Integrar o Siemplify ao Google SecOps

Este documento explica como integrar o Siemplify ao Google Security Operations (Google SecOps).

Casos de uso

A integração do Siemplify pode abordar os seguintes casos de uso:

• Investigação de phishing: use os recursos do Google SecOps para automatizar o processo de análise de e-mails de phishing, extrair indicadores de comprometimento (IOCs) e enriquecê-los com inteligência contra ameaças.

• Contenção de malware: use os recursos do Google SecOps para isolar automaticamente endpoints infectados, iniciar verificações e colocar arquivos maliciosos em quarentena após a detecção de malware.

• Gestão de vulnerabilidades: use os recursos do Google SecOps para organizar verificações de vulnerabilidades, priorizar vulnerabilidades com base no risco e criar automaticamente tíquetes para correção.

• Busca de ameaças: use os recursos do Google SecOps para automatizar a execução de consultas de busca de ameaças em várias ferramentas de segurança e conjuntos de dados.

• Triagem de alertas de segurança: use os recursos do Google SecOps para enriquecer automaticamente os alertas de segurança com informações contextuais, correlacioná-los com outros eventos e priorizá-los com base na gravidade.

• Resposta a incidentes: use os recursos do Google SecOps para orquestrar todo o processo de resposta a incidentes, desde a detecção inicial até a contenção e a erradicação.

• Relatórios de compliance: use os recursos do Google SecOps para automatizar a coleta e a análise de dados de segurança para relatórios de compliance.

Antes de começar

Essa integração oferece recursos nativos da plataforma e não exige chaves de API ou credenciais de terceiros para autenticação. Antes de começar, verifique se a integração está instalada no Content Hub na instância do Google SecOps.

Parâmetros de integração

A integração do Siemplify requer os seguintes parâmetros:

Parâmetro	Descrição
Monitors Mail Recipients	Obrigatório. Uma lista separada por vírgulas de endereços de e-mail para validação nos fluxos de trabalho relacionados a e-mail da integração. Essa lista é usada para definir os destinatários do processamento. O valor padrão é [e-mail],[e-mail].
Elastic Server Address	Obrigatório. O endereço do servidor Elastic usado para se conectar ao banco de dados do Siemplify. Normalmente, esse é o endereço da máquina host em que a instância do Elastic é executada. O valor padrão é localhost.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Adicionar insight da entidade

Use a ação Adicionar insight de entidade para adicionar um insight a uma entidade do Google SecOps no Siemplify.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Adicionar insight de entidade requer os seguintes parâmetros:

Parâmetro	Descrição
Message	Obrigatório. A mensagem a ser adicionada à entidade. Esse parâmetro aceita elementos HTML, como: Títulos (<h1></h1>, <h2></h2>) Parágrafos (<p></p>) Formatação de texto (<b></b>, <i></i>, <br>) Links (<a href="example.com"></a>).

Saídas da ação

A ação Adicionar insight de entidade fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar insight de entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Added insight with message MESSAGE to ENTITY_ID.	A ação foi concluída.
Error executing action "Add Entity Insight". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar insight de entidade:

Nome do resultado do script	Valor
is_success	true ou false

Adicionar insight geral

Use a ação Adicionar insight geral para adicionar um insight geral ao caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar insight geral requer os seguintes parâmetros:

Parâmetro	Descrição
Title	Obrigatório. O título do insight.
Message	Obrigatório. A mensagem a ser adicionada à entidade. Esse parâmetro aceita elementos HTML, como: Títulos (<h1></h1>, <h2></h2>) Parágrafos (<p></p>) Formatação de texto (<b></b>, <i></i>, <br>) Links (<a href="example.com"></a>).
Triggered By	Opcional. Um campo de texto livre para justificar o insight, explicando por que ele foi adicionado ao caso.

Saídas da ação

A ação Adicionar insight geral fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar insight geral pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Added insight with message MESSAGE.	A ação foi concluída.
Error executing action "Add General Insight". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar insight geral:

Nome do resultado do script	Valor
is_success	true ou false

Adicionar tags a casos semelhantes

Use a ação Adicionar tags a casos semelhantes para adicionar tags a casos semelhantes.

Para encontrar casos semelhantes, a ação usa a função siemplify.get_similar_cases() para recuperar uma lista de IDs de caso com base em um conjunto de critérios e parâmetros.

O operador lógico AND é aplicado aos parâmetros Rule Generator, Port, Category Outcome e Entity Identifier para filtrar os casos que correspondem a todos os critérios especificados.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Adicionar tags a casos semelhantes requer os seguintes parâmetros:

Parâmetro	Descrição
Rule Generator	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando o gerador de regras. Ativado por padrão.
Port	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando números de porta. Ativado por padrão.
Category Outcome	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando o resultado da categoria. Ativado por padrão.
Entity Identifier	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando o identificador da entidade. Ativado por padrão.
Days Back	Obrigatório. O número de dias anteriores à data atual para pesquisar casos semelhantes.
Tags	Obrigatório. Uma lista separada por vírgulas de tags a serem aplicadas aos casos semelhantes encontrados.

Saídas da ação

A ação Adicionar tags a casos semelhantes fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar tags a casos semelhantes pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS	A ação foi concluída.
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar tags a casos semelhantes:

Nome do resultado do script	Valor
SimilarCasesIds	Uma lista de IDs de casos semelhantes.

Adicionar à lista personalizada

Use a ação Adicionar à lista personalizada para adicionar um identificador de entidade a uma lista personalizada categorizada e realizar comparações futuras em outras ações.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Adicionar à lista personalizada requer os seguintes parâmetros:

Parâmetro	Descrição
Category	Obrigatório. O nome da categoria da lista personalizada em que o identificador de entidade será adicionado.

Saídas da ação

A ação Adicionar à lista personalizada fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar à lista personalizada pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.	A ação foi concluída.
Error executing action "Add to Custom List". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Adicionar à lista personalizada:

Nome do resultado do script	Valor
is_success	true ou false

Atribuir caso

Use a ação Atribuir caso para atribuir o caso a um usuário ou grupo de usuários específico.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atribuir caso requer os seguintes parâmetros:

Parâmetro	Descrição
Assigned User	Opcional. O usuário ou grupo de usuários a quem o caso será atribuído (aceita um objeto User). Se Assigned User e Assignee forem fornecidos, a ação usará Assigned User.
Assignee	Opcional. O usuário ou grupo de usuários a quem o caso será atribuído (aceita um valor de string). Se Assigned User e Assignee forem fornecidos, a ação usará Assigned User.
Case ID	Opcional. Uma lista separada por vírgulas de IDs de casos a serem atualizados. Se nenhum valor for fornecido, a ação vai atualizar o caso em que é executada.

Saídas da ação

A ação Atribuir caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar à lista personalizada pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated case CASE_ID.	A ação foi concluída.
Error executing action "Assign Case". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Atribuir caso:

Nome do resultado do script	Valor
is_success	true ou false

Anexar playbook ao alerta

Use a ação Anexar playbook ao alerta para anexar um playbook específico ao alerta.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Anexar playbook ao alerta requer os seguintes parâmetros:

Parâmetro	Descrição
Playbook Name	Obrigatório. O nome do playbook a ser anexado ao alerta atual. O playbook precisa estar ativado para que a ação seja bem-sucedida.
Allow Duplicates	Opcional. Se selecionado, o playbook poderá ser anexado ao alerta mais de uma vez. Ativado por padrão.

Saídas da ação

A ação Anexar playbook ao alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Pesquisar gráficos pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.	A ação foi concluída.
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Anexar playbook ao alerta:

Nome do resultado do script	Valor
Resultado do script	true ou false

Anexar playbook ao caso

Use a ação Anexar playbook ao caso para anexar um playbook ao caso no Google SecOps.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Anexar playbook ao caso requer os seguintes parâmetros:

Parâmetro	Descrição
Playbook Name	Obrigatório. O nome do playbook a ser anexado ao caso.

Saídas da ação

A ação Anexar playbook ao caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Anexar playbook ao caso pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully attached the PLAYBOOK_NAME playbook to the case.	A ação foi concluída.
The PLAYBOOK_NAME playbook was already attached to the case.	A ação falhou. O playbook especificado não existe na plataforma.
Error executing action "Attach Playbook to Case". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as permissões.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Anexar playbook ao caso:

Nome do resultado do script	Valor
is_success	true ou false

Comentário do caso

Use a ação Comentário do caso para adicionar um comentário ao caso em que o alerta atual está agrupado.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Comentário do caso requer os seguintes parâmetros:

Parâmetro	Descrição
Comment	Obrigatório. O comentário a ser adicionado ao caso.

Saídas da ação

A ação Comentário do caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar voto à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Comment added to case: CASE_COMMENT.	A ação foi concluída.
Error executing action "Case Comment". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Comentário do caso:

Nome do resultado do script	Valor
SuccessStatus	true ou false

Tag de caso

Use a ação Tag do caso para adicionar uma tag ao caso em que o alerta atual está agrupado.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Case Tag requer os seguintes parâmetros:

Parâmetro	Descrição
Tag	Obrigatório. A tag a ser adicionada ao caso. Se Delimiter for fornecido, a entrada será dividida com base no delimitador, e várias tags serão adicionadas ao caso.
Delimiter	Opcional. O delimitador para dividir o valor de Tag. Se nenhum valor for fornecido, o delimitador não será aplicado.

Saídas da ação

A ação Tag do caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Case Tag:

{
   "added_tags": ["123", "321"]
}

Mensagens de saída

A ação Case Tag pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully added tags to the case CASE_ID.	A ação foi concluída.
Error executing action "Add Vote To Entity". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Tag de caso:

Nome do resultado do script	Valor
is_success	true ou false

Alterar prioridade do alerta

Use a ação Alterar prioridade do alerta para atualizar a prioridade de um alerta em um caso.

Essa ação não é executada em entidades do Google SecOps.

Observação: no Google SecOps, a prioridade de alerta mais alta determina a prioridade do caso por padrão.

Por exemplo, se a prioridade do caso for Medium, isso significa que pelo menos um alerta entre todos os alertas agrupados no caso tem uma prioridade Medium, enquanto outros têm prioridades mais baixas, como Low ou Informative.

Se você atualizar a prioridade do caso para Low, o Google SecOps vai substituir a prioridade do caso por Low.

Se você atualizar a prioridade de um alerta em um caso para High, o Google SecOps definirá automaticamente a prioridade do caso como High.

Entradas da ação

A ação Alterar prioridade do alerta requer os seguintes parâmetros:

Parâmetro	Descrição
Alert Priority	Obrigatório. A nova prioridade do alerta. Se a prioridade do alerta for atualizada para ser maior que a prioridade atual do caso, a prioridade do caso será atualizada automaticamente para corresponder à nova prioridade mais alta. Os valores possíveis são os seguintes: Informative Low Medium High Critical

Saídas da ação

A ação Alterar prioridade do alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar voto à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The alert priority was set to NEW_PRIORITY_LEVEL.	A ação foi concluída.
Error executing action "Change Alert Priority". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Alterar prioridade do alerta:

Nome do resultado do script	Valor
Resultado do script	true ou false

Alterar etapa do caso

Use a ação Alterar etapa do caso para mudar a etapa do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Alterar estágio do caso requer os seguintes parâmetros:

Parâmetro	Descrição
Stage	Obrigatório. A etapa para onde o caso será movido. Os valores possíveis são os seguintes: Triage Assessment Investigation Incident Improvement Research

Saídas da ação

A ação Alterar estágio do caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar voto à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Case stage was successfully changed to NEW_CASE_STAGE.	A ação foi concluída.
Error executing action "Change Case Stage". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Alterar estágio do caso:

Nome do resultado do script	Valor
Resultado do script	true ou false

Alterar prioridade

Use a ação Alterar prioridade para mudar a prioridade do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Alterar prioridade requer os seguintes parâmetros:

Parâmetro	Descrição
Priority	Obrigatório. A prioridade a ser definida para o caso. Os valores possíveis são os seguintes: Informative Low Medium High Critical

Saídas da ação

A ação Alterar prioridade fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Alterar prioridade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The case priority was set to NEW_CASE_PRIORITY	A ação foi concluída.
Error executing action "Change Priority". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Alterar prioridade:

Nome do resultado do script	Valor
Resultado do script	true ou false

Fechar alerta

Use a ação Fechar alerta para fechar o alerta.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Fechar alerta requer os seguintes parâmetros:

Parâmetro	Descrição
Reason	Obrigatório. A classificação principal para o encerramento do alerta. Os valores possíveis são os seguintes: Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obrigatório. A explicação detalhada do problema técnico que levou ao alerta.
Comment	Obrigatório. As notas, o resumo da investigação ou o contexto adicional para o encerramento do alerta.
Assign to User	Opcional. Um usuário para atribuir o alerta após o encerramento.
Tags	Opcional. Uma lista separada por vírgulas de tags para anexar ao alerta para classificação, filtragem e pesquisa futura.
Custom Fields	Opcional. Um objeto JSON que contém campos personalizados para atualizar quando o alerta for encerrado.
Append Custom Field Values	Opcional. Se selecionada, a ação anexa os valores JSON fornecidos aos campos personalizados existentes. Se não for selecionada, a ação vai substituir os valores atuais pelos fornecidos no objeto JSON. Essa configuração está desativada por padrão.

Saídas da ação

A ação Fechar alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar voto à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON	A ação foi concluída.
Error executing action "Close Alert". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Fechar alerta:

Nome do resultado do script	Valor
StatusResult	true ou false

Encerrar caso

Use a ação Fechar caso para encerrar o caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Fechar caso requer os seguintes parâmetros:

Parâmetro	Descrição
Reason	Obrigatório. A classificação principal para o encerramento do alerta. Os valores possíveis são os seguintes: Malicious NotMalicious Maintenance Inconclusive
Root Cause	Obrigatório. Uma explicação detalhada do problema técnico que levou ao alerta.
Comment	Obrigatório. As notas, o resumo da investigação ou o contexto adicional para o encerramento do alerta.
Custom Fields	Opcional. Um objeto JSON que contém campos personalizados para atualizar quando o caso for encerrado.
Append Custom Field Values	Opcional. Se selecionada, a ação anexa os valores JSON fornecidos aos campos personalizados existentes. Se não for selecionada, a ação vai substituir os valores atuais pelos fornecidos no objeto JSON. Essa configuração está desativada por padrão.

Saídas da ação

A ação Fechar caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar voto à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The case was closed. Root Cause: ROOT_CAUSE Comment: REASON	A ação foi concluída.
Error executing action "Close Case". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Fechar caso:

Nome do resultado do script	Valor
StatusResult	true ou false

Criar entidade

Use a ação Criar entidade para criar uma nova entidade e adicioná-la a um alerta.

Essa ação é executada em todas as entidades do Google SecOps.

Observação: para a versão 5.6.2 e mais recentes da plataforma Google SecOps, é possível escolher o delimitador diretamente nas entradas da ação e ignorar a configuração do banco de dados.

Para a versão 5.6.0 até 5.6.2 da plataforma Google SecOps, o delimitador pode ser configurado na ação Criar entidade ou no banco de dados.

Para usar um delimitador personalizado (não padrão), escolha uma das seguintes opções:

• Mude o delimitador padrão (,) para o personalizado nas entradas de ação e no banco de dados.
• Mude o delimitador no banco de dados e mantenha o parâmetro Delimiter vazio nessa ação.

Entradas da ação

A ação Criar entidade requer os seguintes parâmetros:

Parâmetro	Descrição
Entities Identifies	Obrigatório. Uma lista separada por vírgulas de identificadores de entidade a serem criados no caso, como VALUE1, VALUE2, VALUE3.
Delimiter	Opcional. Um delimitador usado para dividir a entrada de Entities Identifies em vários identificadores. Se nenhum valor for fornecido, a ação vai tratar a entrada como um único identificador de entidade. O valor padrão é ,.
Entity Type	Obrigatório. O tipo de entidade a ser criada, como HOST NAME, USER NAME ou IP Set.
Is Internal	Opcional. Se selecionada, a ação marca as entidades como parte de uma rede interna. Não ativado por padrão.
Is Suspicious	Opcional. Se selecionada, a ação marca as entidades como suspeitas. Não ativado por padrão.

Saídas da ação

A ação Criar entidade fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Criar entidade:

[
    {
        "additional_properties": {
            "OriginalIdentifier": "ACCOUNT_ID"
        },
        "alert_identifier": "ACCESS DISABLED ACCOUNTS",
        "case_identifier": 7113,
        "creation_time": 0,
        "entity_type": "USERUNIQNAME",
        "identifier": "ACCOUNT_ID",
        "is_artifact": false,
        "is_enriched": false,
        "is_internal": false,
        "is_pivot": false,
        "is_suspicious": false,
        "is_vulnerable": false,
        "modification_time": 0
    }
]

Mensagens de saída

A ação Criar entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
ENTITY_IDS created successfully.	A ação foi concluída.
Error executing action "Create Entity". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Criar entidade:

Nome do resultado do script	Valor
StatusResult	true ou false

Criar resumo de caso do Gemini

Use a ação Criar resumo de caso do Gemini para criar um novo resumo de caso do Gemini e adicioná-lo a um alerta.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Criar resumo de caso do Gemini fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Criar resumo de caso do Gemini:

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}

Mensagens de saída

A ação Criar resumo de caso do Gemini pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Case summary generation completed.	A ação foi concluída.
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Criar resumo de caso do Gemini:

Nome do resultado do script	Valor
is_success	true ou false

Criar ou atualizar propriedades de entidade

Use a ação Criar ou atualizar propriedades da entidade para criar ou alterar as propriedades das entidades no escopo da entidade.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Criar ou atualizar propriedades da entidade requer os seguintes parâmetros:

Parâmetro	Descrição
Entity Field	Obrigatório. O campo de entidade a ser criado ou atualizado.
Field Value	Obrigatório. O valor do campo de entidade especificado.

Saídas da ação

A ação Criar ou atualizar propriedades da entidade fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Criar ou atualizar propriedades da entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.	A ação foi concluída.
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Criar ou atualizar propriedades da entidade:

Nome do resultado do script	Valor
is_success	true ou false

Exportar caso

Use a ação Exportar caso para criar um arquivo com informações e anexos do caso.

Essa ação não é executada em entidades do Google SecOps.

Observação: o anexo do mural de casos não pode ser maior que 5 MB.

Entradas da ação

A ação Exportar caso requer os seguintes parâmetros:

Parâmetro	Descrição
Export Method	Opcional. O destino e o método de recuperação do arquivo da ação. Se Case Wall estiver selecionado, o arquivo será criado e colocado no mural do caso. Os valores possíveis são os seguintes: Case Wall File System O valor padrão é Case Wall.
Fields To Export	Opcional. Uma lista separada por vírgulas de campos de caso a serem incluídos na exportação, como alertCards, tags ou stageSlaExpirationUnixTimeInMs. Se nenhum valor for fornecido, a ação vai exportar o caso com todos os metadados disponíveis.
Include Attachments	Opcional. Se selecionada, a ação inclui anexos no arquivo. Ativado por padrão.
Attachment Names	Opcional. Uma lista separada por vírgulas de anexos a serem incluídos no arquivo. Se nenhum valor for fornecido, a ação vai exportar todos os anexos, e você precisará ativar Include Attachments.

Saídas da ação

A ação Exportar caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Exportar caso:

{
   "file_path": "/tmp/case_1_Default_Environment_1919191919.zip",
   "export_type": "case_wall/file_system"
}

Mensagens de saída

A ação Exportar caso pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully exported case CASE_ID.	A ação foi concluída.
Error executing action "Export Case". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Exportar caso:

Nome do resultado do script	Valor
is_success	true ou false

Receber alertas de casos

Use a ação Receber alertas de caso para recuperar alertas relacionados a casos específicos.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Receber alertas de caso requer os seguintes parâmetros:

Parâmetro	Descrição
Case ID	Obrigatório. Uma lista separada por vírgulas de IDs de casos para os quais a ação recupera os alertas associados.
Alert ID	Opcional. Uma lista separada por vírgulas de IDs de alerta, limitando os alertas retornados. Esse parâmetro só é usado quando Case ID contém valores.
Fields To Return	Opcional. Uma lista separada por vírgulas de campos a serem retornados no resultado JSON. Para recuperar valores aninhados, use Nested Keys Delimiter para encadear chaves aninhadas e listar índices. Por exemplo, se o delimitador for ".": key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1 Se nenhum valor for fornecido, todos os campos serão retornados.
Nested Keys Delimiter	Opcional. O caractere usado para separar chaves aninhadas e índices de lista ao definir campos a serem retornados. Esse parâmetro não pode ser uma vírgula (,).

Receber detalhes do caso

Use a ação Receber detalhes do caso para receber todos os dados de um caso (incluindo comentários, informações da entidade, insights, playbooks executados, informações de alerta e eventos).

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Case Details requer os seguintes parâmetros:

Parâmetro	Descrição
Case Id	Opcional. O ID do caso de que os detalhes serão recuperados. Se nenhum valor for fornecido, a ação vai usar o caso atual.
Fields to Return	Opcional. Uma lista separada por vírgulas de campos a serem retornados. Se nada for fornecido, todos os campos serão retornados. Valores aninhados específicos podem ser recuperados usando o parâmetro Nested Keys Delimiter para separar chaves e índices de lista.
Nested Keys Delimiter	Opcional. O caractere usado para separar chaves aninhadas ao solicitar campos específicos. Isso permite recuperar valores de objetos aninhados. O delimitador não pode ser uma vírgula(,).

Saídas da ação

A ação Get Case Details fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Receber detalhes do caso:

{
    "id": 1001,
    "creationTimeUnixTimeInMs": 1749547533606,
    "modificationTimeUnixTimeInMs": 1750073142090,
    "name": "Security-Incident-Phishing-01",
    "isImportant": false,
    "isIncident": false,
    "startTimeUnixTimeInMs": 1749547529741,
    "endTimeUnixTimeInMs": 1749547529741,
    "assignedUser": "@Tier1_Analyst",
    "description": "Potential phishing email detected with suspicious attachment.",
    "isTestCase": false,
    "incidentId": null,
    "lastModifyingUserId": "secops_admin",
    "createTime": 1749547533606,
    "updateTime": 1750073142090,
    "alertCount": 1,
    "type": "External",
    "overflowCase": false,
    "status": "Opened",
    "score": 21,
    "involvedSuspiciousEntity": false,
    "workflowStatus": "Completed",
    "source": "Security_Server",
    "products": [],
    "tasks": [],
    "displayName": "Phishing email detector",
    "stage": "Triage",
    "priority": "PriorityLow",
    "important": false,
    "assignee": "@Tier1_Analyst",
    "incident": false,
    "environment": "Production Environment",
    "relatedAlerts": [],
    "tags": [
        "Phishing"
    ],
    "alertCards": [
        {
            "id": 1024,
            "creationTimeUnixTimeInMs": 1749547533634,
            "modificationTimeUnixTimeInMs": 1750073142082,
            "identifier": "alert-phish-778899",
            "status": 0,
            "name": "SUSPICIOUS PHISHING EMAIL",
            "priority": 40,
            "workflowsStatus": 2,
            "slaExpirationUnixTime": 1749547833634,
            "slaCriticalExpirationUnixTime": 1749547773634,
            "startTime": 1749547529741,
            "endTime": 1749547529741,
            "alertGroupIdentifier": "group-id-554433",
            "eventsCount": 1,
            "title": "SUSPICIOUS PHISHING EMAIL",
            "ruleGenerator": "Phishing email detector",
            "deviceProduct": "Phishing email detector",
            "deviceVendor": "Corporate Email Gateway",
            "playbookAttached": "Phishing Response Playbook",
            "playbookRunCount": 1,
            "isManualAlert": false,
            "sla": {
                "slaExpirationTime": 1749547833634,
                "criticalExpirationTime": 1749547773634,
                "expirationStatus": 0,
                "remainingTimeSinceLastPause": null
            },
            "fieldsGroups": [],
            "sourceUrl": null,
            "sourceRuleUrl": null,
            "siemAlertId": null,
            "relatedCases": [],
            "lastSourceUpdateUnixTimeInMs": null,
            "nestingDepth": 0,
            "eventCount": 1,
            "caseId": 1001,
            "createTime": 1750684686624,
            "updateTime": 1750684686949,
            "product": "Microsoft:AccessDisabledAccounts",
            "displayName": "ACCESS DISABLED ACCOUNTS",
            "vendor": "Microsoft",
            "environment": "Production Environment",
            "ticketId": "c4db60fa-b510-414a-a462-c3f215809f96",
            "sourceSystemName": "Cloud App Security",
            "manual": false,
            "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1750684684139\",\"Alert_Id\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"TicketId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"DisplayId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"StartTime\":\"1750684684139\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"d85ca9a7-58a7-4329-b615-ebe3dcfc6fd1\",\"EstimatedStartTime\":\"1750684684139\"}",
            "securityEventCards": [
                {
                    "fields": [
                        {
                            "order": 0,
                            "groupName": "Highlighted Fields",
                            "isIntegration": false,
                            "isHighlight": true,
                            "items": [
                                {
                                    "originalName": "DestinationHostName",
                                    "name": "Destination Host Name",
                                    "value": "WORKSTATION-01.LOCAL"
                                }
                            ]
                        }
                    ],
                    "identifier": "d7ab8656-c862-498c-a266-69718e46b1b7",
                    "caseId": 1001,
                    "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                    "name": "Virus found",
                    "product": "symantec:endpoint:protection",
                    "port": null,
                    "sourceSystemName": "ArcSight ESM",
                    "outcome": null,
                    "time": 1766566370354,
                    "type": "Virus found",
                    "artifactEntities": []
                }
            ],
            "involvedRelations": [],
            "sourceIdentifier": "GCP_Ingestion",
            "playbookStatus": 0
        }
    ],
    "isOverflowCase": false,
    "isManualCase": false,
    "slaExpirationUnixTime": 1749547833634,
    "slaCriticalExpirationUnixTime": 1749547773634,
    "stageSlaExpirationUnixTimeInMs": null,
    "stageSlaCriticalExpirationUnixTimeInMs": null,
    "canOpenIncident": false,
    "sla": {
        "slaExpirationTime": 1749547833634,
        "criticalExpirationTime": 1749547773634,
        "expirationStatus": 0,
        "remainingTimeSinceLastPause": null
    },
    "stageSla": {
        "slaExpirationTime": null,
        "criticalExpirationTime": null,
        "expirationStatus": 2,
        "remainingTimeSinceLastPause": null
    },
    "relatedAlertTicketId": null,
    "relatedAlertCards": [],
    "activities": [
        {
            "id": "Activity-Insight-16",
            "creatorUserId": "security_bot",
            "activityId": 16,
            "activityType": "CaseInsight",
            "caseId": 1001,
            "createTime": 1750068343993,
            "updateTime": 1750068343993,
            "alertIdentifier": "alert-phish-778899",
            "activityDataJson": {
                "TriggeredBy": "SecurityAutomator",
                "EntityIdentifier": "URGENT: ACTION REQUIRED ON SALARY",
                "EntityData": {
                    "CaseId": 1001,
                    "AlertIdentifier": "alert-phish-778899",
                    "AlertStatus": 0,
                    "Identifier": "URGENT: ACTION REQUIRED ON SALARY",
                    "EntityType": "EMAILSUBJECT",
                    "IsInternal": true,
                    "IsSuspicious": false,
                    "IsArtifact": true,
                    "IsPivot": false,
                    "Environment": "Production Environment",
                    "FieldsGroups": [
                        {
                            "Order": 0,
                            "GroupName": "Default",
                            "IsIntegration": false,
                            "IsHighlight": false,
                            "Items": [
                                {
                                    "OriginalName": "Network_Priority",
                                    "Name": "Network Priority",
                                    "Value": "0"
                                }
                            ]
                        }
                    ],
                    "HighlightedFieldsGroups": [],
                    "IsManuallyCreated": false,
                    "SourceUrl": null
                },
                "Title": "Phishing Subject Insight",
                "Content": "Detected unusual keywords in subject line.",
                "Severity": 0,
                "InsightType": 1,
                "AdditionalDataType": null,
                "AdditionalData": null,
                "AdditionalDataTitle": null,
                "AlertIdentifiers": [
                    "ALERT_PHISH_INSTANCE_ID_001"
                ],
                "EntityType": "EMAILSUBJECT",
                "CreatorUserId": "system",
                "CreatorFullName": "System Administrator",
                "Id": 16,
                "Type": 6,
                "CaseId": 1001,
                "IsFavorite": false,
                "ModificationTimeUnixTimeInMs": 1750068343993,
                "CreationTimeUnixTimeInMs": 1750068343993,
                "AlertIdentifier": "ALERT_PHISH_INSTANCE_ID_001"
            },
            "favorite": false
        }
    ],
    "entityCards": [
        {
            "identifier": "WORKSTATION-01.LOCAL",
            "type": "HOSTNAME",
            "suspicious": false,
            "linkedEntities": [
                {
                    "identifier": "192.168.1.50",
                    "type": "ADDRESS",
                    "suspicious": false,
                    "linkedEntities": [],
                    "direction": 0
                }
            ]
        }
    ],
    "entities": [
        {
            "caseId": 1001,
            "type": "FILEHASH",
            "enriched": false,
            "artifact": true,
            "vulnerable": false,
            "suspicious": false,
            "attacker": false,
            "pivot": false,
            "internal": true,
            "manuallyCreated": false,
            "fields": [
                {
                    "highlighted": false,
                    "displayName": "Default",
                    "hidden": false,
                    "items": [
                        {
                            "name": "Network Priority",
                            "originalName": "Network_Priority",
                            "value": "0"
                        }
                    ]
                }
            ],
            "identifier": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
            "id": 505,
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "environment": "Production Environment",
            "additionalProperties": "{\"Type\":\"FILEHASH\",\"IsArtifact\":\"True\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"IsVulnerable\":\"False\",\"IsInternalAsset\":\"False\",\"OriginalIdentifier\":\"e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855\"}",
            "alertGroupIdentifier": "group-id-virus-scan-results",
            "networkPriority": 0
        }
    ],
    "totalSize": 1,
    "moveEnvironment": {},
    "insights": [
        {
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "caseId": 1001,
            "triggeredBy": "Analyst_John",
            "title": "Endpoint Discovery",
            "content": "Host workstation matched known internal asset list.",
            "entity": {
                "caseId": 1001,
                "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                "alertStatus": 0,
                "identifier": "WORKSTATION-01.LOCAL",
                "entityType": "HOSTNAME",
                "isInternal": true,
                "isSuspicious": false,
                "isArtifact": false,
                "isPivot": false,
                "environment": "Production Environment",
                "highlightedFieldsGroups": [],
                "isManuallyCreated": false,
                "sourceUrl": null,
                "fields": [
                    {
                        "order": 0,
                        "groupName": "Entity",
                        "isIntegration": false,
                        "isHighlight": false,
                        "items": [
                            {
                                "originalName": "IsPivot",
                                "name": "Is Pivot",
                                "value": "False"
                            }
                        ]
                    }
                ]
            },
            "severity": 0,
            "type": 6,
            "additionalDataType": null,
            "additionalData": null,
            "additionalDataTitle": null,
            "creatorUserName": "analyst_admin",
            "entityIdentifier": "WORKSTATION-01.LOCAL",
            "insightType": 1,
            "alertIdentifiers": [
                "SECURITY_RISK_FOUND_ID_998877"
            ],
            "entityType": "HOSTNAME",
            "creatorUserId": "user_id_101",
            "id": 444,
            "isFavorite": false,
            "modificationTimeUnixTimeInMs": 1766569221777,
            "creationTimeUnixTimeInMs": 1766569221777
        }
    ]
}

Mensagens de saída

A ação Get Case Details pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Finished executing "Get Case Details" successfully	A ação foi concluída.
Error executing action "Get Case Details". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Case Details:

Nome do resultado do script	Valor
is_success	true ou false

Receber valor de contexto do conector

Use a ação Receber valor de contexto do conector para recuperar um valor de uma chave especificada no banco de dados do Google SecOps para um contexto de conector.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Connector Context Value exige os seguintes parâmetros:

Parâmetro	Descrição
Connector Identifier	Obrigatório. O identificador exclusivo do conector de onde o valor de contexto será recuperado.
Key Name	Obrigatório. A chave em que o valor de contexto é armazenado.
Create Case Wall Table	Opcional. Se selecionada, a ação cria uma tabela de painel de casos com o valor de contexto recuperado. A tabela não será criada se o valor recuperado exceder o limite de caracteres. Ativado por padrão.

Saídas da ação

A ação Get Connector Context Value fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Tabela do Painel de Casos

A ação Get Connector Context Value pode gerar a seguinte tabela:

Nome da tabela: Connector

Colunas da tabela:

• Identificador do conector
• Key
• Valor

Mensagens de saída

A ação Get Connector Context Value pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER. Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER. Action can't return the Case Wall table as the context values are too big.	A ação foi concluída.
Error executing action "Get Connector Context Value". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Connector Context Value:

Nome do resultado do script	Valor
is_success	true ou false

Receber valores de campos personalizados

Use a ação Get Custom Field Values para recuperar os valores atuais de um campo personalizado com base no escopo especificado.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Custom Field Values requer os seguintes parâmetros:

Parâmetro	Descrição
Scope	Obrigatório. O escopo de onde os campos personalizados serão recuperados. Os valores possíveis são os seguintes: Case Alert All

Saídas da ação

A ação Get Custom Field Values fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get Custom Field Values:

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]

Mensagens de saída

A ação Get Custom Field Values pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned SCOPE custom fields. No custom fields were found in scope SCOPE.	A ação foi concluída.
Error executing action "Get Custom Field Values". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Custom Field Values:

Nome do resultado do script	Valor
is_success	true ou false

Receber o valor do contexto do escopo

Use a ação Get Scope Context Value para recuperar um valor do banco de dados do Google SecOps que está armazenado em uma chave e um contexto especificados.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Get Scope Context Value requer os seguintes parâmetros:

Parâmetro	Descrição
Context Scope	Obrigatório. O escopo de contexto do qual o valor será recuperado. Os valores possíveis são os seguintes: Not specified Alert Case Global O valor padrão é Not specified.
Key Name	Obrigatório. A chave em que o valor é armazenado no contexto especificado.
Create Case Wall Table	Opcional. Se selecionada, a ação cria uma tabela de painel de casos com o valor de contexto recuperado. A tabela não será criada se o valor recuperado exceder o limite de caracteres. Ativado por padrão.

Saídas da ação

A ação Get Scope Context Value fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Disponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Tabela do Painel de Casos

A ação Get Scope Context Value pode gerar a seguinte tabela:

Nome da tabela: SCOPE

Colunas da tabela:

• Key
• Valor

Mensagens de saída

A ação Get Scope Context Value pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. No context values were found for the provided context scope CONTEXT_SCOPE. Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE. Action can't return the Case Wall table as the context values are too big.	A ação foi concluída.
Error executing action "Get Scope Context Value". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Scope Context Value:

Nome do resultado do script	Valor
is_success	true ou false

Encontrar casos semelhantes

Use a ação Get Similar Cases para pesquisar casos semelhantes e retornar os IDs deles.

A ação aplica o operador lógico AND aos parâmetros Rule Generator, Port, Category Outcome, Entity Identifier, Include Open Cases e Include Closed Cases para filtrar casos que correspondem a todos os critérios especificados.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Receber casos semelhantes requer os seguintes parâmetros:

Parâmetro	Descrição
Rule Generator	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando o gerador de regras. Ativado por padrão.
Port	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando números de porta. Ativado por padrão.
Category Outcome	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando o resultado da categoria. Ativado por padrão.
Entity Identifier	Opcional. Se selecionada, a ação pesquisa casos semelhantes usando o identificador da entidade. Ativado por padrão.
Days Back	Obrigatório. O número de dias anteriores à data atual para a ação pesquisar.
Include Open Cases	Opcional. Se selecionada, a ação inclui casos abertos na pesquisa. Ativado por padrão.
Include Closed Cases	Opcional. Se selecionada, a ação inclui casos encerrados na pesquisa. Ativado por padrão.

Saídas da ação

A ação Receber casos semelhantes fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Receber casos semelhantes:

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}

Mensagens de saída

A ação Receber casos semelhantes pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST	A ação foi concluída.
Error executing action "Get Similar Cases". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Receber casos semelhantes:

Nome do resultado do script	Valor
SimilarCasesIds	Uma lista de IDs de casos semelhantes.

Instrução

Use a ação Instrução para fornecer instruções a um analista diretamente no caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Instruction requer os seguintes parâmetros:

Parâmetro	Descrição
Instruction	Obrigatório. As instruções para o analista.

Saídas da ação

A ação Instrução fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Adicionar voto à entidade pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Please perform the following instructions: INSTRUCTION.	A ação foi concluída.
Error executing action "Instruction". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Instruction:

Nome do resultado do script	Valor
Resultado do script	true ou false

Está na lista personalizada

Use a ação Está na lista personalizada para verificar se uma entidade existe em uma lista personalizada designada.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Está na lista personalizada requer os seguintes parâmetros:

Parâmetro	Descrição
Category	Obrigatório. O nome da categoria da lista personalizada a ser pesquisada.

Saídas da ação

A ação Está na lista personalizada fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Está na lista personalizada pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
This alert contains entities in the given custom list category: CATEGORY. This alert does not contain entities in the given custom list category: CATEGORY.	A ação foi concluída.
Error executing action "Is In Custom List". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Está na lista personalizada:

Nome do resultado do script	Valor
ScriptResult	true ou false

Marcar como importante

Use a ação Marcar como importante para marcar o caso como importante.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Marcar como importante fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Marcar como importante pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The case was automatically marked as important.	A ação foi concluída.
Error executing action "Mark As Important". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Marcar como importante:

Nome do resultado do script	Valor
Resultado do script	true ou false

Abrir URL da Web

Use a ação Abrir URL da Web para gerar um link do navegador.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Abrir URL da Web requer os seguintes parâmetros:

Parâmetro	Descrição
Title	Obrigatório. O título do URL.
URL	Obrigatório. O URL de destino.

Saídas da ação

A ação Abrir URL da Web fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Abrir URL da Web pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
URL_TITLE URL_LINK	A ação foi concluída.
Error executing action "Open Web Url". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Abrir URL da Web:

Nome do resultado do script	Valor
Resultado do script	true ou false

Pausar SLA do alerta

Use a ação Pausar SLA do alerta para pausar o timer do contrato de nível de serviço (SLA) do alerta.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pausar SLA do alerta requer os seguintes parâmetros:

Parâmetro	Descrição
Message	Opcional. O motivo para pausar o SLA do alerta.

Saídas da ação

A ação Pausar SLA do alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Pausar SLA do alerta pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The alert SLA was paused.	A ação foi concluída.
Error executing action "Pause Alert SLA". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pausar SLA de alerta:

Nome do resultado do script	Valor
is_success	true ou false

Pausar SLA do caso

Use a ação Pausar SLA do caso para pausar o timer do contrato de nível de serviço (SLA) do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pausar SLA do caso requer os seguintes parâmetros:

Parâmetro	Descrição
Message	Opcional. O motivo para pausar o SLA do caso.

Saídas da ação

A ação Pausar SLA do caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Pausar SLA do caso pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The Case SLA was paused successfully.	A ação foi concluída.
Error executing action "Pause Case SLA". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pausar SLA do caso:

Nome do resultado do script	Valor
is_success	true ou false

Horário permitido para alertas

Use a ação Horário de alerta permitido para verificar se o horário de início do alerta obedece às condições de horário definidas pelo usuário.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Permitted Alert Time exige os seguintes parâmetros:

Parâmetro	Descrição
Timestamp Type	Opcional. O tipo de carimbo de data/hora a ser usado para comparação. Os valores possíveis são os seguintes: Alert Start Time Alert Creation Time Case Creation Time O valor padrão é Alert Start Time.
Permitted Start Time	Obrigatório. O horário de início do período permitido para alertas, como 0:00:00.
Permitted End Time	Obrigatório. O horário de término do período permitido para alertas, como 0:00:00.
Monday	Opcional. Se selecionada, a ação inclui as segundas-feiras nos dias permitidos para alertas. Não ativado por padrão.
Tuesday	Opcional. Se selecionada, a ação inclui as terças-feiras nos dias permitidos para alertas. Ativado por padrão.
Wednesday	Opcional. Se selecionada, a ação inclui as quartas-feiras nos dias permitidos para alertas. Ativado por padrão.
Thursday	Opcional. Se selecionada, a ação inclui as quintas-feiras nos dias permitidos para alertas. Não ativado por padrão.
Friday	Opcional. Se selecionada, a ação inclui as sextas-feiras nos dias permitidos para alertas. Não ativado por padrão.
Saturday	Opcional. Se selecionada, a ação inclui os sábados nos dias permitidos para alertas. Não ativado por padrão.
Sunday	Opcional. Se selecionada, a ação inclui os domingos nos dias permitidos para alertas. Não ativado por padrão.
Input Timezone	Opcional. Essa ação é compatível com fusos horários padrão, como UTC, além de zonas da IANA, como America/New_York. Se você fornecer uma zona da IANA, a ação será ajustada automaticamente para o horário de verão.

Saídas da ação

A ação Permitted Alert Time fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Permitted Alert Time pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS	A ação foi concluída.
Error executing action "Permitted Alert Time". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Permitted Alert Time:

Nome do resultado do script	Valor
Permitted	true ou false

Ping

Use a ação Ping para testar a conectividade com o Siemplify.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Ping pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Email address is syntactically correct.	A ação foi concluída.
Error executing action "Ping". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script	Valor
Resultado do script	true ou false

Criar incidente

Use a ação Gerar incidente para marcar um caso verdadeiro positivo como Critical e gerar o incidente do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Gerar incidente requer os seguintes parâmetros:

Parâmetro	Descrição
Soc Role	Opcional. O papel do SOC do Google SecOps ao qual o caso será atribuído.

Saídas da ação

A ação Gerar incidente fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Gerar incidente pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The case raised to CASE_STAGE status.	A ação foi concluída.
Error executing action "Raise Incident". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Gerar incidente:

Nome do resultado do script	Valor
Resultado do script	true ou false

Remover tag

Use a ação Remover tag para remover tags do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Remover tag requer os seguintes parâmetros:

Parâmetro	Descrição
Tag	Obrigatório. Uma lista separada por vírgulas de tags a serem removidas do caso.

Saídas da ação

A ação Remover tag fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Remover tag pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully removed the following tags from case CASE_ID:TAGS	A ação foi concluída.
It is not possible to remove the tag. Error executing action "Remove Tag". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Remover tag:

Nome do resultado do script	Valor
is_success	true ou false

Remover da lista personalizada

Use a ação Remover da lista personalizada para remover entidades associadas a um alerta de uma categoria de lista personalizada.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Remover da lista personalizada requer os seguintes parâmetros:

Parâmetro	Descrição
Category	Obrigatório. O nome da categoria da lista personalizada de onde o identificador de entidade será removido.

Saídas da ação

A ação Remover da lista personalizada fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Remover da lista personalizada pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The alert's entities ENTITY_ID were removed from custom list category: CATEGORY The given category does not exist.	A ação foi concluída.
Error executing action "Remove From Custom List". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Remover da lista personalizada:

Nome do resultado do script	Valor
ScriptResult	true ou false

Retomar SLA do alerta

Use a ação Retomar SLA do alerta para retomar e reiniciar o timer do contrato de nível de serviço (SLA) do alerta.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Retomar SLA do alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Retomar SLA do alerta pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The alert SLA was resumed.	A ação foi concluída.
Error executing action "Resume Alert SLA". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Retomar SLA de alerta:

Nome do resultado do script	Valor
is_success	true ou false

Retomar SLA do caso

Use a ação Retomar SLA do caso para retomar e reiniciar o cronômetro do Acordo de Nível de Serviço (SLA) do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Retomar SLA do caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Retomar SLA do caso pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
The Case SLA was resumed successfully.	A ação foi concluída.
Error executing action "Resume Case SLA". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Retomar SLA do caso:

Nome do resultado do script	Valor
is_success	true ou false

Pesquisar casos

Use a ação Pesquisar casos para pesquisar casos usando critérios de filtro dinâmicos.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Pesquisar casos requer os seguintes parâmetros:

Parâmetro	Descrição
Assignee	Opcional. Uma lista separada por vírgulas de usuários atribuídos ao caso usado para filtrar os resultados da pesquisa.
Status	Opcional. Uma seleção de status de casos usados para filtrar os resultados da pesquisa. Os valores possíveis são os seguintes: Opened Closed
Playbook Status	Opcional. Uma seleção de status de playbook usados para filtrar os resultados da pesquisa. Os valores possíveis são os seguintes: In Progress Completed Failed
Severity	Opcional. Uma seleção de níveis de gravidade de casos usados para filtrar os resultados da pesquisa. Os valores possíveis são os seguintes: Critical High Medium Low Informational
Environment	Opcional. Uma lista separada por vírgulas de ambientes usados para filtrar os resultados da pesquisa. Vários valores são avaliados usando a lógica "OR". Esse parâmetro é compatível com a correspondência "Contém" usando o símbolo ~ (por exemplo, environment,~environment).
Case Names	Opcional. Uma lista separada por vírgulas de nomes de casos usados para filtrar os resultados da pesquisa. Vários valores são avaliados usando a lógica "OR". Esse parâmetro é compatível com a correspondência "Contém" usando o símbolo ~ (por exemplo, case,~case).
Alert Names	Opcional. Uma lista separada por vírgulas de nomes de alertas usados para filtrar os resultados da pesquisa. Vários valores são avaliados usando a lógica "OR". Esse parâmetro é compatível com a correspondência "Contém" usando o símbolo ~ (por exemplo, alert,~alert).
Product Names	Opcional. Uma lista separada por vírgulas de nomes de produtos usados para filtrar os resultados da pesquisa. Vários valores são avaliados usando a lógica "OR". Esse parâmetro é compatível com a correspondência "Contém" usando o símbolo ~ (por exemplo, product,~product).
Tag Names	Opcional. Uma lista separada por vírgulas de nomes de tags usados para filtrar os resultados da pesquisa. Vários valores são avaliados usando a lógica "OR".
Timestamp Type	Opcional. O tipo de carimbo de data/hora usado para determinar se Time Frame se refere ao horário de criação ou de modificação do caso. Os valores possíveis são os seguintes: Modification Time Creation Time O valor padrão é Modification Time.
Time Frame	Opcional. O período usado para limitar os resultados da pesquisa. Os valores possíveis são os seguintes: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom Se Custom estiver selecionado, o parâmetro Start Time será obrigatório. O valor padrão é Last Hour.
Start Time	Condicional. O ponto de partida do período para os resultados da pesquisa no formato ISO 8601. Se Time Frame estiver definido como Custom, esse parâmetro será obrigatório.
End Time	Opcional. O ponto final do período para os resultados da pesquisa no formato ISO 8601. Se Time Frame estiver definido como Custom e nenhum valor for fornecido, esse parâmetro será definido como o horário atual por padrão.

Saídas da ação

A ação Pesquisar casos fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Pesquisar casos:

[
    {
        "name": "projects//locations//instances//cases/4",
        "relatedAlerts": [],
        "dataAccessScopes": [],
        "id": 4,
        "lastModifyingUserId": "9c6562ad-f74f-424f-a2f7-c0d2d8629bbb",
        "createTime": 1769592095506,
        "updateTime": 1769689090290,
        "alertCount": 1,
        "type": "External",
        "overflowCase": false,
        "status": "Opened",
        "involvedSuspiciousEntity": false,
        "workflowStatus": "Completed",
        "source": "Server",
        "tags": [
            {
                "displayName": "Simulated Case",
                "priority": 0
            }
        ],
        "products": [
            {
                "displayName": "Windows:AccessDisabledAccounts",
                "alert": "ACCESS DISABLED ACCOUNTS_5FB4AAF2-1CB2-49F7-850D-EECCAB91B203"
            }
        ],
        "tasks": [],
        "displayName": "Access Disabled Accounts",
        "stage": "Triage",
        "priority": "PriorityHigh",
        "important": false,
        "assignee": "@Administrator",
        "incident": false,
        "environment": "Default Environment",
        "moveEnvironment": {}
    }
]

Mensagens de saída

A ação Pesquisar casos pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully returned cases based on the provided criteria.	A ação foi concluída.
Error executing action "Search Cases". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Pesquisar casos:

Nome do resultado do script	Valor
is_success	true ou false

Definir SLA do alerta

Use a ação Definir SLA de alerta para definir o timer de SLA do alerta.

Observação: essa ação substitui qualquer SLA atual do alerta.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Definir SLA de alerta requer os seguintes parâmetros:

Parâmetro	Descrição
SLA Period	Obrigatório. A duração total do SLA antes de ser considerado violado. O período total do SLA não pode exceder 30 dias. O valor padrão é 5.
SLA Time Unit	Obrigatório. A unidade de tempo do período do SLA. Os valores possíveis são os seguintes: Minutes Hours Days O valor padrão é Minutes.
SLA Time To Critical Period	Obrigatório. A duração do SLA antes de entrar em um estado crítico. O valor padrão é 4.
SLA Time To Critical Unit	Obrigatório. A unidade de tempo para o período crítico do SLA. Os valores possíveis são os seguintes: Minutes Hours Days O valor padrão é Minutes.

Saídas da ação

A ação Definir SLA de alerta fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Definir SLA de alerta pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	A ação foi concluída.
Error executing action "Set Alert SLA". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Definir SLA de alerta:

Nome do resultado do script	Valor
is_success	true ou false

Definir SLA do caso

Use a ação Definir SLA do caso para definir o SLA do caso.

Essa ação tem a prioridade mais alta e substitui o SLA definido para o caso específico.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Definir SLA do caso requer os seguintes parâmetros:

Parâmetro	Descrição
SLA Period	Obrigatório. A duração total do SLA antes de ser considerado violado. O período total do SLA não pode exceder 30 dias. O valor padrão é 5.
SLA Time Unit	Obrigatório. A unidade de tempo do período do SLA. Os valores possíveis são os seguintes: Minutes Hours Days O valor padrão é Minutes.
SLA Time To Critical Period	Opcional. A duração do SLA antes de entrar em um estado crítico. O valor padrão é 4.
SLA Time To Critical Unit	Obrigatório. A unidade de tempo para o período crítico do SLA. Os valores possíveis são os seguintes: Minutes Hours Days O valor padrão é Minutes.

Saídas da ação

A ação Definir SLA do caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Pesquisar problemas do ASM pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.	A ação foi concluída.
Error executing action "Set Case SLA". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Definir SLA do caso:

Nome do resultado do script	Valor
is_success	true ou false

Definir campos personalizados

Use a ação Definir campos personalizados para definir valores para campos personalizados.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Definir campos personalizados requer os seguintes parâmetros:

Parâmetro	Descrição
Scope	Obrigatório. O escopo a ser definido para os campos personalizados. Os valores possíveis são os seguintes: Case Alert O valor padrão é Case.
Custom Fields Data	Obrigatório. Os valores atualizados dos campos personalizados. É possível atualizar vários campos personalizados em uma única execução de ação. O valor padrão é: { "Custom Field Name 1":"Custom Field Value 1", "Custom Field Name 2":"Custom Field Value 2" }
Append Values	Opcional. Se selecionada, a ação anexa as entradas de Custom Fields Data aos valores atuais dos campos personalizados. Se não for selecionada, a ação vai substituir os valores existentes pelas entradas do parâmetro Custom Fields Data. Não ativado por padrão.

Saídas da ação

A ação Definir campos personalizados fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Definir campos personalizados:

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}

Mensagens de saída

A ação Definir campos personalizados pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES	A ação foi concluída.
Error executing action "Set Custom Fields". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Definir campos personalizados:

Nome do resultado do script	Valor
is_success	true ou false

Definir pontuação de risco

Use a ação Definir pontuação de risco para atualizar a pontuação de risco do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Definir pontuação de risco requer os seguintes parâmetros:

Parâmetro	Descrição
Risk Score	Obrigatório. A pontuação de risco a ser definida para o caso.

Saídas da ação

A ação Definir pontuação de risco fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Definir pontuação de risco pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully set Risk Score for case CASE_ID	A ação foi concluída.
Error executing action "Set Risk Score". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Definir pontuação de risco:

Nome do resultado do script	Valor
is_success	true ou false

Definir valor de contexto do escopo

Use a ação Definir valor de contexto do escopo para definir um valor para uma chave armazenada no banco de dados do Google SecOps.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Definir valor de contexto do escopo requer os seguintes parâmetros:

Parâmetro	Descrição
Context Scope	Obrigatório. O escopo de contexto do qual os dados serão recuperados. Os valores possíveis são os seguintes: Not specified Alert Case Global O valor padrão é Not specified.
Key Name	Obrigatório. O nome da chave de onde o valor correspondente será recuperado.
Key Value	Obrigatório. O valor a ser armazenado na chave especificada.

Saídas da ação

A ação Definir valor de contexto do escopo fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Definir valor de contexto do escopo pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE.	A ação foi concluída.
Error executing action "Set Scope Context Value". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Definir valor de contexto do escopo:

Nome do resultado do script	Valor
is_success	true ou false

Atualizar descrição do caso

Use a ação Atualizar descrição do caso para atualizar a descrição do caso.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Atualizar descrição do caso requer os seguintes parâmetros:

Parâmetro	Descrição
Description	Obrigatório. A descrição a ser definida para o caso.

Saídas da ação

A ação Atualizar descrição do caso fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Atualizar descrição do caso pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully updated the case description.	A ação foi concluída.
Error executing action "Update Case Description". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Atualizar descrição do caso:

Nome do resultado do script	Valor
is_success	true ou false

Aguardar campos personalizados

Use a ação Aguardar campos personalizados para esperar que os valores dos campos personalizados continuem a execução do playbook.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Aguardar campos personalizados requer os seguintes parâmetros:

Parâmetro	Descrição
Scope	Obrigatório. O escopo a ser definido para os campos personalizados. Os valores possíveis são os seguintes: Case Alert O valor padrão é Case.
Custom Fields Data	Obrigatório. As condições para campos personalizados que precisam ser atendidas para retomar um playbook. Os nomes dos campos personalizados e os valores obrigatórios precisam ser configurados como um objeto JSON. Se você definir condições para vários campos, a ação vai aguardar que todos os campos correspondam às respectivas condições. Para retomar quando um campo personalizado tiver qualquer valor, configure uma string vazia: {"Custom Field Name": ""} Para retomar quando um campo personalizado for igual a um valor específico, como VALUE_1, especifique o valor: {"Custom Field Name": "VALUE_1"} O valor padrão mostra o formato JSON esperado: { "Custom Field Name 1": "Custom Field Value 1", "Custom Field Name 2": "Custom Field Value 2" }

Saídas da ação

A ação Aguardar campos personalizados fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Aguardar campos personalizados:

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}

Mensagens de saída

A ação Aguardar campos personalizados pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES Waiting for SCOPE custom fields updates...	A ação foi concluída.
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Aguardar campos personalizados:

Nome do resultado do script	Valor
is_success	true ou false

Jobs

Para mais informações sobre jobs, consulte Configurar um novo job e Programação avançada.

Siemplify - Monitor de ações

Use o job Siemplify - Actions Monitor para receber notificações sobre ações que falharam pelo menos três vezes nas últimas três horas.

Parâmetros do job

O job Siemplify - Monitor de ações requer os seguintes parâmetros:

Parâmetro	Descrição
Run Interval In Seconds	Opcional. O intervalo, em segundos, para a execução do job. Esse parâmetro determina a frequência com que a integração verifica se há falhas nas ações do playbook. O valor padrão é 900.
Is Enabled	Opcional. Se selecionado, o job estará ativo e será executado conforme programado. Quando não está selecionado, o job é desativado e não é executado. Ativado por padrão.

Siemplify - Cases Collector DB

Use o job Siemplify - Cases Collector DB para recuperar e processar casos de segurança de um editor designado.

Parâmetros do job

O job Siemplify - Cases Collector DB requer os seguintes parâmetros:

Parâmetro	Descrição
Publisher Id	Obrigatório. O ID do editor de onde os casos e registros serão coletados.
Verify SSL	Opcional. Se selecionado, o job verifica se o certificado SSL do editor é válido. Não ativado por padrão.

Siemplify - Coletor de registros

Use o job Siemplify - Logs Collector para recuperar e processar registros de um editor especificado.

Entradas de job

O job Siemplify - Coletor de registros requer os seguintes parâmetros:

Parâmetro	Descrição
Publisher Id	Obrigatório. O ID do editor de onde os registros serão coletados.
Verify SSL	Opcional. Se selecionado, o job verifica se o certificado SSL do editor é válido. Não ativado por padrão.

Siemplify: integração de resposta e upgrade do conector

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

Use o job Integração de resposta e upgrade de conector para manter seu ambiente automaticamente, fazendo upgrade das integrações de resposta e dos conectores para as versões mais recentes ou gerando notificações quando novas versões estiverem disponíveis no Content Hub.

Comportamento do job

O job verifica o Content Hub para identificar integrações e conectores que não estão executando a versão mais recente. Dependendo do Mode selecionado, o job realiza o seguinte:

• Lógica de filtragem: o job usa os seguintes critérios para determinar quais componentes excluir durante a verificação.

  • Ambiente de preparo: o job verifica apenas as integrações que já estão instaladas. Se Update Staging Only estiver ativado, o job só vai processar integrações em um ambiente de preparo criado manualmente. É preciso configurar o ambiente de preparo e atribuir integrações relevantes antes que o job possa identificar atualizações nesse modo.
  Observação: esse conceito se aplica exclusivamente a instâncias de integração. Atualizar uma integração em preparo não afeta os conectores associados.

  • Integrações: o job verifica o identificador e o nome de exibição ao aplicar a lista Integrations To Ignore.

  • Conectores: a filtragem se aplica apenas ao nome de exibição, já que os identificadores de conector não são exclusivos.

• Modo de notificação: quando definido como o modo Notification, o job identifica as atualizações disponíveis e gera uma notificação do sistema com a seguinte estrutura.

  Nova versão da integração de resposta disponível para:
  {Integration Name}: {previous version} -> {new version}
  
  Atualizações do conector disponíveis para:
  {Connector display name}

  Essas notificações aparecem em Notificações Notificações > Notificações do sistema na plataforma do Google SecOps.

• Modo de upgrade: quando definido como modo Upgrade, o job aplica automaticamente as atualizações e gera uma notificação de confirmação com a seguinte estrutura.

  As seguintes integrações de resposta foram atualizadas para a versão mais recente:
  {Response Integration name}
  
  Os seguintes conectores foram atualizados para a versão mais recente:
  {Connector display name}

Entradas de job

O job Siemplify - Response Integration & Connector Upgrade requer os seguintes parâmetros:

Parâmetro	Descrição
Update Staging Only	Opcional. Se selecionado, o job só atualiza ou notifica as integrações em um ambiente de preparo configurado manualmente. Isso permite testar as atualizações antes de enviar as mudanças para produção. Ativado por padrão.
Update Enabled Connectors Only	Opcional. Se selecionado, o job só vai fazer upgrade ou gerar notificações para os conectores que estão ativados. As instâncias de conector desativadas são ignoradas durante a verificação. Não selecionada por padrão.
Mode	Obrigatório. O modo operacional do job. Os valores possíveis são os seguintes: Notification: o job verifica se há atualizações e gera uma notificação da plataforma sem implementar mudanças. Upgrade: o job verifica se há atualizações, as aplica automaticamente (imitando o processo de atualização manual na UI) e gera uma notificação de confirmação. O valor padrão é Notification.
Integrations To Ignore	Opcional. Uma lista separada por vírgulas de identificadores de integração que serão ignorados durante o processo de upgrade. Use o identificador exclusivo encontrado nos detalhes da integração (por exemplo, GoogleCloudAPI) em vez do nome de exibição.
Connectors To Ignore	Opcional. Uma lista separada por vírgulas de nomes de exibição de conectores que serão ignorados durante o processo de upgrade. Isso permite um controle granular sobre quais instâncias de conector específicas são atualizadas.
Overwrite Custom Integration	Opcional. Se selecionado, o job faz upgrade das integrações personalizadas originalmente baseadas em versões comerciais ou da comunidade (incluindo integrações comerciais que foram exportadas e depois importadas de volta para a plataforma). Importante: ativar esse parâmetro pode substituir as mudanças de código personalizado na integração. Ativado por padrão.
Ignore Ontology Mapping Update For Integrations	Opcional. Uma lista separada por vírgulas de identificadores de integração para os quais o processo de upgrade preserva os mapeamentos de ontologia atuais. Use o identificador exclusivo encontrado nos detalhes da integração (por exemplo, GoogleCloudAPI) em vez do nome de exibição. Observação: use esse parâmetro para proteger a lógica de extração de entidades personalizadas ou os ajustes de mapeamento contra substituição durante um upgrade.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.