כלים

נתמך ב:

קבוצה של פעולות עזר לתפעול נתונים, שמשפרות את היכולות של מדריכי ההפעלה.

פעולות

בקטעים הבאים מפורטים סוגי הפעולות שאפשר לבצע באמצעות התוסף Tools.

הוספת מידע על ניקוד ההתראה

תיאור

מוסיף רשומה למסד הנתונים של ניקוד ההתראות. ציון ההתראה מבוסס על היחס הבא: 5 התראות ברמת חומרה נמוכה = התראה אחת ברמת חומרה בינונית. ‫3 בינוני = 1 גבוה. ‫2 גבוהות = 1 קריטית. תג אופציונלי נוסף לכרטיס.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שם String לא רלוונטי כן השם של הבדיקה שבוצעה בהתראה.
תיאור String לא רלוונטי כן תיאור של הבדיקה שבוצעה בהתראה.
חוּמרה String לצורך מידע כן חומרה.
קטגוריה String לא רלוונטי כן הקטגוריה של הבדיקה שבוצעה.
מקור String לא רלוונטי לא חלק מההתראה שממנה נגזר הציון. דוגמה: קבצים, משתמש, אימייל.
תג בקשת תמיכה String לא רלוונטי לא תגים להוספה לבקשת התמיכה.

דוגמה

בדוגמה הזו, ציון ההתראה מוגדר כ'גבוה' בגלל תוצאה חשודה מ-VirusTotal.

tools16

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    Alert_score אינפורמטיבי, נמוך, בינוני, גבוה, קריטי גבוהה
  • תוצאה ב-JSON 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

הוספת תגובה ליומן הישות

תיאור

הפונקציה מוסיפה הערה ליומן הישויות לכל ישות בציון בכלי Entity Explorer.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
משתמש תפריט נפתח @Administrator כן מציינים את המשתמש שיצר את התגובה.
תגובה String לא רלוונטי כן מציינים את התגובה שתוסף ליומן של הישות.

דוגמה

tools24

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    לא רלוונטי לא רלוונטי לא רלוונטי

הוספה או עדכון של נתונים נוספים בהתראה

תיאור

הוספה או עדכון של שדות בנתונים הנוספים של ההתראה. התוצאות מוצגות בסקירה הכללית של התראות, בשדה OFFENSE_ID.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שדות Json JSON לא רלוונטי כן מזינים טקסט חופשי (למשתנה אחד) או מחרוזת שמייצגת מילון JSON (יכול להיות מקונן).

דוגמה

בדוגמה הזו מוסיפים פרטים על מתקפת MITRE להתראות שמוצגות בסקירה הכללית של ההתראות.

tools1

tools2

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult מספר הפריטים במילון 2
  • תוצאה ב-JSON 
    {
"dict": {"mitre": " T1059"}, "list": []
}

הוספה לערך ההקשר

תיאור

מוסיף ערך למאפיין הקשר קיים או יוצר מאפיין הקשר חדש אם הוא לא קיים, ומוסיף את הערך.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
מפתח String לא רלוונטי כן מציינים את מפתח מאפיין ההקשר
ערך String לא רלוונטי כן מציינים את הערך שרוצים לצרף למאפיין ההקשר
תו מפריד String לא רלוונטי כן מציינים את התו המפריד שבו רוצים להשתמש בשדה הערך.

דוגמה

בתרחיש הזה, אנחנו מוסיפים את הערכים T1595 ו-T1140 למפתח הקשר הקיים MITRE.

tools12

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult ערכי הקשר T1595, ‏ T1140

הקצאת פנייה למשתמש

תיאור

הקצאת בקשה למשתמש.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
מספר פנייה String לא רלוונטי כן מציינים את מספר הפנייה. משתמשים ב-‎[Case.Id] ‎ עבור הפנייה הנוכחית.
הקצאה ל String @Admin כן מציינים את המשתמש שאליו רוצים להקצות את הפנייה. זהו מזהה המשתמש. משתמשים בפעולה Get Siemplify Users כדי לאחזר מזהה של משתמש ספציפי.
מזהה ההתראה String
כן מציינים את מזהה ההתראה. אפשר להשתמש ב- [Alert.Identifier].

דוגמה

בתרחיש הזה, אנחנו מקצים את הפנייה הנוכחית למשתמש ספציפי באמצעות המזהה שלו.

tools34

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

צירוף פלייבוק להתראה

תיאור

מצרף ל-Alert הנוכחי playbook או בלוק ספציפיים.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שם הפלייבוק String לא רלוונטי כן שם של פלייבוק או של בלוק שרוצים להוסיף לכל ההתראות על מקרים.

דוגמה

בדוגמה הזו, בלוק שנקרא Containment Block מצורף להתראות הנוכחיות של הכרטיס.

tools4

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult true או false true

צירוף ספריית הפעולות לכל ההתראות על מקרים

תיאור

מצרף פלייבוק או בלוק ספציפיים לכל ההתראות בבקשת תמיכה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שם הפלייבוק String לא רלוונטי כן שם של playbook או של בלוק שרוצים להוסיף לכל ההתראות בתיק.

דוגמה

בדוגמה הזו, מחברים מחברת הפעלה בשם Phishing playbookM לכל ההתראות על מקרים.

tools3

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult true או false true

Buffer

תיאור

המרת קלט JSON לאובייקט JSON.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
ResultValue String לא רלוונטי לא ערך placeholder שמוחזר כערך ScriptResult.
JSON JSON לא רלוונטי לא קובץ ה-JSON מוצג בכלי ליצירת ביטויים.

דוגמה

בדוגמה הזו מוצג ערך הקלט של ה-JSON בכלי ליצירת ביטויי JSON, כדי להשתמש בו בפעולות נוספות.

tools5-buffer

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult ערך הקלט של הפרמטר ResultValue הפעולה בוצעה
  • תוצאה ב-JSON 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

שינוי שם הפנייה

תיאור

שינוי של שם או כותרת של תיק.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
השם החדש String לא רלוונטי לא מציינים את השם החדש של בקשת התמיכה.
רק אם זו ההתראה הראשונה תיבת סימון לא נבחר לא אם בוחרים באפשרות הזו, השם של האירוע ישתנה רק אם הפעולה בוצעה בהתראה הראשונה באירוע.

דוגמה

בתרחיש הזה, השם של הכרטיס ישתנה ל-Phishing - Suspicious Email רק אם הוא יופעל בהתראה הראשונה.

tools29

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

בדיקת שדות של ישויות בטקסט

תיאור

חיפוש שדה ספציפי מכל ישות בהיקף (או כמה שדות באמצעות ביטוי רגולרי) והשוואה שלו לערך אחד או יותר. הערכים שמושווים יכולים לעבור גם דרך ביטוי רגולרי. התאמה מתבצעת אם אחד מהערכים של הביטוי הרגולרי אחרי העיבוד מהעשרה של הישות נמצא באחד או יותר מהערכים שחיפשתם.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
SearchInData JSON ‪[ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] כן ‫JSON שמייצג את המחרוזות שרוצים לחפש בהן באמצעות הפורמט הזה: [ { "Data": "", "RegEx": "" } ]
FieldsInput JSON ‪[ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", ‪"FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] כן קובץ JSON שמתאר אילו שדות צריך לבדוק עבור [ "RegexForFieldName": “”,

‪"FieldName": "Field name to search",

‪"RegexForFieldValue": “”}]
ShouldEnrichEntity String domain_matched לא אם הערך מוגדר כ-<VAL>, יתווסף גם ערך העשרה לישות כדי שהיא תזוהה כ'תואמת' לערך.

המפתח יהיה <VAL>
IsCaseSensitive תיבת סימון לא נבחר לא מציינים אם השדה תלוי אותיות רישיות (case-sensitive).

דוגמה

בתרחיש הזה, אנחנו בודקים אם יש ישות עם שם שדה malicious בטקסט שצוין.

tools18

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult מספר הממצאים 0
  • תוצאה ב-JSON 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

Check List Subset

תיאור

בודקת אם ערכים ברשימה אחת קיימים ברשימה אחרת.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
מקורי String לא רלוונטי כן מציינים את רשימת הפריטים שרוצים לבדוק. רשימת JSON או רשימה מופרדת בפסיקים.
תת-קבוצה רשימה לא רלוונטי כן מציינים את רשימת קבוצת המשנה. רשימת JSON או רשימה מופרדת בפסיקים.

דוגמה

בתרחיש הזה, אנחנו בודקים אם הערכים 1,2,3 קיימים ברשימה המקורית 1,2,3,4,5, והתוצאה היא True.

tools15

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

המרת המקרה למקרה מדומה

תיאור

הפונקציה ממירה בקשת תמיכה לבקשת תמיכה מדומה שאפשר לטעון בפלטפורמה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
העברה לסימולציה של מקרים תיבת סימון לא נבחר לא אם בוחרים באפשרות הזו, בקשת התמיכה מתווספת לרשימת בקשות התמיכה הזמינות לסימולציה.
שמירת קובץ JSON כקובץ Case Wall תיבת סימון נבחר לא אם האפשרות הזו נבחרה, קובץ JSON שמייצג את הפנייה יישמר בקיר הפנייה ויהיה זמין להורדה.
שינוי השם של ההתראה String ריק לא מציינים שם חדש להתראה. אם בוחרים באפשרות הזו, הפרמטר הזה מחליף את הפרמטר Full Path Name.
השם המלא של הנתיב תיבת סימון לא נבחר לא אם בוחרים באפשרות הזו, שם ההתראה ישמש כ-source_product_eventtype – לדוגמה, QRadar_WinEventLog:Security_Remote fail login. המערכת מתעלמת מהפרמטר הזה אם האפשרות Override Alert Name (שינוי שם ההתראה) מוגדרת.

דוגמה

בדוגמה הזו, המקרה מומר למקרה מדומה באמצעות 'כניסה מסוכנת' כשם ההתראה, והוא יוצג כאחד מהמקרים המדומים שזמינים במסך הבית.

convertsimcase1

convertsimcase2

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

יצירת ישויות עם מפריד

תיאור

יוצר ישויות ומוסיף אותן להתראה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
מזהי ישויות String לא רלוונטי כן מציינים את הישות או הישויות שרוצים להוסיף להתראה.
סוג ישות String לא רלוונטי כן מציינים את סוג הישות.
פנימי תיבת סימון לא נבחר לא בודקים אם הישות שסופקה היא חלק מרשת פנימית.
מפריד הישויות String , כן מציינים את התו המפריד שבו משתמשים בשדה של מזהי הישויות.
קובץ JSON של העשרה תפריט נפתח JSON לא מציינים את נתוני ההעשרה בפורמט JSON.
PrefixForEnrichment String לא רלוונטי לא מציינים את הקידומת שרוצים להוסיף לנתוני ההעשרה.

דוגמה

בתרחיש הזה, אנחנו יוצרים שלוש ישויות IP ומעשירים אותן בשדה שנקרא is_suspicious.

tools9

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

יצירת קשרים בין ישויות

תיאור

יוצר קשר בין הישויות שצוינו לבין הישויות המקושרות. אם היישויות שסופקו לא קיימות, המערכת יוצרת אותן.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
מזהי ישות String לא רלוונטי כן יוצר מזהים חדשים של ישויות או משתמש במזהים קיימים, או ברשימה של מזהים מופרדים בפסיקים.
סוג מזהה הישות תפריט נפתח שם משתמש כן מציינים את סוג הישות.
התחברות בתור תפריט נפתח מקור כן מקשר בין מזהי ישויות באמצעות קשרים של מקור, יעד או קשרים מקושרים למזהי ישויות היעד.
סוג ישות היעד תפריט נפתח כתובת כן מציינים את סוג ישות היעד שאליה רוצים לקשר את מזהי הישות.
מזהים של ישויות יעד String לא רלוונטי לא יש לציין ברשימה מופרדת בפסיקים את הישויות

הסוג מתוך Target Entity Type (סוג ישות היעד) יקושר לישויות בפרמטר Entities Identifier(s) (מזהי ישויות).

קובץ JSON של העשרה JSON לא רלוונטי לא אובייקט JSON אופציונלי שמכיל זוגות של מפתח /

צמדי ערכים של מאפיינים שאפשר להוסיף לישויות שנוצרו לאחרונה.

תו מפריד String לא רלוונטי לא מציינים את התו שבאמצעותו יופרדו הישויות ברשימה של מזהי הישויות או מזהי ישויות היעד. ברירת המחדל היא פסיק.

דוגמה

בתרחיש הזה, אנחנו יוצרים קשר בין משתמש לבין כתובת URL. במקרה הזה, Bola001 ניגש לכתובת URL של example.com.

tools13

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"Entity": "Bola001", "EntityResult": {}
}

יצירת משימה ב-Siemplify

תיאור

הקצאת משימה למשתמש או לתפקיד. המשימה תשויך לפנייה שהפעולה בוצעה בה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שם המשימה String לא רלוונטי לא מציינים את שם המשימה.
SLA (בדקות) מספר שלם 480 כן מציינים את משך הזמן בדקות שבו המשתמש או התפקיד שהוקצו צריכים להגיב למשימה.
תוכן המשימה String לא רלוונטי כן מציינים את פרטי המשימה.
הקצאה ל תפריט נפתח לא רלוונטי כן מציינים את המשתמש או התפקיד שהמשימה תוקצה להם.

דוגמה

בתרחיש הזה, נוצרת משימה שמורה לרמה 3 להריץ סריקה לאיתור וירוסים.

tools33

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

Delay Playbook V2

תיאור

הפסקה זמנית של הפעלת תוכנית הפעולה למשך פרק זמן מסוים.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שניות מספר שלם 0 לא מציינים את משך ההשהיה של ספר ההפעלה בשניות.
דקות מספר שלם 1 לא מציינים את מספר הדקות להשהיית הפעלת תוכנית הפעולה.
שעות מספר שלם 0 לא מציינים את מספר השעות לעיכוב של מדריך הפעלה.
ימים מספר שלם 0 לא מציינים את מספר הימים לעיכוב של תוכנית הפעולה.
ביטוי Cron String לא רלוונטי לא ההגדרה הזו קובעת מתי הפלייבוק ימשיך לפעול באמצעות ביטוי cron. הפרמטר הזה יקבל עדיפות על פני הפרמטרים האחרים.

דוגמה

בתרחיש הזה, אנחנו מעכבים את הפלייבוק למשך 12 וחצי שעות.

tools20

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

חיפוש DNS

תיאור

מבצע חיפוש DNS באמצעות מפענח DNS שצוין.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שרת DNS כתובת IP לא רלוונטי כן שרתי DNS יחידים או מופרדים בפסיקים.

דוגמה

בדוגמה הזו מוצגת כתובת ה-DNS הציבורית של Google ‏8.8.8.8 לחיפוש ישויות של דומיין חיצוני.

toolsnew1

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

שליפת דומיין של כתובת URL

תיאור

מעשיר את כל הישויות בשדה חדש siemplifytools_extracted_domain שמכיל את הדומיין שחולץ ממזהה הישות. אם לישות אין דומיין (לדוגמה, גיבוב של קובץ), לא יוחזר כלום. בנוסף לישויות, המשתמש יכול לציין רשימה של כתובות URL כפרמטר ולעבד אותן בלי להוסיף להן מידע.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
מפריד String , כן מציינים את מחרוזת ההפרדה שתשמש להפרדה בין כתובות ה-URL.
כתובות URL String לא רלוונטי לא מציינים כתובת URL אחת או יותר שממנה רוצים לחלץ את הדומיין.
חילוץ תת-דומיין תיבת סימון לא רלוונטי לא מציינים אם רוצים לחלץ גם את תת-הדומיין.

דוגמה

במקרה כזה, אנחנו מחלצים את הדומיין מכתובת ה-URL שצוינה.

tools14

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult מספר הדומיינים שחולצו 1
  • תוצאה ב-JSON 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

איך מוצאים את ההתראה הראשונה

תיאור

הפונקציה מחזירה את המזהה של ההתראה הראשונה במקרה נתון.

פרמטרים

אין פרמטרים רלוונטיים.

דוגמה

בתרחיש הזה, הפונקציה מחזירה את מזהה ההתראה של ההתראה הראשונה בתיק.

tools27

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult ערך מזהה ההתראה IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

אחזור נתוני אירוע

תיאור

מאחזר את כל הנתונים מתיק ומחזיר תוצאה בפורמט JSON. התוצאה כוללת תגובות, מידע על ישויות, תובנות, ספרי הפעלה שהופעלו, מידע על התראות ואירועים.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
מספר פנייה מספר שלם לא רלוונטי לא מציינים את מספר הפנייה שאותה רוצים לשלוח. אם לא מציינים ערך, המערכת משתמשת באותיות הקטנות והגדולות הנוכחיות.

דוגמה

בתרחיש הזה, אנחנו מאחזרים פרטי פנייה מהפנייה הנוכחית.

tools35

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

קבלת פרטי האישור

תיאור

אחזור פרטי האישור של כתובת URL נתונה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
כתובת ה-URL לבדיקה כתובת URL expired.badssk.com כן מציינים את כתובת ה-URL שממנה יאוחזרו פרטי האישור.

דוגמה

בתרחיש הזה, אנחנו מאחזרים פרטי אישור מהאתר expired.badssl.com.

tools6

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

קבלת ערך ההקשר

תיאור

אחזור ערך של מפתח הקשר במקרה או בהתראה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
היקף תפריט נפתח התראה כן מציינים את ההיקף של ערכי המפתח: אם הוא רלוונטי למקרה, להתראה או גלובלי.
מפתח String לא רלוונטי כן מציינים את המפתח.

דוגמה

בתרחיש הזה, אנחנו מאחזרים ערך הקשר ממפתח שנקרא impact במקרה. הפעולה הזו משמשת יחד עם הפעולה Set Context Value שמוסיפה את צמדי המפתח/ערך לתיק או להתראה.

tools7

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult ערך ההקשר גבוהה


קבלת השעה הנוכחית

תיאור

הפונקציה מחזירה את התאריך והשעה הנוכחיים.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
פורמט של תאריך ושעה String ‫%d/%m/%Y %H:%M כן מציינים את הפורמט של התאריך והשעה.

דוגמה

בתרחיש הזה, אנחנו מחזירים ערך של תאריך ושעה בפורמט הבא: ‎%d/%m/%Y %H:%M:%S

tools22

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult ערך של תאריך ושעה 03/11/2022 20:33:43

איך מקבלים תבניות אימייל

תיאור

הפונקציה מחזירה את כל תבניות האימייל במערכת.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
סוג התבנית תפריט נפתח רגילה כן מציינים את סוג התבנית שיוחזר: Standard או HTML.

דוגמה

בתרחיש הזה, אנחנו מחזירים את כל תבניות האימייל שמבוססות על HTML.

tools8

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult תוצאת JSON שמכילה קוד HTML תוצאת ה-JSON מוצגת בקטע הבא
  • תוצאה ב-JSON 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

קבלת מופעי שילוב

תיאור

הפונקציה מחזירה את כל מופעי השילוב בסביבה.

פרמטרים

אין פרמטרים רלוונטיים.

דוגמה

בתרחיש הזה, כל מופעי השילוב בכל הסביבות יוחזרו.

tools19

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

קבלת קובץ JSON של ההתראה המקורית

תיאור

מחזירה תוצאת JSON של ההתראה המקורית (נתונים גולמיים).

פרמטרים

אין פרמטרים רלוונטיים

דוגמה

בתרחיש הזה, קובץ ה-JSON הגולמי המקורי של ההתראה מוחזר.

tools21

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

קבלת משתמשי Siemplify

תיאור

מחזירה רשימה של כל המשתמשים שהוגדרו במערכת.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
הסתרת משתמשים מושבתים תיבת סימון נבחר לא מציינים אם להסתיר משתמשים מושבתים מהתוצאות.

דוגמה

בתרחיש הזה, אנחנו מחזירים את כל המשתמשים במערכת, כולל משתמשים מושבתים.

tools17

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

מדריך Lock

תיאור

ההפעלה של תוכנית הפעולה הנוכחית מושהית עד שכל תוכניות הפעולה מההתראה הקודמת מסתיימות.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
הזמן הקצוב לתפוגה של פעולה אסינכרונית מספרים שלמים יום אחד לא הזמן הקצוב לתפוגה של פעולות אסינכרוניות מגדיר את הזמן הכולל המותר לפעולה הזו (סכום זמני הריצה של כל האיטרציות).
מרווח הזמן בין בדיקות אסינכרוניות מספרים שלמים שעה לא הגדרת משך הזמן בין כל ניסיון לבצע שאילתת סטטוס במהלך זמן ריצה של פעולה אסינכרונית.

דוגמה

בתרחיש הזה, אנחנו משהים את תוכנית הפעולה הנוכחית ובודקים כל 30 שניות אם כל תוכניות הפעולה בהתראה הקודמת במקרה הושלמו.

tools26

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

דומיינים דומים

תיאור

השוואה בין ישויות דומיין לבין רשימת הדומיינים שהוגדרו בסביבה. אם הדומיינים דומים, הישות תסומן כחשודה ותועשר בדומיין התואם.

פרמטרים

אין פרמטרים רלוונטיים

דוגמה

בתרחיש הזה, אנחנו בודקים אם יש ישויות דומיין חיצוניות שנראות דומות לדומיינים שהוגדרו ברשימת הדומיינים בהגדרות.

tools28

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    look_a_like_domain_found נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

נרמול של העשרת ישויות

תיאור

מקבל רשימה של מפתחות מהישויות ומחליף אותם.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
נירמול נתונים JSON לא רלוונטי כן מציינים את ה-JSON בפורמט הבא: [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

דוגמה

בדוגמה הזו, אנחנו מחליפים את מפתח הישות של is_bad ב-malicious.

tools11

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult מספר הישויות שהועשרו 5

צירוף מחדש של מדריך

תיאור

הפעולה הזו מסירה playbook מאירוע, מוחקת את כל נתוני התוצאות באירוע מ-playbook מסוים ומצרפת מחדש את ה-playbook כדי שהוא יפעל שוב. נדרשת התקנה של שילוב PostgreSQL, שמוגדר לסביבה משותפת עם שם מכונה של Google SecOps SOAR. פרטים נוספים זמינים אצל מנהל הלקוחות או צוות התמיכה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שם הפלייבוק תפריט נפתח לא רלוונטי כן מציינים את המדריך שרוצים לצרף מחדש.

דוגמה

במקרה הזה, אנחנו מצרפים מחדש playbook בשם attach_playbook_test

tools25

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult True/False/Please configure the Google SecOps SOAR instance of the PostgreSQL integration. True

חיפוש טקסט

תיאור

לחפש את הפרמטר 'חיפוש' בטקסט הקלט או להריץ לולאה ברשימה 'חיפוש ביטוי רגולרי' ולמצוא התאמות בטקסט הקלט. אם יש התאמה, הפעולה מחזירה true.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
טקסט String לא רלוונטי כן מציינים את הטקסט שיחפש.
חיפוש של String לא רלוונטי לא מציינים את המחרוזת לחיפוש בשדה 'טקסט'.
חיפוש של ביטוי רגולרי String לא רלוונטי לא רשימה של ביטויי regex שישמשו לחיפוש המחרוזת. הביטוי הרגולרי צריך להיות מוקף במירכאות כפולות. תמיכה ברשימה מופרדת בפסיקים.
תלוי אותיות רישיות תיבת סימון לא רלוונטי לא מציינים אם החיפוש צריך להיות תלוי אותיות רישיות.

דוגמה

בתרחיש הזה, אנחנו בודקים אם המילה malicious קיימת בערך של השדה Text.

tools31

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    match_found נכון/לא נכון True
  • תוצאה ב-JSON 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

הגדרת ערך הקשר

תיאור

הגדרת מפתח וערך בהקשר ספציפי. הפעולה הזו משמשת לעיתים קרובות עם הפעולה Get context Value (קבלת ערך של הקשר) כדי לאחזר את הערך של המפתח.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
ערך String לא רלוונטי כן מציינים את ערך ההקשר.
מפתח String לא רלוונטי כן מציינים את מפתח ההקשר.
היקף תפריט נפתח התראה כן מציינים את היקף הקצאת ההקשר (התראה, אירוע, גלובלי).

דוגמה

בתרחיש הזה, אנחנו מגדירים מפתח הקשר 'זדוני' עם הערך 'כן'.

tools32

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

Spell Check String

תיאור

בודקים את האיות של מחרוזת הקלט. הפלט מציג את אחוז הדיוק, המספר הכולל של המילים, המספר הכולל של המילים עם שגיאות איות, רשימה של כל מילה עם שגיאת איות והתיקון שלה, וגרסה מתוקנת של מחרוזת הקלט.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
String String לא רלוונטי כן מציינים את המחרוזת שייבדקו בה שגיאות כתיב.

דוגמה

בדוגמה הזו מתבצעת בדיקת איות למחרוזת הקלט הבאה:
“Testing if this is a mispelled wodr.”.

tools30

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    accuracy_percentage ערך באחוזים 71
  • תוצאה ב-JSON 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

עדכון ציון ההתראה

תיאור

הפונקציה מעדכנת את ציון ההתראה בסכום שצוין.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
קלט מספר שלם לא רלוונטי כן מציינים את הסכום שלפיו רוצים להגדיל או להקטין (מספר שלילי) את הצעות המחיר.

דוגמה

בתרחיש הזה, אנחנו מפחיתים את ציון ההתראה ב-20.

tools23

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult ערך קלט -20

עדכון תיאור הפנייה

תיאור

עדכון התיאור של בקשת תמיכה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
תיאור הפנייה String לא רלוונטי כן מציינים את התיאור המעודכן.

דוגמה

בדוגמה הזו מתבצע עדכון של תיאור הפנייה ל-This case is related to suspicious logins.‎.

tools10

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

Wait For Playbook to Complete

תיאור

הפעולה הזו משהה את ספר ההוראות הנוכחי עד שספר הוראות או בלוק אחרים שפועלים באותו התראה יסיימו את הפעולה.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
שם הפלייבוק String לא רלוונטי לא מציינים את השם של הבלוק או של ספר ההוראות שרוצים להשלים קודם.

דוגמה

בתרחיש הזה, אנחנו משהים את תוכנית הפעולה הנוכחית עד לסיום של 'חסימת החקירה' שפועלת באותו התראה.

tools36

תוצאות הפעולה

  • תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות ערך דוגמה
    ScriptResult נכון/לא נכון True

משימות

תיאור

העבודה הזו סוגרת את כל הפניות שמבוססות על שאילתת חיפוש. כדי להבטיח ניהול יעיל של הפניות, חשוב לפעול לפי ההנחיות הבאות:

  • ל-1 עד 50 בקשות תמיכה: אפשר לסגור אותן ישירות במסך בקשות תמיכה.
  • אם יש יותר מ-50 בקשות תמיכה: אפשר להשתמש במשימה הזו כדי לסגור בקשות תמיכה בכמות גדולה.

‫Search Payload הוא מטען הייעודי (payload) שמשמש בקריאה ל-API‏ CaseSearchEverything. כדי לאחזר את הערך הזה:

  1. עוברים אל חיפוש בממשק המשתמש ופותחים את הכלים למפתחים בדפדפן.
  2. מחפשים את בקשות התמיכה שרוצים למחוק.
  3. מאתרים את הקריאה ל-API‏ CaseSearchEverything בכרטיסייה רשת.
  4. מעתיקים את מטען ה-JSON של בקשת ה-POST ומדביקים אותו בשדה Search Payload.

הערך של Close Reason צריך להיות 0 (זדוני) או 1 (לא זדוני). מזהה הגורם הבסיסי נמצא בהגדרות > נתוני פנייה > הגורם הבסיסי לסגירת הפנייה.

אם האפשרויות האלה לא עוזרות לפתור את הדרישה לסגירת הפנייה, אפשר לפנות אל Cloud Customer Care.

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
מטען ייעודי (payload) של בקשת חיפוש JSON לא רלוונטי לא מציינים את מטען ה-JSON הייעודי לחיפוש. דוגמה: {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
סגירת התגובה String לא רלוונטי כן מציינים תגובה לסגירה.
הסיבה לסגירה String לא רלוונטי כן מציינים את הסיבה לסגירה: 0 אם מדובר בפעילות זדונית, 1 אם לא.
שורש הבעיה מספר שלם לא רלוונטי כן מציינים את שורש הבעיה. אפשר למצוא את הסיבה הבסיסית בהגדרות > נתוני פנייה > הסיבה הבסיסית לסגירת הפנייה.
שם המשתמש ב-Google SecOps SOAR String לא רלוונטי כן מציינים את שם המשתמש ב-Google SecOps SOAR.
הסיסמה של Google SecOps SOAR סיסמה לא רלוונטי כן מציינים את הסיסמה של Google SecOps SOAR.

תרחישים שבהם התג לא משתנה

תיאור

העבודה הזו מחפשת בקשות פתוחות שלא בוצעו בהן שינויים במשך מספר שעות שצוין, ומחיל תגים ייעודיים על הבקשות האלה. במהלך התהליך הזה, המערכת מזהה מקרים תקועים שדורשים התייחסות נוספת או בדיקה ידנית.

התנהגות בחיפוש עבודה

  • חלון החיפוש: העבודה משתמשת בחלון חיפוש של 30 יום שמוגדר על ידי המערכת.
  • מגבלה במערכת: שאילתת החיפוש לא כוללת מקרים שלא בוצעו בהם שינויים במשך יותר מ-30 יום (720 שעות). המגבלה הזו נשארת בתוקף גם במקרים שבהם הערך של Unmodified time מוגדר כערך גבוה יותר.
  • החלת התגים: התגים שמוגדרים בפרמטרים מוחלים על המטא-נתונים של כל המקרים שזוהו ונכללים בחלון הנראות של 30 יום.

פרמטרים

פרמטר סוג ערך ברירת מחדל חובה תיאור
תגים String לא רלוונטי כן מציינים את התג או התגים שרוצים להחיל על המקרים שזוהו. התכונה הזו תומכת בערכים מופרדים בפסיקים לכמה תגים.
זמן ללא שינוי מספר שלם לא רלוונטי כן מציינת את סף חוסר הפעילות בשעות. התיוג של המשימה חל על מקרים שבהם הערך הזה לא נרשם בשינוי.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.