将 Siemplify 与 Google SecOps 集成

集成版本：94.0

本文档介绍了如何将 Siemplify 与 Google Security Operations (Google SecOps) 集成。

使用场景

Siemplify 集成可满足以下使用场景：

  • 网络钓鱼调查：使用 Google SecOps 功能自动执行以下流程：分析网络钓鱼电子邮件、提取安全违规线索 (IOC)，并使用威胁情报丰富这些线索。

  • 恶意软件遏制：使用 Google SecOps 功能在检测到恶意软件后自动隔离受感染的端点、启动扫描并隔离恶意文件。

  • 漏洞管理：使用 Google SecOps 功能来编排漏洞扫描、根据风险确定漏洞优先级，并自动创建补救工单。

  • 威胁搜寻：使用 Google SecOps 功能自动在各种安全工具和数据集中运行威胁搜寻查询。

  • 安全提醒分类：使用 Google SecOps 功能自动为安全提醒添加背景信息，将它们与其他事件相关联，并根据严重程度确定其优先级。

  • 突发事件响应：使用 Google SecOps 功能来编排整个突发事件响应流程，从初始检测到遏制和根除。

  • 合规性报告：利用 Google SecOps 功能自动收集和分析安全数据，以生成合规性报告。

集成参数

Siemplify 集成需要以下参数：

参数 说明
Monitors Mail Recipients

必填。

一个以英文逗号分隔的电子邮件地址列表，用于在集成与电子邮件相关的工作流中进行验证。

此列表用于定义处理的接收者。

默认值为 example@mail.com,example1@mail.com。
Elastic Server Address

必填。

用于连接到 Siemplify 数据库的 Elastic 服务器的地址。

这通常是运行 Elastic 实例的宿主机地址。

默认值为 localhost。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作台页面中处理待处理的操作和执行手动操作。

添加实体分析洞见

使用 Add Entity Insight 操作在 Siemplify 中向 Google SecOps 实体添加数据洞见。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加实体数据洞见操作需要以下参数：

参数 说明
Message

必填。

要添加到实体中的消息。

此参数支持 HTML 元素，例如：

  • 标题（<h1></h1>、<h2></h2>）
  • 段落 (<p></p>)
  • 设置文本格式（<b></b>、<i></i>、<br>）
  • 链接（<a href="example.com"></a>）。

操作输出

添加实体数据分析操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加实体分析操作可以返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE to ENTITY_ID.

 操作成功。
Error executing action "Add Entity Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Add Entity Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

添加常规分析洞见

使用添加一般性数据洞见操作向支持请求添加一般性数据洞见。

此操作不适用于 Google SecOps 实体。

操作输入

添加常规数据洞见操作需要以下参数：

参数 说明
Title

必填。

数据分析的标题。
Message

必填。

要添加到实体中的消息。

此参数支持 HTML 元素，例如：

  • 标题（<h1></h1>、<h2></h2>）
  • 段落 (<p></p>)
  • 设置文本格式（<b></b>、<i></i>、<br>）
  • 链接（<a href="example.com"></a>）。
Triggered By

可选。

一个自由文本字段，用于提供有关数据洞见的理由，说明为何将其添加到支持请求中。

操作输出

添加常规数据分析操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加常规数据分析操作可以返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE.

 操作成功。
Error executing action "Add General Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Add General Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

向类似支持请求添加标记

使用向类似支持请求添加标签操作向类似支持请求添加标签。

为了查找类似的支持请求，该操作会使用 siemplify.get_similar_cases() 函数根据一组条件和参数检索支持请求 ID 列表。

逻辑 AND 运算符应用于 Rule Generator、Port、Category Outcome 和 Entity Identifier 参数，以过滤出符合所有指定条件的案例。

此操作不适用于 Google SecOps 实体。

操作输入

向类似支持请求添加标签操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选中此选项，该操作会使用规则生成器搜索类似的支持请求。

默认处于启用状态。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似的支持请求。

默认处于启用状态。
Category Outcome

可选。

如果选择此项，该操作会使用类别结果搜索类似的支持请求。

默认处于启用状态。
Entity Identifier

可选。

如果选择此项，该操作会使用实体标识符搜索类似的支持请求。

默认处于启用状态。
Days Back

必填。

在当前日期之前搜索类似情况的天数。
Tags

必填。

要应用于找到的类似支持请求的标记的逗号分隔列表。

操作输出

为类似支持请求添加标记操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

为类似支持请求添加标记操作可能会返回以下输出消息：

输出消息 消息说明

Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS

 操作成功。
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用为类似支持请求添加标签操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds 类似支持请求 ID 的列表。

添加到自定义列表

使用添加到自定义列表操作将实体标识符添加到分类的自定义列表，并在其他操作中执行未来的比较。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加到自定义列表操作需要以下参数：

参数 说明
Category

必填。

要将实体标识符添加到的自定义列表类别的名称。

操作输出

添加到自定义列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义列表操作可以返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.

 操作成功。
Error executing action "Add to Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用添加到自定义列表操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

分配案例

使用分配支持请求操作将支持请求分配给特定用户或用户群组。

此操作不适用于 Google SecOps 实体。

操作输入

分配支持请求操作需要以下参数：

参数 说明
Assigned User

必填。

要将支持请求分配给的用户或用户群组。

操作输出

分配支持请求操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义列表操作可以返回以下输出消息：

输出消息 消息说明

The case was successfully assigned to ASSIGNED_USER.

 操作成功。
Error executing action "Assign Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用分配支持请求操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

将 playbook 附加到提醒

使用将 playbook 附加到提醒操作，将特定 playbook 附加到提醒。

此操作不适用于 Google SecOps 实体。

操作输入

将 playbook 附加到提醒操作需要以下参数：

参数 说明
Playbook Name

必填。

要附加到当前提醒的 playbook 的名称。
Allow Duplicates

可选。

如果选中此选项，则可以将 playbook 多次附加到提醒。

默认处于启用状态。

操作输出

将 playbook 附加到提醒操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索图表操作可以返回以下输出消息：

输出消息 消息说明

Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.

 操作成功。
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用将剧本附加到提醒操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

支持请求评论

使用支持请求评论操作可向当前提醒所分组的支持请求添加评论。

此操作不适用于 Google SecOps 实体。

操作输入

支持请求评论操作需要以下参数：

参数 说明
Comment

必填。

要添加到支持请求的评论。

操作输出

支持请求评论操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

Comment added to case: CASE_COMMENT.

 操作成功。
Error executing action "Case Comment". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用添加支持请求注释操作时脚本结果输出的值：

脚本结果名称 值
SuccessStatus true 或 false

支持请求代码

使用 Case Tag 操作可向当前提醒所分组到的支持请求添加标签。

此操作不适用于 Google SecOps 实体。

操作输入

支持请求标记操作需要以下参数：

参数 说明
Tag

必填。

要添加到支持请求的标记。

操作输出

添加案例标记操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加情况标记操作可以返回以下输出消息：

输出消息 消息说明

The tag TAG_NAME was added to the case

 操作成功。
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Case Tag 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更改提醒优先级

使用更改提醒优先级操作可更新支持请求中的提醒优先级。

此操作不适用于 Google SecOps 实体。

操作输入

更改提醒优先级操作需要以下参数：

参数 说明
Alert Priority

必填。

相应提醒的新优先级。

如果提醒的优先级更新为高于当前支持请求的优先级，支持请求的优先级将自动更新为新的更高优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改提醒优先级操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

The alert priority was set to NEW_PRIORITY_LEVEL.

 操作成功。
Error executing action "Change Alert Priority". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改提醒优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改案例阶段

使用更改支持请求阶段操作更改支持请求阶段。

此操作不适用于 Google SecOps 实体。

操作输入

更改支持请求阶段操作需要以下参数：

参数 说明
Stage

必填。

要将支持请求移至的阶段。

可能的值如下：

  • Triage
  • Assessment
  • Investigation
  • Incident
  • Improvement
  • Research

操作输出

更改问题阶段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

Case stage was successfully changed to NEW_CASE_STAGE.

 操作成功。
Error executing action "Change Case Stage". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改大小写阶段操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改优先级

使用更改优先级操作来更改支持请求的优先级。

此操作不适用于 Google SecOps 实体。

操作输入

更改优先级操作需要以下参数：

参数 说明
Priority

必填。

要为支持请求设置的优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改优先级操作可提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

The case priority was set to NEW_CASE_PRIORITY

 操作成功。
Error executing action "Close Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

关闭提醒

使用关闭提醒操作关闭提醒。

此操作不适用于 Google SecOps 实体。

操作输入

关闭提醒操作需要以下参数：

参数 说明
Reason

必填。

提醒关闭的主要分类。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

导致相应提醒的技术问题的详细说明。
Comment

必填。

备注、调查摘要或有关提醒关闭的其他背景信息。
Assign to User

可选。

在关闭提醒后要将提醒分配给的用户。
Tags

可选。

一个英文逗号分隔的标记列表，用于为提醒添加标记，以便进行分类、过滤和日后搜索。

操作输出

关闭提醒操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON

 操作成功。
Error executing action "Close Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用关闭提醒操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

关闭案例

使用关闭支持请求操作来关闭支持请求。

此操作不适用于 Google SecOps 实体。

操作输入

关闭支持请求操作需要以下参数：

参数 说明
Reason

必填。

提醒关闭的主要分类。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

导致此提醒的技术问题的详细说明。
Comment

必填。

备注、调查摘要或有关提醒关闭的其他背景信息。

操作输出

关闭支持请求操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

The case was closed. Root Cause: ROOT_CAUSE Comment: REASON

 操作成功。
Error executing action "Close Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用关闭支持请求操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建实体

使用 Create Entity 操作创建新实体并将其添加到提醒中。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建实体操作需要以下参数：

参数 说明
Entities Identifies

必填。

要在相应情形下创建的实体标识符的逗号分隔列表，例如 VALUE1, VALUE2, VALUE3。
Delimiter

可选。

用于将 Entities Identifies 中的输入内容拆分为多个标识符的分隔符。

如果未提供任何值，该操作会将输入视为单个实体标识符。

默认值为 ,。
Entity Type

必填。

要创建的实体的类型，例如 HOST NAME、USER NAME 或 IP Set。
Is Internal

可选。

如果选择此操作，则会将实体标记为内部网络的一部分。

默认情况下未启用。
Is Suspicious

可选。

如果选择此操作，则会将实体标记为可疑。

默认情况下未启用。

操作输出

创建实体操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

创建实体操作可以返回以下输出消息：

输出消息 消息说明

ENTITY_IDS created successfully.

 操作成功。
Error executing action "Create Entity". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用创建实体操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建 Gemini 支持请求摘要

使用 Create Gemini Case Summary（创建 Gemini 支持请求摘要）操作创建新的 Gemini 支持请求摘要，并将其添加到提醒中。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

创建 Gemini 支持请求摘要操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建 Gemini 支持请求摘要操作时收到的 JSON 结果输出：

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}
输出消息

创建 Gemini 支持请求摘要操作可以返回以下输出消息：

输出消息 消息说明

Case summary generation completed.

 操作成功。
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Create Gemini Case Summary 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

创建或更新实体属性

使用创建或更新实体属性操作可创建或更改实体范围内的实体属性。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建或更新实体属性操作需要以下参数：

参数 说明
Entity Field

必填。

要创建或更新的实体字段。
Field Value

必填。

指定实体字段的值。

操作输出

创建或更新实体属性操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

创建或更新实体属性操作可返回以下输出消息：

输出消息 消息说明

Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.

 操作成功。
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用创建或更新实体属性操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

接收支持请求提醒

使用 Get Case Alerts 操作可检索与指定支持请求相关联的提醒。

此操作不适用于 Google SecOps 实体。

操作输入

获取支持请求提醒操作需要以下参数：

参数 说明
Case ID

必填。

一个以英文逗号分隔的案例 ID 列表，相应操作会检索与这些案例 ID 关联的提醒。
Alert ID

可选。

以英文逗号分隔的提醒 ID 列表，用于限制返回的提醒。

此参数仅在 Case ID 包含值时使用。
Fields To Return

可选。

以英文逗号分隔的要在 JSON 结果中返回的字段列表。

如需检索嵌套值，请使用 Nested Keys Delimiter 链接嵌套键和列表索引。例如，如果分隔符为“.”： key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1

如果未提供值，则返回所有字段。
Nested Keys Delimiter

可选。

用于分隔嵌套键和列表索引的字符（在定义要返回的字段时）。

此参数不能是英文逗号 (,)。

获取支持请求详情

使用获取案例详情操作可获取案例中的所有数据（包括评论、实体信息、数据洞见、已运行的 playbook、提醒信息和事件）。

此操作不适用于 Google SecOps 实体。

操作输入

获取支持请求详情操作需要以下参数：

参数 说明
Case Id

可选。

要从中检索详细信息的支持请求的 ID。

如果未提供任何值，则操作将使用当前大小写。
Fields to Return

可选。

以英文逗号分隔的要返回的字段列表。

如果未提供任何内容，则返回所有字段。

您可以使用 Nested Keys Delimiter 参数分隔键和列表索引，以检索特定的嵌套值。
Nested Keys Delimiter

可选。

请求特定字段时用于分隔嵌套键的字符。这样，您就可以从嵌套对象中检索值。

分隔符不能是英文逗号(,)。

操作输出

获取支持请求详情操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取支持请求详情操作时收到的 JSON 结果输出：

{
"id": 24879,
"creationTimeUnixTimeInMs": 1750862500562,
"modificationTimeUnixTimeInMs": 1750862500562,
"name": "Malware",
"priority": -1,
"isImportant": false,
"isIncident": false,
"startTimeUnixTimeInMs": 1727243021999,
"endTimeUnixTimeInMs": 1727243022479,
"assignedUser": "@Tier1",
"description": null,
"isTestCase": true,
"type": 1,
"stage": "Triage",
"environment": "Default Environment",
"status": 1,
"incidentId": null,
"tags": ["hi", "Simulated Case"],
"alertCards": [{
  "id": 172354,
  "creationTimeUnixTimeInMs": 1750862500651,
  "modificationTimeUnixTimeInMs": 1750862500651,
  "identifier": "EICAR_TEST_VANSHIKAVW-TEST-NEW0CC43705-04A7-43FD-88CD-B3E7FECA881D",
  "status": 0,
  "name": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "priority": -1,
  "workflowsStatus": 1,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "startTime": 1727243021999,
  "endTime": 1727243022479,
  "alertGroupIdentifier": "MalwareSFBrxjAXvKJsJyKe5iQalf00zrv/QwX966dRoEyP2eA=_8cc160b5-7039-421c-926c-1a98073f11d2",
  "eventsCount": 3,
  "title": "EICAR_TEST_VANSHIKAVW-TEST-NEW",
  "ruleGenerator": "Malware",
  "deviceProduct": "SentinelOneV2",
  "deviceVendor": "SentinelOneV2",
  "playbookAttached": "Testing",
  "playbookRunCount": 1,
  "isManualAlert": false,
  "sla": {
    "slaExpirationTime": null,
    "criticalExpirationTime": null,
    "expirationStatus": 2,
    "remainingTimeSinceLastPause": null
    },
  "fieldsGroups": [],
  "sourceUrl": null,
  "sourceRuleUrl": null,
  "siemAlertId": null,
  "relatedCases": [],
  "lastSourceUpdateUnixTimeInMs": null,
  "caseId": 24879,
  "nestingDepth": 0
  }],
"isOverflowCase": false,
"isManualCase": false,
"slaExpirationUnixTime": null,
"slaCriticalExpirationUnixTime": null,
"stageSlaExpirationUnixTimeInMs": null,
"stageSlaCriticalExpirationUnixTimeInMs": null,
"canOpenIncident": false,
"sla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null
  },
"stageSla": {
  "slaExpirationTime": null,
  "criticalExpirationTime": null,
  "expirationStatus": 2,
  "remainingTimeSinceLastPause": null},
  "relatedAlertTicketId": null,
  "relatedAlertCards": []
  }
输出消息

获取支持请求详细信息操作可以返回以下输出消息：

输出消息 消息说明

Finished executing "Get Case Details" successfully

 操作成功。
Error executing action "Get Case Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取支持请求详情操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取连接器上下文值

使用 Get Connector Context Value 操作可从 Google SecOps 数据库中检索连接器上下文的指定键的值。

此操作不适用于 Google SecOps 实体。

操作输入

获取连接器上下文值操作需要以下参数：

参数 说明
Connector Identifier

必填。

要从中检索上下文值的连接器的唯一标识符。
Key Name

必填。

存储上下文值的键。
Create Case Wall Table

可选。

如果选择此操作，系统会创建一个包含检索到的上下文值的案例墙表格。

如果检索到的值超出字符数限制，则系统不会创建表。

默认处于启用状态。

操作输出

获取连接器上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表格

获取连接器上下文值操作可以生成下表：

表格名称：Connector

表列：

  • 连接器标识符
  • 键
  • 值
输出消息

获取连接器上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Connector Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取连接器上下文值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取自定义字段值

使用获取自定义字段值操作可根据指定范围检索自定义字段的当前值。

此操作不适用于 Google SecOps 实体。

操作输入

获取自定义字段值操作需要以下参数：

参数 说明
Scope

必填。

要从中检索自定义字段的范围。

可能的值如下：

  • Case
  • Alert
  • All

操作输出

获取自定义字段值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取自定义字段值操作时收到的 JSON 结果输出：

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]
输出消息

获取自定义字段值操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned SCOPE custom fields.

No custom fields were found in scope SCOPE.

 操作成功。
Error executing action "Get Custom Field Values". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取自定义字段值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取范围上下文值

使用 Get Scope Context Value 操作从 Google SecOps 数据库中检索存储在指定键和上下文下的值。

此操作不适用于 Google SecOps 实体。

操作输入

获取范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索值的上下文范围。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

默认值为 Not specified。
Key Name

必填。

值存储在指定上下文中的键。
Create Case Wall Table

可选。

如果选择此操作，系统会创建一个包含检索到的上下文值的案例墙表格。

如果检索到的值超出字符数限制，则系统不会创建表。

默认处于启用状态。

操作输出

获取范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表格

获取范围上下文值操作可以生成下表：

表格名称：SCOPE

表列：

  • 键
  • 值
输出消息

获取范围上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

No context values were found for the provided context scope CONTEXT_SCOPE.

Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Scope Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Scope Context Value 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取类似支持请求

使用 Get Similar Cases 操作搜索类似支持请求并返回其 ID。

该操作会将逻辑 AND 运算符应用于 Rule Generator、Port、Category Outcome、Entity Identifier、Include Open Cases 和 Include Closed Cases 参数，以过滤出符合所有指定条件的案例。

此操作会在所有 Google SecOps 实体上运行。

操作输入

获取类似支持请求操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选中此选项，该操作会使用规则生成器搜索类似的支持请求。

默认处于启用状态。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似的支持请求。

默认处于启用状态。
Category Outcome

可选。

如果选择此项，该操作会使用类别结果搜索类似的支持请求。

默认处于启用状态。
Entity Identifier

可选。

如果选择此项，该操作会使用实体标识符搜索类似的支持请求。

默认处于启用状态。
Days Back

必填。

相应操作要搜索的当前日期之前的天数。
Include Open Cases

可选。

如果选中，则搜索中会包含未结案的诉讼或调查。

默认处于启用状态。
Include Closed Cases

可选。

如果选中此复选框，则相应操作会在搜索中包含已关闭的支持请求。

默认处于启用状态。

操作输出

获取类似支持请求操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取类似支持请求操作时收到的 JSON 结果输出：

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}
输出消息

获取类似支持请求操作可以返回以下输出消息：

输出消息 消息说明

Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST

 操作成功。
Error executing action "Get Similar Cases". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取类似支持请求操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds 类似支持请求 ID 的列表。

指令

使用指令操作可直接在支持请求中向分析师提供指令。

此操作不适用于 Google SecOps 实体。

操作输入

指令操作需要以下参数：

参数 说明
Instruction

必填。

面向分析师的说明。

操作输出

指令操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

Please perform the following instructions: INSTRUCTION.

 操作成功。
Error executing action "Instruction". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Instruction 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

是否在自定义列表中

使用 Is In Custom List 操作可检查指定自定义列表中是否存在某个实体。

此操作会在所有 Google SecOps 实体上运行。

操作输入

位于自定义列表操作需要以下参数：

参数 说明
Category

必填。

要搜索的自定义列表类别的名称。

操作输出

位于自定义列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Is In Custom List 操作可以返回以下输出消息：

输出消息 消息说明

This alert contains entities in the given custom list category: CATEGORY.

This alert does not contain entities in the given custom list category: CATEGORY.

 操作成功。
Error executing action "Is In Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Is In Custom List 操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

标记为重要

使用标记为重要操作将支持请求标记为重要。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

标记为重要操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

标记为重要操作可能会返回以下输出消息：

输出消息 消息说明

The case was automatically marked as important.

 操作成功。
Error executing action "Mark As Important". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用标记为重要操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

Open Web 网址

使用 Open Web Url 操作生成浏览器链接。

此操作不适用于 Google SecOps 实体。

操作输入

打开网页网址操作需要以下参数：

参数 说明
Title

必填。

相应网址的标题。
URL

必填。

目标网址。

操作输出

打开网页网址操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

打开网页网址操作可以返回以下输出消息：

输出消息 消息说明

URL_TITLE

URL_LINK

 操作成功。
Error executing action "Open Web Url". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用打开网页网址操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

暂停提醒服务等级协议

使用暂停提醒 SLA 操作可暂停提醒的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

暂停提醒服务等级协议操作需要以下参数：

参数 说明
Message

可选。

暂停提醒服务等级协议的原因。

操作输出

暂停提醒服务等级协议操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停提醒服务等级协议操作可以返回以下输出消息：

输出消息 消息说明

The alert SLA was paused.

 操作成功。
Error executing action "Pause Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用暂停提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

暂停支持请求 SLA

使用暂停支持请求 SLA 操作可暂停支持请求的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

暂停支持请求 SLA 操作需要以下参数：

参数 说明
Message

可选。

暂停支持请求 SLA 的原因。

操作输出

暂停支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停支持请求 SLA 操作可以返回以下输出消息：

输出消息 消息说明

The Case SLA was paused successfully.

 操作成功。
Error executing action "Pause Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用暂停支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

允许的提醒时间

使用 Permitted Alert Time 操作检查提醒的开始时间是否符合用户定义的时间条件。

此操作不适用于 Google SecOps 实体。

操作输入

允许的提醒时间操作需要以下参数：

参数 说明
Timestamp Type

可选。

用于比较的时间戳类型。

可能的值如下：

  • Alert Start Time
  • Alert Creation Time
  • Case Creation Time

默认值为 Alert Start Time。
Permitted Start Time

必填。

允许接收提醒的时段的开始时间，例如 0:00:00。
Permitted End Time

必填。

提醒允许时段的结束时间，例如 0:00:00。
Monday

可选。

如果选中，则表示相应操作会在允许提醒的天数中包含星期一。

默认情况下未启用。
Tuesday

可选。

如果选中，则表示提醒的允许天数包括周二。

默认处于启用状态。
Wednesday

可选。

如果选中，则表示相应操作会在提醒的允许天数中包含星期三。

默认处于启用状态。
Thursday

可选。

如果选中，则表示相应操作允许在周四发送提醒。

默认情况下未启用。
Friday

可选。

如果选中，则表示相应操作允许在星期五发送提醒。

默认情况下未启用。
Saturday

可选。

如果选中，则操作会在允许提醒的天数中包含星期六。

默认情况下未启用。
Sunday

可选。

如果选中，则表示相应操作的提醒允许天数包括周日。

默认情况下未启用。
Input Timezone

可选。

此操作支持标准时区（例如 UTC）以及 IANA 时区（例如 America/New_York）。

如果您提供 IANA 时区，该操作会自动调整夏令时。

操作输出

允许的提醒时间操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

允许的提醒时间操作可以返回以下输出消息：

输出消息 消息说明

Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS

 操作成功。
Error executing action "Permitted Alert Time". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Permitted Alert Time 操作时脚本结果输出的值：

脚本结果名称 值
Permitted true 或 false

Ping

使用 Ping 操作测试与 Siemplify 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作可以返回以下输出消息：

输出消息 消息说明

Email address is syntactically correct.

 操作成功。
Error executing action "Ping". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

引发突发事件

使用提出突发事件操作将真实的正例标记为 Critical 并提出支持请求。

此操作不适用于 Google SecOps 实体。

操作输入

提交突发事件操作需要以下参数：

参数 说明
Soc Role

可选。

要将支持请求分配给的 Google SecOps SOC 角色。

操作输出

提出突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

引发突发事件操作可以返回以下输出消息：

输出消息 消息说明

The case raised to CASE_STAGE status.

 操作成功。
Error executing action "Raise Incident". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用提出突发事件操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

移除代码

使用移除标记操作从支持请求中移除标记。

此操作不适用于 Google SecOps 实体。

操作输入

移除标记操作需要以下参数：

参数 说明
Tag

必填。

要从支持请求中移除的标记的逗号分隔列表。

操作输出

移除标记操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

移除标记操作可以返回以下输出消息：

输出消息 消息说明
Successfully removed the following tags from case CASE_ID:TAGS 操作成功。

It is not possible to remove the tag.

Error executing action "Remove Tag". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用移除标记操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

从自定义列表中移除

使用从自定义列表中移除操作可从自定义列表类别中移除与提醒相关联的实体。

此操作会在所有 Google SecOps 实体上运行。

操作输入

从自定义列表中移除操作需要以下参数：

参数 说明
Category

必填。

要从中移除实体标识符的自定义列表类别的名称。

操作输出

从自定义列表中移除操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

从自定义列表中移除操作可以返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_ID were removed from custom list category: CATEGORY

The given category does not exist.

 操作成功。
Error executing action "Remove From Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用从自定义列表中移除操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

恢复提醒服务等级协议

使用恢复提醒服务等级协议操作可取消暂停并重新启动提醒的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

恢复提醒服务等级协议操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复提醒服务等级协议操作可以返回以下输出消息：

输出消息 消息说明

The alert SLA was resumed.

 操作成功。
Error executing action "Resume Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Resume Alert SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

恢复支持请求 SLA

使用恢复支持请求 SLA 操作可取消暂停并重新启动支持请求的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

恢复支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复支持请求 SLA 操作可以返回以下输出消息：

输出消息 消息说明

The Case SLA was resumed successfully.

 操作成功。
Error executing action "Resume Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Resume Case SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置提醒服务等级协议

使用设置提醒 SLA 操作可为提醒设置 SLA 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

设置提醒 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

SLA 被视为违规之前的总时长。

SLA 总期限不得超过 30 天。

默认值为 5。
SLA Time Unit

必填。

SLA 期限的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。
SLA Time To Critical Period

必填。

SLA 进入关键状态之前的时长。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 时段的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。

操作输出

设置提醒 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置提醒 SLA 操作可以返回以下输出消息：

输出消息 消息说明

Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置支持请求 SLA

使用设置支持请求 SLA 操作为支持请求设置 SLA。

此操作具有最高优先级，会替换为特定支持请求定义的现有 SLA。

此操作不适用于 Google SecOps 实体。

操作输入

设置支持请求 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

SLA 被视为违规之前的总时长。

SLA 总期限不得超过 30 天。

默认值为 5。
SLA Time Unit

必填。

SLA 期限的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。
SLA Time To Critical Period

可选。

SLA 进入关键状态之前的时长。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 时段的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。

操作输出

设置支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索 ASM 问题 操作可以返回以下输出消息：

输出消息 消息说明

Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置自定义字段

使用设置自定义字段操作可为自定义字段设置值。

此操作不适用于 Google SecOps 实体。

操作输入

设置自定义字段操作需要以下参数：

参数 说明
Scope

必填。

要为自定义字段设置的范围。

可能的值如下：

  • Case
  • Alert

默认值为 Case。
Custom Fields Data

必填。

自定义字段的更新值。

您可以在一次操作运行中更新多个自定义字段。

默认值为：

    {
      "Custom Field Name 1":"Custom Field Value 1",
      "Custom Field Name 2":"Custom Field Value 2"
    }
Append Values

可选。

如果选择此项，相应操作会将 Custom Fields Data 中的输入附加到自定义字段的现有值。

如果未选择，则该操作会使用 Custom Fields Data 参数中的输入覆盖现有值。

默认情况下未启用。

操作输出

设置自定义字段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用设置自定义字段操作时收到的 JSON 结果输出：

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}
输出消息

设置自定义字段操作可以返回以下输出消息：

输出消息 消息说明
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES 操作成功。
Error executing action "Set Custom Fields". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置风险得分

使用设置风险得分操作更新支持请求的风险得分。

此操作不适用于 Google SecOps 实体。

操作输入

设置风险得分操作需要以下参数：

参数 说明
Risk Score

必填。

要为支持请求设置的风险得分。

操作输出

设置风险得分操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置风险得分操作可以返回以下输出消息：

输出消息 消息说明
Successfully set Risk Score for case CASE_ID 操作成功。
Error executing action "Set Risk Score". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置风险得分操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置范围上下文值

使用 Set Scope Context Value 操作可为存储在 Google SecOps 数据库中的键设置值。

此操作不适用于 Google SecOps 实体。

操作输入

设置范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索数据的上下文范围。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

默认值为 Not specified。
Key Name

必填。

要从中检索相应值的键名称。
Key Value

必填。

要存储在指定键下的值。

操作输出

设置范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置范围上下文值操作可以返回以下输出消息：

输出消息 消息说明
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE. 操作成功。
Error executing action "Set Scope Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Set Scope Context Value 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更新支持请求说明

使用更新支持请求说明操作更新支持请求说明。

此操作不适用于 Google SecOps 实体。

操作输入

更新支持请求说明操作需要以下参数：

参数 说明
Description

必填。

要为支持请求设置的说明。

操作输出

更新支持请求说明操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

更新支持请求说明操作可以返回以下输出消息：

输出消息 消息说明
Successfully updated the case description. 操作成功。
Error executing action "Update Case Description". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更新支持请求说明操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

等待自定义字段

使用等待自定义字段操作等待自定义字段值，然后继续执行剧本。

此操作不适用于 Google SecOps 实体。

操作输入

等待自定义字段操作需要以下参数：

参数 说明
Scope

必填。

要为自定义字段设置的范围。

可能的值如下：

  • Case
  • Alert

默认值为 Case。
Custom Fields Data

必填。

必须满足的自定义字段条件才能恢复剧本。 自定义字段名称及其所需的值需要配置为 JSON 对象。

如果您为多个字段设置了条件，则操作会等待所有字段都满足各自的条件。

  • 如需在自定义字段具有任何值时恢复，请配置一个空字符串： 
    {"Custom Field Name": ""}
  • 如需在自定义字段等于特定值（例如 VALUE_1）时恢复，请指定该值： 
    {"Custom Field Name": "VALUE_1"}

默认值显示了预期的 JSON 格式：

{
  "Custom Field Name 1": "Custom Field Value 1",
  "Custom Field Name 2": "Custom Field Value 2"
}

操作输出

等待自定义字段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用等待自定义字段操作时收到的 JSON 结果输出：

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}
输出消息

等待自定义字段操作可以返回以下输出消息：

输出消息 消息说明

Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES

Waiting for SCOPE custom fields updates...

 操作成功。
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用等待自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

作业

如需详细了解作业，请参阅 配置新作业和 高级调度。

Siemplify - 操作监控器

使用 Siemplify - Actions Monitor 作业可接收有关过去 3 小时内至少失败了 3 次的操作的通知。

作业参数

Siemplify - Actions Monitor 作业需要以下参数：

参数 说明
Run Interval In Seconds

可选。

作业的运行间隔（以秒为单位）。

此参数用于确定集成检查失败的 playbook 操作的频率。

默认值为 900。
Is Enabled

可选。

如果选中，作业处于有效状态，并将按计划运行。如果未选择，则作业处于停用状态，不会执行。

默认处于启用状态。

Siemplify - Cases Collector DB

使用 Siemplify - Cases Collector DB 作业从指定发布者处检索和处理安全事件。

作业参数

Siemplify - Cases Collector DB 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集支持请求和日志的发布商的 ID。
Verify SSL

可选。

如果选择此项，作业会验证发布者的 SSL 证书是否有效。

默认情况下未启用。

Siemplify - 日志收集器

使用 Siemplify - Logs Collector 作业从指定发布者处检索和处理日志。

作业输入

Siemplify - Logs Collector 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集日志的发布商的 ID。
Verify SSL

可选。

如果选择此项，作业会验证发布者的 SSL 证书是否有效。

默认情况下未启用。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。