Intégrer Siemplify à Google SecOps

Ce document explique comment intégrer Siemplify à Google Security Operations (Google SecOps).

Version de l'intégration : 94.0

Cas d'utilisation

L'intégration Siemplify peut répondre aux cas d'utilisation suivants :

• Enquête sur l'hameçonnage : utilisez les fonctionnalités Google SecOps pour automatiser l'analyse des e-mails d'hameçonnage, extraire les indicateurs de compromission (IOC) et les enrichir avec des renseignements sur les menaces.

• Contention des logiciels malveillants : utilisez les fonctionnalités Google SecOps pour isoler automatiquement les points de terminaison infectés, lancer des analyses et mettre en quarantaine les fichiers malveillants dès qu'un logiciel malveillant est détecté.

• Gestion des failles : utilisez les fonctionnalités Google SecOps pour orchestrer les analyses des failles, hiérarchiser les failles en fonction des risques et créer automatiquement des tickets pour la correction.

• Chasse aux menaces : utilisez les fonctionnalités Google SecOps pour automatiser l'exécution des requêtes de chasse aux menaces dans différents outils et ensembles de données de sécurité.

• Tri des alertes de sécurité : utilisez les fonctionnalités Google SecOps pour enrichir automatiquement les alertes de sécurité avec des informations contextuelles, les corréler avec d'autres événements et les hiérarchiser en fonction de leur gravité.

• Réponse aux incidents : utilisez les fonctionnalités Google SecOps pour orchestrer l'ensemble du processus de réponse aux incidents, de la détection initiale à la maîtrise et à l'éradication.

• Rapports de conformité : utilisez les fonctionnalités Google SecOps pour automatiser la collecte et l'analyse des données de sécurité pour les rapports de conformité.

Paramètres d'intégration

L'intégration Siemplify nécessite les paramètres suivants :

Paramètre	Description
Monitors Mail Recipients	Obligatoire. Liste d'adresses e-mail à valider, séparées par une virgule. La valeur par défaut est [e-mail],[e-mail].
Elastic Server Address	Obligatoire. Adresse du serveur Elastic. La valeur par défaut est localhost.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement, si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour savoir comment configurer et prendre en charge plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis Votre bureau et Effectuer une action manuelle.

Ajouter un insight sur une entité

Utilisez l'action Add Entity Insight (Ajouter un insight sur l'entité) pour ajouter un insight à l'entité Google SecOps ciblée dans Siemplify.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Ajouter un insight sur une entité nécessite les paramètres suivants :

Paramètre	Description
Message	Obligatoire. Message à ajouter à l'entité. Ce paramètre est compatible avec les éléments HTML, tels que les titres (<h1></h1>, <h2></h2>), les paragraphes (<p></p>), la mise en forme du texte (<b></b>, <i></i>, <br>) et les liens (<a href="example.com"></a>).

Sorties d'action

L'action Ajouter un insight d'entité fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un insight sur une entité peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Added insight with message MESSAGE to ENTITY_ID.	L'action a réussi.
Error executing action "Add Entity Insight". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter un insight sur l'entité :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter un insight général

Utilisez l'action Ajouter un insight général pour ajouter un insight général à la demande.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Ajouter un insight général nécessite les paramètres suivants :

Paramètre	Description
Title	Obligatoire. Titre de l'insight.
Message	Obligatoire. Message à ajouter à l'entité. Ce paramètre est compatible avec les éléments HTML, tels que les titres (<h1></h1>, <h2></h2>), les paragraphes (<p></p>), la mise en forme du texte (<b></b>, <i></i>, <br>) et les liens (<a href="example.com"></a>).
Triggered By	Facultatif. Justification de l'insight.

Sorties d'action

L'action Ajouter un insight général fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un insight général peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Added insight with message MESSAGE.	L'action a réussi.
Error executing action "Add General Insight". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter un insight général :

Nom du résultat du script	Valeur
is_success	true ou false

Ajouter des tags aux demandes similaires

Utilisez l'action Ajouter des tags aux demandes similaires pour ajouter des tags aux demandes similaires.

Pour trouver des cas similaires, l'action utilise la fonction siemplify.get_similar_cases() avec les paramètres récupérés, qui renvoie une liste d'ID de cas.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Ajouter des tags aux demandes similaires nécessite les paramètres suivants :

Paramètre	Description
Rule Generator	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du générateur de règles. Cette option est sélectionnée par défaut.
Port	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide des numéros de port. Cette option est sélectionnée par défaut.
Category Outcome	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide de la catégorie de résultat. Cette option est sélectionnée par défaut.
Entity Identifier	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide de l'identifiant d'entité. Cette option est sélectionnée par défaut.
Days Back	Obligatoire. Nombre de jours à remonter lors de la recherche de cas similaires.
Tags	Obligatoire. Liste de tags à ajouter aux demandes similaires, séparés par une virgule.

Remarque : L'action Ajouter des tags aux cas similaires applique l'opérateur logique AND aux paramètres Rule Generator, Port, Category Outcome et Entity Identifier pour les utiliser dans la même recherche.

Sorties d'action

L'action Ajouter des tags aux demandes similaires fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter des tags aux cas similaires peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Found NUMBER_OF_CASES similar cases. Successfully added tags: TAG to cases CASE_ID	L'action a réussi.
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Ajouter des tags aux demandes similaires :

Nom du résultat du script	Valeur
SimilarCasesIds	Liste des ID de demandes similaires.

Ajouter à une liste personnalisée

Utilisez l'action Ajouter à la liste personnalisée pour ajouter un identifiant d'entité à une liste personnalisée catégorisée et effectuer des comparaisons ultérieures dans d'autres actions.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Ajouter à une liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Liste personnalisée de catégories à utiliser.

Sorties d'action

L'action Ajouter à une liste personnalisée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter à une liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert's entities ENTITY_ID were added to custom list category: CATEGORY.	L'action a réussi.
Error executing action "Add to Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ajouter à la liste personnalisée :

Nom du résultat du script	Valeur
is_success	true ou false

Attribuer un cas

Utilisez l'action Attribuer une demande pour attribuer une demande à un utilisateur ou à un groupe d'utilisateurs spécifique.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Assign Case (Attribuer la demande) nécessite les paramètres suivants :

Paramètre	Description
Assigned User	Obligatoire. Utilisateur ou groupe d'utilisateurs auquel attribuer une demande.

Sorties d'action

L'action Assign Case (Attribuer une demande) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter à une liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case was successfully assigned to ASSIGNED_USER.	L'action a réussi.
Error executing action "Assign Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Assign Case (Attribuer une demande) :

Nom du résultat du script	Valeur
is_success	true ou false

Associer un playbook à une alerte

Utilisez l'action Associer un playbook à une alerte pour associer un playbook spécifique à une alerte.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Associer un playbook à une alerte nécessite les paramètres suivants :

Paramètre	Description
Playbook Name	Obligatoire. Nom du playbook à associer à l'alerte actuelle.

Sorties d'action

L'action Associer un playbook à une alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Rechercher des graphiques peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.	L'action a réussi.
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Associer un playbook à une alerte :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Commentaire sur la demande

Utilisez l'action Commentaire sur la demande pour ajouter un commentaire à la demande dans laquelle l'alerte actuelle est regroupée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Commentaire sur la demande nécessite les paramètres suivants :

Paramètre	Description
Comment	Obligatoire. Commentaire à ajouter à la demande.

Sorties d'action

L'action Case Comment (Commentaire sur la demande) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Comment added to case: CASE_COMMENT.	L'action a réussi.
Error executing action "Case Comment". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Commentaire sur la demande :

Nom du résultat du script	Valeur
SuccessStatus	true ou false

Tag de demande

Utilisez l'action Tag de la fiche pour ajouter un tag à la fiche dans laquelle l'alerte actuelle est regroupée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Tag de demande nécessite les paramètres suivants :

Paramètre	Description
Tag	Obligatoire. Tag à ajouter à la demande.

Sorties d'action

L'action Tag de requête fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Taguer la demande peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The tag TAG_ID was added to the case	L'action a réussi.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Tag de requête :

Nom du résultat du script	Valeur
is_success	true ou false

Modifier la priorité de l'alerte

Utilisez l'action Modifier la priorité de l'alerte pour modifier la priorité d'une alerte dans une demande.

Cette action s'exécute sur toutes les entités Google SecOps.

Remarque : Dans Google SecOps, la priorité d'alerte la plus élevée détermine la priorité du cas par défaut.

Par exemple, si la priorité du cas est Medium, cela signifie qu'au moins une alerte parmi toutes celles regroupées dans le cas a une priorité Medium, tandis que d'autres ont des priorités inférieures, telles que Low ou Informative.

Si vous définissez la priorité de la demande sur Low, Google SecOps la remplace par Low.

Si vous définissez la priorité d'une alerte d'incident sur High, Google SecOps définit automatiquement la priorité de l'incident sur High.

Entrées d'action

L'action Modifier la priorité de l'alerte nécessite les paramètres suivants :

Paramètre	Description
Alert Priority	Obligatoire. Nouvelle priorité de l'alerte. Les valeurs possibles sont les suivantes : Informative Low Medium High Critical

Sorties d'action

L'action Modifier la priorité de l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert priority was set to NEW_PRIORITY_LEVEL.	L'action a réussi.
Error executing action "Change Alert Priority". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Modifier la priorité de l'alerte :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Modifier l'étape de traitement du cas

Utilisez l'action Modifier l'étape de traitement du cas pour modifier l'étape de traitement du cas.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Modifier l'état de la demande nécessite les paramètres suivants :

Paramètre	Description
Stage	Obligatoire. Étape vers laquelle déplacer la demande. Les valeurs possibles sont les suivantes : Triage Assessment Investigation Incident Improvement Research

Sorties d'action

L'action Modifier l'état de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Case stage was successfully changed to CASE_STAGE.	L'action a réussi.
Error executing action "Change Case Stage". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier l'état de la demande :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Changer la priorité

Utilisez l'action Modifier la priorité pour modifier la priorité de la demande d'assistance en cours d'examen.

Cette action s'exécute sur toutes les entités Google SecOps.

Remarque : Dans Google SecOps, la priorité d'alerte la plus élevée détermine la priorité du cas par défaut.

Par exemple, si la priorité du cas est Medium, cela signifie qu'au moins une alerte parmi toutes celles regroupées dans le cas a une priorité Medium, tandis que d'autres ont des priorités inférieures, telles que Low ou Informative.

Si vous définissez la priorité de la demande sur Low, Google SecOps la remplace par Low.

Si vous définissez la priorité d'une alerte d'incident sur High, Google SecOps définit automatiquement la priorité de l'incident sur High.

Entrées d'action

L'action Modifier la priorité nécessite les paramètres suivants :

Paramètre	Description
Priority	Obligatoire. Priorité à définir pour la demande. Les valeurs possibles sont les suivantes : Informative Low Medium High Critical

Sorties d'action

L'action Modifier la priorité fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case priority was set to NEW_CASE_PRIORITY	L'action a réussi.
Error executing action "Close Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier la priorité :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Fermer l'alerte

Utilisez l'action Fermer l'alerte pour fermer l'alerte.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Fermer l'alerte nécessite les paramètres suivants :

Paramètre	Description
Reason	Obligatoire. Motif de la fermeture de l'alerte. Les valeurs possibles sont les suivantes : Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatoire. Cause principale de la clôture de l'alerte.
Comment	Obligatoire. Commentaire à ajouter à l'alerte.
Assign to User	Facultatif. Utilisateur auquel attribuer l'alerte.
Tags	Facultatif. Liste de tags séparés par une virgule.

Sorties d'action

L'action Fermer l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert was closed. Root Cause: ROOT_CAUSEComment: ALERT_COMMENTReason: REASON	L'action a réussi.
Error executing action "Close Alert". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Fermer l'alerte :

Nom du résultat du script	Valeur
StatusResult	true ou false

Clôturer le cas

Utilisez l'action Clôturer la demande pour clôturer la demande.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Fermer la demande nécessite les paramètres suivants :

Paramètre	Description
Reason	Obligatoire. Raison de la clôture de la demande. Les valeurs possibles sont les suivantes : Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obligatoire. Cause principale de la clôture de la demande.
Comment	Obligatoire. Commentaire à ajouter à la demande.

Sorties d'action

L'action Close Case (Clore la demande) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case was closed. Root Cause: ROOT_CAUSEComment: CASE_COMMENTReason: REASON	L'action a réussi.
Error executing action "Close Case". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Close Case (Fermer la demande) :

Nom du résultat du script	Valeur
StatusResult	true ou false

Créer une entité

Utilisez l'action Créer une entité pour créer une entité et l'ajouter à une alerte.

Cette action s'exécute sur toutes les entités Google SecOps.

Remarque : Pour la plate-forme Google SecOps version 5.6.2 et ultérieures, l'action Créer une entité vous permet de choisir le délimiteur lors du processus de mappage et d'ignorer la configuration de la base de données.

Pour la plate-forme Google SecOps version 5.6.0 à 5.6.2, la délimitation peut avoir lieu dans l'action Créer une entité ou dans la base de données.

Pour utiliser un délimiteur personnalisé (non défini par défaut) lorsque vous créez une entité, utilisez le même délimiteur dans l'action et la base de données.

Pour utiliser un délimiteur personnalisé, procédez comme suit :

• Remplacez le délimiteur par défaut (,) par votre délimiteur personnalisé dans les entrées d'action et la base de données.
• Modifiez le délimiteur dans la base de données et laissez la valeur du paramètre Delimiter vide dans l'action.

Entrées d'action

L'action Créer une entité nécessite les paramètres suivants :

Paramètre	Description
Entities Identifies	Obligatoire. Liste d'identifiants d'entités à créer dans la demande, séparés par une virgule, comme VALUE1,VALUE2,VALUE3 .
Delimiter	Facultatif. Délimiteur utilisé pour diviser l'entrée du paramètre Entities Identifies en plusieurs identifiants. Si vous ne définissez pas de valeur, l'action traite l'entrée comme un identifiant d'entité unique. La valeur par défaut est ,.
Entity Type	Obligatoire. Type d'entité à créer, par exemple HOSTNAME, USERNAME ou IP.
Is Internal	Facultatif. Si cette option est sélectionnée, l'action traite les entités comme faisant partie d'un réseau interne. (non sélectionnée par défaut).
Is Suspicious	Facultatif. Si cette option est sélectionnée, l'action traite les entités comme suspectes. (non sélectionnée par défaut).

Sorties d'action

L'action Créer une entité fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Create Entity (Créer une entité) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
<codeENTITY_ID created successfully.	L'action a réussi.
Error executing action "Create Entity". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer une entité :

Nom du résultat du script	Valeur
StatusResult	true ou false

Créer un résumé Gemini pour une demande

Utilisez l'action Créer un récapitulatif Gemini pour la demande afin de créer un récapitulatif Gemini pour une demande et de l'ajouter à une alerte.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

Aucun

Sorties d'action

L'action Créer un résumé Gemini de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Créer un résumé de la demande Gemini :

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]}

Messages de sortie

L'action Créer un résumé de la demande Gemini peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
Case summary generation completed.	L'action a réussi.
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Créer un récapitulatif Gemini de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Créer ou mettre à jour des propriétés d'entité

Utilisez l'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés d'entité) pour créer ou modifier les propriétés des entités dans le champ d'application de l'entité.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés d'une entité) nécessite les paramètres suivants :

Paramètre	Description
Entity Field	Obligatoire. Nom du champ d'entité à créer ou à mettre à jour.
Field Value	Obligatoire. Valeur à définir pour le champ d'entité spécifié.

Sorties d'action

L'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés de l'entité) fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Property ENTITY_ID were changed for the following entities: ENTITY_ID.	L'action a réussi.
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Create Or Update Entity Properties (Créer ou mettre à jour les propriétés de l'entité) :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir les détails d'une demande

Utilisez l'action Obtenir les détails du cas pour obtenir toutes les données d'un cas (y compris les commentaires, les informations sur les entités, les insights, les playbooks exécutés, les informations sur les alertes et les événements).

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées d'action

L'action Get Case Details (Obtenir les détails de la demande) nécessite les paramètres suivants :

Paramètre	Description
Case Id	Facultatif. ID de la demande à interroger. Si aucune valeur n'est fournie, l'action utilisera par défaut la casse actuelle.
Fields to Return	Facultatif. Liste de champs à renvoyer, séparés par une virgule. Si rien n'est fourni, tous les champs sont renvoyés. Remarque : Les valeurs imbriquées peuvent être récupérées en chaînant les clés et les index de liste à l'aide du paramètre Nested Keys Delimiter.
Nested Keys Delimiter	Facultatif. Caractère utilisé pour séparer les clés imbriquées lorsque des champs spécifiques sont demandés. Le délimiteur ne peut pas être une virgule(,). Ce délimiteur est nécessaire pour récupérer les clés imbriquées.

Sorties d'action

L'action Obtenir les détails de la demande fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les détails de la demande :

{
"id": 24879,
"creationTimeUnixTimeInMs": 1750862500562,
"modificationTimeUnixTimeInMs": 1750862500562,
"name": "Malware",
"priority": -1,
"isImportant": false,
"isIncident": false,
"startTimeUnixTimeInMs": 1727243021999,
"endTimeUnixTimeInMs": 1727243022479,
"assignedUser": "@Tier1",
"description": null,
"isTestCase": true,
"type": 1,
"stage": "Triage",
"environment": "Default Environment",
"status": 1,
"incidentId": null,
"tags": ["hi", "Simulated Case"],
"alertCards": [{
  "id": 172354,
  "creationTimeUnixTimeInMs": 1750862500651,
  "modificationTimeUnixTimeInMs": 1750862500651,
  "identifier": "EICAR_TEST_VANSHIKAVW-TEST-NEW0CC43705-04A7-43FD-88CD-B3E7FECA881D",
  "status": 0,
  "name": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "priority": -1,
  "workflowsStatus": 1,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "startTime": 1727243021999,
  "endTime": 1727243022479,
  "alertGroupIdentifier": "MalwareSFBrxjAXvKJsJyKe5iQalf00zrv/QwX966dRoEyP2eA=_8cc160b5-7039-421c-926c-1a98073f11d2",
  "eventsCount": 3,
  "title": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "ruleGenerator": "Malware",
  "deviceProduct": "SentinelOneV2",
  "deviceVendor": "SentinelOneV2",
  "playbookAttached": "Testing",
  "playbookRunCount": 1,
  "isManualAlert": false,
  "sla": {
    "slaExpirationTime": null,
    "criticalExpirationTime": null,
    "expirationStatus": 2,
    "remainingTimeSinceLastPause": null
    },
  "fieldsGroups": [],
  "sourceUrl": null,
  "sourceRuleUrl": null,
  "siemAlertId": null,
  "relatedCases": [],
  "lastSourceUpdateUnixTimeInMs": null,
  "caseId": 24879,
  "nestingDepth": 0
  }],
"isOverflowCase": false,
"isManualCase": false,
"slaExpirationUnixTime": null,
"slaCriticalExpirationUnixTime": null,
"stageSlaExpirationUnixTimeInMs": null,
"stageSlaCriticalExpirationUnixTimeInMs": null,
"canOpenIncident": false,
"sla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null
  },
"stageSla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null},
  "relatedAlertTicketId": null,
  "relatedAlertCards": []
  }

Messages de sortie

L'action Obtenir les détails de la demande peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Finished executing Get Case Details successfully	L'action a réussi.
Error executing action "Get Case Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir les détails de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir la valeur du contexte du connecteur

Utilisez l'action Obtenir la valeur du contexte du connecteur pour obtenir une valeur stockée sous une clé spécifiée dans la base de données Google SecOps pour un contexte de connecteur.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir la valeur du contexte du connecteur nécessite les paramètres suivants :

Paramètre	Description
Connector Identifier	Obligatoire. Identifiant du connecteur pour lequel récupérer la valeur du contexte.
Key Name	Obligatoire. Nom de la clé pour laquelle récupérer la valeur du contexte.
Create Case Wall Table	Facultatif. Si cette option est sélectionnée, l'action crée un tableau "Case Wall" avec la valeur de contexte récupérée, sauf si la valeur dépasse la limite de caractères. Cette option est sélectionnée par défaut.

Sorties d'action

L'action Obtenir la valeur du contexte du connecteur fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Table du mur des cas

L'action Obtenir la valeur du contexte du connecteur peut générer le tableau suivant :

Nom de la table : Connector

Colonnes du tableau :

• Identifiant du connecteur
• Clé
• Valeur

Messages de sortie

L'action Obtenir la valeur du contexte du connecteur peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER. Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER. Action can't return the Case Wall table as the context values are too big.	L'action a réussi.
Error executing action "Get Connector Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir la valeur du contexte du connecteur :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir les valeurs des champs personnalisés

Utilisez l'action Obtenir les valeurs des champs personnalisés pour récupérer les valeurs actuelles du champ personnalisé en fonction du champ d'application spécifié.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir les valeurs des champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ à partir duquel obtenir les champs personnalisés. Les valeurs possibles sont les suivantes : Case Alert All

Sorties d'action

L'action Obtenir les valeurs des champs personnalisés fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Obtenir les valeurs des champs personnalisés :

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]

Messages de sortie

L'action Obtenir les valeurs des champs personnalisés peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully returned SCOPE custom fields. No custom fields were found in scope SCOPE.	L'action a réussi.
Error executing action "Get Custom Field Values". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir les valeurs des champs personnalisés :

Nom du résultat du script	Valeur
is_success	True ou False

Obtenir la valeur du contexte de portée

Utilisez l'action Obtenir la valeur du contexte du champ d'application pour obtenir une valeur stockée sous une clé spécifiée dans la base de données Google SecOps.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Obtenir la valeur du contexte de portée nécessite les paramètres suivants :

Paramètre	Description
Context Scope	Obligatoire. Champ d'application du contexte à partir duquel récupérer les données. Les valeurs possibles sont les suivantes : Not specified Alert Case Global
Key Name	Obligatoire. Nom de la clé permettant de récupérer la valeur correspondante à partir du contexte spécifié.
Create Case Wall Table	Facultatif. Si cette option est sélectionnée, l'action crée un tableau "Case Wall" avec la valeur de contexte récupérée, sauf si la valeur dépasse la limite de caractères. Cette option est sélectionnée par défaut.

Sorties d'action

L'action Obtenir la valeur du contexte de portée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Table du mur des cas

L'action Obtenir la valeur du contexte de portée peut générer le tableau suivant :

Nom de la table : SCOPE

Colonnes du tableau :

• Clé
• Valeur

Messages de sortie

L'action Obtenir la valeur du contexte de portée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. No context values were found for the provided context scope CONTEXT_SCOPE. Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. Action can't return the Case Wall table as the context values are too big.	L'action a réussi.
Error executing action "Get Scope Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir la valeur du contexte de portée :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir des demandes similaires

Utilisez l'action Get Similar Cases (Obtenir des cas similaires) pour rechercher des cas similaires et renvoyer leurs ID.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Get Similar Cases (Obtenir des cas similaires) nécessite les paramètres suivants :

Paramètre	Description
Rule Generator	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide du générateur de règles. Cette option est sélectionnée par défaut.
Port	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide des numéros de port. Cette option est sélectionnée par défaut.
Category Outcome	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide de la catégorie de résultat. Cette option est sélectionnée par défaut.
Entity Identifier	Facultatif. Si cette option est sélectionnée, l'action recherche des cas similaires à l'aide de l'identifiant d'entité. Cette option est sélectionnée par défaut.
Days Back	Obligatoire. Nombre de jours avant aujourd'hui pour que l'action recherche des cas similaires.
Include Open Cases	Facultatif. Si cette option est sélectionnée, l'action recherche les demandes ouvertes. Cette option est sélectionnée par défaut.
Include Closed Cases	Facultatif. Si cette option est sélectionnée, l'action recherche les demandes clôturées. Cette option est sélectionnée par défaut.

L'action Obtenir des demandes similaires applique l'opérateur logique AND aux paramètres Rule Generator, Port, Category Outcome, Entity Identifier, Include Open Cases et Include Closed Cases pour les utiliser dans la même recherche.

Sorties d'action

L'action Obtenir des cas similaires fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get Similar Cases (Obtenir des cas similaires) :

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}

Messages de sortie

L'action Obtenir des cas similaires peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST	L'action a réussi.
Error executing action "Get Similar Cases". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Obtenir des cas similaires :

Nom du résultat du script	Valeur
SimilarCasesIds	CASE_IDS_LIST

Instruction

Utilisez l'action Instruction pour définir des instructions pour un analyste.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Instruction nécessite les paramètres suivants :

Paramètre	Description
Instruction	Obligatoire. Contenu des instructions destinées à l'analyste.

Sorties d'action

L'action Instruction fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Add Vote To Entity peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Please perform the following instructions: INSTRUCTION.	L'action a réussi.
Error executing action "Instruction". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie des résultats du script lorsque vous utilisez l'action Instruction :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Est dans la liste personnalisée

Utilisez l'action Est dans la liste personnalisée pour vérifier si l'identifiant d'entité fait partie d'une liste personnalisée spécifiée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Est dans la liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Catégorie de liste personnalisée à vérifier pour les entités d'alerte.

Sorties d'action

L'action Est dans la liste personnalisée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Est dans la liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
This alert contains entities in the given custom list category: CATEGORY.	L'action a réussi.
Error executing action "Is In Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Est dans la liste personnalisée :

Nom du résultat du script	Valeur
ScriptResult	true ou false

Marquer comme important

Utilisez l'action Marquer comme important pour marquer une demande comme importante.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

Aucun

Sorties d'action

L'action Marquer comme important fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Marquer comme important peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case was automatically marked as important.	L'action a réussi.
Error executing action "Mark As Important". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Marquer comme important :

Nom du résultat du script	Valeur
Résultat du script	true ou false

URL Open Web

Utilisez l'action Ouvrir l'URL Web pour générer un lien de navigateur.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Ouvrir l'URL du Web ouvert nécessite les paramètres suivants :

Paramètre	Description
Title	Obligatoire. Titre de l'URL.
URL	Obligatoire. URL cible.

Sorties d'action

L'action Ouvrir l'URL Web fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ouvrir l'URL Web peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
URL_TITLE URL_LINK	L'action a réussi.
Error executing action "Open Web Url". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant indique la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ouvrir l'URL Web :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Mettre en pause le SLA lié à l'alerte

Utilisez l'action Mettre en pause le SLA lié à l'alerte pour mettre en pause le minuteur du contrat de niveau de service (SLA) d'une alerte spécifique dans la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre en pause le SLA lié à l'alerte nécessite les paramètres suivants :

Paramètre	Description
Message	Facultatif. Motif de la mise en veille du SLA lié à l'alerte.

Sorties d'action

L'action Mettre en pause le SLA lié à l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre en pause le SLA lié à l'alerte peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert SLA was paused.	L'action a réussi.
Error executing action "Pause Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Suspendre l'alerte SLA :

Nom du résultat du script	Valeur
is_success	true ou false

Mettre en pause le SLA du cas

Utilisez l'action Mettre en pause le SLA du cas pour suspendre le minuteur du contrat de niveau de service (SLA) pour un cas spécifique.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre en pause le SLA du cas nécessite les paramètres suivants :

Paramètre	Description
Message	Facultatif. Raison de la mise en pause du SLA de la demande.

Sorties d'action

L'action Mettre en pause le SLA du cas fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre en pause le SLA du cas peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The case SLA was paused.	L'action a réussi.
Error executing action "Pause Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Suspendre le délai de traitement de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Heure d'alerte autorisée

Utilisez l'action Heure d'alerte autorisée pour vérifier si l'heure de début d'une alerte sélectionnée respecte les conditions temporelles définies par l'utilisateur.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Heure d'alerte autorisée nécessite les paramètres suivants :

Paramètre	Description
Permitted Start Time	Obligatoire. Heure de début de la période autorisée pour les alertes.
Permitted End Time	Obligatoire. Heure de fin de la période autorisée pour les alertes.
Monday	Facultatif. Si cette option est sélectionnée, l'action considère les lundis comme des jours autorisés pour les alertes. (non sélectionnée par défaut).
Tuesday	Facultatif. Si cette option est sélectionnée, l'action considère les mardis comme des jours autorisés pour les alertes. Cette option est sélectionnée par défaut.
Wednesday	Facultatif. Si cette option est sélectionnée, l'action considère le mercredi comme un jour autorisé pour les alertes. Cette option est sélectionnée par défaut.
Thursday	Facultatif. Si cette option est sélectionnée, l'action considère le jeudi comme un jour autorisé pour les alertes. (non sélectionnée par défaut).
Friday	Facultatif. Si cette option est sélectionnée, l'action considère les vendredis comme des jours autorisés pour les alertes. (non sélectionnée par défaut).
Saturday	Facultatif. Si cette option est sélectionnée, l'action considère le samedi comme un jour autorisé pour les alertes. (non sélectionnée par défaut).
Sunday	Facultatif. Si cette option est sélectionnée, l'action considère le dimanche comme un jour autorisé pour les alertes. (non sélectionnée par défaut).
Timestamp Type	Facultatif. Type de code temporel à utiliser pour la comparaison.
Input Timezone	Facultatif. Nom du fuseau horaire. Par exemple, UTC. Cette action accepte également les entrées avec des zones IANA (par exemple, America/New_York). Si l'entrée est fournie à l'aide de zones, l'action s'ajuste automatiquement à l'heure d'été.

Sorties d'action

L'action Heure d'alerte autorisée fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Permitted Alert Time (Heure d'alerte autorisée) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Case Time of ALERT_TIME is within condition parameters of between START_TIME - END_TIME on CHECKED_DAY	L'action a réussi.
Error executing action "Permitted Alert Time". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Heure d'alerte autorisée :

Nom du résultat du script	Valeur
Permitted	true ou false

Ping

Utilisez l'action Ping pour tester la connectivité.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

Aucun

Sorties d'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
Email address is syntactically correct.	L'action a réussi.
Error executing action "Ping". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Signaler un incident

Utilisez l'action Signaler un incident pour signaler un incident et marquer les cas de faux positifs comme Critical.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Signaler un incident nécessite les paramètres suivants :

Paramètre	Description
Soc Role	Facultatif. Rôle SOC Google SecOps auquel attribuer la demande.

Sorties d'action

L'action Signaler un incident fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Search ASM Issues (Rechercher les problèmes ASM) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The case raised to CASE_STAGE status.	L'action a réussi.
Error executing action "Raise Incident". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Signaler un incident :

Nom du résultat du script	Valeur
Résultat du script	true ou false

Supprimer le tag

Utilisez l'action Supprimer le tag pour supprimer des tags d'une demande.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Supprimer le tag nécessite les paramètres suivants :

Paramètre	Description
Tag	Obligatoire. Liste de tags à supprimer d'une demande, séparés par une virgule.

Sorties d'action

L'action Supprimer le tag fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer le tag peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
Successfully removed the following tags from case CASE_ID:TAGS	L'action a réussi.
It is not possible to remove the tag. Error executing action "Remove Tag". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Supprimer le tag :

Nom du résultat du script	Valeur
is_success	true ou false

Supprimer d'une liste personnalisée

Utilisez l'action Supprimer de la liste personnalisée pour supprimer les entités associées à une alerte d'une catégorie de liste personnalisée spécifiée.

Cette action s'exécute sur toutes les entités Google SecOps.

Entrées d'action

L'action Supprimer de la liste personnalisée nécessite les paramètres suivants :

Paramètre	Description
Category	Obligatoire. Nom de la catégorie de liste personnalisée à partir de laquelle supprimer les entités.

Sorties d'action

L'action Supprimer de la liste personnalisée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer de la liste personnalisée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
The alert's entities ENTITY_ID were removed from custom list category: CATEGORY	L'action a réussi.
Error executing action "Remove From Custom List". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Supprimer de la liste personnalisée :

Nom du résultat du script	Valeur
ScriptResult	true ou false

Réactiver le SLA lié à l'alerte

Utilisez l'action Réactiver le SLA lié à l'alerte pour redémarrer le minuteur du contrat de niveau de service (SLA) pour une alerte spécifique dans la demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucun

Sorties d'action

L'action Réactiver le SLA lié à l'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Réactiver le SLA lié à l'alerte peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The alert SLA was resumed.	L'action a réussi.
Error executing action "Resume Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Reprendre le contrat de niveau de service d'alerte :

Nom du résultat du script	Valeur
is_success	true ou false

Réactiver le SLA du cas

Utilisez l'action Réactiver le SLA du cas pour redémarrer le minuteur du contrat de niveau de service (SLA) pour un cas spécifique.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucun

Sorties d'action

L'action Réactiver le SLA du cas fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Réactiver le SLA du cas peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
The case SLA was resumed.	L'action a réussi.
Error executing action "Resume Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie des résultats du script lorsque vous utilisez l'action Reprendre le SLA de la demande :

Nom du résultat du script	Valeur
is_success	True ou False

Définir le SLA d'une alerte

Utilisez l'action Définir le délai de réponse pour l'alerte pour définir le minuteur de délai de réponse pour une alerte.

Cette action a la priorité la plus élevée et remplace le SLA existant défini pour l'alerte spécifique.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir le SLA d'alerte nécessite les paramètres suivants :

Paramètre	Description
SLA Period	Obligatoire. Période de non-respect du SLA. La valeur par défaut est 5.
SLA Time Unit	Obligatoire. Unité de temps pour la période du SLA. La valeur par défaut est Minutes. Les valeurs possibles sont les suivantes : Minutes Hours Days
SLA Time To Critical Period	Obligatoire. Seuil critique du SLA. La valeur par défaut est 4.
SLA Time To Critical Unit	Obligatoire. Unité de temps pour la période critique du SLA. La valeur par défaut est Minutes. Voici les valeurs possibles : Minutes Hours Days

Sorties d'action

L'action Définir le SLA d'alerte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Set Alert SLA (Définir le SLA d'alerte) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	L'action a réussi.
Error executing action "Set Alert SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le contrat de niveau de service des alertes :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le SLA pour une demande

Utilisez l'action Définir le SLA de la demande pour définir le SLA d'une demande.

Cette action a la priorité la plus élevée et remplace le SLA existant défini pour la demande spécifique.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir le SLA de la demande nécessite les paramètres suivants :

Paramètre	Description
SLA Period	Obligatoire. Période de non-respect du SLA. La valeur par défaut est 5.
SLA Time Unit	Obligatoire. Unité de temps pour la période du SLA. La valeur par défaut est Minutes. Les valeurs possibles sont les suivantes : Minutes Hours Days
SLA Time To Critical Period	Obligatoire. Seuil critique du SLA. La valeur par défaut est 4.
SLA Time To Critical Unit	Obligatoire. Unité de temps pour la période critique du SLA. La valeur par défaut est Minutes. Voici les valeurs possibles : Minutes Hours Days

Sorties d'action

L'action Définir le SLA de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Search ASM Issues (Rechercher les problèmes ASM) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	L'action a réussi.
Error executing action "Set Case SLA". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le SLA de la demande :

Nom du résultat du script	Valeur
is_success	true ou false

Définir des champs personnalisés

Utilisez l'action Définir des champs personnalisés pour définir des valeurs pour les champs personnalisés.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir des champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ d'application à définir pour les champs personnalisés. Les valeurs possibles sont Case et Alert. La valeur par défaut est Case.
Custom Fields Data	Obligatoire. Valeurs à mettre à jour pour les champs personnalisés. Vous pouvez mettre à jour plusieurs champs personnalisés en une seule exécution d'action. La valeur par défaut est la suivante : { "Custom Field Name 1": "Custom Field Value 1", "Custom Field Name 2": "Custom Field Value 2" }
Append Values	Facultatif. Si cette option est sélectionnée, l'action ajoute les entrées du paramètre Custom Fields Data aux valeurs existantes des champs personnalisés. Si cette option n'est pas sélectionnée, l'action remplace les valeurs existantes par les entrées du paramètre Custom Fields Data. (non sélectionnée par défaut).

Sorties d'action

L'action Définir des champs personnalisés fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Définir des champs personnalisés :

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}

Messages de sortie

L'action Définir des champs personnalisés peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES	L'action a réussi.
Error executing action "Set Custom Fields". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir des champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le score de risque

Utilisez l'action Définir le score de risque pour mettre à jour le score de risque d'une demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir le score de risque nécessite les paramètres suivants :

Paramètre	Description
Risk Score	Obligatoire. Score de risque à définir pour la demande sélectionnée.

Sorties d'action

L'action Définir le score de risque fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir le score de risque peut renvoyer les messages de résultat suivants :

Message affiché	Description du message
Successfully set Risk Score for case CASE_ID	L'action a réussi.
Error executing action "Set Risk Score". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le score de risque :

Nom du résultat du script	Valeur
is_success	true ou false

Définir la valeur du contexte de portée

Utilisez l'action Définir la valeur du contexte de portée pour définir une valeur pour une clé stockée dans la base de données Google SecOps.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Définir la valeur du contexte de portée nécessite les paramètres suivants :

Paramètre	Description
Context Scope	Obligatoire. Champ d'application du contexte à partir duquel récupérer les données. Les valeurs possibles sont les suivantes : Not specified Alert Case Global
Key Name	Obligatoire. Nom de la clé permettant de récupérer la valeur correspondante à partir du contexte spécifié.
Key Value	Obligatoire. Valeur à stocker sous la clé spécifiée.

Sorties d'action

L'action Obtenir la valeur du contexte de portée fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir la valeur du contexte de portée peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE.	L'action a réussi.
Error executing action "Set Scope Context Value". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir la valeur du contexte de portée :

Nom du résultat du script	Valeur
is_success	true ou false

Modifier la description de la demande

Utilisez l'action Mettre à jour la description de la demande pour modifier la description d'une demande.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Mettre à jour la description de la demande nécessite les paramètres suivants :

Paramètre	Description
Description	Obligatoire. Description à définir pour la demande.

Sorties d'action

L'action Mettre à jour la description de la demande fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Update Case Description (Mettre à jour la description de la demande) peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully updated the case description.	L'action a réussi.
Error executing action "Update Case Description". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Mettre à jour la description de la demande :

Nom du résultat du script	Valeur
StatusResult	true ou false

Attendre les champs personnalisés

Utilisez l'action Attendre les champs personnalisés pour attendre les valeurs des champs personnalisés avant de poursuivre l'exécution du playbook.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

L'action Attendre les champs personnalisés nécessite les paramètres suivants :

Paramètre	Description
Scope	Obligatoire. Champ d'application à définir pour les champs personnalisés. Les valeurs possibles sont Case et Alert. La valeur par défaut est Case.
Custom Fields Data	Obligatoire. Conditions requises pour que les champs personnalisés permettent à l'action de reprendre l'exécution d'un playbook. Configurez les noms de champs personnalisés et leurs valeurs requises en tant qu'objet JSON. Si vous définissez des conditions pour plusieurs champs, l'action attend que tous les champs correspondent à leurs conditions respectives. Le comportement de l'action dépend de l'entrée que vous fournissez. Pour que l'action reprenne l'exécution d'un playbook avec n'importe quelle valeur dans un champ personnalisé, configurez une chaîne vide pour le champ personnalisé comme suit : { "Custom Field": "" } Pour que l'action reprenne l'exécution d'un playbook lorsque le champ personnalisé est égal à une valeur spécifique, telle que VALUE_1, spécifiez la valeur du champ personnalisé comme suit : { "Custom Field": "VALUE_1" } La valeur par défaut est la suivante : { "Custom Field Name 1": "Custom Field Value 1", "Custom Field Name 2": "Custom Field Value 2" }

Sorties d'action

L'action Attendre les champs personnalisés fournit les sorties suivantes :

Type de sortie de l'action	Disponibilité
Pièce jointe au mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Table du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Attendre les champs personnalisés :

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}

Messages de sortie

L'action Attendre les champs personnalisés peut renvoyer les messages de sortie suivants :

Message affiché	Description du message
Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES Waiting for SCOPE custom fields updates...	L'action a réussi.
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Attendre les champs personnalisés :

Nom du résultat du script	Valeur
is_success	true ou false

Jobs

L'intégration Siemplify vous permet d'utiliser les jobs suivants :

• Siemplify – Actions Monitor
• Siemplify – Base de données du collecteur de demandes
• Siemplify – Collecteur de journaux

Siemplify : Actions Monitor

Utilisez le job Siemplify - Actions Monitor pour recevoir des notifications pour toutes les actions qui ont échoué individuellement au moins trois fois au cours des trois dernières heures.

Entrées de tâches

Le job Siemplify - Actions Monitor nécessite les paramètres suivants :

Paramètre	Description
Run Interval In Seconds	Facultatif. Intervalle en secondes pour l'exécution du job. Ce paramètre détermine la fréquence à laquelle l'intégration recherche les actions de playbook ayant échoué. La valeur par défaut est 900.
Is Enabled	Facultatif. Si cette option est sélectionnée, le job est actif. Cette option est sélectionnée par défaut.

Siemplify : base de données du collecteur de cas

Utilisez le job Siemplify - Cases Collector DB pour récupérer et traiter les demandes de sécurité d'un éditeur désigné.

Entrées de tâches

Le job Siemplify - Cases Collector DB nécessite les paramètres suivants :

Paramètre	Description
Publisher Id	Obligatoire. ID de l'éditeur à partir duquel collecter les demandes et les journaux.
Verify SSL	Facultatif. Si cette option est sélectionnée, le job vérifie que le certificat SSL de l'éditeur est valide. (non sélectionnée par défaut).

Siemplify : collecteur de journaux

Utilisez le job Siemplify – Collecteur de journaux pour récupérer et traiter les journaux d'un éditeur spécifié.

Entrées de tâches

Le job Siemplify - Logs Collector nécessite les paramètres suivants :

Paramètre	Description
Publisher Id	Obligatoire. ID de l'éditeur à partir duquel collecter les journaux.
Verify SSL	Facultatif. Si cette option est sélectionnée, le job vérifie que le certificat SSL de l'éditeur est valide. (non sélectionnée par défaut).

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.