Tools

Unterstützt in:

Übersicht

Eine Reihe von Hilfsaktionen zur Datenbearbeitung, mit denen die Funktionen von Playbooks erweitert werden.

Aktionen

DNS-Lookup

Beschreibung

Führt eine DNS-Suche mit einem angegebenen DNS-Resolver durch.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
DNS-Server IP-Adresse – Ja Geben Sie einen oder mehrere durch Komma getrennte DNS-Server an.

Beispiel

In diesem Szenario verwenden wir die öffentliche DNS-Adresse von Google (8.8.8.8), um externe Domainentitäten zu suchen.

toolsnew1

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

Zusätzliche Daten für Benachrichtigungen hinzufügen oder aktualisieren

Beschreibung

Fügt Felder in den zusätzlichen Benachrichtigungsdaten hinzu oder aktualisiert sie. Die Ergebnisse werden in der Übersicht „Benachrichtigungen“ in einem Feld mit dem Namen „OFFENSE_ID“ angezeigt.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
JSON-Felder JSON – Ja Sie können entweder Freitext (für eine Variable) oder einen String eingeben, der ein JSON-Wörterbuch darstellt (kann verschachtelt sein).

Beispiel

In diesem Szenario fügen wir den Benachrichtigungen, die in der Benachrichtigungsübersicht angezeigt werden, MITRE-Angriffsdetails hinzu.

tools1

tools2

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der Elemente im Wörterbuch 2
  • JSON-Ergebnis 
    {
"dict": {"mitre": " T1059"}, "list": []
}

Playbook an alle Fallbenachrichtigungen anhängen

Beschreibung

Hängt ein bestimmtes Playbook oder einen bestimmten Block an alle Benachrichtigungen in einem Fall an.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Playbook-Name String – Ja Geben Sie den Namen des Playbooks oder Blocks an, der allen Benachrichtigungen in einem Fall hinzugefügt wird.

Beispiel

In diesem Szenario hängen wir das Playbook „Phishing-Playbook“ an alle Benachrichtigungen in einem Fall an.

tools3

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Playbook an Benachrichtigung anhängen

Beschreibung

Hängt dem aktuellen Hinweis ein bestimmtes Playbook oder einen bestimmten Block an.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Playbook-Name String – Ja Geben Sie den Namen des Playbooks oder Blocks an, der allen Benachrichtigungen in einem Fall hinzugefügt wird.

Beispiel

In diesem Szenario hängen wir den Block „Containment Block“ an die aktuellen Benachrichtigungen im Fall an.

tools4

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Puffer

Beschreibung

Konvertiert eine JSON-Eingabe in ein JSON-Objekt.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
ResultValue String – Nein Platzhalterwert, der als ScriptResult-Wert zurückgegeben wird.
JSON JSON – Nein JSON, das im Ausdruck-Builder angezeigt wird.

Beispiel

In diesem Fall wird der JSON-Eingabewert im Tool zum Erstellen von JSON-Ausdrücken angezeigt und kann für weitere Aktionen verwendet werden.

tools5-buffer

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Eingabewert für den Parameter „ResultValue“ Erfolgreich
  • JSON-Ergebnis 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

Zertifikatsdetails abrufen

Beschreibung

Ruft Zertifikatsdetails einer bestimmten URL ab.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Zu prüfende URL URL expired.badssk.com Ja Geben Sie die URL an, von der Zertifikatdetails abgerufen werden sollen.

Beispiel

In diesem Szenario rufen wir Zertifikatsdetails von der Website „expired.badssl.com“ ab.

tools6

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

Kontextwert abrufen

Beschreibung

Ruft einen Wert eines Kontextschlüssels in einem Fall oder einer Benachrichtigung ab.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Umfang Drop-down Benachrichtigung Ja Geben Sie den Bereich der Schlüsselwerte an, z. B. Fall, Benachrichtigung oder global.
Schlüssel String – Ja Geben Sie den Schlüssel an.

Beispiel

In diesem Szenario rufen wir einen Kontextwert aus einem Schlüssel namens „impact“ in einem Fall ab. Diese Aktion wird zusammen mit der Aktion „Kontextwert festlegen“ verwendet, mit der dem Fall oder der Benachrichtigung die Schlüssel/Wert-Paare hinzugefügt werden.

tools7

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Kontextwert Hoch


E-Mail-Vorlagen abrufen

Beschreibung

Gibt alle E-Mail-Vorlagen im System zurück.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Vorlagentyp Drop-down Standard Ja Geben Sie den Vorlagentyp an, der zurückgegeben werden soll: Standard oder HTML.

Beispiel

In diesem Fall werden alle HTML-basierten E‑Mail-Vorlagen zurückgegeben.

tools8

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult JSON-Ergebnis mit HTML-Code JSON-Ergebnis unten
  • JSON-Ergebnis 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

Entitäten mit Trennzeichen erstellen

Beschreibung

Erstellt Entitäten und fügt sie der Benachrichtigung hinzu.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Entitäts-IDs String – Ja Geben Sie die Entität(en) an, die der Benachrichtigung hinzugefügt werden sollen.
Entitätstyp String – Ja Geben Sie den Entitätstyp an.
Ist intern Kästchen Auswahl aufgehoben Nein Prüfen Sie, ob die angegebene Einheit Teil eines internen Netzwerks ist.
Trennzeichen für Entitäten String , Ja Geben Sie das Trennzeichen an, das im Feld „Entitätskennungen“ verwendet wird.
JSON-Datei für die Anreicherung Drop-down-Menü JSON Nein Geben Sie die Anreicherungsdaten im JSON-Format an.
PrefixForEnrichment String – Nein Geben Sie das Präfix an, das den Anreicherungsdaten hinzugefügt werden soll.

Beispiel

In diesem Szenario erstellen wir drei IP-Entitäten und reichern sie mit dem Feld „is_suspicious“ an.

tools9

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

Fallbeschreibung aktualisieren

Beschreibung

Aktualisiert die Beschreibung eines Falls.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Fallbeschreibung String – Ja Geben Sie die aktualisierte Beschreibung an.

Beispiel

In diesem Fall aktualisieren wir die Beschreibung der Anfrage zu „Diese Anfrage bezieht sich auf verdächtige Anmeldungen.“

tools10

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Entitätsanreicherung normalisieren

Beschreibung

Empfängt eine Liste von Schlüsseln aus der Entität und ersetzt sie.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Normalisierungsdaten JSON – Ja Geben Sie das JSON im folgenden Formatbeispiel an: [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

Beispiel

In diesem Szenario ersetzen wir den Entitätsschlüssel „is_bad“ durch „malicious“.

tools11

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der angereicherten Entitäten 5

An Kontextwert anhängen

Beschreibung

Fügt einer vorhandenen Kontext-Property einen Wert hinzu oder erstellt eine neue Kontext-Property, falls sie nicht vorhanden ist, und fügt den Wert hinzu.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Schlüssel String – Ja Schlüssel des Kontextattributs angeben
Wert String – Ja Geben Sie den Wert an, der an das Kontextattribut angehängt werden soll.
Trennzeichen String – Ja Geben Sie das im Wertfeld verwendete Trennzeichen an.

Beispiel

In diesem Szenario fügen wir einem vorhandenen Kontextschlüssel „MITRE“ die Werte „T1595“ und „T1140“ hinzu.

tools12

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Kontextwerte T1595, T1140

Entitätsbeziehungen erstellen

Beschreibung

Erstellt eine Beziehung zwischen den angegebenen Entitäten und den verknüpften Entitäten. Wenn die angegebenen Einheiten nicht vorhanden sind, werden sie erstellt.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Entitäts-ID(s) String – Ja Erstellen Sie neue oder verwenden Sie vorhandene Entitätskennungen oder eine durch Kommas getrennte Liste von Kennungen.
Typ der Entitäts-ID(s) Drop-down Nutzername Ja Geben Sie den Entitätstyp an.
Verbinden als Drop-down Quelle Ja Verbinden Sie Entitätskennungen mit den Zielentitätskennungen über Quell-, Ziel- oder verknüpfte Beziehungen.
Zielentitätstyp Drop-down Adresse Ja Geben Sie den Zielentitätstyp an, mit dem die Entitäts-IDs verknüpft werden sollen.
Zielentitäts-ID(s) String – Nein Entitäten in dieser durch Kommas getrennten Liste von

Der Typ aus „Target Entity Type“ wird mit den Entitäten im Parameter „Entities Identifier(s)“ verknüpft.

JSON-Datei für die Anreicherung JSON – Nein Ein optionales JSON-Objekt mit Schlüssel /

Wertepaare von Attributen, die den neu erstellten Entitäten hinzugefügt werden können.

Trennzeichen String – Nein Geben Sie das Zeichen an, mit dem die Liste der Entitäten in „Entitäts-IDs“ und/oder „Zielentitäts-IDs“ getrennt werden soll. Die Standardeinstellung ist „Komma“.

Beispiel

In diesem Szenario erstellen wir eine Beziehung zwischen einem Nutzer und einer URL. In diesem Fall hat Bola001 auf eine URL von beispiel.de zugegriffen.

tools13

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"Entity": "Bola001", "EntityResult": {}
}

URL-Domain extrahieren

Beschreibung

Alle Entitäten werden mit dem neuen Feld „siemplifytools_extracted_domain“ angereichert, das die aus der Entitäts-ID extrahierte Domain enthält. Wenn die Entität keine Domain hat (z. B. ein Dateihash), wird einfach nichts zurückgegeben. Neben Entitäten kann der Nutzer auch eine Liste von URLs als Parameter angeben und verarbeiten lassen, ohne dass sie angereichert werden.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Trennzeichen String , Ja Geben Sie den Trennzeichenstring an, der zum Trennen von URLs verwendet werden soll.
URLs String – Nein Geben Sie eine oder mehrere URLs an, aus denen die Domain extrahiert werden soll.
Subdomain extrahieren Kästchen – Nein Geben Sie an, ob Sie auch die Subdomain extrahieren möchten.

Beispiel

In diesem Szenario wird die Domain aus der angegebenen URL extrahiert.

tools14

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der extrahierten Domains 1
  • JSON-Ergebnis 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

Teilmengen der Prüfliste

Beschreibung

Prüft, ob Werte in einer Liste in einer anderen Liste vorhanden sind.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Original String – Ja Geben Sie die Liste der Elemente an, die geprüft werden sollen. JSON-Liste oder durch Kommas getrennt.
Teilmenge Liste – Ja Geben Sie die Liste der Teilmengen an. JSON-Liste oder durch Kommas getrennt.

Beispiel

In diesem Szenario wird geprüft, ob die Werte 1, 2 und 3 in der ursprünglichen Liste mit den Werten 1, 2, 3, 4 und 5 vorhanden sind. Das Ergebnis ist „Wahr“.

tools15

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Informationen zur Benachrichtigungsbewertung hinzufügen

Beschreibung

Fügt der Datenbank für die Benachrichtigungsbewertung einen Eintrag hinzu. Der Benachrichtigungswert basiert auf dem Verhältnis: 5 niedrig = 1 mittel. 3 Mittel = 1 Hoch 2 Hoch = 1 Kritisch. Der Anfrage wurde ein optionales Tag hinzugefügt.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Name String – Ja Geben Sie den Namen der Prüfung an, die für die Benachrichtigung durchgeführt wird.
Beschreibung String – Ja Geben Sie die Beschreibung der Prüfung an, die für die Benachrichtigung durchgeführt wird.
Schweregrad String Informationell Ja Geben Sie den Schweregrad an.
Kategorie String – Ja Geben Sie die Kategorie der durchgeführten Prüfung an.
Quelle String – Nein Geben Sie den Teil des Hinweises an, aus dem der Wert abgeleitet wurde. Beispiel: Dateien, Nutzer, E‑Mail.
Tag für Supportanfrage String – Nein Geben Sie die Tags an, die dem Fall hinzugefügt werden sollen.

Beispiel

In diesem Szenario setzen wir den Benachrichtigungswert aufgrund eines verdächtigen Ergebnisses von VirusTotal auf „Hoch“.

tools16

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    Alert_score Informationell, Niedrig, Mittel, Hoch, Kritisch Hoch
  • JSON-Ergebnis 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

Siemplify-Nutzer

Beschreibung

Gibt eine Liste aller im System konfigurierten Nutzer zurück.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Deaktivierte Nutzer ausblenden Kästchen Ausgewählt Nein Geben Sie an, ob deaktivierte Nutzer in den Ergebnissen ausgeblendet werden sollen.

Beispiel

In diesem Fall werden alle Nutzer im System zurückgegeben, einschließlich deaktivierter Nutzer.

tools17

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

Check Entities Fields In Text (Entitätsfelder im Text prüfen)

Beschreibung

Suchen Sie in jeder relevanten Einheit nach einem bestimmten Feld (oder mehreren Feldern mit regulären Ausdrücken) und vergleichen Sie es mit einem oder mehreren Werten. Die verglichenen Werte können auch durch reguläre Ausdrücke gefiltert werden. Eine Übereinstimmung wird gefunden, wenn einer der Post-Regex-Werte aus der Entitätsanreicherung in einem oder mehreren durchsuchten Werten enthalten ist.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] Ja JSON, das die Strings darstellt, in denen Sie suchen möchten, in diesem Format: [ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] Ja Ein JSON, das beschreibt, welche Felder getestet werden sollen. [ "RegexForFieldName": “”,

„FieldName“: „Feldname für die Suche“,

"RegexForFieldValue": “”}]
ShouldEnrichEntity String domain_matched Nein Wenn der Wert auf <VAL> festgelegt ist, wird der erkannten Entität auch ein Anreicherungs-Wert zugewiesen.

Der Schlüssel ist <VAL>
IsCaseSensitive Kästchen Auswahl aufgehoben Nein Geben Sie an, ob beim Feld Groß- und Kleinschreibung berücksichtigt werden soll.

Beispiel

In diesem Szenario wird geprüft, ob im angegebenen Text eine Rechtspersönlichkeit oder Entität mit dem Feldnamen „malicious“ (böswillig) vorhanden ist.

tools18

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der Ergebnisse 0
  • JSON-Ergebnis 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

Integrationsinstanzen abrufen

Beschreibung

Gibt alle Integrationsinstanzen für eine Umgebung zurück.

Parameter

Keine anwendbaren Parameter.

Beispiel

In diesem Szenario werden alle Integrationsinstanzen in allen Umgebungen zurückgegeben.

tools19

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

Delay Playbook V2

Beschreibung

Unterbricht die Ausführung eines Playbooks für einen bestimmten Zeitraum.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Sekunden Ganzzahl 0 Nein Geben Sie an, um wie viele Sekunden das Playbook verzögert werden soll.
Minuten Ganzzahl 1 Nein Geben Sie an, um wie viele Minuten das Playbook verzögert werden soll.
Stunden Ganzzahl 0 Nein Geben Sie an, um wie viele Stunden das Playbook verzögert werden soll.
Tage Ganzzahl 0 Nein Geben Sie an, um wie viele Tage das Playbook verzögert werden soll.
Cron-Ausdruck String – Nein Bestimmt, wann das Playbook mit einem Cron-Ausdruck fortgesetzt werden soll. Wird gegenüber den anderen Parametern priorisiert.

Beispiel

In diesem Szenario verzögern wir das Playbook um 12, 5 Stunden.

tools20

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Original-JSON-Datei für Benachrichtigung abrufen

Beschreibung

Gibt das JSON-Ergebnis der ursprünglichen Benachrichtigung (Rohdaten) zurück.

Parameter

Keine Parameter anwendbar

Beispiel

In diesem Fall wird das ursprüngliche Roh-JSON des Hinweises zurückgegeben.

tools21

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Aktuelle Uhrzeit abrufen

Beschreibung

Gibt das aktuelle Datum und die aktuelle Uhrzeit zurück.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Datums-/Uhrzeitformat String %d/%m/%Y %H:%M Ja Geben Sie das Format für Datum und Uhrzeit an.

Beispiel

In diesem Szenario wird ein Datums- und Zeitwert im folgenden Format zurückgegeben: %d/%m/%Y %H:%M:%S

tools22

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Datums-/Uhrzeitwert 11.03.2022 20:33:43

Benachrichtigungsfaktor aktualisieren

Beschreibung

Aktualisiert den Benachrichtigungsscore um den angegebenen Betrag.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Eingabe Ganzzahl – Ja Geben Sie den Betrag an, um den der Wert erhöht oder verringert werden soll (negative Zahl).

Beispiel

In diesem Szenario verringern wir den Benachrichtigungswert um 20.

tools23

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Eingabewert -20

Kommentar zum Entitätslog hinzufügen

Beschreibung

Fügt dem Entitätslog für jede Entität in der Punktzahl im Entity Explorer einen Kommentar hinzu.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Nutzer Drop-down-Menü @Administrator Ja Geben Sie an, welcher Nutzer den Kommentar erstellt hat.
Kommentar String – Ja Geben Sie den Kommentar an, der dem Entitätslog hinzugefügt werden soll.

Beispiel

tools24

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    – – –

Playbook neu anhängen

Beschreibung

Entfernt ein Playbook aus einem Fall, löscht alle Ergebnisdaten im Fall aus diesem Playbook und hängt das Playbook wieder an, damit es noch einmal ausgeführt wird. Erfordert die Installation der PostgreSQL-Integration, die für die freigegebene Umgebung mit dem Instanznamen „Chronicle SOAR“ konfiguriert ist. Weitere Informationen erhalten Sie vom CSM-Team oder vom Support.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Playbook-Name Drop-down-Menü – Ja Geben Sie das Playbook an, das wieder angehängt werden soll.

Beispiel

In diesem Szenario hängen wir ein Playbook mit dem Namen „attach_playbook_test“ wieder an.

tools25

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/Falsch/Bitte konfigurieren Sie die Chronicle SOAR-Instanz der PostgreSQL-Integration. Wahr

Playbook sperren

Beschreibung

Pausiert das aktuelle Playbook, bis alle Playbooks aus der vorherigen Benachrichtigung abgeschlossen sind.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Zeitlimit asynchroner Vorgang Ganzzahlen 1 Tag Nein Das Zeitlimit für asynchrone Vorgänge legt die zulässige Gesamtzeit für diesen Vorgang fest (Laufzeit aller Iterationen)
Asynchrones Polling-Interval Ganzzahlen 1 Stunde Nein Legen Sie die Zeitspanne zwischen den Polling-Versuchen während der Laufzeit eines asynchronen Vorgangs fest.

Beispiel

In diesem Szenario wird das aktuelle Playbook pausiert und alle 30 Sekunden geprüft , ob alle Playbooks in der vorherigen Benachrichtigung im Fall abgeschlossen sind.

tools26

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

First Alert finden

Beschreibung

Gibt die Kennung der ersten Benachrichtigung in einem bestimmten Fall zurück.

Parameter

Keine anwendbaren Parameter.

Beispiel

In diesem Szenario wird die Benachrichtigungs-ID der ersten Benachrichtigung im Fall zurückgegeben.

tools27

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wert für Benachrichtigungs-ID IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

Lookalike-Domains

Beschreibung

Vergleicht Domain-Entitäten mit der Liste der Domains, die für die Umgebung definiert sind. Wenn die Domains ähnlich sind, wird die Entität als verdächtig gekennzeichnet und mit der entsprechenden Domain angereichert.

Parameter

Keine Parameter anwendbar

Beispiel

In diesem Szenario wird geprüft, ob externe Domainentitäten den in der Domainliste in den Einstellungen konfigurierten Domains ähneln.

tools28

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    look_a_like_domain_found Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

Name der Anfrage ändern

Beschreibung

Ändert einen Fallnamen oder ‑titel.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Neuer Name String – Nein Geben Sie den neuen Namen des Falls an.
Nur bei First Alert Kästchen Auswahl aufgehoben Nein Wenn diese Option ausgewählt ist, wird der Name des Falls nur geändert, wenn die Aktion für die erste Benachrichtigung im Fall ausgeführt wurde.

Beispiel

In diesem Szenario wird der Titel eines Falls nur dann in „Phishing – Verdächtige E-Mail“ geändert, wenn er im ersten Hinweis ausgeführt wird.

tools29

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Spell Check String

Beschreibung

Prüfen Sie die Rechtschreibung des Eingabestrings. Die Ausgabe umfasst den Prozentsatz der korrekten Wörter, die Gesamtzahl der Wörter, die Anzahl der falsch geschriebenen Wörter, eine Liste der einzelnen falsch geschriebenen Wörter und die Korrektur sowie eine korrigierte Version des Eingabestrings.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
String String – Ja Geben Sie den String an, der auf Rechtschreibfehler geprüft werden soll.

Beispiel

In diesem Szenario wird der Eingabestring „Testing if this is a mispelled wodr.“ auf Rechtschreibfehler geprüft.

tools30

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    accuracy_percentage Prozentwert 71
  • JSON-Ergebnis 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

Suchtext

Beschreibung

Suchen Sie im Eingabetext oder in der Schleife in der Liste „Search For Regex“ nach dem Parameter „Search For“ und suchen Sie nach Übereinstimmungen im Eingabetext. Wenn eine Übereinstimmung gefunden wird, gibt die Aktion „true“ zurück.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Text String – Ja Geben Sie den Text an, nach dem gesucht werden soll.
Suchen nach String – Nein Geben Sie den String an, nach dem im Feld „text“ gesucht werden soll.
Nach regulären Ausdrücken suchen String – Nein Liste der regulären Ausdrücke, die zum Durchsuchen des Strings verwendet werden. Reguläre Ausdrücke müssen in doppelte Anführungszeichen gesetzt werden. Unterstützt durch Kommas getrennte Listen.
Groß-/Kleinschreibung beachten Kästchen – Nein Geben Sie an, ob bei der Suche zwischen Groß- und Kleinschreibung unterschieden werden soll.

Beispiel

In diesem Szenario wird geprüft, ob das Wort „malicious“ im Feldwert „Text“ vorhanden ist.

tools31

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    match_found Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

Kontextwert festlegen

Beschreibung

Legt einen Schlüssel und einen Wert in einem bestimmten Kontext fest. Diese Aktion wird häufig mit der Aktion „Kontextwert abrufen“ verwendet, um den Wert des Schlüssels abzurufen.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Wert String – Ja Geben Sie den Kontextwert an.
Schlüssel String – Ja Geben Sie den Kontextschlüssel an.
Umfang Drop-down-Menü Benachrichtigung Ja Geben Sie den Bereich für die Kontextzuweisung an (Benachrichtigung, Fall, Global).

Beispiel

In diesem Szenario legen wir den Kontextschlüssel „malicious“ auf den Wert „yes“ fest.

tools32

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Siemplify-Aufgabe erstellen

Beschreibung

Weist einem Nutzer oder einer Rolle eine Aufgabe zu. Die Aufgabe bezieht sich auf den Fall, in dem die Aktion ausgeführt wurde.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Aufgabentitel String – Nein Geben Sie den Titel der Aufgabe an.
SLA (in Minuten) Ganzzahl 480 Ja Geben Sie an, wie viel Zeit in Minuten der zugewiesene Nutzer bzw. die zugewiesene Rolle hat, um auf die Aufgabe zu reagieren.
Aufgabeninhalt String – Ja Geben Sie die Details der Aufgabe an.
Zuweisen zu Drop-down – Ja Geben Sie den Nutzer oder die Rolle an, dem bzw. der die Aufgabe zugewiesen werden soll.

Beispiel

In diesem Szenario wird eine Aufgabe erstellt, in der Tier 3 aufgefordert wird, einen Virenscan durchzuführen.

tools33

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Fall einem Nutzer zuweisen

Beschreibung

Weist einem Nutzer einen Fall zu.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Fall-ID String – Ja Geben Sie die Fall-ID an. Verwenden Sie [Case.Id] für den aktuellen Kundenvorgang.
Zuweisen zu String @Admin Ja Geben Sie den Nutzer an, dem der Fall zugewiesen werden soll. Das ist die ID des Nutzers. Verwenden Sie die Aktion „Get Siemplify Users“ (Siemplify-Nutzer abrufen), um die ID für einen bestimmten Nutzer abzurufen.
Benachrichtigungs-ID String
Ja Geben Sie die Benachrichtigungs-ID an. Verwenden Sie [Alert.Identifier].

Beispiel

In diesem Szenario weisen wir den aktuellen Fall einem bestimmten Nutzer anhand seiner ID zu.

tools34

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Case-Daten abrufen

Beschreibung

Ruft alle Daten aus einem Fall ab und gibt ein JSON-Ergebnis zurück. Das Ergebnis enthält Kommentare, Informationen zu Entitäten, Statistiken, ausgeführte Playbooks, Informationen zu Benachrichtigungen und Ereignisse.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Fall-ID Ganzzahl – Nein Geben Sie die Fall-ID für die Abfrage an. Wenn Sie dieses Feld leer lassen, wird die aktuelle Schreibweise verwendet.

Beispiel

In diesem Szenario rufen wir Falldetails aus dem aktuellen Fall ab.

tools35

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"wallData": [{"commentForClient": null, "comment": null, "modificationTimeUnixTimeInMsForClient": 0, "creatorUserId": "8f8er8d6-ee8b-478e-9ee592-cc27e9addda13b", "id": 6357, "type": 5, "caseId": 36902, "isFavorite": false, "modificationTimeUnixTimeInMs": 1680717397165, "creationTimeUnixTimeInMs": 1680717397165, "alertIdentifier": "SUSPICIOUS ACTIVITY991C7837-1EE9-4EEA-AE7B-975366CA2EAE"}, {"actionTriggerType": 0, "integration": "Tools", "executingUser": null, "playbookName": "New Playbook", "playbookIsInDebugMode": true, "status": 5, "actionProvider": "Scripts", "actionIdentifier": "Tools_Get Case Data_1", "actionResult": "Action started", "alertIdentifiers": ["SUSPICIOUS ACTIVITY991C7837-1EE9-4EEA-AE7B-975366CA2EAE"], "creatorUserId": null, "id": 7677, "type": 3, "caseId": 0, "isFavorite": false, "modificationTimeUnixTimeInMs": 1680717397401, "creationTimeUnixTimeInMs": 1680717397401, "alertIdentifier": null}], "alerts": [{"ticketId": "d21ebvcxzb88-35vc35-46b4-9edd08-063696d7cc092", "status": 0, "identifier": "SUSPICIOUS ACTIVITY991C7837-1EE9-4EEA-AE7B-975366CA2EAE", "hasWorkflows": true, "workflowsStatus": 1, "sourceSystemName": "CrowdStrikeFalcon", "securityEventCards": [{"caseId": 36902, "eventId": "5fde7844-0099-4c5d-a562-63e2d0deb7e5", "alertIdentifier": "SUSPICIOUS ACTIVITY991C7837-1EE9-4EEA-AE7B-975366CA2EAE", "eventName": "CustomIOAWinLowest", "product": "Falcon", "sources": [{"isValid": true, "identifier": "172.30.202.229", "type": "ADDRESS"}, {"isValid": true, "identifier": "EXLAB2019-AD", "type": "HOSTNAME"}, {"isValid": true, "identifier": "E019-AD$", "type": "USERUNIQNAME"}], "destinations": [], "artificats": [{"isValid": true, "identifier": "MPCMDRUN.EXE", "type": "FILENAME"}, {"isValid": true, "identifier": "60D88450B376694DC55EB8F40B0F79580D1DF399A7BDF", "type": "FILEHASH"}], "port": null, "outcome": null, "time": "2023-03-01T19:51:00Z", "deviceEventClassId": "Indicator of Attack", "fields": [{"isHighlight": true, "groupName": "HIGHLIGHTED FIELDS", "hideOptions": false, "items": [{"originalName": "startTime", "name": "Start Time", "value": "1680615463369"}, {"originalName": "endTime", "name": "End Time", "value": "1680615463369"}]}, {"isHighlight": false, "groupName": "Default", "hideOptions": false, "items": [{"originalName": "cid", "name": "cid", "value": "27fe4e4760b8476b2b6650e5a74"}, {"originalName": "created_timestamp", "name": "created_timestamp", "value": "2023-03-01T19:51:11.387187948Z"}........................
}

Warten, bis das Playbook abgeschlossen ist

Beschreibung

Pausiert das aktuelle Playbook, bis ein anderes Playbook oder ein anderer Block, der für dieselbe Benachrichtigung ausgeführt wird, abgeschlossen ist.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Playbook-Name String – Nein Geben Sie den Namen des Blocks oder Playbooks an, das Sie zuerst abschließen möchten.

Beispiel

In diesem Fall wird das aktuelle Playbook pausiert, bis der „Untersuchungsblock“, der für dieselbe Benachrichtigung ausgeführt wird, abgeschlossen ist.

tools36

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

In simulierten Fall umwandeln

Beschreibung

Wandelt einen Fall in einen simulierten Fall um, der in die Plattform geladen werden kann.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Push-Zuweisung von simulierten Fällen Kästchen Auswahl aufgehoben Nein Wenn diese Option ausgewählt ist, wird der Fall der Liste der verfügbaren simulierten Fälle hinzugefügt.
JSON als Case Wall-Datei speichern Kästchen Ausgewählt Nein Wenn diese Option ausgewählt ist, wird eine JSON-Datei, die den Fall darstellt, in der Fallübersicht gespeichert und kann heruntergeladen werden.
Name der Benachrichtigung überschreiben String Leer Nein Geben Sie einen neuen Namen für die Benachrichtigung an. Dieser Parameter ersetzt den Parameter Vollständiger Pfadname, sofern dieser ausgewählt ist.
Vollständiger Pfadname Kästchen Auswahl aufgehoben Nein Wenn diese Option ausgewählt ist, verwenden Sie den Namen der Benachrichtigung als source_product_eventtype, z. B. QRadar_WinEventLog:Security_Remote fail login. Dieser Parameter wird ignoriert, wenn Override Alert Name festgelegt ist.

Beispiel

In diesem Beispiel wird ein Fall in einen simulierten Fall mit „Risky Sign On“ als Warnungsname umgewandelt, der auf dem Startbildschirm als einer der verfügbaren simulierten Fälle angezeigt wird.

convertsimcase1

convertsimcase2

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

Jobs

Beschreibung

Mit diesem Job werden alle Fälle geschlossen, die auf einer Suchanfrage basieren. Die Suchnutzlast ist die Nutzlast, die im API-Aufruf „CaseSearchEverything“ verwendet wird. Ein Beispiel für diesen Wert finden Sie in der Benutzeroberfläche unter „Suche“. Öffnen Sie dann die Entwicklertools. Suchen Sie nach den Anfragen, die Sie löschen möchten. Suchen Sie in den Entwicklertools nach dem API-Aufruf „CaseSearchEverything“. Kopieren Sie die JSON-Nutzlast der POST-Anfrage und fügen Sie sie in „Suchnutzlast“ ein. Der Grund für das Schließen sollte 0 oder 1 sein. 0 = schädlich, 1 = nicht schädlich. Die Ursache für das Schließen des Falls stammt aus „Einstellungen“ –> „Falldaten“ –> „Ursache für Schließen des Falls“.

Parameter

Parameter Typ Standardwert Pflichtfeld Beschreibung
Suchnutzlast JSON – Nein Geben Sie die JSON-Nutzlast für die Suche an. Beispiel: {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
Kommentar schließen String – Ja Geben Sie einen Schließungskommentar an.
Grund für Schließen String – Ja Geben Sie den Grund für die Schließung an. 0 = schädlich, 1 = nicht schädlich
Ursache Ganzzahl – Ja Geben Sie die Ursache an. Die Ursache für das Schließen des Falls stammt aus „Einstellungen“ -> „Falldaten“ -> „Ursache für Schließen des Falls“.
Chronicle SOAR-Nutzername String – Ja Geben Sie den Chronicle SOAR-Nutzernamen an.
Chronicle SOAR-Passwort Passwort – Ja Geben Sie das Chronicle SOAR-Passwort an.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten