ツール

以下でサポートされています。

ハンドブックの機能を強化するためのデータ操作用のユーティリティ アクションのセット。

操作

以下に、ツールパワーアップで実行できるアクションの種類を示します。

アラート スコアリング情報を追加する

説明

アラート スコアリング データベースにエントリを追加します。アラートスコアは、5（低）= 1（中）の比率に基づいています。3 Medium = 1 High. 2 High = 1 Critical。ケースに追加されたオプションのタグ。

パラメータ

パラメータ タイプ デフォルト値 必須 Description
名前 文字列 なし はい アラートに対して実行されたチェックの名前。
説明 文字列 なし はい アラートに対して実行されたチェックの説明。
重大度 文字列 情報 はい 重大度。
カテゴリ 文字列 なし はい 実行されたチェックのカテゴリ。
ソース 文字列 なし × スコアの算出元となったアラートの一部。例: Files、user、Email。
ケースタグ 文字列 なし × ケースに追加するタグ。

例

この例では、VirusTotal からの不審な結果により、アラート スコアを「高」に設定しています。

tools16

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    Alert_score 情報、低、中、高、重大 高
  • JSON の結果 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

エンティティ ログにコメントを追加する

説明

エンティティ エクスプローラのスコア内の各エンティティのエンティティ ログにコメントを追加します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ユーザー プルダウン @Administrator はい コメントを作成したユーザーを指定します。
コメント 文字列 なし はい エンティティ ログに追加するコメントを指定します。

例

tools24

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    なし なし なし

アラートの追加データを追加または更新する

説明

アラートの追加データにフィールドを追加または更新します。結果は、[アラート] の概要の [OFFENSE_ID] フィールドに表示されます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
JSON フィールド JSON なし はい 自由形式のテキスト（1 つの変数の場合）または JSON 辞書を表す文字列（ネスト可能）を入力します。

例

この例では、MITRE 攻撃の詳細をアラートに追加して、[アラートの概要] に表示します。

tools1

tools2

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 辞書内のアイテム数 2
  • JSON の結果 
    {
"dict": {"mitre": " T1059"}, "list": []
}

コンテキスト値に追加

説明

既存のコンテキスト プロパティに値を追加します。コンテキスト プロパティが存在しない場合は、新しいコンテキスト プロパティを作成して値を追加します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
キー 文字列 なし はい コンテキスト プロパティ キーを指定する
値 文字列 なし はい コンテキスト プロパティに追加する値を指定します。
区切り文字 文字列 なし はい 値フィールドで使用する区切り文字を指定します。

例

このシナリオでは、既存のコンテキスト キー「MITRE」に値「T1595」と「T1140」を追加します。

tools12

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult コンテキストの値 T1595、T1140

ケースをユーザーに割り当てる

説明

ケースをユーザーに割り当てます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ケース ID 文字列 なし はい ケース ID を指定します。現在のケースには [Case.Id] を使用します。
担当者 文字列 @Admin はい ケースを割り当てるユーザーを指定します。これはユーザーの ID です。「Get Siemplify Users」アクションを使用して、特定のユーザーの ID を取得します。
アラート ID 文字列
はい アラート ID を指定します。[Alert.Identifier] を使用します。

例

このシナリオでは、ID を使用して現在のケースを特定のユーザーに割り当てます。

tools34

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

ハンドブックをアラートにアタッチする

説明

特定のハンドブックまたはブロックを現在のアラートにアタッチします。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 文字列 なし はい すべてのケースアラートに追加するハンドブックまたはブロックの名前。

例

この例では、Containment Block というブロックを現在のケースアラートにアタッチします。

tools4

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult true または false true

ハンドブックをすべてのケースアラートにアタッチする

説明

特定のハンドブックまたはブロックをケース内のすべてのアラートにアタッチします。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 文字列 なし はい ケース内のすべてのアラートに追加するハンドブックまたはブロックの名前。

例

この例では、Phishing playbookM というハンドブックをすべてのケースアラートにアタッチします。

tools3

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult true または false true

バッファ

説明

JSON 入力を JSON オブジェクトに変換します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ResultValue 文字列 なし × ScriptResult 値として返されるプレースホルダ値。
JSON JSON なし × 式ビルダーに表示される JSON。

例

この例では、JSON 式ビルダーに JSON 入力値を表示して、以降のアクションで使用します。

tools5-buffer

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult ResultValue パラメータの入力値 成功
  • JSON の結果 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

ケース名を変更する

説明

ケースの名前またはタイトルを変更します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
新しい名前 文字列 なし × ケースの新しい名前を指定します。
First Alert の場合のみ チェックボックス 未選択 × 選択すると、ケースの最初のアラートでアクションが実行された場合にのみ、ケースの名前が変更されます。

例

このシナリオでは、ケースのタイトルは、最初のアラートで実行された場合にのみ「フィッシング - 不審なメール」に変更されます。

tools29

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

テキスト内のエンティティ フィールドを確認する

説明

スコープ内の各エンティティから特定のフィールド（または正規表現を使用した複数のフィールド）を検索し、1 つ以上の値と比較します。比較対象の値は、正規表現で処理することもできます。エンティティ拡充のポスト正規表現値の 1 つが、検索された 1 つ以上の値に含まれている場合、一致が見つかります。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] はい 検索する文字列を表す JSON。形式は [ { "Data": "", "RegEx": "" } ] です。
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] はい テスト対象のフィールドを記述する JSON。 ["RegexForFieldName": “”,

"FieldName": "検索するフィールド名",

"RegexForFieldValue": “”}]
ShouldEnrichEntity 文字列 domain_matched × <VAL> に設定すると、エンティティにエンリッチメント値が設定され、値と「一致」していると認識されます。

キーは <VAL> になります。
IsCaseSensitive チェックボックス 未選択 × フィールドの大文字と小文字を区別するかどうかを指定します。

例

このシナリオでは、malicious というフィールド名を持つエンティティが、指定されたテキスト内にあるかどうかを確認します。

tools18

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 検出結果の数 0
  • JSON の結果 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

リストのサブセットを確認する

説明

1 つのリストの値が別のリストに存在するかどうかを確認します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
オリジナル 文字列 なし はい 照合するアイテムのリストを指定します。JSON リストまたはカンマ区切り。
サブセット リスト なし はい サブセット リストを指定します。JSON リストまたはカンマ区切り。

例

このシナリオでは、値 1、2、3 が元のリスト 1、2、3、4、5 に存在するかどうかをチェックし、true の結果値が返されます。

tools15

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

シミュレーション ケースに変換する

説明

ケースを、プラットフォームに読み込むことができるシミュレートされたケースに変換します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
シミュレーション ケースにプッシュする チェックボックス 選択されていません × 選択すると、利用可能なシミュレーション ケースのリストにケースが追加されます。
JSON をケースウォール ファイルとして保存する チェックボックス 選択済み × 選択すると、ケースを表す JSON ファイルがケースウォールに保存され、ダウンロードできるようになります。
アラート名をオーバーライド String（文字列） 空 × 使用する新しいアラート名を指定します。このパラメータを選択すると、[Full Path Name] パラメータよりも優先されます。
パスのフルネーム チェックボックス 選択されていません × 選択した場合は、アラート名を source_product_eventtype として使用します（例: QRadar_WinEventLog:Security_Remote fail login）。[Override Alert Name] が設定されている場合、このパラメータは無視されます。

例

この例では、アラート名として「Risky Sign On」を使用して、ケースがシミュレートされたケースに変換されます。これは、ホーム画面で使用可能なシミュレートされたケースの 1 つとして表示されます。

convertsimcase1

convertsimcase2

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

セパレータを使用してエンティティを作成する

説明

エンティティを作成してアラートに追加します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
エンティティ識別子 文字列 なし はい アラートに追加するエンティティを指定します。
エンティティ タイプ 文字列 なし はい エンティティ タイプを指定します。
内部 チェックボックス 未選択 × 指定されたエンティティが内部ネットワークの一部であるかどうかを確認します。
エンティティの区切り文字 文字列 , はい エンティティ識別子フィールドで使用される区切り文字を指定します。
エンリッチメント JSON プルダウン JSON × 拡充データを JSON 形式で指定します。
PrefixForEnrichment 文字列 なし × 拡充データに追加する接頭辞を指定します。

例

このシナリオでは、3 つの IP エンティティを作成し、「is_suspicious」というフィールドでエンリッチします。

tools9

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

エンティティ関係を作成する

説明

指定されたエンティティとリンクされたエンティティの間に関係を作成します。指定されたエンティティが存在しない場合は、それらを作成します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
エンティティ識別子 文字列 なし はい 新しいエンティティ識別子またはカンマ区切りの識別子リストを作成するか、既存のものを使用します。
エンティティ識別子のタイプ プルダウン ユーザー名 はい エンティティ タイプを指定します。
接続ユーザー プルダウン ソース はい ソース、宛先、またはリンクされた関係を使用して、エンティティ識別子をターゲット エンティティ識別子に接続します。
ターゲット エンティティの種類 プルダウン 住所 はい エンティティ ID を接続するターゲット エンティティ タイプを指定します。
ターゲット エンティティ ID 文字列 なし × このカンマ区切りのリストに含まれるエンティティ

[Target Entity Type] のタイプは、[Entities Identifier(s)] パラメータのエンティティにリンクされます。
エンリッチメント JSON JSON なし × Key-Value ペアを含むオプションの JSON オブジェクト。

新しく作成されたエンティティに追加できる属性の値ペア。
区切り文字 文字列 なし × エンティティ ID やターゲット エンティティ ID のエンティティのリストを区切る文字を指定します。デフォルトはカンマです。

例

このシナリオでは、ユーザーと URL の関係を作成します。この例では、Bola001 が example.com の URL にアクセスしています。

tools13

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"Entity": "Bola001", "EntityResult": {}
}

Siemplify タスクを作成する

説明

ユーザーまたはロールにタスクを割り当てます。タスクは、アクションが実行されたケースに関連付けられます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
タスクのタイトル 文字列 なし × タスクのタイトルを指定します。
SLA（分単位） Integer 480 はい 割り当てられたユーザー / ロールがタスクに応答するまでの時間を分単位で指定します。
タスクの内容 文字列 なし はい タスクの詳細を指定します。
担当者 プルダウン なし はい タスクを割り当てるユーザーまたはロールを指定します。

例

このシナリオでは、ウイルス スキャンを実行するよう Tier 3 に指示するタスクが作成されます。

tools33

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

遅延ハンドブック V2

説明

ハンドブックの完了を、指定された期間、一時的に停止します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
秒 Integer 0 × ハンドブックを遅らせる秒数を指定します。
分 Integer 1 × ハンドブックを遅らせる時間を分単位で指定します。
時間 Integer 0 × ハンドブックを遅らせる時間を指定します。
日 Integer 0 × ハンドブックを遅らせる日数を指定します。
CRON 式 文字列 なし × cron 式を使用して、ハンドブックをいつ続行するかを決定します。他のパラメータよりも優先されます。

例

このシナリオでは、ハンドブックを 12 時間半遅らせます。

tools20

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

DNS ルックアップ

説明

指定された DNS リゾルバを使用して DNS ルックアップを実行します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
DNS サーバー IP アドレス なし はい 単一の DNS サーバー、またはカンマ区切りの DNS サーバー。

例

この例では、外部ドメイン エンティティを検索するための Google のパブリック DNS アドレス 8.8.8.8 を示しています。

toolsnew1

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False True
  • JSON の結果 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

URL ドメインを抽出する

説明

エンティティ識別子から抽出されたドメインを含む新しいフィールド siemplifytools_extracted_domain を使用して、すべてのエンティティを拡充します。エンティティにドメイン（ファイルハッシュなど）がない場合、何も返されません。エンティティに加えて、ユーザーは URL のリストをパラメータとして指定し、拡充せずに処理できます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
セパレータ 文字列 , はい URL の区切りに使用する区切り文字列を指定します。
URL 文字列 なし × ドメインを抽出する URL を 1 つ以上指定します。
サブドメインを抽出する チェックボックス なし × サブドメインも抽出するかどうかを指定します。

例

このシナリオでは、指定された URL からドメインを抽出します。

tools14

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 抽出されたドメインの数 1
  • JSON の結果 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

First Alert を探す

説明

指定されたケースの最初のアラートの識別子を返します。

パラメータ

適用可能なパラメータはありません。

例

このシナリオでは、ケースの最初のアラートのアラート ID が返されます。

tools27

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult アラート識別子の値 IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

ケースデータを取得する

説明

ケースからすべてのデータを取得し、JSON 形式の結果を返します。結果には、コメント、エンティティ情報、分析情報、実行されたハンドブック、アラート情報、イベントが含まれます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ケース ID Integer なし × クエリするケース ID を指定します。空白のままにすると、現在のケースが使用されます。

例

このシナリオでは、現在のケースからケースの詳細を取得します。

tools35

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

証明書の詳細を取得する

説明

指定された URL の証明書の詳細を取得します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
確認する URL URL expired.badssk.com はい 証明書の詳細を取得する URL を指定します。

例

このシナリオでは、expired.badssl.com サイトから証明書の詳細を取得しています。

tools6

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

コンテキスト値の取得

説明

ケースまたはアラートのコンテキスト キーの値を取得します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
範囲 プルダウン アラート はい キー値のスコープ（ケース、アラート、グローバル）を指定します。
キー 文字列 なし はい 鍵を指定します。

例

このシナリオでは、ケースの impact というキーからコンテキスト値を取得します。このアクションは、ケースまたはアラートに Key-Value ペアを追加するコンテキスト値を設定アクションとともに使用されます。

tools7

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult コンテキストの値 高


現在の時刻を取得する

説明

現在の日付と時間を返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
日時形式 文字列 %d/%m/%Y %H:%M はい 日付と時刻の形式を指定します。

例

このシナリオでは、%d/%m/%Y %H:%M:%S の形式で日時値を返します。

tools22

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 日時の値 2022 年 3 月 11 日 20:33:43

メール テンプレートを取得する

説明

システム内のすべてのメール テンプレートを返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
テンプレートの種類 プルダウン 標準 はい 返すテンプレート タイプを [標準] または [HTML] で指定します。

例

このシナリオでは、すべての HTML ベースのメール テンプレートを返します。

tools8

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult HTML コードを含む JSON の結果 JSON の結果は次のセクションに表示されます。
  • JSON の結果 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

統合インスタンスを取得する

説明

環境のすべての統合インスタンスを返します。

パラメータ

適用可能なパラメータはありません。

例

このシナリオでは、すべての環境のすべての統合インスタンスが返されます。

tools19

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

元のアラート JSON を取得する

説明

元のアラートの JSON 結果（元データ）を返します。

パラメータ

該当するパラメータなし

例

このシナリオでは、アラートの元の未加工の JSON が返されます。

tools21

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Siemplify ユーザーを取得する

説明

システムで構成されているすべてのユーザーのリストを返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
無効になっているユーザーを非表示にする チェックボックス 選択中 × 無効なユーザーを結果から除外するかどうかを指定します。

例

このシナリオでは、無効になっているユーザーを含む、システム内のすべてのユーザーを返します。

tools17

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

ハンドブックをロックする

説明

前のアラートのすべてのハンドブックが完了するまで、現在のハンドブックを一時停止します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
非同期アクションのタイムアウト 整数 1 日 × 非同期アクションのタイムアウトは、そのアクションで許容される合計時間（すべての反復処理の実行時間の合計）のことです。
非同期ポーリングの間隔 整数 1 時間 × 非同期アクション実行時のポーリング試行の間隔を設定します。

例

このシナリオでは、現在のハンドブックを一時停止し、ケース内の前のアラートのすべてのハンドブックが完了しているかどうかを 30 秒ごとに確認します。

tools26

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

類似ドメイン

説明

ドメイン エンティティを、環境に定義されているドメインのリストと比較します。ドメインが類似している場合、エンティティは不審としてマークされ、一致するドメインで拡充されます。

パラメータ

適用可能なパラメータはありません

例

このシナリオでは、外部ドメイン エンティティが、設定のドメインリストで構成されているドメインに類似しているかどうかを確認します。

tools28

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    look_a_like_domain_found 正しい / 誤り 正しい
  • JSON の結果 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

エンティティ エンリッチメントを正規化する

説明

エンティティからキーのリストを受け取り、それらを置き換えます。

パラメータ

パラメータ 型 デフォルト値 必須 説明
正規化データ JSON なし はい JSON は、次の形式の例で指定します。 [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

例

このシナリオでは、is_bad のエンティティ キーを malicious に置き換えます。

tools11

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 拡充されたエンティティの数 5

ハンドブックを再アタッチする

説明

ケースからハンドブックを削除し、そのハンドブックからケース内の結果データを削除して、ハンドブックを再アタッチして再度実行します。PostgreSQL インテグレーションをインストールし、Google SecOps SOAR のインスタンス名で共有環境に構成する必要があります。詳細については、CSM / サポートにお問い合わせください。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 プルダウン なし はい 再アタッチするハンドブックを指定します。

例

このシナリオでは、attach_playbook_test というハンドブックを再アタッチします。

tools25

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True / False / PostgreSQL 統合の Google SecOps SOAR インスタンスを構成してください。 正しい

検索テキスト

説明

入力テキストで「検索対象」パラメータを検索するか、「正規表現の検索対象」リストをループして、入力テキストで一致するものを検索します。一致するものがある場合、アクションは true を返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
テキスト 文字列 なし はい 検索するテキストを指定します。
検索 文字列 なし × [text] フィールドに検索する文字列を指定します。
正規表現を検索 文字列 なし × 文字列の検索に使用される正規表現のリスト。正規表現は二重引用符で囲む必要があります。カンマ区切りのリストをサポートします。
大文字と小文字を区別 チェックボックス なし × 検索で大文字と小文字を区別するかどうかを指定します。

例

このシナリオでは、Text フィールド値に malicious という単語が存在するかどうかを確認します。

tools31

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    match_found 正しい / 誤り 正しい
  • JSON の結果 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

コンテキスト値を設定する

説明

特定のコンテキストでキーと値を設定します。このアクションは、キーの値を取得する「Get context Value」アクションとともによく使用されます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
値 文字列 なし はい コンテキスト値を指定します。
キー 文字列 なし はい コンテキスト キーを指定します。
範囲 プルダウン アラート はい コンテキスト割り当てスコープ（アラート、ケース、グローバル）を指定します。

例

このシナリオでは、コンテキスト キー「malicious」を「yes」値に設定します。

tools32

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

スペルチェック文字列

説明

入力文字列のスペルを確認します。出力には、正確性の割合、単語の総数、スペルミスの単語の総数、スペルミスの単語と修正のリスト、修正された入力文字列が表示されます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
文字列 文字列 なし はい スペルミスをチェックする文字列を指定します。

例

この例では、次の入力文字列のスペルチェックを行います。
「Testing if this is a mispelled wodr.」

tools30

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    accuracy_percentage パーセンテージ値 71
  • JSON の結果 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

アラートスコアを更新する

説明

指定された量だけアラート スコアを更新します。

パラメータ

パラメータ タイプ デフォルト値 必須 Description
入力 Integer なし はい 増分または減分（負の数）の量を指定します。

例

このシナリオでは、アラート スコアを 20 減らします。

tools23

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 入力値 -20

ケースの説明の更新

説明

ケースの説明を更新します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ケースの説明 文字列 なし はい 更新された説明を指定します。

例

この例では、ケースの説明を「このケースは不審なログインに関連しています」に更新します。

tools10

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

ハンドブックの完了を待つ

説明

同じアラートで実行されている別のハンドブックまたはブロックが完了するまで、現在のハンドブックを一時停止します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 文字列 なし × 最初に完了するブロックまたはハンドブックの名前を指定します。

例

このシナリオでは、同じアラートで実行されている「調査ブロック」が完了するまで、現在のハンドブックを一時停止します。

tools36

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

ジョブ

説明

このジョブは、検索クエリに基づいてすべてのケースをクローズします。効率的なケース管理を行うには、次のガイドラインに沿って対応してください。

  • 1 ～ 50 件のケースの場合: [ケース] 画面から直接クローズします。
  • 50 件を超えるケースの場合: このジョブを使用して一括クローズします。

Search Payload は、CaseSearchEverything API 呼び出しで使用されるペイロードです。この値を取得するには:

  1. UI の [検索] に移動し、ブラウザのデベロッパー ツールを開きます。
  2. 削除するケースを検索します。
  3. [Network] タブで CaseSearchEverything API 呼び出しを見つけます。
  4. POST リクエストの JSON ペイロードをコピーして、Search Payload フィールドに貼り付けます。

Close Reason は 0（悪意あり）または 1（悪意なし）にする必要があります。根本原因 ID は、[設定> [調査] > [ケースをクローズ] にあります。

これらのオプションでケースのクローズ要件を解決できない場合は、Cloud カスタマーケアにお問い合わせください。

パラメータ

パラメータ 型 デフォルト値 必須 説明
検索ペイロード JSON なし × 検索する JSON ペイロードを指定します。例: {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
コメントを閉じる 文字列 なし はい クローズ コメントを指定します。
終了理由 文字列 なし はい クローズの理由を指定します。0 は悪意のあるもの、1 は悪意のないものです。
根本原因 Integer なし はい 根本原因を指定します。[設定] > [調査] > [ケースをクローズ] で根本原因を確認します。
Google SecOps SOAR のユーザー名 文字列 なし はい Google SecOps SOAR のユーザー名を指定します。
Google SecOps SOAR のパスワード パスワード なし はい Google SecOps SOAR のパスワードを指定します。

未対応のケースにタグを付ける

説明

このジョブは、指定された時間変更されていないオープンケースを検索し、それらのケースに指定されたタグを適用します。このプロセスにより、さらなる対応や手動審査が必要な停滞しているケースが特定されます。

ジョブの動作

  • 検索ウィンドウ: このジョブでは、システム定義の 30 日間の検索ウィンドウが使用されます。
  • システム制限: 検索クエリでは、30 日（720 時間）を超えて変更されていないケースはキャプチャされません。この制限は、Unmodified time がより高い値に設定されている場合でも適用されます。
  • タグの適用: ジョブは、パラメータで定義されたタグを、30 日間の可視性ウィンドウに該当するすべての特定されたケースのメタデータに適用します。

パラメータ

パラメータ タイプ デフォルト値 必須 Description
タグ 文字列 なし はい 特定されたケースに適用するタグを指定します。複数のタグをカンマ区切り値で指定できます。
変更されていない時間 Integer なし はい 非アクティブのしきい値を時間単位で指定します。この値を超えて変更が記録されていないケースに、ジョブによってタグが適用されます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。