ツール

以下でサポートされています。

ハンドブックの機能をパワーアップするためのデータ操作ユーティリティ アクションのセット。

操作

以下に、Tools パワーアップで実行できるアクションの種類を示します。

アラートのスコアリング情報を追加する

説明

アラート スコアリング データベースにエントリを追加します。アラート スコアは、5 Low = 1 Medium の比率に基づいています。3 つの中 = 1 つの高。2 つの High = 1 つの Critical。ケースに追加されたオプションのタグ。

パラメータ

パラメータ タイプ デフォルト値 必須 Description
名前 文字列 なし ○ アラートに対して実行されたチェックの名前。
説明 文字列 なし ○ アラートに対して実行されたチェックの説明。
重大度 文字列 情報 ○ 重大度。
カテゴリ 文字列 なし ○ 実行されたチェックのカテゴリ。
ソース 文字列 なし いいえ スコアの算出元となったアラートの一部。例: Files、user、Email。
ケースタグ 文字列 なし いいえ ケースに追加するタグ。

例

この例では、VirusTotal からの疑わしい結果により、アラート スコアを「高」に設定します。

tools16

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    Alert_score 情報、低、中、高、重大 高
  • JSON の結果 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

エンティティログにコメントを追加

説明

エンティティ エクスプローラのスコア内の各エンティティのエンティティログにコメントを追加します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ユーザー プルダウン @Administrator ○ コメントを作成したユーザーを指定します。
コメント 文字列 なし ○ エンティティログに追加するコメントを指定します。

例

tools24

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    なし なし なし

アラートの追加データを追加または更新する

説明

アラートの追加データにフィールドを追加または更新します。結果は、[アラート] の概要の OFFENSE_ID フィールドに表示されます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
JSON フィールド JSON なし ○ 自由形式のテキスト（1 つの変数の場合）または JSON 辞書を表す文字列（ネスト可能）を入力します。

例

この例では、アラートに MITRE 攻撃の詳細を追加して、[アラートの概要] に表示します。

tools1

tools2

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 辞書内のアイテム数 2
  • JSON の結果 
    {
"dict": {"mitre": " T1059"}, "list": []
}

コンテキスト値に追加

説明

既存のコンテキスト プロパティに値を追加します。コンテキスト プロパティが存在しない場合は、新しいコンテキスト プロパティを作成して値を追加します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
キー 文字列 なし ○ コンテキスト プロパティ キーを指定する
値 文字列 なし ○ コンテキスト プロパティに追加する値を指定します。
区切り文字 文字列 なし ○ 値フィールドで使用する区切り文字を指定します。

例

このシナリオでは、「T1595」と「T1140」の値を既存のコンテキスト キー「MITRE」に追加しています。

tools12

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult コンテキストの値 T1595、T1140

Assign Case To User（ケースをユーザーに割り当てる）

説明

ケースをユーザーに割り当てます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ケース ID 文字列 なし ○ ケース ID を指定します。現在のケースには [Case.Id] を使用します。
担当者 文字列 @Admin ○ ケースを割り当てるユーザーを指定します。これはユーザーの ID です。「Get Siemplify Users」アクションを使用して、特定のユーザーの ID を取得します。
アラート ID 文字列
○ アラート ID を指定します。[Alert.Identifier] を使用します。

例

このシナリオでは、ID を使用して現在のケースを特定のユーザーに割り当てます。

tools34

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

ハンドブックをアラートにアタッチする

説明

特定のハンドブックまたはブロックを現在のアラートにアタッチします。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 文字列 なし ○ すべてのケースアラートに追加するハンドブックまたはブロックの名前。

例

この例では、Containment Block というブロックを現在のケースアラートに添付します。

tools4

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult true または false true

すべてのケースアラートにハンドブックをアタッチする

説明

特定のハンドブックまたはブロックをケース内のすべてのアラートにアタッチします。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 文字列 なし ○ ケース内のすべてのアラートに追加するハンドブックまたはブロックの名前。

例

この例では、Phishing playbookM というハンドブックをすべてのケースアラートにアタッチします。

tools3

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult true または false true

バッファ

説明

JSON 入力を JSON オブジェクトに変換します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ResultValue 文字列 なし いいえ ScriptResult 値として返されるプレースホルダ値。
JSON JSON なし いいえ 式ビルダーに表示された JSON。

例

この例では、JSON 式ビルダーに JSON 入力値を表示して、後続のアクションで使用できるようにします。

tools5-buffer

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult ResultValue パラメータの入力値 成功
  • JSON の結果 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

Change Case Name（ケース名を変更）

説明

ケースの名前またはタイトルを変更します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
新しい名前 文字列 なし いいえ ケースの新しい名前を指定します。
First Alert の場合のみ チェックボックス 未選択 いいえ 選択した場合、ケースの最初の警告でアクションが実行された場合にのみ、ケースの名前が変更されます。

例

このシナリオでは、最初の警告で実行された場合にのみ、ケースのタイトルが「Phishing - Suspicious Email」に変更されます。

tools29

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

テキスト内のエンティティ フィールドを確認する

説明

スコープ内の各エンティティから特定のフィールド（または正規表現を使用して複数のフィールド）を検索し、1 つ以上の値と比較します。比較される値は、正規表現を介して処理することもできます。エンティティの拡充の投稿正規表現値のいずれかが、検索された 1 つ以上の値に含まれている場合、一致が見つかります。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] ○ この形式で検索する文字列を表す JSON: [ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] ○ テストするフィールドを記述する JSON。 "RegexForFieldName": “”,

"FieldName": "検索するフィールド名",

"RegexForFieldValue": “”}]
ShouldEnrichEntity 文字列 domain_matched いいえ <VAL> に設定すると、エンティティにエンリッチメント値も設定され、その値と一致すると認識されます。

キーは <VAL> になります
IsCaseSensitive チェックボックス 未選択 いいえ フィールドで大文字と小文字を区別するかどうかを指定します。

例

このシナリオでは、フィールド名が malicious のエンティティが指定されたテキストに含まれているかどうかを確認します。

tools18

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 検出結果の数 0
  • JSON の結果 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

Check List Subset

説明

あるリストの値が別のリストに存在するかどうかを確認します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
オリジナル 文字列 なし ○ 照合するアイテムのリストを指定します。JSON リストまたはカンマ区切り。
サブセット リスト なし ○ サブセット リストを指定します。JSON リストまたはカンマ区切り。

例

このシナリオでは、値 1、2、3 が元のリスト 1、2、3、4、5 に存在するかどうかをチェックし、結果の値として true が返されます。

tools15

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

Convert Into Simulated Case

説明

ケースをプラットフォームに読み込むことができるシミュレートされたケースに変換します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
シミュレーション ケースにプッシュする チェックボックス 選択されていない × 選択すると、ケースが利用可能なシミュレートされたケースのリストに追加されます。
JSON をケースウォール ファイルとして保存 チェックボックス 選択済み × 選択すると、ケースを表す JSON ファイルがケースウォールに保存され、ダウンロードできるようになります。
アラート名をオーバーライドする String（文字列） 空 × 使用する新しいアラート名を指定します。このパラメータは、選択されている場合、[フルパス名] パラメータよりも優先されます。
パスのフルネーム チェックボックス 選択されていない × 選択されている場合は、アラート名を source_product_eventtype として使用します（例: QRadar_WinEventLog:Security_Remote fail login）。[アラート名をオーバーライド] が設定されている場合、このパラメータは無視されます。

例

この例では、アラート名として「Risky Sign On」を使用してケースがシミュレートされたケースに変換されます。このケースは、ホーム画面で利用可能なシミュレートされたケースの 1 つとして表示されます。

convertsimcase1

convertsimcase2

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

Create Entities With Separator

説明

エンティティを作成してアラートに追加します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
エンティティ識別子 文字列 なし ○ アラートに追加するエンティティを指定します。
エンティティ タイプ 文字列 なし ○ エンティティ タイプを指定します。
内部 チェックボックス 未選択 いいえ 指定されたエンティティが内部ネットワークの一部であるかどうかを確認します。
Entities Separator 文字列 , ○ エンティティ識別子フィールドで使用する区切り文字を指定します。
エンリッチメント JSON プルダウン JSON いいえ JSON 形式で拡充データを指定します。
PrefixForEnrichment 文字列 なし いいえ 拡充データに追加する接頭辞を指定します。

例

このシナリオでは、3 つの IP エンティティを作成し、「is_suspicious」というフィールドでエンリッチしています。

tools9

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

エンティティ関係を作成する

説明

指定されたエンティティとリンクされたエンティティの間の関係を作成します。指定されたエンティティが存在しない場合は、作成されます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
エンティティ ID 文字列 なし ○ 新しいエンティティ ID を作成するか、既存のエンティティ ID を使用します。または、ID のカンマ区切りのリストを使用します。
Entity Identifier(s) Type（エンティティ識別子のタイプ） プルダウン ユーザー名 ○ エンティティ タイプを指定します。
Connect As プルダウン ソース ○ ソース、宛先、リンクされた関係を使用して、エンティティ ID をターゲット エンティティ ID に接続します。
ターゲット エンティティの種類 プルダウン 住所 ○ エンティティ ID を接続するターゲット エンティティ タイプを指定します。
移行先エンティティ ID 文字列 なし いいえ このカンマ区切りのリスト内のエンティティは、

[Target Entity Type] のタイプは、[Entities Identifier(s)] パラメータのエンティティにリンクされます。
エンリッチメント JSON JSON なし いいえ キー / 値のペアを含む省略可能な JSON オブジェクト。

新しく作成されたエンティティに追加できる属性の値のペア。
区切り文字 文字列 なし いいえ エンティティ ID とターゲット エンティティ ID のエンティティのリストを区切る文字を指定します。デフォルトはカンマです。

例

このシナリオでは、ユーザーと URL の関係を作成します。この場合、Bola001 は example.com の URL にアクセスしています。

tools13

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"Entity": "Bola001", "EntityResult": {}
}

Siemplify タスクを作成する

説明

タスクをユーザーまたはロールに割り当てます。タスクは、アクションが実行されたケースに関連付けられます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
タスクのタイトル 文字列 なし いいえ タスクのタイトルを指定します。
SLA（分単位） Integer 480 ○ 割り当てられたユーザーまたはロールがタスクに応答するまでの時間を分単位で指定します。
タスクの内容 文字列 なし ○ タスクの詳細を指定します。
担当者 プルダウン なし ○ タスクの割り当て先となるユーザーまたはロールを指定します。

例

このシナリオでは、Tier 3 にウイルス スキャンを実行するよう指示するタスクが作成されます。

tools33

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

遅延ハンドブック V2

説明

指定された期間、ハンドブックの完了を一時的に停止します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
秒 Integer 0 いいえ ハンドブックを遅延させる秒数を指定します。
分 Integer 1 いいえ ハンドブックを遅延させる時間（分単位）を指定します。
時間 Integer 0 いいえ ハンドブックを遅延させる時間数を指定します。
日 Integer 0 いいえ ハンドブックを遅延させる日数を指定します。
CRON 式 文字列 なし いいえ cron 式を使用して、プレイブックを続行するタイミングを決定します。他のパラメータよりも優先されます。

例

このシナリオでは、プレイブックを 12 時間半遅延させています。

tools20

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

DNS Lookup

説明

指定された DNS リゾルバを使用して DNS ルックアップを実行します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
DNS サーバー IP アドレス なし ○ 単一またはカンマ区切りの DNS サーバー。

例

この例では、外部ドメイン エンティティを検索するために、Google のパブリック DNS アドレス 8.8.8.8 を示しています。

toolsnew1

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False True
  • JSON の結果 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

URL ドメインを抽出

説明

エンティティ識別子から抽出されたドメインを含む新しいフィールド siemplifytools_extracted_domain で、すべてのエンティティを拡充します。エンティティにドメインがない場合（ファイル ハッシュなど）、何も返されません。ユーザーは、エンティティに加えて、URL のリストをパラメータとして指定し、エンリッチすることなく処理できます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
セパレータ 文字列 , ○ URL の区切りに使用する区切り文字を指定します。
URL 文字列 なし いいえ ドメインを抽出する URL を 1 つ以上指定します。
サブドメインを抽出 チェックボックス なし いいえ サブドメインも抽出するかどうかを指定します。

例

このシナリオでは、指定された URL からドメインを抽出しています。

tools14

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 抽出されたドメインの数 1
  • JSON の結果
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

First Alert を探す

説明

指定されたケースの最初のアラートの識別子を返します。

パラメータ

該当するパラメータはありません。

例

このシナリオでは、ケース内の最初のアラートのアラート識別子が返されます。

tools27

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult アラート ID の値 IRC 接続 9A33308C-AC62-4A41-8F73-20529895D567

Get Case Data

説明

ケースからすべてのデータを取得し、JSON 結果を返します。結果には、コメント、エンティティ情報、分析情報、実行されたプレイブック、アラート情報、イベントが含まれます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ケース ID Integer なし いいえ クエリするケース ID を指定します。空白のままにすると、現在のケースが使用されます。

例

このシナリオでは、現在のケースからケースの詳細情報を取得しています。

tools35

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

証明書の詳細を取得する

説明

指定された URL の証明書の詳細を取得します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
確認する URL URL expired.badssk.com ○ 証明書の詳細を取得する URL を指定します。

例

このシナリオでは、expired.badssl.com サイトから証明書の詳細情報を取得しています。

tools6

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

コンテキスト値の取得

説明

ケースまたはアラートのコンテキスト キーの値を取得します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
範囲 プルダウン アラート ○ キー値のスコープ（ケース、アラート、グローバル）を指定します。
キー 文字列 なし ○ キーを指定します。

例

このシナリオでは、ケースの impact というキーからコンテキスト値を取得しています。このアクションは、Key-Value ペアをケースまたはアラートに追加する コンテキスト値の設定アクションとともに使用されます。

tools7

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult コンテキストの値 高


現在の時刻を取得

説明

現在の日付と時間を返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
日時形式 文字列 %d/%m/%Y %H:%M ○ 日付と時刻の形式を指定します。

例

このシナリオでは、次の形式で日時値を返します。%d/%m/%Y %H:%M:%S

tools22

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 日時の値 03/11/2022 20:33:43

メール テンプレートを取得する

説明

システム内のすべてのメール テンプレートを返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
テンプレートの種類 プルダウン 標準 ○ テンプレート タイプを指定して、標準または HTML のどちらを返すかを指定します。

例

このシナリオでは、すべての HTML ベースのメール テンプレートを返します。

tools8

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult HTML コードを含む JSON の結果 次のセクションに JSON の結果が表示されます。
  • JSON の結果 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

統合インスタンスを取得する

説明

環境のすべての統合インスタンスを返します。

パラメータ

該当するパラメータはありません。

例

このシナリオでは、すべての環境のすべての統合インスタンスが返されます。

tools19

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

元のアラート JSON を取得する

説明

元のアラートの JSON 結果（未加工データ）を返します。

パラメータ

該当するパラメータなし

例

このシナリオでは、アラートの元の未加工の JSON が返されます。

tools21

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Siemplify ユーザーを取得する

説明

システムで構成されているすべてのユーザーのリストを返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
無効なユーザーを非表示にする チェックボックス 選択中 いいえ 無効なユーザーを結果から非表示にするかどうかを指定します。

例

このシナリオでは、無効なユーザーを含むシステム内のすべてのユーザーを返します。

tools17

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい
  • JSON の結果 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

Lock Playbook

説明

前のアラートのすべてのハンドブックが完了するまで、現在のハンドブックを一時停止します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
非同期アクションのタイムアウト 整数 1 日 いいえ 非同期アクションのタイムアウトは、そのアクションで許容される合計時間（すべての反復処理の実行時間の合計）のことです。
非同期ポーリングの間隔 整数 1 時間 いいえ 非同期アクション実行時のポーリング試行の間隔を設定します。

例

このシナリオでは、現在のハンドブックを一時停止し、30 秒ごとに、ケースの以前のアラートのすべてのハンドブックが完了したかどうかを確認します。

tools26

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

Look-A-Like Domains

説明

ドメイン エンティティと、環境に定義されているドメインのリストを比較します。ドメインが類似している場合、エンティティは不審としてマークされ、一致するドメインで拡充されます。

パラメータ

適用可能なパラメータはありません

例

このシナリオでは、外部ドメイン エンティティが、設定のドメイン リストで構成されているドメインと類似しているかどうかを確認します。

tools28

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    look_a_like_domain_found 正しい / 誤り 正しい
  • JSON の結果 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

エンティティ拡充を正規化する

説明

エンティティからキーのリストを受け取り、置き換えます。

パラメータ

パラメータ 型 デフォルト値 必須 説明
正規化データ JSON なし ○ 次の形式の例で JSON を指定します。[{ "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

例

このシナリオでは、is_bad のエンティティ キーを malicious に置き換えます。

tools11

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 拡充されたエンティティの数 5

ハンドブックを再添付する

説明

ケースからハンドブックを削除し、そのハンドブックのケース内の結果データを削除して、ハンドブックを再アタッチして再度実行します。Google SecOps SOAR というインスタンス名で共有環境に構成された PostgreSQL インテグレーションのインストールが必要です。詳細については、CSM / サポートを参照してください。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 プルダウン なし ○ 再アタッチするハンドブックを指定します。

例

このシナリオでは、attach_playbook_test というプレイブックを再アタッチしています。

tools25

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False/PostgreSQL 統合の Google SecOps SOAR インスタンスを構成してください。 正しい

検索テキスト

説明

入力テキストで「Search For」パラメータを検索するか、「Search For Regex」リストをループ処理して入力テキストで一致するものを探します。一致するものが見つかった場合、アクションは true を返します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
テキスト 文字列 なし ○ 検索するテキストを指定します。
検索対象 文字列 なし いいえ 検索する文字列を「text」フィールドに指定します。
正規表現を検索 文字列 なし いいえ 文字列の検索に使用される正規表現のリスト。正規表現は二重引用符で囲む必要があります。カンマ区切りのリストをサポートします。
大文字と小文字を区別 チェックボックス なし いいえ 検索で大文字と小文字を区別するかどうかを指定します。

例

このシナリオでは、テキスト フィールドの値に「malicious」という単語が存在するかどうかを確認します。

tools31

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    match_found 正しい / 誤り 正しい
  • JSON の結果
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

コンテキスト値を設定

説明

特定のコンテキストにキーと値を設定します。このアクションは、「Get context Value」アクションと組み合わせて、キーの値を取得するために使用されることがよくあります。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
値 文字列 なし ○ コンテキスト値を指定します。
キー 文字列 なし ○ コンテキスト キーを指定します。
範囲 プルダウン アラート ○ コンテキスト割り当てスコープ（アラート、ケース、グローバル）を指定します。

例

このシナリオでは、コンテキスト キー「malicious」を値「yes」に設定しています。

tools32

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

スペルチェック文字列

説明

入力文字列のスペルを確認します。出力には、精度（%）、単語の総数、スペルミスのある単語の総数、スペルミスのある各単語とその修正のリスト、入力文字列の修正版が表示されます。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
文字列 文字列 なし ○ スペルミスをチェックする文字列を指定します。

例

この例では、次の入力文字列のスペルチェックを行います。
「Testing if this is a mispelled wodr.」

tools30

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    accuracy_percentage 割合の値 71
  • JSON の結果 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

アラート スコアを更新する

説明

指定された量だけアラート スコアを更新します。

パラメータ

パラメータ タイプ デフォルト値 必須 Description
入力 Integer なし ○ 増減する量（負の数）を指定します。

例

このシナリオでは、アラート スコアを 20 減らしています。

tools23

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult 入力値 -20

ケースの説明を更新する

説明

ケースの説明を更新します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ケースの説明 文字列 なし ○ 更新された説明を指定します。

例

この例では、ケースの説明を「This case is related to suspicious logins.」に更新します。

tools10

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

ハンドブックの完了を待機

説明

同じアラートで実行されている別のハンドブックまたはブロックが完了するまで、現在のハンドブックを一時停止します。

パラメータ

パラメータ タイプ デフォルト値 必須 説明
ハンドブック名 文字列 なし いいえ 最初に完了するブロックまたはプレイブックの名前を指定します。

例

このシナリオでは、同じアラートで実行されている「調査ブロック」が完了するまで、現在のハンドブックを一時停止します。

tools36

アクションの結果

  • スクリプトの結果
    スクリプトの結果名 値のオプション 例
    ScriptResult True/False 正しい

ジョブ

説明

このジョブは、検索クエリに基づいてすべてのケースをクローズします。ケース管理を効率的に行うには、次のガイドラインに沿って対応します。

  • 1 ～ 50 件のケースの場合: [ケース] 画面から直接クローズします。
  • 50 件を超えるケースの場合: このジョブを使用して一括でクローズします。

Search Payload は、CaseSearchEverything API 呼び出しで使用されるペイロードです。この値を取得するには:

  1. UI の [検索] に移動し、ブラウザのデベロッパー ツールを開きます。
  2. 削除するケースを検索します。
  3. [Network] タブで CaseSearchEverything API 呼び出しを見つけます。
  4. POST リクエストの JSON ペイロードをコピーして、Search Payload フィールドに貼り付けます。

Close Reason は、0（悪意のある）または 1（悪意のない）にする必要があります。根本原因 ID は、[設定] > [ケースデータ] > [ケース クローズの根本原因] にあります。

これらのオプションでケースのクローズ要件を満たせない場合は、Cloud カスタマーケアにお問い合わせください。

パラメータ

パラメータ 型 デフォルト値 必須 説明
検索ペイロード JSON なし いいえ 検索する JSON ペイロードを指定します。例: {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
コメントを閉じる 文字列 なし ○ 終了コメントを指定します。
終了理由 文字列 なし ○ クローズの理由を指定します。0 は悪意のあるもの、1 は悪意のないものです。
根本原因 Integer なし ○ 根本原因を指定します。根本原因は、[設定] > [ケースデータ] > [ケース クローズの根本原因] で確認できます。
Google SecOps SOAR ユーザー名 文字列 なし ○ Google SecOps SOAR のユーザー名を指定します。
Google SecOps SOAR のパスワード パスワード なし ○ Google SecOps SOAR のパスワードを指定します。

Tag Untouched Cases（未処理のケースにタグを付ける）

説明

このジョブは、指定された時間数変更されていないオープン状態のケースを検索し、それらのケースに指定されたタグを適用します。このプロセスでは、さらなる対応や手動での審査が必要な停滞中のケースを特定します。

ジョブの動作

  • 検索ウィンドウ: ジョブは、システム定義の 30 日間の検索ウィンドウを使用します。
  • システムの制限: 検索クエリでは、30 日（720 時間）以上変更されていないケースは取得されません。この制限は、Unmodified time がより高い値に設定されている場合でも適用されます。
  • タグの適用: ジョブは、パラメータで定義されたタグを、30 日間の可視性ウィンドウ内のすべての特定されたケースのメタデータに適用します。

パラメータ

パラメータ タイプ デフォルト値 必須 Description
タグ 文字列 なし ○ 特定されたケースに適用するタグを指定します。これにより、複数のタグのカンマ区切り値がサポートされます。
変更されていない時間 Integer なし ○ 非アクティブのしきい値を時間単位で指定します。ジョブは、この値を超え、変更が記録されていないケースにタグを適用します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。