管理支持请求

支持范围：

本文档概述了您可以对案例执行的各种操作，包括更新其状态或优先级、管理关联的提醒、生成报告，以及执行单个或批量操作以简化案例处理流程。

将支持请求标记为重要

如果您想突出显示某个支持请求，可以将其标记为重要。您还可以从同一菜单中移除重要标记。

如需将支持请求标记为重要，请按以下步骤操作：

  • 点击 format_list_bulleted 支持请求操作，选择要标记的支持请求，然后选择标记为重要；该支持请求旁边会显示一个黄色 arrow_drop_up。

将支持请求标记为突发事件

如果您被分配的支持请求很紧急，需要立即采取行动，请将其标记为突发事件。此操作会自动：

  • 将支持请求优先级设置为紧急
  • 将案例阶段更改为突发事件
  • 将支持请求分配给 SOC 经理
  • 向所有分析师发送通知

如需将案例标记为突发事件，请按以下步骤操作：

  1. 在支持请求页面上，前往相关支持请求。
  2. 点击 format_list_bulleted 支持请求操作，然后选择突发事件。
  3. 在确认对话框中，点击是。页面会刷新，新突发事件会显示在支持请求列表中，并带有突发事件图标和红色严重边栏。系统会自动将该案例分配给具有 SOC 经理角色的用户。

更改案例阶段

如果您被分配了支持请求，则可以根据团队的工作流程更新其阶段。

如需更改支持请求阶段，请按以下步骤操作：

  1. 从队列中选择一个支持请求。
  2. 点击 format_list_bulleted 支持请求操作，然后选择阶段。
  3. 选择以下阶段之一：
    • 初审：创建支持请求时的初始阶段。这是默认设置。
    • 评估：支持请求已上报到下一层级进行评估。
    • 调查：系统会为案例分配对提醒和实体的活跃调查。
    • 改进：标记该案例，以便优化 SOC 检测规则或进行后续审核。
    • 研究：系统会分配支持请求，以深入调查贵组织的外部访问或威胁行为。
    • 突发事件：严重事件的最终支持请求阶段。选择突发事件后，您将无法更改。
  4. 点击保存。

更改支持请求优先级

如需更改支持请求优先级，请按以下步骤操作：

  1. 从队列中选择一个支持请求。
  2. 点击 format_list_bulleted 支持请求操作，然后选择优先级。
  3. 选择以下级别之一，每个级别都有对应的支持请求颜色指示器：
    • 参考（灰色）
    • 低（蓝色）
    • 中（黄色）
    • 高（橙色）
    • 严重（红色）
  4. 点击确定。案例优先级已更改。
  5. 可选：点击色样可更改案例条颜色。

下载支持请求报告

您可以下载 DOC、XLSX 或 CSV 格式的支持请求报告。报告包含以下详细信息：

  • 支持请求详情
  • 提醒、实体和数据洞见
  • 用户和系统活动
  • Playbook 操作和案例活动
  • 案例墙中包含的所有条目

如需下载报告，请按以下步骤操作：

  1. 从队列中选择一个支持请求。
  2. 点击 format_list_bulleted 支持请求操作，然后选择报告。
  3. 在选择报告类型对话框中，选择文件类型，然后点击选择。
  4. 打开下载的文件即可查看报告。

管理案例中的提醒

如需管理案例中的特定提醒，请执行以下操作：

  1. 在提醒选项菜单（位于旧版体验中的提醒标签页上，或增强版体验中的提醒详情抽屉式导航栏/画布中）上，点击 more_vert 提醒选项。
  2. 选择一个可用选项：
    • 探索提醒：如需详细了解提醒结果页面，请点击调查提醒。
    • 将提醒作为测试用例注入：点击将提醒作为测试用例注入，向系统添加新的测试用例。系统会将其标记为测试用例，以便识别。提取的提醒会从信息中心和报告中排除，并且不会与其他提醒归为一组。
    • 更改优先级：我们建议您更改提醒优先级，而不是支持请求优先级。更改提醒优先级不会影响案例的优先级。如需了解详情，请参阅更改提醒优先级，而不是支持请求优先级。
    • 移动提醒：如果您被分配了包含多个提醒的案例，则可以将提醒移至新案例或将提醒移至现有案例。如果您选择将提醒移至现有案例中，请从菜单中选择目标案例，然后点击移动。
    • 管理提醒检测规则：仅适用于 Google Security Operations 用户。
      • 如果该规则是预定义的 Google SecOps 规则，系统会将您重定向到规则检测页面。如需了解详情，请参阅在“规则检测”视图中过滤数据。
      • 如果该规则是客户规则，系统会将您重定向到规则编辑器页面。如需了解详情，请参阅使用规则编辑器管理规则。
      • 关闭提醒：关闭案例中的提醒。从原因、根本原因或实用性字段中选择一个值。
        • 实用性字段仅对 Google SecOps 用户显示，可帮助规则分析师根据客户输入获得有关提醒规则的更精确反馈。
        • 案例中已关闭的提醒会显示为不可用，并带有已关闭标记。只有在案例中存在其他提醒且该案例已分配给您时，您才能关闭提醒。
      • 添加实体：手动向提醒添加现有实体或新实体。

在案例中执行手动操作

从 Content Hub 安装相应的集成后，即可使用手动操作和 playbook 操作。

如需在案例中运行手动操作，请按以下步骤操作：

  1. 在所选支持请求中，点击 manualactionicon 手动操作。
  2. 在手动操作对话框中，选择所需的操作。例如，依次选择 VirusTotalV3 > Enrich URL。输入所需信息。
  3. 选择要应用该操作的提醒和实体。
  4. 点击执行，在案例墙上显示操作详情。

在 Google SecOps 中模拟案例

您可以模拟一个填充了系统生成的默认提醒的案例。模拟案例在预演环境或演示中非常有用。

您还可以创建自定义用例，或使用后缀为 `.CASE` 的文件导入 JSON 格式的现有用例。

如需模拟案例，请按以下步骤操作：

  1. 在支持请求队列标题中，点击 添加支持请求，然后选择模拟支持请求。
  2. 在模拟用例对话框中，从列表中选择一个用例。
  3. 点击创建。

创建新支持请求

如需创建新的模拟支持请求，请按以下步骤操作：

  1. 在模拟用例对话框中，点击 添加或导入用例，然后点击添加新用例。
  2. 在添加新案例对话框中，输入来源/SIEM 名称、规则名称（规则生成器）、提醒产品、提醒名称、事件名称
  3. 您也可以视需要提供以下信息：
    • 更多提醒字段
    • 更多事件字段
  4. 点击保存。该案例会显示在模拟案例列表中。
  5. 选择新创建的用例，然后点击创建。
  6. 选择目标环境，然后点击模拟。新支持请求会显示在队列中。

将案例导入到 JSON 文件

如需将案例导入 JSON 文件，请按以下步骤操作：

  1. 在模拟案例对话框中，点击 添加或导入案例，然后点击导入案例。
  2. 选择所需支持请求，然后点击打开。该案例以 JSON 格式导入。

对多个支持请求执行批量操作

您可以在支持请求队列或搜索页面中对多个支持请求执行批量操作。

可用的批量操作包括：

  • 导出为 CSV：以 CSV 格式下载所选支持请求及其元数据的列表，以便离线查看或报告。
  • 关闭支持请求：您可以使用各种界面选项关闭支持请求，包括支持请求详情页面、支持请求队列（并排视图和列表视图）以及“搜索”页面。问题解决后，您可以关闭支持请求。
  • 重新打开支持请求：重新打开之前已关闭的支持请求，以继续调查或采取后续行动。
  • 更改优先级：更新所选支持请求的优先级（低、中、高或严重），以反映紧急程度或严重程度。
  • 分配案例：将案例分配给特定用户或群组，以便进一步调查。
  • 添加标记：为所选支持请求添加一个或多个标记，以便支持过滤、分类或自动规则。
  • 合并案例：将多个相关案例合并为一个案例，以减少重复并集中调查。
  • 更改阶段：更新所选支持请求的阶段，以反映其进度或状态。

如需执行批量操作，请按以下步骤操作：

  1. 前往调查，然后点击 SOAR 搜索（或前往案例页面上的案例队列）。
  2. 选择相关支持请求的时间范围。
  3. 使用所需过滤条件选择支持请求。
  4. 选中相应复选框以应用相关过滤条件 > 应用。
  5. 在结果列表中，选中要修改的支持请求对应的复选框。
  6. 从搜索结果菜单中选择一项操作。

快速操作

借助快速操作 widget，您可以定义可重复使用的操作，并直接从案例和提醒中执行这些操作。在旧版和增强版体验中，您都可以将此 widget 添加到案例视图、提醒视图和 playbook 中的自定义提醒视图。

为快速操作定义参数是可选的。如果提供了这些参数，您可以在执行前查看和修改它们。如果留空，则必须在运行时填写参数。

如果在配置快速操作后移除了集成，则相应的快速操作按钮会被隐藏，并且该 widget 会在配置视图中被标记，以指示缺少集成。

如需了解设置说明，请参阅以下内容：

应用场景：配置快速操作以调查恶意文件

此用例展示了如何创建快速操作，以帮助调查案例中可能存在的恶意文件。

添加“快速操作”widget

  1. 前往设置 > 调查 > 视图。
  2. 选择默认案例视图。
  3. 选择常规标签页。
  4. 将快速操作 widget 拖动到默认案例视图中。

配置微件

  1. 点击设置 配置。
  2. 在快速操作侧边栏中，输入 File Investigation 作为 widget 标题。
  3. 对于微件说明，请输入 Quickly scan file hashes.
  4. 可选：选择微件宽度。
  5. 点击高级设置。
  6. 在条件部分中，定义显示 widget 的条件。如需仅在案例带有 malicious-file 标记时显示该 widget，请使用条件 Case.Tags 包含 malicious-file。

添加“扫描哈希”按钮

  1. 在文本中，您可以直接在微件中提供说明或上下文。对于此应用场景，请添加以下文本：Use the 'Scan Hash' button to check suspicious files.
  2. 在按钮中，点击 + 添加新按钮以创建新的快速操作。您最多可以添加 6 个按钮，每个按钮对应一个不同的快速操作。
  3. 在随即显示的添加按钮对话框中，配置快速操作 (Scan Hash)：
    • 名称：扫描哈希
    • 按钮颜色：选择一种颜色。
    • 操作：从操作列表的“VirusTotal”部分中选择扫描哈希。
    • 可选：为 VirusTotal 选择相关的实例。
    • 可选：在参数中，定义哈希参数：
      哈希：[Case.FileHash]
  4. 在添加按钮对话框中，点击关闭。
  5. 在快速操作侧边抽屉式导航栏中，点击保存。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。