Outils

Compatible avec :

Ensemble d'actions utilitaires pour la manipulation des données afin d'optimiser les capacités des playbooks.

Actions

Vous trouverez ci-dessous la liste des types d'actions que vous pouvez effectuer avec le power-up Outils.

Ajouter des informations sur le score d'alerte

Description

Ajoute une entrée à la base de données de scoring des alertes. Le score d'alerte est basé sur le ratio : 5 faible = 1 moyen. 3 moyens = 1 élevé. 2 élevées = 1 critique. Tag facultatif ajouté à la demande.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Name Chaîne N/A Oui Nom du contrôle effectué sur l'alerte.
Description Chaîne N/A Oui Description du contrôle effectué sur l'alerte.
Gravité Chaîne Informatif Oui Gravité.
Catégorie Chaîne N/A Oui Catégorie de la vérification effectuée.
Source Chaîne N/A Non Partie de l'alerte à partir de laquelle le score a été calculé. Exemple : Fichiers, utilisateur, e-mail.
Tag de cas Chaîne N/A Non Tags à ajouter à la demande.

Exemple

Cet exemple définit le score d'alerte sur "élevé" en raison d'un résultat suspect de VirusTotal.

tools16

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    Alert_score Informationnel, Faible, Moyen, Élevé, Critique Élevée
  • Résultat JSON 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

Ajouter un commentaire au journal d'entité

Description

Ajoute un commentaire au journal des entités pour chaque entité du score dans l'explorateur d'entités.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Utilisateur Menu déroulant @Administrator Oui Indiquez l'utilisateur qui a créé le commentaire.
Commentaire Chaîne N/A Oui Spécifiez le commentaire qui sera ajouté au journal d'entité.

Exemple

tools24

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    N/A N/A N/A

Ajouter ou modifier des données supplémentaires pour une alerte

Description

Ajoute ou met à jour des champs dans les données supplémentaires de l'alerte. Les résultats s'affichent dans la vue d'ensemble Alertes, champ OFFENSE_ID.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Champs JSON JSON N/A Oui Saisissez du texte libre (pour une variable) ou une chaîne représentant un dictionnaire JSON (qui peut être imbriqué).

Exemple

Cet exemple ajoute des détails sur les attaques MITRE aux alertes à afficher dans la vue d'ensemble des alertes.

tools1

tools2

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre d'éléments dans le dictionnaire 2
  • Résultat JSON 
    {
"dict": {"mitre": " T1059"}, "list": []
}

Ajouter à la valeur de contexte

Description

Ajoute une valeur à une propriété de contexte existante ou crée une propriété de contexte si elle n'existe pas et ajoute la valeur.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Key Chaîne N/A Oui Spécifier la clé de propriété du contexte
Valeur Chaîne N/A Oui Spécifiez la valeur à ajouter à la propriété de contexte.
Délimiteur Chaîne N/A Oui Spécifiez le délimiteur utilisé dans le champ de valeur.

Exemple

Dans ce scénario, nous ajoutons les valeurs "T1595" et "T1140" à une clé de contexte existante "MITRE".

tools12

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeurs de contexte T1595, T1140

Attribuer une demande à un utilisateur

Description

Attribue une demande à un utilisateur.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Numéro de demande Chaîne N/A Oui Spécifiez le numéro de demande. Utilisez [Case.Id] pour la demande en cours.
Attribuer à Chaîne @Admin Oui Spécifiez l'utilisateur auquel attribuer une demande. Il s'agit de l'ID de l'utilisateur. Utilisez l'action "Get Siemplify Users" (Obtenir les utilisateurs Siemplify) pour récupérer l'ID d'un utilisateur spécifique.
ID de l'alerte Chaîne
Oui Spécifiez l'ID de l'alerte. Utilisez [Alert.Identifier].

Exemple

Dans ce scénario, nous attribuons la demande actuelle à un utilisateur spécifique à l'aide de son ID.

tools34

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Associer un playbook à une alerte

Description

Associe un playbook ou un bloc spécifique à l'alerte actuelle.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Nom du playbook Chaîne N/A Oui Nom du playbook ou du bloc à ajouter à toutes les alertes d'analyse de cas.

Exemple

Cet exemple associe un bloc appelé Bloc de confinement aux alertes du cas actuel.

tools4

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult true ou false true

Associer un playbook à toutes les alertes de cas

Description

Associe un playbook ou un bloc spécifique à toutes les alertes d'un cas.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Nom du playbook Chaîne N/A Oui Nom du playbook ou du bloc à ajouter à toutes les alertes d'une demande.

Exemple

Cet exemple associe un playbook appelé Phishing playbookM à toutes les alertes de cas.

tools3

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult true ou false true

Buffer

Description

Convertissez une entrée JSON en objet JSON.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
ResultValue Chaîne N/A Non Valeur d'espace réservé renvoyée en tant que valeur ScriptResult.
JSON JSON N/A Non JSON affiché dans le générateur d'expressions.

Exemple

Cet exemple affiche la valeur d'entrée JSON dans le générateur d'expressions JSON à utiliser pour d'autres actions.

tools5-buffer

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur d'entrée du paramètre ResultValue success
  • Résultat JSON 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

Modifier le nom de la demande

Description

Modifie le nom ou le titre d'une demande.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Nouveau nom Chaîne N/A Non Indiquez le nouveau nom de la demande.
Uniquement si première alerte Case à cocher Non sélectionné Non Si cette option est sélectionnée, le nom de la demande ne sera modifié que si l'action a été exécutée sur la première alerte de la demande.

Exemple

Dans ce scénario, le titre d'une demande sera remplacé par "Phishing – E-mail suspect" uniquement si elle est exécutée dans la première alerte.

tools29

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Vérifier les champs d'entités dans le texte

Description

Recherchez un champ spécifique dans chaque entité concernée (ou plusieurs champs à l'aide d'expressions régulières) et comparez-le à une ou plusieurs valeurs. Les valeurs comparées peuvent également passer par une expression régulière. Une correspondance est trouvée si l'une des valeurs d'expression régulière de post-enrichissement de l'entité se trouve dans une ou plusieurs valeurs recherchées.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] Oui JSON qui représente la ou les chaînes dans lesquelles vous souhaitez effectuer une recherche à l'aide de ce format : [ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] Oui JSON décrivant les champs à tester. [ "RegexForFieldName": “”,

"FieldName": "Field name to search",

"RegexForFieldValue": “”}]
ShouldEnrichEntity Chaîne domain_matched Non Si la valeur est définie sur <VAL>, une valeur d'enrichissement sera également attribuée à l'entité pour qu'elle soit reconnue comme "correspondante" à la valeur.

La clé sera <VAL>
IsCaseSensitive Case à cocher Non sélectionné Non Indiquez si le champ est sensible à la casse.

Exemple

Dans ce scénario, nous vérifions si une entité dont le nom de champ est malicious figure dans le texte spécifié.

tools18

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre de résultats 0
  • Résultat JSON 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

Sous-ensemble de la liste de vérification

Description

Vérifie si les valeurs d'une liste figurent dans une autre liste.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Original Chaîne N/A Oui Spécifiez la liste des éléments à vérifier. Liste JSON ou liste séparée par une virgule.
Sous-ensemble Liste N/A Oui Spécifiez la liste de sous-ensembles. Liste JSON ou liste séparée par une virgule.

Exemple

Dans ce scénario, nous vérifions si les valeurs 1, 2 et 3 existent dans la liste d'origine 1, 2, 3, 4 et 5, ce qui donne une valeur de résultat "true".

tools15

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Convertir en cas simulé

Description

Convertit une demande en demande simulée pouvant être chargée dans la plate-forme.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Transférer vers des cas simulés Case à cocher Non sélectionné Non Si vous sélectionnez cette option, la demande est ajoutée à la liste des demandes simulées disponibles.
Enregistrer le fichier JSON en tant que fichier Case Wall Case à cocher Sélectionné Non Si cette option est sélectionnée, un fichier JSON représentant la demande est enregistré sur le mur des demandes pour être téléchargé.
Remplacer le nom de l'alerte Chaîne Vide Non Spécifiez un nouveau nom d'alerte à utiliser. Ce paramètre remplace le paramètre Nom complet du chemin d'accès s'il est sélectionné.
Nom complet du chemin Case à cocher Non sélectionné Non Si cette option est sélectionnée, utilisez le nom de l'alerte comme source_product_eventtype (par exemple, QRadar_WinEventLog:Security_Remote fail login). Ce paramètre est ignoré si l'option Remplacer le nom de l'alerte est sélectionnée.

Exemple

Dans cet exemple, une demande est convertie en demande simulée à l'aide de "Connexion risquée" comme nom d'alerte. Elle s'affichera comme l'une des demandes simulées disponibles sur l'écran d'accueil.

convertsimcase1

convertsimcase2

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

Créer des entités avec un séparateur

Description

Crée des entités et les ajoute à l'alerte.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Identifiants des entités Chaîne N/A Oui Spécifiez la ou les entités à ajouter à l'alerte.
Type d'entité Chaîne N/A Oui Spécifiez le type d'entité.
Est interne Case à cocher Non sélectionné Non Vérifiez si l'entité fournie fait partie d'un réseau interne.
Séparateur d'entités Chaîne , Oui Spécifiez le délimiteur utilisé dans le champ des identifiants d'entités.
JSON d'enrichissement Menu déroulant JSON Non Spécifiez les données d'enrichissement au format JSON.
PrefixForEnrichment Chaîne N/A Non Spécifiez le préfixe à ajouter aux données d'enrichissement.

Exemple

Dans ce scénario, nous créons trois entités IP et nous les enrichissons avec un champ appelé "is_suspicious".

tools9

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

Créer des relations entre les entités

Description

Crée une relation entre les entités fournies et les entités associées. Si les entités fournies n'existent pas, il les crée.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Identifiant(s) de l'entité Chaîne N/A Oui Crée ou utilise des identifiants d'entité ou une liste d'identifiants séparés par une virgule.
Type d'identifiant d'entité Menu déroulant Nom de l'utilisateur Oui Spécifiez le type d'entité.
Se connecter en tant que Menu déroulant Source Oui Connecte les identifiants d'entité à l'aide de relations source, de destination ou associées aux identifiants d'entité cible.
Type d'entité cible Menu déroulant Adresse Oui Spécifiez le type d'entité cible auquel associer les identifiants d'entité.
Identifiant(s) de l'entité cible Chaîne N/A Non Entités dans cette liste séparée par une virgule, de

Le type de "Type d'entité cible" sera associé aux entités du paramètre "Identifiant(s) des entités".

JSON d'enrichissement JSON N/A Non Objet JSON facultatif contenant une clé /

Paires de valeurs d'attributs pouvant être ajoutées aux entités nouvellement créées.

Caractère de séparation Chaîne N/A Non Spécifiez le caractère utilisé pour séparer la liste des entités dans les champs "Identifiants d'entité" et/ou "Identifiants d'entité cible". La valeur par défaut est la virgule.

Exemple

Dans ce scénario, nous créons une relation entre un utilisateur et une URL. Dans ce cas, Bola001 a accédé à une URL de example.com.

tools13

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"Entity": "Bola001", "EntityResult": {}
}

Créer une tâche Siemplify

Description

Attribue une tâche à un utilisateur ou à un rôle. La tâche sera liée à la demande sur laquelle l'action a été exécutée.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Titre de la tâche Chaîne N/A Non Spécifiez le titre de la tâche.
SLA (en minutes) Integer 480 Oui Spécifiez le temps (en minutes) dont dispose l'utilisateur/le rôle attribué pour répondre à la tâche.
Contenu de la tâche Chaîne N/A Oui Spécifiez les détails de la tâche.
Attribuer à Menu déroulant N/A Oui Spécifiez l'utilisateur ou le rôle auquel la tâche sera attribuée.

Exemple

Dans ce scénario, une tâche est créée pour demander au niveau 3 d'exécuter une analyse antivirus.

tools33

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Playbook de délai V2

Description

Arrête temporairement l'exécution d'un playbook pendant une période spécifiée.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Secondes Integer 0 Non Spécifiez le nombre de secondes de retard d'un playbook.
Minutes Integer 1 Non Spécifiez le nombre de minutes de retard pour un playbook.
Heures Integer 0 Non Spécifiez le nombre d'heures de retard d'un playbook.
Jours Integer 0 Non Spécifiez le nombre de jours de report d'un playbook.
Expression Cron Chaîne N/A Non Détermine quand le playbook doit se poursuivre à l'aide d'une expression Cron. sera prioritaire sur les autres paramètres.

Exemple

Dans ce scénario, nous retardons le playbook de 12 heures et demie.

tools20

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Recherche DNS

Description

Effectue une résolution DNS à l'aide d'un résolveur DNS spécifié.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Serveur DNS Adresse IP N/A Oui Serveurs DNS uniques ou séparés par une virgule.

Exemple

Cet exemple montre l'adresse DNS publique de Google (8.8.8.8) pour rechercher des entités de domaine externes.

toolsnew1

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

Extraire le domaine de l'URL

Description

Enrichit toutes les entités avec un nouveau champ siemplifytools_extracted_domain contenant le domaine extrait de l'identifiant de l'entité. Si l'entité n'a pas de domaine (hachage de fichier, par exemple), rien ne sera renvoyé. En plus des entités, l'utilisateur peut spécifier une liste d'URL comme paramètre et les traiter sans les enrichir.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Séparateur Chaîne , Oui Spécifiez la chaîne de séparation à utiliser pour séparer les URL.
URL Chaîne N/A Non Spécifiez une ou plusieurs URL à partir desquelles extraire le domaine.
Extraire le sous-domaine Case à cocher N/A Non Indiquez si vous souhaitez également extraire le sous-domaine.

Exemple

Dans ce scénario, nous extrayons le domaine de l'URL spécifiée.

tools14

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre de domaines extraits 1
  • Résultat JSON 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

Trouver First Alert

Description

Renvoie l'identifiant de la première alerte d'une demande donnée.

Paramètres

Aucun paramètre applicable.

Exemple

Dans ce scénario, il renvoie l'identifiant de la première alerte du cas.

tools27

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur de l'identifiant d'alerte CONNEXIONS IRC9A33308C-AC62-4A41-8F73-20529895D567

Obtenir les données d'une demande

Description

Récupère toutes les données d'une demande et renvoie un résultat JSON. Le résultat inclut des commentaires, des informations sur les entités, des insights, les playbooks exécutés, des informations sur les alertes et les événements.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Numéro de demande Integer N/A Non Spécifiez l'ID de la demande à interroger. Si vous ne renseignez pas ce champ, la casse actuelle sera utilisée.

Exemple

Dans ce scénario, nous récupérons les détails de la demande actuelle.

tools35

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

Obtenir les détails d'un certificat

Description

Récupère les détails du certificat d'une URL donnée.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
URL à vérifier URL expired.badssk.com Oui Spécifiez l'URL à partir de laquelle récupérer les détails du certificat.

Exemple

Dans ce scénario, nous récupérons les détails du certificat à partir du site expired.badssl.com.

tools6

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

Obtenir la valeur du contexte

Description

Récupère la valeur d'une clé de contexte dans un cas ou une alerte.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Champ d'application Menu déroulant Alerte Oui Spécifiez le champ d'application des valeurs clés (dans une requête, une alerte ou global).
Clé Chaîne N/A Oui Spécifiez la clé.

Exemple

Dans ce scénario, nous récupérons une valeur de contexte à partir d'une clé appelée "impact" dans un cas. Cette action est utilisée avec l'action Définir la valeur du contexte, qui ajoute les paires clé/valeur à la demande ou à l'alerte.

tools7

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur de contexte Élevée


Obtenir l'heure actuelle

Description

Renvoie la date et l'heure actuelles

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Format de date et d'heure Chaîne %d/%m/%Y %H:%M Oui Spécifiez le format de la date et de l'heure.

Exemple

Dans ce scénario, nous renvoyons une valeur de date et d'heure au format suivant : %d/%m/%Y %H:%M:%S.

tools22

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur de date et d'heure 03/11/2022 20:33:43

Obtenir des modèles d'e-mails

Description

Renvoie tous les modèles d'e-mails du système.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Type de modèle Menu déroulant Standard Oui Spécifiez le type de modèle à renvoyer : Standard ou HTML.

Exemple

Dans ce scénario, nous renvoyons tous les modèles d'e-mails au format HTML.

tools8

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Résultat JSON contenant du code HTML Résultat JSON affiché dans la section suivante
  • Résultat JSON 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

Obtenir des instances d'intégration

Description

Renvoie toutes les instances d'intégration pour un environnement.

Paramètres

Aucun paramètre applicable.

Exemple

Dans ce scénario, toutes les instances d'intégration dans tous les environnements seront renvoyées.

tools19

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

Obtenir le fichier JSON de l'alerte d'origine

Description

Renvoie le résultat JSON de l'alerte d'origine (données brutes).

Paramètres

Aucun paramètre applicable

Exemple

Dans ce scénario, le code JSON brut d'origine de l'alerte est renvoyé.

tools21

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Obtenir les utilisateurs Siemplify

Description

Renvoie la liste de tous les utilisateurs configurés dans le système.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Masquer les utilisateurs désactivés Case à cocher Sélectionné Non Indiquez si les utilisateurs désactivés doivent être masqués dans les résultats.

Exemple

Dans ce scénario, nous renvoyons tous les utilisateurs du système, y compris les utilisateurs désactivés.

tools17

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

Verrouiller le playbook

Description

Met en pause le playbook actuel jusqu'à ce que tous les playbooks de l'alerte précédente soient terminés.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Délai avant expiration de l'action asynchrone Entiers 1 jour Non Le délai avant expiration de l'action asynchrone définit le temps total alloué à cette action (somme des durées d'exécution de toutes les itérations).
Intervalle d'interrogation asynchrone Entiers 1 heure Non Définissez la durée entre chaque tentative d'interrogation lors de l'exécution d'une action asynchrone.

Exemple

Dans ce scénario, nous mettons en pause le playbook actuel et vérifions toutes les 30 secondes si tous les playbooks de l'alerte précédente dans la demande sont terminés.

tools26

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Domaines similaires

Description

Compare les entités de domaine à la liste des domaines définis pour l'environnement. Si les domaines sont similaires, l'entité sera marquée comme suspecte et enrichie avec le domaine correspondant.

Paramètres

Aucun paramètre applicable

Exemple

Dans ce scénario, nous vérifions si les entités de domaine externes ressemblent aux domaines configurés dans la liste des domaines des paramètres.

tools28

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    look_a_like_domain_found Vrai/Faux Vrai
  • Résultat JSON 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

Normaliser l'enrichissement d'entités

Description

Reçoit une liste de clés de l'entité et les remplace.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Données de normalisation JSON N/A Oui Spécifiez le JSON dans l'exemple de format suivant : [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

Exemple

Dans ce scénario, nous remplaçons la clé d'entité is_bad par malicious.

tools11

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre d'entités enrichies 5

Rattacher un playbook

Description

Supprime un playbook d'une requête, supprime toutes les données de résultat de la requête à partir de ce playbook et rattache le playbook afin qu'il s'exécute à nouveau. Nécessite l'installation de l'intégration PostgreSQL, configurée sur l'environnement partagé avec un nom d'instance Google SecOps SOAR. Pour en savoir plus, contactez votre responsable du succès client ou l'assistance.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Nom du playbook Menu déroulant N/A Oui Spécifiez le playbook à rattacher.

Exemple

Dans ce scénario, nous rattachons un playbook appelé attach_playbook_test.

tools25

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux/Veuillez configurer l'instance Google SecOps SOAR de l'intégration PostgreSQL. Vrai

Texte de recherche

Description

Recherchez le paramètre "Search For" (Rechercher) dans le texte d'entrée ou parcourez la liste "Search For Regex" (Rechercher avec expression régulière) et trouvez les correspondances dans le texte d'entrée. En cas de correspondance, l'action renvoie true.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Texte Chaîne N/A Oui Spécifiez le texte à rechercher.
Rechercher Chaîne N/A Non Spécifiez la chaîne à rechercher dans le champ "text".
Rechercher une expression régulière Chaîne N/A Non Liste des expressions régulières qui seront utilisées pour rechercher la chaîne. L'expression régulière doit être placée entre guillemets doubles. Compatible avec les listes d'éléments séparés par une virgule.
Sensible à la casse Case à cocher N/A Non Indiquez si la recherche doit être sensible à la casse.

Exemple

Dans ce scénario, nous vérifions si le mot malicious existe dans la valeur du champ Text.

tools31

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    match_found Vrai/Faux Vrai
  • Résultat JSON 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

Définir la valeur du contexte

Description

Définit une clé et une valeur dans un contexte spécifique. Cette action est souvent utilisée avec l'action "Obtenir la valeur du contexte" pour récupérer la valeur de la clé.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Valeur Chaîne N/A Oui Spécifiez la valeur du contexte.
Clé Chaîne N/A Oui Spécifiez la clé de contexte.
Champ d'application Menu déroulant Alerte Oui Spécifiez le champ d'application de l'attribution du contexte (alerte, demande, global).

Exemple

Dans ce scénario, nous définissons une clé de contexte "malicious" sur la valeur "yes".

tools32

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Chaîne de correction orthographique

Description

Vérifiez l'orthographe de la chaîne d'entrée. La sortie affiche le pourcentage de précision, le nombre total de mots, le nombre total de mots mal orthographiés, la liste de chaque mot mal orthographié et sa correction, ainsi qu'une version corrigée de la chaîne d'entrée.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Chaîne Chaîne N/A Oui Spécifiez la chaîne dont l'orthographe sera vérifiée.

Exemple

Cet exemple vérifie l'orthographe de la chaîne d'entrée suivante :
“Testing if this is a mispelled wodr.”.

tools30

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    accuracy_percentage Valeur en pourcentage 71
  • Résultat JSON 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

Mettre à jour le score de l'alerte

Description

Met à jour le score de l'alerte du montant fourni.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Entrée Integer N/A Oui Indiquez le montant de l'augmentation ou de la diminution (nombre négatif).

Exemple

Dans ce scénario, nous diminuons le score d'alerte de 20.

tools23

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur d'entrée -20

Modifier la description de la demande

Description

Met à jour la description d'une demande.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Description du cas Chaîne N/A Oui Spécifiez la description modifiée.

Exemple

Cet exemple met à jour la description de la demande en indiquant "Cette demande concerne des connexions suspectes.".

tools10

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Attendre la fin du playbook

Description

Met en pause le playbook actuel jusqu'à ce qu'un autre playbook ou bloc en cours d'exécution sur la même alerte se termine.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Nom du playbook Chaîne N/A Non Spécifiez le nom du bloc ou du playbook que vous souhaitez terminer en premier.

Exemple

Dans ce scénario, nous suspendons le playbook en cours jusqu'à ce que le bloc d'investigation en cours d'exécution sur la même alerte soit terminé.

tools36

Résultats de l'action

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Emplois

Description

Ce job clôture toutes les demandes basées sur une requête de recherche. Pour assurer une gestion efficace des demandes, suivez ces consignes :

  • Pour 1 à 50 demandes : clôturez-les directement depuis l'écran Demandes.
  • Pour plus de 50 demandes : utilisez cette tâche pour les clôturer par lot.

Search Payload est la charge utile utilisée dans l'appel d'API CaseSearchEverything. Pour récupérer cette valeur :

  1. Accédez à Rechercher dans l'UI et ouvrez les Outils pour les développeurs de votre navigateur.
  2. Recherchez les cas à supprimer.
  3. Localisez l'appel d'API CaseSearchEverything dans l'onglet Réseau.
  4. Copiez la charge utile JSON de la requête POST et collez-la dans le champ Search Payload.

Close Reason doit être défini sur 0 (malveillant) ou 1 (non malveillant). L'ID de la cause racine se trouve dans Paramètres > Données sur la demande > Cause racine de la clôture de la demande.

Si ces options ne permettent pas de résoudre le problème de clôture de la demande, contactez Cloud Customer Care.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Charge utile de la recherche JSON N/A Non Spécifiez la charge utile JSON à rechercher. Exemple : {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
Fermer la section "Commentaires" Chaîne N/A Oui Spécifiez un commentaire de clôture.
Motif de la clôture Chaîne N/A Oui Spécifiez la raison de la clôture : 0 pour malveillante, 1 pour non malveillante.
Cause Integer N/A Oui Spécifiez la cause racine. Trouvez la cause première dans Paramètres > Données sur les demandes> Cause première de la clôture de la demande.
Nom d'utilisateur Google SecOps SOAR Chaîne N/A Oui Spécifiez le nom d'utilisateur Google SecOps SOAR.
Mot de passe Google SecOps SOAR Mot de passe N/A Oui Spécifiez le mot de passe Google SecOps SOAR.

Taguer les demandes non traitées

Description

Ce job recherche les demandes ouvertes qui sont restées inchangées pendant un nombre d'heures spécifié et leur applique les tags désignés. Ce processus identifie les cas stagnants qui nécessitent une attention particulière ou un examen manuel.

Comportement des jobs

  • Période de recherche : le job utilise une période de recherche de 30 jours définie par le système.
  • Limitation du système : la requête de recherche ne capture pas les demandes qui restent inchangées pendant plus de 30 jours (720 heures). Cette limitation persiste même si Unmodified time est défini sur une valeur plus élevée.
  • Application de tags : le job applique les tags définis dans les paramètres aux métadonnées de tous les cas identifiés qui se trouvent dans la période de visibilité de 30 jours.

Paramètres

Paramètre Type Valeur par défaut Obligatoire Description
Tags Chaîne N/A Oui Spécifie le ou les tags à appliquer aux cas identifiés. Cette option accepte les valeurs séparées par une virgule pour plusieurs tags.
Heure non modifiée Integer N/A Oui Indique le seuil d'inactivité en heures. Le job applique des tags aux demandes qui dépassent cette valeur sans modification enregistrée.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.