將 Siemplify 與 Google SecOps 整合

本文說明如何將 Siemplify 與 Google Security Operations (Google SecOps) 整合。

用途

Siemplify 整合功能可解決下列用途：

  • 網路釣魚調查：使用 Google SecOps 功能自動分析網路釣魚電子郵件、擷取入侵指標 (IOC)，並透過威脅情報擴充這些指標。

  • 惡意軟體控管：使用 Google SecOps 功能，在偵測到惡意軟體時，自動隔離受感染的端點、啟動掃描，以及隔離惡意檔案。

  • 安全漏洞管理：使用 Google SecOps 功能，自動執行安全漏洞掃描、依風險高低排定安全漏洞優先順序，以及自動建立修復單。

  • 威脅搜索：使用 Google SecOps 功能，自動在各種安全工具和資料集中執行威脅搜索查詢。

  • 安全性警示分類：使用 Google SecOps 功能自動擴充安全性警示的背景資訊、將警示與其他事件建立關聯，並根據嚴重程度設定優先順序。

  • 事件應變：運用 Google SecOps 功能，協調整個事件應變程序，從初步偵測到防堵和清除，無一不包。

  • 法規遵循報表：使用 Google SecOps 功能自動收集及分析安全資料，以製作法規遵循報表。

事前準備

這項整合功能提供原生平台功能，不需要外部第三方 API 金鑰或憑證進行驗證。開始之前，請確認已從 Google SecOps 執行個體的內容中心安裝整合項目。

整合參數

Siemplify 整合功能需要下列參數：

參數 說明
Monitors Mail Recipients

必填。

以半形逗號分隔的電子郵件地址清單，用於在整合的電子郵件相關工作流程中進行驗證。

這份清單用於定義處理作業的收件者。

預設值為 example@mail.com,example1@mail.com。
Elastic Server Address

必填。

用於連線至 Siemplify 資料庫的 Elastic 伺服器位址。

這通常是執行 Elastic 執行個體的主機地址。

預設值為 localhost。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您就可以在教戰手冊中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 從工作台回覆待處理動作」和「執行手動動作」。

新增實體洞察

使用「Add Entity Insight」動作，在 Siemplify 中將洞察資訊新增至 Google SecOps 實體。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

「Add Entity Insight」動作需要下列參數：

參數 說明
Message

必填。

要新增至實體的訊息。

這項參數支援 HTML 元素，例如：

  • 標題 (<h1></h1>, <h2></h2>)
  • 段落 (<p></p>)
  • 文字格式 (<b></b>、<i></i>、<br>)
  • 連結 (<a href="example.com"></a>)。

動作輸出內容

「新增實體洞察」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Add Entity Insight 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Added insight with message MESSAGE to ENTITY_ID.

 動作成功。
Error executing action "Add Entity Insight". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Add Entity Insight」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

新增一般洞察

使用「新增一般洞察」動作，將一般洞察新增至案件。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add General Insight」動作需要下列參數：

參數 說明
Title

必填。

洞察資料的標題。
Message

必填。

要新增至實體的訊息。

這項參數支援 HTML 元素，例如：

  • 標題 (<h1></h1>, <h2></h2>)
  • 段落 (<p></p>)
  • 文字格式 (<b></b>、<i></i>、<br>)
  • 連結 (<a href="example.com"></a>)。
Triggered By

選填。

自由填寫的文字欄位，可提供洞察資料的理由，說明為何要將洞察資料新增至案件。

動作輸出內容

「新增一般洞察」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Add General Insight 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Added insight with message MESSAGE.

 動作成功。
Error executing action "Add General Insight". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「新增一般洞察」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

為類似案件新增標記

使用「Add Tags To Similar Cases」(為類似案件新增標記) 動作，為類似案件新增標記。

為找出類似案件，這項動作會使用 siemplify.get_similar_cases() 函式，根據一組條件和參數擷取案件 ID 清單。

邏輯 AND 運算子會套用至 Rule Generator、Port、Category Outcome 和 Entity Identifier 參數，篩選出符合所有指定條件的案件。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Tags To Similar Cases」(將標籤新增至類似案件) 動作需要下列參數：

參數 說明
Rule Generator

選填。

選取這個選項後，系統會使用規則產生器搜尋類似案件。

(預設為啟用)。
Port

選填。

如果選取這個選項，動作會使用通訊埠編號搜尋類似案例。

(預設為啟用)。
Category Outcome

選填。

如果選取此選項，系統會使用類別結果搜尋類似案件。

(預設為啟用)。
Entity Identifier

選填。

如果選取此選項，系統會使用實體 ID 搜尋類似案件。

(預設為啟用)。
Days Back

必填。

要搜尋類似案件的目前日期前天數。
Tags

必填。

以半形逗號分隔的標記清單，用於套用至找到的類似案件。

動作輸出內容

「Add Tags To Similar Cases」(將標記新增至類似案件) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Tags To Similar Cases」(為類似案件新增標籤) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS

 動作成功。
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add Tags To Similar Cases」(將標記新增至類似案件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
SimilarCasesIds 類似案件 ID 的清單。

新增至自訂清單

使用「新增至自訂清單」動作，將實體 ID 新增至分類的自訂清單，並在其他動作中執行未來的比較。

這項操作會對所有 Google SecOps 實體執行。

動作輸入內容

「Add to Custom List」動作需要下列參數：

參數 說明
Category

必填。

要新增實體 ID 的自訂名單類別名稱。

動作輸出內容

「新增至自訂名單」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add to Custom List」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.

 動作成功。
Error executing action "Add to Custom List". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add to Custom List」(新增至自訂名單) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

指派案件

使用「Assign Case」動作，將案件指派給特定使用者或使用者群組。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「指派案件」動作需要下列參數：

參數 說明
Assigned User

選填。

要將案件指派給的使用者或使用者群組 (接受 User 物件)。

如果同時提供 Assigned User 和 Assignee，動作會使用 Assigned User。
Assignee

選填。

要將案件指派給的使用者或使用者群組 (接受字串值)。

如果同時提供 Assigned User 和 Assignee，動作會使用 Assigned User。
Case ID

選填。

以半形逗號分隔的案件 ID 清單，用於指定要更新的案件。

如未提供值，動作會更新執行動作的案件。

動作輸出內容

「指派案件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add to Custom List」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully updated case CASE_ID.

 動作成功。
Error executing action "Assign Case". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Assign Case」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

將應對手冊附加至警告

使用「將應對手冊附加至警報」動作，將特定應對手冊附加至警報。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Attach Playbook to Alert」(將應對手冊附加至快訊) 動作需要下列參數：

參數 說明
Playbook Name

必填。

要附加至目前警告的應對手冊名稱。必須啟用劇本，動作才會成功。
Allow Duplicates

選填。

如果選取，應對手冊可以多次附加至警告。

(預設為啟用)。

動作輸出內容

「將應對手冊附加至快訊」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「搜尋圖表」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.

 動作成功。
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「將應對手冊附加至快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

將應對手冊附加至案件

使用「Attach Playbook to Case」(將應對手冊附加至案件) 動作，將應對手冊附加至 Google SecOps 中的案件。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Attach Playbook to Case」動作需要下列參數：

參數 說明
Playbook Name

必填。

要附加至案件的應對手冊名稱。

動作輸出內容

「Attach Playbook to Case」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「將應對手冊附加至案件」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully attached the PLAYBOOK_NAME playbook to the case. 動作成功。
The PLAYBOOK_NAME playbook was already attached to the case.

操作失敗。

平台中沒有指定的劇本。
Error executing action "Attach Playbook to Case". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或權限。
指令碼結果

下表列出使用「Attach Playbook to Case」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

案件留言

使用「Case Comment」(案件註解) 動作，在目前警示所屬的案件中新增註解。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「案件留言」動作需要下列參數：

參數 說明
Comment

必填。

要新增至案件的註解。

動作輸出內容

「案件留言」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Vote To Entity」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Comment added to case: CASE_COMMENT.

 動作成功。
Error executing action "Case Comment". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「案件留言」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
SuccessStatus true或false

案件標記

使用「案件標記」動作，將標記新增至目前警報所屬的案件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「案件標記」動作需要下列參數：

參數 說明
Tag

必填。

要新增至案件的標記。

如果提供 Delimiter，系統會根據分隔符號分割輸入內容，並在案件中新增多個標記。
Delimiter

選填。

用於分割 Tag 值的定界符。

如未提供值，則不會套用分隔符號。

動作輸出內容

「Case Tag」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「案件標記」動作時收到的 JSON 結果輸出內容：

{
   "added_tags": ["123", "321"]
}
輸出訊息

Case Tag 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added tags to the case CASE_ID.

 動作成功。
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「案件標記」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

變更警告優先順序

使用「變更警告優先順序」動作，更新案件中警告的優先順序。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「變更警告優先順序」動作需要下列參數：

參數 說明
Alert Priority

必填。

快訊的新優先順序。

如果快訊優先順序更新為高於目前的案件優先順序，案件優先順序會自動更新為新的較高優先順序。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

動作輸出內容

「變更警告優先順序」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Vote To Entity」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

The alert priority was set to NEW_PRIORITY_LEVEL.

 動作成功。
Error executing action "Change Alert Priority". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Change Alert Priority」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

變更案件階段

使用「變更案件階段」動作變更案件階段。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「變更案件階段」動作需要下列參數：

參數 說明
Stage

必填。

要將案件移至的階段。

可能的值如下：

  • Triage
  • Assessment
  • Investigation
  • Incident
  • Improvement
  • Research

動作輸出內容

「變更案件階段」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Vote To Entity」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Case stage was successfully changed to NEW_CASE_STAGE.

 動作成功。
Error executing action "Change Case Stage". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Change Case Stage」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

變更優先順序

使用「變更優先順序」動作變更案件優先順序。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Change Priority」動作需要下列參數：

參數 說明
Priority

必填。

要為案件設定的優先順序。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

動作輸出內容

「變更優先順序」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「變更優先順序」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The case priority was set to NEW_CASE_PRIORITY

 動作成功。
Error executing action "Change Priority". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Change Priority」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

關閉快訊

使用「關閉快訊」動作關閉快訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Close Alert」動作需要下列參數：

參數 說明
Reason

必填。

警報關閉的主要分類。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

導致快訊的技術問題詳細說明。
Comment

必填。

附註、調查摘要，或關閉快訊的其他背景資訊。
Assign to User

選填。

快訊關閉後，要指派給哪位使用者。
Tags

選填。

以半形逗號分隔的代碼清單，用於分類、篩選及日後搜尋快訊。
Custom Fields

選填。

JSON 物件，內含要在警報關閉時更新的自訂欄位。
Append Custom Field Values

選填。

如果選取這個選項，動作會將提供的 JSON 值附加至現有的自訂欄位。

如未選取，這項動作會以 JSON 物件中提供的值覆寫現有值。

預設為停用。

動作輸出內容

「Close Alert」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Vote To Entity」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON

 動作成功。
Error executing action "Close Alert". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「關閉快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
StatusResult true或false

關閉案件

使用「Close Case」動作關閉案件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Close Case」動作需要下列參數：

參數 說明
Reason

必填。

警報關閉的主要分類。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

詳細說明導致快訊的技術問題。
Comment

必填。

附註、調查摘要，或關閉快訊的其他背景資訊。
Custom Fields

選填。

內含自訂欄位的 JSON 物件，可在案件結案時更新。
Append Custom Field Values

選填。

如果選取這個選項，動作會將提供的 JSON 值附加至現有的自訂欄位。

如未選取，這項動作會以 JSON 物件中提供的值覆寫現有值。

預設為停用。

動作輸出內容

「關閉案件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Vote To Entity」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

The case was closed. Root Cause: ROOT_CAUSE Comment: REASON

 動作成功。
Error executing action "Close Case". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「結案」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
StatusResult true或false

建立實體

使用「建立實體」動作建立新實體，並新增至快訊。

這項操作會對所有 Google SecOps 實體執行。

動作輸入內容

「Create Entity」(建立實體) 動作需要下列參數：

參數 說明
Entities Identifies

必填。

要在案件中建立的實體 ID 清單 (以半形逗號分隔)，例如 VALUE1, VALUE2, VALUE3。
Delimiter

選填。

用於將 Entities Identifies 的輸入內容分割成多個 ID 的分隔符號。

如未提供任何值，動作會將輸入內容視為單一實體 ID。

預設值為 ,。
Entity Type

必填。

要建立的實體類型，例如 HOST NAME、USER NAME 或 IP Set。
Is Internal

選填。

如果選取這個動作，系統會將實體標示為內部網路的一部分。

預設為停用。
Is Suspicious

選填。

如果選取這個動作，系統會將實體標示為可疑。

這項功能預設為停用。

動作輸出內容

「建立實體」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「建立實體」動作時收到的 JSON 結果輸出內容：

[
    {
        "additional_properties": {
            "OriginalIdentifier": "ACCOUNT_ID"
        },
        "alert_identifier": "ACCESS DISABLED ACCOUNTS",
        "case_identifier": 7113,
        "creation_time": 0,
        "entity_type": "USERUNIQNAME",
        "identifier": "ACCOUNT_ID",
        "is_artifact": false,
        "is_enriched": false,
        "is_internal": false,
        "is_pivot": false,
        "is_suspicious": false,
        "is_vulnerable": false,
        "modification_time": 0
    }
]
輸出訊息

「建立實體」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

ENTITY_IDS created successfully.

 動作成功。
Error executing action "Create Entity". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「建立實體」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
StatusResult true或false

建立 Gemini 案件摘要

使用「建立 Gemini 案件摘要」動作，建立新的 Gemini 案件摘要並新增至快訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Create Gemini Case Summary」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Gemini Case Summary」動作時，收到的 JSON 結果輸出內容：

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}
輸出訊息

建立 Gemini 案件摘要動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Case summary generation completed.

 動作成功。
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「建立 Gemini 案件摘要」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

建立或更新實體屬性

使用「建立或更新實體屬性」動作，建立或變更實體範圍內實體的屬性。

這項動作會在所有 Google SecOps 實體上執行。

動作輸入內容

「Create Or Update Entity Properties」(建立或更新實體屬性) 動作需要下列參數：

參數 說明
Entity Field

必填。

要建立或更新的實體欄位。
Field Value

必填。

指定實體欄位的值。

動作輸出內容

「建立或更新實體屬性」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Create Or Update Entity Properties」(建立或更新實體屬性) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.

 動作成功。
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「建立或更新實體屬性」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

匯出案件

使用「匯出案件」動作建立封存檔，內含案件資訊和附件。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「匯出案件」動作需要下列參數：

參數 說明
Export Method

選填。

動作封存檔的目的地和擷取方法。

如果選取 Case Wall，系統會建立封存檔並放在案件牆上。

可能的值如下：

  • Case Wall
  • File System

預設值為 Case Wall。
Fields To Export

選填。

以半形逗號分隔的案件欄位清單，可納入匯出內容，例如 alertCards、tags 或 stageSlaExpirationUnixTimeInMs。

如果未提供任何值，動作會匯出案件，並附上所有可用的中繼資料。
Include Attachments

選填。

選取後，封存的動作會包含附件。

(預設為啟用)。
Attachment Names

選填。

以半形逗號分隔的清單，列出要納入封存檔的附件。

如未提供值，動作會匯出所有附件，且您必須啟用 Include Attachments。

動作輸出內容

「匯出案件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「匯出案件」動作時收到的 JSON 結果輸出內容：

{
   "file_path": "/tmp/case_1_Default_Environment_1919191919.zip",
   "export_type": "case_wall/file_system"
}
輸出訊息

「匯出案件」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully exported case CASE_ID.

 動作成功。
Error executing action "Export Case". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「匯出案件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

接收案件警告

使用「Get Case Alerts」(取得案件快訊) 動作，擷取與指定案件相關的快訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Case Alerts」動作需要下列參數：

參數 說明
Case ID

必填。

以半形逗號分隔的案件 ID 清單，動作會擷取這些案件的相關聯警告。
Alert ID

選填。

以半形逗號分隔的快訊 ID 清單，用於限制傳回的快訊。

只有在 Case ID 含有值時，系統才會使用這項參數。
Fields To Return

選填。

列出要在 JSON 結果中傳回的欄位，並以半形逗號分隔。

如要擷取巢狀值，請使用 Nested Keys Delimiter 鏈結巢狀鍵和清單索引。舉例來說，如果分隔符號為「.」： key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1

如未提供值，系統會傳回所有欄位。
Nested Keys Delimiter

選填。

定義要傳回的欄位時，用於分隔巢狀鍵和清單索引的字元。

這個參數不得為半形逗號 (,)。

取得案件詳細資料

使用「取得案件詳細資料」動作，取得案件的所有資料 (包括留言、實體資訊、洞察、執行的應對手冊、快訊資訊和事件)。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Case Details」動作需要下列參數：

參數 說明
Case Id

選填。

要擷取詳細資料的案件 ID。

如未提供值，動作會使用目前的字母大小寫。
Fields to Return

選填。

以半形逗號分隔的欄位清單，用於傳回資料。

如未提供，則會傳回所有欄位。

您可以使用 Nested Keys Delimiter 參數分隔鍵和清單索引，擷取特定巢狀值。
Nested Keys Delimiter

選填。

要求特定欄位時，用於分隔巢狀鍵的字元。這項功能可讓您從巢狀物件擷取值。

分隔符號不得為半形逗號(,)。

動作輸出內容

「Get Case Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Case Details」動作時，收到的 JSON 結果輸出內容：

{
    "id": 1001,
    "creationTimeUnixTimeInMs": 1749547533606,
    "modificationTimeUnixTimeInMs": 1750073142090,
    "name": "Security-Incident-Phishing-01",
    "isImportant": false,
    "isIncident": false,
    "startTimeUnixTimeInMs": 1749547529741,
    "endTimeUnixTimeInMs": 1749547529741,
    "assignedUser": "@Tier1_Analyst",
    "description": "Potential phishing email detected with suspicious attachment.",
    "isTestCase": false,
    "incidentId": null,
    "lastModifyingUserId": "secops_admin",
    "createTime": 1749547533606,
    "updateTime": 1750073142090,
    "alertCount": 1,
    "type": "External",
    "overflowCase": false,
    "status": "Opened",
    "score": 21,
    "involvedSuspiciousEntity": false,
    "workflowStatus": "Completed",
    "source": "Security_Server",
    "products": [],
    "tasks": [],
    "displayName": "Phishing email detector",
    "stage": "Triage",
    "priority": "PriorityLow",
    "important": false,
    "assignee": "@Tier1_Analyst",
    "incident": false,
    "environment": "Production Environment",
    "relatedAlerts": [],
    "tags": [
        "Phishing"
    ],
    "alertCards": [
        {
            "id": 1024,
            "creationTimeUnixTimeInMs": 1749547533634,
            "modificationTimeUnixTimeInMs": 1750073142082,
            "identifier": "alert-phish-778899",
            "status": 0,
            "name": "SUSPICIOUS PHISHING EMAIL",
            "priority": 40,
            "workflowsStatus": 2,
            "slaExpirationUnixTime": 1749547833634,
            "slaCriticalExpirationUnixTime": 1749547773634,
            "startTime": 1749547529741,
            "endTime": 1749547529741,
            "alertGroupIdentifier": "group-id-554433",
            "eventsCount": 1,
            "title": "SUSPICIOUS PHISHING EMAIL",
            "ruleGenerator": "Phishing email detector",
            "deviceProduct": "Phishing email detector",
            "deviceVendor": "Corporate Email Gateway",
            "playbookAttached": "Phishing Response Playbook",
            "playbookRunCount": 1,
            "isManualAlert": false,
            "sla": {
                "slaExpirationTime": 1749547833634,
                "criticalExpirationTime": 1749547773634,
                "expirationStatus": 0,
                "remainingTimeSinceLastPause": null
            },
            "fieldsGroups": [],
            "sourceUrl": null,
            "sourceRuleUrl": null,
            "siemAlertId": null,
            "relatedCases": [],
            "lastSourceUpdateUnixTimeInMs": null,
            "nestingDepth": 0,
            "eventCount": 1,
            "caseId": 1001,
            "createTime": 1750684686624,
            "updateTime": 1750684686949,
            "product": "Microsoft:AccessDisabledAccounts",
            "displayName": "ACCESS DISABLED ACCOUNTS",
            "vendor": "Microsoft",
            "environment": "Production Environment",
            "ticketId": "c4db60fa-b510-414a-a462-c3f215809f96",
            "sourceSystemName": "Cloud App Security",
            "manual": false,
            "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1750684684139\",\"Alert_Id\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"TicketId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"DisplayId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"StartTime\":\"1750684684139\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"d85ca9a7-58a7-4329-b615-ebe3dcfc6fd1\",\"EstimatedStartTime\":\"1750684684139\"}",
            "securityEventCards": [
                {
                    "fields": [
                        {
                            "order": 0,
                            "groupName": "Highlighted Fields",
                            "isIntegration": false,
                            "isHighlight": true,
                            "items": [
                                {
                                    "originalName": "DestinationHostName",
                                    "name": "Destination Host Name",
                                    "value": "WORKSTATION-01.LOCAL"
                                }
                            ]
                        }
                    ],
                    "identifier": "d7ab8656-c862-498c-a266-69718e46b1b7",
                    "caseId": 1001,
                    "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                    "name": "Virus found",
                    "product": "symantec:endpoint:protection",
                    "port": null,
                    "sourceSystemName": "ArcSight ESM",
                    "outcome": null,
                    "time": 1766566370354,
                    "type": "Virus found",
                    "artifactEntities": []
                }
            ],
            "involvedRelations": [],
            "sourceIdentifier": "GCP_Ingestion",
            "playbookStatus": 0
        }
    ],
    "isOverflowCase": false,
    "isManualCase": false,
    "slaExpirationUnixTime": 1749547833634,
    "slaCriticalExpirationUnixTime": 1749547773634,
    "stageSlaExpirationUnixTimeInMs": null,
    "stageSlaCriticalExpirationUnixTimeInMs": null,
    "canOpenIncident": false,
    "sla": {
        "slaExpirationTime": 1749547833634,
        "criticalExpirationTime": 1749547773634,
        "expirationStatus": 0,
        "remainingTimeSinceLastPause": null
    },
    "stageSla": {
        "slaExpirationTime": null,
        "criticalExpirationTime": null,
        "expirationStatus": 2,
        "remainingTimeSinceLastPause": null
    },
    "relatedAlertTicketId": null,
    "relatedAlertCards": [],
    "activities": [
        {
            "id": "Activity-Insight-16",
            "creatorUserId": "security_bot",
            "activityId": 16,
            "activityType": "CaseInsight",
            "caseId": 1001,
            "createTime": 1750068343993,
            "updateTime": 1750068343993,
            "alertIdentifier": "alert-phish-778899",
            "activityDataJson": {
                "TriggeredBy": "SecurityAutomator",
                "EntityIdentifier": "URGENT: ACTION REQUIRED ON SALARY",
                "EntityData": {
                    "CaseId": 1001,
                    "AlertIdentifier": "alert-phish-778899",
                    "AlertStatus": 0,
                    "Identifier": "URGENT: ACTION REQUIRED ON SALARY",
                    "EntityType": "EMAILSUBJECT",
                    "IsInternal": true,
                    "IsSuspicious": false,
                    "IsArtifact": true,
                    "IsPivot": false,
                    "Environment": "Production Environment",
                    "FieldsGroups": [
                        {
                            "Order": 0,
                            "GroupName": "Default",
                            "IsIntegration": false,
                            "IsHighlight": false,
                            "Items": [
                                {
                                    "OriginalName": "Network_Priority",
                                    "Name": "Network Priority",
                                    "Value": "0"
                                }
                            ]
                        }
                    ],
                    "HighlightedFieldsGroups": [],
                    "IsManuallyCreated": false,
                    "SourceUrl": null
                },
                "Title": "Phishing Subject Insight",
                "Content": "Detected unusual keywords in subject line.",
                "Severity": 0,
                "InsightType": 1,
                "AdditionalDataType": null,
                "AdditionalData": null,
                "AdditionalDataTitle": null,
                "AlertIdentifiers": [
                    "ALERT_PHISH_INSTANCE_ID_001"
                ],
                "EntityType": "EMAILSUBJECT",
                "CreatorUserId": "system",
                "CreatorFullName": "System Administrator",
                "Id": 16,
                "Type": 6,
                "CaseId": 1001,
                "IsFavorite": false,
                "ModificationTimeUnixTimeInMs": 1750068343993,
                "CreationTimeUnixTimeInMs": 1750068343993,
                "AlertIdentifier": "ALERT_PHISH_INSTANCE_ID_001"
            },
            "favorite": false
        }
    ],
    "entityCards": [
        {
            "identifier": "WORKSTATION-01.LOCAL",
            "type": "HOSTNAME",
            "suspicious": false,
            "linkedEntities": [
                {
                    "identifier": "192.168.1.50",
                    "type": "ADDRESS",
                    "suspicious": false,
                    "linkedEntities": [],
                    "direction": 0
                }
            ]
        }
    ],
    "entities": [
        {
            "caseId": 1001,
            "type": "FILEHASH",
            "enriched": false,
            "artifact": true,
            "vulnerable": false,
            "suspicious": false,
            "attacker": false,
            "pivot": false,
            "internal": true,
            "manuallyCreated": false,
            "fields": [
                {
                    "highlighted": false,
                    "displayName": "Default",
                    "hidden": false,
                    "items": [
                        {
                            "name": "Network Priority",
                            "originalName": "Network_Priority",
                            "value": "0"
                        }
                    ]
                }
            ],
            "identifier": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
            "id": 505,
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "environment": "Production Environment",
            "additionalProperties": "{\"Type\":\"FILEHASH\",\"IsArtifact\":\"True\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"IsVulnerable\":\"False\",\"IsInternalAsset\":\"False\",\"OriginalIdentifier\":\"e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855\"}",
            "alertGroupIdentifier": "group-id-virus-scan-results",
            "networkPriority": 0
        }
    ],
    "totalSize": 1,
    "moveEnvironment": {},
    "insights": [
        {
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "caseId": 1001,
            "triggeredBy": "Analyst_John",
            "title": "Endpoint Discovery",
            "content": "Host workstation matched known internal asset list.",
            "entity": {
                "caseId": 1001,
                "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                "alertStatus": 0,
                "identifier": "WORKSTATION-01.LOCAL",
                "entityType": "HOSTNAME",
                "isInternal": true,
                "isSuspicious": false,
                "isArtifact": false,
                "isPivot": false,
                "environment": "Production Environment",
                "highlightedFieldsGroups": [],
                "isManuallyCreated": false,
                "sourceUrl": null,
                "fields": [
                    {
                        "order": 0,
                        "groupName": "Entity",
                        "isIntegration": false,
                        "isHighlight": false,
                        "items": [
                            {
                                "originalName": "IsPivot",
                                "name": "Is Pivot",
                                "value": "False"
                            }
                        ]
                    }
                ]
            },
            "severity": 0,
            "type": 6,
            "additionalDataType": null,
            "additionalData": null,
            "additionalDataTitle": null,
            "creatorUserName": "analyst_admin",
            "entityIdentifier": "WORKSTATION-01.LOCAL",
            "insightType": 1,
            "alertIdentifiers": [
                "SECURITY_RISK_FOUND_ID_998877"
            ],
            "entityType": "HOSTNAME",
            "creatorUserId": "user_id_101",
            "id": 444,
            "isFavorite": false,
            "modificationTimeUnixTimeInMs": 1766569221777,
            "creationTimeUnixTimeInMs": 1766569221777
        }
    ]
}
輸出訊息

「Get Case Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Finished executing "Get Case Details" successfully

 動作成功。
Error executing action "Get Case Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Get Case Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得連接器脈絡資料值

使用「Get Connector Context Value」動作，從連接器內容的 Google SecOps 資料庫中，擷取指定鍵的值。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得連接器內容值」動作需要下列參數：

參數 說明
Connector Identifier

必填。

要擷取情境值的連接器專屬 ID。
Key Name

必填。

儲存情境值的鍵。
Create Case Wall Table

選填。

如果選取，這項動作會建立案件總覽表格，並填入擷取的內容值。

如果擷取的值超過字元限制，系統就不會建立表格。

(預設為啟用)。

動作輸出內容

「取得連接器內容值」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「取得連接器內容值」動作可產生下表：

資料表名稱：Connector

表格欄：

  • 連接器 ID
  • 金鑰
  • 值
輸出訊息

「取得連接器內容值」動作可以傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 動作成功。
Error executing action "Get Connector Context Value". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Get Connector Context Value」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得自訂欄位值

使用「取得自訂欄位值」動作，根據指定範圍擷取自訂欄位的目前值。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得自訂欄位值」動作需要下列參數：

參數 說明
Scope

必填。

要從中擷取自訂欄位的範圍。

可能的值如下：

  • Case
  • Alert
  • All

動作輸出內容

「取得自訂欄位值」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「取得自訂欄位值」動作時收到的 JSON 結果輸出內容：

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]
輸出訊息

「取得自訂欄位值」動作可以傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned SCOPE custom fields.

No custom fields were found in scope SCOPE.

 動作成功。
Error executing action "Get Custom Field Values". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「取得自訂欄位值」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得範圍脈絡值

使用「取得範圍內容值」動作，從 Google SecOps 資料庫中，擷取以特定鍵和內容儲存的值。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得範圍內容值」動作需要下列參數：

參數 說明
Context Scope

必填。

要從中擷取值的內容範圍。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

預設值為 Not specified。
Key Name

必填。

值儲存在指定環境中的鍵。
Create Case Wall Table

選填。

如果選取，這項動作會建立案件總覽表格，並填入擷取的內容值。

如果擷取的值超過字元限制，系統就不會建立表格。

(預設為啟用)。

動作輸出內容

「Get Scope Context Value」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「取得範圍內容值」動作可以產生下表：

資料表名稱：SCOPE

表格欄：

  • 金鑰
  • 值
輸出訊息

「取得範圍內容值」動作可以傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

No context values were found for the provided context scope CONTEXT_SCOPE.

Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

Action can't return the Case Wall table as the context values are too big.

 動作成功。
Error executing action "Get Scope Context Value". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Get Scope Context Value」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得類似案件

使用「Get Similar Cases」(取得類似案件) 動作搜尋類似案件，並傳回案件 ID。

這項動作會將邏輯 AND 運算子套用至 Rule Generator、Port、Category Outcome、Entity Identifier、Include Open Cases 和 Include Closed Cases 參數，篩選出符合所有指定條件的案件。

這項操作會對所有 Google SecOps 實體執行。

動作輸入內容

「取得類似案件」動作需要下列參數：

參數 說明
Rule Generator

選填。

選取這個選項後，系統會使用規則產生器搜尋類似案件。

(預設為啟用)。
Port

選填。

如果選取這個選項，動作會使用通訊埠編號搜尋類似案例。

(預設為啟用)。
Category Outcome

選填。

如果選取此選項，系統會使用類別結果搜尋類似案件。

(預設為啟用)。
Entity Identifier

選填。

如果選取此選項，系統會使用實體 ID 搜尋類似案件。

(預設為啟用)。
Days Back

必填。

動作要搜尋目前日期前幾天的資料。
Include Open Cases

選填。

如果選取這個選項，搜尋結果會包含未結案件。

(預設為啟用)。
Include Closed Cases

選填。

如果選取這個選項，搜尋結果會包含已結案的案件。

(預設為啟用)。

動作輸出內容

「取得類似案件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Similar Cases」(取得類似案件) 動作時收到的 JSON 結果輸出內容：

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}
輸出訊息

「Get Similar Cases」(取得類似案件) 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST

 動作成功。
Error executing action "Get Similar Cases". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Similar Cases」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
SimilarCasesIds 類似案件 ID 清單。

指令

使用「指示」動作，直接在案件中向分析師提供指示。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

Instruction 動作需要下列參數：

參數 說明
Instruction

必填。

分析師的指示。

動作輸出內容

「指令」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Add Vote To Entity」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Please perform the following instructions: INSTRUCTION.

 動作成功。
Error executing action "Instruction". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Instruction」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

是否在自訂名單中

使用「是否在自訂名單中」動作，檢查實體是否存在於指定自訂名單中。

這項操作會對所有 Google SecOps 實體執行。

動作輸入內容

「Is In Custom List」動作需要下列參數：

參數 說明
Category

必填。

要搜尋的自訂名單類別名稱。

動作輸出內容

「是否在自訂清單中」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Is In Custom List」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

This alert contains entities in the given custom list category: CATEGORY.

This alert does not contain entities in the given custom list category: CATEGORY.

 動作成功。
Error executing action "Is In Custom List". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Is In Custom List」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
ScriptResult true或false

標示為重要

使用「標示為重要」動作將案件標示為重要。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「標示為重要」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「標示為重要」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The case was automatically marked as important.

 動作成功。
Error executing action "Mark As Important". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「標示為重要」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

開啟網頁網址

使用「開啟網頁網址」動作產生瀏覽器連結。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「開啟網頁網址」動作需要下列參數：

參數 說明
Title

必填。

網址的標題。
URL

必填。

目標網址。

動作輸出內容

「開啟網頁網址」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「開啟網址」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

URL_TITLE

URL_LINK

 動作成功。
Error executing action "Open Web Url". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「開啟網頁網址」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

暫停警告服務水準協議

使用「暫停警告服務水準協議」動作，暫停警報的服務水準協議 (SLA) 計時器。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「暫停警告服務水準協議」動作需要下列參數：

參數 說明
Message

選填。

暫停警告服務水準協議的原因。

動作輸出內容

「暫停警告服務水準協議」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「暫停警告服務水準協議」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The alert SLA was paused.

 動作成功。
Error executing action "Pause Alert SLA". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「暫停快訊服務水準協議」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

暫停案件服務水準協議

使用「暫停案件服務水準協議」動作，暫停案件的服務水準協議 (SLA) 計時器。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「暫停案件服務水準協議」動作需要下列參數：

參數 說明
Message

選填。

暫停案件服務水準協議的原因。

動作輸出內容

「暫停案件服務水準協議」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「暫停案件服務水準協議」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The Case SLA was paused successfully.

 動作成功。
Error executing action "Pause Case SLA". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「暫停案件服務等級協議」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

允許的警示時間

使用「允許的警報時間」動作，檢查警報的開始時間是否符合使用者定義的時間條件。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Permitted Alert Time」動作需要下列參數：

參數 說明
Timestamp Type

選填。

用於比較的時間戳記類型。

可能的值如下：

  • Alert Start Time
  • Alert Creation Time
  • Case Creation Time

預設值為 Alert Start Time。
Permitted Start Time

必填。

快訊允許時間的開始時間，例如 0:00:00。
Permitted End Time

必填。

警示許可期限的結束時間，例如 0:00:00。
Monday

選填。

如果選取，動作會將星期一納入允許傳送快訊的日子。

預設為停用。
Tuesday

選填。

如果選取，動作會將星期二納入允許傳送快訊的日子。

(預設為啟用)。
Wednesday

選填。

如果選取，動作會將星期三納入快訊的允許日期。

(預設為啟用)。
Thursday

選填。

如果選取，則動作會將星期四納入允許傳送快訊的日子。

這項功能預設為停用。
Friday

選填。

如果選取這個選項，系統會在允許的警報觸發日期中加入星期五。

這項功能預設為停用。
Saturday

選填。

如果選取這個選項，系統會在星期六傳送快訊。

這項功能預設為停用。
Sunday

選填。

如果選取這個選項，系統會在允許的警報觸發日期中加入星期日。

預設為停用。
Input Timezone

選填。

除了 IANA 時區 (例如 America/New_York) 之外，這項動作也支援標準時區 (例如 UTC)。

如果您提供 IANA 時區，系統會自動調整日光節約時間。

動作輸出內容

「Permitted Alert Time」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Permitted Alert Time」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS

 動作成功。
Error executing action "Permitted Alert Time". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「允許的警報時間」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
Permitted true或false

Ping

使用「Ping」動作測試與 Siemplify 的連線。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Ping」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Email address is syntactically correct.

 動作成功。
Error executing action "Ping". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

提報事件

使用「Raise Incident」動作將真正正向的案件標示為 Critical，並提出案件事件。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「Raise Incident」(提出事件) 動作需要下列參數：

參數 說明
Soc Role

選填。

要指派案件的 Google SecOps SOC 角色。

動作輸出內容

「Raise Incident」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Raise Incident」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The case raised to CASE_STAGE status.

 動作成功。
Error executing action "Raise Incident". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Raise Incident」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
指令碼執行結果 true或false

移除標記

使用「移除標記」動作，從案件中移除標記。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「移除代碼」動作需要下列參數：

參數 說明
Tag

必填。

以半形逗號分隔的標記清單，用於從案件中移除標記。

動作輸出內容

「移除標記」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「移除標記」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully removed the following tags from case CASE_ID:TAGS 動作成功。

It is not possible to remove the tag.

Error executing action "Remove Tag". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「移除代碼」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

從自訂清單中移除

使用「Remove From Custom List」動作，從自訂名單類別中移除與快訊相關聯的實體。

這項動作會在所有 Google SecOps 實體上執行。

動作輸入內容

「Remove From Custom List」動作需要下列參數：

參數 說明
Category

必填。

要從中移除實體 ID 的自訂清單類別名稱。

動作輸出內容

「從自訂名單中移除」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Remove From Custom List 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The alert's entities ENTITY_ID were removed from custom list category: CATEGORY

The given category does not exist.

 動作成功。
Error executing action "Remove From Custom List". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「從自訂名單中移除」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
ScriptResult true或false

恢復警告服務水準協議

使用「Resume Alert SLA」(恢復警告服務水準協議) 動作，取消暫停並重新啟動警告的服務水準協議 (SLA) 計時器。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Resume Alert SLA」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「恢復警告服務水準協議」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The alert SLA was resumed.

 動作成功。
Error executing action "Resume Alert SLA". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Resume Alert SLA」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

恢復案件服務水準協議

使用「Resume Case SLA」(恢復案件服務水準協議) 動作，取消暫停並重新啟動案件的服務水準協議 (SLA) 計時器。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Resume Case SLA」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「恢復案件服務水準協議」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

The Case SLA was resumed successfully.

 動作成功。
Error executing action "Resume Case SLA". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「繼續案件服務等級協議」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

搜尋案件

使用「Search Cases」(搜尋案件) 動作，依動態篩選條件搜尋案件。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「搜尋案件」動作需要下列參數：

參數 說明
Assignee

選填。

以半形逗號分隔的清單，列出指派給案件的使用者，用於篩選搜尋結果。
Status

選填。

用於篩選搜尋結果的案件狀態。

可能的值如下：

  • Opened
  • Closed
Playbook Status

選填。

用於篩選搜尋結果的教戰手冊狀態選項。

可能的值如下：

  • In Progress
  • Completed
  • Failed
Severity

選填。

用於篩選搜尋結果的案件嚴重性等級選項。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
  • Informational
Environment

選填。

以半形逗號分隔的環境清單，用於篩選搜尋結果。 系統會使用「OR」邏輯評估多個值。

這個參數支援使用 ~ 符號進行「包含」比對 (例如 environment,~environment)。
Case Names

選填。

以半形逗號分隔的案件名稱清單，用於篩選搜尋結果。 系統會使用「OR」邏輯評估多個值。

這項參數支援使用 ~ 符號 (例如 case,~case) 進行「包含」比對。
Alert Names

選填。

以逗號分隔的警報名稱清單，用於篩選搜尋結果。系統會使用「OR」邏輯評估多個值。

這項參數支援使用 ~ 符號 (例如 alert,~alert) 進行「包含」比對。
Product Names

選填。

以半形逗號分隔的產品名稱清單，用於篩選搜尋結果。 系統會使用「或」邏輯來評估多個值。

這項參數支援使用 ~ 符號 (例如 product,~product) 進行「包含」比對。
Tag Names

選填。

以半形逗號分隔的標記名稱清單，用於篩選搜尋結果。 系統會使用「OR」邏輯評估多個值。
Timestamp Type

選填。

用於判斷 Time Frame 是指定案件建立時間或修改時間的時間戳記類型。

可能的值如下：

  • Modification Time
  • Creation Time

預設值為 Modification Time。
Time Frame

選填。

用於限制搜尋結果的時間範圍。

可能的值如下：

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

如果選取 Custom，則必須提供 Start Time 參數。

預設值為 Last Hour。
Start Time

須符合條件。

搜尋結果日期範圍的起點，採用 ISO 8601 格式。

如果 Time Frame 設為 Custom，則必須提供這個參數。
End Time

選填。

搜尋結果日期範圍的結束時間，採用 ISO 8601 格式。

如果將 Time Frame 設為 Custom，且未提供任何值，這個參數會預設為目前時間。

動作輸出內容

「搜尋案件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Search Cases」動作時收到的 JSON 結果輸出內容：

[
    {
        "name": "projects//locations//instances//cases/4",
        "relatedAlerts": [],
        "dataAccessScopes": [],
        "id": 4,
        "lastModifyingUserId": "9c6562ad-f74f-424f-a2f7-c0d2d8629bbb",
        "createTime": 1769592095506,
        "updateTime": 1769689090290,
        "alertCount": 1,
        "type": "External",
        "overflowCase": false,
        "status": "Opened",
        "involvedSuspiciousEntity": false,
        "workflowStatus": "Completed",
        "source": "Server",
        "tags": [
            {
                "displayName": "Simulated Case",
                "priority": 0
            }
        ],
        "products": [
            {
                "displayName": "Windows:AccessDisabledAccounts",
                "alert": "ACCESS DISABLED ACCOUNTS_5FB4AAF2-1CB2-49F7-850D-EECCAB91B203"
            }
        ],
        "tasks": [],
        "displayName": "Access Disabled Accounts",
        "stage": "Triage",
        "priority": "PriorityHigh",
        "important": false,
        "assignee": "@Administrator",
        "incident": false,
        "environment": "Default Environment",
        "moveEnvironment": {}
    }
]
輸出訊息

「Search Cases」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned cases based on the provided criteria.

 動作成功。
Error executing action "Search Cases". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「搜尋案件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

設定快訊服務水準協議

使用「設定快訊服務水準協議」動作，為快訊設定服務水準協議計時器。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定快訊服務水準協議」動作需要下列參數：

參數 說明
SLA Period

必填。

服務水準協議的總時長，超過這個時長即視為違規。

SLA 總期限不得超過 30 天。

預設值為 5。
SLA Time Unit

必填。

服務水準協議週期的時間單位。

可能的值如下：

  • Minutes
  • Hours
  • Days

預設值為 Minutes。
SLA Time To Critical Period

必填。

服務水準協議進入重大狀態前的時長。

預設值為 4。
SLA Time To Critical Unit

必填。

服務水準協議重大階段的時間單位。

可能的值如下：

  • Minutes
  • Hours
  • Days

預設值為 Minutes。

動作輸出內容

「設定快訊服務水準協議」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Set Alert SLA」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 動作成功。
Error executing action "Set Alert SLA". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Set Alert SLA」(設定警告服務水準協議) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

設定案件服務水準協議

使用「設定案件服務水準協議」動作，為案件設定服務水準協議。

這項動作的優先順序最高，會覆寫特定案件的現有服務等級協議。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定案件服務水準協議」動作需要下列參數：

參數 說明
SLA Period

必填。

服務水準協議的總時長，超過這個時長即視為違規。

SLA 總期限不得超過 30 天。

預設值為 5。
SLA Time Unit

必填。

服務水準協議週期的時間單位。

可能的值如下：

  • Minutes
  • Hours
  • Days

預設值為 Minutes。
SLA Time To Critical Period

選填。

服務水準協議進入重大狀態前的時長。

預設值為 4。
SLA Time To Critical Unit

必填。

服務水準協議重大階段的時間單位。

可能的值如下：

  • Minutes
  • Hours
  • Days

預設值為 Minutes。

動作輸出內容

「設定案件服務等級協議」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Search ASM Issues」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 動作成功。
Error executing action "Set Case SLA". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Set Case SLA」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

設定自訂欄位

使用「設定自訂欄位」動作設定自訂欄位的值。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定自訂欄位」動作需要下列參數：

參數 說明
Scope

必填。

要為自訂欄位設定的範圍。

可能的值如下：

  • Case
  • Alert

預設值為 Case。
Custom Fields Data

必填。

自訂欄位的新值。

您可以在單一動作執行中更新多個自訂欄位。

預設值為：

    {
      "Custom Field Name 1":"Custom Field Value 1",
      "Custom Field Name 2":"Custom Field Value 2"
    }
Append Values

選填。

如果選取，這項動作會將 Custom Fields Data 的輸入內容附加至自訂欄位的現有值。

如未選取，這項動作會使用 Custom Fields Data 參數的輸入內容，覆寫現有值。

預設為停用。

動作輸出內容

「設定自訂欄位」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Set Custom Fields」動作時，收到的 JSON 結果輸出內容：

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}
輸出訊息

「設定自訂欄位」動作可傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES 動作成功。
Error executing action "Set Custom Fields". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「設定自訂欄位」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

設定風險評分

使用「設定風險分數」動作更新案件的風險分數。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定風險評分」動作需要下列參數：

參數 說明
Risk Score

必填。

要為案件設定的風險分數。

動作輸出內容

「設定風險分數」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「設定風險分數」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully set Risk Score for case CASE_ID 動作成功。
Error executing action "Set Risk Score". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「設定風險分數」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

設定範圍脈絡資料值

使用「設定範圍內容值」動作，為儲存在 Google SecOps 資料庫中的鍵設定值。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「設定範圍內容值」動作需要下列參數：

參數 說明
Context Scope

必填。

要從中擷取資料的內容範圍。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

預設值為 Not specified。
Key Name

必填。

要從中擷取對應值的鍵名。
Key Value

必填。

要儲存在指定鍵下的值。

動作輸出內容

「設定範圍內容值」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「設定範圍內容值」動作可傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE. 動作成功。
Error executing action "Set Scope Context Value". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「Set Scope Context Value」(設定範圍情境值) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

更新案件說明

使用「更新案件說明」動作更新案件說明。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「更新案件說明」動作需要下列參數：

參數 說明
Description

必填。

要為案件設定的說明。

動作輸出內容

「Update Case Description」(更新案件說明) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「更新案件說明」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully updated the case description. 動作成功。
Error executing action "Update Case Description". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表列出使用「更新案件說明」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

等待自訂欄位

使用「Wait For Custom Fields」(等待自訂欄位) 動作，等待自訂欄位值，然後繼續執行劇本。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「等待自訂欄位」動作需要下列參數：

參數 說明
Scope

必填。

要為自訂欄位設定的範圍。

可能的值如下：

  • Case
  • Alert

預設值為 Case。
Custom Fields Data

必填。

自訂欄位必須符合的條件，才能繼續執行。自訂欄位名稱和必要值必須設定為 JSON 物件。

如果為多個欄位設定條件，動作會等待所有欄位符合各自的條件。

  • 如要在自訂欄位有任何值時繼續執行，請設定空白字串：
    {"Custom Field Name": ""}
  • 如要在自訂欄位等於特定值 (例如 VALUE_1) 時繼續執行，請指定該值： 
    {"Custom Field Name": "VALUE_1"}

預設值會顯示預期的 JSON 格式：

{
  "Custom Field Name 1": "Custom Field Value 1",
  "Custom Field Name 2": "Custom Field Value 2"
}

動作輸出內容

「Wait For Custom Fields」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Wait For Custom Fields」動作時收到的 JSON 結果輸出內容：

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}
輸出訊息

「等待自訂欄位」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES

Waiting for SCOPE custom fields updates...

 動作成功。
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「等待自訂欄位」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

Siemplify - 動作監控

使用 Siemplify - Actions Monitor 工作，接收過去三小時內至少三次失敗動作的通知。

工作參數

「Siemplify - Actions Monitor」工作需要下列參數：

參數 說明
Run Interval In Seconds

選填。

工作執行的間隔 (以秒為單位)。

這項參數決定整合功能檢查失敗的教戰手冊動作的頻率。

預設值為 900。
Is Enabled

選填。

如果選取這個選項，工作就會處於啟用狀態，並依排程執行。如未選取，工作就會停用且不會執行。

(預設為啟用)。

Siemplify - Cases Collector DB

使用「Siemplify - Cases Collector DB」工作，從指定發布者擷取及處理安全事件。

工作參數

「Siemplify - Cases Collector DB」工作需要下列參數：

參數 說明
Publisher Id

必填。

要收集案件和記錄的發布商 ID。
Verify SSL

選填。

如果選取，工作會驗證發布者的 SSL 憑證是否有效。

(預設為停用)。

Siemplify - 記錄收集器

使用 Siemplify - Logs Collector 工作，從指定發布者擷取及處理記錄。

工作輸入內容

「Siemplify - Logs Collector」工作需要下列參數：

參數 說明
Publisher Id

必填。

要收集記錄的發布商 ID。
Verify SSL

選填。

如果選取，這項工作會驗證發布商的 SSL 憑證是否有效。

預設為停用。

Siemplify - 回應整合與連接器升級

使用「回應整合與連接器升級」工作，將回應整合和連接器升級至最新版本，或在內容中心提供新版本時產生通知，自動維護環境。

工作行為

這項工作會掃描內容中心，找出未執行最新版本的整合項目和連接器。視所選 Mode 而定，工作會執行下列操作：

  • 篩選邏輯：工作會根據下列條件，判斷要在掃描期間排除哪些元件。

    • 預備環境：工作只會掃描已安裝的整合項目。如果啟用 Update Staging Only，工作只會處理手動建立的測試環境中的整合。您必須先設定暫存環境並指派相關整合項目，工作才能在這個模式中識別更新。

    • 整合：套用 Integrations To Ignore 清單時，這項工作會同時檢查 ID 和顯示名稱。

    • 連接器：篩選功能只適用於顯示名稱，因為連接器 ID 並不唯一。

  • 通知模式：設為 Notification 模式時，這項工作會找出可用的更新，並產生具有下列結構的系統通知。

    以下項目有新的回覆整合版本：
    {整合項目名稱}：{舊版} -> {新版}

    以下項目有可用的連結器更新：
    {連結器顯示名稱}

    這些通知會顯示在 Google SecOps 平台的「 通知 通知> 系統通知」下方。

  • 升級模式：設為 Upgrade 模式時，工作會自動套用更新，並產生確認通知，結構如下：

    下列回應整合服務已更新至最新版本：
    {回應整合服務名稱}

    下列連接器已更新至最新版本：
    {連接器顯示名稱}

工作輸入內容

Siemplify - Response Integration & Connector Upgrade 工作需要下列參數：

參數 說明
Update Staging Only

選填。

如果選取這個選項，工作只會更新或通知手動設定的測試環境中的整合。這樣一來，您就能先測試更新，再將變更推送至正式環境。

(預設為啟用)。
Update Enabled Connectors Only

選填。

如果選取這個選項，作業只會升級或產生目前已啟用連接器的通知。掃描期間會忽略已停用的連接器執行個體。

(預設為未選取)。
Mode

必填。

作業的運作模式。

可能的值如下：

  • Notification：這項工作會掃描更新並產生平台通知，但不會套用變更。
  • Upgrade：這項工作會掃描更新、自動套用更新 (模擬使用者介面中的手動更新程序)，並產生確認通知。

預設值為 Notification。
Integrations To Ignore

選填。

以半形逗號分隔的整合 ID 清單，用於在升級程序中略過這些 ID。您必須使用整合詳細資料中的專屬 ID (例如 GoogleCloudAPI)，而非顯示名稱。
Connectors To Ignore

選填。

以半形逗號分隔的連接器顯示名稱清單，在升級程序中會略過這些連接器。這樣就能精確控管要更新哪些特定連接器執行個體。
Overwrite Custom Integration

選填。

如果選取此選項，系統會升級原本以商業或社群版本為基礎的自訂整合 (包括匯出後再匯入平台中的商業整合)。

(預設為啟用)。
Ignore Ontology Mapping Update For Integrations

選填。

以逗號分隔的整合 ID 清單，升級程序會保留這些 ID 的現有本體對應。您必須使用整合詳細資料中的專屬 ID (例如 GoogleCloudAPI)，而非顯示名稱。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。