Tools

Unterstützt in:

Eine Reihe von Dienstprogrammaktionen zur Datenbearbeitung, mit denen die Playbook-Funktionen erweitert werden.

Aktionen

In den folgenden Listen sind die Arten von Aktionen aufgeführt, die Sie mit dem Power-up „Tools“ ausführen können.

Informationen zur Benachrichtigungsbewertung hinzufügen

Beschreibung

Fügt der Datenbank für die Benachrichtigungsbewertung einen Eintrag hinzu. Der Benachrichtigungswert basiert auf dem Verhältnis: 5 niedrig = 1 mittel. 3 mittel = 1 hoch. 2 Hoch = 1 Kritisch. Der Anfrage wurde ein optionales Tag hinzugefügt.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Name String – Ja Name der für die Benachrichtigung durchgeführten Prüfung.
Beschreibung String – Ja Beschreibung der für die Benachrichtigung durchgeführten Prüfung.
Schweregrad String Informationell Ja Schweregrad
Kategorie String – Ja Kategorie der durchgeführten Prüfung.
Quelle String – Nein Teil der Benachrichtigung, aus der die Punktzahl abgeleitet wurde. Beispiel: Dateien, Nutzer, E‑Mail.
Fall-Tag String – Nein Tags, die der Anfrage hinzugefügt werden sollen.

Beispiel

In diesem Beispiel wird der Warnungs-Score aufgrund eines verdächtigen Ergebnisses von VirusTotal auf „hoch“ gesetzt.

tools16

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    Alert_score Informationell, Niedrig, Mittel, Hoch, Kritisch Hoch
  • JSON-Ergebnis 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

Kommentar zum Entitätslog hinzufügen

Beschreibung

Fügt dem Entitätslog für jede Entität in der Punktzahl im Entity Explorer einen Kommentar hinzu.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Nutzer Drop-down-Menü @Administrator Ja Geben Sie den Nutzer an, der den Kommentar erstellt hat.
Kommentar String – Ja Geben Sie den Kommentar an, der dem Entitätslog hinzugefügt werden soll.

Beispiel

tools24

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    – – –

Zusätzliche Daten für Benachrichtigungen hinzufügen oder aktualisieren

Beschreibung

Fügt Felder in den zusätzlichen Benachrichtigungsdaten hinzu oder aktualisiert sie. Die Ergebnisse werden in der Übersicht Benachrichtigungen im Feld OFFENSE_ID angezeigt.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
JSON-Felder JSON – Ja Geben Sie Freitext (für eine Variable) oder einen String ein, der ein JSON-Wörterbuch darstellt (kann verschachtelt sein).

Beispiel

In diesem Beispiel werden den Benachrichtigungen, die in der Benachrichtigungsübersicht angezeigt werden, MITRE-Angriffsdetails hinzugefügt.

tools1

tools2

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der Elemente im Wörterbuch 2
  • JSON-Ergebnis 
    {
"dict": {"mitre": " T1059"}, "list": []
}

An Kontextwert anhängen

Beschreibung

Hängt einen Wert an eine vorhandene Kontext-Property an oder erstellt eine neue Kontext-Property, falls sie nicht vorhanden ist, und fügt den Wert hinzu.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Schlüssel String – Ja Schlüssel des Kontextattributs angeben
Wert String – Ja Geben Sie den Wert an, der an das Kontextattribut angehängt werden soll.
Trennzeichen String – Ja Geben Sie das im Wertfeld verwendete Trennzeichen an.

Beispiel

In diesem Szenario fügen wir einem vorhandenen Kontextschlüssel „MITRE“ die Werte „T1595“ und „T1140“ hinzu.

tools12

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Kontextwerte T1595, T1140

Fall einem Nutzer zuweisen

Beschreibung

Weist einem Nutzer einen Fall zu.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Anfrage-ID String – Ja Geben Sie die Fall‑ID an. Verwenden Sie [Case.Id] für den aktuellen Kundenvorgang.
Zuweisen zu String @Admin Ja Geben Sie den Nutzer an, dem ein Fall zugewiesen werden soll. Das ist die ID des Nutzers. Verwenden Sie die Aktion „Get Siemplify Users“ (Siemplify-Nutzer abrufen), um die ID für einen bestimmten Nutzer abzurufen.
Benachrichtigungs-ID String
Ja Geben Sie die Benachrichtigungs-ID an. Verwenden Sie [Alert.Identifier].

Beispiel

In diesem Szenario weisen wir den aktuellen Fall einem bestimmten Nutzer anhand seiner ID zu.

tools34

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Playbook an eine Benachrichtigung anhängen

Beschreibung

Hängt dem aktuellen Hinweis ein bestimmtes Playbook oder einen bestimmten Block an.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Playbook-Name String – Ja Name des Playbooks oder Blocks, der allen Fallbenachrichtigungen hinzugefügt werden soll.

Beispiel

In diesem Beispiel wird den Benachrichtigungen des aktuellen Falls ein Block mit dem Namen Containment Block angehängt.

tools4

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult true oder false true

Playbook an alle Fallbenachrichtigungen anhängen

Beschreibung

Hängt allen Benachrichtigungen in einem Fall ein bestimmtes Playbook oder einen bestimmten Block an.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Playbook-Name String – Ja Name des Playbooks oder Blocks, der allen Benachrichtigungen in einem Fall hinzugefügt werden soll.

Beispiel

In diesem Beispiel wird das Playbook Phishing playbookM an alle Fallbenachrichtigungen angehängt.

tools3

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult true oder false true

Puffer

Beschreibung

Konvertiert eine JSON-Eingabe in ein JSON-Objekt.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
ResultValue String – Nein Platzhalterwert, der als ScriptResult-Wert zurückgegeben wird.
JSON JSON – Nein JSON, das im Ausdrucks-Builder angezeigt wird.

Beispiel

In diesem Beispiel wird der JSON-Eingabewert im JSON-Ausdrucks-Builder angezeigt, der für weitere Aktionen verwendet werden kann.

tools5-buffer

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Eingabewert für den Parameter „ResultValue“ Erfolgreich
  • JSON-Ergebnis 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

Fallname ändern

Beschreibung

Ändert einen Fallnamen oder ‑titel.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Neuer Name String – Nein Geben Sie den neuen Namen des Falls an.
Nur bei der ersten Benachrichtigung Kästchen Auswahl aufgehoben Nein Wenn diese Option ausgewählt ist, wird der Name des Falls nur geändert, wenn die Aktion für die erste Benachrichtigung im Fall ausgeführt wurde.

Beispiel

In diesem Szenario wird der Titel eines Falls nur dann in „Phishing – Verdächtige E-Mail“ geändert, wenn er für die erste Benachrichtigung ausgeführt wird.

tools29

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Entitätenfelder im Text prüfen

Beschreibung

Suchen Sie nach einem bestimmten Feld aus jeder relevanten Einheit (oder nach mehreren Feldern mit regulären Ausdrücken) und vergleichen Sie es mit einem oder mehreren Werten. Die verglichenen Werte können auch durch einen regulären Ausdruck gefiltert werden. Eine Übereinstimmung wird gefunden, wenn einer der Werte für den regulären Ausdruck für Beiträge aus der Entitätsanreicherung in einem oder mehreren durchsuchten Werten enthalten ist.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] Ja JSON, das die Strings darstellt, in denen Sie suchen möchten, in diesem Format: [ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] Ja Ein JSON, das beschreibt, welche Felder getestet werden sollen: [ "RegexForFieldName": “”,

„FieldName“: „Field name to search“,

"RegexForFieldValue": “”}]
ShouldEnrichEntity String domain_matched Nein Wenn der Wert auf <VAL> festgelegt ist, wird der Entität auch ein Anreicherungs-Wert zugewiesen, damit sie mit dem Wert als „abgeglichen“ erkannt wird.

Der Schlüssel ist <VAL>
IsCaseSensitive Kästchen Auswahl aufgehoben Nein Geben Sie an, ob beim Feld Groß- und Kleinschreibung berücksichtigt werden soll.

Beispiel

In diesem Szenario prüfen wir, ob im angegebenen Text eine Entität mit dem Feldnamen malicious vorhanden ist.

tools18

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der Ergebnisse 0
  • JSON-Ergebnis 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

Teilmengen der Prüfliste

Beschreibung

Prüft, ob Werte in einer Liste in einer anderen Liste vorhanden sind.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Original String – Ja Geben Sie die Liste der Elemente an, die geprüft werden sollen. JSON-Liste oder durch Kommas getrennt.
Teilmenge Liste – Ja Geben Sie die Teilmengenliste an. JSON-Liste oder durch Kommas getrennt.

Beispiel

In diesem Fall wird geprüft, ob die Werte 1, 2 und 3 in der ursprünglichen Liste mit den Werten 1, 2, 3, 4 und 5 vorhanden sind. Das Ergebnis ist „Wahr“.

tools15

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

In simulierten Fall umwandeln

Beschreibung

Wandelt einen Fall in einen simulierten Fall um, der in die Plattform geladen werden kann.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
An simulierte Fälle senden Kästchen Auswahl aufgehoben Nein Wenn diese Option ausgewählt ist, wird der Fall der Liste der verfügbaren simulierten Fälle hinzugefügt.
JSON als Case Wall-Datei speichern Kästchen Ausgewählt Nein Wenn diese Option ausgewählt ist, wird eine JSON-Datei, die den Fall darstellt, in der Fallübersicht gespeichert und kann heruntergeladen werden.
Name der Benachrichtigung überschreiben String Leer Nein Geben Sie einen neuen Namen für die Benachrichtigung an. Dieser Parameter ersetzt den Parameter Vollständiger Pfadname, falls dieser ausgewählt ist.
Vollständiger Name des Pfads Kästchen Auswahl aufgehoben Nein Wenn diese Option ausgewählt ist, verwenden Sie den Namen der Benachrichtigung als source_product_eventtype, z. B. QRadar_WinEventLog:Security_Remote fail login. Dieser Parameter wird ignoriert, wenn Override Alert Name festgelegt ist.

Beispiel

In diesem Beispiel wird ein Fall in einen simulierten Fall umgewandelt. Der Name der Benachrichtigung ist „Risky Sign On“ (Risikoreiche Anmeldung). Er wird auf dem Startbildschirm als einer der verfügbaren simulierten Fälle angezeigt.

convertsimcase1

convertsimcase2

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

Entitäten mit Trennzeichen erstellen

Beschreibung

Erstellt Entitäten und fügt sie der Benachrichtigung hinzu.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Entitäts-IDs String – Ja Geben Sie die Entität(en) an, die der Benachrichtigung hinzugefügt werden sollen.
Entitätstyp String – Ja Geben Sie den Entitätstyp an.
Ist intern Kästchen Auswahl aufgehoben Nein Prüfen Sie, ob die angegebene Einheit Teil eines internen Netzwerks ist.
Trennzeichen für Entitäten String , Ja Geben Sie das Trennzeichen an, das im Feld „Entitäts-IDs“ verwendet wird.
JSON-Datei für die Erweiterung Drop-down-Menü JSON Nein Geben Sie die Anreicherungsdaten im JSON-Format an.
PrefixForEnrichment String – Nein Geben Sie das Präfix an, das den Anreicherungsdaten hinzugefügt werden soll.

Beispiel

In diesem Szenario erstellen wir drei IP-Entitäten und reichern sie mit dem Feld „is_suspicious“ an.

tools9

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

Entitätsbeziehungen erstellen

Beschreibung

Erstellt eine Beziehung zwischen den angegebenen und den verknüpften Entitäten. Wenn die angegebenen Entitäten nicht vorhanden sind, werden sie erstellt.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Entitäts-ID(s) String – Ja Erstellt neue oder verwendet vorhandene Kennungen für Einheiten oder eine durch Kommas getrennte Liste von Kennungen.
Typ der Entitäts-ID(s) Drop-down-Menü Nutzername Ja Geben Sie den Entitätstyp an.
Verbinden als Drop-down-Menü Quelle Ja Verbindet Entitätskennungen über Quell-, Ziel- oder verknüpfte Beziehungen mit den Zielentitätskennungen.
Zielentitätstyp Drop-down-Menü Adresse Ja Geben Sie den Zielentitätstyp an, mit dem die Entitäts-IDs verknüpft werden sollen.
Zielentitäts-ID(s) String – Nein Die Elemente in dieser durch Kommas getrennten Liste

Der Typ aus „Target Entity Type“ wird mit den Entitäten im Parameter „Entities Identifier(s)“ verknüpft.

JSON-Datei für die Erweiterung JSON – Nein Ein optionales JSON-Objekt mit Schlüssel /

Wertepaare von Attributen, die den neu erstellten Entitäten hinzugefügt werden können.

Trennzeichen String – Nein Geben Sie das Zeichen an, mit dem die Liste der Entitäten in „Entitäts-IDs“ und/oder „Zielentitäts-IDs“ getrennt werden soll. Die Standardeinstellung ist „Komma“.

Beispiel

In diesem Szenario erstellen wir eine Beziehung zwischen einem Nutzer und einer URL. In diesem Fall hat Bola001 auf eine URL von beispiel.de zugegriffen.

tools13

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"Entity": "Bola001", "EntityResult": {}
}

Siemplify-Aufgabe erstellen

Beschreibung

Weist einem Nutzer oder einer Rolle eine Aufgabe zu. Die Aufgabe wird mit dem Fall verknüpft, für den die Aktion ausgeführt wurde.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Aufgabentitel String – Nein Geben Sie den Titel der Aufgabe an.
SLA (in Minuten) Ganzzahl 480 Ja Geben Sie an, wie viel Zeit in Minuten der zugewiesene Nutzer bzw. die zugewiesene Rolle hat, um auf die Aufgabe zu reagieren.
Aufgabeninhalt String – Ja Geben Sie die Details der Aufgabe an.
Zuweisen zu Drop-down-Menü – Ja Geben Sie den Nutzer oder die Rolle an, dem bzw. der die Aufgabe zugewiesen werden soll.

Beispiel

In diesem Szenario wird eine Aufgabe erstellt, in der der Tier 3-Support aufgefordert wird, einen Virenscan durchzuführen.

tools33

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Playbook für Verzögerung V2

Beschreibung

Die Ausführung eines Playbooks wird für einen bestimmten Zeitraum unterbrochen.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Sekunden Ganzzahl 0 Nein Geben Sie an, um wie viele Sekunden ein Playbook verzögert werden soll.
Minuten Ganzzahl 1 Nein Geben Sie an, um wie viele Minuten ein Playbook verzögert werden soll.
Stunden Ganzzahl 0 Nein Geben Sie an, um wie viele Stunden ein Playbook verzögert werden soll.
Tage Ganzzahl 0 Nein Geben Sie an, um wie viele Tage ein Playbook verzögert werden soll.
Cron-Ausdruck String – Nein Bestimmt mithilfe eines Cron-Ausdrucks, wann das Playbook fortgesetzt werden soll. Wird gegenüber den anderen Parametern priorisiert.

Beispiel

In diesem Szenario verzögern wir das Playbook um 12, 5 Stunden.

tools20

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

DNS-Lookup

Beschreibung

Führt eine DNS-Suche mit einem angegebenen DNS-Resolver durch.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
DNS-Server IP-Adresse – Ja Einzelne oder durch Kommas getrennte DNS-Server.

Beispiel

In diesem Beispiel wird die öffentliche DNS-Adresse von Google (8.8.8.8) verwendet, um nach externen Domain-Entitäten zu suchen.

toolsnew1

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

URL-Domain extrahieren

Beschreibung

Reichert alle Entitäten mit einem neuen Feld siemplifytools_extracted_domain an, das die aus der Entitäts-ID extrahierte Domain enthält. Wenn die Entität keine Domain hat (z. B. ein Dateihash), wird nichts zurückgegeben. Zusätzlich zu Entitäten kann der Nutzer eine Liste von URLs als Parameter angeben und diese ohne Anreicherung verarbeiten.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Trennzeichen String , Ja Geben Sie den Trennzeichenstring an, der zum Trennen von URLs verwendet werden soll.
URLs String – Nein Geben Sie mindestens eine URL an, aus der die Domain extrahiert werden soll.
Subdomain extrahieren Kästchen – Nein Geben Sie an, ob Sie auch die Subdomain extrahieren möchten.

Beispiel

In diesem Szenario wird die Domain aus der angegebenen URL extrahiert.

tools14

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der extrahierten Domains 1
  • JSON-Ergebnis 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

First Alert finden

Beschreibung

Gibt die Kennung der ersten Benachrichtigung in einem bestimmten Fall zurück.

Parameter

Keine anwendbaren Parameter.

Beispiel

In diesem Fall wird die Benachrichtigungs-ID der ersten Benachrichtigung im Fall zurückgegeben.

tools27

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wert für Benachrichtigungs-ID IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

Case-Daten abrufen

Beschreibung

Ruft alle Daten aus einem Fall ab und gibt ein JSON-Ergebnis zurück. Das Ergebnis enthält Kommentare, Informationen zu Rechtssubjekten, Statistiken, ausgeführte Playbooks, Informationen zu Benachrichtigungen und Ereignisse.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Anfrage-ID Ganzzahl – Nein Geben Sie die Fall-ID an, die abgefragt werden soll. Wenn Sie dieses Feld leer lassen, wird der aktuelle Fall verwendet.

Beispiel

In diesem Szenario rufen wir Falldetails aus dem aktuellen Fall ab.

tools35

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

Zertifikatsdetails abrufen

Beschreibung

Ruft Zertifikatsdetails einer bestimmten URL ab.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Zu prüfende URL URL expired.badssk.com Ja Geben Sie die URL an, von der die Zertifikatdetails abgerufen werden sollen.

Beispiel

In diesem Szenario rufen wir Zertifikatsdetails von der Website expired.badssl.com ab.

tools6

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

Kontextwert abrufen

Beschreibung

Ruft einen Wert eines Kontextschlüssels in einem Fall oder einer Benachrichtigung ab.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Umfang Drop-down-Menü Benachrichtigung Ja Geben Sie den Bereich der Schlüsselwerte an, z. B. Fall, Benachrichtigung oder global.
Schlüssel String – Ja Geben Sie den Schlüssel an.

Beispiel

In diesem Szenario rufen wir einen Kontextwert aus einem Schlüssel namens „impact“ in einem Fall ab. Diese Aktion wird zusammen mit der Aktion Kontextwert festlegen verwendet, mit der die Schlüssel/Wert-Paare dem Fall oder der Benachrichtigung hinzugefügt werden.

tools7

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Kontextwert Hoch


Get Current Time (Aktuelle Uhrzeit abrufen)

Beschreibung

Gibt das aktuelle Datum und die aktuelle Uhrzeit zurück.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Datums-/Uhrzeitformat String %d/%m/%Y %H:%M Ja Geben Sie das Format für Datum und Uhrzeit an.

Beispiel

In diesem Szenario wird ein Datums- und Zeitwert im folgenden Format zurückgegeben: %d/%m/%Y %H:%M:%S

tools22

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Datums-/Uhrzeitwert 11.03.2022 20:33:43

E‑Mail-Vorlagen abrufen

Beschreibung

Gibt alle E-Mail-Vorlagen im System zurück.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Vorlagentyp Drop-down-Menü Standard Ja Geben Sie den zurückzugebenden Vorlagentyp an: Standard oder HTML.

Beispiel

In diesem Szenario geben wir alle HTML-basierten E‑Mail-Vorlagen zurück.

tools8

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult JSON-Ergebnis mit HTML-Code JSON-Ergebnis im nächsten Abschnitt
  • JSON-Ergebnis 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

Integrationsinstanzen abrufen

Beschreibung

Gibt alle Integrationsinstanzen für eine Umgebung zurück.

Parameter

Keine anwendbaren Parameter.

Beispiel

In diesem Fall werden alle Integrationsinstanzen in allen Umgebungen zurückgegeben.

tools19

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

Original-JSON für Benachrichtigung abrufen

Beschreibung

Gibt das JSON-Ergebnis der ursprünglichen Benachrichtigung (Rohdaten) zurück.

Parameter

Keine Parameter anwendbar

Beispiel

In diesem Szenario wird das ursprüngliche Roh-JSON des Hinweises zurückgegeben.

tools21

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Siemplify-Nutzer abrufen

Beschreibung

Gibt eine Liste aller im System konfigurierten Nutzer zurück.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Deaktivierte Nutzer ausblenden Kästchen Ausgewählt Nein Geben Sie an, ob deaktivierte Nutzer in den Ergebnissen ausgeblendet werden sollen.

Beispiel

In diesem Fall werden alle Nutzer im System zurückgegeben, einschließlich deaktivierter Nutzer.

tools17

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

Playbook sperren

Beschreibung

Pausiert das aktuelle Playbook, bis alle Playbooks des vorherigen Alerts abgeschlossen sind.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Zeitlimit asynchroner Vorgang Ganzzahlen 1 Tag Nein Das Zeitlimit für asynchrone Vorgänge legt die zulässige Gesamtzeit für diesen Vorgang fest (Laufzeit aller Iterationen).
Asynchrones Polling-Interval Ganzzahlen 1 Stunde Nein Legen Sie die Zeitspanne zwischen den Polling-Versuchen während der Laufzeit eines asynchronen Vorgangs fest.

Beispiel

In diesem Szenario wird das aktuelle Playbook pausiert und alle 30 Sekunden geprüft, ob alle Playbooks in der vorherigen Benachrichtigung im Fall abgeschlossen sind.

tools26

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Nachgeahmte Domains

Beschreibung

Vergleicht Domain-Entitäten mit der Liste der für die Umgebung definierten Domains. Wenn die Domains ähnlich sind, wird die Entität als verdächtig markiert und mit der entsprechenden Domain angereichert.

Parameter

Keine anwendbaren Parameter

Beispiel

In diesem Szenario wird geprüft, ob externe Domain-Entitäten den in der Domainliste in den Einstellungen konfigurierten Domains ähneln.

tools28

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    look_a_like_domain_found Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

Entitätsanreicherung normalisieren

Beschreibung

Empfängt eine Liste von Schlüsseln aus der Entität und ersetzt sie.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Normalisierungsdaten JSON – Ja Geben Sie das JSON im folgenden Formatbeispiel an: [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

Beispiel

In diesem Szenario ersetzen wir den Entitätsschlüssel von is_bad durch malicious.

tools11

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der angereicherten Elemente 5

Playbook neu anhängen

Beschreibung

Entfernt ein Playbook aus einem Fall, löscht alle Ergebnisdaten im Fall aus diesem Playbook und hängt das Playbook wieder an, damit es noch einmal ausgeführt wird. Erfordert die Installation der PostgreSQL-Integration, die für die freigegebene Umgebung mit dem Instanznamen „Google SecOps SOAR“ konfiguriert ist. Weitere Informationen erhalten Sie vom CSM-Team oder vom Support.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Playbook-Name Drop-down-Menü – Ja Geben Sie das Playbook an, das Sie wieder anhängen möchten.

Beispiel

In diesem Szenario hängen wir ein Playbook namens „attach_playbook_test“ wieder an.

tools25

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/Falsch/Bitte konfigurieren Sie die Google SecOps SOAR-Instanz der PostgreSQL-Integration. Wahr

Suchtext

Beschreibung

Suchen Sie im Eingabetext nach dem Parameter „Search For“ (Suchen nach) oder durchlaufen Sie die Liste „Search For Regex“ (Regex für die Suche) und suchen Sie nach Übereinstimmungen im Eingabetext. Wenn es eine Übereinstimmung gibt, gibt die Aktion true zurück.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Text String – Ja Geben Sie den Text an, nach dem gesucht werden soll.
Suchen nach String – Nein Geben Sie den String an, nach dem gesucht werden soll, indem Sie ihn in das Feld „text“ einfügen.
Nach regulärem Ausdruck suchen String – Nein Liste der regulären Ausdrücke, die zum Durchsuchen des Strings verwendet werden. Der reguläre Ausdruck muss in doppelte Anführungszeichen gesetzt werden. Unterstützt durch Kommas getrennte Listen.
Groß-/Kleinschreibung beachten Kästchen – Nein Geben Sie an, ob bei der Suche zwischen Groß- und Kleinschreibung unterschieden werden soll.

Beispiel

In diesem Szenario wird geprüft, ob das Wort malicious im Feldwert Text vorhanden ist.

tools31

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    match_found Wahr/falsch Wahr
  • JSON-Ergebnis 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

Kontextwert festlegen

Beschreibung

Legt einen Schlüssel und einen Wert in einem bestimmten Kontext fest. Diese Aktion wird häufig mit der Aktion „Kontextwert abrufen“ verwendet, um den Wert des Schlüssels abzurufen.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Wert String – Ja Geben Sie den Kontextwert an.
Schlüssel String – Ja Geben Sie den Kontextschlüssel an.
Umfang Drop-down-Menü Benachrichtigung Ja Geben Sie den Bereich für die Kontextzuweisung an (Meldung, Fall, Global).

Beispiel

In diesem Fall legen wir den Kontextschlüssel „malicious“ auf den Wert „yes“ fest.

tools32

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Spell Check String

Beschreibung

Überprüfen Sie die Rechtschreibung der Eingabe. Die Ausgabe enthält die Genauigkeit in Prozent, die Gesamtzahl der Wörter, die Gesamtzahl der falsch geschriebenen Wörter, eine Liste der einzelnen falsch geschriebenen Wörter und der Korrektur sowie eine korrigierte Version des Eingabestrings.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
String String – Ja Geben Sie den String an, der auf Rechtschreibfehler geprüft werden soll.

Beispiel

In diesem Beispiel wird die folgende Eingabezeichenfolge auf Rechtschreibfehler geprüft:
„Testing if this is a mispelled wodr.“

tools30

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    accuracy_percentage Prozentwert 71
  • JSON-Ergebnis 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

Benachrichtigungsbewertung aktualisieren

Beschreibung

Aktualisiert die Benachrichtigungsbewertung um den angegebenen Betrag.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Eingabe Ganzzahl – Ja Geben Sie den Betrag an, um den der Wert erhöht oder verringert werden soll (negative Zahl).

Beispiel

In diesem Fall wird der Warnungsfaktor um 20 Punkte gesenkt.

tools23

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Eingabewert -20

Anfragebeschreibung aktualisieren

Beschreibung

Aktualisiert die Beschreibung eines Falls.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Fallbeschreibung String – Ja Geben Sie die aktualisierte Beschreibung an.

Beispiel

In diesem Beispiel wird die Fallbeschreibung zu „Dieser Fall bezieht sich auf verdächtige Anmeldungen.“ aktualisiert.

tools10

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Wait For Playbook to Complete

Beschreibung

Pausiert das aktuelle Playbook, bis ein anderes Playbook oder ein anderer Block, der für dieselbe Benachrichtigung ausgeführt wird, abgeschlossen ist.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Playbook-Name String – Nein Geben Sie den Namen des Blocks oder Playbooks an, das Sie zuerst abschließen möchten.

Beispiel

In diesem Szenario wird das aktuelle Playbook pausiert, bis der „Untersuchungsblock“, der für dieselbe Benachrichtigung ausgeführt wird, abgeschlossen ist.

tools36

Aktionsergebnisse

  • Scriptergebnis
    Name des Scriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Wahr

Jobs

Beschreibung

Bei diesem Job werden alle Fälle geschlossen, die auf einer Suchanfrage basieren. Damit die Fallbearbeitung effizient abläuft, sollten Sie die folgenden Richtlinien beachten:

  • 1–50 Fälle: Schließen Sie diese direkt auf dem Bildschirm Fälle.
  • Mehr als 50 Vorgänge: Verwenden Sie diesen Job für den Massenabschluss.

Search Payload ist die Nutzlast, die im CaseSearchEverything API-Aufruf verwendet wird. So rufen Sie diesen Wert ab:

  1. Rufen Sie in der Benutzeroberfläche Search auf und öffnen Sie die Entwicklertools Ihres Browsers.
  2. Suchen Sie nach den Anfragen, die Sie löschen möchten.
  3. Suchen Sie auf dem Tab Network (Netzwerk) nach dem API-Aufruf CaseSearchEverything.
  4. Kopieren Sie die JSON-Nutzlast der POST-Anfrage und fügen Sie sie in das Feld Search Payload ein.

Close Reason muss 0 (schädlich) oder 1 (nicht schädlich) sein. Die Root Cause-ID finden Sie unter Einstellungen > Fall-Daten > Ursache für Schließen des Falls.

Wenn das Problem dadurch nicht behoben wird, wenden Sie sich an Cloud Customer Care.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Suchnutzlast JSON – Nein Geben Sie die JSON-Nutzlast an, die durchsucht werden soll. Beispiel: {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
Kommentar schließen String – Ja Geben Sie einen Schließkommentar an.
Grund für Schließen String – Ja Geben Sie den Grund für die Sperrung an: 0 für schädlich, 1 für nicht schädlich.
Ursache Ganzzahl – Ja Geben Sie die Ursache an. Die Ursache finden Sie unter Einstellungen > Falldaten > Ursache für Schließen des Falls.
Google SecOps SOAR-Nutzername String – Ja Geben Sie den Google SecOps SOAR-Nutzernamen an.
Google SecOps SOAR-Passwort Passwort – Ja Geben Sie das Google SecOps SOAR-Passwort an.

Nicht bearbeitete Fälle taggen

Beschreibung

Bei diesem Job wird nach offenen Anfragen gesucht, die über einen bestimmten Zeitraum hinweg nicht geändert wurden. Anschließend werden diesen Anfragen bestimmte Tags zugewiesen. Bei diesem Prozess werden Fälle ermittelt, die nicht vorankommen und weitere Aufmerksamkeit oder eine manuelle Überprüfung erfordern.

Jobverhalten

  • Suchzeitraum:Für den Job wird ein systemdefinierter Suchzeitraum von 30 Tagen verwendet.
  • Systemeinschränkung:In der Suchanfrage werden keine Fälle erfasst, die länger als 30 Tage (720 Stunden) unverändert bleiben. Diese Einschränkung bleibt auch dann bestehen, wenn Unmodified time auf einen höheren Wert festgelegt ist.
  • Tag-Anwendung: Der Job wendet die in den Parametern definierten Tags auf die Metadaten aller identifizierten Fälle an, die in den 30-Tage-Sichtbarkeitszeitraum fallen.

Parameter

Parameter Typ Standardwert Obligatorisch Beschreibung
Tags String – Ja Gibt das Tag oder die Tags an, die auf identifizierte Fälle angewendet werden sollen. Dies unterstützt kommagetrennte Werte für mehrere Tags.
Unveränderte Zeit Ganzzahl – Ja Gibt den Inaktivitätsschwellenwert in Stunden an. Mit dem Job werden Tags auf Fälle angewendet, die diesen Wert überschreiten, ohne dass eine Änderung aufgezeichnet wurde.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten