도구

다음에서 지원:

플레이북 기능을 강화하기 위한 데이터 조작용 유틸리티 작업 세트입니다.

작업

다음은 도구 파워업으로 수행할 수 있는 작업 유형입니다.

알림 점수 정보 추가

설명

알림 점수 데이터베이스에 항목을 추가합니다. 알림 점수는 5 낮음 = 1 중간 비율을 기준으로 합니다. 보통 3개 = 높음 1개 높음 2개 = 심각 1개 케이스에 선택적 태그가 추가되었습니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
이름 문자열 해당 사항 없음 예 알림에 대해 수행된 검사의 이름입니다.
설명 문자열 해당 사항 없음 예 알림에 대해 수행된 검사에 대한 설명입니다.
심각도 문자열 정보 제공 예 심각도입니다.
카테고리 문자열 해당 사항 없음 예 수행된 검사 카테고리입니다.
소스 문자열 해당 사항 없음 아니요 점수가 파생된 알림의 일부입니다. 예: 파일, 사용자, 이메일
케이스 태그 문자열 해당 사항 없음 아니요 케이스에 추가할 태그입니다.

예

이 예시에서는 VirusTotal의 의심스러운 결과로 인해 알림 점수를 '높음'으로 설정합니다.

tools16

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    Alert_score 정보, 낮음, 보통, 높음, 심각 높음
  • JSON 결과 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

항목 로그에 댓글 추가

설명

항목 탐색기의 점수에 있는 각 항목의 항목 로그에 주석을 추가합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
사용자 드롭다운 @Administrator 예 댓글을 작성한 사용자를 지정합니다.
댓글 문자열 해당 사항 없음 예 항목 로그에 추가할 댓글을 지정합니다.

예시

tools24

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    해당 사항 없음 해당 사항 없음 해당 사항 없음

알림 추가 데이터 추가 또는 업데이트

설명

알림 추가 데이터의 필드를 추가하거나 업데이트합니다. 결과는 알림 개요, OFFENSE_ID 필드에 표시됩니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
JSON 필드 JSON 해당 사항 없음 예 자유 텍스트(변수 1개) 또는 JSON 사전을 나타내는 문자열(중첩 가능)을 입력합니다.

예시

이 예시에서는 MITRE 공격 세부정보를 알림에 추가하여 알림 개요에 표시합니다.

tools1

tools2

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 딕셔너리의 항목 수 2
  • JSON 결과 
    {
"dict": {"mitre": " T1059"}, "list": []
}

컨텍스트 값에 추가

설명

기존 컨텍스트 속성에 값을 추가하거나, 존재하지 않는 경우 새 컨텍스트 속성을 만들고 값을 추가합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
키 문자열 해당 사항 없음 예 컨텍스트 속성 키 지정
값 문자열 해당 사항 없음 예 컨텍스트 속성에 추가할 값을 지정합니다.
구분자 문자열 해당 사항 없음 예 값 필드에 사용되는 구분자를 지정합니다.

예시

이 시나리오에서는 기존 컨텍스트 키인 "MITRE"에 "T1595" 및 "T1140" 값을 추가합니다.

tools12

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 컨텍스트 값 T1595, T1140

사용자에게 케이스 할당

설명

사용자에게 케이스를 할당합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
케이스 ID 문자열 해당 사항 없음 예 케이스 ID를 지정합니다. 현재 케이스에 [Case.Id] 를 사용합니다.
할당 대상 문자열 @Admin 예 케이스를 할당할 사용자를 지정합니다. 사용자의 ID입니다. 'Siemplify 사용자 가져오기' 작업을 사용하여 특정 사용자의 ID를 검색합니다.
알림 ID 문자열
예 알림 ID를 지정합니다. [Alert.Identifier]를 사용합니다.

예시

이 시나리오에서는 ID를 사용하여 현재 케이스를 특정 사용자에게 할당합니다.

tools34

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

알림에 플레이북 연결

설명

현재 알림에 특정 플레이북 또는 블록을 연결합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
플레이북 이름 문자열 해당 사항 없음 예 모든 케이스 알림에 추가할 플레이북 또는 블록 이름입니다.

예

이 예시에서는 Containment Block이라는 블록을 현재 케이스 알림에 연결합니다.

tools4

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult true 또는 false true

모든 케이스 알림에 플레이북 연결

설명

케이스의 모든 알림에 특정 플레이북 또는 블록을 연결합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
플레이북 이름 문자열 해당 사항 없음 예 케이스의 모든 알림에 추가할 플레이북 또는 블록 이름입니다.

예

이 예시에서는 피싱 플레이북M이라는 플레이북을 모든 케이스 알림에 연결합니다.

tools3

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult true 또는 false true

Buffer

설명

JSON 입력을 JSON 객체로 변환합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
ResultValue 문자열 해당 사항 없음 아니요 ScriptResult 값으로 반환되는 플레이스홀더 값입니다.
JSON JSON 해당 사항 없음 아니요 표현식 빌더에 표시된 JSON

예

이 예시에서는 추가 작업에 사용할 JSON 표현식 빌더에 JSON 입력 값을 표시합니다.

tools5-buffer

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult ResultValue 매개변수 입력 값 성공
  • JSON 결과 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

케이스 이름 변경

설명

케이스 이름 또는 제목을 변경합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
새 이름 문자열 해당 사항 없음 아니요 케이스의 새 이름을 지정합니다.
첫 번째 알림인 경우에만 체크박스 선택하지 않음 아니요 선택하면 케이스의 첫 번째 알림에서 작업이 실행된 경우에만 케이스 이름이 변경됩니다.

예시

이 시나리오에서는 첫 번째 알림에서 실행되는 경우에만 케이스 제목이 '피싱 - 의심스러운 이메일'로 변경됩니다.

tools29

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

텍스트의 항목 필드 확인

설명

범위 내 각 항목에서 특정 필드(또는 정규식을 사용하는 여러 필드)를 검색하고 하나 이상의 값과 비교합니다. 비교된 값은 정규 표현식을 거칠 수도 있습니다. 항목 보강의 게시물 정규 표현식 값 중 하나가 검색된 값 중 하나 이상에 있는 경우 일치하는 항목이 발견됩니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] 예 [ { "Data": "", "RegEx": "" } ] 형식을 사용하여 검색하려는 문자열을 나타내는 JSON입니다.
FieldsInput JSON <p>[ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] 예 [ "RegexForFieldName": “”,

"FieldName": "Field name to search",

"RegexForFieldValue": “”}]
ShouldEnrichEntity 문자열 domain_matched 아니요 <VAL>로 설정하면 항목에 보강 값이 추가되어 값과 '일치'하는 것으로 인식됩니다.

키는 <VAL>입니다.
IsCaseSensitive 체크박스 선택하지 않음 아니요 필드의 대소문자 구분 여부를 지정합니다.

예시

이 시나리오에서는 필드 이름이 malicious인 항목이 지정된 텍스트에 있는지 확인합니다.

tools18

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 발견 항목 수 0
  • JSON 결과 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

체크리스트 하위 집합

설명

한 목록의 값이 다른 목록에 있는지 확인합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
원본 문자열 해당 사항 없음 예 확인할 항목 목록을 지정합니다. JSON 목록 또는 쉼표로 구분된 목록입니다.
하위 집합 목록 해당 사항 없음 예 하위 집합 목록을 지정합니다. JSON 목록 또는 쉼표로 구분된 목록입니다.

예시

이 시나리오에서는 값 1,2,3이 원래 목록 1,2,3,4,5에 있는지 확인하여 true 결과 값이 생성됩니다.

tools15

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

시뮬레이션 케이스로 변환

설명

케이스를 플랫폼에 로드할 수 있는 시뮬레이션된 케이스로 변환합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
시뮬레이션 케이스로 푸시 체크박스 선택하지 않음 아니요 선택하면 케이스가 사용 가능한 시뮬레이션 케이스 목록에 추가됩니다.
JSON을 케이스 월 파일로 저장 체크박스 선택됨 아니요 선택하면 케이스를 나타내는 JSON 파일이 다운로드할 수 있도록 케이스 월에 저장됩니다.
알림 이름 재정의 문자열 비어 있음 아니요 사용할 새 알림 이름을 지정합니다. 이 매개변수를 선택하면 전체 경로 이름 매개변수보다 우선 적용됩니다.
경로의 전체 이름 체크박스 선택하지 않음 아니요 선택한 경우 알림 이름을 source_product_eventtype로 사용합니다(예: QRadar_WinEventLog:Security_Remote fail login). 알림 이름 재정의가 설정된 경우 이 매개변수는 무시됩니다.

예시

이 예시에서는 '위험한 로그인'을 알림 이름으로 사용하여 케이스를 시뮬레이션 케이스로 변환합니다. 이 케이스는 홈 화면에서 사용 가능한 시뮬레이션 케이스 중 하나로 표시됩니다.

convertsimcase1

convertsimcase2

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

구분자로 항목 만들기

설명

항목을 만들어 알림에 추가합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
항목 식별자 문자열 해당 사항 없음 예 알림에 추가할 항목을 지정합니다.
항목 유형 문자열 해당 사항 없음 예 항목 유형을 지정합니다.
내부용 체크박스 선택하지 않음 아니요 제공된 항목이 내부 네트워크의 일부인지 확인합니다.
항목 구분자 문자열 , 예 항목 식별자 필드에 사용되는 구분자를 지정합니다.
보강 JSON 드롭다운 JSON 아니요 JSON 형식으로 보강 데이터를 지정합니다.
PrefixForEnrichment 문자열 해당 사항 없음 아니요 보강 데이터에 추가할 프리픽스를 지정합니다.

예시

이 시나리오에서는 세 개의 IP 항목을 만들고 'is_suspicious'라는 필드로 보강합니다.

tools9

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

항목 관계 만들기

설명

제공된 항목과 연결된 항목 간의 관계를 만듭니다. 제공된 항목이 없으면 항목을 만듭니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
항목 식별자 문자열 해당 사항 없음 예 새 항목 식별자 또는 기존 항목 식별자 또는 쉼표로 구분된 식별자 목록을 만들거나 사용합니다.
항목 식별자 유형 드롭다운 사용자 이름 예 항목 유형을 지정합니다.
다음으로 연결 드롭다운 소스 예 소스, 대상 또는 연결된 관계를 사용하여 항목 식별자를 대상 항목 식별자에 연결합니다.
대상 항목 유형 드롭다운 주소 예 항목 식별자를 연결할 대상 항목 유형을 지정합니다.
대상 항목 식별자 문자열 해당 사항 없음 아니요 쉼표로 구분된 이 목록의 항목은

대상 항목 유형의 유형이 항목 식별자 매개변수의 항목에 연결됩니다.

보강 JSON JSON 해당 사항 없음 아니요 키/값 쌍을 포함하는 선택적 JSON 객체입니다.

새로 생성된 항목에 추가할 수 있는 속성의 값 쌍입니다.

구분자 문자 문자열 해당 사항 없음 아니요 항목 식별자 또는 타겟 항목 식별자에서 항목 목록을 구분하는 문자를 지정합니다. 기본값은 쉼표입니다.

예시

이 시나리오에서는 사용자와 URL 간의 관계를 만듭니다. 이 경우 Bola001은 example.com의 URL에 액세스했습니다.

tools13

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
"Entity": "Bola001", "EntityResult": {}
}

Siemplify 작업 만들기

설명

사용자 또는 역할에 할일을 할당합니다. 작업은 작업이 실행된 케이스와 관련이 있습니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
할 일 제목 문자열 해당 사항 없음 아니요 할 일의 제목을 지정합니다.
SLA(분) 정수 480 예 할당된 사용자/역할이 작업에 응답해야 하는 시간을 분 단위로 지정합니다.
태스크 내용 문자열 해당 사항 없음 예 태스크 세부정보를 지정합니다.
할당 대상 드롭다운 해당 사항 없음 예 할 일이 할당될 사용자 또는 역할을 지정합니다.

예시

이 시나리오에서는 Tier 3에 바이러스 검사를 실행하도록 지시하는 작업이 생성됩니다.

tools33

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

지연 플레이북 V2

설명

지정된 기간 동안 플레이북이 완료되지 않도록 일시적으로 중지합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
초 정수 0 아니요 플레이북을 지연할 시간(초)을 지정합니다.
분 정수 1 아니요 플레이북을 지연할 시간(분)을 지정합니다.
시간 정수 0 아니요 플레이북을 지연할 시간(시)을 지정합니다.
일 정수 0 아니요 플레이북을 지연할 일수를 지정합니다.
크론 표현식 문자열 해당 사항 없음 아니요 크론 표현식을 사용하여 플레이북이 진행되어야 하는 시점을 결정합니다. 다른 매개변수보다 우선 적용됩니다.

예시

이 시나리오에서는 플레이북을 12시간 30분 동안 지연시킵니다.

tools20

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

DNS 조회

설명

지정된 DNS 리졸버를 사용하여 DNS 조회를 수행합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
DNS 서버 IP 주소 해당 사항 없음 예 단일 DNS 서버 또는 쉼표로 구분된 DNS 서버입니다.

예시

이 예시에서는 외부 도메인 항목을 검색하기 위한 Google의 공개 DNS 주소 8.8.8.8를 보여줍니다.

toolsnew1

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

URL 도메인 추출

설명

항목 식별자에서 추출된 도메인을 포함하는 새 필드 siemplifytools_extracted_domain으로 모든 항목을 보강합니다. 항목에 도메인이 없으면(예: 파일 해시) 아무것도 반환되지 않습니다. 사용자는 항목 외에도 URL 목록을 매개변수로 지정하고 보강 없이 처리할 수 있습니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
구분자 문자열 , 예 URL을 구분하는 데 사용할 구분자 문자열을 지정합니다.
URL 문자열 해당 사항 없음 아니요 도메인을 추출할 URL을 하나 이상 지정합니다.
하위 도메인 추출 체크박스 해당 사항 없음 아니요 하위 도메인도 추출할지 지정합니다.

예시

이 시나리오에서는 지정된 URL에서 도메인을 추출합니다.

tools14

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 추출된 도메인 수 1
  • JSON 결과 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

First Alert 찾기

설명

지정된 케이스의 첫 번째 알림 식별자를 반환합니다.

매개변수

적용 가능한 매개변수가 없습니다.

예시

이 시나리오에서는 케이스의 첫 번째 알림의 알림 식별자를 반환합니다.

tools27

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 알림 식별자 값 IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

케이스 데이터 가져오기

설명

케이스에서 모든 데이터를 검색하고 JSON 결과를 반환합니다. 결과에는 댓글, 항목 정보, 인사이트, 실행된 플레이북, 알림 정보, 이벤트가 포함됩니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
케이스 ID 정수 해당 사항 없음 아니요 쿼리할 케이스 ID를 지정합니다. 비워 두면 현재 케이스가 사용됩니다.

예시

이 시나리오에서는 현재 케이스에서 케이스 세부정보를 가져옵니다.

tools35

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

인증서 세부정보 가져오기

설명

지정된 URL의 인증서 세부정보를 가져옵니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
확인할 URL URL expired.badssk.com 예 인증서 세부정보를 가져올 URL을 지정합니다.

예시

이 시나리오에서는 expired.badssl.com 사이트에서 인증서 세부정보를 검색합니다.

tools6

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

컨텍스트 값 가져오기

설명

케이스 또는 알림에서 컨텍스트 키 값을 검색합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
범위 드롭다운 알림 예 케이스, 알림 또는 전역에 있는지 여부에 따라 키 값의 범위를 지정합니다.
키 문자열 해당 사항 없음 예 키를 지정합니다.

예시

이 시나리오에서는 케이스의 영향이라는 키에서 컨텍스트 값을 검색합니다. 이 작업은 케이스 또는 알림에 키-값 쌍을 추가하는 컨텍스트 값 설정 작업과 함께 사용됩니다.

tools7

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 컨텍스트 값 높음


현재 시간 가져오기

설명

현재 날짜 및 시간을 반환합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
날짜/시간 형식 문자열 %Y/%m/%d %H:%M 예 날짜 및 시간 형식을 지정합니다.

예시

이 시나리오에서는 %d/%m/%Y %H:%M:%S 형식을 사용하여 날짜 및 시간 값을 반환합니다.

tools22

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 날짜 시간 값 2022년 3월 11일 20:33:43

이메일 템플릿 가져오기

설명

시스템의 모든 이메일 템플릿을 반환합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
템플릿 유형 드롭다운 표준 예 표준 또는 HTML을 반환할 템플릿 유형을 지정합니다.

예시

이 시나리오에서는 모든 HTML 기반 이메일 템플릿을 반환합니다.

tools8

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult HTML 코드가 포함된 JSON 결과 다음 섹션에 표시된 JSON 결과
  • JSON 결과 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

통합 인스턴스 가져오기

설명

환경의 모든 통합 인스턴스를 반환합니다.

매개변수

적용 가능한 매개변수가 없습니다.

예시

이 시나리오에서는 모든 환경의 모든 통합 인스턴스가 반환됩니다.

tools19

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

원본 알림 JSON 가져오기

설명

원본 알림의 JSON 결과(원시 데이터)를 반환합니다.

매개변수

해당하는 매개변수 없음

예시

이 시나리오에서는 알림의 원본 원시 JSON이 반환됩니다.

tools21

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

Siemplify 사용자 가져오기

설명

시스템에 구성된 모든 사용자 목록을 반환합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
사용 중지된 사용자 숨기기 체크박스 선택됨 아니요 사용 중지된 사용자를 결과에서 숨길지 지정합니다.

예시

이 시나리오에서는 사용 중지된 사용자를 포함하여 시스템의 모든 사용자를 반환합니다.

tools17

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참
  • JSON 결과 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

플레이북 잠그기

설명

이전 알림의 모든 플레이북이 완료될 때까지 현재 플레이북을 일시중지합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
비동기 작업 제한 시간 정수 1일 아니요 비동기 작업 제한 시간은 이 작업에 허용되는 총 시간(모든 반복 런타임 합산)을 정의합니다.
비동기 폴링 간격 정수 1시간 아니요 비동기 작업 런타임 중 다음 폴링 시도까지의 시간을 설정하세요.

예시

이 시나리오에서는 현재 플레이북을 일시중지하고 30초마다 케이스의 이전 알림에 있는 모든 플레이북이 완료되었는지 확인합니다.

tools26

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

유사 도메인

설명

도메인 항목을 환경에 정의된 도메인 목록과 비교합니다. 도메인이 유사한 경우 항목은 의심스러운 것으로 표시되고 일치하는 도메인으로 보강됩니다.

매개변수

적용 가능한 파라미터 없음

예시

이 시나리오에서는 외부 도메인 항목이 설정의 도메인 목록에 구성된 도메인과 유사한지 확인합니다.

tools28

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    look_a_like_domain_found 참/거짓 참
  • JSON 결과 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

항목 보강 정규화

설명

항목에서 키 목록을 수신하고 이를 대체합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
정규화 데이터 JSON 해당 사항 없음 예 다음 형식 예시로 JSON을 지정합니다. [ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

예시

이 시나리오에서는 is_bad의 항목 키를 malicious로 바꿉니다.

tools11

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 보강된 항목 수 5

플레이북 다시 연결

설명

케이스에서 플레이북을 삭제하고, 해당 플레이북의 케이스에 있는 결과 데이터를 삭제하고, 플레이북을 다시 연결하여 다시 실행합니다. Google SecOps SOAR의 인스턴스 이름으로 공유 환경에 구성된 PostgreSQL 통합을 설치해야 합니다. 자세한 내용은 CSM/지원팀에 문의하세요.

매개변수

매개변수 유형 기본값 필수 항목 설명
플레이북 이름 드롭다운 해당 사항 없음 예 다시 연결할 플레이북을 지정합니다.

예시

이 시나리오에서는 attach_playbook_test라는 플레이북을 다시 연결합니다.

tools25

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓/PostgreSQL 통합의 Google SecOps SOAR 인스턴스를 구성하세요. 참

검색 텍스트

설명

입력 텍스트에서 '검색어' 매개변수를 검색하거나 '정규 표현식 검색' 목록을 반복하여 입력 텍스트에서 일치하는 항목을 찾습니다. 일치하는 항목이 있으면 작업은 true를 반환합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
텍스트 문자열 해당 사항 없음 예 검색할 텍스트를 지정합니다.
검색어 문자열 해당 사항 없음 아니요 'text' 필드에 검색할 문자열을 지정합니다.
정규 표현식 검색 문자열 해당 사항 없음 아니요 문자열을 검색하는 데 사용되는 정규 표현식 목록입니다. 정규 표현식은 큰따옴표로 묶어야 합니다. 쉼표로 구분된 목록을 지원합니다.
대소문자 구분 체크박스 해당 사항 없음 아니요 검색에서 대소문자를 구분해야 하는지 여부를 지정합니다.

예시

이 시나리오에서는 Text 필드 값에 malicious라는 단어가 있는지 확인합니다.

tools31

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    match_found 참/거짓 참
  • JSON 결과 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

컨텍스트 값 설정

설명

특정 컨텍스트에서 키와 값을 설정합니다. 이 작업은 키 값을 가져오기 위해 '컨텍스트 값 가져오기' 작업과 함께 사용되는 경우가 많습니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
값 문자열 해당 사항 없음 예 컨텍스트 값을 지정합니다.
키 문자열 해당 사항 없음 예 컨텍스트 키를 지정합니다.
범위 드롭다운 알림 예 컨텍스트 할당 범위(알림, 케이스, 전역)를 지정합니다.

예시

이 시나리오에서는 'malicious' 컨텍스트 키를 'yes' 값으로 설정합니다.

tools32

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

맞춤법 검사 문자열

설명

입력 문자열 철자를 확인합니다. 출력에는 정확성 비율, 총 단어 수, 맞춤법이 틀린 총 단어 수, 맞춤법이 틀린 각 단어 및 수정 목록, 입력 문자열의 수정된 버전이 표시됩니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
문자열 문자열 해당 사항 없음 예 맞춤법 오류를 확인할 문자열을 지정합니다.

예

이 예시에서는 다음 입력 문자열의 맞춤법을 검사합니다.
'Testing if this is a mispelled wodr.'

tools30

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    accuracy_percentage 비율 값 71
  • JSON 결과 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

알림 점수 업데이트

설명

제공된 금액만큼 알림 점수를 업데이트합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
입력 정수 해당 사항 없음 예 증가 또는 감소(음수)할 금액을 지정합니다.

예시

이 시나리오에서는 알림 점수를 20점 줄입니다.

tools23

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 입력 값 -20

케이스 설명 업데이트

설명

케이스 설명을 업데이트합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
케이스 설명 문자열 해당 사항 없음 예 업데이트된 설명을 지정합니다.

예

이 예시에서는 케이스 설명을 'This case is related to suspicious logins.'로 업데이트합니다.

tools10

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

플레이북이 완료될 때까지 대기

설명

동일한 알림에서 실행 중인 다른 플레이북 또는 블록이 완료될 때까지 현재 플레이북을 일시중지합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
플레이북 이름 문자열 해당 사항 없음 아니요 먼저 완료할 블록 또는 플레이북의 이름을 지정합니다.

예시

이 시나리오에서는 동일한 알림에서 실행 중인 '조사 블록'이 완료될 때까지 현재 플레이북을 일시중지합니다.

tools36

작업 결과

  • 스크립트 결과
    스크립트 결과 이름 값 옵션 예시
    ScriptResult 참/거짓 참

작업

설명

이 작업은 검색어를 기반으로 모든 케이스를 종료합니다. 효율적인 케이스 관리를 위해 다음 가이드라인을 따르세요.

  • 케이스 1~50개: Cases 화면에서 직접 종료합니다.
  • 케이스가 50개를 초과하는 경우: 이 작업을 사용하여 일괄 종료합니다.

Search Payload은 CaseSearchEverything API 호출에 사용되는 페이로드입니다. 이 값을 검색하려면 다음 안내를 따르세요.

  1. UI에서 검색으로 이동하여 브라우저의 개발자 도구를 엽니다.
  2. 삭제할 케이스를 검색합니다.
  3. 네트워크 탭에서 CaseSearchEverything API 호출을 찾습니다.
  4. POST 요청의 JSON 페이로드를 복사하여 Search Payload 필드에 붙여넣습니다.

Close Reason는 0(악성) 또는 1(악성이 아님)이어야 합니다. 근본 원인 ID는 설정 > 조사 > 케이스 종료에서 찾을 수 있습니다.

이러한 옵션으로 케이스 종료 요구사항을 해결할 수 없는 경우 Cloud Customer Care에 문의하세요.

매개변수

매개변수 유형 기본값 필수 항목 설명
검색 페이로드 JSON 해당 사항 없음 아니요 검색할 JSON 페이로드를 지정합니다. 예: {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
의견 닫기 문자열 해당 사항 없음 예 종료 댓글을 지정합니다.
종료 원인 문자열 해당 사항 없음 예 종료 이유를 지정합니다(악의적인 경우 0, 악의적이지 않은 경우 1).
근본 원인 정수 해당 사항 없음 예 근본 원인을 지정합니다. 설정 > 조사 > 케이스 종료에서 근본 원인을 찾습니다.
Google SecOps SOAR 사용자 이름 문자열 해당 사항 없음 예 Google SecOps SOAR 사용자 이름을 지정합니다.
Google SecOps SOAR 비밀번호 비밀번호 해당 사항 없음 예 Google SecOps SOAR 비밀번호를 지정합니다.

처리되지 않은 케이스 태그 지정

설명

이 작업은 지정된 시간 동안 수정되지 않은 미해결 케이스를 검색하고 해당 케이스에 지정된 태그를 적용합니다. 이 프로세스는 추가적인 주의나 수동 검토가 필요한 정체된 케이스를 식별합니다.

작업 행동

  • 검색 기간: 작업은 시스템 정의 검색 기간인 30일을 사용합니다.
  • 시스템 제한사항: 검색어는 30일(720시간) 넘게 수정되지 않은 케이스를 캡처하지 않습니다. 이 제한은 Unmodified time가 더 높은 값으로 설정된 경우에도 유지됩니다.
  • 태그 적용: 작업은 매개변수에 정의된 태그를 30일 공개 상태 기간 내에 있는 식별된 모든 케이스의 메타데이터에 적용합니다.

매개변수

매개변수 유형 기본값 필수 항목 설명
태그 문자열 해당 사항 없음 예 식별된 케이스에 적용할 태그를 지정합니다. 여러 태그에 대해 쉼표로 구분된 값을 지원합니다.
수정되지 않은 시간 정수 해당 사항 없음 예 비활성 기준점을 시간 단위로 지정합니다. 작업은 기록된 수정 없이 이 값을 초과하는 케이스에 태그를 적용합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.