Intégrer Siemplify à Google SecOps

Ce document explique comment intégrer Siemplify à Google Security Operations (Google SecOps).

Cas d'utilisation

L'intégration de Siemplify peut répondre aux cas d'utilisation suivants :

• Investigation sur l'hameçonnage : utilisez les fonctionnalités de Google SecOps pour automatiser le processus d'analyse des e-mails d'hameçonnage, d'extraction des indicateurs de compromission (IoC) et d'enrichissement de ces indicateurs avec des renseignements sur les menaces.

• Confinement des logiciels malveillants : utilisez les fonctionnalités de Google SecOps pour isoler automatiquement les points de terminaison infectés, lancer des analyses et mettre en quarantaine les fichiers malveillants dès qu'un logiciel malveillant est détecté.

• Gestion des failles : utilisez les fonctionnalités de Google SecOps pour orchestrer les analyses de failles, hiérarchiser les failles en fonction des risques et créer automatiquement des tickets pour les corriger.

• Recherche de menaces : utilisez les fonctionnalités de Google SecOps pour automatiser l'exécution des requêtes de recherche de menaces sur différents outils de sécurité et ensembles de données.

• Tri des alertes de sécurité : utilisez les fonctionnalités de Google SecOps pour enrichir automatiquement les alertes de sécurité avec des informations contextuelles, les mettre en corrélation avec d'autres événements et les hiérarchiser en fonction de leur gravité.

• Réponse aux incidents : utilisez les fonctionnalités de Google SecOps pour orchestrer l'ensemble du processus de réponse aux incidents, de la détection initiale à la maîtrise et à l'éradication.

• Rapports de conformité : utilisez les fonctionnalités de Google SecOps pour automatiser la collecte et l'analyse des données de sécurité pour les rapports de conformité.

Avant de commencer

Cette intégration fournit des fonctionnalités de plate-forme natives et ne nécessite pas de clés API ni d'identifiants tiers externes pour l'authentification. Avant de commencer, assurez-vous que l'intégration est installée à partir du Content Hub dans votre instance Google SecOps.

Paramètres d'intégration

L'intégration Siemplify nécessite les paramètres suivants :

Paramètre	Description
Monitors Mail Recipients	Obligatoire. Liste d'adresses e-mail séparées par une virgule pour la validation dans les workflows liés aux e-mails de l'intégration. Cette liste permet de définir les destinataires du traitement. La valeur par défaut est [e-mail],[e-mail].
Elastic Server Address	Obligatoire. Adresse du serveur Elastic utilisé pour se connecter à la base de données Siemplify. Il s'agit généralement de l'adresse de la machine hôte sur laquelle l'instance Elastic s'exécute. La valeur par défaut est localhost.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ajouter un insight sur l'entité

Utilisez l'action Ajouter un insight d'entité pour ajouter un insight à une entité Google SecOps dans Siemplify.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

L'action Ajouter un insight d'entité nécessite les paramètres suivants :

Paramètre	Description
Message	Obligatoire. Message à ajouter à l'entité. Ce paramètre accepte les éléments HTML, tels que : En-têtes (<h1></h1>, <h2></h2>) Paragraphes (<p></p>) Mise en forme du texte (<b></b>, <i></i>, <br>) Liens (<a href="example.com"></a>).

Sorties de l'action

L'action Ajouter un insight d'entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un insight d'entité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Added insight with message MESSAGE to ENTITY_ID.	L'action a réussi.
Error executing action "Add Entity Insight". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter un insight d'entité :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter un insight général

Utilisez l'action Ajouter un insight général pour ajouter un insight général à la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Ajouter un insight général nécessite les paramètres suivants :

Paramètre	Description
Title	Obligatoire. Titre de l'insight.
Message	Obligatoire. Message à ajouter à l'entité. Ce paramètre accepte les éléments HTML, tels que : En-têtes (<h1></h1>, <h2></h2>) Paragraphes (<p></p>) Mise en forme du texte (<b></b>, <i></i>, <br>) Liens (<a href="example.com"></a>).
Triggered By	Facultatif. Un champ de texte libre permettant de justifier l'insight, en expliquant pourquoi il a été ajouté à la demande.

Sorties de l'action

L'action Ajouter un insight général fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un insight général peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Added insight with message MESSAGE.	L'action a réussi.
Error executing action "Add General Insight". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter un insight général :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter des tags aux demandes similaires

Utilisez l'action Ajouter des tags aux demandes similaires pour ajouter des tags aux demandes similaires.

Pour trouver des demandes similaires, l'action utilise la fonction siemplify.get_similar_cases() pour récupérer une liste de numéros de demande en fonction d'un ensemble de critères et de paramètres.

L'opérateur logique AND est appliqué aux paramètres Rule Generator, Port, Category Outcome et Entity Identifier pour filtrer les demandes correspondant à tous les critères spécifiés.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Ajouter des tags à des demandes d'assistance similaires nécessite les paramètres suivants :

Paramètre	Description
Rule Generator	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du générateur de règles. Cette option est activée par défaut.
Port	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide des numéros de port. Cette option est activée par défaut.
Category Outcome	Facultatif. Si cette option est sélectionnée, l'action recherche des demandes similaires à l'aide du résultat de la catégorie. Cette option est activée par défaut.
Entity Identifier	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide de l'identifiant d'entité. Cette option est activée par défaut.
Days Back	Obligatoire. Nombre de jours précédant la date actuelle pour rechercher des demandes similaires.
Tags	Obligatoire. Liste de tags séparés par une virgule à appliquer aux demandes similaires trouvées.

Sorties de l'action

L'action Ajouter des tags aux demandes similaires fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter des tags aux demandes similaires peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS	L'action a réussi.
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur du résultat du script lors de l'utilisation de l'action Ajouter des tags aux demandes similaires :

Nom du résultat du script	Valeur
SimilarCasesIds	Liste des numéros de demande similaires.

Ajouter à la liste personnalisée

Utilisez l'action Ajouter à une liste personnalisée pour ajouter un identifiant d'entité à une liste personnalisée catégorisée et effectuer des comparaisons ultérieures dans d'autres actions.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

L'action Ajouter à la liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Nom de la catégorie de liste personnalisée à laquelle ajouter l'identifiant d'entité.

Sorties de l'action

L'action Ajouter à une liste personnalisée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter à une liste personnalisée peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.	L'action a réussi.
Error executing action "Add to Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter à la liste personnalisée :

Nom du résultat du script	Valeur
is_success	true ou false

Attribuer un cas

Utilisez l'action Attribuer une demande pour attribuer la demande à un utilisateur ou à un groupe d'utilisateurs spécifique.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Assigner une demande nécessite les paramètres suivants :

Paramètre	Description
Assigned User	Facultatif. L'utilisateur ou le groupe d'utilisateurs auquel attribuer la demande (accepte un objet User). Si les options Assigned User et Assignee sont fournies, l'action utilise Assigned User.
Assignee	Facultatif. Utilisateur ou groupe d'utilisateurs auquel attribuer la demande (accepte une valeur de chaîne). Si les options Assigned User et Assignee sont fournies, l'action utilise Assigned User.
Case ID	Facultatif. Liste de numéros de demande à mettre à jour, séparés par une virgule. Si aucune valeur n'est fournie, l'action met à jour la demande à partir de laquelle elle est exécutée.

Sorties de l'action

L'action Attribuer une demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter à une liste personnalisée peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated case CASE_ID.	L'action a réussi.
Error executing action "Assign Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Attribuer une demande :

Nom du résultat du script	Valeur
is_success	true ou false

Associer un playbook à l'alerte

Utilisez l'action Associer un playbook à une alerte pour associer un playbook spécifique à l'alerte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Associer un playbook à une alerte nécessite les paramètres suivants :

Paramètre	Description
Playbook Name	Obligatoire. Nom du playbook à associer à l'alerte actuelle. Le playbook doit être activé pour que l'action réussisse.
Allow Duplicates	Facultatif. Si cette option est sélectionnée, le playbook peut être associé à l'alerte plusieurs fois. Cette option est activée par défaut.

Sorties de l'action

L'action Associer un playbook à une alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Rechercher des graphiques peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.	L'action a réussi.
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Associer un playbook à une alerte :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Associer un playbook à une demande d'assistance

Utilisez l'action Associer un playbook à un cas pour associer un playbook au cas dans Google SecOps.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Associer un playbook à une demande nécessite les paramètres suivants :

Paramètre	Description
Playbook Name	Obligatoire. Nom du playbook à associer à la demande.

Sorties de l'action

L'action Associer un playbook à une demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Associer un playbook à un cas peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully attached the PLAYBOOK_NAME playbook to the case.	L'action a réussi.
The PLAYBOOK_NAME playbook was already attached to the case.	Échec de l'action. Le playbook spécifié n'existe pas sur la plate-forme.
Error executing action "Attach Playbook to Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les autorisations.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Associer un playbook à une demande :

Nom du résultat du script	Valeur
is_success	true ou false

Commentaire sur la demande

Utilisez l'action Commentaire sur la demande pour ajouter un commentaire à la demande dans laquelle l'alerte actuelle est regroupée.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Commentaire de demande nécessite les paramètres suivants :

Paramètre	Description
Comment	Obligatoire. Commentaire à ajouter à la demande.

Sorties de l'action

L'action Commentaire de demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Comment added to case: CASE_COMMENT.	L'action a réussi.
Error executing action "Case Comment". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Commentaire de demande :

Nom du résultat du script	Valeur
SuccessStatus	true ou false

Tag de cas

Utilisez l'action Tag de demande pour ajouter un tag à la demande dans laquelle l'alerte actuelle est regroupée.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Case Tag (Tag de cas) nécessite les paramètres suivants :

Paramètre	Description
Tag	Obligatoire. Tag à ajouter à la demande d'assistance. Si Delimiter est fourni, l'entrée est divisée en fonction du délimiteur, et plusieurs tags sont ajoutés à la demande.
Delimiter	Facultatif. Délimiteur permettant de diviser la valeur de Tag. Si aucune valeur n'est fournie, le délimiteur n'est pas appliqué.

Sorties de l'action

L'action Case Tag fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Case Tag :

{
   "added_tags": ["123", "321"]
}

Messages de sortie

L'action Case Tag peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added tags to the case CASE_ID.	L'action a réussi.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Case Tag :

Nom du résultat du script	Valeur
is_success	true ou false

Modifier la priorité de l'alerte

Utilisez l'action Modifier la priorité de l'alerte pour mettre à jour la priorité d'une alerte dans une demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Remarque : Dans Google SecOps, la priorité d'alerte la plus élevée détermine par défaut la priorité de la demande.

Par exemple, si la priorité du cas est Medium, cela signifie qu'au moins une alerte parmi toutes les alertes regroupées dans le cas a une priorité Medium, tandis que les autres ont des priorités inférieures, telles que Low ou Informative.

Si vous définissez la priorité de la demande sur Low, Google SecOps l'écrase et la remplace par Low.

Si vous définissez la priorité d'une alerte d'un cas sur High, Google SecOps définit automatiquement la priorité du cas sur High.

Entrées de l'action

L'action Modifier la priorité de l'alerte nécessite les paramètres suivants :

Paramètre	Description
Alert Priority	Obligatoire. Nouvelle priorité de l'alerte. Si la priorité de l'alerte est mise à jour pour être supérieure à la priorité actuelle de la demande, la priorité de la demande sera automatiquement mise à jour pour correspondre à la nouvelle priorité plus élevée. Les valeurs possibles sont les suivantes : Informative Low Medium High Critical

Sorties de l'action

L'action Modifier la priorité de l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The alert priority was set to NEW_PRIORITY_LEVEL.	L'action a réussi.
Error executing action "Change Alert Priority". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier la priorité de l'alerte :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Modifier l'étape de traitement du cas

Utilisez l'action Modifier l'étape de traitement du cas pour modifier l'étape de traitement du cas.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Modifier l'étape de l'incident nécessite les paramètres suivants :

Paramètre	Description
Stage	Obligatoire. Étape vers laquelle déplacer la demande. Les valeurs possibles sont les suivantes : Triage Assessment Investigation Incident Improvement Research

Sorties de l'action

L'action Modifier l'étape de traitement du cas fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Case stage was successfully changed to NEW_CASE_STAGE.	L'action a réussi.
Error executing action "Change Case Stage". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier l'étape de la demande :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Changer la priorité

Utilisez l'action Modifier la priorité pour modifier la priorité de la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Modifier la priorité nécessite les paramètres suivants :

Paramètre	Description
Priority	Obligatoire. Priorité à définir pour la demande. Les valeurs possibles sont les suivantes : Informative Low Medium High Critical

Sorties de l'action

L'action Modifier la priorité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Modifier la priorité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The case priority was set to NEW_CASE_PRIORITY	L'action a réussi.
Error executing action "Change Priority". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur du résultat du script lors de l'utilisation de l'action Modifier la priorité :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Fermer l'alerte

Utilisez l'action Fermer l'alerte pour fermer l'alerte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Fermer l'alerte nécessite les paramètres suivants :

Paramètre	Description
Reason	Obligatoire. Classification principale de la clôture de l'alerte. Les valeurs possibles sont les suivantes : Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatoire. Explication détaillée du problème technique qui a déclenché l'alerte.
Comment	Obligatoire. Notes, résumé de l'investigation ou contexte supplémentaire pour la clôture de l'alerte.
Assign to User	Facultatif. Utilisateur auquel attribuer l'alerte après sa clôture.
Tags	Facultatif. Liste de tags séparés par une virgule à associer à l'alerte pour la classification, le filtrage et la recherche ultérieure.
Custom Fields	Facultatif. Objet JSON contenant les champs personnalisés à mettre à jour lorsque l'alerte est fermée.
Append Custom Field Values	Facultatif. Si cette option est sélectionnée, l'action ajoute les valeurs JSON fournies aux champs personnalisés existants. Si cette option n'est pas sélectionnée, l'action remplace les valeurs existantes par celles fournies dans l'objet JSON. Désactivé par défaut

Sorties de l'action

L'action Fermer l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON	L'action a réussi.
Error executing action "Close Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Fermer l'alerte :

Nom du résultat du script	Valeur
StatusResult	true ou false

Clôturer le cas

Utilisez l'action Fermer la demande pour fermer la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Fermer la demande nécessite les paramètres suivants :

Paramètre	Description
Reason	Obligatoire. Classification principale de la clôture de l'alerte. Les valeurs possibles sont les suivantes : Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatoire. Explication détaillée du problème technique qui a déclenché l'alerte.
Comment	Obligatoire. Notes, résumé de l'investigation ou contexte supplémentaire pour la clôture de l'alerte.
Custom Fields	Facultatif. Objet JSON contenant les champs personnalisés à mettre à jour lorsque la demande est clôturée.
Append Custom Field Values	Facultatif. Si cette option est sélectionnée, l'action ajoute les valeurs JSON fournies aux champs personnalisés existants. Si cette option n'est pas sélectionnée, l'action remplace les valeurs existantes par celles fournies dans l'objet JSON. Désactivé par défaut

Sorties de l'action

L'action Fermer la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The case was closed. Root Cause: ROOT_CAUSE Comment: REASON	L'action a réussi.
Error executing action "Close Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Fermer la demande :

Nom du résultat du script	Valeur
StatusResult	true ou false

Créer une entité

Utilisez l'action Créer une entité pour créer une entité et l'ajouter à une alerte.

Cette action s'exécute sur toutes les entités Google SecOps.

Remarque : Pour la version 5.6.2 et les versions ultérieures de la plate-forme Google SecOps, vous pouvez choisir le délimiteur directement dans les entrées de l'action et ignorer la configuration de la base de données.

Pour les versions 5.6.0 à 5.6.2 de la plate-forme Google SecOps, le délimiteur peut être configuré dans l'action Créer une entité ou dans la base de données.

Pour utiliser un délimiteur personnalisé (autre que celui par défaut), choisissez l'une des options suivantes :

• Remplacez le délimiteur par défaut (,) par votre délimiteur personnalisé dans les entrées d'action et dans la base de données.
• Modifiez le délimiteur dans la base de données et laissez le paramètre Delimiter vide dans cette action.

Entrées de l'action

L'action Créer une entité nécessite les paramètres suivants :

Paramètre	Description
Entities Identifies	Obligatoire. Liste d'identifiants d'entités à créer dans la demande, séparés par une virgule, par exemple VALUE1, VALUE2, VALUE3.
Delimiter	Facultatif. Délimiteur utilisé pour diviser l'entrée de Entities Identifies en plusieurs identifiants. Si aucune valeur n'est fournie, l'action traite l'entrée comme un identifiant d'entité unique. La valeur par défaut est ,.
Entity Type	Obligatoire. Type de l'entité à créer, par exemple HOST NAME, USER NAME ou IP Set.
Is Internal	Facultatif. Si cette option est sélectionnée, l'action marque les entités comme faisant partie d'un réseau interne. Non activé par défaut.
Is Suspicious	Facultatif. Si cette option est sélectionnée, l'action marque les entités comme suspectes. Non activé par défaut.

Sorties de l'action

L'action Créer une entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Créer une entité :

[
    {
        "additional_properties": {
            "OriginalIdentifier": "ACCOUNT_ID"
        },
        "alert_identifier": "ACCESS DISABLED ACCOUNTS",
        "case_identifier": 7113,
        "creation_time": 0,
        "entity_type": "USERUNIQNAME",
        "identifier": "ACCOUNT_ID",
        "is_artifact": false,
        "is_enriched": false,
        "is_internal": false,
        "is_pivot": false,
        "is_suspicious": false,
        "is_vulnerable": false,
        "modification_time": 0
    }
]

Messages de sortie

L'action Créer une entité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
ENTITY_IDS created successfully.	L'action a réussi.
Error executing action "Create Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Créer une entité :

Nom du résultat du script	Valeur
StatusResult	true ou false

Créer un résumé de demande Gemini

Utilisez l'action Créer un résumé de demande Gemini pour créer un résumé de demande Gemini et l'ajouter à une alerte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Créer un résumé de demande Gemini fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Créer un résumé de demande Gemini :

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}

Messages de sortie

L'action Créer un résumé de demande Gemini peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Case summary generation completed.	L'action a réussi.
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer un résumé de demande Gemini :

Nom du résultat du script	Valeur
is_success	true ou false

Créer ou mettre à jour des propriétés d'entité

Utilisez l'action Créer ou mettre à jour les propriétés de l'entité pour créer ou modifier les propriétés des entités dans le champ d'application de l'entité.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

L'action Créer ou mettre à jour des propriétés d'entité nécessite les paramètres suivants :

Paramètre	Description
Entity Field	Obligatoire. Champ d'entité à créer ou à mettre à jour.
Field Value	Obligatoire. Valeur du champ d'entité spécifié.

Sorties de l'action

L'action Créer ou mettre à jour des propriétés d'entité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Créer ou mettre à jour les propriétés de l'entité peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.	L'action a réussi.
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer ou mettre à jour les propriétés de l'entité :

Nom du résultat du script	Valeur
is_success	true ou false

Exporter un cas

Utilisez l'action Exporter la demande pour créer une archive contenant les informations et les pièces jointes de la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Remarque : La pièce jointe du mur de la demande ne doit pas dépasser 5 Mo.

Entrées de l'action

L'action Exporter une demande nécessite les paramètres suivants :

Paramètre	Description
Export Method	Facultatif. Destination et méthode de récupération de l'archive de l'action. Si l'option Case Wall est sélectionnée, l'archive est créée et placée sur le mur de la demande. Les valeurs possibles sont les suivantes : Case Wall File System La valeur par défaut est Case Wall.
Fields To Export	Facultatif. Liste de champs de demande séparés par une virgule à inclure dans l'exportation, par exemple alertCards, tags ou stageSlaExpirationUnixTimeInMs. Si aucune valeur n'est fournie, l'action exporte la demande avec toutes les métadonnées disponibles.
Include Attachments	Facultatif. Si cette option est sélectionnée, l'action inclut les pièces jointes dans l'archive. Cette option est activée par défaut.
Attachment Names	Facultatif. Liste de pièces jointes à inclure dans l'archive, séparées par une virgule. Si aucune valeur n'est fournie, l'action exporte toutes les pièces jointes et vous devez activer Include Attachments.

Sorties de l'action

L'action Exporter une demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre les résultats JSON reçus lors de l'utilisation de l'action Exporter une demande :

{
   "file_path": "/tmp/case_1_Default_Environment_1919191919.zip",
   "export_type": "case_wall/file_system"
}

Messages de sortie

L'action Exporter la demande peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully exported case CASE_ID.	L'action a réussi.
Error executing action "Export Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Exporter une demande :

Nom du résultat du script	Valeur
is_success	true ou false

Recevoir des alertes sur les demandes d'assistance

Utilisez l'action Obtenir les alertes de demande pour récupérer les alertes liées aux demandes spécifiées.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les alertes de demande nécessite les paramètres suivants :

Paramètre	Description
Case ID	Obligatoire. Liste de numéros de demande séparés par une virgule pour lesquels l'action récupère les alertes associées.
Alert ID	Facultatif. Liste d'ID d'alertes séparés par une virgule, limitant les alertes renvoyées. Ce paramètre n'est utilisé que lorsque Case ID contient des valeurs.
Fields To Return	Facultatif. Liste de champs à renvoyer dans le résultat JSON, séparés par une virgule. Pour récupérer des valeurs imbriquées, utilisez Nested Keys Delimiter pour associer des clés imbriquées et des index de liste. Par exemple, si le délimiteur est "." : key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1 Si aucune valeur n'est fournie, tous les champs sont renvoyés.
Nested Keys Delimiter	Facultatif. Caractère utilisé pour séparer les clés imbriquées et les index de liste lors de la définition des champs à renvoyer. Ce paramètre ne peut pas être une virgule (,).

Obtenir les détails de la demande d'assistance

Utilisez l'action Get Case Details (Obtenir les détails de la demande) pour obtenir toutes les données d'une demande (y compris les commentaires, les informations sur l'entité, les insights, les playbooks exécutés, les informations sur l'alerte et les événements).

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les détails de la demande nécessite les paramètres suivants :

Paramètre	Description
Case Id	Facultatif. ID de la demande dont vous souhaitez récupérer les détails. Si aucune valeur n'est fournie, l'action utilisera la casse actuelle.
Fields to Return	Facultatif. Liste de champs à renvoyer, séparés par une virgule. Si rien n'est fourni, tous les champs sont renvoyés. Vous pouvez récupérer des valeurs imbriquées spécifiques en utilisant le paramètre Nested Keys Delimiter pour séparer les clés et les index de liste.
Nested Keys Delimiter	Facultatif. Caractère utilisé pour séparer les clés imbriquées lors de la demande de champs spécifiques. Cela vous permet de récupérer des valeurs à partir d'objets imbriqués. Le délimiteur ne peut pas être une virgule(,).

Sorties de l'action

L'action Obtenir les détails de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les détails de la demande :

{
    "id": 1001,
    "creationTimeUnixTimeInMs": 1749547533606,
    "modificationTimeUnixTimeInMs": 1750073142090,
    "name": "Security-Incident-Phishing-01",
    "isImportant": false,
    "isIncident": false,
    "startTimeUnixTimeInMs": 1749547529741,
    "endTimeUnixTimeInMs": 1749547529741,
    "assignedUser": "@Tier1_Analyst",
    "description": "Potential phishing email detected with suspicious attachment.",
    "isTestCase": false,
    "incidentId": null,
    "lastModifyingUserId": "secops_admin",
    "createTime": 1749547533606,
    "updateTime": 1750073142090,
    "alertCount": 1,
    "type": "External",
    "overflowCase": false,
    "status": "Opened",
    "score": 21,
    "involvedSuspiciousEntity": false,
    "workflowStatus": "Completed",
    "source": "Security_Server",
    "products": [],
    "tasks": [],
    "displayName": "Phishing email detector",
    "stage": "Triage",
    "priority": "PriorityLow",
    "important": false,
    "assignee": "@Tier1_Analyst",
    "incident": false,
    "environment": "Production Environment",
    "relatedAlerts": [],
    "tags": [
        "Phishing"
    ],
    "alertCards": [
        {
            "id": 1024,
            "creationTimeUnixTimeInMs": 1749547533634,
            "modificationTimeUnixTimeInMs": 1750073142082,
            "identifier": "alert-phish-778899",
            "status": 0,
            "name": "SUSPICIOUS PHISHING EMAIL",
            "priority": 40,
            "workflowsStatus": 2,
            "slaExpirationUnixTime": 1749547833634,
            "slaCriticalExpirationUnixTime": 1749547773634,
            "startTime": 1749547529741,
            "endTime": 1749547529741,
            "alertGroupIdentifier": "group-id-554433",
            "eventsCount": 1,
            "title": "SUSPICIOUS PHISHING EMAIL",
            "ruleGenerator": "Phishing email detector",
            "deviceProduct": "Phishing email detector",
            "deviceVendor": "Corporate Email Gateway",
            "playbookAttached": "Phishing Response Playbook",
            "playbookRunCount": 1,
            "isManualAlert": false,
            "sla": {
                "slaExpirationTime": 1749547833634,
                "criticalExpirationTime": 1749547773634,
                "expirationStatus": 0,
                "remainingTimeSinceLastPause": null
            },
            "fieldsGroups": [],
            "sourceUrl": null,
            "sourceRuleUrl": null,
            "siemAlertId": null,
            "relatedCases": [],
            "lastSourceUpdateUnixTimeInMs": null,
            "nestingDepth": 0,
            "eventCount": 1,
            "caseId": 1001,
            "createTime": 1750684686624,
            "updateTime": 1750684686949,
            "product": "Microsoft:AccessDisabledAccounts",
            "displayName": "ACCESS DISABLED ACCOUNTS",
            "vendor": "Microsoft",
            "environment": "Production Environment",
            "ticketId": "c4db60fa-b510-414a-a462-c3f215809f96",
            "sourceSystemName": "Cloud App Security",
            "manual": false,
            "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1750684684139\",\"Alert_Id\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"TicketId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"DisplayId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"StartTime\":\"1750684684139\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"d85ca9a7-58a7-4329-b615-ebe3dcfc6fd1\",\"EstimatedStartTime\":\"1750684684139\"}",
            "securityEventCards": [
                {
                    "fields": [
                        {
                            "order": 0,
                            "groupName": "Highlighted Fields",
                            "isIntegration": false,
                            "isHighlight": true,
                            "items": [
                                {
                                    "originalName": "DestinationHostName",
                                    "name": "Destination Host Name",
                                    "value": "WORKSTATION-01.LOCAL"
                                }
                            ]
                        }
                    ],
                    "identifier": "d7ab8656-c862-498c-a266-69718e46b1b7",
                    "caseId": 1001,
                    "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                    "name": "Virus found",
                    "product": "symantec:endpoint:protection",
                    "port": null,
                    "sourceSystemName": "ArcSight ESM",
                    "outcome": null,
                    "time": 1766566370354,
                    "type": "Virus found",
                    "artifactEntities": []
                }
            ],
            "involvedRelations": [],
            "sourceIdentifier": "GCP_Ingestion",
            "playbookStatus": 0
        }
    ],
    "isOverflowCase": false,
    "isManualCase": false,
    "slaExpirationUnixTime": 1749547833634,
    "slaCriticalExpirationUnixTime": 1749547773634,
    "stageSlaExpirationUnixTimeInMs": null,
    "stageSlaCriticalExpirationUnixTimeInMs": null,
    "canOpenIncident": false,
    "sla": {
        "slaExpirationTime": 1749547833634,
        "criticalExpirationTime": 1749547773634,
        "expirationStatus": 0,
        "remainingTimeSinceLastPause": null
    },
    "stageSla": {
        "slaExpirationTime": null,
        "criticalExpirationTime": null,
        "expirationStatus": 2,
        "remainingTimeSinceLastPause": null
    },
    "relatedAlertTicketId": null,
    "relatedAlertCards": [],
    "activities": [
        {
            "id": "Activity-Insight-16",
            "creatorUserId": "security_bot",
            "activityId": 16,
            "activityType": "CaseInsight",
            "caseId": 1001,
            "createTime": 1750068343993,
            "updateTime": 1750068343993,
            "alertIdentifier": "alert-phish-778899",
            "activityDataJson": {
                "TriggeredBy": "SecurityAutomator",
                "EntityIdentifier": "URGENT: ACTION REQUIRED ON SALARY",
                "EntityData": {
                    "CaseId": 1001,
                    "AlertIdentifier": "alert-phish-778899",
                    "AlertStatus": 0,
                    "Identifier": "URGENT: ACTION REQUIRED ON SALARY",
                    "EntityType": "EMAILSUBJECT",
                    "IsInternal": true,
                    "IsSuspicious": false,
                    "IsArtifact": true,
                    "IsPivot": false,
                    "Environment": "Production Environment",
                    "FieldsGroups": [
                        {
                            "Order": 0,
                            "GroupName": "Default",
                            "IsIntegration": false,
                            "IsHighlight": false,
                            "Items": [
                                {
                                    "OriginalName": "Network_Priority",
                                    "Name": "Network Priority",
                                    "Value": "0"
                                }
                            ]
                        }
                    ],
                    "HighlightedFieldsGroups": [],
                    "IsManuallyCreated": false,
                    "SourceUrl": null
                },
                "Title": "Phishing Subject Insight",
                "Content": "Detected unusual keywords in subject line.",
                "Severity": 0,
                "InsightType": 1,
                "AdditionalDataType": null,
                "AdditionalData": null,
                "AdditionalDataTitle": null,
                "AlertIdentifiers": [
                    "ALERT_PHISH_INSTANCE_ID_001"
                ],
                "EntityType": "EMAILSUBJECT",
                "CreatorUserId": "system",
                "CreatorFullName": "System Administrator",
                "Id": 16,
                "Type": 6,
                "CaseId": 1001,
                "IsFavorite": false,
                "ModificationTimeUnixTimeInMs": 1750068343993,
                "CreationTimeUnixTimeInMs": 1750068343993,
                "AlertIdentifier": "ALERT_PHISH_INSTANCE_ID_001"
            },
            "favorite": false
        }
    ],
    "entityCards": [
        {
            "identifier": "WORKSTATION-01.LOCAL",
            "type": "HOSTNAME",
            "suspicious": false,
            "linkedEntities": [
                {
                    "identifier": "192.168.1.50",
                    "type": "ADDRESS",
                    "suspicious": false,
                    "linkedEntities": [],
                    "direction": 0
                }
            ]
        }
    ],
    "entities": [
        {
            "caseId": 1001,
            "type": "FILEHASH",
            "enriched": false,
            "artifact": true,
            "vulnerable": false,
            "suspicious": false,
            "attacker": false,
            "pivot": false,
            "internal": true,
            "manuallyCreated": false,
            "fields": [
                {
                    "highlighted": false,
                    "displayName": "Default",
                    "hidden": false,
                    "items": [
                        {
                            "name": "Network Priority",
                            "originalName": "Network_Priority",
                            "value": "0"
                        }
                    ]
                }
            ],
            "identifier": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
            "id": 505,
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "environment": "Production Environment",
            "additionalProperties": "{\"Type\":\"FILEHASH\",\"IsArtifact\":\"True\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"IsVulnerable\":\"False\",\"IsInternalAsset\":\"False\",\"OriginalIdentifier\":\"e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855\"}",
            "alertGroupIdentifier": "group-id-virus-scan-results",
            "networkPriority": 0
        }
    ],
    "totalSize": 1,
    "moveEnvironment": {},
    "insights": [
        {
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "caseId": 1001,
            "triggeredBy": "Analyst_John",
            "title": "Endpoint Discovery",
            "content": "Host workstation matched known internal asset list.",
            "entity": {
                "caseId": 1001,
                "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                "alertStatus": 0,
                "identifier": "WORKSTATION-01.LOCAL",
                "entityType": "HOSTNAME",
                "isInternal": true,
                "isSuspicious": false,
                "isArtifact": false,
                "isPivot": false,
                "environment": "Production Environment",
                "highlightedFieldsGroups": [],
                "isManuallyCreated": false,
                "sourceUrl": null,
                "fields": [
                    {
                        "order": 0,
                        "groupName": "Entity",
                        "isIntegration": false,
                        "isHighlight": false,
                        "items": [
                            {
                                "originalName": "IsPivot",
                                "name": "Is Pivot",
                                "value": "False"
                            }
                        ]
                    }
                ]
            },
            "severity": 0,
            "type": 6,
            "additionalDataType": null,
            "additionalData": null,
            "additionalDataTitle": null,
            "creatorUserName": "analyst_admin",
            "entityIdentifier": "WORKSTATION-01.LOCAL",
            "insightType": 1,
            "alertIdentifiers": [
                "SECURITY_RISK_FOUND_ID_998877"
            ],
            "entityType": "HOSTNAME",
            "creatorUserId": "user_id_101",
            "id": 444,
            "isFavorite": false,
            "modificationTimeUnixTimeInMs": 1766569221777,
            "creationTimeUnixTimeInMs": 1766569221777
        }
    ]
}

Messages de sortie

L'action Obtenir les détails de la demande peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Finished executing "Get Case Details" successfully	L'action a réussi.
Error executing action "Get Case Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Get Case Details (Obtenir les détails de la demande) :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir la valeur de contexte du connecteur

Utilisez l'action Obtenir la valeur du contexte du connecteur pour récupérer une valeur à partir d'une clé spécifiée dans la base de données Google SecOps pour un contexte de connecteur.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir la valeur du contexte du connecteur nécessite les paramètres suivants :

Paramètre	Description
Connector Identifier	Obligatoire. Identifiant unique du connecteur à partir duquel récupérer la valeur de contexte.
Key Name	Obligatoire. Clé sous laquelle la valeur de contexte est stockée.
Create Case Wall Table	Facultatif. Si cette option est sélectionnée, l'action crée un tableau de mur des cas avec la valeur de contexte récupérée. La table ne sera pas créée si la valeur récupérée dépasse le nombre maximal de caractères. Cette option est activée par défaut.

Sorties de l'action

L'action Obtenir la valeur du contexte du connecteur fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir la valeur du contexte du connecteur peut générer la table suivante :

Nom de la table : Connector

Colonnes d'un tableau :

• Identifiant du connecteur
• Clé
• Valeur

Messages de sortie

L'action Obtenir la valeur de contexte du connecteur peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER. Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER. Action can't return the Case Wall table as the context values are too big.	L'action a réussi.
Error executing action "Get Connector Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir la valeur du contexte du connecteur :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir les valeurs des champs personnalisés

Utilisez l'action Obtenir les valeurs des champs personnalisés pour récupérer les valeurs actuelles d'un champ personnalisé en fonction du champ d'application spécifié.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les valeurs des champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Niveau d'accès à partir duquel récupérer les champs personnalisés. Les valeurs possibles sont les suivantes : Case Alert All

Sorties de l'action

L'action Obtenir les valeurs des champs personnalisés fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get Custom Field Values (Obtenir les valeurs des champs personnalisés) :

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]

Messages de sortie

L'action Obtenir les valeurs des champs personnalisés peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned SCOPE custom fields. No custom fields were found in scope SCOPE.	L'action a réussi.
Error executing action "Get Custom Field Values". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir les valeurs des champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir la valeur de contexte du champ d'application

Utilisez l'action Obtenir la valeur du contexte de champ d'application pour récupérer une valeur de la base de données Google SecOps stockée sous une clé et un contexte spécifiés.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir la valeur du contexte de champ d'application nécessite les paramètres suivants :

Paramètre	Description
Context Scope	Obligatoire. Champ d'application du contexte à partir duquel récupérer la valeur. Les valeurs possibles sont les suivantes : Not specified Alert Case Global La valeur par défaut est Not specified.
Key Name	Obligatoire. Clé sous laquelle la valeur est stockée dans le contexte spécifié.
Create Case Wall Table	Facultatif. Si cette option est sélectionnée, l'action crée un tableau de mur des cas avec la valeur de contexte récupérée. La table ne sera pas créée si la valeur récupérée dépasse le nombre maximal de caractères. Cette option est activée par défaut.

Sorties de l'action

L'action Obtenir la valeur du contexte de champ d'application fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir la valeur du contexte du champ d'application peut générer le tableau suivant :

Nom de la table : SCOPE

Colonnes d'un tableau :

• Clé
• Valeur

Messages de sortie

L'action Obtenir la valeur du contexte de champ d'application peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. No context values were found for the provided context scope CONTEXT_SCOPE. Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. Action can't return the Case Wall table as the context values are too big.	L'action a réussi.
Error executing action "Get Scope Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir la valeur du contexte de champ d'application :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir des demandes similaires

Utilisez l'action Obtenir des demandes similaires pour rechercher des demandes similaires et renvoyer leurs ID.

L'action applique l'opérateur logique AND aux paramètres Rule Generator, Port, Category Outcome, Entity Identifier, Include Open Cases et Include Closed Cases pour filtrer les demandes correspondant à tous les critères spécifiés.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

L'action Obtenir des demandes similaires nécessite les paramètres suivants :

Paramètre	Description
Rule Generator	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du générateur de règles. Cette option est activée par défaut.
Port	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide des numéros de port. Cette option est activée par défaut.
Category Outcome	Facultatif. Si cette option est sélectionnée, l'action recherche des demandes similaires à l'aide du résultat de la catégorie. Cette option est activée par défaut.
Entity Identifier	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide de l'identifiant d'entité. Cette option est activée par défaut.
Days Back	Obligatoire. Nombre de jours précédant la date actuelle pour lesquels l'action doit effectuer une recherche.
Include Open Cases	Facultatif. Si cette option est sélectionnée, l'action inclut les demandes ouvertes dans la recherche. Cette option est activée par défaut.
Include Closed Cases	Facultatif. Si cette option est sélectionnée, l'action inclut les demandes clôturées dans la recherche. Cette option est activée par défaut.

Sorties de l'action

L'action Obtenir des cas similaires fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir des cas similaires :

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}

Messages de sortie

L'action Get Similar Cases peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST	L'action a réussi.
Error executing action "Get Similar Cases". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur du résultat du script lors de l'utilisation de l'action Obtenir des cas similaires :

Nom du résultat du script	Valeur
SimilarCasesIds	Liste des numéros de demande similaires.

Instruction

Utilisez l'action Instruction pour fournir des instructions à un analyste directement sur la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Instruction nécessite les paramètres suivants :

Paramètre	Description
Instruction	Obligatoire. Instructions pour l'analyste.

Sorties de l'action

L'action Instruction fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Please perform the following instructions: INSTRUCTION.	L'action a réussi.
Error executing action "Instruction". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Instruction :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Est dans la liste de clients

Utilisez l'action Est dans la liste personnalisée pour vérifier si une entité existe dans une liste personnalisée désignée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

L'action Is In Custom List (Est dans la liste personnalisée) nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Nom de la catégorie de liste personnalisée à rechercher.

Sorties de l'action

L'action Est dans la liste personnalisée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Is In Custom List peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
This alert contains entities in the given custom list category: CATEGORY. This alert does not contain entities in the given custom list category: CATEGORY.	L'action a réussi.
Error executing action "Is In Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur du résultat du script lorsque vous utilisez l'action Est dans la liste personnalisée :

Nom du résultat du script	Valeur
ScriptResult	true ou false

Marquer comme important

Utilisez l'action Marquer comme important pour marquer la demande comme importante.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Marquer comme important fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Marquer comme important peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The case was automatically marked as important.	L'action a réussi.
Error executing action "Mark As Important". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Marquer comme important :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Ouvrir l'URL Web

Utilisez l'action Ouvrir l'URL Web pour générer un lien de navigateur.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Ouvrir l'URL Web nécessite les paramètres suivants :

Paramètre	Description
Title	Obligatoire. Titre de l'URL.
URL	Obligatoire. URL cible.

Sorties de l'action

L'action Ouvrir l'URL Web fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ouvrir l'URL Web peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
URL_TITLE URL_LINK	L'action a réussi.
Error executing action "Open Web Url". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ouvrir l'URL Web :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Mettre en pause le SLA de l'alerte

Utilisez l'action Mettre en pause le SLA lié à l'alerte pour mettre en pause le minuteur du contrat de niveau de service (SLA) de l'alerte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre en pause le SLA lié à l'alerte nécessite les paramètres suivants :

Paramètre	Description
Message	Facultatif. Motif de la mise en pause du SLA lié à l'alerte.

Sorties de l'action

L'action Mettre en pause le SLA lié à l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre en pause le SLA lié à l'alerte peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The alert SLA was paused.	L'action a réussi.
Error executing action "Pause Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Mettre en pause le SLA de l'alerte :

Nom du résultat du script	Valeur
is_success	true ou false

Mettre en pause le SLA du cas

Utilisez l'action Mettre en pause le SLA du cas pour mettre en pause le minuteur du contrat de niveau de service (SLA) du cas.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Mettre en pause le SLA du cas nécessite les paramètres suivants :

Paramètre	Description
Message	Facultatif. Motif de la mise en pause du SLA de la demande.

Sorties de l'action

L'action Mettre en pause le SLA du cas fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre en pause le SLA du cas peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The Case SLA was paused successfully.	L'action a réussi.
Error executing action "Pause Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Mettre en pause le SLA de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Heure d'alerte autorisée

Utilisez l'action Heure d'alerte autorisée pour vérifier si l'heure de début de l'alerte est conforme aux conditions de temps définies par l'utilisateur.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Permitted Alert Time (Heure d'alerte autorisée) nécessite les paramètres suivants :

Paramètre	Description
Timestamp Type	Facultatif. Type de code temporel à utiliser pour la comparaison. Les valeurs possibles sont les suivantes : Alert Start Time Alert Creation Time Case Creation Time La valeur par défaut est Alert Start Time.
Permitted Start Time	Obligatoire. Heure de début de la période autorisée pour les alertes, par exemple 0:00:00.
Permitted End Time	Obligatoire. Heure de fin de la période autorisée pour les alertes, par exemple 0:00:00.
Monday	Facultatif. Si cette option est sélectionnée, l'action inclut les lundis dans les jours autorisés pour les alertes. Non activé par défaut.
Tuesday	Facultatif. Si cette option est sélectionnée, l'action inclut les mardis dans les jours autorisés pour les alertes. Cette option est activée par défaut.
Wednesday	Facultatif. Si cette option est sélectionnée, l'action inclut les mercredis dans les jours autorisés pour les alertes. Cette option est activée par défaut.
Thursday	Facultatif. Si cette option est sélectionnée, l'action inclut les jeudis dans les jours autorisés pour les alertes. Non activé par défaut.
Friday	Facultatif. Si cette option est sélectionnée, l'action inclut les vendredis dans les jours autorisés pour les alertes. Non activé par défaut.
Saturday	Facultatif. Si cette option est sélectionnée, l'action inclut les samedis dans les jours autorisés pour les alertes. Non activé par défaut.
Sunday	Facultatif. Si cette option est sélectionnée, l'action inclut les dimanches dans les jours autorisés pour les alertes. Non activé par défaut.
Input Timezone	Facultatif. Cette action est compatible avec les fuseaux horaires standards, tels que UTC, en plus des zones IANA, telles que America/New_York. Si vous fournissez une zone IANA, l'action s'ajuste automatiquement à l'heure d'été.

Sorties de l'action

L'action Heure d'alerte autorisée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Permitted Alert Time (Heure d'alerte autorisée) peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS	L'action a réussi.
Error executing action "Permitted Alert Time". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Heure d'alerte autorisée :

Nom du résultat du script	Valeur
Permitted	true ou false

Ping

Utilisez l'action Ping pour tester la connectivité à Siemplify.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Email address is syntactically correct.	L'action a réussi.
Error executing action "Ping". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Signaler un incident

Utilisez l'action Signaler un incident pour marquer un cas de vrai positif comme Critical et signaler l'incident.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Signaler un incident nécessite les paramètres suivants :

Paramètre	Description
Soc Role	Facultatif. Rôle SOC Google SecOps auquel attribuer la demande.

Sorties de l'action

L'action Signaler un incident fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Signaler un incident peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The case raised to CASE_STAGE status.	L'action a réussi.
Error executing action "Raise Incident". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Déclencher un incident :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Supprimer le tag

Utilisez l'action Supprimer le tag pour supprimer des tags de la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Supprimer le tag nécessite les paramètres suivants :

Paramètre	Description
Tag	Obligatoire. Liste de tags séparés par une virgule à supprimer de la demande.

Sorties de l'action

L'action Supprimer le tag fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer le tag peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully removed the following tags from case CASE_ID:TAGS	L'action a réussi.
It is not possible to remove the tag. Error executing action "Remove Tag". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Supprimer le tag :

Nom du résultat du script	Valeur
is_success	true ou false

Supprimer de la liste personnalisée

Utilisez l'action Supprimer de la liste personnalisée pour supprimer les entités associées à une alerte d'une catégorie de liste personnalisée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées de l'action

L'action Supprimer de la liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Nom de la catégorie de liste personnalisée de laquelle supprimer l'identifiant d'entité.

Sorties de l'action

L'action Supprimer de la liste personnalisée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer de la liste personnalisée peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The alert's entities ENTITY_ID were removed from custom list category: CATEGORY The given category does not exist.	L'action a réussi.
Error executing action "Remove From Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Supprimer de la liste personnalisée :

Nom du résultat du script	Valeur
ScriptResult	true ou false

Réactiver le SLA lié à l'alerte

Utilisez l'action Réactiver le SLA lié à l'alerte pour réactiver et redémarrer le minuteur du contrat de niveau de service (SLA) pour l'alerte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Réactiver le SLA lié à l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Réactiver le SLA lié à l'alerte peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The alert SLA was resumed.	L'action a réussi.
Error executing action "Resume Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Reprendre le SLA d'alerte :

Nom du résultat du script	Valeur
is_success	true ou false

Réactiver le SLA du cas

Utilisez l'action Réactiver le SLA du cas pour réactiver et redémarrer le minuteur du contrat de niveau de service (SLA) pour le cas.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Réactiver le SLA du cas fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Réactiver le SLA du cas peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
The Case SLA was resumed successfully.	L'action a réussi.
Error executing action "Resume Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Reprendre le SLA de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Rechercher des cas

Utilisez l'action Rechercher des demandes pour rechercher des demandes à l'aide de critères de filtrage dynamiques.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Rechercher des demandes nécessite les paramètres suivants :

Paramètre	Description
Assignee	Facultatif. Liste d'utilisateurs séparés par une virgule attribués à la demande, utilisée pour filtrer les résultats de recherche.
Status	Facultatif. Sélection d'états de demande utilisés pour filtrer les résultats de recherche. Les valeurs possibles sont les suivantes : Opened Closed
Playbook Status	Facultatif. Sélection d'états de playbook utilisés pour filtrer les résultats de recherche. Les valeurs possibles sont les suivantes : In Progress Completed Failed
Severity	Facultatif. Sélection de niveaux de gravité des demandes utilisés pour filtrer les résultats de recherche. Les valeurs possibles sont les suivantes : Critical High Medium Low Informational
Environment	Facultatif. Liste d'environnements séparés par une virgule, utilisée pour filtrer les résultats de recherche. Plusieurs valeurs sont évaluées à l'aide de la logique "OU". Ce paramètre accepte la correspondance "Contient" via l'utilisation du symbole ~ (par exemple, environment,~environment).
Case Names	Facultatif. Liste de noms de requêtes séparés par une virgule, utilisée pour filtrer les résultats de recherche. Plusieurs valeurs sont évaluées à l'aide de la logique "OU". Ce paramètre accepte la correspondance "Contient" via l'utilisation du symbole ~ (par exemple, case,~case).
Alert Names	Facultatif. Liste de noms d'alertes séparés par une virgule, utilisée pour filtrer les résultats de recherche. Les valeurs multiples sont évaluées à l'aide de la logique "OU". Ce paramètre accepte la correspondance "Contient" via l'utilisation du symbole ~ (par exemple, alert,~alert).
Product Names	Facultatif. Liste de noms de produits séparés par une virgule, utilisée pour filtrer les résultats de recherche. Plusieurs valeurs sont évaluées à l'aide de la logique "OU". Ce paramètre accepte la correspondance "Contient" via l'utilisation du symbole ~ (par exemple, product,~product).
Tag Names	Facultatif. Liste de noms de tags séparés par une virgule, utilisée pour filtrer les résultats de recherche. Plusieurs valeurs sont évaluées à l'aide de la logique "OU".
Timestamp Type	Facultatif. Type de code temporel utilisé pour déterminer si Time Frame cible l'heure de création ou l'heure de modification de la demande. Les valeurs possibles sont les suivantes : Modification Time Creation Time La valeur par défaut est Modification Time.
Time Frame	Facultatif. Période utilisée pour limiter les résultats de recherche. Les valeurs possibles sont les suivantes : Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Si Custom est sélectionné, le paramètre Start Time est obligatoire. La valeur par défaut est Last Hour.
Start Time	Conditionnel. Point de départ de la période pour les résultats de recherche au format ISO 8601. Si Time Frame est défini sur Custom, ce paramètre est obligatoire.
End Time	Facultatif. Point de fin de la période pour les résultats de recherche au format ISO 8601. Si Time Frame est défini sur Custom et qu'aucune valeur n'est fournie, ce paramètre est défini par défaut sur l'heure actuelle.

Sorties de l'action

L'action Rechercher des demandes fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Rechercher des demandes :

[
    {
        "name": "projects//locations//instances//cases/4",
        "relatedAlerts": [],
        "dataAccessScopes": [],
        "id": 4,
        "lastModifyingUserId": "9c6562ad-f74f-424f-a2f7-c0d2d8629bbb",
        "createTime": 1769592095506,
        "updateTime": 1769689090290,
        "alertCount": 1,
        "type": "External",
        "overflowCase": false,
        "status": "Opened",
        "involvedSuspiciousEntity": false,
        "workflowStatus": "Completed",
        "source": "Server",
        "tags": [
            {
                "displayName": "Simulated Case",
                "priority": 0
            }
        ],
        "products": [
            {
                "displayName": "Windows:AccessDisabledAccounts",
                "alert": "ACCESS DISABLED ACCOUNTS_5FB4AAF2-1CB2-49F7-850D-EECCAB91B203"
            }
        ],
        "tasks": [],
        "displayName": "Access Disabled Accounts",
        "stage": "Triage",
        "priority": "PriorityHigh",
        "important": false,
        "assignee": "@Administrator",
        "incident": false,
        "environment": "Default Environment",
        "moveEnvironment": {}
    }
]

Messages de sortie

L'action Rechercher des demandes peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully returned cases based on the provided criteria.	L'action a réussi.
Error executing action "Search Cases". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Rechercher des demandes :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le SLA de l'alerte

Utilisez l'action Définir le SLA de l'alerte pour définir le minuteur du SLA pour l'alerte.

Remarque : Cette action remplace tout SLA existant pour l'alerte.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Définir le SLA d'alerte nécessite les paramètres suivants :

Paramètre	Description
SLA Period	Obligatoire. Durée totale du SLA avant qu'il ne soit considéré comme non respecté. La période totale du SLA ne peut pas dépasser 30 jours. La valeur par défaut est 5.
SLA Time Unit	Obligatoire. Unité de temps pour la période du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.
SLA Time To Critical Period	Obligatoire. Durée du SLA avant qu'il n'entre dans un état critique. La valeur par défaut est 4.
SLA Time To Critical Unit	Obligatoire. Unité de temps pour la période critique du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.

Sorties de l'action

L'action Définir le SLA d'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir le SLA d'alerte peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	L'action a réussi.
Error executing action "Set Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le SLA de l'alerte :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le SLA du cas

Utilisez l'action Définir le SLA de la demande pour définir le SLA de la demande.

Cette action est prioritaire et remplace le SLA existant défini pour le cas spécifique.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Définir le SLA de la demande nécessite les paramètres suivants :

Paramètre	Description
SLA Period	Obligatoire. Durée totale du SLA avant qu'il ne soit considéré comme non respecté. La période totale du SLA ne peut pas dépasser 30 jours. La valeur par défaut est 5.
SLA Time Unit	Obligatoire. Unité de temps pour la période du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.
SLA Time To Critical Period	Facultatif. Durée du SLA avant qu'il n'entre dans un état critique. La valeur par défaut est 4.
SLA Time To Critical Unit	Obligatoire. Unité de temps pour la période critique du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.

Sorties de l'action

L'action Définir le SLA de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Rechercher des problèmes ASM peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	L'action a réussi.
Error executing action "Set Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le SLA de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Définir des champs personnalisés

Utilisez l'action Définir des champs personnalisés pour définir des valeurs pour les champs personnalisés.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Définir des champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ d'application à définir pour les champs personnalisés. Les valeurs possibles sont les suivantes : Case Alert La valeur par défaut est Case.
Custom Fields Data	Obligatoire. Valeurs mises à jour pour les champs personnalisés. Vous pouvez mettre à jour plusieurs champs personnalisés en une seule exécution d'action. La valeur par défaut est : { "Custom Field Name 1":"Custom Field Value 1", "Custom Field Name 2":"Custom Field Value 2" }
Append Values	Facultatif. Si cette option est sélectionnée, l'action ajoute les entrées de Custom Fields Data aux valeurs existantes des champs personnalisés. Si cette option n'est pas sélectionnée, l'action remplace les valeurs existantes par les entrées du paramètre Custom Fields Data. Non activé par défaut.

Sorties de l'action

L'action Définir des champs personnalisés fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Définir des champs personnalisés :

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}

Messages de sortie

L'action Définir des champs personnalisés peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES	L'action a réussi.
Error executing action "Set Custom Fields". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir des champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le score de risque

Utilisez l'action Définir le score de risque pour mettre à jour le score de risque de la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Définir le score de risque nécessite les paramètres suivants :

Paramètre	Description
Risk Score	Obligatoire. Score de risque à définir pour la demande.

Sorties de l'action

L'action Définir le score de risque fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir le score de risque peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully set Risk Score for case CASE_ID	L'action a réussi.
Error executing action "Set Risk Score". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le score de risque :

Nom du résultat du script	Valeur
is_success	true ou false

Définir la valeur de contexte du champ d'application

Utilisez l'action Définir la valeur du contexte de champ d'application pour définir une valeur pour une clé stockée dans la base de données Google SecOps.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Définir la valeur de contexte du champ d'application nécessite les paramètres suivants :

Paramètre	Description
Context Scope	Obligatoire. Champ d'application du contexte à partir duquel récupérer les données. Les valeurs possibles sont les suivantes : Not specified Alert Case Global La valeur par défaut est Not specified.
Key Name	Obligatoire. Nom de la clé à partir de laquelle récupérer la valeur correspondante.
Key Value	Obligatoire. Valeur à stocker sous la clé spécifiée.

Sorties de l'action

L'action Définir la valeur de contexte du champ d'application fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir la valeur de contexte du champ d'application peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE.	L'action a réussi.
Error executing action "Set Scope Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir la valeur du contexte de champ d'application :

Nom du résultat du script	Valeur
is_success	true ou false

Mettre à jour la description de la demande

Utilisez l'action Mettre à jour la description de la demande pour mettre à jour la description de la demande.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Update Case Description (Mettre à jour la description de la demande) nécessite les paramètres suivants :

Paramètre	Description
Description	Obligatoire. Description à définir pour la demande.

Sorties de l'action

L'action Mettre à jour la description de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Update Case Description (Mettre à jour la description de la demande) peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated the case description.	L'action a réussi.
Error executing action "Update Case Description". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Update Case Description (Mettre à jour la description de la demande) :

Nom du résultat du script	Valeur
is_success	true ou false

Attendre les champs personnalisés

Utilisez l'action Attendre les champs personnalisés pour attendre que les valeurs des champs personnalisés continuent l'exécution du playbook.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Attendre les champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ d'application à définir pour les champs personnalisés. Les valeurs possibles sont les suivantes : Case Alert La valeur par défaut est Case.
Custom Fields Data	Obligatoire. Conditions pour les champs personnalisés qui doivent être remplies pour reprendre un playbook. Les noms des champs personnalisés et leurs valeurs requises doivent être configurés en tant qu'objet JSON. Si vous définissez des conditions pour plusieurs champs, l'action attend que tous les champs correspondent à leurs conditions respectives. Pour reprendre lorsqu'un champ personnalisé comporte une valeur, configurez une chaîne vide : {"Custom Field Name": ""} Pour reprendre l'exécution lorsqu'un champ personnalisé est égal à une valeur spécifique, telle que VALUE_1, spécifiez la valeur : {"Custom Field Name": "VALUE_1"} La valeur par défaut indique le format JSON attendu : { "Custom Field Name 1": "Custom Field Value 1", "Custom Field Name 2": "Custom Field Value 2" }

Sorties de l'action

L'action Attendre les champs personnalisés fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Attendre les champs personnalisés :

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}

Messages de sortie

L'action Attendre les champs personnalisés peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES Waiting for SCOPE custom fields updates...	L'action a réussi.
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Attendre les champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Jobs

Pour en savoir plus sur les jobs, consultez Configurer un nouveau job et Planification avancée.

Siemplify – Surveillance des actions

Utilisez le job Siemplify - Actions Monitor pour recevoir des notifications sur les actions qui ont échoué au moins trois fois au cours des trois dernières heures.

Paramètres du job

Le job Siemplify - Actions Monitor nécessite les paramètres suivants :

Paramètre	Description
Run Interval In Seconds	Facultatif. Intervalle, en secondes, d'exécution du job. Ce paramètre détermine la fréquence à laquelle l'intégration vérifie les actions de playbook ayant échoué. La valeur par défaut est 900.
Is Enabled	Facultatif. Si cette option est sélectionnée, le job est actif et s'exécutera selon la planification. Si cette option n'est pas sélectionnée, le job est désactivé et ne s'exécute pas. Cette option est activée par défaut.

Siemplify - Cases Collector DB

Utilisez le job Siemplify - Cases Collector DB pour récupérer et traiter les cas de sécurité d'un éditeur désigné.

Paramètres du job

Le job Siemplify - Cases Collector DB nécessite les paramètres suivants :

Paramètre	Description
Publisher Id	Obligatoire. ID de l'éditeur à partir duquel collecter les demandes et les journaux.
Verify SSL	Facultatif. Si cette option est sélectionnée, le job vérifie que le certificat SSL de l'éditeur est valide. Non activé par défaut.

Siemplify - Collecteur de journaux

Utilisez le job Siemplify - Logs Collector pour récupérer et traiter les journaux d'un éditeur spécifié.

Entrées de job

Le job Siemplify - Logs Collector nécessite les paramètres suivants :

Paramètre	Description
Publisher Id	Obligatoire. ID de l'éditeur à partir duquel collecter les journaux.
Verify SSL	Facultatif. Si cette option est sélectionnée, le job vérifie que le certificat SSL de l'éditeur est valide. Non activé par défaut.

Siemplify - Intégration des réponses et mise à niveau du connecteur

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Utilisez le job Mise à niveau de l'intégration et du connecteur de réponse pour gérer automatiquement votre environnement en mettant à niveau les intégrations et les connecteurs de réponse vers leurs dernières versions, ou en générant des notifications lorsque de nouvelles versions sont disponibles dans Content Hub.

Comportement des jobs

Le job analyse Content Hub pour identifier les intégrations et les connecteurs qui n'exécutent pas la dernière version. Selon le Mode sélectionné, le job effectue les opérations suivantes :

• Logique de filtrage : le job utilise les critères suivants pour déterminer les composants à exclure lors de l'analyse.

  • Environnement de préproduction : le job n'analyse que les intégrations déjà installées. Si Update Staging Only est activé, le job ne traite que les intégrations dans un environnement de préproduction créé manuellement. Vous devez configurer votre environnement de préproduction et attribuer les intégrations appropriées avant que le job puisse identifier les mises à jour dans ce mode.
  Remarque : Ce concept s'applique exclusivement aux instances d'intégration. La mise à jour d'une intégration en préproduction n'affecte pas les connecteurs associés.

  • Intégrations : le job vérifie à la fois l'identifiant et le nom à afficher lors de l'application de la liste Integrations To Ignore.

  • Connecteurs : le filtrage ne s'applique qu'au nom à afficher, car les identifiants de connecteur ne sont pas uniques.

• Mode de notification : lorsqu'il est défini sur le mode Notification, le job identifie les mises à jour disponibles et génère une notification système avec la structure suivante.

  Une nouvelle version de l'intégration de réponse est disponible pour :
  {Integration Name} : {previous version} -> {new version}
  
  Des mises à jour de connecteur sont disponibles pour :
  {Connector display name}

  Ces notifications s'affichent sous notifications Notifications > Notifications système dans la plate-forme Google SecOps.

• Mode de mise à niveau : lorsqu'il est défini sur le mode Upgrade, le job applique automatiquement les mises à jour et génère une notification de confirmation avec la structure suivante.

  Les intégrations de réponse suivantes ont été mises à jour vers la dernière version :
  {Response Integration name}
  
  Les connecteurs suivants ont été mis à jour vers la dernière version :
  {Connector display name}

Entrées de job

Le job Siemplify - Response Integration & Connector Upgrade nécessite les paramètres suivants :

Paramètre	Description
Update Staging Only	Facultatif. Si cette option est sélectionnée, le job ne met à jour ou ne notifie que les intégrations dans un environnement de préproduction configuré manuellement. Cela vous permet de tester les mises à jour avant de déployer les modifications en production. Cette option est activée par défaut.
Update Enabled Connectors Only	Facultatif. Si cette option est sélectionnée, le job ne met à niveau ou ne génère des notifications que pour les connecteurs actuellement activés. Les instances de connecteur désactivées sont ignorées lors de l'analyse. Non sélectionné par défaut.
Mode	Obligatoire. Mode opérationnel du job. Les valeurs possibles sont les suivantes : Notification : le job recherche les mises à jour et génère une notification de plate-forme sans appliquer de modifications. Upgrade : le job recherche les mises à jour, les applique automatiquement (en imitant le processus de mise à jour manuelle dans l'UI) et génère une notification de confirmation. La valeur par défaut est Notification.
Integrations To Ignore	Facultatif. Liste d'identifiants d'intégration séparés par une virgule à ignorer pendant le processus de mise à niveau. Vous devez utiliser l'identifiant unique figurant dans les détails de l'intégration (par exemple, GoogleCloudAPI) plutôt que le nom à afficher.
Connectors To Ignore	Facultatif. Liste de noms à afficher de connecteurs à ignorer lors du processus de mise à niveau, séparés par une virgule. Cela permet de contrôler précisément les instances de connecteur spécifiques qui sont mises à jour.
Overwrite Custom Integration	Facultatif. Si cette option est sélectionnée, le job met à niveau les intégrations personnalisées initialement basées sur des versions commerciales ou de la communauté (y compris les intégrations commerciales qui ont été exportées, puis réimportées dans la plate-forme). Important : L'activation de ce paramètre peut écraser les modifications de code personnalisées dans l'intégration. Cette option est activée par défaut.
Ignore Ontology Mapping Update For Integrations	Facultatif. Liste d'identifiants d'intégration séparés par une virgule pour lesquels le processus de mise à niveau conserve les mappages d'ontologie existants. Vous devez utiliser l'identifiant unique figurant dans les détails de l'intégration (par exemple, GoogleCloudAPI) plutôt que le nom à afficher. Remarque : Utilisez ce paramètre pour empêcher l'écrasement de la logique d'extraction d'entités personnalisées ou des ajustements de mappage lors d'une mise à niveau.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.