles en los días permitidos para las alertas. Está habilitada de forma predeterminada.
Thursday	Es opcional. Si se selecciona, la acción incluye los jueves en los días permitidos para las alertas. No está habilitado de forma predeterminada.
Friday	Es opcional. Si se selecciona, la acción incluye los viernes en los días permitidos para las alertas. No está habilitado de forma predeterminada.
Saturday	Es opcional. Si se selecciona, la acción incluye los sábados en los días permitidos para las alertas. No está habilitado de forma predeterminada.
Sunday	Es opcional. Si se selecciona, la acción incluye los domingos en los días permitidos para las alertas. No está habilitado de forma predeterminada.
Input Timezone	Es opcional. Esta acción admite zonas horarias estándar, como UTC, además de zonas IANA, como America/New_York. Si proporcionas una zona de IANA, la acción se ajustará automáticamente al horario de verano.

Resultados de la acción

La acción Permitted Alert Time proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Permitted Alert Time puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS	La acción se completó correctamente.
Error executing action "Permitted Alert Time". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Permitted Alert Time:

Nombre del resultado de la secuencia de comandos	Valor
Permitted	true o false

Ping

Usa la acción Ping para probar la conectividad a Siemplify.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Ping puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Email address is syntactically correct.	La acción se completó correctamente.
Error executing action "Ping". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Generar incidente

Usa la acción Raise Incident para marcar un caso de verdadero positivo como Critical y generar el incidente del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Raise Incident requiere los siguientes parámetros:

Parámetro	Descripción
Soc Role	Es opcional. Es el rol del SOC de Google SecOps al que se asignará el caso.

Resultados de la acción

La acción Raise Incident proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Raise Incident puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The case raised to CASE_STAGE status.	La acción se completó correctamente.
Error executing action "Raise Incident". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Raise Incident:

Nombre del resultado de la secuencia de comandos	Valor
Resultado de secuencia de comandos	true o false

Quitar etiqueta

Usa la acción Remove Tag para quitar etiquetas del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Remove Tag requiere los siguientes parámetros:

Parámetro	Descripción
Tag	Obligatorio. Lista de etiquetas separadas por comas que se quitarán del caso.

Resultados de la acción

La acción Remove Tag proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Remove Tag puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully removed the following tags from case CASE_ID:TAGS	La acción se completó correctamente.
It is not possible to remove the tag. Error executing action "Remove Tag". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Remove Tag:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Quitar de la lista personalizada

Usa la acción Quitar de la lista personalizada para quitar entidades asociadas con una alerta de una categoría de lista personalizada.

Esta acción se ejecuta en todas las entidades de SecOps de Google.

Entradas de acción

La acción Remove From Custom List requiere los siguientes parámetros:

Parámetro	Descripción
Category	Obligatorio. Es el nombre de la categoría de la lista personalizada de la que se quitará el identificador de la entidad.

Resultados de la acción

La acción Remove From Custom List proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Remove From Custom List puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The alert's entities ENTITY_ID were removed from custom list category: CATEGORY The given category does not exist.	La acción se completó correctamente.
Error executing action "Remove From Custom List". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Remove From Custom List:

Nombre del resultado de la secuencia de comandos	Valor
ScriptResult	true o false

Reanudar el ANS de la alerta

Usa la acción Reanudar el ANS de la alerta para reanudar y reiniciar el temporizador del Acuerdo de Nivel de Servicio (ANS) de la alerta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Reanudar el ANS de la alerta proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Reanudar el ANS de la alerta puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The alert SLA was resumed.	La acción se completó correctamente.
Error executing action "Resume Alert SLA". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Resume Alert SLA:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Reanudar el ANS del caso

Usa la acción Reanudar el ANS del caso para reanudar y reiniciar el temporizador del Acuerdo de Nivel de Servicio (ANS) del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Reanudar el ANS del caso proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Resume Case SLA puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
The Case SLA was resumed successfully.	La acción se completó correctamente.
Error executing action "Resume Case SLA". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Resume Case SLA:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Establece el ANS de la alerta

Usa la acción Set Alert SLA para configurar el temporizador del ANS de la alerta.

Nota: Esta acción anula cualquier ANS existente para la alerta.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Set Alert SLA requiere los siguientes parámetros:

Parámetro	Descripción
SLA Period	Obligatorio. Es la duración total del ANS antes de que se considere incumplido. El período total del ANS no puede exceder los 30 días. El valor predeterminado es 5.
SLA Time Unit	Obligatorio. Es la unidad de tiempo del período del ANS. Los valores posibles son los siguientes: Minutes Hours Days El valor predeterminado es Minutes.
SLA Time To Critical Period	Obligatorio. Es la duración del ANS antes de que entre en un estado crítico. El valor predeterminado es 4.
SLA Time To Critical Unit	Obligatorio. Es la unidad de tiempo del período crítico del ANS. Los valores posibles son los siguientes: Minutes Hours Days El valor predeterminado es Minutes.

Resultados de la acción

La acción Set Alert SLA proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Set Alert SLA puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	La acción se completó correctamente.
Error executing action "Set Alert SLA". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Set Alert SLA:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Establecer el ANS del caso

Usa la acción Set Case SLA para establecer el ANS del caso.

Esta acción tiene la prioridad más alta y anula el ANS existente definido para el caso específico.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Set Case SLA requiere los siguientes parámetros:

Parámetro	Descripción
SLA Period	Obligatorio. Es la duración total del ANS antes de que se considere incumplido. El período total del ANS no puede exceder los 30 días. El valor predeterminado es 5.
SLA Time Unit	Obligatorio. Es la unidad de tiempo del período del ANS. Los valores posibles son los siguientes: Minutes Hours Days El valor predeterminado es Minutes.
SLA Time To Critical Period	Es opcional. Es la duración del ANS antes de que entre en un estado crítico. El valor predeterminado es 4.
SLA Time To Critical Unit	Obligatorio. Es la unidad de tiempo del período crítico del ANS. Los valores posibles son los siguientes: Minutes Hours Days El valor predeterminado es Minutes.

Resultados de la acción

La acción Set Case SLA proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Search ASM Issues puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	La acción se completó correctamente.
Error executing action "Set Case SLA". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Set Case SLA:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Establecer campos personalizados

Usa la acción Set Custom Fields para establecer valores para los campos personalizados.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Set Custom Fields requiere los siguientes parámetros:

Parámetro	Descripción
Scope	Obligatorio. Es el alcance que se establecerá para los campos personalizados. Los valores posibles son los siguientes: Case Alert El valor predeterminado es Case.
Custom Fields Data	Obligatorio. Son los valores actualizados de los campos personalizados. Puedes actualizar varios campos personalizados en una sola ejecución de acción. El valor predeterminado es el siguiente: { "Custom Field Name 1":"Custom Field Value 1", "Custom Field Name 2":"Custom Field Value 2" }
Append Values	Es opcional. Si se selecciona, la acción agrega las entradas de Custom Fields Data a los valores existentes de los campos personalizados. Si no se selecciona, la acción reemplaza los valores existentes con las entradas del parámetro Custom Fields Data. No está habilitado de forma predeterminada.

Resultados de la acción

La acción Set Custom Fields proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Set Custom Fields:

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}

Mensajes de salida

La acción Set Custom Fields puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES	La acción se completó correctamente.
Error executing action "Set Custom Fields". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Set Custom Fields:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Establecer la puntuación de riesgo

Usa la acción Set Risk Score para actualizar la puntuación de riesgo del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Set Risk Score requiere los siguientes parámetros:

Parámetro	Descripción
Risk Score	Obligatorio. Es la puntuación de riesgo que se establecerá para el caso.

Resultados de la acción

La acción Set Risk Score proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Set Risk Score puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully set Risk Score for case CASE_ID	La acción se completó correctamente.
Error executing action "Set Risk Score". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Set Risk Score:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Establece el valor del contexto del alcance

Usa la acción Set Scope Context Value para establecer un valor para una clave que se almacena en la base de datos de Google SecOps.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Set Scope Context Value requiere los siguientes parámetros:

Parámetro	Descripción
Context Scope	Obligatorio. Es el alcance del contexto desde el que se recuperarán los datos. Los valores posibles son los siguientes: Not specified Alert Case Global El valor predeterminado es Not specified.
Key Name	Obligatorio. Es el nombre de la clave desde la que se recuperará el valor correspondiente.
Key Value	Obligatorio. Valor que se almacenará con la clave especificada.

Resultados de la acción

La acción Set Scope Context Value proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Set Scope Context Value puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE.	La acción se completó correctamente.
Error executing action "Set Scope Context Value". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado del script cuando se usa la acción Set Scope Context Value:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Actualiza la descripción del caso

Usa la acción Update Case Description para actualizar la descripción del caso.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Update Case Description requiere los siguientes parámetros:

Parámetro	Descripción
Description	Obligatorio. Es la descripción que se establecerá para el caso.

Resultados de la acción

La acción Update Case Description proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Update Case Description puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully updated the case description.	La acción se completó correctamente.
Error executing action "Update Case Description". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Update Case Description:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Esperar campos personalizados

Usa la acción Wait For Custom Fields para esperar los valores de los campos personalizados y continuar con la ejecución del playbook.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Wait For Custom Fields requiere los siguientes parámetros:

Parámetro	Descripción
Scope	Obligatorio. Es el alcance que se establecerá para los campos personalizados. Los valores posibles son los siguientes: Case Alert El valor predeterminado es Case.
Custom Fields Data	Obligatorio. Son las condiciones de los campos personalizados que se deben cumplir para reanudar un manual. Los nombres de los campos personalizados y sus valores obligatorios deben configurarse como un objeto JSON. Si estableces condiciones para varios campos, la acción espera a que todos los campos coincidan con sus respectivas condiciones. Para reanudar la ejecución cuando un campo personalizado tenga cualquier valor, configura una cadena vacía: {"Custom Field Name": ""} Para reanudar la campaña cuando un campo personalizado sea igual a un valor específico, como VALUE_1, especifica el valor: {"Custom Field Name": "VALUE_1"} El valor predeterminado muestra el formato JSON esperado: { "Custom Field Name 1": "Custom Field Value 1", "Custom Field Name 2": "Custom Field Value 2" }

Resultados de la acción

La acción Wait For Custom Fields proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Wait For Custom Fields:

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}

Mensajes de salida

La acción Wait For Custom Fields puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES Waiting for SCOPE custom fields updates...	La acción se completó correctamente.
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Wait For Custom Fields:

Nombre del resultado de la secuencia de comandos	Valor
is_success	true o false

Trabajos

Para obtener más información sobre los trabajos, consulta Configura un trabajo nuevo y Programación avanzada.

Siemplify: Actions Monitor

Usa el trabajo Siemplify - Actions Monitor para recibir notificaciones sobre las acciones que fallaron al menos tres veces por separado en las últimas tres horas.

Parámetros del trabajo

El trabajo Siemplify - Actions Monitor requiere los siguientes parámetros:

Parámetro	Descripción
Run Interval In Seconds	Es opcional. Es el intervalo, en segundos, para que se ejecute el trabajo. Este parámetro determina la frecuencia con la que la integración verifica si hay acciones del playbook fallidas. El valor predeterminado es 900.
Is Enabled	Es opcional. Si se selecciona, el trabajo estará activo y se ejecutará según la programación. Cuando no se selecciona, el trabajo se inhabilita y no se ejecuta. Está habilitada de forma predeterminada.

Siemplify - Base de datos del recopilador de casos

Usa el trabajo Siemplify - Cases Collector DB para recuperar y procesar casos de seguridad de un publicador designado.

Parámetros del trabajo

El trabajo Siemplify - Cases Collector DB requiere los siguientes parámetros:

Parámetro	Descripción
Publisher Id	Obligatorio. Es el ID del publicador del que se recopilarán los casos y los registros.
Verify SSL	Es opcional. Si se selecciona, el trabajo verifica que el certificado SSL del publicador sea válido. No está habilitado de forma predeterminada.

Siemplify: Logs Collector

Usa el trabajo Siemplify - Logs Collector para recuperar y procesar registros de un publicador especificado.

Entradas de trabajo

El trabajo Siemplify - Logs Collector requiere los siguientes parámetros:

Parámetro	Descripción
Publisher Id	Obligatorio. ID del publicador del que se recopilarán los registros.
Verify SSL	Es opcional. Si se selecciona, el trabajo verifica que el certificado SSL del editor sea válido. No está habilitado de forma predeterminada.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.