工具

支持的平台：

一组用于数据处理的实用程序操作，可增强 playbook 功能。

操作

以下列出了您可以使用“工具”增强功能执行的操作类型。

添加了提醒评分信息

说明

向提醒评分数据库添加条目。提醒得分基于以下比率：5 个低严重程度的提醒 = 1 个中严重程度的提醒。3 个中等 = 1 个高。2 个“高”= 1 个“严重”。向相应情形添加了可选标记。

参数

参数 类型 默认值 必填 说明
名称 字符串 不适用 是 对提醒执行的检查的名称。
说明 字符串 不适用 是 对提醒执行的检查的说明。
严重级别 字符串 参考信息 是 严重程度。
类别 字符串 不适用 是 所执行检查的类别。
来源 字符串 不适用 否 得分的来源部分提醒。示例： 文件、用户、电子邮件。
支持请求标记 字符串 不适用 否 要添加到支持请求的标记。

示例

此示例将提醒得分设置为“高”，因为 VirusTotal 提供了可疑结果。

tools16

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    Alert_score 信息、低、中、高、严重 高
  • JSON 结果 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

向实体日志添加注释

说明

为实体探索器中每个得分实体的实体日志添加注释。

参数

参数 类型 默认值 必填 说明
用户 下拉菜单 @Administrator 是 指定创建评论的用户。
评论 字符串 不适用 是 指定将添加到实体日志中的注释。

示例

tools24

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    不适用 不适用 不适用

添加或更新提醒附加数据

说明

添加或更新提醒附加数据中的字段。结果显示在提醒概览的 OFFENSE_ID 字段中。

参数

参数 类型 默认值 必填 说明
JSON 字段 JSON 不适用 是 输入自由文本（针对一个变量）或表示 JSON 字典（可嵌套）的字符串。

示例

此示例向提醒添加了 MITRE 攻击详细信息，以便在提醒概览中显示这些信息。

tools1

tools2

操作执行结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 字典中的条目数 2
  • JSON 结果 
    {
"dict": {"mitre": " T1059"}, "list": []
}

附加到上下文值

说明

将值附加到现有上下文属性，或者在上下文属性不存在时创建新属性并添加值。

参数

参数 类型 默认值 必填 说明
键 字符串 不适用 是 指定上下文属性键
值 字符串 不适用 是 指定要附加到上下文属性的值
分隔符 字符串 不适用 是 指定值字段中使用的定界符。

示例

在此场景中，我们将值“T1595”和“T1140”添加到现有上下文键“MITRE”。

tools12

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 上下文值 T1595、T1140

将支持请求分配给用户

说明

将支持请求分配给用户。

参数

参数 类型 默认值 必填 说明
支持请求 ID 字符串 不适用 是 指定支持请求 ID。使用 [Case.Id] 表示当前支持请求。
分配给 字符串 @Admin 是 指定要将支持请求分配给的用户。这是用户的 ID。使用“获取 Siemplify 用户”操作检索特定用户的 ID。
提醒 ID 字符串
是 指定提醒 ID。使用 [Alert.Identifier]。

示例

在此场景中，我们将使用特定用户的 ID 将当前支持请求分配给该用户。

tools34

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

将 playbook 附加到提醒

说明

将特定 playbook 或区块附加到当前提醒。

参数

参数 类型 默认值 必填 说明
playbook 名称 字符串 不适用 是 要添加到所有支持服务请求提醒的 playbook 或块的名称。

示例

此示例将名为“Containment Block”的块附加到当前支持请求的提醒中。

tools4

操作执行结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult true 或 false true

将 playbook 附加到所有案例提醒

说明

将特定 playbook 或 block 附加到案例中的所有提醒。

参数

参数 类型 默认值 必填 说明
playbook 名称 字符串 不适用 是 要添加到相应支持请求中所有提醒的 playbook 或 block 名称。

示例

此示例会将名为 Phishing playbookM 的 playbook 附加到所有案例提醒。

tools3

操作执行结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult true 或 false true

缓冲区

说明

将 JSON 输入转换为 JSON 对象。

参数

参数 类型 默认值 必填 说明
ResultValue 字符串 不适用 否 作为 ScriptResult 值返回的占位值。
JSON JSON 不适用 否 表达式构建器中显示的 JSON。

示例

此示例显示了 JSON 表达式构建器中的 JSON 输入值，以供进一步操作。

tools5-buffer

操作执行结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult ResultValue 参数输入值 成功
  • JSON 结果 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

更改诉讼案名称

说明

更改诉讼案名称或标题。

参数

参数 类型 默认值 必填 说明
新名称 字符串 不适用 否 指定支持请求的新名称。
仅限首次提醒 复选框 未选择 否 如果选中，则仅当对相应支持请求中的第一个提醒执行操作时，才会更改支持请求的名称。

示例

在这种情况下，只有当该 playbook 在第一个提醒中运行时，相应支持请求的标题才会更改为“网络钓鱼 - 可疑电子邮件”。

tools29

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

检查文本中的实体字段

说明

搜索范围内每个实体的特定字段（或使用正则表达式搜索多个字段），并将其与一个或多个值进行比较。比较的值也可以通过正则表达式。如果实体丰富中的某个后正则表达式值位于一个或多个搜索值中，则表示找到匹配项。

参数

参数 类型 默认值 必填 说明
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] 是 表示您要搜索的字符串的 JSON，格式如下：[ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] 是 用于描述应测试哪些字段的 JSON [ "RegexForFieldName": “”,

"FieldName": "要搜索的字段名称",

"RegexForFieldValue": “”}]
ShouldEnrichEntity 字符串 domain_matched 否 如果设置为 <VAL>，还会将一个丰富值放在实体上，以便识别为与该值“匹配”。

密钥将为 <VAL>
IsCaseSensitive 复选框 未选择 否 指定相应字段是否区分大小写。

示例

在此场景中，我们将检查指定文本中是否存在字段名称为 malicious 的实体。

tools18

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 发现结果数量 0
  • JSON 结果 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

检查列表子集

说明

检查一个列表中的值是否存在于另一个列表中。

参数

参数 类型 默认值 必填 说明
原始模式 字符串 不适用 是 指定要对照检查的项目列表。JSON 列表或以英文逗号分隔的列表。
子集 列表 不适用 是 指定子集列表。JSON 列表或以英文逗号分隔的列表。

示例

在此示例中，我们检查原始列表 1,2,3,4,5 中是否存在值 1、2、3，结果为 true。

tools15

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

转换为模拟案例

说明

将支持请求转换为可加载到平台中的模拟支持请求。

参数

参数 类型 默认值 必须提供 说明
推送到模拟支持请求 复选框 未选中 否 如果选中此复选框，相应支持请求会添加到可用的模拟支持请求列表中。
将 JSON 保存为 Case Wall 文件 复选框 已选择 否 如果选中此选项，系统会将表示支持请求的 JSON 文件保存到支持请求墙，以供下载。
替换提醒名称 字符串 空 否 指定要使用的新提醒名称。如果选择此参数，它将取代完整路径名称参数。
路径的完整名称 复选框 未选中 否 如果选择此项，请使用 source_product_eventtype 作为提醒名称，例如 QRadar_WinEventLog:Security_Remote fail login。 如果设置了 Override Alert Name，则系统会忽略此参数。

示例

在此示例中，系统会将一个支持服务请求转换为模拟支持服务请求，并使用“Risky Sign On”（风险登录）作为提醒名称，该名称将显示为首页上的一个可用模拟支持服务请求。

convertsimcase1

convertsimcase2

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

创建带分隔符的实体

说明

创建实体并将其添加到提醒。

参数

参数 类型 默认值 必填 说明
实体标识符 字符串 不适用 是 指定要添加到提醒中的实体。
实体类型 字符串 不适用 是 指定实体类型。
是否为内部 复选框 未选择 否 检查所提供的实体是否属于内部网络。
实体分隔符 字符串 、 是 指定实体标识符字段中使用的分隔符。
丰富化 JSON 下拉菜单 JSON 否 以 JSON 格式指定丰富数据。
PrefixForEnrichment 字符串 不适用 否 指定要添加到丰富化数据中的前缀。

示例

在此场景中，我们将创建三个 IP 实体，并使用名为“is_suspicious”的字段来扩充它们。

tools9

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

创建实体关系

说明

在提供的实体与关联的实体之间创建关系。如果所提供的实体不存在，则创建这些实体。

参数

参数 类型 默认值 必填 说明
实体标识符 字符串 不适用 是 创建新的或使用现有的实体标识符，或使用以英文逗号分隔的标识符列表。
实体标识符类型 下拉菜单 用户名 是 指定实体类型。
以以下身份连接 下拉菜单 来源 是 使用来源、目标或关联关系将实体标识符与目标实体标识符相关联。
目标实体类型 下拉菜单 地址 是 指定要将实体标识符关联到的目标实体类型。
目标实体标识符 字符串 不适用 否 此逗号分隔列表中的实体，

“目标实体类型”中的类型将与“实体标识符”参数中的实体相关联。

丰富化 JSON JSON 不适用 否 一个可选的 JSON 对象，包含键/

可添加到新创建的实体的属性值对。

分隔符 字符串 不适用 否 指定用于分隔“实体标识符”和/或“目标实体标识符”中的实体列表的字符。默认值为逗号。

示例

在此场景中，我们将在用户与网址之间建立关系。在这种情况下，Bola001 访问了 example.com 的网址。

tools13

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
"Entity": "Bola001", "EntityResult": {}
}

创建 Siemplify 任务

说明

将任务分配给用户或角色。该任务将与运行操作的支持请求相关联。

参数

参数 类型 默认值 必填 说明
任务标题 字符串 不适用 否 指定任务的标题。
SLA（以分钟为单位） 整数 480 是 指定分配的用户/角色必须在多长时间内（以分钟为单位）响应任务。
任务内容 字符串 不适用 是 指定任务的详细信息。
分配给 下拉菜单 不适用 是 指定任务将分配给的用户或角色。

示例

在此场景中，系统会创建一个任务，指示第 3 级支持人员运行病毒扫描。

tools33

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

延迟 playbook V2

说明

暂时停止 playbook 在指定时间段内完成。

参数

参数 类型 默认值 必填 说明
秒 整数 0 否 指定延迟 playbook 的秒数。
分钟 整数 1 否 指定延迟 playbook 的分钟数。
小时 整数 0 否 指定延迟 playbook 的小时数。
天 整数 0 否 指定延迟 playbook 的天数。
Cron 表达式 字符串 不适用 否 使用 cron 表达式确定 playbook 应何时继续执行。 优先级高于其他参数。

示例

在此场景中，我们将 playbook 延迟了 12.5 小时。

tools20

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

DNS 查找

说明

使用指定的 DNS 解析器执行 DNS 查找。

参数

参数 类型 默认值 必填 说明
DNS 服务器 IP 地址 不适用 是 单个或以英文逗号分隔的 DNS 服务器。

示例

此示例显示了 Google 的公共 DNS 地址 8.8.8.8，用于搜索外部网域实体。

toolsnew1

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

提取网址网域

说明

使用新字段 siemplifytools_extracted_domain 扩充所有实体，该字段包含从实体标识符中提取的网域。如果实体没有网域（例如文件哈希），则不会返回任何内容。除了实体之外，用户还可以指定网址列表作为参数，并处理这些网址而不进行丰富。

参数

参数 类型 默认值 必填 说明
分词符 字符串 、 是 指定用于分隔网址的分隔符字符串。
网址 字符串 不适用 否 指定一个或多个要从中提取网域的网址。
提取子网域 复选框 不适用 否 指定是否也要提取子网域。

示例

在此场景中，我们将从指定的网址中提取网域。

tools14

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 提取的网域数量 1
  • JSON 结果 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

查找 First Alert

说明

返回指定支持请求中的第一个提醒的标识符。

参数

无适用参数。

示例

在此场景中，它会返回相应支持请求中第一个提醒的提醒标识符。

tools27

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 提醒标识符值 IRC 连接 9A33308C-AC62-4A41-8F73-20529895D567

获取支持请求数据

说明

从支持请求中检索所有数据，并返回 JSON 结果。结果包括评论、实体信息、数据分析、运行的 playbook、提醒信息和事件。

参数

参数 类型 默认值 必填 说明
支持请求 ID 整数 不适用 否 指定要查询的支持请求 ID。如果留空，则使用当前大小写。

示例

在此场景中，我们从当前问题中检索问题详情。

tools35

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

获取证书详细信息

说明

检索指定网址的证书详细信息。

参数

参数 类型 默认值 必填 说明
要检查的网址 网址 expired.badssk.com 是 指定要从中检索证书详细信息的网址。

示例

在此场景中，我们从 expired.badssl.com 网站检索证书详细信息。

tools6

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

获取上下文值

说明

检索案例或提醒中上下文键的值。

参数

参数 类型 默认值 必填 说明
范围 下拉菜单 提醒 是 指定键值的范围，无论是针对支持请求、提醒还是全局。
键 字符串 不适用 是 指定密钥。

示例

在此场景中，我们从支持服务请求中的一个名为“影响”的键中检索上下文值。此操作与 Set Context Value 操作搭配使用，后者用于向支持请求或提醒添加键值对。

tools7

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 上下文值 高


获取当前时间

说明

返回当前日期和时间。

参数

参数 类型 默认值 必填 说明
日期时间格式 字符串 %d/%m/%Y %H:%M 是 指定日期和时间的格式。

示例

在此场景中，我们将返回采用以下格式的日期和时间值：%d/%m/%Y %H:%M:%S

tools22

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 日期时间值 03/11/2022 20:33:43

获取电子邮件模板

说明

返回系统中的所有电子邮件模板。

参数

参数 类型 默认值 必填 说明
模板类型 下拉菜单 标准 是 指定要返回的模板类型，可以是标准或 HTML。

示例

在此场景中，我们返回所有基于 HTML 的电子邮件模板。

tools8

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 包含 HTML 代码的 JSON 结果 JSON 结果显示在下一部分中
  • JSON 结果 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

获取集成实例

说明

返回环境的所有集成实例。

参数

无适用参数。

示例

在这种情况下，系统将返回所有环境中的所有集成实例。

tools19

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

获取原始提醒 JSON

说明

返回原始提醒（原始数据）的 JSON 结果。

参数

无适用参数

示例

在此场景中，系统会返回提醒的原始 JSON。

tools21

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

获取 Siemplify 用户

说明

返回系统中配置的所有用户的列表。

参数

参数 类型 默认值 必填 说明
隐藏已停用的用户 复选框 已选择 否 指定是否从结果中隐藏已停用的用户。

示例

在此场景中，我们返回系统中的所有用户，包括已停用的用户。

tools17

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True
  • JSON 结果 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

锁定 Playbook

说明

暂停当前 playbook，直到之前提醒中的所有 playbook 完成为止。

参数

参数 类型 默认值 必填 说明
异步操作超时 整数 1 天 否 异步操作超时定义执行相应操作允许花费的总时间（所有迭代运行时的总和）。
异步轮询间隔 整数 1 小时 否 设置异步操作运行时期间两次轮询尝试间隔的时长。

示例

在此场景中，我们暂停当前 playbook，并每隔 30 秒检查一次，以查看相应支持请求中之前提醒的所有 playbook 是否已完成。

tools26

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

相似网域

说明

将网域实体与为环境定义的网域列表进行比较。如果网域相似，实体将被标记为可疑，并使用匹配的网域进行丰富。

参数

无适用参数

示例

在此场景中，我们检查外部网域实体是否与设置中的网域列表内配置的网域类似。

tools28

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    look_a_like_domain_found True/False True
  • JSON 结果 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

规范化实体丰富化

说明

接收来自实体的键列表并替换它们。

参数

参数 类型 默认值 必须提供 说明
归一化数据 JSON 不适用 是 以以下格式示例指定 JSON：[ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

示例

在此场景中，我们将 is_bad 的实体键替换为 malicious。

tools11

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 已扩充的实体数量 5

重新附加 playbook

说明

从支持请求中移除 playbook，删除支持请求中来自该 playbook 的所有结果数据，然后重新附加该 playbook，以便再次运行。需要安装 PostgreSQL 集成，并配置为具有 Google SecOps SOAR 实例名称的共享环境。如需了解更多详情，请咨询客户成功经理 / 支持人员。

参数

参数 类型 默认值 必填 说明
playbook 名称 下拉菜单 不适用 是 指定要重新附加的 playbook。

示例

在此场景中，我们将重新附加一个名为 attach_playbook_test 的 playbook

tools25

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False/请配置 PostgreSQL 集成的 Google SecOps SOAR 实例。 True

搜索文本

说明

在输入文本中搜索“Search For”参数，或遍历“Search For Regex”列表并在输入文本中查找匹配项。如果存在匹配项，该操作会返回 true。

参数

参数 类型 默认值 必填 说明
文本 字符串 不适用 是 指定要搜索的文本。
搜索 字符串 不适用 否 在“text”字段中指定要搜索的字符串。
搜索正则表达式 字符串 不适用 否 将用于搜索字符串的正则表达式列表。正则表达式应使用英文双引号括起来。支持英文逗号分隔列表。
区分大小写 复选框 不适用 否 指定搜索是否应区分大小写。

示例

在此场景中，我们检查文本字段值中是否存在“恶意”一词。

tools31

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    match_found True/False True
  • JSON 结果 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

设置上下文值

说明

在特定上下文中设置键和值。此操作通常与“获取上下文值”操作搭配使用，以检索键的值。

参数

参数 类型 默认值 必填 说明
值 字符串 不适用 是 指定上下文值。
键 字符串 不适用 是 指定上下文键。
范围 下拉菜单 提醒 是 指定上下文分配范围（提醒、支持请求、全局）。

示例

在此场景中，我们将“恶意”这一上下文键设置为“是”值。

tools32

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

拼写检查字符串

说明

检查输入字符串的拼写。输出显示准确度百分比、总字数、拼错的字数、每个拼错的字词及其更正、输入字符串的更正版本。

参数

参数 类型 默认值 必填 说明
字符串 字符串 不适用 是 指定要检查拼写错误的字符串。

示例

此示例会对以下输入字符串进行拼写检查：
“Testing if this is a mispelled wodr.”。

tools30

操作执行结果

  • 脚本结果
    脚本结果名称 值选项 示例
    accuracy_percentage 百分比值 71
  • JSON 结果 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

更新提醒得分

说明

按提供的金额更新提醒得分。

参数

参数 类型 默认值 必填 说明
输入 整数 不适用 是 指定要增加或减少（负数）的金额。

示例

在此场景中，我们将提醒得分降低了 20。

tools23

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult 输入值 -20

更新支持请求说明

说明

更新支持请求的说明。

参数

参数 类型 默认值 必填 说明
案例说明 字符串 不适用 是 指定更新后的说明。

示例

此示例将支持请求说明更新为“此支持请求与可疑登录活动有关。”。

tools10

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

等待 playbook 完成

说明

暂停当前 playbook，直到在同一提醒上运行的另一个 playbook 或块完成为止。

参数

参数 类型 默认值 必填 说明
playbook 名称 字符串 不适用 否 指定要先完成的模块或剧本的名称。

示例

在此场景中，我们将暂停当前 playbook，直到在同一提醒上运行的“调查块”完成为止。

tools36

操作结果

  • 脚本结果
    脚本结果名称 值选项 示例
    ScriptResult True/False True

作业

说明

此作业会根据搜索查询关闭所有支持请求。为确保高效的支持请求管理，请遵循以下准则：

  • 对于 1-50 个支持请求：直接从支持请求界面关闭这些支持请求。
  • 超过 50 个支持请求：使用此作业批量关闭支持请求。

Search Payload 是 CaseSearchEverything API 调用中使用的载荷。如需检索此值，请执行以下操作：

  1. 前往界面中的搜索，然后打开浏览器的开发者工具。
  2. 搜索要删除的支持请求。
  3. 在 Network 标签页中找到 CaseSearchEverything API 调用。
  4. 复制 POST 请求的 JSON 载荷，并将其粘贴到 Search Payload 字段中。

Close Reason 必须为 0（恶意）或 1（非恶意）。 根本原因 ID 位于设置 > 案例数据 > 案例关闭根本原因中。

如果这些选项无法满足支持请求关闭要求，请与 Cloud Customer Care 联系。

参数

参数 类型 默认值 为强制性要求 说明
搜索载荷 JSON 不适用 否 指定要搜索的 JSON 载荷。示例： {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
关闭评论 字符串 不适用 是 指定关闭评论。
关闭原因 字符串 不适用 是 指定关闭原因：0 表示恶意，1 表示非恶意。
根本原因 整数 不适用 是 指定根本原因。在设置 > 案例数据 > 案例关闭根本原因中查找根本原因。
Google SecOps SOAR 用户名 字符串 不适用 是 指定 Google SecOps SOAR 用户名。
Google SecOps SOAR 密码 密码 不适用 是 指定 Google SecOps SOAR 密码。

未修改代码的情况

说明

此作业会搜索在指定小时数内保持未修改状态的未结支持请求，并向这些支持请求应用指定标签。此流程用于识别需要进一步关注或手动审核的停滞不前的支持请求。

作业行为

  • 搜索时间范围：作业会使用系统定义的 30 天搜索时间范围。
  • 系统限制：搜索查询不会捕获 30 天（720 小时）以上未修改的支持请求。即使 Unmodified time 设置为更高的值，此限制仍然存在。
  • 标记应用：作业会将参数中定义的标记应用于所有已识别的、在 30 天可见性窗口内的支持请求的元数据。

参数

参数 类型 默认值 必填 说明
标记 字符串 不适用 是 指定要应用于已识别出的支持请求的标记。此属性支持以英文逗号分隔的多个标记值。
未修改时间 整数 不适用 是 指定以小时为单位的非活动阈值。作业会将标记应用于超过此值且未记录修改的支持请求。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。