SiemplifyAction モジュール

クラス SiemplifyAction.SiemplifyAction

SiemplifyAction.SiemplifyAction(mock_stdin=None, get_source_file=False)

ベース: Siemplify

add_alert_entities_to_custom_list

add_alert_entities_to_custom_list(category_name)

指定されたカテゴリで、アラートのエンティティをカスタムリスト レコードに追加します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
category_name {string} カスタムリストのカテゴリ 「CustomList」 なし

戻り値

{[CustomList]} 追加されたオブジェクトのリスト。

例

入力: 明示的に category_name。スコープを使用するエンティティ（暗黙的）。
add_alert_entities_to_custom_list を実行すると、設定で「CustomList」オブジェクトのリストと構成の変更が生成されます。

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.add_alert_entities_to_custom_list("WhiteListed HOSTs")

結果の動作

WhiteListed HOSTs カテゴリを追加します。

結果値

[<SiemplifyDataModel.CustomList object at 0x0000000003476E10>, <SiemplifyDataModel.CustomList object at 0x0000000003476B00>]

add_attachment

add_attachment(file_path, case_id=None, alert_identifier=None, description=None, is_favorite=False)

ケースウォールに添付ファイルを追加します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
file_path {string} ファイルパス "C:\Program Files (x86)\Google\Chrome\Application\chrome_proxy.exe" なし
case_id {string} ケース ID 234 なし
alert_identifier {string} アラート ID 12345 なし
説明 {string} ファイルの説明 なし なし
is_favorite ブール値 なし True/False なし

戻り値

{long} attachment_id

例

入力: 明示的に、ファイルパス、説明、is_favorite。暗黙的に case_id と alert_identifier。

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.add_attachment("C:\Program Files (x86)\Google\Chrome\Application\chrome_proxy.exe", case_id="234", alert_identifier=None, description=None, is_favorite=True)

結果の動作

パスで指定されたファイルがケース ID 234 に添付され、添付ファイル ID が返されます。

結果値

5 [添付ファイル ID]

add_comment

add_comment(comment, case_id=None, alert_identifier=None)

特定のケースに新しいコメントを追加します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
コメント {string} ケースウォールに追加するコメント なし なし
case_id {string} ケース ID 234 case_id が指定されていない場合は、現在のケースが使用されます。

デフォルトでなし（省略可）
alert_identifier {string} アラート ID 12345 alert_identifier が指定されていない場合は、現在のアラートが使用されます。

デフォルトでなし（省略可）

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
comment = "Ran some tests on the hash and it seems fine"
siemplify.add_comment(comment=comment)

結果の動作

指定したコメントが現在のケースに追加されます。

結果値

なし

add_entity_insight

add_entity_insight(domain_entity_info, message, triggered_by=None, original_requesting_user=None)

使用されているケースにエンティティ分析情報を追加します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
domain_entity_info {DomainEntityInfo} 分析情報を追加するエンティティを表すエンティティ オブジェクト なし なし
メッセージ {string} 分析情報のメッセージ なし なし
triggered_by {string} 連携名 なし 統合名が指定されていない場合は、アクション用に選択された統合が使用されます。
デフォルトではなし（省略可）
original_requesting_user {string} リクエストしているユーザー なし デフォルトでなし（省略可）

戻り値

{boolean} True 成功時。それ以外の場合は、False。

例

結果の動作

結果値

add_entity_to_case

add_entity_to_case(entity_identifier, entity_type, is_internal, is_suspicious, is_enriched, is_vulnerable, properties, case_id=None, alert_identifier=None, environment=None)

現在のケースにエンティティを追加します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
entity_identifier {string} エンティティ ID 192.0.2.1、example.com なし
entity_type {string} エンティティ タイプ "ADDRESS" なし
is_internal {boolean} なし 内部 / 外部 なし
is_suspicious {boolean} なし 不審/不審でない なし
is_enriched {boolean} なし True/False デフォルトは False
is_vulnerable {boolean} なし True/False デフォルトは False
プロパティ （dict） {"Property1":"PropertyValue", "Property2":"PropertyValue2"} なし なし

戻り値

NoneType

既存のエンティティがある場合は、次のエラーが表示されます。

500 Server Error: Internal Server Error for url: https://localhost:8443/api/external/v1/sdk/CreateEntity?format=snake: \"ErrorMessage\":\"Cannot add entity [Identifier:Entities Identifies - Type:siemplify.parameters[] to alert [MONITORED MAILBOX <EXAMPLE@EXAMPLE.COM>_633997CB-D23B-4A2B-92F2-AD1D350284FF] in case [12345] because the entity already exists >there.\"

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.add_entity_to_case(entity_identifier, entity_type, is_internal, is_suspicious, is_enriched, is_vulnerable, properties, case_id, alert_identifier, environment)

結果の動作

この関数は、ケースに存在しない場合に、新しいエンティティをケースに追加します。

結果値

なし

add_tag

add_tag(tag, case_id=None, alert_identifier=None)

特定のケースに新しいタグを追加します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
タグ {string} 追加するタグ タグとして使用する任意の文字列 なし
case_id {string} ケース ID 12345 case_id が指定されていない場合は、現在のケース ID が使用されます。

デフォルトでなし（省略可）
alert_identifier {string} アラート ID 123 alert_identifier が指定されていない場合、現在のアラート ID が使用されます。

デフォルトでなし（省略可）

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
tag_to_be_added = "MaliciousMail"
siemplify.add_tag(tag=tag_to_be_added)

結果の動作

現在のケースに「MaliciousMail」タグが追加されます。

結果値

なし

any_alert_entities_in_custom_list

any_alert_entities_in_custom_list(category_name)

アラートのエンティティのいずれかに、指定されたカテゴリのカスタムリスト レコードがあるかどうかを確認します。
この関数は、CustomLists からカテゴリ名を取得し、スコープ内のエンティティのいずれかがそのカテゴリに属している場合は True（ブール値）を返します。エンティティの ID が CustomLists テーブルの設定でこのカテゴリとともにリストされている場合、そのエンティティはこのカテゴリに属すると見なされます。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
category_name {string} カスタムリストのカテゴリ名 BlackListed IPs なし

戻り値

{boolean} カテゴリにエンティティがある場合は True、それ以外の場合は False。

例 1

from SiemplifyAction import SiemplifyAction \
siemplify = SiemplifyAction() \
result = siemplify.any_entity_in_custom_list("BlackListed IPs")

例 2

from SiemplifyAction import SiemplifyAction \
siemplify = SiemplifyAction() \
result = siemplify.any_entity_in_custom_list("Executive IPs")

結果の動作

サンプルコード 1 の結果は True です。サンプルコード 2 の結果は False です。

結果値

正誤問題

assign_case

assign_case(user, case_id=None, alert_identifier=None)

ケースをユーザーに割り当てます。

この関数は、ユーザー ID またはユーザーロールで動作します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
ユーザー {string} ユーザー ID またはユーザーロール USER_ID、管理者、@Tier1 なし
case_id {string} ケース ID 12345 case_id が指定されていない場合は、現在のケース ID が使用されます。

デフォルトでなし（省略可）
alert_identifier {string} アラート ID 123 alert_identifier が指定されていない場合、現在のアラート ID が使用されます。

デフォルトでなし（省略可）

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
assigned_user= "Admin"
siemplify.assign_case(assigned_user)

結果の動作

ケースが管理者ユーザーに割り当てられます。

結果値

なし

attach_workflow_to_case

attach_workflow_to_case(workflow_name, cyber_case_id=None, indicator_identifier=None)

現在のアラートにハンドブックをアタッチします。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
workflow_name {string} ワークフロー（ハンドブック）名 なし なし
cyber_case_id {string} ケース ID 234 ケースが指定されていない場合は、現在のケースが使用されます。
デフォルトでなし（省略可）
indicator_identifier {string} アラート ID 12345 アラート識別子が指定されていない場合は、
現在のアラートが使用されます。
デフォルトでなし（省略可）

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.attach_workflow_to_case(workflow_name, cyber_case_id, indicator_identifier)

結果の動作

指定されたワークフローを、指定されたインジケーター識別子のケースに関連付けます。

結果値

なし

property のケース

change_case_priority

change_case_priority(priority, case_id=None, alert_identifier=None)

ケースの優先度を変更します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
priority {int} 各番号で表される優先度は、それぞれ次のとおりです。
低、中、高、重大		 {"Low": 40, "Medium": 60, "High": 80, "Critical": 100} なし
case_id {string} ケース ID 12345 ケースが指定されていない場合は、現在のケースが使用されます
alert_identifier {string} アラート ID 123 アラート識別子が指定されていない場合は、現在のアラートが使用されます。

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
priority_to_change_to = 60
siemplify.change_case_priority(priority=priority_to_change_to )

結果の動作

ケースの優先度が [中] に変更されます。

結果値

なし

change_case_stage

change_case_stage(stage, case_id=None, alert_identifier=None)

ケースのステージを変更する

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
各段階で {string} ステージは、ケースのステージ テーブルで定義されている文字列と完全に一致している必要があります インシデント、
調査		 なし
case_id {string} ケース ID 12345 ケースが指定されていない場合は、現在のケースが使用されます
alert_identifier {string} アラート ID 123 アラート識別子が指定されていない場合は、現在のアラートが使用されます。

戻り値

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
stage_to_change_to = "Investigation"
siemplify.change_case_stage(stage=stage_to_change_to)

結果の動作

ケースのステータスが [調査中] に変更されます。

結果値

なし

close_alert

close_alert(root_cause, comment, reason, case_id=None, alert_id=None)

現在のアラートを閉じます。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
root_cause {string} ケースのクローズに至った根本原因 設定の [Case close root cause]（ケースのクローズに至った根本原因）
テーブルから取得された文字列		 なし
コメント {string} コメント 任意の文字列を使用できます コメントはケースを説明する必要がありますが、制限はありません。
reason {ApiSyncAlertCloseReasonEnum} 手動で実行する場合、ダイアログ
で使用できる 3 つの事前定義された文字列（「NotMalicious」、「Malicious」、「Maintenance」）のいずれか
 SiemplifyDataModel.ApiSyncAlertCloseReasonEnum を参照してください。

戻り値

{dict} サーバー オペレーションの結果

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
reason = "Maintenance"
root_cause = "Employee Error"
comment = "User accidentally activated a correlation before it was ready to be used and triggered this alert"
siemplify.close_alert(reason=reason, root_cause=root_cause, comment=comment)

結果の動作

現在のアラートが新しいケースに移動され、アラートとともにクローズされます。

結果値

なし

close_case

close_case(root_cause, comment, reason, case_id=None, alert_identifier=None)

ケースを閉じます。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
root_cause {string} ケースのクローズに至った根本原因 なし なし
コメント {string} コメント 任意の文字列を使用できます コメントはケースを説明するものである必要がありますが、制限はありません
reason {ApiSyncAlertCloseReasonEnum} ケースのクローズ理由 手動で実行する場合にダイアログで使用できる 3 つの事前定義された文字列（「NotMalicious」、「Malicious」、「Maintenance」）のいずれか
case_id {string} ケース ID 12345 ケースが指定されていない場合は、現在のケースが使用されます
alert_identifier {string} アラート ID 123 アラート識別子が指定されていない場合は、現在のアラートが使用されます。

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
reason = "Maintenance"
root_cause = "Employee Error"
comment = "User accidentally activated a correlation before it was ready to be used and triggered this alert"
siemplify.close_case(reason=reason, root_cause=root_cause, comment=comment)

結果の動作

ケースは、指定された理由、根本原因、コメントとともにクローズされます。

結果値

なし

create_case_insight

create_case_insight(triggered_by, title, content, entity_identifier, severity, insight_type, additional_data=None, additional_data_type=None, additional_data_title=None)

ケースに分析情報を追加します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
triggered_by {string} 連携名 VirusTotal、XForce なし
title {string} 分析情報のタイトル VirusTotal によって拡充されました なし
コンテンツ {string} 分析情報のメッセージ 分析情報のメッセージ なし
entity_identifier {string} エンティティ ID example.com なし
重要度 {int} 重大度 0 = 情報、
1 = 警告、
2 = エラー
insight_type {int} 分析情報の種類 0 = 一般、
1 = エンティティ		 なし
additional_data {string} 分析情報の追加データ {"checked against": "VT", "malicious": "No"} なし
additional_data_type {int} 追加データのタイプ 'General'=0,
'Entity'=1		 なし
additional_data_title {string} 分析情報の追加データのタイトル VT チェック なし

戻り値

{boolean} True 成功時。それ以外の場合は、False。

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.create_case_insight(triggered_by, title, content, entity_identifier, severity, insight_type, additional_data, additional_data_type, additional_data_title)

結果の動作

定義されたデータを使用してケースの分析情報を生成します。ケースの分析情報が作成された場合は
True。それ以外の場合は False です。

結果値

正誤問題

プロパティ current_alert

dismiss_alert

dismiss_alert(alert_group_identifier, should_close_case_if_all_alerts_were_dismissed, case_id=None)

property 環境

escalate_case

escalate_case(comment, case_id=None, alert_identifier=None)

ケースをエスカレーションします。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
コメント {string} コメントをエスカレーションする なし なし
case_id {string} ケース ID 12345 なし
alert_identifier {string} アラート ID 123 なし

extract_action_param

extract_action_param(param_name, default_value=None, input_type=<class 'str'>, is_mandatory=False, print_value=False)

アクション スクリプト パラメータを取得します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
param_name {string} パラメータの名前 アクションで使用できるパラメータ名 なし
default_value {any} パラメータのデフォルト値 パラメータが設定されていない場合、指定された値が返されます
（is_mandatory が False に設定されている場合）		 パラメータが渡されない場合は、デフォルトでこの値を使用します。
デフォルトでなし（省略可）
input_type {obj} パラメータを別の型にキャストする 整数 デフォルトでは str（省略可）
is_mandatory {boolean} パラメータが空の場合に例外を発生させる True/False デフォルトは False
print_value {boolean} 値をログに出力する True/False デフォルトは False

戻り値

パラメータ値。input_type が指定されていない場合は、デフォルトで {string}。

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
param_value= siemplify.extract_action_param(
 "Threshold",
 default_value=-1,
 input_type=int,
 is_mandatory=False,
 print_value=False)

結果の動作

選択したパラメータの値が、選択した型にキャストされて返されます。

結果値

20

fetch_and_save_timestamp

fetch_and_save_timestamp(datetime_format=False, timezone=False, new_timestamp=1683033493671)

タイムスタンプを取得してケース コンテキストに保存します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
datetime_format {boolean} 日付/時刻の形式 日付時刻形式で取得する場合は True、Unix 形式で取得する場合は False デフォルトは False（省略可）
タイムゾーン パラメータのサポートが終了しました
new_timestamp {int} 保存するタイムスタンプ なし デフォルトでは Unix エポック時間（省略可）

戻り値

{int} datetime。

例

from SiemplifyAction import SiemplifyAction
sa = SiemplifyAction()
sa.fetch_and_save_timestamp(self, datetime_format=False, new_timestamp=SiemplifyUtils.Unix_now())

結果の動作

最新のタイムスタンプが取得され、現在のディレクトリに TIMESTAMP ファイルとして保存されます。

結果値

datetime.datetime(2019, 7, 16, 14, 26, 2, 26000)/1563276380

fetch_timestamp

fetch_timestamp(datetime_format=False, timezone=False)

save_timestamp で保存されたタイムスタンプを取得します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
datetime_format {boolean} True の場合、タイムスタンプを datetime として返します。それ以外の場合は、Unix で返します。 True/False デフォルトは False（省略可）
タイムゾーン パラメータのサポートが終了しました

戻り値

保存された Unix エポック時刻と日時。

例

from SiemplifyAction import SiemplifyAction
sa = SiemplifyAction()
result = sa.fetch_timestamp(datetime_format=True)

結果の動作

最新のタイムスタンプが取得され、現在のディレクトリに TIMESTAMP ファイルとして保存されます。

結果値

datetime.datetime(2019, 7, 16, 14, 26, 2, 26000)/1563276380

get_alert_context_property

get_alert_context_property(property_key)

現在のアラートからコンテキスト プロパティを取得します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
property_key {string} リクエストされたプロパティのキー なし なし

戻り値

{string} プロパティ値

get_alerts_ticket_ids_from_cases_closed_since_timestamp

get_alerts_ticket_ids_from_cases_closed_since_timestamp(timestamp_unix_ms, rule_generator)

タイムスタンプ以降にクローズされたケースからアラートを受け取ります。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
timestamp_unix_ms {long} タイムスタンプ 1550409785000L なし
rule_generator {string} なし フィッシング メール検出 なし

戻り値

アラート ID の {[string]} リスト

get_attachments

get_attachments(case_id=None)

ケースから添付ファイルを取得します。
この関数は、カテゴリとエンティティのリストからカスタムリスト アイテムのリストを取得し、カスタムリスト アイテム オブジェクトのリストを返します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
case_id {string} ケース ID 234 ケースが指定されていない場合、現在のケースが使用されます（省略可）

戻り値

{dict} 個の添付ファイル

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.get_attachments(case_id="234")

結果の動作

ケース ID 234 の添付ファイルの辞書のリストが返されます。

結果値

[{u'is_favorite': False, u'description': u'test', u'type': u'.exe', u'id': 4, u'name': u'chrome_proxy'}]

get_case_comments

get_case_comments(case_id=None)

ケースのコメントを取得します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
case_id {string} ケース ID 234 ケースが指定されていない場合は、現在のケースが使用されます

戻り値

ケースのコメントの {[dict]}

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.get_case_comments(case_id)

結果の動作

ケースに属するすべてのコメントが取得されます。

結果値

[{'comment': u'this is a comment',
u'is_deleted': False,
u'last_editor_full_name': u'example user',
u'modification_time_unix_time_in_ms_for_client': 0,
u'creation_time_unix_time_in_ms': 1681904404087, u'id': 12,
u'modification_time_unix_time_in_ms': 1681904404087,
u'case_id': 234,
u'is_favorite': False,
u'alert_identifier': None,
u'creator_user_id': u'cd1c112a-0277-44a9-b68d-98ceef9b0399',
u'last_editor': u'cd1c112a-0277-44a9-b68d-98ceef9b0399',
u'type': 5,
u'comment_for_client': None,
u'creator_full_name': u'example user'}]

get_case_context_property

get_case_context_property(property_key)

ケース コンテキスト プロパティを取得します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
property_key {string} リクエストされたキー プロパティ なし なし

戻り値

{string} プロパティ値

get_configuration

get_configuration(provider, environment=None, integration_instance=None)

統合構成を取得します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
provider {string} 連携名 VirusTotal
環境 {string} 特定の環境または「すべて」の構成 省略可。
指定された場合、認証情報は対応する
環境構成から取得されます。環境が指定されていない場合は、デフォルトでケース環境が使用されます。

特定の環境の構成がない場合、
デフォルトの構成が返されます。
integration_instance {string} 統合インスタンスの識別子 なし なし

戻り値

{dict} 構成の詳細

get_similar_cases

get_similar_cases(consider_ports, consider_category_outcome, consider_rule_generator, consider_entity_identifiers, days_to_look_back, case_id=None, end_time_unix_ms=None)

同様のケースを取得します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
consider_ports {boolean} パラメータは、ポート フィルタを使用するかどうかを構成します True/false なし
consider_category_outcome {boolean} イベントのカテゴリ結果を考慮するかどうかを構成するパラメータ True/false なし
consider_rule_generator {boolean} アラートのルール ジェネレータを考慮するかどうかを構成するパラメータ True/false なし
consider_entity_identifiers {boolean} アラートでエンティティ ID を考慮するかどうかを構成するパラメータ True/false なし
days_to_look_back {int} パラメータは、類似したケースを探す日数を構成します 365 なし

戻り値

{[int]} ケース ID のリスト

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.get_similar_cases(consider_ports=True,
 consider_category_outcome=False,
 consider_rule_generator=False,
 consider_entity_identifiers=False,
 days_to_look_back=30, case_id="234", end_time_unix_ms=None)

結果の動作

ケース 234 に類似したケース ID のリストが返されます。

結果値

[4, 231]

get_ticket_ids_for_alerts_dismissed_since_timestamp

get_ticket_ids_for_alerts_dismissed_since_timestamp(timestamp_unix_ms)

property is_timeout_reached

load_case_data

load_case_data()

この関数はケースデータを読み込みます。

パラメータ

パラメータは必要ありません。

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.load_case_data()

結果の動作

ケースデータが読み込まれます。

結果値

なし

property log_location

mark_case_as_important

mark_case_as_important(case_id=None, alert_identifier=None)

ケースに重要マークを付けます。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
case_id {string} ケース ID 234 なし
alert_identifier {string} アラート ID 12345 なし

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.mark_case_as_important()

結果の動作

現在のケースに重要マークが付いています。

結果値

なし

raise_incident

raise_incident(case_id=None, alert_identifier=None)

インシデントを提起します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
case_id {string} ケース ID 234 なし
alert_identifier {string} アラート ID 12345 なし

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.raise_incident(case_id, alert_identifier)

結果の動作

ケースがインシデント ステータスに引き上げられました。

結果値

なし

remove_alert_entities_from_custom_list

remove_alert_entities_from_custom_list(category_name)

指定されたカテゴリのカスタムリスト レコードからアラートのエンティティを削除します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
category_name {string} カスタムリストのカテゴリ `WhiteListed HOSTs` なし

戻り値

{[CustomList]} 削除された CustomList オブジェクトの リスト。

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.remove_alert_entities_from_custom_list("WhiteListed HOSTs")

結果の動作

WhiteListed HOSTS が削除されます。

結果値

[<SiemplifyDataModel.CustomList object at 0x0000000003476E10>,
<SiemplifyDataModel.CustomList object at 0x0000000003476B00>]

save_timestamp

save_timestamp(datetime_format=False, timezone=False, new_timestamp=1683033493671)

タイムスタンプを現在のスクリプト コンテキストに保存します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
datetime_format {boolean} なし 日時形式の場合は True、Unix の場合は False デフォルトは False（省略可）
タイムゾーン パラメータのサポートが終了しました
new_timestamp {long} コンテキストに保存するタイムスタンプ なし タイムスタンプは、メソッドを呼び出したときの Unix タイムスタンプにデフォルト設定されます

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
sa = SiemplifyAction()
sa.save_timestamp(self, datetime_format=False, new_timestamp=SiemplifyUtils.unix_now())

結果の動作

新しいタイムスタンプは、現在のディレクトリに TIMESTAMP ファイルとして保存されます。

結果値

なし

set_alert_context_property

set_alert_context_property(property_key, property_value)

Key-Value ペアでアラート コンテキスト プロパティを設定します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
property_key {string} コンテキストに保存するプロパティのキー なし なし
property_value {string} コンテキストに保存するプロパティの値 なし なし

set_alert_sla

set_alert_sla(period_time, period_type, critical_period_time, critical_period_type, case_id=None, alert_id=None)

指定された case_id の alert_identifier の SLA を設定します。この API を使用して設定された SLA は、他のすべてのアラート SLA タイプよりも優先されます。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
period_time {int/str} SLA の合計期間 なし period_time > 0
period_type {string} period_time の時間単位。ApiPeriodTypeEnum で表されます なし なし
critical_period_time {int/str} クリティカルな SLA 期間 なし critical_period_time >= 0
クリティカル期間（時間単位でスケーリングした後）は
合計期間よりも小さくする必要があります。
critical_period_type {string} critical_period_time の時間単位、
ApiPeriodTypeEnum で表される
case_id {long} ケース ID 234 なし
alert_id {string} アラート ID 12345 なし

set_case_context_property

set_case_context_property(property_key, property_value)

Key-Value ペアを使用してケース コンテキスト プロパティを設定します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
property_key {string} プロパティのキー なし なし
property_value {string} プロパティの値 なし なし

set_case_sla

set_case_sla(period_time, period_type, critical_period_time, critical_period_type, case_id=None)

指定された case_id の SLA を設定します（指定されている場合）。指定されていない場合は、現在のケースの SLA を設定します。この API を使用して設定された SLA は、他のすべてのケース SLA タイプよりも優先されます。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
period_time {int/str} SLA の合計期間 なし period_time > 0
period_type {string} period_time の時間単位。ApiPeriodTypeEnum で表されます なし なし
critical_period_time {int/str} クリティカルな SLA 期間 なし critical_period_time >0
クリティカル期間（時間単位でスケーリングした後）は
合計期間よりも小さくする必要があります。
critical_period_type {string} critical_period_time の時間単位、
ApiPeriodTypeEnum で表される		 なし なし
case_id {long} ケース ID なし なし

signal_handler

signal_handler(sig, frame)

property target_entities

target_entities オブジェクトは、構成されたアクションを実行できるエンティティ オブジェクトのリストです。各エンティティ オブジェクトは、次のプロパティとメソッドを公開します。

エンティティのプロパティ

エンティティ オブジェクトの直接データ保持属性は次のとおりです。

プロパティ データ型 説明
identifier string エンティティの固有識別子（UUID）。
creation_time int エンティティが作成されたときの Unix タイムスタンプ。
modification_time int エンティティが最後に変更されたときの Unix タイムスタンプ。
additional_properties dict エンティティに関する追加の詳細情報を含むディクショナリ。
case_identifier string エンティティが属する親ケースの ID。
alert_identifier string エンティティに関連付けられたアラートの ID。
entity_type string エンティティ タイプ（「HOSTNAME」、「USERUNQNAME」など）。
is_internal bool エンティティが内部アセットかどうかを示します。
is_suspicious bool エンティティが不審としてフラグ設定されているかどうかを示します。
is_artifact bool エンティティがアーティファクトかどうかを示します。
is_enriched bool エンティティが拡充されているかどうかを示します。
is_vulnerable bool エンティティが脆弱性ありとしてフラグ設定されているかどうかを示します。
is_pivot bool エンティティがピボット エンティティかどうかを示します。

エンティティ メソッド

エンティティ オブジェクトで使用できる実行可能な関数は次のとおりです。

メソッド 説明
to_dict() エンティティ オブジェクトを標準の Python 辞書に変換します。

try_set_alert_context_property

try_set_alert_context_property(property_key, property_value)

try_set_case_context_property

try_set_case_context_property(property_key, property_value)

update_alerts_additional_data

update_alerts_additional_data(alerts_additional_data, case_id=None)

アラートの追加データを更新します。

パラメータ

パラメータ名 パラメータ型 定義 可能値 コメント
case_id {string} ケース ID 234 なし
alerts_additional_data {string:string} なし なし なし

戻り値

NoneType

例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
additional_data = {"testKey":"testValue"}
siemplify.update_alerts_additional_data(alerts_additional_data=additional_data, case_id=caseid)

結果の動作

testKey:testValue などの追加データでアラートを更新します。

結果値

なし