将 Siemplify 与 Google SecOps 集成

本文档介绍了如何将 Siemplify 与 Google Security Operations (Google SecOps) 集成。

使用场景

Siemplify 集成可满足以下使用场景：

  • 网络钓鱼调查：使用 Google SecOps 功能自动执行以下流程：分析网络钓鱼电子邮件、提取安全违规线索 (IOC)，并使用威胁情报丰富这些线索。

  • 恶意软件遏制：使用 Google SecOps 功能在检测到恶意软件后自动隔离受感染的端点、启动扫描并隔离恶意文件。

  • 漏洞管理：利用 Google SecOps 功能编排漏洞扫描，根据风险确定漏洞的优先级，并自动创建补救工单。

  • 威胁搜寻：使用 Google SecOps 功能自动在各种安全工具和数据集中运行威胁搜寻查询。

  • 安全提醒分类：使用 Google SecOps 功能自动为安全提醒添加背景信息，将它们与其他事件相关联，并根据严重程度确定优先级。

  • 突发事件响应：使用 Google SecOps 功能来协调整个突发事件响应流程，从初始检测到遏制和根除。

  • 合规性报告：利用 Google SecOps 功能自动收集和分析安全数据，以生成合规性报告。

准备工作

此集成提供原生平台功能，不需要外部第三方 API 密钥或凭据进行身份验证。在开始之前，请确保已从 Google SecOps 实例中的内容中心安装集成。

集成参数

Siemplify 集成需要以下参数：

参数 说明
Monitors Mail Recipients

必填。

一个以英文逗号分隔的电子邮件地址列表，用于在集成与电子邮件相关的工作流中进行验证。

此列表用于定义处理的接收者。

默认值为 example@mail.com,example1@mail.com。
Elastic Server Address

必填。

用于连接到 Siemplify 数据库的 Elastic 服务器的地址。

这通常是运行 Elastic 实例的宿主机地址。

默认值为 localhost。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作台页面中处理待处理的操作和执行人工处置措施。

添加实体分析洞见

使用 Add Entity Insight 操作在 Siemplify 中向 Google SecOps 实体添加数据洞见。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加实体数据洞见操作需要以下参数：

参数 说明
Message

必填。

要添加到实体中的消息。

此参数支持 HTML 元素，例如：

  • 标题（<h1></h1>、<h2></h2>）
  • 段落 (<p></p>)
  • 设置文本格式（<b></b>、<i></i>、<br>）
  • 链接（<a href="example.com"></a>）。

操作输出

添加实体数据分析操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加实体分析操作可以返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE to ENTITY_ID.

 操作成功。
Error executing action "Add Entity Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Add Entity Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

添加常规分析洞见

使用添加一般性数据分析操作向支持请求添加一般性数据分析。

此操作不适用于 Google SecOps 实体。

操作输入

添加常规数据洞见操作需要以下参数：

参数 说明
Title

必填。

数据分析的标题。
Message

必填。

要添加到实体中的消息。

此参数支持 HTML 元素，例如：

  • 标题（<h1></h1>、<h2></h2>）
  • 段落 (<p></p>)
  • 设置文本格式（<b></b>、<i></i>、<br>）
  • 链接（<a href="example.com"></a>）。
Triggered By

可选。

一个自由文本字段，用于提供有关数据分析的理由，说明为何将其添加到支持请求中。

操作输出

添加一般数据分析操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加常规数据分析操作可以返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE.

 操作成功。
Error executing action "Add General Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Add General Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

向类似支持请求添加标记

使用向类似支持请求添加标记操作向类似支持请求添加标记。

为了查找类似的支持请求，该操作使用 siemplify.get_similar_cases() 函数根据一组条件和参数检索支持请求 ID 列表。

逻辑 AND 运算符应用于 Rule Generator、Port、Category Outcome 和 Entity Identifier 参数，以过滤出符合所有指定条件的案例。

此操作不适用于 Google SecOps 实体。

操作输入

为类似支持请求添加标签操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选择此选项，该操作会使用规则生成器搜索类似的支持请求。

默认处于启用状态。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似的支持请求。

默认处于启用状态。
Category Outcome

可选。

如果选择此项，系统会使用类别结果来搜索类似的支持请求。

默认处于启用状态。
Entity Identifier

可选。

如果选择此项，该操作会使用实体标识符搜索类似的支持请求。

默认处于启用状态。
Days Back

必填。

在当前日期之前搜索类似情况的天数。
Tags

必填。

要应用于找到的类似支持请求的标记的逗号分隔列表。

操作输出

为类似支持请求添加标记操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

为类似支持请求添加标签操作可能会返回以下输出消息：

输出消息 消息说明

Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS

 操作成功。
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用向类似支持请求添加标签操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds 类似支持请求 ID 的列表。

添加到自定义列表

使用添加到自定义列表操作将实体标识符添加到分类的自定义列表，并在其他操作中执行未来的比较。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加到自定义列表操作需要以下参数：

参数 说明
Category

必填。

要将实体标识符添加到的自定义列表类别的名称。

操作输出

添加到自定义列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义列表操作可以返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.

 操作成功。
Error executing action "Add to Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用添加到自定义列表操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

分配案例

使用分配支持请求操作将支持请求分配给特定用户或用户群组。

此操作不适用于 Google SecOps 实体。

操作输入

分配支持请求操作需要以下参数：

参数 说明
Assigned User

可选。

要将支持请求分配给的用户或用户群组（接受 User 对象）。

如果同时提供了 Assigned User 和 Assignee，则操作会使用 Assigned User。
Assignee

可选。

要将支持请求分配给的用户或用户群组（接受字符串值）。

如果同时提供了 Assigned User 和 Assignee，则操作会使用 Assigned User。
Case ID

可选。

要更新的支持请求 ID 的英文逗号分隔列表。

如果未提供任何值，则该操作会更新执行该操作的支持请求。

操作输出

分配支持请求操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义列表操作可以返回以下输出消息：

输出消息 消息说明

Successfully updated case CASE_ID.

 操作成功。
Error executing action "Assign Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用分配支持请求操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

将 playbook 附加到提醒

使用将 playbook 附加到提醒操作，将特定 playbook 附加到提醒。

此操作不适用于 Google SecOps 实体。

操作输入

将 playbook 附加到提醒操作需要以下参数：

参数 说明
Playbook Name

必填。

要附加到当前提醒的 playbook 的名称。需要启用 playbook，操作才能成功。
Allow Duplicates

可选。

如果选中此选项，则可以将 playbook 多次附加到提醒。

默认处于启用状态。

操作输出

将 playbook 附加到提醒操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索图表操作可以返回以下输出消息：

输出消息 消息说明

Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.

 操作成功。
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用将剧本附加到提醒操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

支持请求评论

使用案例备注操作可向当前提醒所分组到的案例添加备注。

此操作不适用于 Google SecOps 实体。

操作输入

支持请求评论操作需要以下参数：

参数 说明
Comment

必填。

要添加到支持请求的评论。

操作输出

添加支持请求注释操作可提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

Comment added to case: CASE_COMMENT.

 操作成功。
Error executing action "Case Comment". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用支持请求备注操作时脚本结果输出的值：

脚本结果名称 值
SuccessStatus true 或 false

支持请求标记

使用 Case Tag 操作可向当前提醒所分组到的支持请求添加标签。

此操作不适用于 Google SecOps 实体。

操作输入

添加支持请求标记操作需要以下参数：

参数 说明
Tag

必填。

要添加到支持请求的标记。

如果提供了 Delimiter，则输入会根据分隔符进行拆分，并且会向问题添加多个标记。
Delimiter

可选。

用于拆分 Tag 值的分隔符。

如果未提供值，则不应用分隔符。

操作输出

添加案例标记操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用问题标记操作时收到的 JSON 结果输出：

{
   "added_tags": ["123", "321"]
}
输出消息

Case Tag操作可以返回以下输出消息：

输出消息 消息说明

Successfully added tags to the case CASE_ID.

 操作成功。
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用添加支持请求标记操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更改提醒优先级

使用更改提醒优先级操作可更新支持请求中的提醒优先级。

此操作不适用于 Google SecOps 实体。

操作输入

更改提醒优先级操作需要以下参数：

参数 说明
Alert Priority

必填。

提醒的新优先级。

如果提醒优先级更新为高于当前支持请求优先级，支持请求的优先级将自动更新为新的更高优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改提醒优先级操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

The alert priority was set to NEW_PRIORITY_LEVEL.

 操作成功。
Error executing action "Change Alert Priority". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改提醒优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改案例阶段

使用更改支持请求阶段操作更改支持请求阶段。

此操作不适用于 Google SecOps 实体。

操作输入

更改支持请求阶段操作需要以下参数：

参数 说明
Stage

必填。

要将支持请求移至的阶段。

可能的值如下：

  • Triage
  • Assessment
  • Investigation
  • Incident
  • Improvement
  • Research

操作输出

更改大小写阶段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

Case stage was successfully changed to NEW_CASE_STAGE.

 操作成功。
Error executing action "Change Case Stage". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改问题阶段操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改优先级

使用更改优先级操作来更改支持请求的优先级。

此操作不适用于 Google SecOps 实体。

操作输入

更改优先级操作需要以下参数：

参数 说明
Priority

必填。

要为支持请求设置的优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改优先级操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

更改优先级操作可以返回以下输出消息：

输出消息 消息说明

The case priority was set to NEW_CASE_PRIORITY

 操作成功。
Error executing action "Change Priority". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更改优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

关闭提醒

使用关闭提醒操作关闭提醒。

此操作不适用于 Google SecOps 实体。

操作输入

关闭提醒操作需要以下参数：

参数 说明
Reason

必填。

提醒关闭的主要分类。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

导致提醒的技术问题的详细说明。
Comment

必填。

备注、调查摘要或有关提醒关闭的其他背景信息。
Assign to User

可选。

在关闭提醒后要将提醒分配给的用户。
Tags

可选。

要附加到提醒的逗号分隔列表标记，用于分类、过滤和日后搜索。
Custom Fields

可选。

一个 JSON 对象，包含在关闭提醒时要更新的自定义字段。
Append Custom Field Values

可选。

如果选中，该操作会将提供的 JSON 值附加到现有的自定义字段。

如果未选择此选项，该操作会使用 JSON 对象中提供的值覆盖现有值。

默认情况下，该环境处于停用状态。

操作输出

关闭提醒操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON

 操作成功。
Error executing action "Close Alert". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用关闭提醒操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

关闭案例

使用关闭支持请求操作关闭支持请求。

此操作不适用于 Google SecOps 实体。

操作输入

关闭支持请求操作需要以下参数：

参数 说明
Reason

必填。

提醒关闭的主要分类。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

导致此提醒的技术问题的详细说明。
Comment

必填。

备注、调查摘要或有关提醒关闭的其他背景信息。
Custom Fields

可选。

一个 JSON 对象，包含在支持请求关闭时要更新的自定义字段。
Append Custom Field Values

可选。

如果选中，该操作会将提供的 JSON 值附加到现有的自定义字段。

如果未选择此选项，该操作会使用 JSON 对象中提供的值覆盖现有值。

默认情况下，该环境处于停用状态。

操作输出

关闭支持请求操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

The case was closed. Root Cause: ROOT_CAUSE Comment: REASON

 操作成功。
Error executing action "Close Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用关闭支持请求操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建实体

使用 Create Entity 操作创建新实体并将其添加到提醒中。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建实体操作需要以下参数：

参数 说明
Entities Identifies

必填。

要在相应情形下创建的实体标识符的逗号分隔列表，例如 VALUE1, VALUE2, VALUE3。
Delimiter

可选。

用于将 Entities Identifies 中的输入内容拆分为多个标识符的分隔符。

如果未提供任何值，该操作会将输入视为单个实体标识符。

默认值为 ,。
Entity Type

必填。

要创建的实体的类型，例如 HOST NAME、USER NAME 或 IP Set。
Is Internal

可选。

如果选择此操作，则会将实体标记为内部网络的一部分。

默认情况下未启用。
Is Suspicious

可选。

如果选择此操作，系统会将实体标记为可疑。

默认情况下未启用。

操作输出

创建实体操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建实体操作时收到的 JSON 结果输出：

[
    {
        "additional_properties": {
            "OriginalIdentifier": "ACCOUNT_ID"
        },
        "alert_identifier": "ACCESS DISABLED ACCOUNTS",
        "case_identifier": 7113,
        "creation_time": 0,
        "entity_type": "USERUNIQNAME",
        "identifier": "ACCOUNT_ID",
        "is_artifact": false,
        "is_enriched": false,
        "is_internal": false,
        "is_pivot": false,
        "is_suspicious": false,
        "is_vulnerable": false,
        "modification_time": 0
    }
]
输出消息

创建实体操作可以返回以下输出消息：

输出消息 消息说明

ENTITY_IDS created successfully.

 操作成功。
Error executing action "Create Entity". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Create Entity 操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建 Gemini 支持请求摘要

使用 Create Gemini Case Summary 操作创建新的 Gemini 支持请求摘要，并将其添加到提醒中。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

创建 Gemini 支持请求摘要操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建 Gemini 支持请求摘要操作时收到的 JSON 结果输出：

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}
输出消息

创建 Gemini 支持请求摘要操作可以返回以下输出消息：

输出消息 消息说明

Case summary generation completed.

 操作成功。
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用创建 Gemini 支持请求摘要操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

创建或更新实体属性

使用创建或更新实体属性操作可创建或更改实体范围内的实体属性。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建或更新实体属性操作需要以下参数：

参数 说明
Entity Field

必填。

要创建或更新的实体字段。
Field Value

必填。

指定实体字段的值。

操作输出

创建或更新实体属性操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

创建或更新实体属性操作可以返回以下输出消息：

输出消息 消息说明

Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.

 操作成功。
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用创建或更新实体属性操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

导出支持请求

使用导出支持请求操作可创建包含支持请求信息和附件的归档文件。

此操作不适用于 Google SecOps 实体。

操作输入

导出支持请求操作需要以下参数：

参数 说明
Export Method

可选。

相应操作的归档的目标位置和检索方法。

如果选择 Case Wall，系统会创建归档文件并将其放置在支持请求墙上。

可能的值如下：

  • Case Wall
  • File System

默认值为 Case Wall。
Fields To Export

可选。

要包含在导出中的支持服务请求字段的英文逗号分隔列表，例如 alertCards、tags 或 stageSlaExpirationUnixTimeInMs。

如果未提供值，则该操作会导出包含所有可用元数据的支持请求。
Include Attachments

可选。

如果选择此选项，相应操作会将附件包含在归档中。

默认处于启用状态。
Attachment Names

可选。

要包含在归档中的附件的英文逗号分隔列表。

如果未提供值，则该操作会导出所有附件，并且您必须启用 Include Attachments。

操作输出

导出支持请求操作会生成以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用导出支持请求操作时收到的 JSON 结果输出：

{
   "file_path": "/tmp/case_1_Default_Environment_1919191919.zip",
   "export_type": "case_wall/file_system"
}
输出消息

导出支持请求操作可能会返回以下输出消息：

输出消息 消息说明

Successfully exported case CASE_ID.

 操作成功。
Error executing action "Export Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用导出支持请求操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

接收支持请求提醒

使用 Get Case Alerts 操作可检索与指定支持请求相关的提醒。

此操作不适用于 Google SecOps 实体。

操作输入

获取支持请求提醒操作需要以下参数：

参数 说明
Case ID

必填。

一个以英文逗号分隔的案例 ID 列表，相应操作会检索与这些案例 ID 关联的提醒。
Alert ID

可选。

提醒 ID 的逗号分隔列表，用于限制返回的提醒。

此参数仅在 Case ID 包含值时使用。
Fields To Return

可选。

以英文逗号分隔的要在 JSON 结果中返回的字段列表。

如需检索嵌套值，请使用 Nested Keys Delimiter 链接嵌套键和列表索引。例如，如果分隔符为“.”： key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1

如果未提供值，则返回所有字段。
Nested Keys Delimiter

可选。

用于分隔嵌套键和列表索引的字符（在定义要返回的字段时）。

此参数不能是英文逗号 (,)。

获取支持请求详情

使用获取案例详情操作可获取案例中的所有数据（包括评论、实体信息、数据洞见、已运行的 playbook、提醒信息和事件）。

此操作不适用于 Google SecOps 实体。

操作输入

获取支持请求详情操作需要以下参数：

参数 说明
Case Id

可选。

要从中检索详细信息的支持请求的 ID。

如果未提供任何值，该操作将使用当前转化。
Fields to Return

可选。

要返回的字段的逗号分隔列表。

如果未提供任何内容，则返回所有字段。

您可以使用 Nested Keys Delimiter 参数分隔键和列表索引，以检索特定的嵌套值。
Nested Keys Delimiter

可选。

请求特定字段时用于分隔嵌套键的字符。这样，您就可以从嵌套对象中检索值。

分隔符不能是英文逗号(,)。

操作输出

获取支持请求详情操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取支持请求详情操作时收到的 JSON 结果输出：

{
    "id": 1001,
    "creationTimeUnixTimeInMs": 1749547533606,
    "modificationTimeUnixTimeInMs": 1750073142090,
    "name": "Security-Incident-Phishing-01",
    "isImportant": false,
    "isIncident": false,
    "startTimeUnixTimeInMs": 1749547529741,
    "endTimeUnixTimeInMs": 1749547529741,
    "assignedUser": "@Tier1_Analyst",
    "description": "Potential phishing email detected with suspicious attachment.",
    "isTestCase": false,
    "incidentId": null,
    "lastModifyingUserId": "secops_admin",
    "createTime": 1749547533606,
    "updateTime": 1750073142090,
    "alertCount": 1,
    "type": "External",
    "overflowCase": false,
    "status": "Opened",
    "score": 21,
    "involvedSuspiciousEntity": false,
    "workflowStatus": "Completed",
    "source": "Security_Server",
    "products": [],
    "tasks": [],
    "displayName": "Phishing email detector",
    "stage": "Triage",
    "priority": "PriorityLow",
    "important": false,
    "assignee": "@Tier1_Analyst",
    "incident": false,
    "environment": "Production Environment",
    "relatedAlerts": [],
    "tags": [
        "Phishing"
    ],
    "alertCards": [
        {
            "id": 1024,
            "creationTimeUnixTimeInMs": 1749547533634,
            "modificationTimeUnixTimeInMs": 1750073142082,
            "identifier": "alert-phish-778899",
            "status": 0,
            "name": "SUSPICIOUS PHISHING EMAIL",
            "priority": 40,
            "workflowsStatus": 2,
            "slaExpirationUnixTime": 1749547833634,
            "slaCriticalExpirationUnixTime": 1749547773634,
            "startTime": 1749547529741,
            "endTime": 1749547529741,
            "alertGroupIdentifier": "group-id-554433",
            "eventsCount": 1,
            "title": "SUSPICIOUS PHISHING EMAIL",
            "ruleGenerator": "Phishing email detector",
            "deviceProduct": "Phishing email detector",
            "deviceVendor": "Corporate Email Gateway",
            "playbookAttached": "Phishing Response Playbook",
            "playbookRunCount": 1,
            "isManualAlert": false,
            "sla": {
                "slaExpirationTime": 1749547833634,
                "criticalExpirationTime": 1749547773634,
                "expirationStatus": 0,
                "remainingTimeSinceLastPause": null
            },
            "fieldsGroups": [],
            "sourceUrl": null,
            "sourceRuleUrl": null,
            "siemAlertId": null,
            "relatedCases": [],
            "lastSourceUpdateUnixTimeInMs": null,
            "nestingDepth": 0,
            "eventCount": 1,
            "caseId": 1001,
            "createTime": 1750684686624,
            "updateTime": 1750684686949,
            "product": "Microsoft:AccessDisabledAccounts",
            "displayName": "ACCESS DISABLED ACCOUNTS",
            "vendor": "Microsoft",
            "environment": "Production Environment",
            "ticketId": "c4db60fa-b510-414a-a462-c3f215809f96",
            "sourceSystemName": "Cloud App Security",
            "manual": false,
            "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1750684684139\",\"Alert_Id\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"TicketId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"DisplayId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"StartTime\":\"1750684684139\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"d85ca9a7-58a7-4329-b615-ebe3dcfc6fd1\",\"EstimatedStartTime\":\"1750684684139\"}",
            "securityEventCards": [
                {
                    "fields": [
                        {
                            "order": 0,
                            "groupName": "Highlighted Fields",
                            "isIntegration": false,
                            "isHighlight": true,
                            "items": [
                                {
                                    "originalName": "DestinationHostName",
                                    "name": "Destination Host Name",
                                    "value": "WORKSTATION-01.LOCAL"
                                }
                            ]
                        }
                    ],
                    "identifier": "d7ab8656-c862-498c-a266-69718e46b1b7",
                    "caseId": 1001,
                    "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                    "name": "Virus found",
                    "product": "symantec:endpoint:protection",
                    "port": null,
                    "sourceSystemName": "ArcSight ESM",
                    "outcome": null,
                    "time": 1766566370354,
                    "type": "Virus found",
                    "artifactEntities": []
                }
            ],
            "involvedRelations": [],
            "sourceIdentifier": "GCP_Ingestion",
            "playbookStatus": 0
        }
    ],
    "isOverflowCase": false,
    "isManualCase": false,
    "slaExpirationUnixTime": 1749547833634,
    "slaCriticalExpirationUnixTime": 1749547773634,
    "stageSlaExpirationUnixTimeInMs": null,
    "stageSlaCriticalExpirationUnixTimeInMs": null,
    "canOpenIncident": false,
    "sla": {
        "slaExpirationTime": 1749547833634,
        "criticalExpirationTime": 1749547773634,
        "expirationStatus": 0,
        "remainingTimeSinceLastPause": null
    },
    "stageSla": {
        "slaExpirationTime": null,
        "criticalExpirationTime": null,
        "expirationStatus": 2,
        "remainingTimeSinceLastPause": null
    },
    "relatedAlertTicketId": null,
    "relatedAlertCards": [],
    "activities": [
        {
            "id": "Activity-Insight-16",
            "creatorUserId": "security_bot",
            "activityId": 16,
            "activityType": "CaseInsight",
            "caseId": 1001,
            "createTime": 1750068343993,
            "updateTime": 1750068343993,
            "alertIdentifier": "alert-phish-778899",
            "activityDataJson": {
                "TriggeredBy": "SecurityAutomator",
                "EntityIdentifier": "URGENT: ACTION REQUIRED ON SALARY",
                "EntityData": {
                    "CaseId": 1001,
                    "AlertIdentifier": "alert-phish-778899",
                    "AlertStatus": 0,
                    "Identifier": "URGENT: ACTION REQUIRED ON SALARY",
                    "EntityType": "EMAILSUBJECT",
                    "IsInternal": true,
                    "IsSuspicious": false,
                    "IsArtifact": true,
                    "IsPivot": false,
                    "Environment": "Production Environment",
                    "FieldsGroups": [
                        {
                            "Order": 0,
                            "GroupName": "Default",
                            "IsIntegration": false,
                            "IsHighlight": false,
                            "Items": [
                                {
                                    "OriginalName": "Network_Priority",
                                    "Name": "Network Priority",
                                    "Value": "0"
                                }
                            ]
                        }
                    ],
                    "HighlightedFieldsGroups": [],
                    "IsManuallyCreated": false,
                    "SourceUrl": null
                },
                "Title": "Phishing Subject Insight",
                "Content": "Detected unusual keywords in subject line.",
                "Severity": 0,
                "InsightType": 1,
                "AdditionalDataType": null,
                "AdditionalData": null,
                "AdditionalDataTitle": null,
                "AlertIdentifiers": [
                    "ALERT_PHISH_INSTANCE_ID_001"
                ],
                "EntityType": "EMAILSUBJECT",
                "CreatorUserId": "system",
                "CreatorFullName": "System Administrator",
                "Id": 16,
                "Type": 6,
                "CaseId": 1001,
                "IsFavorite": false,
                "ModificationTimeUnixTimeInMs": 1750068343993,
                "CreationTimeUnixTimeInMs": 1750068343993,
                "AlertIdentifier": "ALERT_PHISH_INSTANCE_ID_001"
            },
            "favorite": false
        }
    ],
    "entityCards": [
        {
            "identifier": "WORKSTATION-01.LOCAL",
            "type": "HOSTNAME",
            "suspicious": false,
            "linkedEntities": [
                {
                    "identifier": "192.168.1.50",
                    "type": "ADDRESS",
                    "suspicious": false,
                    "linkedEntities": [],
                    "direction": 0
                }
            ]
        }
    ],
    "entities": [
        {
            "caseId": 1001,
            "type": "FILEHASH",
            "enriched": false,
            "artifact": true,
            "vulnerable": false,
            "suspicious": false,
            "attacker": false,
            "pivot": false,
            "internal": true,
            "manuallyCreated": false,
            "fields": [
                {
                    "highlighted": false,
                    "displayName": "Default",
                    "hidden": false,
                    "items": [
                        {
                            "name": "Network Priority",
                            "originalName": "Network_Priority",
                            "value": "0"
                        }
                    ]
                }
            ],
            "identifier": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
            "id": 505,
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "environment": "Production Environment",
            "additionalProperties": "{\"Type\":\"FILEHASH\",\"IsArtifact\":\"True\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"IsVulnerable\":\"False\",\"IsInternalAsset\":\"False\",\"OriginalIdentifier\":\"e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855\"}",
            "alertGroupIdentifier": "group-id-virus-scan-results",
            "networkPriority": 0
        }
    ],
    "totalSize": 1,
    "moveEnvironment": {},
    "insights": [
        {
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "caseId": 1001,
            "triggeredBy": "Analyst_John",
            "title": "Endpoint Discovery",
            "content": "Host workstation matched known internal asset list.",
            "entity": {
                "caseId": 1001,
                "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                "alertStatus": 0,
                "identifier": "WORKSTATION-01.LOCAL",
                "entityType": "HOSTNAME",
                "isInternal": true,
                "isSuspicious": false,
                "isArtifact": false,
                "isPivot": false,
                "environment": "Production Environment",
                "highlightedFieldsGroups": [],
                "isManuallyCreated": false,
                "sourceUrl": null,
                "fields": [
                    {
                        "order": 0,
                        "groupName": "Entity",
                        "isIntegration": false,
                        "isHighlight": false,
                        "items": [
                            {
                                "originalName": "IsPivot",
                                "name": "Is Pivot",
                                "value": "False"
                            }
                        ]
                    }
                ]
            },
            "severity": 0,
            "type": 6,
            "additionalDataType": null,
            "additionalData": null,
            "additionalDataTitle": null,
            "creatorUserName": "analyst_admin",
            "entityIdentifier": "WORKSTATION-01.LOCAL",
            "insightType": 1,
            "alertIdentifiers": [
                "SECURITY_RISK_FOUND_ID_998877"
            ],
            "entityType": "HOSTNAME",
            "creatorUserId": "user_id_101",
            "id": 444,
            "isFavorite": false,
            "modificationTimeUnixTimeInMs": 1766569221777,
            "creationTimeUnixTimeInMs": 1766569221777
        }
    ]
}
输出消息

获取支持请求详细信息操作可以返回以下输出消息：

输出消息 消息说明

Finished executing "Get Case Details" successfully

 操作成功。
Error executing action "Get Case Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取支持请求详情操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取连接器上下文值

使用 Get Connector Context Value 操作可从连接器上下文的 Google SecOps 数据库中检索指定键的值。

此操作不适用于 Google SecOps 实体。

操作输入

获取连接器上下文值操作需要以下参数：

参数 说明
Connector Identifier

必填。

要从中检索上下文值的连接器的唯一标识符。
Key Name

必填。

存储上下文值的键。
Create Case Wall Table

可选。

如果选择此操作，系统会创建一个包含检索到的上下文值的案例墙表格。

如果检索到的值超出字符数限制，则系统不会创建表。

默认处于启用状态。

操作输出

获取连接器上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表格

获取连接器上下文值操作可以生成下表：

表名称：Connector

表列：

  • 连接器标识符
  • 键
  • 值
输出消息

获取连接器上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Connector Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取连接器上下文值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取自定义字段值

使用获取自定义字段值操作可根据指定范围检索自定义字段的当前值。

此操作不适用于 Google SecOps 实体。

操作输入

获取自定义字段值操作需要以下参数：

参数 说明
Scope

必填。

要从中检索自定义字段的范围。

可能的值如下：

  • Case
  • Alert
  • All

操作输出

获取自定义字段值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取自定义字段值操作时收到的 JSON 结果输出：

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]
输出消息

获取自定义字段值操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned SCOPE custom fields.

No custom fields were found in scope SCOPE.

 操作成功。
Error executing action "Get Custom Field Values". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取自定义字段值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取范围上下文值

使用 Get Scope Context Value 操作从 Google SecOps 数据库中检索存储在指定键和上下文下的值。

此操作不适用于 Google SecOps 实体。

操作输入

获取范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索值的上下文范围。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

默认值为 Not specified。
Key Name

必填。

值存储在指定上下文中的键。
Create Case Wall Table

可选。

如果选择此操作，系统会创建一个包含检索到的上下文值的案例墙表格。

如果检索到的值超出字符数限制，则系统不会创建表。

默认处于启用状态。

操作输出

获取范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表格

获取范围上下文值操作可以生成下表：

表名称：SCOPE

表列：

  • 键
  • 值
输出消息

获取范围上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

No context values were found for the provided context scope CONTEXT_SCOPE.

Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Scope Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Scope Context Value 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取类似支持请求

使用 Get Similar Cases 操作搜索类似支持请求并返回其 ID。

该操作会对 Rule Generator、Port、Category Outcome、Entity Identifier、Include Open Cases 和 Include Closed Cases 参数应用逻辑 AND 运算符，以过滤出符合所有指定条件的事件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

获取类似支持请求操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选择此选项，该操作会使用规则生成器搜索类似的支持请求。

默认处于启用状态。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似的支持请求。

默认处于启用状态。
Category Outcome

可选。

如果选择此项，系统会使用类别结果来搜索类似的支持请求。

默认处于启用状态。
Entity Identifier

可选。

如果选择此项，该操作会使用实体标识符搜索类似的支持请求。

默认处于启用状态。
Days Back

必填。

要搜索操作的当前日期之前的天数。
Include Open Cases

可选。

如果选中，则该操作会在搜索中包含未结案的支持请求。

默认处于启用状态。
Include Closed Cases

可选。

如果选中此复选框，则相应操作会在搜索中包含已关闭的支持请求。

默认处于启用状态。

操作输出

获取类似支持请求操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取类似支持请求操作时收到的 JSON 结果输出：

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}
输出消息

获取类似支持请求操作可能会返回以下输出消息：

输出消息 消息说明

Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST

 操作成功。
Error executing action "Get Similar Cases". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取类似支持请求操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds 类似支持请求 ID 的列表。

指令

使用指令操作可直接在支持请求中向分析师提供指令。

此操作不适用于 Google SecOps 实体。

操作输入

指令操作需要以下参数：

参数 说明
Instruction

必填。

面向分析师的说明。

操作输出

指令操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

向实体添加投票操作可以返回以下输出消息：

输出消息 消息说明

Please perform the following instructions: INSTRUCTION.

 操作成功。
Error executing action "Instruction". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Instruction 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

是否在自定义名单中

使用 Is In Custom List 操作可检查指定自定义列表中是否存在某个实体。

此操作会在所有 Google SecOps 实体上运行。

操作输入

位于自定义列表操作需要以下参数：

参数 说明
Category

必填。

要搜索的自定义列表类别的名称。

操作输出

位于自定义列表操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

位于自定义列表操作可以返回以下输出消息：

输出消息 消息说明

This alert contains entities in the given custom list category: CATEGORY.

This alert does not contain entities in the given custom list category: CATEGORY.

 操作成功。
Error executing action "Is In Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Is In Custom List 操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

标记为重要

使用标记为重要操作将支持请求标记为重要。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

标记为重要操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

标记为重要操作可以返回以下输出消息：

输出消息 消息说明

The case was automatically marked as important.

 操作成功。
Error executing action "Mark As Important". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用标记为重要邮件操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

开放网络网址

使用 Open Web Url 操作生成浏览器链接。

此操作不适用于 Google SecOps 实体。

操作输入

打开网页网址操作需要以下参数：

参数 说明
Title

必填。

相应网址的标题。
URL

必填。

目标网址。

操作输出

打开网页网址操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

打开网页网址操作可以返回以下输出消息：

输出消息 消息说明

URL_TITLE

URL_LINK

 操作成功。
Error executing action "Open Web Url". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用打开网页网址操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

暂停提醒服务等级协议

使用暂停提醒 SLA 操作可暂停提醒的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

暂停提醒服务等级协议操作需要以下参数：

参数 说明
Message

可选。

暂停提醒服务等级协议的原因。

操作输出

暂停提醒服务等级协议操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停提醒服务等级协议操作可以返回以下输出消息：

输出消息 消息说明

The alert SLA was paused.

 操作成功。
Error executing action "Pause Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用暂停提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

暂停支持请求 SLA

使用暂停支持请求 SLA 操作可暂停支持请求的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

暂停支持请求 SLA 操作需要以下参数：

参数 说明
Message

可选。

暂停支持请求 SLA 的原因。

操作输出

暂停支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停支持请求 SLA 操作可以返回以下输出消息：

输出消息 消息说明

The Case SLA was paused successfully.

 操作成功。
Error executing action "Pause Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用暂停支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

允许的提醒时间

使用 Permitted Alert Time 操作检查提醒的开始时间是否符合用户定义的时间条件。

此操作不适用于 Google SecOps 实体。

操作输入

允许的提醒时间操作需要以下参数：

参数 说明
Timestamp Type

可选。

用于比较的时间戳类型。

可能的值如下：

  • Alert Start Time
  • Alert Creation Time
  • Case Creation Time

默认值为 Alert Start Time。
Permitted Start Time

必填。

允许接收提醒的时间段的开始时间，例如 0:00:00。
Permitted End Time

必填。

提醒允许时段的结束时间，例如 0:00:00。
Monday

可选。

如果选中，则表示相应操作会在允许提醒的天数中包含星期一。

默认情况下未启用。
Tuesday

可选。

如果选中，则表示提醒的允许天数包括周二。

默认处于启用状态。
Wednesday

可选。

如果选中，则表示提醒的允许天数包括星期三。

默认处于启用状态。
Thursday

可选。

如果选中，则表示操作包含星期四，即允许在星期四发送提醒。

默认情况下未启用。
Friday

可选。

如果选中，则表示操作允许在星期五发送提醒。

默认情况下未启用。
Saturday

可选。

如果选中，则操作会在允许提醒的天数中包含星期六。

默认情况下未启用。
Sunday

可选。

如果选中，则表示相应操作的提醒允许天数包括周日。

默认情况下未启用。
Input Timezone

可选。

此操作支持标准时区（例如 UTC）以及 IANA 时区（例如 America/New_York）。

如果您提供 IANA 时区，该操作会自动调整夏令时。

操作输出

允许的提醒时间操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

允许的提醒时间操作可以返回以下输出消息：

输出消息 消息说明

Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS

 操作成功。
Error executing action "Permitted Alert Time". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Permitted Alert Time 操作时脚本结果输出的值：

脚本结果名称 值
Permitted true 或 false

Ping

使用 Ping 操作测试与 Siemplify 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作可以返回以下输出消息：

输出消息 消息说明

Email address is syntactically correct.

 操作成功。
Error executing action "Ping". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

引发突发事件

使用提出突发事件操作将真正正例标记为 Critical 并提出支持请求。

此操作不适用于 Google SecOps 实体。

操作输入

提出突发事件操作需要以下参数：

参数 说明
Soc Role

可选。

要将支持请求分配给的 Google SecOps SOC 角色。

操作输出

提出突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

引发突发事件操作可以返回以下输出消息：

输出消息 消息说明

The case raised to CASE_STAGE status.

 操作成功。
Error executing action "Raise Incident". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Raise Incident 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

移除标记

使用移除标记操作可从支持请求中移除标记。

此操作不适用于 Google SecOps 实体。

操作输入

移除标记操作需要以下参数：

参数 说明
Tag

必填。

要从支持请求中移除的标记的逗号分隔列表。

操作输出

移除标记操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

移除标记操作可以返回以下输出消息：

输出消息 消息说明
Successfully removed the following tags from case CASE_ID:TAGS 操作成功。

It is not possible to remove the tag.

Error executing action "Remove Tag". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用移除标记操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

从自定义列表中移除

使用从自定义列表中移除操作可从自定义列表类别中移除与提醒相关联的实体。

此操作会在所有 Google SecOps 实体上运行。

操作输入

从自定义列表中移除操作需要以下参数：

参数 说明
Category

必填。

要从中移除实体标识符的自定义列表类别的名称。

操作输出

从自定义列表中移除操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

从自定义列表中移除操作可以返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_ID were removed from custom list category: CATEGORY

The given category does not exist.

 操作成功。
Error executing action "Remove From Custom List". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用从自定义列表中移除操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

恢复提醒服务等级协议

使用恢复提醒服务等级协议操作可取消暂停并重新启动提醒的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

恢复提醒服务等级协议操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复提醒服务等级协议操作可以返回以下输出消息：

输出消息 消息说明

The alert SLA was resumed.

 操作成功。
Error executing action "Resume Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用恢复提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

恢复支持请求 SLA

使用恢复支持请求 SLA 操作可取消暂停并重新启动支持请求的服务等级协议 (SLA) 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

恢复支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复支持请求 SLA 操作可以返回以下输出消息：

输出消息 消息说明

The Case SLA was resumed successfully.

 操作成功。
Error executing action "Resume Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Resume Case SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

搜索支持请求

使用搜索支持请求操作，通过动态过滤条件搜索支持请求。

此操作不适用于 Google SecOps 实体。

操作输入

搜索支持请求操作需要以下参数：

参数 说明
Assignee

可选。

分配给相应支持请求的用户的英文逗号分隔列表，用于过滤搜索结果。
Status

可选。

用于过滤搜索结果的多种支持请求状态。

可能的值如下：

  • Opened
  • Closed
Playbook Status

可选。

用于过滤搜索结果的剧本状态选择。

可能的值如下：

  • In Progress
  • Completed
  • Failed
Severity

可选。

用于过滤搜索结果的各种支持请求严重程度。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
  • Informational
Environment

可选。

用于过滤搜索结果的环境的英文逗号分隔列表。 多个值将使用“OR”逻辑进行评估。

此参数支持使用 ~ 符号（例如 environment,~environment）进行“包含”匹配。
Case Names

可选。

用于过滤搜索结果的以英文逗号分隔的案例名称列表。 多个值将使用“OR”逻辑进行评估。

此参数支持使用 ~ 符号（例如 case,~case）进行“包含”匹配。
Alert Names

可选。

用于过滤搜索结果的逗号分隔列表，其中包含提醒名称 多个值使用“OR”逻辑进行评估。

此参数支持使用 ~ 符号（例如 alert,~alert）进行“包含”匹配。
Product Names

可选。

用于过滤搜索结果的产品名称的英文逗号分隔列表。 多个值将使用“OR”逻辑进行评估。

此参数支持使用 ~ 符号（例如 product,~product）进行“包含”匹配。
Tag Names

可选。

用于过滤搜索结果的标记名称的英文逗号分隔列表。 多个值将使用“OR”逻辑进行评估。
Timestamp Type

可选。

用于确定 Time Frame 是以支持请求的创建时间还是修改时间为目标的时间戳类型。

可能的值如下：

  • Modification Time
  • Creation Time

默认值为 Modification Time。
Time Frame

可选。

用于限制搜索结果的时间范围。

可能的值如下：

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

如果选择 Custom，则 Start Time 参数是必需的。

默认值为 Last Hour。
Start Time

条件。

搜索结果的时间范围的起点，采用 ISO 8601 格式。

如果 Time Frame 设置为 Custom，则此参数是必需的。
End Time

可选。

搜索结果的时间范围的结束点，采用 ISO 8601 格式。

如果 Time Frame 设置为 Custom，但未提供值，则此参数默认为当前时间。

操作输出

搜索支持请求操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用搜索支持请求操作时收到的 JSON 结果输出：

[
    {
        "name": "projects//locations//instances//cases/4",
        "relatedAlerts": [],
        "dataAccessScopes": [],
        "id": 4,
        "lastModifyingUserId": "9c6562ad-f74f-424f-a2f7-c0d2d8629bbb",
        "createTime": 1769592095506,
        "updateTime": 1769689090290,
        "alertCount": 1,
        "type": "External",
        "overflowCase": false,
        "status": "Opened",
        "involvedSuspiciousEntity": false,
        "workflowStatus": "Completed",
        "source": "Server",
        "tags": [
            {
                "displayName": "Simulated Case",
                "priority": 0
            }
        ],
        "products": [
            {
                "displayName": "Windows:AccessDisabledAccounts",
                "alert": "ACCESS DISABLED ACCOUNTS_5FB4AAF2-1CB2-49F7-850D-EECCAB91B203"
            }
        ],
        "tasks": [],
        "displayName": "Access Disabled Accounts",
        "stage": "Triage",
        "priority": "PriorityHigh",
        "important": false,
        "assignee": "@Administrator",
        "incident": false,
        "environment": "Default Environment",
        "moveEnvironment": {}
    }
]
输出消息

搜索支持请求操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned cases based on the provided criteria.

 操作成功。
Error executing action "Search Cases". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Search Cases 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置提醒服务等级协议

使用设置提醒 SLA 操作为提醒设置 SLA 计时器。

此操作不适用于 Google SecOps 实体。

操作输入

设置提醒 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

SLA 被视为违规之前的总时长。

SLA 总期限不得超过 30 天。

默认值为 5。
SLA Time Unit

必填。

服务等级协议 (SLA) 期限的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。
SLA Time To Critical Period

必填。

SLA 进入关键状态之前的时长。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 期限的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。

操作输出

设置提醒 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置提醒 SLA 操作可以返回以下输出消息：

输出消息 消息说明

Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Alert SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Set Alert SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置支持请求 SLA

使用设置支持请求 SLA 操作为支持请求设置 SLA。

此操作具有最高优先级，会替换为特定支持请求定义的现有 SLA。

此操作不适用于 Google SecOps 实体。

操作输入

设置支持请求 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

SLA 被视为违规之前的总时长。

SLA 总期限不得超过 30 天。

默认值为 5。
SLA Time Unit

必填。

服务等级协议 (SLA) 期限的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。
SLA Time To Critical Period

可选。

SLA 进入关键状态之前的时长。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 期限的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。

操作输出

设置支持请求 SLA 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索 ASM 问题 操作可以返回以下输出消息：

输出消息 消息说明

Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Case SLA". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置自定义字段

使用设置自定义字段操作可为自定义字段设置值。

此操作不适用于 Google SecOps 实体。

操作输入

设置自定义字段操作需要以下参数：

参数 说明
Scope

必填。

要为自定义字段设置的范围。

可能的值如下：

  • Case
  • Alert

默认值为 Case。
Custom Fields Data

必填。

自定义字段的更新值。

您可以在一次操作运行中更新多个自定义字段。

默认值为：

    {
      "Custom Field Name 1":"Custom Field Value 1",
      "Custom Field Name 2":"Custom Field Value 2"
    }
Append Values

可选。

如果选择此项，相应操作会将 Custom Fields Data 中的输入附加到自定义字段的现有值。

如果未选择，则该操作会使用 Custom Fields Data 参数中的输入覆盖现有值。

默认情况下未启用。

操作输出

设置自定义字段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用设置自定义字段操作时收到的 JSON 结果输出：

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}
输出消息

设置自定义字段操作可以返回以下输出消息：

输出消息 消息说明
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES 操作成功。
Error executing action "Set Custom Fields". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置风险得分

使用设置风险得分操作更新支持请求的风险得分。

此操作不适用于 Google SecOps 实体。

操作输入

设置风险得分操作需要以下参数：

参数 说明
Risk Score

必填。

要为支持请求设置的风险得分。

操作输出

设置风险得分操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置风险得分操作可以返回以下输出消息：

输出消息 消息说明
Successfully set Risk Score for case CASE_ID 操作成功。
Error executing action "Set Risk Score". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用设置风险得分操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置范围上下文值

使用 Set Scope Context Value 操作可为存储在 Google SecOps 数据库中的键设置值。

此操作不适用于 Google SecOps 实体。

操作输入

设置范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索数据的上下文范围。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

默认值为 Not specified。
Key Name

必填。

要从中检索相应值的键名称。
Key Value

必填。

要存储在指定键下的值。

操作输出

设置范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置范围上下文值操作可以返回以下输出消息：

输出消息 消息说明
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE. 操作成功。
Error executing action "Set Scope Context Value". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Set Scope Context Value 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更新支持请求说明

使用更新支持请求说明操作更新支持请求说明。

此操作不适用于 Google SecOps 实体。

操作输入

更新支持请求说明操作需要以下参数：

参数 说明
Description

必填。

要为支持请求设置的说明。

操作输出

更新支持请求说明操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

更新支持请求说明操作可以返回以下输出消息：

输出消息 消息说明
Successfully updated the case description. 操作成功。
Error executing action "Update Case Description". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更新支持请求说明操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

等待自定义字段

使用等待自定义字段操作等待自定义字段值，然后继续执行剧本。

此操作不适用于 Google SecOps 实体。

操作输入

等待自定义字段操作需要以下参数：

参数 说明
Scope

必填。

要为自定义字段设置的范围。

可能的值如下：

  • Case
  • Alert

默认值为 Case。
Custom Fields Data

必填。

必须满足的自定义字段条件才能恢复剧本。 自定义字段名称及其所需的值需要配置为 JSON 对象。

如果您为多个字段设置了条件，则操作会等待所有字段都满足各自的条件。

  • 如需在自定义字段具有任何值时恢复，请配置一个空字符串： 
    {"Custom Field Name": ""}
  • 如需在自定义字段等于特定值（例如 VALUE_1）时恢复，请指定该值： 
    {"Custom Field Name": "VALUE_1"}

默认值显示了预期的 JSON 格式：

{
  "Custom Field Name 1": "Custom Field Value 1",
  "Custom Field Name 2": "Custom Field Value 2"
}

操作输出

等待自定义字段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用等待自定义字段操作时收到的 JSON 结果输出：

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}
输出消息

等待自定义字段操作可以返回以下输出消息：

输出消息 消息说明

Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES

Waiting for SCOPE custom fields updates...

 操作成功。
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用等待自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

作业

如需详细了解作业，请参阅 配置新作业和 高级安排。

Siemplify - 操作监控器

使用 Siemplify - Actions Monitor 作业可接收有关过去 3 小时内至少失败 3 次的操作的通知。

作业参数

Siemplify - Actions Monitor 作业需要以下参数：

参数 说明
Run Interval In Seconds

可选。

作业的运行间隔（以秒为单位）。

此参数用于确定集成检查失败的 playbook 操作的频率。

默认值为 900。
Is Enabled

可选。

如果选中，作业处于有效状态，并将按计划运行。如果未选择，则作业处于停用状态，不会执行。

默认处于启用状态。

Siemplify - Cases Collector 数据库

使用 Siemplify - Cases Collector DB 作业从指定发布商处检索和处理安全事件。

作业参数

Siemplify - Cases Collector DB 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集支持请求和日志的发布商的 ID。
Verify SSL

可选。

如果选择此项，作业会验证发布者的 SSL 证书是否有效。

默认情况下未启用。

Siemplify - 日志收集器

使用 Siemplify - Logs Collector 作业从指定发布者处检索和处理日志。

作业输入

Siemplify - Logs Collector 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集日志的发布商的 ID。
Verify SSL

可选。

如果选择此项，作业会验证发布者的 SSL 证书是否有效。

默认情况下未启用。

Siemplify - 响应集成和连接器升级

使用 Response Integration & Connector Upgrade 作业，通过将响应集成和连接器升级到最新版本，或者在内容中心提供新版本时生成通知，自动维护您的环境。

作业行为

该作业会扫描内容中心，以识别未运行最新版本的集成和连接器。根据所选的 Mode，作业会执行以下操作：

  • 过滤逻辑：作业使用以下条件来确定在扫描期间要排除哪些组件。

    • 预演环境：作业仅扫描已安装的集成。如果 Update Staging Only 处于启用状态，作业只会处理手动创建的预演环境中的集成。您必须先配置暂存环境并分配相关集成，然后作业才能在此模式下识别更新。

    • 集成：应用 Integrations To Ignore 列表时，作业会同时检查标识符和显示名称。

    • 连接器：过滤功能仅适用于显示名称，因为连接器标识符不是唯一的。

  • 通知模式：当设置为 Notification 模式时，作业会识别可用的更新，并生成具有以下结构的系统通知。

    以下集成有新的响应集成版本可用：
    {Integration Name}：{previous version} -> {new version}

    以下连接器有更新可用：
    {Connector display name}

    这些通知会显示在 Google SecOps 平台中的 通知 > 系统通知下。

  • 升级模式：设置为 Upgrade 模式时，作业会自动应用更新并生成确认通知，该通知具有以下结构。

    以下响应集成已更新至最新版本：
    {响应集成名称}
    以下连接器已更新至最新版本：
    {连接器显示名称}

作业输入

Siemplify - Response Integration & Connector Upgrade 作业需要以下参数：

参数 说明
Update Staging Only

可选。

如果选择此项，作业将仅针对手动配置的临时环境中的集成进行更新或通知。这样一来，您就可以在将更改推送到生产环境之前先测试更新。

默认处于启用状态。
Update Enabled Connectors Only

可选。

如果选中，作业仅会升级或生成当前已启用的连接器的通知。扫描期间会忽略已停用的连接器实例。

默认情况下未选中。
Mode

必填。

作业的运行模式。

可能的值如下：

  • Notification：作业扫描更新并生成平台通知，但不应用更改。
  • Upgrade：作业会扫描更新，自动应用更新（模拟界面中的手动更新流程），并生成确认通知。

默认值为 Notification。
Integrations To Ignore

可选。

在升级过程中要跳过的集成标识符的英文逗号分隔列表。您必须使用集成详情中显示的唯一标识符（例如 GoogleCloudAPI），而不是显示名称。
Connectors To Ignore

可选。

在升级过程中要跳过的连接器显示名称的英文逗号分隔列表。这样，您就可以精细控制要更新哪些特定的连接器实例。
Overwrite Custom Integration

可选。

如果选择此项，作业会升级最初基于商业版或社区版（包括已导出然后重新导入到平台的商业集成）的自定义集成。

默认处于启用状态。
Ignore Ontology Mapping Update For Integrations

可选。

一个以英文逗号分隔的集成标识符列表，升级过程会保留这些标识符的现有本体映射。您必须使用集成详情中的唯一标识符（例如 GoogleCloudAPI），而不是显示名称。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。