커넥터 테스트
이 문서에서는 샘플 악성 이메일을 Google Security Operations 플랫폼에 수집하여 커넥터를 테스트하는 방법을 설명합니다. 테스트 프로세스에서는 다음 작업을 수행하는 방법을 보여줍니다.
- 샘플 악성 이메일을 수집합니다.
- 커넥터를 실행합니다.
- 케이스 대기열에 알림을 로드합니다.
- 알림 데이터가 번역되는 방식을 확인합니다.
이 단계를 완료하면 새 케이스를 확인하고, 이메일 콘텐츠를 미리 보고, 알림 데이터가 매핑되고 모델링되기 전에 플랫폼 내에서 어떻게 변환되고 표시되는지 파악할 수 있습니다.
샘플 악성 이메일 수집
샘플 악성 이메일을 Google SecOps 플랫폼에 수집하려면 다음 단계를 따르세요.
- 악성 이메일을 플랫폼에 삽입합니다.
- 다음 샘플 이메일 텍스트를 복사하고 다른 사용자가 이 이메일을 보냅니다.
Subject: Your new salary notification
Email body:
Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
Faithfully,
Human Resources
University of California, Berkeley
커넥터 실행
커넥터를 실행하려면 다음 단계를 따르세요.
- 설정 > 수집 > 커넥터로 이동합니다.
- 테스트 탭에서 커넥터 한 번 실행을 클릭합니다. 결과가 출력 섹션에 표시되며 플랫폼에서 생성된 새 커넥터 인스턴스가 표시됩니다. 이 함수를 실행할 때마다 첫 번째 반복인 것처럼 실행됩니다.
타임스탬프는 저장되지 않으며 ID는 백엔드에 저장되지 않습니다.
커넥터가 성공적으로 실행되면 읽지 않은 이메일 하나에 대한 알림이 표시됩니다. 이 테스트를 위해 메일함에 읽지 않은 이메일이 하나 이상 있는지 확인합니다. - 선택사항: 미리보기를 클릭하여 이메일을 미리 볼 수 있습니다.
케이스 대기열에 알림 로드
샘플 알림을 수집한 후 다음 단계에 따라 케이스 대기열에 알림을 수집합니다.
- 알림을 선택하고 시스템에 로드를 클릭합니다.
- 케이스 탭에서 수집된 케이스를 확인합니다.
- 커넥터가 이메일 데이터를 Google SecOps 데이터로 변환하여 이메일을 수신하면 케이스 대기열의 Cases 탭에서 알림을 확인할 수 있습니다.
커넥터가 이메일 데이터를 Google SecOps 형식으로 변환하면 케이스 대기열에 알림이 표시됩니다. 케이스가 처음 표시될 때는 매핑되거나 모델링되지 않습니다. 이 단계는 워크플로에서 다음에 발생합니다.
알림 데이터가 번역되는 방식 보기
커넥터 코드의 각 필드가 플랫폼의 컨텍스트 세부정보에 표시된 관련 필드에 어떻게 대응되는지 확인할 수 있습니다.
플랫폼에 알림 데이터가 표시되는 방식을 확인하려면 알림을 클릭하여 알림 컨텍스트 세부정보를 확인하세요.
| 플랫폼 필드 | 설명 | 코드 매핑 |
|---|---|---|
| 필드 이름/값 | 이메일 제목(예: '새로운 급여 알림') | alert_info.name = email_message_data['Subject'] |
| RuleGenerator / Mail | 알림 생성을 유발하는 Google Security Operations SIEM 규칙의 이름 | alert_info.rule_generator = RULE_GENERATOR_EXAMPLE |
| TicketID | 이메일 메시지 고유 ID | alert_info.ticket_id = f"{alert_id}" |
| AlertID | 이메일 메시지 고유 ID | alert_info.display_id = f"{alert_id}" |
| DeviceProduct / Mail | 상수에서 정의한 대로 PRODUCT= "Mail" |
alert_info.device_product = PRODUCT |
| DeviceVendor / Mail | 상수에서 정의한 대로 VENDOR = "Mail" |
alert_info.device_vendor = VENDOR |
| DetectionTime / EndTime / StartTime / EstimatedStartTime | 이메일 메시지를 수신한 시간 |
alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
|
| 우선순위 / 정보 제공 | 이 알림에 대해 정의된 대로
|
alert_info.priority = 60 |
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.