測試連接器

支援的國家/地區：

本文說明如何將惡意電子郵件範例擷取至 Google Security Operations 平台，藉此測試連接器。測試程序會示範如何：

  • 擷取惡意電子郵件範例。
  • 執行連接器。
  • 將快訊載入案件佇列。
  • 查看警報資料的翻譯方式。

完成這些步驟後，您就可以查看新案件、預覽電子郵件內容，並瞭解警報資料在平台中經過對應和建模後，會如何翻譯及顯示。

擷取惡意電子郵件樣本

如要將惡意電子郵件範例匯入 Google SecOps 平台，請按照下列步驟操作：

  1. 將惡意電子郵件插入平台。
  2. 複製下列電子郵件範本文字，然後以其他使用者的身分傳送這封電子郵件：
    Subject: Your new salary notification
    

    Email body:
    Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
    Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
    
Faithfully,
    Human Resources
    
University of California, Berkeley

執行連接器

如要執行連結器，請按照下列步驟操作：

  1. 依序前往「設定」>「擷取」>「連接器」。
  2. 在「測試」分頁中，按一下「Run connector once」(執行連接器一次)；結果會顯示在「Output」(輸出) 區段，並顯示在平台中建立的新連接器執行個體。每次執行這項函式時，都會視為第一次疊代。系統不會儲存時間戳記，也不會在後端儲存 ID。
    如果連接器順利執行，系統會顯示單一未讀電子郵件的快訊。確認信箱中至少有一封未讀電子郵件，以利進行這項測試。
  3. 選用：按一下「預覽」，查看電子郵件的預覽畫面。

將快訊載入案件佇列

擷取範例快訊後，請按照下列步驟將快訊擷取到案件佇列：

  1. 選取快訊，然後按一下「載入至系統」。
  2. 在「案件」分頁中，查看已擷取的案件。
  3. 連接器將電子郵件資料轉換為 Google SecOps 資料後，您可以在案件佇列的「案件」分頁中查看快訊。

連接器將電子郵件資料轉換為 Google SecOps 格式後，警報就會顯示在案件佇列中。案件首次出現時，不會對應或模擬。這些步驟是工作流程的後續步驟。

查看快訊資料的翻譯方式

您可以查看連接器程式碼中的每個欄位，如何對應至平台情境詳細資料中顯示的相關欄位。

如要查看平台中顯示的快訊資料，請按一下快訊，查看「快訊內容詳細資料」。

平台欄位 說明 程式碼對應
欄位名稱/值 電子郵件主旨，例如「您的薪資通知」 alert_info.name = email_message_data['Subject']
RuleGenerator / Mail 導致系統建立快訊的 Google Security Operations SIEM 規則名稱 alert_info.rule_generator = RULE_GENERATOR_EXAMPLE
TicketID 電子郵件訊息的專屬 ID alert_info.ticket_id = f"{alert_id}"
AlertID 電子郵件訊息的專屬 ID alert_info.display_id = f"{alert_id}"
DeviceProduct / Mail 如 CONSTANTS 中所定義：PRODUCT= "Mail" alert_info.device_product = PRODUCT
DeviceVendor / Mail 如 CONSTANTS 中所定義：VENDOR = "Mail" alert_info.device_vendor = VENDOR
DetectionTime / EndTime / StartTime / EstimatedStartTime 收到電子郵件訊息的時間 alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
優先順序 / 資訊 如我們為這則快訊所定義：
  • 資訊豐富 = -1
  • 低 = 40
  • 媒介 = 60
  • 高 = 80
  • 重大 = 100
 alert_info.priority = 60

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。