Beispiele für den Ausdrucks-Builder

Unterstützt in:

In diesem Dokument werden Anwendungsfälle beschrieben, in denen Sie dynamische Ausdrücke in Playbook-Aktionen auf der Google Security Operations-Plattform erstellen und implementieren können. Dabei geht es darum, mit dem Ausdrucksgenerator bestimmte Daten aus vorherigen Aktionsergebnissen zu parsen, zu filtern und zu extrahieren, z. B. Listendaten, Entitätsdetails und Scanberichte, um eine komplexe Automatisierungslogik in nachfolgenden Playbook-Schritten zu ermöglichen.

Hinweis

Beachten Sie vorab die folgenden Hinweise:

  • Mit Qualys – List Scans können Sie alle aktuellen Scans von Qualys abrufen (30 Tage fest codiert).
  • Verwenden Sie den Ausdrucksgenerator, um die ID (REF) des neuesten Scans als Platzhalter zum Herunterladen von VM-Scanergebnissen zu extrahieren. Laden Sie den entsprechenden Bericht mit den Ergebnissen des VM-Scans herunter.
  • Verwenden Sie List Operations, um die Liste der Kennungen der im Bericht gefundenen Sicherheitslücken (Common Vulnerabilities and Exposures, CVEs) aus dem Bericht zu extrahieren und mit der CVE aus dem Fall zu vergleichen.
  • Verwenden Sie eine IPS-Benachrichtigung, um das Playbook auszulösen.

Anwendungsfall: Intrusion Prevention-System (IPS)

In diesem Anwendungsfall wird davon ausgegangen, dass Sie ein Playbook erstellen, das einen bösartigen Datenfluss in einem Netzwerk gefunden hat.
Stellen Sie sich vor, dass ein Tool zur Verwaltung von Sicherheitslücken wie Qualys einen täglichen Scan geplant hat.

Platzhalter erstellen

So erstellen Sie einen Platzhalter:

  1. Beginnen Sie mit einer Active Directory_Enrich Entities-Aktion, um alle potenziell betroffenen Einheiten anzureichern.
  2. Verwenden Sie Qualys VM – List Scans, um die neuesten Scanergebnisse für die Netzwerkgeräte abzurufen.
  3. Stellen Sie fest, ob eines der Ergebnisse anfällig für den erkannten Ablauf ist.
  4. Sieh dir QualysVM_Download VM Scan Results_1 an. Der Platzhalter und der hinzugefügte Ausdrucksgenerator sollten angezeigt werden.

Platzhalter hinzufügen

So fügen Sie den Platzhalter hinzu:

  1. Klicken Sie auf [ ] Platzhalter. Das Dialogfeld Platzhalter einfügen wird angezeigt.
  2. Wählen Sie Playbook > QualysVM_list_Scans_1_JSONResult aus.
  3. Klicken Sie auf das Symbol Ausdrucks-Generator. Die Seite „Ausdrucks-Generator“ wird angezeigt.
  4. Fügen Sie dem Feld Ausdruck Folgendes hinzu: In den Ausdrücken wird MAX verwendet, um das neueste Ergebnis nach Datum LAUNCH_DATETIME abzurufen. Anschließend wird die spezifische Scan-ID des relevanten Scans extrahiert, wobei REF die Scan-ID ist.
    Beispiel: | max(LAUNCH_DATETIME) | REF
  5. Klicken Sie auf Ausführen. Die erwarteten Ergebnisse sollten angezeigt werden.
  6. Klicken Sie auf Einfügen, um den Ausdrucksgenerator in den Platzhalter einzufügen.
  7. Klicken Sie auf Aktion > Listenvorgänge, um CVEs aus den Fällen und dem Ausdrucksgenerator aufzurufen.
  8. Sobald das Playbook in Echtzeit ausgelöst wird, können Sie die Scanergebnisse im Seitenbereich sehen, einschließlich des spezifischen Scans als PDF-Datei.

Anwendungsfall: Zu viele fehlgeschlagene Anmeldeversuche

In diesem Anwendungsfall werden fehlgeschlagene Anmeldeversuche behandelt, indem Entitätsdaten angereichert werden, um den Schweregrad von Benachrichtigungen zu bestimmen. Ziel ist es, schnell die Abteilung des Nutzers und das Datum der letzten Passwortänderung zu finden.

  1. Beginnen Sie mit der Aktion ActiveDirectory_Enrich-Entitäten, um detaillierte Informationen zu allen internen Entitäten zu erhalten, die mit der Benachrichtigung verknüpft sind.
  2. Verwenden Sie in der nachfolgenden Insight-Nachricht den Ausdrucks-Generator, um den Zielnutzer und seine letzte Anmeldezeit zu extrahieren.

Platzhalter hinzufügen

So fügen Sie diese Platzhalter hinzu:

  1. Klicken Sie im Feld Nachricht auf [ ] Platzhalter.
  2. Klicken Sie auf der Seite Platzhalter einfügen neben ActiveDirectory_Enrich entities_JSONResult auf das Symbol für den Ausdruckseditor.
  3. Fügen Sie dem Feld „Ausdruck“ Folgendes hinzu: Dadurch wird die Entitäts-ID ausgewählt. Wenn mehr als ein Element Ergebnisse zurückgegeben hat, erhalten wir sie als kommagetrennte Liste.
    | Entität
  4. Klicken Sie auf Ausführen. Das Beispielergebnis wird angezeigt. In diesem Fall user@domain.com.
  5. Klicken Sie auf Einfügen, um diese als Teil Ihrer Platzhalternachricht zu verwenden. Fügen Sie Ihrer Nachricht den relevanten Freitext hinzu.
  6. Klicken Sie auf [ ] Platzhalter und dann neben ActiveDirectory_Enrich entities_JSONResult auf das Symbol für den Ausdrucksgenerator.
  7. Fügen Sie den folgenden Ausdruck hinzu. Hier wird der Zeitpunkt der letzten Anmeldung des angegebenen Nutzers erfasst. | EntityResult.lastLogon
  8. Klicken Sie auf Einfügen und dann auf Speichern.
  9. Sobald das Playbook in Echtzeit ausgelöst wird, wird im Bereich „Insight“ eine Nachricht mit dem Nutzernamen und der letzten Anmeldung angezeigt.

Anwendungsfall: VirusTotal-Hash-Analyse

In diesem Anwendungsfall wird gezeigt, wie Sie den Ruf eines Dateihashs aus einer bestimmten Scan-Engine wie Kaspersky extrahieren, um festzustellen, ob die Datei schädlich ist, und eine entsprechende Entität erstellen.

  • Verwenden Sie die Aktion VirusTotal_Scan Hash, um den Dateibericht abzurufen.

Mit der nachfolgenden Aktion Siemplify_Create oder Update Entity Properties wird basierend auf den Scanergebnissen ein Entitätsattribut wie Detected by Kaspersky erstellt oder geändert.

So fügen Sie diesen Platzhalter hinzu:

  1. Klicken Sie im Feld „Feldwert“ auf [] Platzhalter.
  2. Klicken Sie auf der Seite Platzhalter einfügen neben VirusTotal_ScanHash_JSONResult auf das Symbol Ausdrucks-Generator.
  3. Fügen Sie den folgenden Ausdruck hinzu:
    | filter(EntityResult.scans.Kaspersky.detected, "=", "true") | Entity

    Wenn wir mehr als einen Hash gescannt haben, werden die Ergebnisse nach allen Entitätsobjekten gefiltert, die von Kaspersky als schädlich gekennzeichnet wurden, und es wird nur der Entitätsname zurückgegeben.

  4. Klicken Sie auf Einfügen > Speichern. Die Ergebnisse werden zur Laufzeit angezeigt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten