Intégrer Siemplify à Google SecOps

Version de l'intégration : 94.0

Ce document explique comment intégrer Siemplify à Google Security Operations (Google SecOps).

Cas d'utilisation

L'intégration Siemplify peut répondre aux cas d'utilisation suivants :

• Investigation sur l'hameçonnage : utilisez les fonctionnalités de Google SecOps pour automatiser l'analyse des e-mails d'hameçonnage, extraire les indicateurs de compromission (IOC) et les enrichir avec des renseignements sur les menaces.

• Contention des logiciels malveillants : utilisez les fonctionnalités Google SecOps pour isoler automatiquement les points de terminaison infectés, lancer des analyses et mettre en quarantaine les fichiers malveillants dès qu'un logiciel malveillant est détecté.

• Gestion des failles : utilisez les fonctionnalités Google SecOps pour orchestrer les analyses de failles, hiérarchiser les failles en fonction du risque et créer automatiquement des tickets pour la correction.

• Chasse aux menaces : utilisez les fonctionnalités Google SecOps pour automatiser l'exécution des requêtes de chasse aux menaces dans différents outils et ensembles de données de sécurité.

• Tri des alertes de sécurité : utilisez les fonctionnalités Google SecOps pour enrichir automatiquement les alertes de sécurité avec des informations contextuelles, les corréler avec d'autres événements et les hiérarchiser en fonction de leur gravité.

• Réponse aux incidents : utilisez les fonctionnalités Google SecOps pour orchestrer l'ensemble du processus de réponse aux incidents, de la détection initiale à la neutralisation et à l'éradication.

• Rapports de conformité : utilisez les fonctionnalités Google SecOps pour automatiser la collecte et l'analyse des données de sécurité pour les rapports de conformité.

Paramètres d'intégration

L'intégration Siemplify nécessite les paramètres suivants :

Paramètre	Description
Monitors Mail Recipients	Obligatoire. Liste d'adresses e-mail séparées par une virgule pour la validation dans les workflows liés aux e-mails de l'intégration. Cette liste permet de définir les destinataires du traitement. La valeur par défaut est [e-mail],[e-mail].
Elastic Server Address	Obligatoire. Adresse du serveur Elastic utilisé pour se connecter à la base de données Siemplify. Il s'agit généralement de l'adresse de la machine hôte sur laquelle l'instance Elastic s'exécute. La valeur par défaut est localhost.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Si nécessaire, vous pourrez apporter des modifications ultérieurement. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour savoir comment configurer et prendre en charge plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente dans Votre bureau et Effectuer une action manuelle.

Ajouter un insight sur une entité

Utilisez l'action Add Entity Insight (Ajouter un insight sur l'entité) pour ajouter un insight à une entité Google SecOps dans Siemplify.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Ajouter un insight sur une entité nécessite les paramètres suivants :

Paramètre	Description
Message	Obligatoire. Message à ajouter à l'entité. Ce paramètre accepte les éléments HTML, tels que : Titres (<h1></h1>, <h2></h2>) Paragraphes (<p></p>) Mise en forme du texte (<b></b>, <i></i>, <br>) Liens (<a href="example.com"></a>).

Sorties d'action

L'action Ajouter un insight d'entité fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un insight sur une entité peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Added insight with message MESSAGE to ENTITY_ID.	L'action a réussi.
Error executing action "Add Entity Insight". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter un insight sur l'entité :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter un insight général

Utilisez l'action Ajouter un insight général pour ajouter un insight général à la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Ajouter un insight général nécessite les paramètres suivants :

Paramètre	Description
Title	Obligatoire. Titre de l'insight.
Message	Obligatoire. Message à ajouter à l'entité. Ce paramètre accepte les éléments HTML, tels que : Titres (<h1></h1>, <h2></h2>) Paragraphes (<p></p>) Mise en forme du texte (<b></b>, <i></i>, <br>) Liens (<a href="example.com"></a>).
Triggered By	Facultatif. Champ de texte libre permettant de justifier l'insight et d'expliquer pourquoi il a été ajouté à la demande.

Sorties d'action

L'action Ajouter un insight général fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un insight général peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Added insight with message MESSAGE.	L'action a réussi.
Error executing action "Add General Insight". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur du résultat du script lorsque vous utilisez l'action Ajouter un insight général :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter des tags aux demandes similaires

Utilisez l'action Ajouter des tags aux demandes similaires pour ajouter des tags aux demandes similaires.

Pour trouver des cas similaires, l'action utilise la fonction siemplify.get_similar_cases() afin de récupérer une liste d'ID de cas en fonction d'un ensemble de critères et de paramètres.

L'opérateur logique AND est appliqué aux paramètres Rule Generator, Port, Category Outcome et Entity Identifier pour filtrer les cas qui correspondent à tous les critères spécifiés.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Ajouter des tags aux requêtes similaires nécessite les paramètres suivants :

Paramètre	Description
Rule Generator	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du générateur de règles. Cette option est activée par défaut.
Port	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide des numéros de port. Cette option est activée par défaut.
Category Outcome	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du résultat de la catégorie. Cette option est activée par défaut.
Entity Identifier	Facultatif. Si cette option est sélectionnée, l'action recherche des demandes similaires à l'aide de l'identifiant d'entité. Cette option est activée par défaut.
Days Back	Obligatoire. Nombre de jours avant la date actuelle pour rechercher des cas similaires.
Tags	Obligatoire. Liste de tags à appliquer aux cas similaires trouvés, séparés par une virgule.

Sorties d'action

L'action Ajouter des tags aux demandes similaires fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter des tags aux cas similaires peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS	L'action a réussi.
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Ajouter des tags aux cas similaires :

Nom du résultat du script	Valeur
SimilarCasesIds	Liste des ID de demandes similaires.

Ajouter à une liste personnalisée

Utilisez l'action Ajouter à la liste personnalisée pour ajouter un identifiant d'entité à une liste personnalisée catégorisée et effectuer des comparaisons ultérieures dans d'autres actions.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Ajouter à une liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Nom de la catégorie de liste personnalisée à laquelle ajouter l'identifiant d'entité.

Sorties d'action

L'action Ajouter à une liste personnalisée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter à une liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.	L'action a réussi.
Error executing action "Add to Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter à la liste personnalisée :

Nom du résultat du script	Valeur
is_success	true ou false

Attribuer un cas

Utilisez l'action Attribuer la demande pour attribuer la demande à un utilisateur ou à un groupe d'utilisateurs spécifique.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Assign Case (Attribuer une demande) nécessite les paramètres suivants :

Paramètre	Description
Assigned User	Obligatoire. Utilisateur ou groupe d'utilisateurs auquel attribuer la demande.

Sorties d'action

L'action Assign Case (Attribuer une demande) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter à une liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case was successfully assigned to ASSIGNED_USER.	L'action a réussi.
Error executing action "Assign Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Attribuer une demande :

Nom du résultat du script	Valeur
is_success	true ou false

Associer un playbook à une alerte

Utilisez l'action Associer un playbook à une alerte pour associer un playbook spécifique à l'alerte.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Associer un playbook à une alerte nécessite les paramètres suivants :

Paramètre	Description
Playbook Name	Obligatoire. Nom du playbook à associer à l'alerte actuelle.
Allow Duplicates	Facultatif. Si cette option est sélectionnée, le playbook peut être associé à l'alerte plusieurs fois. Cette option est activée par défaut.

Sorties d'action

L'action Associer un playbook à une alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Rechercher des graphiques peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.	L'action a réussi.
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Associer un playbook à une alerte :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Commentaire sur la demande

Utilisez l'action Commentaire sur la demande pour ajouter un commentaire à la demande dans laquelle l'alerte actuelle est regroupée.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Commentaire sur la demande nécessite les paramètres suivants :

Paramètre	Description
Comment	Obligatoire. Commentaire à ajouter à la demande.

Sorties d'action

L'action Commentaire sur la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Comment added to case: CASE_COMMENT.	L'action a réussi.
Error executing action "Case Comment". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Commentaire sur la demande :

Nom du résultat du script	Valeur
SuccessStatus	true ou false

Tag de demande

Utilisez l'action Ajouter un tag à la demande pour ajouter un tag à la demande dans laquelle l'alerte actuelle est regroupée.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Tag de demande nécessite les paramètres suivants :

Paramètre	Description
Tag	Obligatoire. Tag à ajouter à la demande.

Sorties d'action

L'action Tag de requête fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Tag de requête peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The tag TAG_NAME was added to the case	L'action a réussi.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Tag de requête :

Nom du résultat du script	Valeur
is_success	true ou false

Modifier la priorité de l'alerte

Utilisez l'action Modifier la priorité de l'alerte pour modifier la priorité d'une alerte dans une demande.

Cette action ne s'applique pas aux entités Google SecOps.

Remarque : Dans Google SecOps, la priorité la plus élevée des alertes détermine la priorité du cas par défaut.

Par exemple, si la priorité du cas est Medium, cela signifie qu'au moins une alerte parmi toutes celles regroupées dans le cas a une priorité Medium, tandis que d'autres ont des priorités inférieures, telles que Low ou Informative.

Si vous définissez la priorité de la demande sur Low, Google SecOps la remplace par Low.

Si vous définissez la priorité d'une alerte dans un cas sur High, Google SecOps définit automatiquement la priorité du cas sur High.

Entrées d'action

L'action Modifier la priorité de l'alerte nécessite les paramètres suivants :

Paramètre	Description
Alert Priority	Obligatoire. Nouvelle priorité de l'alerte. Si la priorité de l'alerte est définie sur une valeur supérieure à celle de la demande actuelle, la priorité de la demande sera automatiquement mise à jour pour correspondre à la nouvelle priorité plus élevée. Les valeurs possibles sont les suivantes : Informative Low Medium High Critical

Sorties d'action

L'action Modifier la priorité de l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert priority was set to NEW_PRIORITY_LEVEL.	L'action a réussi.
Error executing action "Change Alert Priority". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier la priorité de l'alerte :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Modifier l'étape de traitement du cas

Utilisez l'action Modifier l'étape de traitement du cas pour modifier l'étape de traitement du cas.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Modifier l'état de la demande nécessite les paramètres suivants :

Paramètre	Description
Stage	Obligatoire. Étape vers laquelle déplacer la demande. Les valeurs possibles sont les suivantes : Triage Assessment Investigation Incident Improvement Research

Sorties d'action

L'action Modifier l'état de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Case stage was successfully changed to NEW_CASE_STAGE.	L'action a réussi.
Error executing action "Change Case Stage". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier l'état de la demande :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Changer la priorité

Utilisez l'action Modifier la priorité pour modifier la priorité de la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Modifier la priorité nécessite les paramètres suivants :

Paramètre	Description
Priority	Obligatoire. Priorité à définir pour la demande. Les valeurs possibles sont les suivantes : Informative Low Medium High Critical

Sorties d'action

L'action Modifier la priorité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case priority was set to NEW_CASE_PRIORITY	L'action a réussi.
Error executing action "Close Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier la priorité :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Fermer l'alerte

Utilisez l'action Fermer l'alerte pour fermer l'alerte.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Fermer l'alerte nécessite les paramètres suivants :

Paramètre	Description
Reason	Obligatoire. Classification principale de la clôture de l'alerte. Les valeurs possibles sont les suivantes : Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatoire. Explication détaillée du problème technique qui a déclenché l'alerte.
Comment	Obligatoire. Notes, résumé de l'enquête ou contexte supplémentaire pour la clôture de l'alerte.
Assign to User	Facultatif. Utilisateur auquel attribuer l'alerte après sa clôture.
Tags	Facultatif. Liste de tags séparés par une virgule à associer à l'alerte pour la classification, le filtrage et la recherche future.

Sorties d'action

L'action Fermer l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON	L'action a réussi.
Error executing action "Close Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Fermer l'alerte :

Nom du résultat du script	Valeur
StatusResult	true ou false

Clôturer le cas

Utilisez l'action Clôturer la demande pour clôturer la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Fermer la demande nécessite les paramètres suivants :

Paramètre	Description
Reason	Obligatoire. Classification principale de la clôture de l'alerte. Les valeurs possibles sont les suivantes : Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatoire. Explication détaillée du problème technique qui a déclenché l'alerte.
Comment	Obligatoire. Notes, résumé de l'enquête ou contexte supplémentaire pour la clôture de l'alerte.

Sorties d'action

L'action Close Case (Clore la demande) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case was closed. Root Cause: ROOT_CAUSE Comment: REASON	L'action a réussi.
Error executing action "Close Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Close Case (Fermer la demande) :

Nom du résultat du script	Valeur
StatusResult	true ou false

Créer une entité

Utilisez l'action Créer une entité pour créer une entité et l'ajouter à une alerte.

Cette action s'exécute sur toutes les entités Google SecOps.

Remarque : Pour la plate-forme Google SecOps version 5.6.2 et ultérieure, vous pouvez choisir le délimiteur directement dans les entrées de l'action et ignorer la configuration de la base de données.

Pour la plate-forme Google SecOps version 5.6.0 à 5.6.2, le délimiteur peut être configuré dans l'action Créer une entité ou dans la base de données.

Pour utiliser un délimiteur personnalisé (autre que celui par défaut), choisissez l'une des options suivantes :

• Remplacez le délimiteur par défaut (,) par votre délimiteur personnalisé dans les entrées d'action et dans la base de données.
• Modifiez le délimiteur dans la base de données et laissez le paramètre Delimiter vide dans cette action.

Entrées d'action

L'action Créer une entité nécessite les paramètres suivants :

Paramètre	Description
Entities Identifies	Obligatoire. Liste d'identifiants d'entités à créer dans la demande, séparés par une virgule, comme VALUE1, VALUE2, VALUE3.
Delimiter	Facultatif. Délimiteur utilisé pour diviser l'entrée de Entities Identifies en plusieurs identifiants. Si aucune valeur n'est fournie, l'action traite l'entrée comme un identifiant d'entité unique. La valeur par défaut est ,.
Entity Type	Obligatoire. Type d'entité à créer, par exemple HOST NAME, USER NAME ou IP Set.
Is Internal	Facultatif. Si cette option est sélectionnée, l'action marque les entités comme faisant partie d'un réseau interne. Cette option n'est pas activée par défaut.
Is Suspicious	Facultatif. Si cette option est sélectionnée, l'action marque les entités comme suspectes. Cette option n'est pas activée par défaut.

Sorties d'action

L'action Create Entity (Créer une entité) fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Create Entity (Créer une entité) peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
ENTITY_IDS created successfully.	L'action a réussi.
Error executing action "Create Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer une entité :

Nom du résultat du script	Valeur
StatusResult	true ou false

Créer un résumé Gemini pour une demande

Utilisez l'action Créer un résumé Gemini de la demande pour créer un résumé Gemini de la demande et l'ajouter à une alerte.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Créer un résumé Gemini de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Créer un résumé Gemini de la demande :

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}

Messages de sortie

L'action Créer un récapitulatif Gemini de la demande peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Case summary generation completed.	L'action a réussi.
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer un récapitulatif Gemini de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Créer ou mettre à jour les propriétés d'une entité

Utilisez l'action Créer ou mettre à jour les propriétés d'une entité pour créer ou modifier les propriétés des entités dans le champ d'application de l'entité.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés d'une entité) nécessite les paramètres suivants :

Paramètre	Description
Entity Field	Obligatoire. Champ d'entité à créer ou à mettre à jour.
Field Value	Obligatoire. Valeur du champ d'entité spécifié.

Sorties d'action

L'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés de l'entité) fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés d'une entité) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.	L'action a réussi.
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés de l'entité) :

Nom du résultat du script	Valeur
is_success	true ou false

Recevoir des alertes sur les demandes

Utilisez l'action Get Case Alerts (Obtenir les alertes d'assistance) pour récupérer les alertes liées aux demandes spécifiées.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Get Case Alerts (Obtenir les alertes d'assistance) nécessite les paramètres suivants :

Paramètre	Description
Case ID	Obligatoire. Liste d'ID de demandes séparés par une virgule pour lesquels l'action récupère les alertes associées.
Alert ID	Facultatif. Liste d'ID d'alertes séparés par une virgule, limitant les alertes renvoyées. Ce paramètre n'est utilisé que lorsque Case ID contient des valeurs.
Fields To Return	Facultatif. Liste de champs à renvoyer dans le résultat JSON, séparés par une virgule. Pour récupérer des valeurs imbriquées, utilisez Nested Keys Delimiter pour enchaîner les clés imbriquées et les index de liste. Par exemple, si le délimiteur est "." : key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1 Si aucune valeur n'est fournie, tous les champs sont renvoyés.
Nested Keys Delimiter	Facultatif. Caractère utilisé pour séparer les clés imbriquées et les index de liste lors de la définition des champs à renvoyer. Ce paramètre ne peut pas être une virgule (,).

Obtenir les détails d'une demande

Utilisez l'action Obtenir les détails de la demande pour obtenir toutes les données d'une demande (y compris les commentaires, les informations sur les entités, les insights, les playbooks exécutés, les informations sur les alertes et les événements).

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir les détails de la demande nécessite les paramètres suivants :

Paramètre	Description
Case Id	Facultatif. ID de la demande dont vous souhaitez récupérer les détails. Si aucune valeur n'est fournie, l'action utilisera la casse actuelle.
Fields to Return	Facultatif. Liste de champs à renvoyer, séparés par une virgule. Si rien n'est fourni, tous les champs sont renvoyés. Vous pouvez récupérer des valeurs imbriquées spécifiques en utilisant le paramètre Nested Keys Delimiter pour séparer les clés et les index de liste.
Nested Keys Delimiter	Facultatif. Caractère utilisé pour séparer les clés imbriquées lorsque des champs spécifiques sont demandés. Cela vous permet de récupérer des valeurs à partir d'objets imbriqués. Le délimiteur ne peut pas être une virgule(,).

Sorties d'action

L'action Obtenir les détails de la demande fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les détails de la demande :

{
"id": 24879,
"creationTimeUnixTimeInMs": 1750862500562,
"modificationTimeUnixTimeInMs": 1750862500562,
"name": "Malware",
"priority": -1,
"isImportant": false,
"isIncident": false,
"startTimeUnixTimeInMs": 1727243021999,
"endTimeUnixTimeInMs": 1727243022479,
"assignedUser": "@Tier1",
"description": null,
"isTestCase": true,
"type": 1,
"stage": "Triage",
"environment": "Default Environment",
"status": 1,
"incidentId": null,
"tags": ["hi", "Simulated Case"],
"alertCards": [{
  "id": 172354,
  "creationTimeUnixTimeInMs": 1750862500651,
  "modificationTimeUnixTimeInMs": 1750862500651,
  "identifier": "EICAR_TEST_VANSHIKAVW-TEST-NEW0CC43705-04A7-43FD-88CD-B3E7FECA881D",
  "status": 0,
  "name": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "priority": -1,
  "workflowsStatus": 1,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "startTime": 1727243021999,
  "endTime": 1727243022479,
  "alertGroupIdentifier": "MalwareSFBrxjAXvKJsJyKe5iQalf00zrv/QwX966dRoEyP2eA=_8cc160b5-7039-421c-926c-1a98073f11d2",
  "eventsCount": 3,
  "title": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "ruleGenerator": "Malware",
  "deviceProduct": "SentinelOneV2",
  "deviceVendor": "SentinelOneV2",
  "playbookAttached": "Testing",
  "playbookRunCount": 1,
  "isManualAlert": false,
  "sla": {
    "slaExpirationTime": null,
    "criticalExpirationTime": null,
    "expirationStatus": 2,
    "remainingTimeSinceLastPause": null
    },
  "fieldsGroups": [],
  "sourceUrl": null,
  "sourceRuleUrl": null,
  "siemAlertId": null,
  "relatedCases": [],
  "lastSourceUpdateUnixTimeInMs": null,
  "caseId": 24879,
  "nestingDepth": 0
  }],
"isOverflowCase": false,
"isManualCase": false,
"slaExpirationUnixTime": null,
"slaCriticalExpirationUnixTime": null,
"stageSlaExpirationUnixTimeInMs": null,
"stageSlaCriticalExpirationUnixTimeInMs": null,
"canOpenIncident": false,
"sla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null
  },
"stageSla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null},
  "relatedAlertTicketId": null,
  "relatedAlertCards": []
  }

Messages de sortie

L'action Obtenir les détails de la demande peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Finished executing "Get Case Details" successfully	L'action a réussi.
Error executing action "Get Case Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir les détails de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir la valeur du contexte du connecteur

Utilisez l'action Get Connector Context Value (Obtenir la valeur du contexte du connecteur) pour récupérer une valeur à partir d'une clé spécifiée dans la base de données Google SecOps pour un contexte de connecteur.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir la valeur du contexte du connecteur nécessite les paramètres suivants :

Paramètre	Description
Connector Identifier	Obligatoire. Identifiant unique du connecteur à partir duquel récupérer la valeur du contexte.
Key Name	Obligatoire. Clé sous laquelle la valeur de contexte est stockée.
Create Case Wall Table	Facultatif. Si cette option est sélectionnée, l'action crée un tableau du mur des cas avec la valeur de contexte récupérée. La table ne sera pas créée si la valeur récupérée dépasse la limite de caractères. Cette option est activée par défaut.

Sorties d'action

L'action Obtenir la valeur du contexte du connecteur fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Table du mur des cas

L'action Obtenir la valeur du contexte du connecteur peut générer le tableau suivant :

Nom de la table : Connector

Colonnes du tableau :

• Identifiant du connecteur
• Clé
• Valeur

Messages de sortie

L'action Obtenir la valeur du contexte du connecteur peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER. Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER. Action can't return the Case Wall table as the context values are too big.	L'action a réussi.
Error executing action "Get Connector Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir la valeur du contexte du connecteur :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir les valeurs des champs personnalisés

Utilisez l'action Obtenir les valeurs des champs personnalisés pour récupérer les valeurs actuelles d'un champ personnalisé en fonction du champ d'application spécifié.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir les valeurs des champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ à partir duquel récupérer les champs personnalisés. Les valeurs possibles sont les suivantes : Case Alert All

Sorties d'action

L'action Obtenir les valeurs des champs personnalisés fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Obtenir les valeurs des champs personnalisés :

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]

Messages de sortie

L'action Obtenir les valeurs des champs personnalisés peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully returned SCOPE custom fields. No custom fields were found in scope SCOPE.	L'action a réussi.
Error executing action "Get Custom Field Values". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir les valeurs des champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir la valeur du contexte de portée

Utilisez l'action Get Scope Context Value (Obtenir la valeur du contexte de portée) pour récupérer une valeur de la base de données Google SecOps stockée sous une clé et un contexte spécifiques.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir la valeur du contexte de portée nécessite les paramètres suivants :

Paramètre	Description
Context Scope	Obligatoire. Champ d'application du contexte à partir duquel récupérer la valeur. Les valeurs possibles sont les suivantes : Not specified Alert Case Global La valeur par défaut est Not specified.
Key Name	Obligatoire. Clé sous laquelle la valeur est stockée dans le contexte spécifié.
Create Case Wall Table	Facultatif. Si cette option est sélectionnée, l'action crée un tableau du mur des cas avec la valeur de contexte récupérée. La table ne sera pas créée si la valeur récupérée dépasse la limite de caractères. Cette option est activée par défaut.

Sorties d'action

L'action Obtenir la valeur du contexte de portée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Table du mur des cas

L'action Obtenir la valeur du contexte de portée peut générer le tableau suivant :

Nom de la table : SCOPE

Colonnes du tableau :

• Clé
• Valeur

Messages de sortie

L'action Obtenir la valeur du contexte de portée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. No context values were found for the provided context scope CONTEXT_SCOPE. Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. Action can't return the Case Wall table as the context values are too big.	L'action a réussi.
Error executing action "Get Scope Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir la valeur du contexte de portée :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir des demandes similaires

Utilisez l'action Get Similar Cases (Obtenir des demandes similaires) pour rechercher des demandes similaires et renvoyer leurs ID.

L'action applique l'opérateur logique AND aux paramètres Rule Generator, Port, Category Outcome, Entity Identifier, Include Open Cases et Include Closed Cases pour filtrer les demandes qui correspondent à tous les critères spécifiés.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Get Similar Cases (Obtenir des cas similaires) nécessite les paramètres suivants :

Paramètre	Description
Rule Generator	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du générateur de règles. Cette option est activée par défaut.
Port	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide des numéros de port. Cette option est activée par défaut.
Category Outcome	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du résultat de la catégorie. Cette option est activée par défaut.
Entity Identifier	Facultatif. Si cette option est sélectionnée, l'action recherche des demandes similaires à l'aide de l'identifiant d'entité. Cette option est activée par défaut.
Days Back	Obligatoire. Nombre de jours avant la date actuelle pour lesquels l'action doit effectuer une recherche.
Include Open Cases	Facultatif. Si cette option est sélectionnée, l'action inclut les demandes ouvertes dans la recherche. Cette option est activée par défaut.
Include Closed Cases	Facultatif. Si cette option est sélectionnée, l'action inclut les demandes clôturées dans la recherche. Cette option est activée par défaut.

Sorties d'action

L'action Obtenir des cas similaires fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get Similar Cases (Obtenir des cas similaires) :

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}

Messages de sortie

L'action Obtenir des cas similaires peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST	L'action a réussi.
Error executing action "Get Similar Cases". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Obtenir des cas similaires :

Nom du résultat du script	Valeur
SimilarCasesIds	Liste des ID de demandes similaires.

Instruction

Utilisez l'action Instruction pour fournir des instructions à un analyste directement dans la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Instruction nécessite les paramètres suivants :

Paramètre	Description
Instruction	Obligatoire. Instructions destinées à l'analyste.

Sorties d'action

L'action Instruction fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Please perform the following instructions: INSTRUCTION.	L'action a réussi.
Error executing action "Instruction". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie des résultats du script lorsque vous utilisez l'action Instruction :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Est dans la liste personnalisée

Utilisez l'action Est dans la liste personnalisée pour vérifier si une entité existe dans une liste personnalisée désignée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Est dans la liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Nom de la catégorie de liste personnalisée à rechercher.

Sorties d'action

L'action Est dans la liste personnalisée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Est dans la liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
This alert contains entities in the given custom list category: CATEGORY. This alert does not contain entities in the given custom list category: CATEGORY.	L'action a réussi.
Error executing action "Is In Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Est dans la liste personnalisée :

Nom du résultat du script	Valeur
ScriptResult	true ou false

Marquer comme important

Utilisez l'action Marquer comme important pour marquer la demande comme importante.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Marquer comme important fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Marquer comme important peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case was automatically marked as important.	L'action a réussi.
Error executing action "Mark As Important". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Marquer comme important :

Nom du résultat du script	Valeur
Résultat du script	true ou false

URL Open Web

Utilisez l'action Ouvrir l'URL Web pour générer un lien de navigateur.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Ouvrir l'URL du Web ouvert nécessite les paramètres suivants :

Paramètre	Description
Title	Obligatoire. Titre de l'URL.
URL	Obligatoire. URL cible.

Sorties d'action

L'action Ouvrir l'URL Web fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ouvrir l'URL Web peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
URL_TITLE URL_LINK	L'action a réussi.
Error executing action "Open Web Url". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur du résultat du script lorsque vous utilisez l'action Ouvrir l'URL Web :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Mettre en pause le SLA lié à l'alerte

Utilisez l'action Mettre en pause le SLA lié à l'alerte pour mettre en pause le minuteur du contrat de niveau de service (SLA) de l'alerte.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre en pause le SLA lié à l'alerte nécessite les paramètres suivants :

Paramètre	Description
Message	Facultatif. Motif de la mise en veille du SLA lié à l'alerte.

Sorties d'action

L'action Mettre en pause le SLA lié à l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre en pause le SLA lié à l'alerte peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert SLA was paused.	L'action a réussi.
Error executing action "Pause Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Suspendre l'alerte SLA :

Nom du résultat du script	Valeur
is_success	true ou false

Mettre en pause le SLA du cas

Utilisez l'action Suspendre le délai du contrat de niveau de service pour suspendre le délai du contrat de niveau de service pour la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre en pause le SLA du cas nécessite les paramètres suivants :

Paramètre	Description
Message	Facultatif. Raison de la mise en pause du SLA de la demande.

Sorties d'action

L'action Mettre en pause le SLA du cas fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre en pause le SLA du cas peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The Case SLA was paused successfully.	L'action a réussi.
Error executing action "Pause Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Suspendre le délai de traitement de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Heure d'alerte autorisée

Utilisez l'action Heure d'alerte autorisée pour vérifier si l'heure de début de l'alerte respecte les conditions temporelles définies par l'utilisateur.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Heure d'alerte autorisée nécessite les paramètres suivants :

Paramètre	Description
Timestamp Type	Facultatif. Type de code temporel à utiliser pour la comparaison. Les valeurs possibles sont les suivantes : Alert Start Time Alert Creation Time Case Creation Time La valeur par défaut est Alert Start Time.
Permitted Start Time	Obligatoire. Heure de début de la période autorisée pour les alertes, par exemple 0:00:00.
Permitted End Time	Obligatoire. Heure de fin de la période autorisée pour les alertes, par exemple 0:00:00.
Monday	Facultatif. Si cette option est sélectionnée, l'action inclut les lundis dans les jours autorisés pour les alertes. Cette option n'est pas activée par défaut.
Tuesday	Facultatif. Si cette option est sélectionnée, l'action inclut le mardi dans les jours autorisés pour les alertes. Cette option est activée par défaut.
Wednesday	Facultatif. Si cette option est sélectionnée, l'action inclut le mercredi dans les jours autorisés pour les alertes. Cette option est activée par défaut.
Thursday	Facultatif. Si cette option est sélectionnée, l'action inclut le jeudi dans les jours autorisés pour les alertes. Cette option n'est pas activée par défaut.
Friday	Facultatif. Si cette option est sélectionnée, l'action inclut le vendredi dans les jours autorisés pour les alertes. Cette option n'est pas activée par défaut.
Saturday	Facultatif. Si cette option est sélectionnée, l'action inclut les samedis dans les jours autorisés pour les alertes. Cette option n'est pas activée par défaut.
Sunday	Facultatif. Si cette option est sélectionnée, l'action inclut le dimanche dans les jours autorisés pour les alertes. Cette option n'est pas activée par défaut.
Input Timezone	Facultatif. Cette action accepte les fuseaux horaires standards, tels que UTC, en plus des zones IANA, telles que America/New_York. Si vous fournissez une zone IANA, l'action s'ajuste automatiquement à l'heure d'été.

Sorties d'action

L'action Heure d'alerte autorisée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Permitted Alert Time (Heure d'alerte autorisée) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS	L'action a réussi.
Error executing action "Permitted Alert Time". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Heure d'alerte autorisée :

Nom du résultat du script	Valeur
Permitted	true ou false

Ping

Utilisez l'action Ping pour tester la connectivité à Siemplify.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
Email address is syntactically correct.	L'action a réussi.
Error executing action "Ping". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Signaler un incident

Utilisez l'action Signaler un incident pour marquer un cas de vrai positif comme Critical et signaler l'incident.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Signaler un incident nécessite les paramètres suivants :

Paramètre	Description
Soc Role	Facultatif. Rôle SOC Google SecOps auquel attribuer la demande.

Sorties d'action

L'action Signaler un incident fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Signaler un incident peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case raised to CASE_STAGE status.	L'action a réussi.
Error executing action "Raise Incident". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Signaler un incident :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Supprimer le tag

Utilisez l'action Supprimer le tag pour supprimer des tags de la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Supprimer le tag nécessite les paramètres suivants :

Paramètre	Description
Tag	Obligatoire. Liste de tags à supprimer de la demande, séparés par une virgule.

Sorties d'action

L'action Supprimer le tag fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer la balise peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
Successfully removed the following tags from case CASE_ID:TAGS	L'action a réussi.
It is not possible to remove the tag. Error executing action "Remove Tag". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Supprimer le tag :

Nom du résultat du script	Valeur
is_success	true ou false

Supprimer d'une liste personnalisée

Utilisez l'action Supprimer de la liste personnalisée pour supprimer les entités associées à une alerte d'une catégorie de liste personnalisée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Supprimer de la liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Nom de la catégorie de liste personnalisée à partir de laquelle supprimer l'identifiant d'entité.

Sorties d'action

L'action Supprimer de la liste personnalisée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer de la liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert's entities ENTITY_ID were removed from custom list category: CATEGORY The given category does not exist.	L'action a réussi.
Error executing action "Remove From Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur de la sortie du résultat du script lorsque vous utilisez l'action Supprimer de la liste personnalisée :

Nom du résultat du script	Valeur
ScriptResult	true ou false

Réactiver le SLA lié à l'alerte

Utilisez l'action Réactiver le SLA lié à l'alerte pour réactiver et redémarrer le minuteur du contrat de niveau de service (SLA) pour l'alerte.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Réactiver le SLA lié à l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Réactiver le SLA lié à l'alerte peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The alert SLA was resumed.	L'action a réussi.
Error executing action "Resume Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Reprendre le contrat de niveau de service d'alerte :

Nom du résultat du script	Valeur
is_success	true ou false

Réactiver le SLA du cas

Utilisez l'action Réactiver le SLA du cas pour réactiver le minuteur du contrat de niveau de service (SLA) pour la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Réactiver le SLA du cas fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Réactiver le SLA du cas peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The Case SLA was resumed successfully.	L'action a réussi.
Error executing action "Resume Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie des résultats du script lorsque vous utilisez l'action Reprendre le SLA de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le SLA d'une alerte

Utilisez l'action Définir le SLA d'alerte pour définir le minuteur de SLA pour l'alerte.

Remarque : Cette action remplace tout contrat de niveau de service existant pour l'alerte.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir le SLA d'alerte nécessite les paramètres suivants :

Paramètre	Description
SLA Period	Obligatoire. Durée totale du SLA avant qu'il ne soit considéré comme non respecté. La période totale du SLA ne peut pas dépasser 30 jours. La valeur par défaut est 5.
SLA Time Unit	Obligatoire. Unité de temps pour la période du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.
SLA Time To Critical Period	Obligatoire. Durée du SLA avant qu'il n'atteigne un état critique. La valeur par défaut est 4.
SLA Time To Critical Unit	Obligatoire. Unité de temps pour la période critique du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.

Sorties d'action

L'action Définir le SLA d'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Set Alert SLA (Définir le SLA d'alerte) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	L'action a réussi.
Error executing action "Set Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le contrat de niveau de service des alertes :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le SLA pour une demande

Utilisez l'action Définir le SLA de la demande pour définir le SLA de la demande.

Cette action a la priorité la plus élevée et remplace le SLA existant défini pour la demande spécifique.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir le SLA de la demande nécessite les paramètres suivants :

Paramètre	Description
SLA Period	Obligatoire. Durée totale du SLA avant qu'il ne soit considéré comme non respecté. La période totale du SLA ne peut pas dépasser 30 jours. La valeur par défaut est 5.
SLA Time Unit	Obligatoire. Unité de temps pour la période du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.
SLA Time To Critical Period	Facultatif. Durée du SLA avant qu'il n'atteigne un état critique. La valeur par défaut est 4.
SLA Time To Critical Unit	Obligatoire. Unité de temps pour la période critique du SLA. Les valeurs possibles sont les suivantes : Minutes Hours Days La valeur par défaut est Minutes.

Sorties d'action

L'action Définir le SLA de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Search ASM Issues (Rechercher les problèmes ASM) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	L'action a réussi.
Error executing action "Set Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le SLA de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Définir des champs personnalisés

Utilisez l'action Définir des champs personnalisés pour définir des valeurs pour les champs personnalisés.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir des champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ d'application à définir pour les champs personnalisés. Les valeurs possibles sont les suivantes : Case Alert La valeur par défaut est Case.
Custom Fields Data	Obligatoire. Valeurs mises à jour pour les champs personnalisés. Vous pouvez mettre à jour plusieurs champs personnalisés en une seule exécution d'action. La valeur par défaut est la suivante : { "Custom Field Name 1":"Custom Field Value 1", "Custom Field Name 2":"Custom Field Value 2" }
Append Values	Facultatif. Si cette option est sélectionnée, l'action ajoute les entrées de Custom Fields Data aux valeurs existantes des champs personnalisés. Si cette option n'est pas sélectionnée, l'action remplace les valeurs existantes par les entrées du paramètre Custom Fields Data. Cette option n'est pas activée par défaut.

Sorties d'action

L'action Définir des champs personnalisés fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Définir des champs personnalisés :

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}

Messages de sortie

L'action Définir des champs personnalisés peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES	L'action a réussi.
Error executing action "Set Custom Fields". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir des champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le score de risque

Utilisez l'action Définir le score de risque pour mettre à jour le score de risque de la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir le score de risque nécessite les paramètres suivants :

Paramètre	Description
Risk Score	Obligatoire. Score de risque à définir pour la demande.

Sorties d'action

L'action Définir le score de risque fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir le score de risque peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
Successfully set Risk Score for case CASE_ID	L'action a réussi.
Error executing action "Set Risk Score". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le score de risque :

Nom du résultat du script	Valeur
is_success	true ou false

Définir la valeur du contexte de portée

Utilisez l'action Définir la valeur du contexte de portée pour définir une valeur pour une clé stockée dans la base de données Google SecOps.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir la valeur du contexte de portée nécessite les paramètres suivants :

Paramètre	Description
Context Scope	Obligatoire. Champ d'application du contexte à partir duquel récupérer les données. Les valeurs possibles sont les suivantes : Not specified Alert Case Global La valeur par défaut est Not specified.
Key Name	Obligatoire. Nom de la clé à partir de laquelle récupérer la valeur correspondante.
Key Value	Obligatoire. Valeur à stocker sous la clé spécifiée.

Sorties d'action

L'action Définir la valeur du contexte de portée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir la valeur du contexte de portée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE.	L'action a réussi.
Error executing action "Set Scope Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir la valeur du contexte de portée :

Nom du résultat du script	Valeur
is_success	true ou false

Modifier la description de la demande

Utilisez l'action Mettre à jour la description de la demande pour mettre à jour la description de la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre à jour la description de la demande nécessite les paramètres suivants :

Paramètre	Description
Description	Obligatoire. Description à définir pour la demande.

Sorties d'action

L'action Mettre à jour la description de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Update Case Description (Mettre à jour la description de la demande) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully updated the case description.	L'action a réussi.
Error executing action "Update Case Description". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur de la sortie du résultat du script lorsque vous utilisez l'action Mettre à jour la description de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Attendre les champs personnalisés

Utilisez l'action Attendre les champs personnalisés pour attendre les valeurs des champs personnalisés avant de poursuivre l'exécution du playbook.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Attendre les champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ d'application à définir pour les champs personnalisés. Les valeurs possibles sont les suivantes : Case Alert La valeur par défaut est Case.
Custom Fields Data	Obligatoire. Conditions à remplir pour les champs personnalisés afin de reprendre un playbook. Les noms des champs personnalisés et leurs valeurs requises doivent être configurés en tant qu'objet JSON. Si vous définissez des conditions pour plusieurs champs, l'action attend que tous les champs correspondent à leurs conditions respectives. Pour reprendre l'opération lorsqu'un champ personnalisé a une valeur, configurez une chaîne vide : {"Custom Field Name": ""} Pour reprendre la lecture lorsqu'un champ personnalisé est égal à une valeur spécifique, telle que VALUE_1, spécifiez la valeur : {"Custom Field Name": "VALUE_1"} La valeur par défaut indique le format JSON attendu : { "Custom Field Name 1": "Custom Field Value 1", "Custom Field Name 2": "Custom Field Value 2" }

Sorties d'action

L'action Attendre les champs personnalisés fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Attendre les champs personnalisés :

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}

Messages de sortie

L'action Attendre les champs personnalisés peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES Waiting for SCOPE custom fields updates...	L'action a réussi.
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Attendre les champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Jobs

Pour en savoir plus sur les jobs, consultez Configurer un job et Planification avancée.

Siemplify : Actions Monitor

Utilisez le job Siemplify – Actions Monitor pour recevoir des notifications concernant les actions qui ont échoué au moins trois fois au cours des trois dernières heures.

Paramètres de job

Le job Siemplify – Actions Monitor nécessite les paramètres suivants :

Paramètre	Description
Run Interval In Seconds	Facultatif. Intervalle, en secondes, pour l'exécution du job. Ce paramètre détermine la fréquence à laquelle l'intégration recherche les actions de playbook ayant échoué. La valeur par défaut est 900.
Is Enabled	Facultatif. Si cette option est sélectionnée, le job est actif et s'exécutera selon la programmation. Si cette option n'est pas sélectionnée, le job est désactivé et ne s'exécute pas. Cette option est activée par défaut.

Siemplify : base de données du collecteur de cas

Utilisez le job Siemplify - Cases Collector DB pour récupérer et traiter les demandes de sécurité d'un éditeur désigné.

Paramètres de job

Le job Siemplify - Cases Collector DB nécessite les paramètres suivants :

Paramètre	Description
Publisher Id	Obligatoire. ID de l'éditeur à partir duquel collecter les demandes et les journaux.
Verify SSL	Facultatif. Si cette option est sélectionnée, le job vérifie que le certificat SSL de l'éditeur est valide. Cette option n'est pas activée par défaut.

Siemplify : collecteur de journaux

Utilisez le job Siemplify – Logs Collector pour récupérer et traiter les journaux d'un éditeur spécifié.

Entrées de job

Le job Siemplify – Collecteur de journaux nécessite les paramètres suivants :

Paramètre	Description
Publisher Id	Obligatoire. ID de l'éditeur à partir duquel collecter les journaux.
Verify SSL	Facultatif. Si cette option est sélectionnée, le job vérifie que le certificat SSL de l'éditeur est valide. Cette option n'est pas activée par défaut.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.