Tools

Unterstützt in:

Eine Reihe von Dienstprogrammaktionen zur Datenbearbeitung, um die Playbook-Funktionen zu erweitern.

Aktionen

Im Folgenden sind die Arten von Aktionen aufgeführt, die Sie mit dem Tools-Power-up ausführen können.

Informationen zur Bewertung von Benachrichtigungen hinzufügen

Beschreibung

Fügt der Datenbank für die Bewertung von Benachrichtigungen einen Eintrag hinzu. Der Benachrichtigungswert basiert auf dem Verhältnis: 5 Niedrig = 1 Mittel. 3 mittlere = 1 hohe. 2 Hoch = 1 Kritisch. Dem Fall wurde ein optionales Tag hinzugefügt.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Name String – Ja Name der Prüfung, die für die Benachrichtigung durchgeführt wurde.
Beschreibung String – Ja Beschreibung der Prüfung, die für die Benachrichtigung durchgeführt wurde.
Schweregrad String Informationell Ja Schweregrad.
Kategorie String – Ja Kategorie der durchgeführten Prüfung.
Quelle String – Nein Teil der Benachrichtigung, aus dem die Punktzahl abgeleitet wurde. Beispiel: Dateien, Nutzer, E-Mail.
Fall-Tag String – Nein Tags, die dem Fall hinzugefügt werden sollen.

Beispiel

In diesem Beispiel wird die Warnungsbewertung aufgrund eines verdächtigen Ergebnisses von VirusTotal auf „Hoch“ gesetzt.

tools16

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    Alert_score Information, Niedrig, Mittel, Hoch, Kritisch Hoch
  • JSON-Ergebnis 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

Kommentar zum Entitätsprotokoll hinzufügen

Beschreibung

Fügt dem Entitätslog für jede Entität im Entitäts-Explorer einen Kommentar hinzu.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Nutzer Drop-down-Menü @Administrator Ja Geben Sie den Nutzer an, der den Kommentar erstellt hat.
Kommentar String – Ja Geben Sie den Kommentar an, der dem Entitätslog hinzugefügt werden soll.

Beispiel

tools24

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    – – –

Zusätzliche Daten für Benachrichtigungen hinzufügen oder aktualisieren

Beschreibung

Fügt Felder in den zusätzlichen Daten der Benachrichtigung hinzu oder aktualisiert sie. Die Ergebnisse werden in der Übersicht Benachrichtigungen im Feld OFFENSE_ID angezeigt.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
JSON-Felder JSON – Ja Geben Sie Freitext (für eine Variable) oder einen String ein, der ein JSON-Wörterbuch darstellt (kann verschachtelt sein).

Beispiel

In diesem Beispiel werden den Benachrichtigungen MITRE-Angriffsdetails hinzugefügt, die in der Benachrichtigungsübersicht angezeigt werden sollen.

tools1

tools2

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der Elemente im Wörterbuch 2
  • JSON-Ergebnis 
    {
"dict": {"mitre": " T1059"}, "list": []
}

An Kontextwert anhängen

Beschreibung

Hängt einen Wert an eine vorhandene Kontexteigenschaft an oder erstellt eine neue Kontexteigenschaft, falls sie nicht vorhanden ist, und fügt den Wert hinzu.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Schlüssel String – Ja Geben Sie den Schlüssel für das Kontextattribut an.
Wert String – Ja Geben Sie den Wert an, der an das Kontextattribut angehängt werden soll.
Trennzeichen String – Ja Geben Sie das im Wertfeld verwendete Trennzeichen an.

Beispiel

In diesem Szenario fügen wir einem vorhandenen Kontextschlüssel „MITRE“ die Werte „T1595“ und „T1140“ hinzu.

tools12

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Kontextwerte T1595, T1140

Fall einem Nutzer zuweisen

Beschreibung

Weist einem Nutzer einen Fall zu.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Anfrage-ID String – Ja Geben Sie die Fall-ID an. Verwenden Sie [Case.Id] für den aktuellen Fall.
Zuweisen zu String @Admin Ja Geben Sie den Nutzer an, dem eine Anfrage zugewiesen werden soll. Dies ist die ID des Nutzers. Verwenden Sie die Aktion „Get Siemplify Users“, um die ID für einen bestimmten Nutzer abzurufen.
Benachrichtigungs-ID String
Ja Geben Sie die Benachrichtigungs-ID an. Verwenden Sie [Alert.Identifier].

Beispiel

In diesem Szenario weisen wir den aktuellen Fall einem bestimmten Nutzer anhand seiner ID zu.

tools34

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

Playbook an eine Benachrichtigung anhängen

Beschreibung

Hängt ein bestimmtes Playbook oder einen bestimmten Block an die aktuelle Benachrichtigung an.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Playbook-Name String – Ja Name des Playbooks oder Blocks, der allen Fallbenachrichtigungen hinzugefügt werden soll.

Beispiel

In diesem Beispiel wird ein Block mit dem Namen Containment Block an die aktuellen Fallbenachrichtigungen angehängt.

tools4

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult true oder false true

Playbook an alle Fallbenachrichtigungen anhängen

Beschreibung

Hängt ein bestimmtes Playbook oder einen bestimmten Block an alle Benachrichtigungen in einem Fall an.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Playbook-Name String – Ja Playbook- oder Blockname, der allen Benachrichtigungen in einem Fall hinzugefügt werden soll.

Beispiel

In diesem Beispiel wird ein Playbook mit dem Namen Phishing playbookM an alle Fallbenachrichtigungen angehängt.

tools3

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult true oder false true

Buffer

Beschreibung

JSON-Eingabe in ein JSON-Objekt konvertieren

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
ResultValue String – Nein Platzhalterwert, der als ScriptResult-Wert zurückgegeben wird.
JSON JSON – Nein JSON-Code im Ausdruck-Builder

Beispiel

In diesem Beispiel wird der JSON-Eingabewert im JSON-Ausdruckseditor angezeigt, um ihn für weitere Aktionen zu verwenden.

tools5-buffer

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Eingabewert für Parameter ResultValue Erfolgreich
  • JSON-Ergebnis 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

Fallnamen ändern

Beschreibung

Ändert den Namen oder Titel einer Anfrage.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Neuer Name String – Nein Geben Sie den neuen Namen der Anfrage an.
Nur bei erster Warnung Kästchen Auswahl aufgehoben Nein Wenn diese Option ausgewählt ist, wird der Name des Falls nur geändert, wenn die Aktion für die erste Benachrichtigung im Fall ausgeführt wurde.

Beispiel

In diesem Szenario wird der Titel eines Falls nur dann in „Phishing – verdächtige E-Mail“ geändert, wenn er in der ersten Benachrichtigung ausgeführt wird.

tools29

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

Entitätsfelder im Text prüfen

Beschreibung

Suchen Sie nach einem bestimmten Feld aus jeder Entität im Bereich (oder nach mehreren Feldern mit Regex) und vergleichen Sie es mit einem oder mehreren Werten. Die verglichenen Werte können auch reguläre Ausdrücke sein. Eine Übereinstimmung wird gefunden, wenn einer der Werte des regulären Ausdrucks nach der Entitätsanreicherung in einem oder mehreren der durchsuchten Werte enthalten ist.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] Ja JSON, das die Strings darstellt, die Sie in diesem Format durchsuchen möchten: [ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] Ja Ein JSON-Objekt, das beschreibt, welche Felder getestet werden sollen: [ "RegexForFieldName": “”,

"FieldName": "Field name to search",

"RegexForFieldValue": “”}]
ShouldEnrichEntity String domain_matched Nein Wenn der Wert auf <VAL> festgelegt ist, wird der Entität auch ein Anreicherungswert zugewiesen, der als „Übereinstimmung“ mit dem Wert erkannt wird.

Der Schlüssel lautet <VAL>
IsCaseSensitive Kästchen Auswahl aufgehoben Nein Geben Sie an, ob beim Feld Groß- und Kleinschreibung berücksichtigt werden soll.

Beispiel

In diesem Szenario prüfen wir, ob im angegebenen Text eine Entität mit dem Feldnamen malicious vorhanden ist.

tools18

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der Ergebnisse 0
  • JSON-Ergebnis 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

Teilmenge der Prüfliste

Beschreibung

Prüft, ob Werte in einer Liste in einer anderen Liste vorhanden sind.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Original String – Ja Geben Sie die Liste der Elemente an, die geprüft werden sollen. JSON-Liste oder durch Kommas getrennt.
Teilmenge Liste – Ja Geben Sie die Teilmengenliste an. JSON-Liste oder kommagetrennt.

Beispiel

In diesem Szenario wird geprüft, ob die Werte 1, 2 und 3 in der ursprünglichen Liste 1, 2, 3, 4, 5 vorhanden sind. Das Ergebnis ist „true“.

tools15

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

In simulierten Fall umwandeln

Beschreibung

Konvertiert einen Fall in einen simulierten Fall, der in die Plattform geladen werden kann.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
An simulierte Fälle übertragen Kästchen Auswahl aufgehoben Nein Wenn Sie diese Option auswählen, wird der Fall der Liste der verfügbaren simulierten Fälle hinzugefügt.
JSON als Case Wall-Datei speichern Kästchen Ausgewählt Nein Wenn diese Option ausgewählt ist, wird eine JSON-Datei, die den Fall darstellt, auf der Fallpinnwand gespeichert und kann heruntergeladen werden.
Name der Benachrichtigung überschreiben String Leer Nein Geben Sie einen neuen Namen für die Benachrichtigung an. Dieser Parameter ersetzt den Parameter Vollständiger Pfadname, falls ausgewählt.
Vollständiger Name des Pfads Kästchen Auswahl aufgehoben Nein Wenn Sie diese Option auswählen, verwenden Sie den Namen der Benachrichtigung als source_product_eventtype, z. B. QRadar_WinEventLog:Security_Remote fail login. Dieser Parameter wird ignoriert, wenn Benachrichtigungsname überschreiben festgelegt ist.

Beispiel

In diesem Beispiel wird ein Fall in einen simulierten Fall umgewandelt. Als Name der Benachrichtigung wird „Risky Sign On“ verwendet. Dieser wird als einer der verfügbaren simulierten Fälle auf dem Startbildschirm angezeigt.

convertsimcase1

convertsimcase2

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

Entitäten mit Trennzeichen erstellen

Beschreibung

Erstellt Entitäten und fügt sie der Benachrichtigung hinzu.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Entitäts-IDs String – Ja Geben Sie die Entität oder Entitäten an, die der Benachrichtigung hinzugefügt werden sollen.
Entitätstyp String – Ja Geben Sie den Entitätstyp an.
Ist intern Kästchen Auswahl aufgehoben Nein Prüfen Sie, ob die angegebene Entität Teil eines internen Netzwerks ist.
Entitätentrennzeichen String , Ja Geben Sie das Trennzeichen an, das im Feld für die Entitätskennungen verwendet wird.
Anreicherungs-JSON Drop-down-Menü JSON Nein Geben Sie Anreicherungsdaten im JSON-Format an.
PrefixForEnrichment String – Nein Geben Sie das Präfix an, das den Anreicherungsdaten hinzugefügt werden soll.

Beispiel

In diesem Szenario erstellen wir drei IP-Entitäten und reichern sie mit einem Feld namens „is_suspicious“ an.

tools9

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

Entitätsbeziehungen erstellen

Beschreibung

Erstellt eine Beziehung zwischen den angegebenen Entitäten und den verknüpften Entitäten. Wenn die angegebenen Entitäten nicht vorhanden sind, werden sie erstellt.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Entitäts-ID(s) String – Ja Erstellt neue oder verwendet vorhandene Entitätskennungen oder eine durch Kommas getrennte Liste von Kennungen.
Typ der Entitäts-ID(s) Drop-down-Menü Nutzername Ja Geben Sie den Entitätstyp an.
Verbinden als Drop-down-Menü Quelle Ja Verbindet Entitätskennungen über Quell-, Ziel- oder verknüpfte Beziehungen mit den Zielentitätskennungen.
Zielentitätstyp Drop-down-Menü Adresse Ja Geben Sie den Zielentitätstyp an, mit dem die Entitätskennungen verbunden werden sollen.
Zielentitäts-ID(s) String – Nein Entitäten in dieser durch Kommas getrennten Liste,

Der Typ aus „Zielentitätstyp“ wird mit den Entitäten im Parameter „Entitätskennungen“ verknüpft.

Anreicherungs-JSON JSON – Nein Ein optionales JSON-Objekt, das Schlüssel/

Wertpaare von Attributen, die den neu erstellten Entitäten hinzugefügt werden können.

Trennzeichen String – Nein Geben Sie das Zeichen an, durch das die Liste der Entitäten in „Entitätskennungen“ und/oder „Zielentitätskennungen“ getrennt werden soll. Die Standardeinstellung ist ein Komma.

Beispiel

In diesem Szenario erstellen wir eine Beziehung zwischen einem Nutzer und einer URL. In diesem Fall hat Bola001 auf eine URL von example.com zugegriffen.

tools13

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"Entity": "Bola001", "EntityResult": {}
}

Siemplify-Aufgabe erstellen

Beschreibung

Weist einem Nutzer oder einer Rolle eine Aufgabe zu. Die Aufgabe bezieht sich auf den Fall, für den die Aktion ausgeführt wurde.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Aufgabentitel String – Nein Geben Sie den Titel der Aufgabe an.
SLA (in Minuten) Ganzzahl 480 Ja Geben Sie die Zeit in Minuten an, die der zugewiesene Nutzer bzw. die zugewiesene Rolle hat, um auf die Aufgabe zu reagieren.
Aufgabeninhalt String – Ja Geben Sie die Details der Aufgabe an.
Zuweisen zu Drop-down-Menü – Ja Geben Sie den Nutzer oder die Rolle an, dem bzw. der die Aufgabe zugewiesen werden soll.

Beispiel

In diesem Szenario wird eine Aufgabe erstellt, die Tier 3 anweist, einen Virenscan auszuführen.

tools33

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

Playbook „Verzögerung“ (V2)

Beschreibung

Verhindert vorübergehend, dass ein Playbook für einen bestimmten Zeitraum abgeschlossen wird.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Sekunden Ganzzahl 0 Nein Geben Sie die Anzahl der Sekunden an, um die ein Playbook verzögert werden soll.
Minuten Ganzzahl 1 Nein Geben Sie die Anzahl der Minuten an, um die ein Playbook verzögert werden soll.
Stunden Ganzzahl 0 Nein Geben Sie die Anzahl der Stunden an, um die ein Playbook verzögert werden soll.
Tage Ganzzahl 0 Nein Geben Sie die Anzahl der Tage an, um die ein Playbook verzögert werden soll.
Cron-Ausdruck String – Nein Bestimmt mithilfe eines Cron-Ausdrucks, wann das Playbook fortgesetzt werden soll. Wird gegenüber den anderen Parametern priorisiert.

Beispiel

In diesem Szenario verzögern wir das Playbook um 12, 5 Stunden.

tools20

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

DNS-Lookup

Beschreibung

Führt eine DNS-Suche mit einem angegebenen DNS-Resolver durch.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
DNS-Server IP-Adresse – Ja Einzelne oder durch Kommas getrennte DNS-Server.

Beispiel

In diesem Beispiel wird die öffentliche DNS-Adresse von Google (8.8.8.8) verwendet, um nach externen Domainentitäten zu suchen.

toolsnew1

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

URL-Domain extrahieren

Beschreibung

Reichert alle Entitäten mit dem neuen Feld siemplifytools_extracted_domain an, das die extrahierte Domain aus der Entitätskennung enthält. Wenn die Entität keine Domain hat (z. B. Dateihash), wird nichts zurückgegeben. Zusätzlich zu Entitäten kann der Nutzer eine Liste von URLs als Parameter angeben und diese ohne Anreicherung verarbeiten.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Trennzeichen String , Ja Geben Sie den Trennzeichenstring an, der zum Trennen von URLs verwendet werden soll.
URLs String – Nein Geben Sie eine oder mehrere URLs an, aus denen die Domain extrahiert werden soll.
Subdomain extrahieren Kästchen – Nein Geben Sie an, ob Sie auch die Subdomain extrahieren möchten.

Beispiel

In diesem Szenario extrahieren wir die Domain aus der angegebenen URL.

tools14

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der extrahierten Domains 1
  • JSON-Ergebnis 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

First Alert finden

Beschreibung

Gibt die Kennung der ersten Benachrichtigung in einem bestimmten Fall zurück.

Parameter

Keine Parameter anwendbar.

Beispiel

In diesem Szenario wird die Benachrichtigungs-ID der ersten Benachrichtigung im Fall zurückgegeben.

tools27

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wert der Benachrichtigungs-ID IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

Falldaten abrufen

Beschreibung

Ruft alle Daten aus einem Fall ab und gibt ein JSON-Ergebnis zurück. Das Ergebnis enthält Kommentare, Entitätsinformationen, Statistiken, ausgeführte Playbooks, Benachrichtigungsinformationen und Ereignisse.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Anfrage-ID Ganzzahl – Nein Geben Sie die Fall-ID an, die abgefragt werden soll. Wenn Sie dieses Feld leer lassen, wird die aktuelle Anfrage verwendet.

Beispiel

In diesem Szenario rufen wir Falldetails aus dem aktuellen Fall ab.

tools35

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

Zertifikatsdetails abrufen

Beschreibung

Ruft Zertifikatsdetails einer bestimmten URL ab.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Zu prüfende URL URL expired.badssk.com Ja Geben Sie die URL an, von der Zertifikatsdetails abgerufen werden sollen.

Beispiel

In diesem Szenario rufen wir Zertifikatsdetails von der Website expired.badssl.com ab.

tools6

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

Kontextwert abrufen

Beschreibung

Ruft den Wert eines Kontextschlüssels in einem Fall oder einer Benachrichtigung ab.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Umfang Drop-down-Menü Benachrichtigung Ja Geben Sie den Bereich der Schlüsselwerte an, d. h. ob sie sich in einem Fall, einer Benachrichtigung oder global befinden.
Schlüssel String – Ja Geben Sie den Schlüssel an.

Beispiel

In diesem Szenario rufen wir einen Kontextwert aus einem Schlüssel namens „impact“ in einem Fall ab. Diese Aktion wird zusammen mit der Aktion Kontextwert festlegen verwendet, mit der dem Fall oder der Benachrichtigung die Schlüssel/Wert-Paare hinzugefügt werden.

tools7

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Kontextwert Hoch


Aktuelle Uhrzeit abrufen

Beschreibung

Gibt das aktuelle Datum und die aktuelle Uhrzeit zurück.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Datums-/Uhrzeitformat String %d/%m/%Y %H:%M Ja Geben Sie das Format für Datum und Uhrzeit an.

Beispiel

In diesem Szenario wird ein Datums- und Uhrzeitwert im folgenden Format zurückgegeben: %d/%m/%Y %H:%M:%S

tools22

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Datums-/Uhrzeitwert 03/11/2022 20:33:43

E‑Mail-Vorlagen abrufen

Beschreibung

Gibt alle E-Mail-Vorlagen im System zurück.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Vorlagentyp Drop-down-Menü Standard Ja Geben Sie den Vorlagentyp an, der zurückgegeben werden soll: Standard oder HTML.

Beispiel

In diesem Szenario werden alle HTML-basierten E‑Mail-Vorlagen zurückgegeben.

tools8

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult JSON-Ergebnis mit HTML-Code JSON-Ergebnis im nächsten Abschnitt
  • JSON-Ergebnis 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

Integrationsinstanzen abrufen

Beschreibung

Gibt alle Integrationsinstanzen für eine Umgebung zurück.

Parameter

Keine Parameter anwendbar.

Beispiel

In diesem Szenario werden alle Integrationsinstanzen in allen Umgebungen zurückgegeben.

tools19

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

Ursprünglichen JSON-Code der Benachrichtigung abrufen

Beschreibung

Gibt das JSON-Ergebnis der ursprünglichen Benachrichtigung (Rohdaten) zurück.

Parameter

Keine Parameter anwendbar

Beispiel

In diesem Szenario wird die ursprüngliche JSON-Rohdatei der Benachrichtigung zurückgegeben.

tools21

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Siemplify-Nutzer abrufen

Beschreibung

Gibt eine Liste aller im System konfigurierten Nutzer zurück.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Deaktivierte Nutzer ausblenden Kästchen Ausgewählt Nein Geben Sie an, ob deaktivierte Nutzer in den Ergebnissen ausgeblendet werden sollen.

Beispiel

In diesem Szenario werden alle Nutzer im System zurückgegeben, einschließlich deaktivierter Nutzer.

tools17

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

Playbook sperren

Beschreibung

Pausiert das aktuelle Playbook, bis alle Playbooks aus der vorherigen Benachrichtigung abgeschlossen sind.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Zeitlimit asynchroner Vorgang Ganzzahlen 1 Tag Nein Das Zeitlimit für asynchrone Vorgänge legt die zulässige Gesamtzeit für diesen Vorgang fest (Laufzeit aller Iterationen).
Asynchrones Polling-Interval Ganzzahlen 1 Stunde Nein Legen Sie die Zeitspanne zwischen den Polling-Versuchen während der Laufzeit eines asynchronen Vorgangs fest.

Beispiel

In diesem Szenario pausieren wir das aktuelle Playbook und prüfen alle 30 Sekunden, ob alle Playbooks in der vorherigen Benachrichtigung im Fall abgeschlossen sind.

tools26

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

Nachgeahmte Domains

Beschreibung

Vergleicht Domainentitäten mit der Liste der für die Umgebung definierten Domains. Wenn die Domains ähnlich sind, wird die Entität als verdächtig markiert und mit der übereinstimmenden Domain angereichert.

Parameter

Keine Parameter anwendbar

Beispiel

In diesem Szenario wird geprüft, ob externe Domainentitäten den Domains ähneln, die in den Einstellungen in der Domainliste konfiguriert sind.

tools28

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    look_a_like_domain_found Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

Entitätsanreicherung normalisieren

Beschreibung

Empfängt eine Liste von Schlüsseln von der Entität und ersetzt sie.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Normalisierungsdaten JSON – Ja Geben Sie die JSON-Datei im folgenden Format an: [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

Beispiel

In diesem Szenario ersetzen wir den Entitätsschlüssel is_bad durch malicious.

tools11

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Anzahl der angereicherten Entitäten 5

Playbook wieder anhängen

Beschreibung

Entfernt ein Playbook aus einem Fall, löscht alle Ergebnisdaten im Fall aus diesem Playbook und hängt das Playbook wieder an, damit es noch einmal ausgeführt wird. Erfordert die Installation der PostgreSQL-Integration, die für die freigegebene Umgebung mit dem Instanznamen Google SecOps SOAR konfiguriert ist. Weitere Informationen erhalten Sie vom CSM/Support.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Playbook-Name Drop-down-Menü – Ja Geben Sie das Playbook an, das wieder angehängt werden soll.

Beispiel

In diesem Szenario hängen wir ein Playbook mit dem Namen attach_playbook_test wieder an.

tools25

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr oder unwahr/Konfigurieren Sie die Google SecOps SOAR-Instanz der PostgreSQL-Integration. Richtig

Suchtext

Beschreibung

Sucht im Eingabetext nach dem Parameter „Search For“ oder durchläuft die Liste „Search For Regex“ und sucht im Eingabetext nach Übereinstimmungen. Wenn eine Übereinstimmung gefunden wird, gibt die Aktion true zurück.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Text String – Ja Geben Sie den Text an, der durchsucht werden soll.
Suchen nach String – Nein Geben Sie im Feld „text“ den String an, nach dem gesucht werden soll.
Nach regulärem Ausdruck suchen String – Nein Liste der regulären Ausdrücke, die zum Suchen im String verwendet werden. Der reguläre Ausdruck muss in doppelte Anführungszeichen gesetzt werden. Unterstützt eine durch Kommas getrennte Liste.
Groß-/Kleinschreibung beachten Kästchen – Nein Geben Sie an, ob bei der Suche zwischen Groß- und Kleinschreibung unterschieden werden soll.

Beispiel

In diesem Szenario prüfen wir, ob das Wort malicious im Wert des Felds Text vorhanden ist.

tools31

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    match_found Wahr/falsch Richtig
  • JSON-Ergebnis 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

Kontextwert festlegen

Beschreibung

Legt einen Schlüssel und einen Wert in einem bestimmten Kontext fest. Diese Aktion wird häufig mit der Aktion „Kontextwert abrufen“ verwendet, um den Wert des Schlüssels abzurufen.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Wert String – Ja Geben Sie den Kontextwert an.
Schlüssel String – Ja Geben Sie den Kontextschlüssel an.
Umfang Drop-down-Menü Benachrichtigung Ja Geben Sie den Bereich für die Kontextzuweisung an (Benachrichtigung, Fall, Global).

Beispiel

In diesem Szenario legen wir den Kontextschlüssel „malicious“ auf den Wert „yes“ fest.

tools32

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

String für die Rechtschreibprüfung

Beschreibung

Prüfen Sie die Schreibweise des Eingabestrings. Die Ausgabe enthält die Genauigkeit in Prozent, die Gesamtzahl der Wörter, die Gesamtzahl der falsch geschriebenen Wörter, eine Liste der falsch geschriebenen Wörter und die Korrektur sowie eine korrigierte Version des Eingabestrings.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
String String – Ja Geben Sie den String an, der auf Rechtschreibfehler geprüft werden soll.

Beispiel

In diesem Beispiel wird die Rechtschreibung des folgenden Eingabestrings geprüft:
„Testing if this is a mispelled wodr.“.

tools30

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    accuracy_percentage Prozentwert 71
  • JSON-Ergebnis 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

Benachrichtigungsbewertung aktualisieren

Beschreibung

Aktualisiert den Benachrichtigungswert um den angegebenen Betrag.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Eingabe Ganzzahl – Ja Geben Sie den Betrag an, um den der Wert erhöht oder verringert (negative Zahl) werden soll.

Beispiel

In diesem Szenario verringern wir den Benachrichtigungswert um 20.

tools23

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Eingabewert -20

Fallbeschreibung aktualisieren

Beschreibung

Aktualisiert die Beschreibung eines Falls.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Fallbeschreibung String – Ja Geben Sie die aktualisierte Beschreibung an.

Beispiel

In diesem Beispiel wird die Fallbeschreibung in „Dieser Fall bezieht sich auf verdächtige Anmeldungen.“ geändert.

tools10

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

Warten, bis das Playbook abgeschlossen ist

Beschreibung

Pausiert das aktuelle Playbook, bis ein anderes Playbook oder ein anderer Block, das bzw. der für dieselbe Benachrichtigung ausgeführt wird, abgeschlossen ist.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Playbook-Name String – Nein Geben Sie den Namen des Blocks oder Playbooks an, das zuerst abgeschlossen werden soll.

Beispiel

In diesem Szenario wird das aktuelle Playbook pausiert, bis der „Prüfungsblock“, der für dieselbe Benachrichtigung ausgeführt wird, abgeschlossen ist.

tools36

Aktionsergebnisse

  • Scriptergebnis
    Name des Skriptergebnisses Wertoptionen Beispiel
    ScriptResult Wahr/falsch Richtig

Jobs

Beschreibung

Mit diesem Job werden alle Fälle basierend auf einer Suchanfrage geschlossen. Beachten Sie die folgenden Richtlinien, um eine effiziente Fallverwaltung zu gewährleisten:

  • 1–50 Fälle: Schließen Sie diese direkt auf dem Bildschirm Fälle.
  • Mehr als 50 Fälle: Verwenden Sie diesen Job für die Massenschließung.

Search Payload ist die Nutzlast, die im API-Aufruf CaseSearchEverything verwendet wird. So rufen Sie diesen Wert ab:

  1. Rufen Sie in der Benutzeroberfläche die Suche auf und öffnen Sie die Entwicklertools Ihres Browsers.
  2. Suchen Sie nach den Fällen, die Sie löschen möchten.
  3. Suchen Sie auf dem Tab Netzwerk nach dem API-Aufruf CaseSearchEverything.
  4. Kopieren Sie die JSON-Nutzlast der POST-Anfrage und fügen Sie sie in das Feld Search Payload ein.

Close Reason muss 0 (schädlich) oder 1 (nicht schädlich) sein. Die Root Cause-ID finden Sie unter Einstellungen > Untersuchung > Close C.

Wenn sich die Anfrage mit diesen Optionen nicht schließen lässt, wenden Sie sich an Cloud Customer Care.

Parameter

Parameter Typ Standardwert Ist erforderlich Beschreibung
Nutzlast suchen JSON – Nein Geben Sie die JSON-Nutzlast an, die durchsucht werden soll. Beispiel: {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
Kommentar schließen String – Ja Geben Sie einen Kommentar zum Schließen an.
Grund schließen String – Ja Geben Sie den Grund für das Schließen an: 0 für schädlich, 1 für nicht schädlich.
Ursache Ganzzahl – Ja Geben Sie die Ursache an. Suchen Sie die Ursache unter Einstellungen > Prüfung > Fall schließen.
Google SecOps SOAR-Nutzername String – Ja Geben Sie den Google SecOps SOAR-Nutzernamen an.
Google SecOps SOAR-Passwort Passwort – Ja Geben Sie das Google SecOps SOAR-Passwort an.

Tag Untouched Cases

Beschreibung

Dieser Job sucht nach offenen Fällen, die für eine bestimmte Anzahl von Stunden unverändert geblieben sind, und wendet die angegebenen Tags auf diese Fälle an. Bei diesem Prozess werden stagnierende Fälle identifiziert, die weitere Aufmerksamkeit oder eine manuelle Überprüfung erfordern.

Jobverhalten

  • Suchfenster: Der Job verwendet ein systemdefiniertes Suchfenster von 30 Tagen.
  • Systembeschränkung: Bei der Suchanfrage werden keine Fälle erfasst, die länger als 30 Tage (720 Stunden) nicht geändert wurden. Diese Einschränkung gilt auch dann, wenn Unmodified time auf einen höheren Wert festgelegt ist.
  • Tag-Anwendung: Der Job wendet die in den Parametern definierten Tags auf die Metadaten aller identifizierten Fälle an, die innerhalb des 30-tägigen Sichtbarkeitsfensters liegen.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Tags String – Ja Gibt das Tag oder die Tags an, die auf identifizierte Fälle angewendet werden sollen. Hier werden durch Kommas getrennte Werte für mehrere Tags unterstützt.
Zeitpunkt der letzten Änderung Ganzzahl – Ja Gibt den Schwellenwert für Inaktivität in Stunden an. Der Job wendet Tags auf Fälle an, die diesen Wert ohne aufgezeichnete Änderung überschreiten.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten