Outils

Compatible avec :

Ensemble d'actions utilitaires pour la manipulation des données afin d'améliorer les capacités des playbooks.

Actions

La liste suivante présente les types d'actions que vous pouvez effectuer avec le power-up Outils.

Ajouter des informations sur l'évaluation des alertes

Description

Ajoute une entrée à la base de données de notation des alertes. Le score d'alerte est basé sur le ratio suivant : 5 alertes de gravité faible = 1 alerte de gravité moyenne. 3 vulnérabilités moyennes = 1 vulnérabilité élevée. 2 problèmes de gravité élevée = 1 problème de gravité critique. Balise facultative ajoutée à la demande.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Name Chaîne N/A Oui Nom de la vérification effectuée sur l'alerte.
Description Chaîne N/A Oui Description de la vérification effectuée sur l'alerte.
Gravité Chaîne Information Oui Gravité.
Catégorie Chaîne N/A Oui Catégorie de la vérification effectuée.
Source Chaîne N/A Non Partie de l'alerte à partir de laquelle le score a été calculé. Exemple : fichiers, utilisateur, e-mail.
Tag de cas Chaîne N/A Non Tags à ajouter à la demande.

Exemple

Dans cet exemple, le score d'alerte est défini sur "élevé" en raison d'un résultat suspect de VirusTotal.

tools16

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    Alert_score Informatif, Faible, Moyen, Élevé, Critique Élevée
  • Résultat JSON 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

Ajouter un commentaire au journal de l'entité

Description

Ajoute un commentaire au journal d'entités pour chaque entité du score dans l'explorateur d'entités.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Utilisateur Menu déroulant @Administrator Oui Spécifiez l'utilisateur qui a créé le commentaire.
Commentaire Chaîne N/A Oui Spécifiez le commentaire qui sera ajouté au journal de l'entité.

Exemple

tools24

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    N/A N/A N/A

Ajouter ou modifier des données supplémentaires d'alerte

Description

Ajoute ou met à jour des champs dans les données supplémentaires de l'alerte. Les résultats s'affichent dans la vue d'ensemble Alertes, dans le champ OFFENSE_ID.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Champs JSON JSON N/A Oui Saisissez du texte libre (pour une variable) ou une chaîne représentant un dictionnaire JSON (peut être imbriqué).

Exemple

Cet exemple ajoute des détails sur les attaques MITRE aux alertes à afficher dans la vue d'ensemble des alertes.

tools1

tools2

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre d'éléments dans le dictionnaire 2
  • Résultat JSON 
    {
"dict": {"mitre": " T1059"}, "list": []
}

Ajouter à la valeur de contexte

Description

Ajoute une valeur à une propriété de contexte existante ou crée une propriété de contexte si elle n'existe pas, puis ajoute la valeur.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Key Chaîne N/A Oui Spécifier la clé de propriété de contexte
Valeur Chaîne N/A Oui Spécifiez la valeur à ajouter à la propriété de contexte.
Délimiteur Chaîne N/A Oui Spécifiez le délimiteur utilisé dans le champ de valeur.

Exemple

Dans ce scénario, nous ajoutons les valeurs "T1595" et "T1140" à une clé de contexte existante "MITRE".

tools12

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeurs de contexte T1595, T1140

Attribuer un cas à un utilisateur

Description

Attribue une demande à un utilisateur.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Numéro de demande Chaîne N/A Oui Spécifiez le numéro de demande. Utilisez [Case.Id] pour la demande actuelle.
Attribuer à Chaîne @Admin Oui Spécifiez l'utilisateur auquel attribuer une demande. Il s'agit de l'ID de l'utilisateur. Utilisez l'action "Get Siemplify Users" (Obtenir les utilisateurs Siemplify) pour récupérer l'ID d'un utilisateur spécifique.
ID d'alerte Chaîne
Oui Spécifiez l'ID de l'alerte. Utilisez [Alert.Identifier].

Exemple

Dans ce scénario, nous attribuons la demande actuelle à un utilisateur spécifique à l'aide de son ID.

tools34

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Associer un playbook à une alerte

Description

Associe un playbook ou un bloc spécifique à l'alerte actuelle.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Nom du playbook Chaîne N/A Oui Nom du playbook ou du bloc à ajouter à toutes les alertes de demande d'assistance.

Exemple

Cet exemple associe un bloc appelé Containment Block aux alertes de la demande actuelle.

tools4

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult true ou false true

Associer le playbook à toutes les alertes de cas

Description

Associe un playbook ou un bloc spécifique à toutes les alertes d'une demande.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Nom du playbook Chaîne N/A Oui Nom du playbook ou du bloc à ajouter à toutes les alertes d'un cas.

Exemple

Cet exemple associe un playbook appelé Phishing playbookM à toutes les alertes de cas.

tools3

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult true ou false true

Buffer

Description

Convertir une entrée JSON en objet JSON.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
ResultValue Chaîne N/A Non Valeur d'espace réservé renvoyée en tant que valeur ScriptResult.
JSON JSON N/A Non JSON affiché dans le générateur d'expressions.

Exemple

Cet exemple affiche la valeur d'entrée JSON dans le générateur d'expressions JSON pour l'utiliser dans d'autres actions.

tools5-buffer

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur d'entrée du paramètre ResultValue success
  • Résultat JSON 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

Modifier le nom du scénario

Description

Modifie le nom ou le titre d'une demande.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Nouveau nom Chaîne N/A Non Spécifiez le nouveau nom de l'enquête.
Uniquement s'il s'agit de la première alerte Case à cocher Non sélectionné Non Si cette option est sélectionnée, le nom de la demande ne sera modifié que si l'action a été exécutée sur la première alerte de la demande.

Exemple

Dans ce scénario, le titre d'une demande sera remplacé par "Hameçonnage – E-mail suspect" uniquement s'il s'exécute dans la première alerte.

tools29

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Vérifier les champs d'entités dans le texte

Description

Recherchez un champ spécifique dans chaque entité du champ d'application (ou plusieurs champs à l'aide d'une expression régulière) et comparez-le à une ou plusieurs valeurs. Les valeurs comparées peuvent également passer par une expression régulière. Une correspondance est trouvée si l'une des valeurs d'expression régulière post-enrichissement de l'entité se trouve dans une ou plusieurs valeurs recherchées.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] Oui JSON représentant la ou les chaînes dans lesquelles vous souhaitez effectuer une recherche, au format suivant : [ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] Oui JSON décrivant les champs à tester pour [ "RegexForFieldName": “”,

"FieldName": "Nom du champ à rechercher",

"RegexForFieldValue": “”}]
ShouldEnrichEntity Chaîne domain_matched Non Si la valeur est définie sur <VAL>, une valeur d'enrichissement est également ajoutée à l'entité pour qu'elle soit reconnue comme "correspondant" à la valeur.

La clé sera <VAL>
IsCaseSensitive Case à cocher Non sélectionné Non Indiquez si le champ est sensible à la casse.

Exemple

Dans ce scénario, nous vérifions si une entité dont le nom de champ est malicious est présente dans le texte spécifié.

tools18

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre de résultats 0
  • Résultat JSON 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

Check List Subset

Description

Vérifie si les valeurs d'une liste existent dans une autre liste.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Original Chaîne N/A Oui Spécifiez la liste des éléments à vérifier. Liste JSON ou valeurs séparées par une virgule.
Sous-ensemble Liste N/A Oui Spécifiez la liste des sous-ensembles. Liste JSON ou éléments séparés par une virgule.

Exemple

Dans ce scénario, nous vérifions si les valeurs 1, 2 et 3 existent dans la liste d'origine (1, 2, 3, 4 et 5), ce qui donne une valeur de résultat "true".

tools15

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Convertir en cas simulé

Description

Convertit un cas en cas simulé pouvant être chargé dans la plate-forme.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Transférer vers les cas simulés Case à cocher Non sélectionné Non Si vous sélectionnez cette option, la demande est ajoutée à la liste des demandes simulées disponibles.
Enregistrer le fichier JSON en tant que fichier Case Wall Case à cocher Sélectionné Non Si cette option est sélectionnée, un fichier JSON représentant la demande est enregistré dans le mur de la demande pour être téléchargé.
Remplacer le nom de l'alerte Chaîne Vide Non Spécifiez un nouveau nom d'alerte à utiliser. S'il est sélectionné, ce paramètre remplace le paramètre Nom du chemin d'accès complet.
Nom complet du chemin d'accès Case à cocher Non sélectionné Non Si cette option est sélectionnée, utilisez le nom de l'alerte comme source_product_eventtype (par exemple, QRadar_WinEventLog:Security_Remote fail login). Ce paramètre est ignoré si Remplacer le nom de l'alerte est défini.

Exemple

Dans cet exemple, une demande est convertie en demande simulée à l'aide de "Risky Sign On" comme nom d'alerte, qui s'affichera comme l'une des demandes simulées disponibles sur l'écran d'accueil.

convertsimcase1

convertsimcase2

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

Créer des entités avec un séparateur

Description

Crée des entités et les ajoute à l'alerte.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Identifiants des entités Chaîne N/A Oui Spécifiez la ou les entités à ajouter à l'alerte.
Type d'entité Chaîne N/A Oui Spécifiez le type d'entité.
Est interne Case à cocher Non sélectionné Non Vérifiez si l'entité fournie fait partie d'un réseau interne.
Séparateur d'entités Chaîne , Oui Spécifiez le délimiteur utilisé dans le champ des identifiants d'entités.
JSON d'enrichissement Menu déroulant JSON Non Spécifiez les données d'enrichissement au format JSON.
PrefixForEnrichment Chaîne N/A Non Spécifiez le préfixe à ajouter aux données d'enrichissement.

Exemple

Dans ce scénario, nous créons trois entités d'adresse IP et les enrichissons avec un champ appelé "is_suspicious".

tools9

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

Créer des relations entre entités

Description

Crée une relation entre les entités fournies et les entités associées. Si les entités fournies n'existent pas, il les crée.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Identifiant(s) de l'entité Chaîne N/A Oui Crée des identifiants d'entité ou utilise des identifiants d'entité existants, ou une liste d'identifiants séparés par une virgule.
Type d'identifiant(s) d'entité Menu déroulant Nom de l'utilisateur Oui Spécifiez le type d'entité.
Se connecter en tant que Menu déroulant Source Oui Connecte les identifiants d'entité à l'aide de relations source, de destination ou associées aux identifiants d'entité cible.
Type d'entité cible Menu déroulant Adresse Oui Spécifiez le type d'entité cible auquel associer les identifiants d'entité.
Identifiant(s) de l'entité cible Chaîne N/A Non Les entités de cette liste d'éléments séparés par une virgule,

Le type du champ "Type d'entité cible" sera associé aux entités du paramètre "Identifiant(s) d'entité".

JSON d'enrichissement JSON N/A Non Objet JSON facultatif contenant des paires clé/valeur.

Paires de valeurs d'attributs pouvant être ajoutées aux entités nouvellement créées.

Caractère de séparation Chaîne N/A Non Spécifiez le caractère par lequel séparer la liste des entités dans les identifiants d'entité et/ou les identifiants d'entité cible. La valeur par défaut est la virgule.

Exemple

Dans ce scénario, nous créons une relation entre un utilisateur et une URL. Dans ce cas, Bola001 a accédé à une URL de example.com.

tools13

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"Entity": "Bola001", "EntityResult": {}
}

Créer une tâche Siemplify

Description

Attribue une tâche à un utilisateur ou à un rôle. La tâche sera associée à la demande sur laquelle l'action a été exécutée.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Titre de la tâche Chaîne N/A Non Spécifiez le titre de la tâche.
SLA (en minutes) Integer 480 Oui Spécifiez le temps en minutes dont dispose l'utilisateur/le rôle attribué pour répondre à la tâche.
Contenu de la tâche Chaîne N/A Oui Spécifiez les détails de la tâche.
Attribuer à Menu déroulant N/A Oui Spécifiez l'utilisateur ou le rôle auquel la tâche sera attribuée.

Exemple

Dans ce scénario, une tâche est créée pour demander au niveau 3 d'exécuter une analyse antivirus.

tools33

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Playbook sur les retards V2

Description

Arrête temporairement l'exécution d'un playbook pendant une période spécifiée.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Secondes Integer 0 Non Spécifiez le délai d'attente d'un playbook en secondes.
Minutes Integer 1 Non Spécifiez le nombre de minutes de retard d'un playbook.
Heures Integer 0 Non Spécifiez le nombre d'heures de retard d'un playbook.
Jours Integer 0 Non Spécifiez le nombre de jours de report d'un playbook.
Expression Cron Chaîne N/A Non Détermine quand le playbook doit s'exécuter à l'aide d'une expression Cron. Il sera prioritaire sur les autres paramètres.

Exemple

Dans ce scénario, nous retardons le playbook de 12 heures et demie.

tools20

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Résolution DNS

Description

Effectue une résolution DNS à l'aide d'un résolveur DNS spécifié.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Serveur DNS Adresse IP N/A Oui Serveurs DNS uniques ou séparés par une virgule.

Exemple

Cet exemple montre l'adresse DNS publique de Google (8.8.8.8) pour rechercher des entités de domaine externes.

toolsnew1

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

Extraire le domaine d'une URL

Description

Enrichit toutes les entités avec un nouveau champ siemplifytools_extracted_domain contenant le domaine extrait de l'identifiant de l'entité. Si l'entité n'a pas de domaine (par exemple, un hachage de fichier), elle ne renvoie rien. En plus des entités, l'utilisateur peut spécifier une liste d'URL en tant que paramètre et les traiter sans enrichissement.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Séparateur Chaîne , Oui Spécifiez la chaîne séparatrice à utiliser pour séparer les URL.
URL Chaîne N/A Non Spécifiez une ou plusieurs URL à partir desquelles extraire le domaine.
Extraire le sous-domaine Case à cocher N/A Non Indiquez si vous souhaitez également extraire le sous-domaine.

Exemple

Dans ce scénario, nous extrayons le domaine de l'URL spécifiée.

tools14

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre de domaines extraits 1
  • Résultat JSON 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

Trouver First Alert

Description

Renvoie l'identifiant de la première alerte d'une demande donnée.

Paramètres

Aucun paramètre applicable.

Exemple

Dans ce scénario, il renvoie l'identifiant de la première alerte du cas.

tools27

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur de l'identifiant d'alerte IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

Obtenir les données de la demande

Description

Récupère toutes les données d'une demande et renvoie un résultat JSON. Le résultat inclut les commentaires, les informations sur les entités, les insights, les playbooks exécutés, les informations sur les alertes et les événements.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Numéro de demande Integer N/A Non Spécifiez l'ID de la demande à interroger. Si vous ne renseignez pas ce champ, la casse actuelle sera utilisée.

Exemple

Dans ce scénario, nous récupérons les détails de la demande actuelle.

tools35

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

Obtenir les détails d'un certificat

Description

Récupère les détails du certificat d'une URL donnée.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
URL à vérifier URL expired.badssk.com Oui Spécifiez l'URL à partir de laquelle récupérer les détails du certificat.

Exemple

Dans ce scénario, nous récupérons les détails du certificat sur le site expired.badssl.com.

tools6

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

Obtenir la valeur de contexte

Description

Récupère la valeur d'une clé de contexte dans une demande ou une alerte.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Champ d'application Menu déroulant Alerte Oui Spécifiez le champ d'application des valeurs de clé, qu'il s'agisse d'un cas, d'une alerte ou d'un champ d'application global.
Clé Chaîne N/A Oui Spécifiez la clé.

Exemple

Dans ce scénario, nous récupérons une valeur de contexte à partir d'une clé appelée "impact" dans une demande. Cette action est utilisée avec l'action Définir la valeur de contexte, qui ajoute les paires clé/valeur à la demande ou à l'alerte.

tools7

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur de contexte Élevée


Obtenir l'heure actuelle

Description

Renvoie la date et l'heure actuelles

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Format de date/heure Chaîne %d/%m/%Y %H:%M Oui Spécifiez le format de la date et de l'heure.

Exemple

Dans ce scénario, nous renvoyons une valeur de date et d'heure au format suivant : %d/%m/%Y %H:%M:%S.

tools22

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur de date et d'heure 03/11/2022 20:33:43

Obtenir des modèles d'e-mail

Description

Renvoie tous les modèles d'e-mails du système.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Type de modèle Menu déroulant Standard Oui Spécifiez le type de modèle à renvoyer : Standard ou HTML.

Exemple

Dans ce scénario, nous renvoyons tous les modèles d'e-mails HTML.

tools8

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Résultat JSON contenant du code HTML Résultat JSON affiché dans la section suivante
  • Résultat JSON 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

Obtenir des instances d'intégration

Description

Renvoie toutes les instances d'intégration d'un environnement.

Paramètres

Aucun paramètre applicable.

Exemple

Dans ce scénario, toutes les instances d'intégration de tous les environnements sont renvoyées.

tools19

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

Obtenir le fichier JSON de l'alerte d'origine

Description

Renvoie le résultat JSON de l'alerte d'origine (données brutes).

Paramètres

Aucun paramètre applicable

Exemple

Dans ce scénario, le fichier JSON brut d'origine de l'alerte est renvoyé.

tools21

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Obtenir des utilisateurs Siemplify

Description

Renvoie la liste de tous les utilisateurs configurés dans le système.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Masquer les utilisateurs désactivés Case à cocher Sélectionné Non Indiquez si vous souhaitez masquer les utilisateurs désactivés dans les résultats.

Exemple

Dans ce scénario, nous renvoyons tous les utilisateurs du système, y compris les utilisateurs désactivés.

tools17

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai
  • Résultat JSON 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

Verrouiller le playbook

Description

Met en pause le playbook actuel jusqu'à ce que tous les playbooks de l'alerte précédente soient terminés.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Délai avant expiration de l'action asynchrone Entiers 1 jour Non Le délai avant expiration de l'action asynchrone définit le temps total alloué à cette action (somme des durées d'exécution de toutes les itérations).
Intervalle d'interrogation asynchrone Entiers 1 heure Non Définissez la durée entre chaque tentative d'interrogation lors de l'exécution d'une action asynchrone.

Exemple

Dans ce scénario, nous suspendons le playbook actuel et vérifions toutes les 30 secondes si tous les playbooks de l'alerte précédente de la demande sont terminés.

tools26

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Domaines similaires

Description

Compare les entités de domaine à la liste des domaines définis pour l'environnement. Si les domaines sont similaires, l'entité est marquée comme suspecte et enrichie avec le domaine correspondant.

Paramètres

Aucun paramètre applicable

Exemple

Dans ce scénario, nous vérifions si les entités de domaine externe ressemblent aux domaines configurés dans la liste des domaines des paramètres.

tools28

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    look_a_like_domain_found Vrai/Faux Vrai
  • Résultat JSON 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

Normaliser l'enrichissement des entités

Description

Reçoit une liste de clés de l'entité et les remplace.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Données de normalisation JSON N/A Oui Spécifiez le code JSON au format suivant : [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

Exemple

Dans ce scénario, nous remplaçons la clé d'entité is_bad par malicious.

tools11

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Nombre d'entités enrichies 5

Réassocier le playbook

Description

Supprime un playbook d'une demande, supprime toutes les données de résultat de la demande provenant de ce playbook et rattache le playbook pour qu'il s'exécute à nouveau. Nécessite l'installation de l'intégration PostgreSQL, configurée pour l'environnement partagé avec un nom d'instance Google SecOps SOAR. Pour en savoir plus, contactez votre CSM ou l'assistance.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Nom du playbook Menu déroulant N/A Oui Spécifiez le playbook à réassocier.

Exemple

Dans ce scénario, nous rattachons un playbook appelé attach_playbook_test.

tools25

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai ou faux/Veuillez configurer l'instance Google SecOps SOAR de l'intégration PostgreSQL. Vrai

Texte de recherche

Description

Recherchez le paramètre "Rechercher" dans le texte d'entrée ou parcourez la liste "Rechercher une expression régulière" et recherchez les correspondances dans le texte d'entrée. Si une correspondance est trouvée, l'action renvoie true.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Texte Chaîne N/A Oui Spécifiez le texte à rechercher.
Rechercher Chaîne N/A Non Spécifiez la chaîne à rechercher dans le champ "text".
Rechercher une expression régulière Chaîne N/A Non Liste des expressions régulières qui seront utilisées pour rechercher la chaîne. L'expression régulière doit être placée entre guillemets doubles. Compatible avec les listes d'éléments séparés par une virgule.
Sensible à la casse Case à cocher N/A Non Indiquez si la recherche doit être sensible à la casse.

Exemple

Dans ce scénario, nous vérifions si le mot malicious existe dans la valeur du champ Text.

tools31

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    match_found Vrai/Faux Vrai
  • Résultat JSON 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

Définir la valeur de contexte

Description

Définit une clé et une valeur dans un contexte spécifique. Cette action est souvent utilisée avec l'action "Obtenir la valeur du contexte" pour récupérer la valeur de la clé.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Valeur Chaîne N/A Oui Spécifiez la valeur de contexte.
Clé Chaîne N/A Oui Spécifiez la clé de contexte.
Champ d'application Menu déroulant Alerte Oui Spécifiez le champ d'application de l'attribution du contexte (Alerte, Demande, Global).

Exemple

Dans ce scénario, nous définissons une clé de contexte "malicious" sur la valeur "yes".

tools32

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Spell Check String

Description

Vérifiez l'orthographe de la chaîne d'entrée. Le résultat indique le pourcentage de précision, le nombre total de mots, le nombre total de mots mal orthographiés, la liste de chaque mot mal orthographié et la correction, ainsi qu'une version corrigée de la chaîne d'entrée.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Chaîne Chaîne N/A Oui Spécifiez la chaîne dont vous souhaitez vérifier l'orthographe.

Exemple

Cet exemple vérifie l'orthographe de la chaîne d'entrée suivante :
"Testing if this is a mispelled wodr.".

tools30

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    accuracy_percentage Valeur en pourcentage 71
  • Résultat JSON 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

Mettre à jour le score d'alerte

Description

Met à jour le score d'alerte en fonction de la valeur fournie.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Entrée Integer N/A Oui Spécifiez le montant à incrémenter ou à décrémenter (nombre négatif).

Exemple

Dans ce scénario, nous diminuons le score d'alerte de 20.

tools23

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Valeur d'entrée -20

Mettre à jour la description de la demande

Description

Met à jour la description d'une demande.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Description du cas Chaîne N/A Oui Spécifiez la description mise à jour.

Exemple

Cet exemple met à jour la description de la demande en "This case is related to suspicious logins." (Cette demande est liée à des connexions suspectes).

tools10

Résultats de l'action

  • Script Result
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Attendre la fin du playbook

Description

Met en pause le playbook actuel jusqu'à ce qu'un autre playbook ou bloc, qui s'exécute sur la même alerte, se termine.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Nom du playbook Chaîne N/A Non Spécifiez le nom du bloc ou du playbook que vous souhaitez exécuter en premier.

Exemple

Dans ce scénario, nous mettons en pause le playbook actuel jusqu'à ce que le "bloc d'investigation" en cours d'exécution sur la même alerte soit terminé.

tools36

Résultats des actions

  • Résultat du script
    Nom du résultat du script Options de valeur Exemple
    ScriptResult Vrai/Faux Vrai

Emplois

Description

Ce job ferme toutes les demandes en fonction d'une requête de recherche. Pour garantir une gestion efficace des demandes, suivez ces consignes :

  • Pour 1 à 50 demandes : clôturez-les directement depuis l'écran Demandes.
  • Pour plus de 50 demandes : utilisez ce job pour clôturer des demandes de manière groupée.

Search Payload est la charge utile utilisée dans l'appel d'API CaseSearchEverything. Pour récupérer cette valeur :

  1. Accédez à Rechercher dans l'interface utilisateur et ouvrez les Outils pour les développeurs de votre navigateur.
  2. Recherchez les cas à supprimer.
  3. Recherchez l'appel d'API CaseSearchEverything dans l'onglet Réseau.
  4. Copiez la charge utile JSON de la requête POST et collez-la dans le champ Search Payload.

Close Reason doit être 0 (malveillant) ou 1 (non malveillant). L'ID de la cause principale se trouve dans Paramètres > Investigation > Fermer le dossier.

Si ces options ne permettent pas de résoudre l'exigence de clôture de la demande, contactez Cloud Customer Care.

Paramètres

Paramètre Type Valeur par défaut Est obligatoire Description
Charge utile de recherche JSON N/A Non Spécifiez la charge utile JSON à rechercher. Exemple : {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
Fermer la section "Commentaires" Chaîne N/A Oui Spécifiez un commentaire de clôture.
Motif de la fermeture Chaîne N/A Oui Spécifiez le motif de clôture : 0 pour malveillant, 1 pour non malveillant.
Cause principale Integer N/A Oui Spécifiez la cause principale. Recherchez la cause principale dans Paramètres > Investigation > Clôturer la demande.
Nom d'utilisateur Google SecOps SOAR Chaîne N/A Oui Spécifiez le nom d'utilisateur Google SecOps SOAR.
Mot de passe Google SecOps SOAR Mot de passe N/A Oui Spécifiez le mot de passe Google SecOps SOAR.

Taguer les demandes non traitées

Description

Ce job recherche les demandes ouvertes qui n'ont pas été modifiées pendant un nombre d'heures spécifié et leur applique les tags désignés. Ce processus identifie les demandes stagnantes qui nécessitent une attention particulière ou un examen manuel.

Comportement des jobs

  • Fenêtre de recherche : le job utilise une fenêtre de recherche de 30 jours définie par le système.
  • Limitation du système : la requête de recherche ne capture pas les demandes qui restent inchangées pendant plus de 30 jours (720 heures). Cette limitation persiste même si Unmodified time est défini sur une valeur plus élevée.
  • Application des tags : le job applique les tags définis dans les paramètres aux métadonnées de tous les cas identifiés qui se trouvent dans la période de visibilité de 30 jours.

Paramètres

Paramètre Type Valeur par défaut Is Mandatory Description
Tags Chaîne N/A Oui Spécifie le ou les tags à appliquer aux cas identifiés. Cette option accepte les valeurs séparées par une virgule pour plusieurs tags.
Date et heure de la dernière modification Integer N/A Oui Spécifie le seuil d'inactivité en heures. Le job applique des tags aux demandes qui dépassent cette valeur sans modification enregistrée.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.