将 Siemplify 与 Google SecOps 集成

本文档介绍了如何将 Siemplify 与 Google Security Operations (Google SecOps) 集成。

集成版本：94.0

使用场景

Siemplify 集成可满足以下使用场景：

  • 网络钓鱼调查：使用 Google SecOps 功能自动执行以下流程：分析网络钓鱼电子邮件、提取安全违规线索 (IOC) 并使用威胁情报丰富这些线索。

  • 恶意软件遏制：使用 Google SecOps 功能在检测到恶意软件后自动隔离受感染的端点、启动扫描并隔离恶意文件。

  • 漏洞管理：使用 Google SecOps 功能来编排漏洞扫描、根据风险确定漏洞优先级，并自动创建补救工单。

  • 威胁搜寻：使用 Google SecOps 功能自动在各种安全工具和数据集中运行威胁搜寻查询。

  • 安全提醒分类：利用 Google SecOps 功能自动为安全提醒添加背景信息，将它们与其他事件相关联，并根据严重程度确定优先级。

  • 突发事件响应：使用 Google SecOps 功能来协调整个突发事件响应流程，从初始检测到遏制和根除。

  • 合规性报告：使用 Google SecOps 功能自动收集和分析安全数据，以生成合规性报告。

集成参数

Siemplify 集成需要以下参数：

参数 说明
Monitors Mail Recipients

必填。

要验证的电子邮件地址的逗号分隔列表。

默认值为 example@mail.com,example1@mail.com。
Elastic Server Address

必填。

Elastic 服务器的地址。

默认值为 localhost。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在剧本中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作台页面中处理待处理的操作和执行手动操作。

添加实体分析洞见

使用 Add Entity Insight 操作在 Siemplify 中向目标 Google SecOps 实体添加数据洞见。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加实体数据洞见操作需要以下参数：

参数 说明
Message

必填。

要添加到实体中的消息。

此参数支持 HTML 元素，例如标题（<h1></h1>、<h2></h2>）、段落 (<p></p>)、文本格式设置（<b></b>、<i></i>、<br>）和链接 (<a href="example.com"></a>)。

操作输出

添加实体数据分析操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加实体分析操作可以返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE to ENTITY_ID.

 操作成功。
Error executing action "Add Entity Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Add Entity Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

添加常规分析洞见

使用添加一般性数据洞见操作向支持请求添加一般性数据洞见。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加常规数据洞见操作需要以下参数：

参数 说明
Title

必填。

数据分析的标题。
Message

必填。

要添加到实体中的消息。

此参数支持 HTML 元素，例如标题（<h1></h1>、<h2></h2>）、段落 (<p></p>)、文本格式设置（<b></b>、<i></i>、<br>）和链接 (<a href="example.com"></a>)。
Triggered By

可选。

数据分析的理由。

操作输出

添加常规数据分析操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加常规分析洞见操作可以返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE.

 操作成功。
Error executing action "Add General Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Add General Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

向类似支持请求添加标记

使用向类似支持请求添加标记操作向类似支持请求添加标记。

为了查找类似的支持请求，该操作会使用 siemplify.get_similar_cases() 函数以及检索到的参数，该函数会返回支持请求 ID 列表。

此操作不适用于 Google SecOps 实体。

操作输入

向类似支持请求添加标签操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选中此选项，该操作会使用规则生成器搜索类似的支持请求。

此选项将会默认选中。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似的支持请求。

此选项将会默认选中。
Category Outcome

可选。

如果选择此项，该操作会使用类别结果搜索类似的支持请求。

此选项将会默认选中。
Entity Identifier

可选。

如果选择此项，该操作会使用实体标识符搜索类似的支持请求。

此选项将会默认选中。
Days Back

必填。

在搜索类似支持请求时要回溯的天数。
Tags

必填。

要添加到类似支持请求的标记的逗号分隔列表。

操作输出

为类似支持请求添加标记操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

为类似支持请求添加标签操作可能会返回以下输出消息：

输出消息 消息说明

Found NUMBER_OF_CASES similar cases. Successfully added tags: TAG to cases CASE_ID

 操作成功。
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用为类似支持请求添加标签操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds 类似支持请求 ID 的列表。

添加到自定义列表

使用添加到自定义列表操作可将实体标识符添加到分类的自定义列表中，并在其他操作中执行未来的比较。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加到自定义列表操作需要以下参数：

参数 说明
Category

必填。

要使用的自定义类别列表。

操作输出

添加到自定义列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义列表操作可以返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_ID were added to custom list category: CATEGORY.

 操作成功。
Error executing action "Add to Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用添加到自定义列表操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

分配案例

使用分配支持请求操作将支持请求分配给特定用户或用户群组。

此操作会在所有 Google SecOps 实体上运行。

操作输入

分配支持请求操作需要以下参数：

参数 说明
Assigned User

必填。

要将支持请求分配给的用户或用户群组。

操作输出

分配支持请求操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义列表操作可以返回以下输出消息：

输出消息 消息说明

The case was successfully assigned to ASSIGNED_USER.

 操作成功。
Error executing action "Assign Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用分配支持请求操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

将 playbook 附加到提醒

使用将 playbook 附加到提醒操作将特定 playbook 附加到提醒。

此操作会在所有 Google SecOps 实体上运行。

操作输入

将 playbook 附加到提醒操作需要以下参数：

参数 说明
Playbook Name

必填。

要附加到当前提醒的 playbook 的名称。

操作输出

将 playbook 附加到提醒操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索图表操作可以返回以下输出消息：

输出消息 消息说明

Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.

 操作成功。
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用将剧本附加到提醒操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

支持请求评论

使用问题注释操作可向当前提醒所分组的问题添加注释。

此操作会在所有 Google SecOps 实体上运行。

操作输入

支持请求评论操作需要以下参数：

参数 说明
Comment

必填。

要添加到支持请求的评论。

操作输出

支持请求评论操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

Comment added to case: CASE_COMMENT.

 操作成功。
Error executing action "Case Comment". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用支持请求评论操作时脚本结果输出的值：

脚本结果名称 值
SuccessStatus true 或 false

支持请求代码

使用 Case Tag 操作可向当前提醒所分组到的支持请求添加标记。

此操作会在所有 Google SecOps 实体上运行。

操作输入

支持请求标记操作需要以下参数：

参数 说明
Tag

必填。

要添加到支持请求的标记。

操作输出

添加案例标记操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加情况标记操作可以返回以下输出消息：

输出消息 消息说明

The tag TAG_ID was added to the case

 操作成功。
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用问题标记操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更改提醒优先级

使用更改提醒优先级操作可更新支持请求中的提醒优先级。

此操作会在所有 Google SecOps 实体上运行。

操作输入

更改提醒优先级操作需要以下参数：

参数 说明
Alert Priority

必填。

相应提醒的新优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改提醒优先级操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

The alert priority was set to NEW_PRIORITY_LEVEL.

 操作成功。
Error executing action "Change Alert Priority". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改提醒优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改案例阶段

使用更改支持请求阶段操作更改支持请求阶段。

此操作会在所有 Google SecOps 实体上运行。

操作输入

更改支持请求阶段操作需要以下参数：

参数 说明
Stage

必填。

要将支持请求移至的阶段。

可能的值如下：

  • Triage
  • Assessment
  • Investigation
  • Incident
  • Improvement
  • Research

操作输出

更改问题阶段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

Case stage was successfully changed to CASE_STAGE.

 操作成功。
Error executing action "Change Case Stage". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改情形阶段操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改优先级

使用更改优先级操作更新所调查支持请求的优先级。

此操作会在所有 Google SecOps 实体上运行。

操作输入

更改优先级操作需要以下参数：

参数 说明
Priority

必填。

要为支持请求设置的优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改优先级操作可提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

The case priority was set to NEW_CASE_PRIORITY

 操作成功。
Error executing action "Close Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

关闭提醒

使用关闭提醒操作关闭提醒。

此操作会在所有 Google SecOps 实体上运行。

操作输入

关闭提醒操作需要以下参数：

参数 说明
Reason

必填。

关闭提醒的原因。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

关闭提醒的主要原因。
Comment

必填。

要添加到提醒中的评论。
Assign to User

可选。

要将提醒分配给的用户。
Tags

可选。

以英文逗号分隔的标记列表。

操作输出

关闭提醒操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

The alert was closed. Root Cause: ROOT_CAUSEComment: ALERT_COMMENTReason: REASON

 操作成功。
Error executing action "Close Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用关闭提醒操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

关闭案例

使用关闭支持请求操作来关闭支持请求。

此操作会在所有 Google SecOps 实体上运行。

操作输入

关闭支持请求操作需要以下参数：

参数 说明
Reason

必填。

关闭支持请求的原因。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

关闭支持请求的主要原因。
Comment

必填。

要添加到支持请求的评论。

操作输出

关闭支持请求操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

The case was closed. Root Cause: ROOT_CAUSEComment: CASE_COMMENTReason: REASON

 操作成功。
Error executing action "Close Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用关闭支持请求操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建实体

使用 Create Entity 操作创建新实体并将其添加到提醒中。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建实体操作需要以下参数：

参数 说明
Entities Identifies

必填。

要在相应情形下创建的实体标识符的逗号分隔列表，例如 VALUE1,VALUE2,VALUE3 。
Delimiter

可选。

用于将 Entities Identifies 参数中的输入内容拆分为多个标识符的分隔符。

如果您未设置值，该操作会将输入视为单个实体标识符。

默认值为 ,。
Entity Type

必填。

要创建的实体的类型，例如 HOSTNAME、USERNAME 或 IP。
Is Internal

可选。

如果选中，则该操作会将实体视为内部网络的一部分。

默认情况下未选中。
Is Suspicious

可选。

如果选择此项，相应操作会将实体视为可疑实体。

默认情况下未选中。

操作输出

创建实体操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

创建实体操作可以返回以下输出消息：

输出消息 消息说明

<codeENTITY_ID created successfully.

 操作成功。
Error executing action "Create Entity". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用创建实体操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建 Gemini 支持请求摘要

使用 Create Gemini Case Summary 操作创建新的 Gemini 支持请求摘要，并将其添加到提醒中。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

创建 Gemini 支持请求摘要操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建 Gemini 支持请求摘要操作时收到的 JSON 结果输出：

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]}
输出消息

创建 Gemini 支持请求摘要操作可以返回以下输出消息：

输出消息 消息说明

Case summary generation completed.

 操作成功。
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Create Gemini Case Summary 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

创建或更新实体属性

使用创建或更新实体属性操作可为实体范围内的实体创建或更改属性。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建或更新实体属性操作需要以下参数：

参数 说明
Entity Field

必填。

要创建或更新的实体字段的名称。
Field Value

必填。

要为指定实体字段设置的值。

操作输出

创建或更新实体属性操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

Property ENTITY_ID were changed for the following entities: ENTITY_ID.

 操作成功。
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用创建或更新实体属性操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取支持请求详情

使用 Get Case Details 操作可获取案例中的所有数据（包括评论、实体信息、数据分析、已运行的 playbook、提醒信息和事件）。

此操作不适用于 Google SecOps 实体。

操作输入

获取支持请求详情操作需要以下参数：

参数 说明
Case Id

可选。

要查询的支持请求的 ID。

如果未提供任何内容，该操作将默认使用当前大小写。
Fields to Return

可选。

以英文逗号分隔的要返回的字段列表。

如果未提供任何内容，则返回所有字段。

注意：可以使用 Nested Keys Delimiter 参数通过链接键和列表索引来检索嵌套值。
Nested Keys Delimiter

可选。

请求特定字段时用于分隔嵌套键的字符。

分隔符不能是英文逗号(,)。

嵌套键检索需要此分隔符。

操作输出

获取支持请求详情操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取支持请求详情操作时收到的 JSON 结果输出：

{
"id": 24879,
"creationTimeUnixTimeInMs": 1750862500562,
"modificationTimeUnixTimeInMs": 1750862500562,
"name": "Malware",
"priority": -1,
"isImportant": false,
"isIncident": false,
"startTimeUnixTimeInMs": 1727243021999,
"endTimeUnixTimeInMs": 1727243022479,
"assignedUser": "@Tier1",
"description": null,
"isTestCase": true,
"type": 1,
"stage": "Triage",
"environment": "Default Environment",
"status": 1,
"incidentId": null,
"tags": ["hi", "Simulated Case"],
"alertCards": [{
  "id": 172354,
  "creationTimeUnixTimeInMs": 1750862500651,
  "modificationTimeUnixTimeInMs": 1750862500651,
  "identifier": "EICAR_TEST_VANSHIKAVW-TEST-NEW0CC43705-04A7-43FD-88CD-B3E7FECA881D",
  "status": 0,
  "name": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "priority": -1,
  "workflowsStatus": 1,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "startTime": 1727243021999,
  "endTime": 1727243022479,
  "alertGroupIdentifier": "MalwareSFBrxjAXvKJsJyKe5iQalf00zrv/QwX966dRoEyP2eA=_8cc160b5-7039-421c-926c-1a98073f11d2",
  "eventsCount": 3,
  "title": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "ruleGenerator": "Malware",
  "deviceProduct": "SentinelOneV2",
  "deviceVendor": "SentinelOneV2",
  "playbookAttached": "Testing",
  "playbookRunCount": 1,
  "isManualAlert": false,
  "sla": {
    "slaExpirationTime": null,
    "criticalExpirationTime": null,
    "expirationStatus": 2,
    "remainingTimeSinceLastPause": null
    },
  "fieldsGroups": [],
  "sourceUrl": null,
  "sourceRuleUrl": null,
  "siemAlertId": null,
  "relatedCases": [],
  "lastSourceUpdateUnixTimeInMs": null,
  "caseId": 24879,
  "nestingDepth": 0
  }],
"isOverflowCase": false,
"isManualCase": false,
"slaExpirationUnixTime": null,
"slaCriticalExpirationUnixTime": null,
"stageSlaExpirationUnixTimeInMs": null,
"stageSlaCriticalExpirationUnixTimeInMs": null,
"canOpenIncident": false,
"sla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null
  },
"stageSla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null},
  "relatedAlertTicketId": null,
  "relatedAlertCards": []
  }
输出消息

获取支持请求详细信息操作可以返回以下输出消息：

输出消息 消息说明

Finished executing Get Case Details successfully

 操作成功。
Error executing action "Get Case Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取支持请求详情操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取连接器上下文值

使用 Get Connector Context Value 操作可获取存储在 Google SecOps 数据库中指定键下的连接器上下文值。

此操作不适用于 Google SecOps 实体。

操作输入

获取连接器上下文值操作需要以下参数：

参数 说明
Connector Identifier

必填。

要检索上下文值的连接器的标识符。
Key Name

必填。

要检索的上下文值的键名。
Create Case Wall Table

可选。

如果选择此操作，系统会创建一个包含检索到的上下文值的“案例墙”表格，除非该值超出字符限制。

此选项将会默认选中。

操作输出

获取连接器上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表格

获取连接器上下文值操作可以生成下表：

表格名称：Connector

表列：

  • 连接器标识符
  • 键
  • 值
输出消息

获取连接器上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Connector Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Connector Context Value 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取自定义字段值

使用 Get Custom Field Values 操作可根据指定范围检索自定义字段的当前值。

此操作不适用于 Google SecOps 实体。

操作输入

获取自定义字段值操作需要以下参数：

参数 说明
Scope

必填。

从中获取自定义字段的范围。

可能的值如下所示：

  • Case
  • Alert
  • All

操作输出

获取自定义字段值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取自定义字段值操作时收到的 JSON 结果输出：

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]
输出消息

获取自定义字段值操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned SCOPE custom fields.

No custom fields were found in scope SCOPE.

 操作成功。
Error executing action "Get Custom Field Values". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取自定义字段值操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取范围上下文值

使用 Get Scope Context Value 操作获取存储在 Google SecOps 数据库中指定键下的值。

此操作不适用于 Google SecOps 实体。

操作输入

获取范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索数据的上下文范围。

可能的值如下所示：

  • Not specified
  • Alert
  • Case
  • Global
Key Name

必填。

要从指定上下文中检索相应值的键名称。
Create Case Wall Table

可选。

如果选择此操作，系统会创建一个包含检索到的上下文值的“案例墙”表格，除非该值超出字符限制。

此选项将会默认选中。

操作输出

获取范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表格

获取范围上下文值操作可以生成下表：

表格名称：SCOPE

表列：

  • 键
  • 值
输出消息

获取范围上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

No context values were found for the provided context scope CONTEXT_SCOPE.

Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Scope Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Scope Context Value 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取类似支持请求

使用 Get Similar Cases 操作搜索类似支持请求并返回其 ID。

此操作会在所有 Google SecOps 实体上运行。

操作输入

获取类似支持请求操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选中此选项，该操作会使用规则生成器搜索类似的支持请求。

此选项将会默认选中。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似的支持请求。

此选项将会默认选中。
Category Outcome

可选。

如果选择此项，该操作会使用类别结果搜索类似的支持请求。

此选项将会默认选中。
Entity Identifier

可选。

如果选择此项，该操作会使用实体标识符搜索类似的支持请求。

此选项将会默认选中。
Days Back

必填。

相应操作要搜索类似情况的今天之前的天数。
Include Open Cases

可选。

如果选择此操作，系统会搜索未完结的支持请求。

此选项将会默认选中。
Include Closed Cases

可选。

如果选择此项，则该操作会搜索已关闭的支持请求。

此选项将会默认选中。

获取类似支持请求操作会将逻辑 AND 运算符应用于 Rule Generator、Port、Category Outcome、Entity Identifier、Include Open Cases 和 Include Closed Cases 参数，以便在同一搜索中使用这些参数。

操作输出

获取类似支持请求操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了在使用获取类似支持请求操作时收到的 JSON 结果输出：

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}
输出消息

获取类似支持请求操作可以返回以下输出消息：

输出消息 消息说明

Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST

 操作成功。
Error executing action "Get Similar Cases". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取类似支持请求操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds CASE_IDS_LIST

指令

使用指令操作为分析师设置指令。

此操作会在所有 Google SecOps 实体上运行。

操作输入

指令操作需要以下参数：

参数 说明
Instruction

必填。

面向分析师的说明内容。

操作输出

指令操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

Please perform the following instructions: INSTRUCTION.

 操作成功。
Error executing action "Instruction". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Instruction 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

是否在自定义列表中

使用 Is In Custom List 操作检查实体标识符是否属于指定的自定义列表。

此操作会在所有 Google SecOps 实体上运行。

操作输入

位于自定义列表操作需要以下参数：

参数 说明
Category

必填。

用于检查提醒实体的自定义列表类别。

操作输出

位于自定义列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Is In Custom List 操作可以返回以下输出消息：

输出消息 消息说明

This alert contains entities in the given custom list category: CATEGORY.

 操作成功。
Error executing action "Is In Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Is In Custom List 操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

标记为重要

使用标记为重要操作将支持请求标记为重要。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

标记为重要操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

标记为重要操作可能会返回以下输出消息：

输出消息 消息说明

The case was automatically marked as important.

 操作成功。
Error executing action "Mark As Important". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用标记为重要邮件操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

开放式 Web 网址

使用 Open Web Url 操作生成浏览器链接。

此操作会在所有 Google SecOps 实体上运行。

操作输入

打开网页网址操作需要以下参数：

参数 说明
Title

必填。

相应网址的标题。
URL

必填。

目标网址。

操作输出

打开网页网址操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

打开网页网址操作可以返回以下输出消息：

输出消息 消息说明

URL_TITLE

URL_LINK

 操作成功。
Error executing action "Open Web Url". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用打开网页网址操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

暂停提醒服务等级协议

使用暂停提醒服务等级协议操作可暂停支持请求中特定提醒的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

暂停提醒服务等级协议操作需要以下参数：

参数 说明
Message

可选。

暂停提醒服务等级协议的原因。

操作输出

暂停提醒服务等级协议操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停提醒服务等级协议操作可以返回以下输出消息：

输出消息 消息说明

The alert SLA was paused.

 操作成功。
Error executing action "Pause Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用暂停提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

暂停支持请求 SLA

使用暂停支持请求 SLA 操作可暂停特定支持请求的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

暂停支持请求 SLA 操作需要以下参数：

参数 说明
Message

可选。

暂停支持请求 SLA 的原因。

操作输出

暂停支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停支持请求 SLA 操作可以返回以下输出消息：

输出消息 消息说明

The case SLA was paused.

 操作成功。
Error executing action "Pause Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用暂停支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

允许的提醒时间

使用 Permitted Alert Time 操作检查所选提醒的开始时间是否符合用户定义的时间条件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

允许的提醒时间操作需要以下参数：

参数 说明
Permitted Start Time

必填。

允许接收提醒的时段的开始时间。
Permitted End Time

必填。

提醒的许可期限的结束时间。
Monday

可选。

如果选中，则表示该操作将周一视为允许接收提醒的日子。

默认情况下未选中。
Tuesday

可选。

如果选择此项，则表示该操作将周二视为允许接收提醒的日子。

此选项将会默认选中。
Wednesday

可选。

如果选中，则表示该操作将周三视为允许接收提醒的日子。

此选项将会默认选中。
Thursday

可选。

如果选中，则表示该操作将星期四视为允许提醒的日子。

默认情况下未选中。
Friday

可选。

如果选中，则表示该操作将星期五视为允许提醒的日期。

默认情况下未选中。
Saturday

可选。

如果选择此项，则操作会将周六视为允许提醒的日期。

默认情况下未选中。
Sunday

可选。

如果选中，则表示该操作将星期日视为允许提醒的天数。

默认情况下未选中。
Timestamp Type

可选。

将用于比较的时间戳类型。
Input Timezone

可选。

时区名称。例如：UTC。此操作还支持使用 IANA 时区（例如 America/New_York）作为输入。如果使用时区提供输入，则操作会自动调整夏令时。

操作输出

允许的提醒时间操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

允许的提醒时间操作可以返回以下输出消息：

输出消息 消息说明

Case Time of ALERT_TIME is within condition parameters of between START_TIME - END_TIME on CHECKED_DAY

 操作成功。
Error executing action "Permitted Alert Time". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Permitted Alert Time 操作时脚本结果输出的值：

脚本结果名称 值
Permitted true 或 false

Ping

使用 Ping 操作测试连接。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作可以返回以下输出消息：

输出消息 消息说明

Email address is syntactically correct.

 操作成功。
Error executing action "Ping". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

引发突发事件

使用提出突发事件操作提出支持服务请求，并将真正发现的阳性病例标记为 Critical。

此操作会在所有 Google SecOps 实体上运行。

操作输入

提交突发事件操作需要以下参数：

参数 说明
Soc Role

可选。

要将支持请求分配给的 Google SecOps SOC 角色。

操作输出

提出突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索 ASM 问题 操作可以返回以下输出消息：

输出消息 消息说明

The case raised to CASE_STAGE status.

 操作成功。
Error executing action "Raise Incident". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Raise Incident 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

移除代码

使用移除标记操作可从支持请求中移除标记。

此操作会在所有 Google SecOps 实体上运行。

操作输入

移除标记操作需要以下参数：

参数 说明
Tag

必填。

要从支持请求中移除的标记的逗号分隔列表。

操作输出

移除标记操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

移除标记操作可以返回以下输出消息：

输出消息 消息说明
Successfully removed the following tags from case CASE_ID:TAGS 操作成功。

It is not possible to remove the tag.

Error executing action "Remove Tag". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用移除标记操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

从自定义列表中移除

使用 Remove From Custom List 操作可从指定的自定义列表类别中移除与提醒相关联的实体。

此操作会在所有 Google SecOps 实体上运行。

操作输入

从自定义列表中移除操作需要以下参数：

参数 说明
Category

必填。

要从中移除实体的自定义列表类别名称。

操作输出

从自定义列表中移除操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

从自定义列表中移除操作可以返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_ID were removed from custom list category: CATEGORY

 操作成功。
Error executing action "Remove From Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用从自定义列表中移除操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

恢复提醒服务等级协议

使用恢复提醒服务等级协议操作可重新启动支持请求中特定提醒的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

恢复提醒服务等级协议操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复提醒服务等级协议操作可以返回以下输出消息：

输出消息 消息说明

The alert SLA was resumed.

 操作成功。
Error executing action "Resume Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Resume Alert SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

恢复支持请求 SLA

使用恢复支持请求 SLA 操作可针对特定支持请求重新启动服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

恢复支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复支持请求 SLA 操作可以返回以下输出消息：

输出消息 消息说明

The case SLA was resumed.

 操作成功。
Error executing action "Resume Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Resume Case SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

设置提醒服务等级协议

使用设置提醒 SLA 操作可为提醒设置 SLA 计时器。

此操作具有最高优先级，会替换为特定提醒定义的现有 SLA。

此操作不适用于 Google SecOps 实体。

操作输入

设置提醒 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

违反 SLA 的时间段。

默认值为 5。
SLA Time Unit

必填。

SLA 期限的时间单位。

默认值为 Minutes。

可能的值如下：

  • Minutes
  • Hours
  • Days
SLA Time To Critical Period

必填。

严重 SLA 阈值。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 周期的时间单位。

默认值为 Minutes。

可能的值如下：

  • Minutes
  • Hours
  • Days

操作输出

设置提醒 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置提醒 SLA 操作可以返回以下输出消息：

输出消息 消息说明

Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置支持请求 SLA

使用设置支持请求 SLA 操作可为支持请求设置 SLA。

此操作具有最高优先级，会替换为特定支持请求定义的现有 SLA。

此操作不适用于 Google SecOps 实体。

操作输入

设置支持请求 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

违反 SLA 的时间段。

默认值为 5。
SLA Time Unit

必填。

SLA 期限的时间单位。

默认值为 Minutes。

可能的值如下：

  • Minutes
  • Hours
  • Days
SLA Time To Critical Period

必填。

严重 SLA 阈值。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 周期的时间单位。

默认值为 Minutes。

可能的值如下：

  • Minutes
  • Hours
  • Days

操作输出

设置支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索 ASM 问题 操作可以返回以下输出消息：

输出消息 消息说明

Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置自定义字段

使用设置自定义字段操作可为自定义字段设置值。

此操作不适用于 Google SecOps 实体。

操作输入

设置自定义字段操作需要以下参数：

参数 说明
Scope

必填。

为自定义字段设置的范围。

可能的值包括 Case 和 Alert。

默认值为 Case。
Custom Fields Data

必填。

要更新的自定义字段的值。

您可以在一次操作运行中更新多个自定义字段。

默认值为：

    {
      "Custom Field Name 1": "Custom Field Value 1",
      "Custom Field Name 2": "Custom Field Value 2"
    }
Append Values

可选。

如果选择此项，相应操作会将 Custom Fields Data 参数中的输入附加到自定义字段的现有值。

如果未选择，则该操作会使用 Custom Fields Data 参数中的输入覆盖现有值。

默认情况下未选中。

操作输出

设置自定义字段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用设置自定义字段操作时收到的 JSON 结果输出：

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}
输出消息

设置自定义字段操作可以返回以下输出消息：

输出消息 消息说明
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES 操作成功。
Error executing action "Set Custom Fields". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置风险得分

使用设置风险得分操作更新支持请求的风险得分。

此操作不适用于 Google SecOps 实体。

操作输入

设置风险得分操作需要以下参数：

参数 说明
Risk Score

必填。

要为所选支持请求设置的风险得分。

操作输出

设置风险得分操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置风险得分操作可以返回以下输出消息：

输出消息 消息说明
Successfully set Risk Score for case CASE_ID 操作成功。
Error executing action "Set Risk Score". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置风险得分操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置范围上下文值

使用 Set Scope Context Value 操作可为存储在 Google SecOps 数据库中的键设置值。

此操作不适用于 Google SecOps 实体。

操作输入

设置范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索数据的上下文范围。

可能的值如下所示：

  • Not specified
  • Alert
  • Case
  • Global
Key Name

必填。

要从指定上下文中检索相应值的键名称。
Key Value

必填。

要存储在指定键下的值。

操作输出

获取范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置范围上下文值操作可以返回以下输出消息：

输出消息 消息说明
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE. 操作成功。
Error executing action "Set Scope Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置范围上下文值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更新支持请求说明

使用更新支持请求说明操作更新支持请求说明。

此操作不适用于 Google SecOps 实体。

操作输入

更新支持请求说明操作需要以下参数：

参数 说明
Description

必填。

要为支持请求设置的说明。

操作输出

更新支持请求说明操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

更新支持请求说明操作可以返回以下输出消息：

输出消息 消息说明
Successfully updated the case description. 操作成功。
Error executing action "Update Case Description". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更新支持请求说明操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

等待自定义字段

使用 Wait For Custom Fields 操作等待自定义字段值，然后继续执行 playbook。

此操作不适用于 Google SecOps 实体。

操作输入

等待自定义字段操作需要以下参数：

参数 说明
Scope

必填。

为自定义字段设置的范围。

可能的值包括 Case 和 Alert。

默认值为 Case。
Custom Fields Data

必填。

自定义字段允许操作恢复运行 playbook 所需的条件。

将自定义字段名称及其所需的值配置为 JSON 对象。

如果您为多个字段设置条件，则操作会等待所有字段都满足各自的条件。

操作行为取决于您提供的输入内容。

如需让操作在自定义字段中包含任意值时恢复运行 playbook，请按如下方式为自定义字段配置空字符串：

    {
      "Custom Field": ""
    }

如需在自定义字段等于特定值（例如 VALUE_1）时恢复运行剧本，请按如下方式为自定义字段指定值：

    {
      "Custom Field": "VALUE_1"
    }

默认值为：

    {
      "Custom Field Name 1": "Custom Field Value 1",
      "Custom Field Name 2": "Custom Field Value 2"
    }

操作输出

等待自定义字段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用等待自定义字段操作时收到的 JSON 结果输出：

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}
输出消息

等待自定义字段操作可以返回以下输出消息：

输出消息 消息说明

Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES

Waiting for SCOPE custom fields updates...

 操作成功。
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用等待自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

作业

通过 Siemplify 集成，您可以使用以下作业：

Siemplify - 操作监控器

使用 Siemplify - 操作监控器作业，接收过去 3 小时内至少单独失败 3 次的所有操作的通知。

作业输入

Siemplify - Actions Monitor 作业需要以下参数：

参数 说明
Run Interval In Seconds

可选。

作业的运行间隔（以秒为单位）。

此参数用于确定集成检查失败的 playbook 操作的频率。

默认值为 900。
Is Enabled

可选。

如果选中，则作业处于有效状态。

此选项将会默认选中。

Siemplify - Cases Collector 数据库

使用 Siemplify - Cases Collector DB 作业从指定发布者处检索和处理安全事件。

作业输入

Siemplify - Cases Collector DB 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集支持请求和日志的发布商的 ID。
Verify SSL

可选。

如果选中，作业会验证发布者的 SSL 证书是否有效。

默认情况下未选中。

Siemplify - 日志收集器

使用 Siemplify - Logs Collector 作业从指定发布者处检索和处理日志。

作业输入

Siemplify - Logs Collector 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集日志的发布商的 ID。
Verify SSL

可选。

如果选中，作业会验证发布者的 SSL 证书是否有效。

默认情况下未选中。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。