Erstes Playbook erstellen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Ihr erstes Playbook mit den Aktionen erstellen, die Sie unter Benutzerdefinierte Aktionen erstellen erstellt haben.

Das Playbook, das Sie erstellen, ist für einen einfachen Phishing-Anwendungsfall vorgesehen und automatisiert die folgenden Schritte:

  • Domaindetails extrahieren: Das Playbook extrahiert die Domain aus einer URL, die in einer Benachrichtigung gefunden wurde.
  • Domain anreichern: Die Einheit wird dann mit zusätzlichen Informationen angereichert.
  • Insight hinzufügen: Dem Playbook wird ein Insight mit dem Land der Domain hinzugefügt.
  • Benutzerdefinierte Liste prüfen: Es wird geprüft, ob sich das Land auf einer benutzerdefinierten Liste befindet.
  • IF-Bedingung verwenden: Mit einer IF-Bedingung wird ermittelt, ob der Fall weitere Untersuchungen erfordert, je nachdem, ob das Land auf der benutzerdefinierten Liste steht.

Aktionen im Playbook-Designer aktivieren

Damit die von Ihnen erstellten benutzerdefinierten Aktionen in der integrierten Entwicklungsumgebung (IDE) aktiviert sind, klicken Sie auf den Ein/Aus-Button Aktivieren, um die Position „Ein“ festzulegen. Nach der Aktivierung sind diese Aktionen im Playbook-Designer verfügbar.

Benutzerdefinierte Liste der OECD-Länder erstellen

Um festzustellen, ob das Land einer Domain weitere Untersuchungen erfordert, müssen Sie eine benutzerdefinierte Liste von Ländern der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) erstellen. Sie können diese Liste dann in Ihrem Playbook verwenden, um das Land der Domain zu prüfen.

So erstellen Sie eine benutzerdefinierte Liste von OECD-Ländern:

  1. Gehen Sie zu den Einstellungen > Umgebungen.
  2. Klicken Sie auf Benutzerdefinierte Listen.
  3. Klicken Sie im Bereich Benutzerdefinierte Listen auf add Hinzufügen.
  4. Geben Sie im Dialogfeld Benutzerdefinierte Liste hinzufügen die Entitäts-ID, die Kategorie und die Umgebung ein.
  5. Klicken Sie auf Hinzufügen.

Automatisierungs-Playbook erstellen

So erstellen Sie ein Automatisierungs-Playbook:

  1. Rufen Sie den Playbook Designer auf und klicken Sie auf Hinzufügen.
  2. Wählen Sie im Dialogfeld Neu erstellen das Optionsfeld Playbook aus.
  3. Wählen Sie einen Ordner und eine Umgebung für das Playbook aus.
  4. Geben Sie einen Namen für das Playbook ein (neben dem Playbook-Schalter), um es anzupassen.

Vorgefertigtes Playbook importieren

So importieren Sie ein vorgefertigtes Playbook:

  1. Klicken Sie im Playbook Designer auf Liste > Importieren.
    Erstelle mein erstes Automatisierungs-Playbook
  2. Jedes Playbook beginnt mit einem Trigger. Um den Trigger für dieses Playbook festzulegen, ziehen Sie den Trigger Alle aus dem Menü Trigger in den ersten Schritt des Playbooks. Dadurch wird das Playbook bei jeder in Google Security Operations aufgenommenen Benachrichtigung aktiviert.

Playbook erstellen

So erstellen Sie ein Playbook mit den Aktionen aus Ihrer Integration „WHOIS XML API“:

  1. Klicken Sie auf dem Tab Aktionen auf die Liste WHOIS XML API. Ihre benutzerdefinierten Aktionen werden unter dem Namen der Integration angezeigt. Wenn sie nicht sichtbar sind, prüfen Sie, ob sie im IDE-Modul aktiviert und gespeichert sind.
  2. Ziehen Sie die Aktion Get Domain Details in das Playbook und platzieren Sie sie direkt nach dem Trigger.

Aktion anpassen

Sie können die Aktion so anpassen, dass sie in einem bestimmten Bereich ausgeführt wird. In diesem Beispiel wird die Aktion für alle Entitäten ausgeführt, die URLs sind. Verwenden Sie für das Feld „Domainname“ den Platzhalter Entity.Identifier.

So nehmen Sie diese Anpassungen vor:

  1. Platzhalter einfügen: Klicken Sie auf  Platzhalter und suchen Sie in der Suchleiste nach Entity.Identifier. Diese Aktion stellt eine Verbindung zur WHOIS-Website her, extrahiert die Details der Domain und stellt sie im JSON-Format dar.
  2. Definieren Sie den Umfang. Die Aktion stellt eine Verbindung zur WHOIS-Website her, extrahiert Domaindetails und stellt sie im JSON-Format dar.
  3. Verfügbarkeit prüfen Mit dem Parameter Check Availability (Verfügbarkeit prüfen), den Sie für die Aktion definiert haben, wird geprüft, ob die Domain verfügbar ist.
  4. Nachdem Sie die Aktion Domaindetails abrufen hinzugefügt haben, ziehen Sie die Aktion Entitäten anreichern in Ihr Playbook. Passen Sie die Aktion so an, dass sie für alle URLs ausgeführt wird. Da Sie diese Aktion für einen bestimmten Entitätsbereich entwickelt haben, müssen Sie das Feld Domainname nicht definieren, wie Sie es bei der vorherigen Aktion getan haben.

Aktion „Entitäts-Insight“ hinzufügen

Fügen Sie die Aktion Entitätsstatistik hinzufügen hinzu, die Teil der Google SecOps-Integration ist:

  1. Definieren Sie den Umfang. Wählen Sie für den Entitätsbereich die Option Alle URLs aus, wie Sie es für die vorherigen Aktionen im Playbook getan haben.
  2. Extrahieren Sie das JSON-Feld. Öffnen Sie im Feld Insight den Google SecOps Expression Builder, um das Feld „country“ aus dem JSON-Ergebnis zu extrahieren.
  3. Öffnen Sie den Ausdrucksgenerator für die JSON-Ausgabe: Klicken Sie auf das Platzhaltersymbol (data_array), wählen Sie die Playbook-Liste aus und klicken Sie auf WHOIS XML API_Get Domain Details_1.JsonResult. Dadurch wird der Ausdrucksgenerator für die JSON-Ausgabe geöffnet.

Feld „country“ aus dem JSON extrahieren

Das JSON-Beispiel im Ausdrucksgenerator ist dasselbe, das Sie in der IDE für Benutzerdefinierte Aktion erstellen eingefügt haben. So extrahieren Sie das Feld „Land“:

  1. Klicken Sie in der JSON-Datei auf Country.
  2. Klicken Sie auf arrow_right Ausführen, um den Platzhalter zu testen, und sehen Sie sich das Ergebnis im Feld Ergebnisse an.

Entität erstellen

Damit die Aktion Ist in benutzerdefinierter Kundenliste ausgeführt werden kann, müssen Sie eine neue Entität aus dem Land erstellen, das mit der Domain verknüpft ist. Gehen Sie hierzu folgendermaßen vor:

  1. Ziehen Sie die Aktion Entität erstellen aus Google SecOps-Integration in das Playbook.
  2. Konfigurieren Sie die Aktion, die für Alle URLs ausgeführt werden soll.
  3. Verwenden Sie den Ausdrucksgenerator, um den Platzhalter country in das Feld Entity Identifies (Entität identifiziert) einzufügen. Wählen Sie als Entitätstyp die Option Generische Entität aus und klicken Sie auf Speichern.
  4. Fügen Sie die Aktion Ist in benutzerdefinierter Liste hinzu:
    1. Ziehen Sie die Aktion in das Playbook.
    2. Konfigurieren Sie die Regel so, dass sie für alle generischen Entitäten (die Entität, die Sie gerade erstellt haben) ausgeführt wird.
    3. Fügen Sie für die Kategorie die Kategorie hinzu, die Sie für Ihre benutzerdefinierte Liste der OECD-Länder konfiguriert haben.
  5. Fügen Sie Ihrem Playbook die IF-Bedingung hinzu, um zu ermitteln, ob das Land der Domain weiter untersucht werden muss. Im ersten Zweig wird geprüft, ob das Skriptergebnis für Is in Custom list (Ist in benutzerdefinierter Kundenliste enthalten) „false“ zurückgegeben hat. Der Else-Zweig (Andernfalls) wird für das gegenteilige Ergebnis verwendet.
    • Fügen Sie Ihrem Playbook die Aktion WENN-Bedingung hinzu. Es werden zwei Zweige angezeigt.
  6. Passen Sie den ersten Zweig an. Der erste Zweig wird ausgeführt, wenn die Aktion Ist in benutzerdefinierter Kundenliste ein falsches Ergebnis zurückgibt. Das bedeutet, dass das Land der Domain nicht in Ihrer benutzerdefinierten Liste der OECD-Länder enthalten ist und weitere Untersuchungen erforderlich sind.
  7. Ziehen Sie für die erste Aktion in diesem Zweig eine Case Tag-Aktion aus der Google SecOps-Integration.

Weisen Sie den Fall einem höheren Tier zu.

Weisen Sie den Fall einer höheren Stufe zu, um ihn weiter zu untersuchen. Gehen Sie hierzu folgendermaßen vor:

  1. Ziehen Sie die Aktion Fall zuweisen in das Playbook.
  2. Wählen Sie @Tier2 als Assigned User (Zugewiesener Nutzer) aus.

Priorität ändern

Ändern Sie die Priorität mit der Aktion Google SecOps-Priorität ändern in Hoch > klicken Sie auf Speichern.

Zweig „Else“ anpassen

Nachdem Sie den ersten Zweig fertiggestellt haben, können Sie den Else-Zweig anpassen. In diesem Zweig werden Fälle behandelt, in denen das Land der Domain ein OECD-Land ist. Sie haben entschieden, dass hier keine weitere Untersuchung erforderlich ist. So konfigurieren Sie den Else-Zweig:

  1. Fügen Sie wie im ersten Zweig ein Fall-Tag mit dem Label In OECD countries (In OECD-Ländern) hinzu.
  2. Fügen Sie diesem Zweig die Aktion Kundenvorgang schließen hinzu. Da das Schließen eines Falls eine sensible Aktion ist, sollten Sie sie so konfigurieren, dass sie manuell ausgeführt wird. Wählen Sie im Bereich Einstellungen der Aktion den Modus Manuell aus.
  3. Fügen Sie im Abschnitt Parameter der Aktion Fall schließen die Begründung, die Ursache und den Kommentar hinzu.
  4. Klicken Sie auf Speichern, um das Playbook mit den hinzugefügten Parametern zu speichern.

Playbook-Ausführung ansehen

So kannst du deine benutzerdefinierte Automatisierung in Aktion sehen:

  1. Klicken Sie unter Fälle auf Hinzufügen Hinzufügen > Fälle simulieren.
  2. Wählen Sie den Fall Phishing-E-Mail > klicken Sie auf Erstellen.
  3. Wählen Sie die Umgebung > klicken Sie auf Simulieren, um die Playbook-Ausführung zu simulieren.
  4. Sehen Sie sich das Playbook an, das für die Benachrichtigung ausgeführt wird, und die Ergebnisse der einzelnen Aktionen im Playbook.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten