Playbook-Resilienz durch automatische Wiederholungen erhöhen

Unterstützt in:

Google SecOps SOAR

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

In diesem Dokument wird erläutert, warum automatisierte Aktionen in Playbooks manchmal aufgrund vorübergehender Probleme wie Netzwerkausfälle oder API-Ratenbeschränkungen fehlschlagen können. Damit Ihre Playbooks robuster sind, können Sie einzelne Aktionen so konfigurieren, dass sie bei solchen Fehlern automatisch wiederholt werden.

Durch Wiederholungen von Aktionen können Playbooks sich von vorübergehenden Fehlern wie Netzwerkproblemen, API-Ratenbeschränkungen oder Nichtverfügbarkeit von Diensten erholen. Diese Wiederholungsversuche gelten für Standard-Playbook-Aktionen wie Anreicherung, Eindämmung oder Benachrichtigungen.

Der Wiederholungsmechanismus wird durch den internen Ausführungsstatus der Aktion ausgelöst, nicht durch standardmäßige HTTP-Fehlercodes. Für Aktionen, bei denen Zeitüberschreitungen auftreten, oder für Aktionen, die zur Ablaufsteuerung verwendet werden (z. B. Bedingungen oder Playbook-Blöcke), werden keine Wiederholungsversuche unternommen, da diese nicht auf dieselbe Weise fehlschlagen.

Bedingungen für den Mechanismus zur Wiederholung von Aktionen

Der Wiederholungsmechanismus wird nur ausgelöst, wenn eine Aktion unter bestimmten Bedingungen fehlschlägt, die in der Regel auf einen vorübergehenden, infrastrukturbezogenen oder unbehandelten Fehler hinweisen. Sie wird nicht bei Fehlern im Zusammenhang mit Zeitüberschreitungen oder Flusssteuerungsaktionen aktiviert.

Bedingungen, die einen Wiederholungsversuch auslösen

Der Wiederholungsmechanismus wird nur aktiviert, wenn die Aktion unter den folgenden Umständen fehlschlägt:

• Nicht behandelte Skriptfehler:Alle Fehler oder Ausnahmen, die im Python-Skript der Aktion auftreten und die Sie nicht explizit in Ihrem Skript behandeln.
• Expliziter Fehlerstatus:Das Aktionsskript gibt den Ausführungsstatus EXECUTION_STATE_FAILED explizit an den Server zurück.
• Infrastrukturausfälle:Fehler, die auf die zugrunde liegende Infrastruktur zurückzuführen sind, z. B. Verbindungsprobleme (z. B. Python-Verbindungsfehler), die ein erfolgreiches Ergebnis verhindern.

Bedingungen, die eine Wiederholung umgehen (kein Wiederholungsversuch)

Wiederholungsversuche werden in Fehlerszenarien im Zusammenhang mit Zeitüberschreitungen oder Ablaufsteuerungsaktionen umgangen:

• Zeitüberschreitung bei der Playbook-Ausführung:Die Aktion kann nicht abgeschlossen werden und gibt innerhalb des konfigurierten allgemeinen Zeitlimits für den jeweiligen Playbook-Schritt kein Ergebnis zurück.
• Status „Zeitüberschreitung behandelt“:Das Aktionsskript meldet explizit eine interne Zeitüberschreitung der Aktion, indem der Status EXECUTION_STATE_TIMEOUT zurückgegeben wird. Der Server behandelt dies als „Handled Timeout“ (abgefangene Zeitüberschreitung), sodass die Playbook-Ausführung ohne Wiederholung fortgesetzt wird.

Aktionswiederholungen konfigurieren

So konfigurieren Sie Wiederholungsversuche für eine Aktion:

1. Doppelklicken Sie im Playbook-Designer auf die entsprechende Aktion.
2. Klicken Sie in der Seitenleiste auf den Tab Einstellungen und stellen Sie dann den Schalter Bei Fehler wiederholen auf „Ein“.
3. Geben Sie die folgenden Parameter an:
   • Anzahl der Wiederholungen:Geben Sie an, wie oft die Aktion wiederholt werden soll, wenn sie fehlschlägt.
   • Verzögerung zwischen Wiederholungen:Geben Sie die Verzögerung in Sekunden, Minuten oder Stunden zwischen den einzelnen Wiederholungsversuchen an.
4. Wählen Sie im Bereich Wenn Schritt fehlschlägt eine der folgenden Optionen aus, wenn die Aktion nach allen Wiederholungsversuchen letztendlich fehlschlägt:
   • Playbook stoppen: Die Playbook-Ausführung wird beendet.
   • Schritt überspringen: Das Playbook wird mit dem nächsten Schritt fortgesetzt.
5. Klicken Sie auf Speichern.

So werden Wiederholungsversuche während der Playbook-Ausführung angezeigt

Wenn ein Playbook-Schritt mit Wiederholungen ausgeführt wird, werden bestimmte Status und Meldungen angezeigt, die den Fortschritt der Wiederholungsversuche angeben:

• Wenn eine Aktion mit konfigurierten Wiederholungsversuchen fehlschlägt, ändert sich ihr Status auf dem Tab Playbooks vor dem nächsten Versuch vorübergehend in Wartet auf nächsten Wiederholungsversuch.
• Wenn die Aktion nach einem oder mehreren Wiederholungsversuchen erfolgreich ist, wird im Tab Playbooks der endgültige Status „Erfolgreich“ angezeigt, zusammen mit der Anzahl der Wiederholungsversuche (z. B. Nach zwei Wiederholungsversuchen abgeschlossen).
• Wenn die Aktion nach allen Wiederholungsversuchen fehlschlägt, wird im endgültigen Status der Fehler zusammen mit der Anzahl der Wiederholungsversuche angegeben (z. B. Fehlgeschlagen nach 3 Wiederholungsversuchen).
• Relevante Informationen zu Wiederholungsversuchen werden auch auf der Case Wall angezeigt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten