测试连接器

支持的平台：

本文档介绍了如何通过将恶意电子邮件样本提取到 Google Security Operations 平台来测试连接器。测试过程演示了如何执行以下操作：

  • 提取恶意电子邮件样本。
  • 运行连接器。
  • 将提醒加载到支持请求队列中。
  • 查看提醒数据的翻译方式。

完成这些步骤后，您可以查看新支持请求、预览电子邮件内容，并了解在映射和建模之前，平台如何转换和显示提醒数据。

提取恶意电子邮件样本

如需将恶意电子邮件样本注入到 Google SecOps 平台，请按以下步骤操作：

  1. 将恶意电子邮件插入到平台中。
  2. 复制以下电子邮件示例文本，然后以其他用户的身份发送此电子邮件：
    Subject: Your new salary notification
    

    Email body:
    Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
    Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
    
Faithfully,
    Human Resources
    
University of California, Berkeley

运行该连接器

如需运行连接器，请按以下步骤操作：

  1. 前往设置 > 注入 > 连接器。
  2. 在测试标签页中，点击运行连接器一次；结果会显示在输出部分，并显示在平台中创建的新连接器实例 每次运行此函数时，它都会像第一次迭代一样执行。 系统不会保存任何时间戳，也不会在后端存储任何 ID。
    如果连接器成功运行，系统会显示一条提醒，告知您有一封未读电子邮件。确保您的邮箱中至少包含一封未读电子邮件，以便进行此测试。
  3. 可选：点击预览，查看电子邮件的预览效果。

将提醒加载到支持请求队列中

在注入示例提醒后，请按照以下步骤将提醒注入到支持请求队列中：

  1. 选择相应提醒，然后点击加载到系统。
  2. 在支持请求标签页中，查看已提取的支持请求。
  3. 连接器通过将电子邮件数据转换为 Google SecOps 数据来接收电子邮件后，您可以在支持请求队列的支持请求标签页中看到相应提醒。

连接器将电子邮件数据转换为 Google SecOps 格式后，相应提醒会显示在支持请求队列中。当某个病例首次出现时，系统不会对其进行映射或建模。这些步骤是工作流中的后续步骤。

查看提醒数据的翻译方式

您可以查看连接器代码中的每个字段如何与平台上下文详细信息中显示的相关字段对应。

如需查看提醒数据在平台中的显示方式，请点击相应提醒以查看提醒上下文详情。

平台字段 说明 代码映射
字段名称/值 电子邮件主题，例如：“您的新薪资通知” alert_info.name = email_message_data['Subject']
RuleGenerator / 邮件 导致创建相应提醒的 Google Security Operations SIEM 规则的名称 alert_info.rule_generator = RULE_GENERATOR_EXAMPLE
TicketID 电子邮件的唯一 ID alert_info.ticket_id = f"{alert_id}"
AlertID 电子邮件的唯一 ID alert_info.display_id = f"{alert_id}"
DeviceProduct / Mail 如我们在常量中定义的那样：PRODUCT= "Mail" alert_info.device_product = PRODUCT
DeviceVendor / 邮件 如我们在常量中定义的那样：VENDOR = "Mail" alert_info.device_vendor = VENDOR
DetectionTime / EndTime / StartTime / EstimatedStartTime 电子邮件的接收时间 alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
优先级 / 信息丰富 如我们为此提醒定义的：
  • 信息丰富度 = -1
  • 低 = 40
  • 中位数 = 60
  • 高 = 80
  • 严重 = 100
 alert_info.priority = 60

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。