将示例集成与 Google SecOps 集成

本文档是一份全面的集成示例指南，展示了为 Google Security Operations (Google SecOps) 构建操作、连接器和作业的常见设计模式。

集成参数

示例集成需要以下参数：

参数	说明
API Root	必填。 集成实例的 API 根。 在此示例中，VAT Comply 服务用于集成，API 根为 api.vatcomply.com。 默认值为 http://api.vatcomply.com。
Password Field	可选。 API 密码字段示例。 此参数仅用于演示目的，API 不需要此参数进行身份验证。 默认值为 Google SecOps。
Verify SSL	必填。 如果选中，该操作会验证 API 服务器的 SSL 证书。 默认处于选中状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

Ping

使用 Ping 操作测试与集成的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果。	可用

输出消息

Ping 操作可能会返回以下输出消息：

输出消息	消息说明
Successfully connected to the API Service server with the provided connection parameters!	操作成功。
Failed to connect to the API Service server! Error is ERROR_REASON	操作失败。 请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

简单操作示例

这是 Google SecOps 中基本操作的一个示例。

此操作会根据提供的参数从 api.vatcomply.com 服务中提取数据。

注意： 此操作不是异步操作。

此操作不会在 Google SecOps 实体上运行。

操作输入

参数	说明
Currencies String	这是一个接受逗号分隔列表的参数示例。 可选。 要处理的货币逗号分隔列表。 默认值为 USD, EUR。
Currencies DDL	这是一个接受下拉列表值的参数示例。 可选。 要处理的币种的下拉列表。 默认值为 Select One。 可能的值包括： Select One USD EUR CAD
Time Frame	可选。 结果的时间范围。 默认值为 Today。 可能的值包括： Today Last 7 Days Custom 如果您选择 Custom，则还必须为 Start Time 参数提供值。
Start Time	可选。 结果的开始时间，采用 ISO 8601 格式。 如果您为 Time Frame 参数选择 Custom，则此参数是必需的。 Start Time 与 End Time 之间的时间跨度不能超过 7 天。 该操作仅使用时间戳的日期部分。
End Time	可选。 结果的结束时间（采用 ISO 8601 格式）。 如果您为 Time Frame 选择 Custom 且未提供值，则该操作会使用当前时间。 Start Time 与 End Time 之间的时间跨度不能超过 7 天。 该操作仅使用时间戳的日期部分。
Return JSON Result	这是一个布尔值输入示例。 可选。 如果启用，该操作会返回 JSON 结果。 默认处于选中状态。

操作输出

搜索图表操作会提供以下输出：

操作输出类型	可用性
案例墙附件	可用
案例墙链接	可用
案例墙表格	可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

案例墙链接

该操作会返回以下链接：

• 币种：https://www.vatcomply.com/currencies/BASE_CURRENCY/date/DATE

案例墙表格

该操作会为每个 API 响应提供下表：

表名称：Currency: {base} - {date}

表列：

• 币种 (rate.keyname)
• 值 (rate.keyname.value)

JSON 结果

以下示例展示了使用该操作时收到的 JSON 结果输出：

[
   {
       "date": "2000-03-03",
       "exchange_rates": [
           {
               "base": "USD",
               "rates": {
                   "EUR": 1.035303861683404,
                   "USD": 1.0,
                   "JPY": 107.8476032715602,
                   "CYP": 0.5955481933947614,
                   "CZK": 36.87752355316285,
                   "DKK": 7.711357283362667,
                   "EEK": 16.19898540221555,
                   "GBP": 0.6332953721917383,
                   "HUF": 265.60720571487735,
                   "LTL": 4.001035303861683,
                   "LVL": 0.5954032508541256,
                   "MTL": 0.4235428098146806,
                   "PLN": 4.125168236877524,
                   "ROL": 18961.590226731547,
                   "SEK": 8.769023708458434,
                   "SIT": 209.5625841184388,
                   "SKK": 43.26845429133451,
                   "CHF": 1.6630085930220522,
                   "ISK": 73.39269075473652,
                   "NOK": 8.369396417848638,
                   "TRL": 574745.8329019567,
                   "AUD": 1.647479035096801,
                   "CAD": 1.454705456051351,
                   "HKD": 7.782379128274149,
                   "KRW": 1119.9503054146392,
                   "NZD": 2.0485557511129517,
                   "SGD": 1.7232632777720263,
                   "ZAR": 6.4730303344031475
               }
           },
           {
               "base": "EUR",
               "rates": {
                   "EUR": 1.0,
                   "USD": 0.9659,
                   "JPY": 104.17,
                   "CYP": 0.57524,
                   "CZK": 35.62,
                   "DKK": 7.4484,
                   "EEK": 15.6466,
                   "GBP": 0.6117,
                   "HUF": 256.55,
                   "LTL": 3.8646,
                   "LVL": 0.5751,
                   "MTL": 0.4091,
                   "PLN": 3.9845,
                   "ROL": 18315.0,
                   "SEK": 8.47,
                   "SIT": 202.4165,
                   "SKK": 41.793,
                   "CHF": 1.6063,
                   "ISK": 70.89,
                   "NOK": 8.084,
                   "TRL": 555147.0,
                   "AUD": 1.5913,
                   "CAD": 1.4051,
                   "HKD": 7.517,
                   "KRW": 1081.76,
                   "NZD": 1.9787,
                   "SGD": 1.6645,
                   "ZAR": 6.2523
               }
           }
       ]
   }
]

输出消息

该操作可能会返回以下输出消息：

输出消息	消息说明
Successfully returned information about the following currencies from START_TIME to END_TIME: "CURRENCIES"	操作成功。
Error executing action "ACTION_NAME". Reason: ERROR_REASON	操作失败。 请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用该操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

“丰富实体”操作示例

这是一个可与 Google SecOps 中的实体搭配使用并丰富这些实体的操作示例。

此操作会对参数 Entity Type 中提供的所有 Google SecOps 实体运行。

注意： 这不是异步操作。

操作输入

丰富实体操作需要以下参数：

参数	说明
Entity Type	必填。 要处理的提醒范围内的实体。 默认值为 All Entities。 可能的值包括： IP Hash User

操作输出

Enrich Entity 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
实体丰富化表	可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

实体丰富化表

Enrich Entity 操作支持对实体进行以下丰富：

扩充项字段	来源（JSON 密钥）	适用性
SampleIntegration_enriched	true	当 JSON 结果中提供时。
SampleIntegration_timestamp	timestamp	当 JSON 结果中提供时。

JSON 结果

以下示例展示了使用丰富实体操作时收到的 JSON 结果输出：

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "enriched": "true",
           "timestamp": "12123213123"
       }
   ]
}

输出消息

Enrich Entity 操作可能会返回以下输出消息：

输出消息	消息说明
Successfully enriched the following entities: ENTITIES	操作成功。
No eligible entities were found in the scope of the alert.	操作失败。 请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用丰富实体操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

异步操作示例

这是 Google SecOps 中异步操作的一个示例。

在达到超时时间或案例具有 Case Tag To Wait For 参数中指定的标记之前，该操作不会完成执行。

此操作不会在 Google SecOps 实体上运行。

注意： 这是一项异步操作。

操作输入

Async 操作需要以下参数：

参数	说明
Case IDs	可选。 要处理的用例的逗号分隔列表。 如果未提供任何内容，则操作会使用执行操作时所用的支持请求 ID。
Case Tag To Wait For	必填。 该操作会等待案例被标记为此值，然后才会完成执行。

操作输出

Async 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
实体丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用 Async 操作时收到的 JSON 结果输出：

[{
   "case_id": "123",
   "tags": ["Async"]
}, {
   "case_id": "123",
   "tags": ["Async"]
},]

输出消息

Async 操作可能会返回以下输出消息：

输出消息	消息说明
The following cases have tag TAG: CASE_ID	操作成功。
Error executing action "Async Action Example". Reason: ERROR_REASON	操作失败。 请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Async 操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

注意：为防止数据丢失，连接器会使用事件扁平化。如果原始提醒包含实体列表（例如多个电子邮件地址、主机名或 IP 地址），连接器会自动将其扁平化为单独的唯一事件。

例如，包含三个不同电子邮件地址的单个原始提醒会作为三个单独的事件提取，每个事件包含一个不同的电子邮件地址。

此过程可确保每个实体都作为唯一资产正确编入索引，从而使其在 playbook 中完全可搜索和可操作。

示例集成 - 简单连接器示例

使用集成示例 - 简单连接器示例从 api.vatcomply.com 服务中检索汇率和其他数据。

如需使用动态列表，请使用 alert_type 参数。

连接器输入

Google Threat Intelligence - DTM Alerts Connector 需要以下参数：

参数	说明
Product Field Name	必填。 存储商品名称的字段的名称。 商品名称主要影响映射。为了简化和改进连接器的映射过程，默认值会解析为代码中引用的后备值。默认情况下，此参数的任何无效输入都会解析为回退值。 默认值为 Product Name。
Event Field Name	必需。 决定事件名称（子类型）的字段名称。 默认值为 event_type。
Environment Field Name	可选。 存储环境名称的字段的名称。 如果缺少环境字段，连接器将使用默认值。 默认值为 ""。
Environment Regex Pattern	可选。 要对 Environment Field Name 字段中找到的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。 使用默认值 .* 检索所需的原始 Environment Field Name 值。 如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
Script Timeout (Seconds)	必填。 运行当前脚本的 Python 进程的超时限制（以秒为单位）。 默认值为 180。
API Root	必填。 集成实例的 API 根。 在此示例中，[VAT Comply](https://www.vatcomply.com/) 服务用于集成，API 根为 `api.vatcomply.com`。 默认值为 http://api.vatcomply.com。
Password Field	可选。 API 密码字段示例。 此参数仅用于演示目的，API 不需要此参数进行身份验证。 默认值为 Google SecOps。
Currencies To Fetch	可选。 要检索的货币汇率。 默认值为 USD, EUR。
Create Alert Per Exchange Rate	可选。 如果启用，连接器会为每个汇率创建单独的提醒。
Alert Severity	可选。 提醒的严重级别。 可能的值包括： Critical High Medium Low Informational 默认值为 Informational。
Add Attachment	可选。 如果启用，连接器会向提醒添加 JSON 对象。 默认值为 True。
Max Days Backwards	必填。 要检索多少天前的提醒。 最大值为 30。 默认值为 1。
Max Alerts To Fetch	必填。 每次连接器迭代要处理的提醒数量。 默认值为 3。
Use dynamic list as a blocklist	必填。 如果选中，连接器会将动态列表用作屏蔽名单。 默认情况下不选择。
Disable Overflow	可选。 如果选中，连接器会忽略 Google SecOps 溢出机制。 默认处于选中状态。
Verify SSL	必填。 如果选中，该操作会验证 API 服务器的 SSL 证书。 默认处于选中状态。
Proxy Server Address	可选。 要使用的代理服务器的地址。
Proxy Username	可选。 用于进行身份验证的代理用户名。
Proxy Password	可选。 用于进行身份验证的代理密码。

作业

示例集成允许使用以下作业：

• 简单作业示例

简单作业示例

使用简单作业示例作业自动管理案例。

此作业有两个主要功能：

• 如果支持请求带有 Closed 标记，则将其关闭。

• 如果支持请求带有 Currency 标记，则向其添加评论。

作业输入

如需配置此作业，请使用以下参数：

参数
API Root	必填。 集成实例的 API 根。 在此示例中，[VAT Comply](https://www.vatcomply.com/) 服务用于集成，API 根为 `api.vatcomply.com`。 默认值为 http://api.vatcomply.com。
Password Field	可选。 API 密码字段示例。 此参数仅用于演示目的，API 不需要此参数进行身份验证。 默认值为 Google SecOps。
Verify SSL	必填。 如果选中，该操作会验证 API 服务器的 SSL 证书。 默认处于选中状态。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。