使用 playbook 区块

支持的平台：

块本质上是可重复使用的小型 playbook，可让您在多个 playbook 中实现常见的工作流和逻辑决策。这种可重用性可提高维护和改进效率，因为对某个模块的任何修改或更改都会自动影响包含该模块的所有剧本。

您可以在代码块中配置输入参数字段，以便在其他 playbook 中使用这些字段时调整其内部操作流程。代码块还可以向父 playbook 返回输出值，从而支持在大型工作流中实现动态互动和条件逻辑。

准备工作

在创建 playbook 块之前，建议您花时间规划出您预计会在父 playbook 中重复使用的特定流程。此外，还要考虑需要配置哪些输入字段才能使这些块灵活且可适应。

添加新块

此示例创建了一个用于管理 SOC 与其客户之间通信的块。

如需添加新代码块，请执行以下操作：

  1. 在 Playbook 页面上，点击 添加，选择文件夹和环境，然后点击创建。 我们建议管理员用户点击所有环境。
  2. 输入新 playbook 块的名称。
  3. 添加输入：
    1. 选择输入。
    2. 点击 添加，然后输入输入名称和值字段。您可以根据需要添加任意数量的字段。
  4. 您将使用以下输入来控制此块的流程：
    1. 通信类型：需要审批（这是两种已定义的类型之一；另一种是调查）。
    2. 沟通方式：电子邮件。
    3. Additional Message（附加消息）：留空。
  5. 如果您向这些字段添加值，这些值将作为默认设置。虽然这些默认值是在您配置块时确定的，但一旦将块插入父 playbook 中，您就可以针对每个单独的块实例修改这些默认值。此方法支持自适应和动态工作流。

为输入类型配置流程步骤

向代码块添加流程步骤。此步骤会创建不同的分支，让 playbook 根据您输入的输入类型遵循特定路径。您将使用占位符来获取调查和需要审批输入类型。

分支 1：需要审批（默认）

此分支处理 Require Approval 输入类型，是您的默认分支。

  1. 配置需要审批条件以启动此分支。
  2. 在操作列中，依次选择电子邮件 > 发送电子邮件，然后输入必需的参数以发送电子邮件。此电子邮件通常会请求用户批准安全分析师修复其计算机。
  3. 依次选择流程 > 条件，然后输入所需参数，以确认客户是否已批准请求。
  4. 输出（已批准路径）：在此条件的已批准路径的输出步骤中，添加 Approved。此值将返回给父块。
  5. 输出（Else 分支 - 未获批准）：在 Else 分支的输出步骤（客户对审批请求做出了否定回答）中，在输出框中添加未获批准。

分支 2：调查

此分支定义了 Investigate 输入类型的操作。

  1. 在操作列中，依次选择电子邮件 > 发送电子邮件，然后填写必需的参数。为附加消息添加占位符。如果您在父 playbook 中将类型更改为调查，请在输入其他消息字段中输入消息。
  2. 依次选择 Siemplify > Assign Case，将支持请求分配给客户。此操作会指示其一级分析师审核相应事件，从而将初始调查责任转移给他们。
  3. 依次选择 Siemplify > 更改支持请求阶段。此步骤假设客户已确认正在积极调查，因此将支持请求阶段更改为调查。
  4. 依次选择 Siemplify > 分配支持请求。此步骤假设客户已完成调查，并已请求 SOC 收回相应支持请求的所有权。
  5. 依次选择 Siemplify > 更改支持请求阶段。 此步骤会将支持请求阶段从调查更改为评估，以便 SOC 继续处理支持请求。
  6. 在“输出”步骤中，添加字词 Investigation Completed 以返回到父 playbook。

此代码块现已配置条件逻辑，您可以将其插入各种父 playbook 中，并根据通信类型输入调整其行为。

插入现有块

如需插入现有代码块，请执行以下操作：

  1. 在 Playbook 页面上，点击添加步骤。
  2. 在步骤选择框中，选择块部分。
  3. 将所需模块拖动到剧本的中心。 

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。