הגדרת מופע במצב דינמי

נתמך ב:

במאמר הזה מוסבר איך מציינים שם של מכונה כשבוחרים באפשרות מצב דינמי בשלב של פלייבוק. מצב דינמי משמש בעיקר כשיוצרים פלייבוק לכמה סביבות (או לכל הסביבות), כדי שהפלייבוק יבחר באופן דינמי את המכונה מסביבת היעד בזמן הריצה. השדה 'ציון שם המופע' משמש כשמגדירים שני מופעי שילוב או יותר לכל סביבה ורוצים שספר ההדרכה יבחר את המופע הנכון באופן אוטומטי, בלי לעצור ולחכות שהאנליסט יבחר ידנית.

ציון שם של מופע באופן דינמי

כשיוצרים תוכנית פעולה לכמה סביבות, בוחרים באפשרות מצב דינמי יחד עם ציון שם המופע כדי להגדיר באופן דינמי את המופע שבו רוצים להשתמש לכל פעולה באמצעות טקסט חופשי או ערכי placeholder. אפשר להשתמש במחזיקי מקום כדי להגדיר את שם המופע כתבנית, או להשתמש בתנאי זרימה כדי להגדיר את התנאים לשימוש בכל מופע. אפשר גם לציין מכונה חלופית שמוגדרת כברירת מחדל, שתשמש אם לא ניתן למצוא את המכונה שצוינה בשם.

יש שלוש דרכים עיקריות לציין את שם המכונה שבה רוצים להשתמש במצב הדינמי:

  • שימוש ב-placeholders בשדה 'ציון שם המופע'
  • שימוש בפלייסהולדרים של ישויות בשדה לציון שם המופע
  • שימוש בשם מופע סטטי ובשלב התנאי של הזרימה

תרחיש לדוגמה: שימוש במחזיקי מקום בשדה 'ציון שם המכונה'

אם שמות המופעים שלכם פועלים לפי דפוס צפוי, אתם יכולים להשתמש ב-placeholder של התראות כדי להגדיר באיזה מופע להשתמש. בדוגמה הבאה השתמשנו בפלייסהולדר של ההתראה בשדה Specify instance name.

שני מקרים מוגדרים בשילוב Active Directory: ‏ ActiveDirectory_UK ו-ActiveDirectory_US. ההתראה שהועברה מכילה שדה בשם location. כדי להשתמש בשדה הזה, צריך להשתמש ב-placeholder‏ [alert.location] בשדה Specify instance name.

תרחיש לדוגמה: שימוש בפלייסהולדרים של ישויות בשדה "ציון שם המופע"

כדי להחזיר את הישות הנכונה כשמשתמשים במחזיקי מקום של ישויות בשדה Specify instance name, צריך להשתמש בפעולה Siemplify Power Ups Tool Buffer. הפעולה הזו מגדירה את placeholder הישות כך שתוחזר רק תוצאה אחת. התהליך הבא מראה איך להגדיר את אחזור הישות הנכונה:

  1. ברשימה Entities של הפעולה Tools_Buffer >, בוחרים את ההיקף שרוצים להשתמש בו (לדוגמה, משתמשי יעד).
  2. בשדה ערך התוצאה, מזינים את ה-placeholder [Entity.location]. התוצאה של הפעולה הזו תהיה הפלייסהולדר [Entity.location], שיוגבל למשתמשי היעד בלבד.
  3. בשלב הבא ב-Playbook, למשל VirusTotal_Enrich Hash, בוחרים באפשרות Dynamic mode (מצב דינמי) ובשדה Specify instance name (ציון שם מופע), בוחרים באפשרות VirusTotal_[Tools_Buffer_1.ScriptResult] מתוך אפשרויות ה-placeholder.

תרחיש לדוגמה: שימוש בשם המכונה הסטטי ובתנאי ה-Flow

אם השמות של המופעים לא עוקבים אחרי דפוס צפוי, עדיין אפשר לבחור מופע באופן דינמי על סמך פרמטרים של ההתראה באמצעות השלב תנאים. בדוגמה הבאה אפשר לראות איך להגדיר הסתעפויות מותנות שונות כדי להחזיר את המופע הנכון לשימוש. בדוגמה נעשה שימוש בתנאי Alert Rule Generator, והיא מסתמכת על שני מקרים שהוגדרו בשילוב עם האימייל בשמות Email_1 ו-Email_2. בהתאם לתוצאת התנאי, ה-playbook יפעל בענפים שונים ולכן יבחר את המופע הנכון. לכן, אם מחולל כללי ההתראה שווה ל-Cloud Email, פלייבוק יופעל בענף הראשון שמשתמש במופע שנקרא Email_1. כדי להגדיר את זה:

  • בשלב של תנאי התהליך, מזינים את הפרטים הבאים:
    • אם הכלי ליצירת כללי התראות שווה ל-Cloud Email detection:
      1. עוברים לענף הראשון.
      2. בשלב הראשון של הענף הראשון, בוחרים באפשרות מצב דינמי > ציון שם המופע ומזינים Email_1.
      3. לוחצים על Save.
    • אם מחולל כללי ההתראות שווה ל-on-premises Email:
      1. עוברים לענף השני.
      2. בשלב הראשון של הענף השני, בוחרים באפשרות מצב דינמי > ציון שם המכונה ומזינים את השם Email_2.
      3. לוחצים על Save.
        שלב מותנה שמראה איך להגדיר שם של מכונה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.