커넥터 테스트

다음에서 지원:

이 문서에서는 샘플 악성 이메일을 Google Security Operations 플랫폼으로 수집하여 커넥터를 테스트하는 방법을 설명합니다. 테스트 프로세스는 다음 작업을 수행하는 방법을 보여줍니다.

  • 샘플 악성 이메일 수집
  • 커넥터 실행
  • 케이스 대기열에 알림 로드
  • 알림 데이터가 변환되는 방식 보기

이 단계를 완료하면 새 케이스를 보고, 이메일 콘텐츠를 미리 보고 알림 데이터가 매핑되고 모델링되기 전에 플랫폼 내에서 변환되고 표시되는 방식을 이해할 수 있습니다.

샘플 악성 이메일 수집

샘플 악성 이메일을 Google SecOps 플랫폼으로 수집하려면 다음 단계를 따르세요.

  1. 플랫폼에 악성 이메일을 삽입합니다.
  2. 다음 샘플 이메일 텍스트를 복사하고 다른 사용자로부터 이 이메일을 보냅니다.
    Subject: Your new salary notification
    

    Email body:
    Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
    Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
    
Faithfully,
    Human Resources
    
University of California, Berkeley

커넥터 실행

커넥터를 실행하려면 다음 단계를 따르세요.

  1. 설정 > 수집 > 커넥터 로 이동합니다.
  2. 테스트 탭에서 커넥터 한 번 실행 을 클릭합니다. 결과가 출력 섹션에 표시되고 플랫폼에서 생성된 새 커넥터 인스턴스가 표시됩니다. 이 함수를 실행할 때마다 첫 번째 반복인 것처럼 실행됩니다. 타임스탬프가 저장되지 않고 ID가 백엔드에 저장되지 않습니다.
    커넥터가 성공적으로 실행되면 읽지 않은 이메일 하나에 대한 알림이 표시됩니다. 이 테스트를 위해 받은편지함에 읽지 않은 이메일이 하나 이상 포함되어 있는지 확인합니다.
  3. 선택사항: 미리보기 를 클릭하여 이메일을 미리 봅니다.

케이스 대기열에 알림 로드

샘플 알림을 수집한 후 다음 단계에 따라 케이스 대기열에 알림을 수집합니다.

  1. 알림을 선택하고 시스템에 로드 를 클릭합니다.
  2. 케이스 탭에서 수집된 케이스를 봅니다.
  3. 커넥터가 이메일 데이터를 Google SecOps 데이터로 변환하여 이메일을 수신한 후 케이스 대기열의 케이스 탭에서 알림을 볼 수 있습니다.

커넥터가 이메일 데이터를 Google SecOps 형식으로 변환하면 케이스 대기열에 알림이 표시됩니다. 케이스가 처음 표시될 때는 매핑되거나 모델링되지 않습니다. 이러한 단계는 워크플로에서 다음에 발생합니다.

알림 데이터가 변환되는 방식 보기

커넥터 코드의 각 필드가 플랫폼의 컨텍스트 세부정보에 표시된 관련 필드 에 어떻게 해당하는지 확인할 수 있습니다.

알림 데이터가 플랫폼에 표시되는 방식을 보려면 알림을 클릭하여 알림 컨텍스트 세부정보 를 봅니다.

플랫폼 필드 설명 코드 매핑
필드 이름/값 이메일 제목(예: '새 급여 알림') alert_info.name = email_message_data['Subject']
RuleGenerator / 메일 알림 생성을 유발하는 Google Security Operations SIEM 규칙의 이름 alert_info.rule_generator = RULE_GENERATOR_EXAMPLE
TicketID 이메일 메시지 고유 ID alert_info.ticket_id = f"{alert_id}"
AlertID 이메일 메시지 고유 ID alert_info.display_id = f"{alert_id}"
DeviceProduct / 메일 상수에서 정의한 대로 PRODUCT= "Mail" alert_info.device_product = PRODUCT
DeviceVendor / 메일 상수에서 정의한 대로 VENDOR = "Mail" alert_info.device_vendor = VENDOR
DetectionTime / EndTime / StartTime / EstimatedStartTime 이메일 메시지를 수신한 시간 alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
우선순위 / 유용한 정보를 전달함 이 알림에 대해 정의한 대로
  • 유용한 정보를 전달함 = -1
  • 낮음 = 40
  • 중간 = 60
  • 높음 = 80
  • 심각 = 100
 alert_info.priority = 60

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.