将 Siemplify 与 Google SecOps 集成

本文档介绍了如何将 Siemplify 与 Google Security Operations (Google SecOps) 集成。

使用场景

Siemplify 集成可以解决以下应用场景：

  • 钓鱼式攻击调查：使用 Google SecOps 功能自动分析网上诱骗邮件、提取失陷指标 (IOC) 并通过威胁情报丰富这些指标。

  • 恶意软件遏制：使用 Google SecOps 功能，在检测到恶意软件时自动隔离受感染的端点、启动扫描并隔离恶意文件。

  • 漏洞管理：使用 Google SecOps 功能编排漏洞扫描、根据风险确定漏洞优先级，并自动创建工单进行修复。

  • 威胁搜寻：使用 Google SecOps 功能，在各种安全工具和数据集中自动运行威胁搜寻查询。

  • 安全提醒分类：使用 Google SecOps 功能自动为安全提醒添加上下文信息，将其与其他事件相关联，并根据严重程度确定其优先级。

  • 突发事件响应：使用 Google SecOps 功能编排整个突发事件响应流程，从初始检测到遏制和消除。

  • 合规性报告：使用 Google SecOps 功能自动收集和分析安全数据，以生成合规性报告。

准备工作

此集成提供原生平台功能，无需外部第三方 API 密钥或凭证即可进行身份验证。在开始之前，请确保已从 Google SecOps 实例中的内容中心安装集成。

集成参数

Siemplify 集成需要以下参数：

参数 说明
Monitors Mail Recipients

必填。

以英文逗号分隔的邮箱列表，用于在集成的电子邮件相关工作流中进行验证。

此列表用于定义要处理的收件人。

默认值为 example@mail.com,example1@mail.com。
Elastic Server Address

必填。

用于连接到 Siemplify 数据库的 Elastic 服务器的地址。

这通常是运行 Elastic 实例的宿主机地址。

默认值为 localhost。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

添加实体分析洞见

使用添加实体数据分析操作向 Siemplify 中的 Google SecOps 实体添加数据分析。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加实体数据分析操作需要以下参数：

参数 说明
Message

必填。

要添加到实体的消息。

此参数支持 HTML 元素，例如：

  • 标题（<h1></h1>、<h2></h2>）
  • 段落 (<p></p>)
  • 文本格式（<b></b>、<i></i>、<br>）
  • 链接（<a href="example.com"></a>）。

操作输出

添加实体数据分析操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加实体数据分析操作可能会返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE to ENTITY_ID.

 操作成功。
Error executing action "Add Entity Insight". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用添加实体数据分析操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

添加一般性分析洞见

使用添加一般数据分析操作向案例添加一般数据分析。

此操作不会在 Google SecOps 实体上运行。

操作输入

添加一般数据分析操作需要以下参数：

参数 说明
Title

必填。

数据分析的标题。
Message

必填。

要添加到实体的消息。

此参数支持 HTML 元素，例如：

  • 标题（<h1></h1>、<h2></h2>）
  • 段落 (<p></p>)
  • 文本格式（<b></b>、<i></i>、<br>）
  • 链接（<a href="example.com"></a>）。
Triggered By

可选。

一个自由文本字段，用于提供数据分析的理由，解释为何将其添加到案例中。

操作输出

添加常规数据分析操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加一般数据分析操作可能会返回以下输出消息：

输出消息 消息说明

Added insight with message MESSAGE.

 操作成功。
Error executing action "Add General Insight". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用添加一般数据分析操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

为类似案例添加标记

使用向类似案例添加标记操作向类似案例添加标记。

为了查找类似支持请求，该操作使用 siemplify.get_similar_cases() 函数根据一组条件和参数检索支持请求 ID 列表。

逻辑 AND 运算符应用于 Rule Generator、Port、Category Outcome 和 Entity Identifier 参数，以过滤出符合所有指定条件的案例。

此操作不会在 Google SecOps 实体上运行。

操作输入

Add Tags To Similar Cases 操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选中，该操作会使用规则生成器搜索类似案例。

默认处于启用状态。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似案例。

默认处于启用状态。
Category Outcome

可选。

如果选中，该操作会使用类别结果搜索类似案例。

默认处于启用状态。
Entity Identifier

可选。

如果选中，该操作会使用实体标识符搜索类似案例。

默认处于启用状态。
Days Back

必填。

在当前日期之前搜索类似案例的天数。
Tags

必填。

要应用于找到的类似支持请求的标签列表，以英文逗号分隔。

操作输出

Add Tags To Similar Cases 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Tags To Similar Cases 操作可能会返回以下输出消息：

输出消息 消息说明

Found NUMBER_OF_SIMILAR_CASES similar cases. Successfully added tags: TAG_NAMES to cases CASE_IDS

 操作成功。
Error executing action "Add Tags To Similar Cases". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用为类似案例添加标记操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds 类似支持请求 ID 的列表。

添加到自定义名单

使用添加到自定义名单操作将实体标识符添加到分类的自定义名单中，并在其他操作中执行后续比较。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加到自定义名单操作需要以下参数：

参数 说明
Category

必填。

要向其中添加实体标识符的自定义名单类别的名称。

操作输出

添加到自定义列表操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义名单操作可能会返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_IDS were added to custom list category: CATEGORY.

 操作成功。
Error executing action "Add to Custom List". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用添加到自定义名单操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

分配案例

使用分配案例操作将案例分配给特定用户或用户群组。

此操作不会在 Google SecOps 实体上运行。

操作输入

分配支持请求操作需要以下参数：

参数 说明
Assigned User

可选。

要将支持请求分配给的用户或用户群组（接受 User 对象）。

如果同时提供了 Assigned User 和 Assignee，则操作会使用 Assigned User。
Assignee

可选。

要将支持请求分配给的用户或用户群组（接受字符串值）。

如果同时提供了 Assigned User 和 Assignee，则操作会使用 Assigned User。
Case ID

可选。

要更新的支持请求 ID 的逗号分隔列表。

如果未提供任何值，该操作会更新执行该操作的案例。

操作输出

分配案例操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

添加到自定义名单操作可能会返回以下输出消息：

输出消息 消息说明

Successfully updated case CASE_ID.

 操作成功。
Error executing action "Assign Case". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用分配支持请求操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

将 Playbook 附加到提醒

使用将 playbook 附加到提醒操作将特定 playbook 附加到提醒。

此操作不会在 Google SecOps 实体上运行。

操作输入

将 Playbook 附加到提醒操作需要以下参数：

参数 说明
Playbook Name

必填。

要附加到当前提醒的 playbook 的名称。需要启用 playbook，操作才能成功。
Allow Duplicates

可选。

如果选中此选项，则可以将该 playbook 多次附加到提醒。

默认处于启用状态。

操作输出

将 playbook 附加到提醒操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索图表操作可能会返回以下输出消息：

输出消息 消息说明

Successfully attached the PLAYBOOK_NAME playbook to the alert CURRENT_ALERT_NAME.

 操作成功。
Error executing action "Attach Playbook to Alert". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用将 playbook 附加到提醒操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

将 Playbook 附加到案例

使用将 Playbook 附加到案例操作，将 Playbook 附加到 Google SecOps 中的案例。

此操作不会在 Google SecOps 实体上运行。

操作输入

将 Playbook 附加到案例操作需要以下参数：

参数 说明
Playbook Name

必填。

要附加到案例的 playbook 的名称。

操作输出

将 Playbook 附加到案例操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

将 Playbook 附加到案例操作可能会返回以下输出消息：

输出消息 消息说明
Successfully attached the PLAYBOOK_NAME playbook to the case. 操作成功。
The PLAYBOOK_NAME playbook was already attached to the case.

操作失败。

平台中不存在指定的 playbook。
Error executing action "Attach Playbook to Case". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或权限。
脚本结果

下表列出了使用将 playbook 附加到案例操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

支持请求评论

使用案例评论操作向当前提醒所在的分组案例添加评论。

此操作不会在 Google SecOps 实体上运行。

操作输入

Case Comment 操作需要以下参数：

参数 说明
Comment

必填。

要添加到支持请求中的评论。

操作输出

Case Comment 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

Comment added to case: CASE_COMMENT.

 操作成功。
Error executing action "Case Comment". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用案例评论操作时脚本结果输出的值：

脚本结果名称 值
SuccessStatus true 或 false

案例标记

使用案例标记操作向当前提醒所在的分组案例添加标记。

此操作不会在 Google SecOps 实体上运行。

操作输入

Case Tag 操作需要以下参数：

参数 说明
Tag

必填。

要添加到案例的标记。

如果提供了 Delimiter，则输入会根据定界符进行拆分，并且系统会向支持请求添加多个标记。
Delimiter

可选。

用于拆分 Tag 值的定界符。

如果未提供值，则不应用分隔符。

操作输出

Case Tag 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用案例标记操作时收到的 JSON 结果输出：

{
   "added_tags": ["123", "321"]
}
输出消息

Case Tag 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully added tags to the case CASE_ID.

 操作成功。
Error executing action "Add Vote To Entity". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用案例标记操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更改提醒优先级

使用更改提醒优先级操作可更新案例中提醒的优先级。

此操作不会在 Google SecOps 实体上运行。

操作输入

更改提醒优先级操作需要以下参数：

参数 说明
Alert Priority

必填。

提醒的新优先级。

如果提醒优先级更新为高于当前案例优先级，则案例的优先级将自动更新，以匹配新的更高优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改提醒优先级操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

The alert priority was set to NEW_PRIORITY_LEVEL.

 操作成功。
Error executing action "Change Alert Priority". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用更改提醒优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改案例阶段

使用更改案例阶段操作来更改案例阶段。

此操作不会在 Google SecOps 实体上运行。

操作输入

更改支持请求阶段操作需要以下参数：

参数 说明
Stage

必填。

要将支持请求移至的阶段。

可能的值如下：

  • Triage
  • Assessment
  • Investigation
  • Incident
  • Improvement
  • Research

操作输出

Change Case Stage 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

Case stage was successfully changed to NEW_CASE_STAGE.

 操作成功。
Error executing action "Change Case Stage". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用更改支持请求阶段操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

更改优先级

使用更改优先级操作可更改支持请求的优先级。

此操作不会在 Google SecOps 实体上运行。

操作输入

更改优先级操作需要以下参数：

参数 说明
Priority

必填。

要为支持请求设置的优先级。

可能的值如下：

  • Informative
  • Low
  • Medium
  • High
  • Critical

操作输出

更改优先级操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

更改优先级操作可能会返回以下输出消息：

输出消息 消息说明

The case priority was set to NEW_CASE_PRIORITY

 操作成功。
Error executing action "Change Priority". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用更改优先级操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

关闭提醒

使用关闭提醒操作关闭提醒。

此操作不会在 Google SecOps 实体上运行。

操作输入

关闭提醒操作需要以下参数：

参数 说明
Reason

必填。

提醒关闭的主要分类。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

对导致该提醒的技术问题的详细说明。
Comment

必填。

备注、调查摘要或提醒关闭的其他上下文。
Assign to User

可选。

在提醒关闭后，要将提醒分配给的用户。
Tags

可选。

要附加到提醒的标记的逗号分隔列表，用于分类、过滤和未来可搜索性。
Custom Fields

可选。

一个 JSON 对象，其中包含在关闭提醒时要更新的自定义字段。
Append Custom Field Values

可选。

如果选中，该操作会将提供的 JSON 值附加到现有自定义字段。

如果未选择此选项，该操作会使用 JSON 对象中提供的值覆盖现有值。

默认情况下，该环境处于停用状态。

操作输出

关闭提醒操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

The alert was closed. Root Cause: ROOT_CAUSE Comment: ALERT_COMMENT Reason: REASON

 操作成功。
Error executing action "Close Alert". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用关闭提醒操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

关闭案例

使用关闭支持请求操作关闭支持请求。

此操作不会在 Google SecOps 实体上运行。

操作输入

Close Case 操作需要以下参数：

参数 说明
Reason

必填。

提醒关闭的主要分类。

可能的值如下：

  • Malicious
  • NotMalicious
  • Maintenance
  • Inconclusive
Root Cause

必填。

对导致该提醒的技术问题的详细说明。
Comment

必填。

备注、调查摘要或提醒关闭的其他上下文。
Custom Fields

可选。

一个 JSON 对象，其中包含在支持请求关闭时要更新的自定义字段。
Append Custom Field Values

可选。

如果选中，该操作会将提供的 JSON 值附加到现有自定义字段。

如果未选择此选项，该操作会使用 JSON 对象中提供的值覆盖现有值。

默认情况下，该环境处于停用状态。

操作输出

关闭案例操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

The case was closed. Root Cause: ROOT_CAUSE Comment: REASON

 操作成功。
Error executing action "Close Case". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用关闭支持请求操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建实体

使用创建实体操作创建新实体并将其添加到提醒中。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建实体操作需要以下参数：

参数 说明
Entities Identifies

必填。

要在案例中创建的实体标识符的英文逗号分隔列表，例如 VALUE1, VALUE2, VALUE3。
Delimiter

可选。

用于将 Entities Identifies 中的输入拆分为多个标识符的定界符。

如果未提供任何值，该操作会将输入视为单个实体标识符。

默认值为 ,。
Entity Type

必填。

要创建的实体类型，例如 HOST NAME、USER NAME 或 IP Set。
Is Internal

可选。

如果选中，该操作会将实体标记为内部网络的一部分。

默认不启用。
Is Suspicious

可选。

如果选择此选项，该操作会将实体标记为可疑。

默认不启用。

操作输出

创建实体操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建实体操作时收到的 JSON 结果输出：

[
    {
        "additional_properties": {
            "OriginalIdentifier": "ACCOUNT_ID"
        },
        "alert_identifier": "ACCESS DISABLED ACCOUNTS",
        "case_identifier": 7113,
        "creation_time": 0,
        "entity_type": "USERUNIQNAME",
        "identifier": "ACCOUNT_ID",
        "is_artifact": false,
        "is_enriched": false,
        "is_internal": false,
        "is_pivot": false,
        "is_suspicious": false,
        "is_vulnerable": false,
        "modification_time": 0
    }
]
输出消息

创建实体操作可以返回以下输出消息：

输出消息 消息说明

ENTITY_IDS created successfully.

 操作成功。
Error executing action "Create Entity". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用创建实体操作时脚本结果输出的值：

脚本结果名称 值
StatusResult true 或 false

创建 Gemini 支持请求摘要

使用创建 Gemini 案例摘要操作创建新的 Gemini 案例摘要并将其添加到提醒中。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

创建 Gemini 支持请求摘要操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建 Gemini 支持请求摘要操作时收到的 JSON 结果输出：

{
  "summary": "On the Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214), user vanshikavw_google_com initiated the process curl (SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140) to create the malware file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.\n*  VirusTotal identifies the SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 as a virus.eicar/test.\n*  CURL is associated with multiple actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961.\n*  CURL is known to use MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588.\n*  A GTI MALWARE search did not find any information about eicar_test_vanshikavw-test-new.\n*  A GTI IP_ADDRESS search did not find any information about 10.150.0.3 or 34.85.128.214.", 
  "next_steps": ["Isolate instance-1 to prevent any potential lateral movement or further compromise of the network, as the curl process is associated with multiple threat actors.", 
  "Investigate the user account vanshikavw_google_com to determine if the user's credentials have been compromised or if the user initiated the curl process intentionally, as the curl process is associated with multiple threat actors.", 
  "Analyze the network traffic to and from the IP addresses 10.150.0.3 and 34.85.128.214 for any suspicious communication patterns, as the curl process is associated with multiple threat actors.", 
  "Examine the process execution logs on instance-1 for any other unusual or unauthorized activities, as the curl process is associated with multiple threat actors.", 
  "Review the configuration of the Linux agent on instance-1 to ensure that it is properly secured and that no unauthorized modifications have been made, as the curl process is associated with multiple threat actors."], 
  "reasons": ["The case involves a Linux agent instance-1 (IP addresses 10.150.0.3 and 34.85.128.214) where user vanshikavw_google_com initiated the process curl to create the file /home/vanshikavw_google_com/eicar_test_vanshikavw-test-new.", 
  "The SHA1 hash 3395856ce81f2b7382dee72602f798b642f14140 of the curl process is identified by VirusTotal as virus.eicar/test, indicating it is a known test virus.", 
  "The process CURL is associated with multiple threat actors, including APT27, APT34, APT41, APT44, APT9, FIN11, FIN13, FIN6, TEMP.Armageddon, Turla Team, UNC1151, UNC1860, UNC215, UNC2165, UNC2500, UNC251, UNC2595, UNC2633, UNC2900, UNC2975, UNC3569, UNC3661, UNC3944, UNC4483, UNC4936, UNC4962, UNC5007, UNC5051, UNC5055, UNC5156, UNC5221, UNC5266, UNC5330, UNC5371, UNC5470, UNC5859, and UNC961, suggesting a potential link to malicious activity.", 
  "CURL is known to use various MITRE ATT&CK techniques such as T1113, T1095, T1036, T1553, T1222, T1055, T1140, T1070, T1027, T1622, T1057, T1010, T1083, T1518, T1082, T1016, T1059, T1496, and T1588, indicating a wide range of potential malicious behaviors.", 
  "The file eicar_test_vanshikavw-test-new was not found in GTI MALWARE searches, and the IP addresses 10.150.0.3 and 34.85.128.214 were not found in GTI IP_ADDRESS searches."]
}
输出消息

创建 Gemini 支持请求摘要操作可能会返回以下输出消息：

输出消息 消息说明

Case summary generation completed.

 操作成功。
Error executing action "Create Gemini Case Summary". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用创建 Gemini 案例摘要操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

创建或更新实体属性

使用创建或更新实体属性操作，在实体范围内创建或更改实体的属性。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建或更新实体属性操作需要以下参数：

参数 说明
Entity Field

必填。

要创建或更新的实体字段。
Field Value

必填。

指定实体字段的值。

操作输出

创建或更新实体属性操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

创建或更新实体属性操作可能会返回以下输出消息：

输出消息 消息说明

Property ENTITY_FIELD were changed for the following entities: ENTITY_ID.

 操作成功。
Error executing action "Create Or Update Entity Properties". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用创建或更新实体属性操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

导出案例

使用导出支持请求操作创建包含支持请求信息和附件的归档。

此操作不会在 Google SecOps 实体上运行。

操作输入

导出案例操作需要以下参数：

参数 说明
Export Method

可选。

操作归档的目标位置和检索方法。

如果选择 Case Wall，系统会创建归档并将其放置在案例墙上。

可能的值如下：

  • Case Wall
  • File System

默认值为 Case Wall。
Fields To Export

可选。

要包含在导出内容中的支持请求字段的英文逗号分隔列表，例如 alertCards、tags 或 stageSlaExpirationUnixTimeInMs。

如果未提供值，该操作会导出包含所有可用元数据的案例。
Include Attachments

可选。

如果选中此选项，则该操作会将附件包含在归档文件中。

默认处于启用状态。
Attachment Names

可选。

要包含在归档中的附件逗号分隔列表。

如果未提供值，该操作会导出所有附件，并且您必须启用 Include Attachments。

操作输出

Export Case 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用导出案例操作时收到的 JSON 结果输出：

{
   "file_path": "/tmp/case_1_Default_Environment_1919191919.zip",
   "export_type": "case_wall/file_system"
}
输出消息

Export Case 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully exported case CASE_ID.

 操作成功。
Error executing action "Export Case". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用导出案例操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

接收支持请求提醒

使用获取案例提醒操作检索与指定案例相关的提醒。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取支持请求提醒操作需要以下参数：

参数 说明
Case ID

必填。

以英文逗号分隔的支持请求 ID 列表，该操作会检索这些支持请求的相关提醒。
Alert ID

可选。

提醒 ID 的逗号分隔列表，用于限制返回的提醒。

仅当 Case ID 包含值时，才会使用此参数。
Fields To Return

可选。

要在 JSON 结果中返回的字段的逗号分隔列表。

如需检索嵌套值，请使用 Nested Keys Delimiter 链接嵌套键和列表索引。例如，如果分隔符为“.”： key1.nested_key1.0.nested_key2, key2, key3.1.nested_key1

如果未提供任何值，系统会返回所有字段。
Nested Keys Delimiter

可选。

在定义要返回的字段时，用于分隔嵌套键和列表索引的字符。

此参数不能是英文逗号 (,)。

获取支持请求详情

使用获取案例详情操作可获取案例中的所有数据（包括评论、实体信息、数据分析、运行的 playbook、提醒信息和事件）。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取支持请求详情操作需要以下参数：

参数 说明
Case Id

可选。

要检索其详细信息的支持请求的 ID。

如果未提供任何值，该操作将使用当前支持请求。
Fields to Return

可选。

要返回的字段的逗号分隔列表。

如果未提供任何内容，系统会返回所有字段。

您可以使用 Nested Keys Delimiter 参数分隔键和列表索引，从而检索特定的嵌套值。
Nested Keys Delimiter

可选。

请求特定字段时用于分隔嵌套键的字符。这样，您就可以从嵌套对象中检索值。

分隔符不能是英文逗号(,)。

操作输出

获取支持请求详情操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取支持请求详情操作时收到的 JSON 结果输出：

{
    "id": 1001,
    "creationTimeUnixTimeInMs": 1749547533606,
    "modificationTimeUnixTimeInMs": 1750073142090,
    "name": "Security-Incident-Phishing-01",
    "isImportant": false,
    "isIncident": false,
    "startTimeUnixTimeInMs": 1749547529741,
    "endTimeUnixTimeInMs": 1749547529741,
    "assignedUser": "@Tier1_Analyst",
    "description": "Potential phishing email detected with suspicious attachment.",
    "isTestCase": false,
    "incidentId": null,
    "lastModifyingUserId": "secops_admin",
    "createTime": 1749547533606,
    "updateTime": 1750073142090,
    "alertCount": 1,
    "type": "External",
    "overflowCase": false,
    "status": "Opened",
    "score": 21,
    "involvedSuspiciousEntity": false,
    "workflowStatus": "Completed",
    "source": "Security_Server",
    "products": [],
    "tasks": [],
    "displayName": "Phishing email detector",
    "stage": "Triage",
    "priority": "PriorityLow",
    "important": false,
    "assignee": "@Tier1_Analyst",
    "incident": false,
    "environment": "Production Environment",
    "relatedAlerts": [],
    "tags": [
        "Phishing"
    ],
    "alertCards": [
        {
            "id": 1024,
            "creationTimeUnixTimeInMs": 1749547533634,
            "modificationTimeUnixTimeInMs": 1750073142082,
            "identifier": "alert-phish-778899",
            "status": 0,
            "name": "SUSPICIOUS PHISHING EMAIL",
            "priority": 40,
            "workflowsStatus": 2,
            "slaExpirationUnixTime": 1749547833634,
            "slaCriticalExpirationUnixTime": 1749547773634,
            "startTime": 1749547529741,
            "endTime": 1749547529741,
            "alertGroupIdentifier": "group-id-554433",
            "eventsCount": 1,
            "title": "SUSPICIOUS PHISHING EMAIL",
            "ruleGenerator": "Phishing email detector",
            "deviceProduct": "Phishing email detector",
            "deviceVendor": "Corporate Email Gateway",
            "playbookAttached": "Phishing Response Playbook",
            "playbookRunCount": 1,
            "isManualAlert": false,
            "sla": {
                "slaExpirationTime": 1749547833634,
                "criticalExpirationTime": 1749547773634,
                "expirationStatus": 0,
                "remainingTimeSinceLastPause": null
            },
            "fieldsGroups": [],
            "sourceUrl": null,
            "sourceRuleUrl": null,
            "siemAlertId": null,
            "relatedCases": [],
            "lastSourceUpdateUnixTimeInMs": null,
            "nestingDepth": 0,
            "eventCount": 1,
            "caseId": 1001,
            "createTime": 1750684686624,
            "updateTime": 1750684686949,
            "product": "Microsoft:AccessDisabledAccounts",
            "displayName": "ACCESS DISABLED ACCOUNTS",
            "vendor": "Microsoft",
            "environment": "Production Environment",
            "ticketId": "c4db60fa-b510-414a-a462-c3f215809f96",
            "sourceSystemName": "Cloud App Security",
            "manual": false,
            "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1750684684139\",\"Alert_Id\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"TicketId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"DisplayId\":\"c4db60fa-b510-414a-a462-c3f215809f96\",\"StartTime\":\"1750684684139\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"d85ca9a7-58a7-4329-b615-ebe3dcfc6fd1\",\"EstimatedStartTime\":\"1750684684139\"}",
            "securityEventCards": [
                {
                    "fields": [
                        {
                            "order": 0,
                            "groupName": "Highlighted Fields",
                            "isIntegration": false,
                            "isHighlight": true,
                            "items": [
                                {
                                    "originalName": "DestinationHostName",
                                    "name": "Destination Host Name",
                                    "value": "WORKSTATION-01.LOCAL"
                                }
                            ]
                        }
                    ],
                    "identifier": "d7ab8656-c862-498c-a266-69718e46b1b7",
                    "caseId": 1001,
                    "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                    "name": "Virus found",
                    "product": "symantec:endpoint:protection",
                    "port": null,
                    "sourceSystemName": "ArcSight ESM",
                    "outcome": null,
                    "time": 1766566370354,
                    "type": "Virus found",
                    "artifactEntities": []
                }
            ],
            "involvedRelations": [],
            "sourceIdentifier": "GCP_Ingestion",
            "playbookStatus": 0
        }
    ],
    "isOverflowCase": false,
    "isManualCase": false,
    "slaExpirationUnixTime": 1749547833634,
    "slaCriticalExpirationUnixTime": 1749547773634,
    "stageSlaExpirationUnixTimeInMs": null,
    "stageSlaCriticalExpirationUnixTimeInMs": null,
    "canOpenIncident": false,
    "sla": {
        "slaExpirationTime": 1749547833634,
        "criticalExpirationTime": 1749547773634,
        "expirationStatus": 0,
        "remainingTimeSinceLastPause": null
    },
    "stageSla": {
        "slaExpirationTime": null,
        "criticalExpirationTime": null,
        "expirationStatus": 2,
        "remainingTimeSinceLastPause": null
    },
    "relatedAlertTicketId": null,
    "relatedAlertCards": [],
    "activities": [
        {
            "id": "Activity-Insight-16",
            "creatorUserId": "security_bot",
            "activityId": 16,
            "activityType": "CaseInsight",
            "caseId": 1001,
            "createTime": 1750068343993,
            "updateTime": 1750068343993,
            "alertIdentifier": "alert-phish-778899",
            "activityDataJson": {
                "TriggeredBy": "SecurityAutomator",
                "EntityIdentifier": "URGENT: ACTION REQUIRED ON SALARY",
                "EntityData": {
                    "CaseId": 1001,
                    "AlertIdentifier": "alert-phish-778899",
                    "AlertStatus": 0,
                    "Identifier": "URGENT: ACTION REQUIRED ON SALARY",
                    "EntityType": "EMAILSUBJECT",
                    "IsInternal": true,
                    "IsSuspicious": false,
                    "IsArtifact": true,
                    "IsPivot": false,
                    "Environment": "Production Environment",
                    "FieldsGroups": [
                        {
                            "Order": 0,
                            "GroupName": "Default",
                            "IsIntegration": false,
                            "IsHighlight": false,
                            "Items": [
                                {
                                    "OriginalName": "Network_Priority",
                                    "Name": "Network Priority",
                                    "Value": "0"
                                }
                            ]
                        }
                    ],
                    "HighlightedFieldsGroups": [],
                    "IsManuallyCreated": false,
                    "SourceUrl": null
                },
                "Title": "Phishing Subject Insight",
                "Content": "Detected unusual keywords in subject line.",
                "Severity": 0,
                "InsightType": 1,
                "AdditionalDataType": null,
                "AdditionalData": null,
                "AdditionalDataTitle": null,
                "AlertIdentifiers": [
                    "ALERT_PHISH_INSTANCE_ID_001"
                ],
                "EntityType": "EMAILSUBJECT",
                "CreatorUserId": "system",
                "CreatorFullName": "System Administrator",
                "Id": 16,
                "Type": 6,
                "CaseId": 1001,
                "IsFavorite": false,
                "ModificationTimeUnixTimeInMs": 1750068343993,
                "CreationTimeUnixTimeInMs": 1750068343993,
                "AlertIdentifier": "ALERT_PHISH_INSTANCE_ID_001"
            },
            "favorite": false
        }
    ],
    "entityCards": [
        {
            "identifier": "WORKSTATION-01.LOCAL",
            "type": "HOSTNAME",
            "suspicious": false,
            "linkedEntities": [
                {
                    "identifier": "192.168.1.50",
                    "type": "ADDRESS",
                    "suspicious": false,
                    "linkedEntities": [],
                    "direction": 0
                }
            ]
        }
    ],
    "entities": [
        {
            "caseId": 1001,
            "type": "FILEHASH",
            "enriched": false,
            "artifact": true,
            "vulnerable": false,
            "suspicious": false,
            "attacker": false,
            "pivot": false,
            "internal": true,
            "manuallyCreated": false,
            "fields": [
                {
                    "highlighted": false,
                    "displayName": "Default",
                    "hidden": false,
                    "items": [
                        {
                            "name": "Network Priority",
                            "originalName": "Network_Priority",
                            "value": "0"
                        }
                    ]
                }
            ],
            "identifier": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
            "id": 505,
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "environment": "Production Environment",
            "additionalProperties": "{\"Type\":\"FILEHASH\",\"IsArtifact\":\"True\",\"IsEnriched\":\"False\",\"IsTestCase\":\"False\",\"IsVulnerable\":\"False\",\"IsInternalAsset\":\"False\",\"OriginalIdentifier\":\"e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855\"}",
            "alertGroupIdentifier": "group-id-virus-scan-results",
            "networkPriority": 0
        }
    ],
    "totalSize": 1,
    "moveEnvironment": {},
    "insights": [
        {
            "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
            "caseId": 1001,
            "triggeredBy": "Analyst_John",
            "title": "Endpoint Discovery",
            "content": "Host workstation matched known internal asset list.",
            "entity": {
                "caseId": 1001,
                "alertIdentifier": "SECURITY_RISK_FOUND_ID_998877",
                "alertStatus": 0,
                "identifier": "WORKSTATION-01.LOCAL",
                "entityType": "HOSTNAME",
                "isInternal": true,
                "isSuspicious": false,
                "isArtifact": false,
                "isPivot": false,
                "environment": "Production Environment",
                "highlightedFieldsGroups": [],
                "isManuallyCreated": false,
                "sourceUrl": null,
                "fields": [
                    {
                        "order": 0,
                        "groupName": "Entity",
                        "isIntegration": false,
                        "isHighlight": false,
                        "items": [
                            {
                                "originalName": "IsPivot",
                                "name": "Is Pivot",
                                "value": "False"
                            }
                        ]
                    }
                ]
            },
            "severity": 0,
            "type": 6,
            "additionalDataType": null,
            "additionalData": null,
            "additionalDataTitle": null,
            "creatorUserName": "analyst_admin",
            "entityIdentifier": "WORKSTATION-01.LOCAL",
            "insightType": 1,
            "alertIdentifiers": [
                "SECURITY_RISK_FOUND_ID_998877"
            ],
            "entityType": "HOSTNAME",
            "creatorUserId": "user_id_101",
            "id": 444,
            "isFavorite": false,
            "modificationTimeUnixTimeInMs": 1766569221777,
            "creationTimeUnixTimeInMs": 1766569221777
        }
    ]
}
输出消息

获取支持请求详情操作可能会返回以下输出消息：

输出消息 消息说明

Finished executing "Get Case Details" successfully

 操作成功。
Error executing action "Get Case Details". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用获取支持请求详情操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取连接器上下文值

使用获取连接器上下文值操作，从 Google SecOps 数据库中指定键检索连接器上下文的值。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取连接器上下文值操作需要以下参数：

参数 说明
Connector Identifier

必填。

要从中检索上下文值的连接器的唯一标识符。
Key Name

必填。

存储上下文值的键。
Create Case Wall Table

可选。

如果选择此选项，该操作会使用检索到的上下文值创建一个案例墙表格。

如果检索到的值超出字符数限制，则不会创建表。

默认处于启用状态。

操作输出

获取连接器上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表

获取连接器上下文值操作可以生成下表：

表名称：Connector

表列：

  • 连接器标识符
  • 键
  • 值
输出消息

获取连接器上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY for the connector identifier CONNECTOR_IDENTIFIER.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Connector Context Value". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用获取连接器上下文值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取自定义字段值

使用获取自定义字段值操作，根据指定范围检索自定义字段的当前值。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取自定义字段值操作需要以下参数：

参数 说明
Scope

必填。

要从中检索自定义字段的范围。

可能的值如下：

  • Case
  • Alert
  • All

操作输出

获取自定义字段值操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取自定义字段值操作时收到的 JSON 结果输出：

[{
   "Case": {
       "Case Custom Field Name 1": "Updated Custom Field Value",
       "Case Custom Field Name 2": "Updated Custom Field Value"
   },
   "Alert": {
       "Alert Custom Field Name 1": "Updated Custom Field Value",
       "Alert Custom Field Name 2": "Updated Custom Field Value"
   }
}]
输出消息

获取自定义字段值操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned SCOPE custom fields.

No custom fields were found in scope SCOPE.

 操作成功。
Error executing action "Get Custom Field Values". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用获取自定义字段值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取范围上下文值

使用获取范围上下文值操作，从 Google SecOps 数据库中检索存储在指定键和上下文下的值。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索值的上下文范围。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

默认值为 Not specified。
Key Name

必填。

在指定上下文中存储值所用的键。
Create Case Wall Table

可选。

如果选择此选项，该操作会使用检索到的上下文值创建一个案例墙表格。

如果检索到的值超出字符数限制，则不会创建表。

默认处于启用状态。

操作输出

获取范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
“案例墙”表

获取范围上下文值操作可以生成下表：

表名称：SCOPE

表列：

  • 键
  • 值
输出消息

获取范围上下文值操作可以返回以下输出消息：

输出消息 消息说明

Successfully found context value for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

No context values were found for the provided context scope CONTEXT_SCOPE.

Context value was not found for the provided context key CONTEXT_KEY with scope CONTEXT_SCOPE.

Action can't return the Case Wall table as the context values are too big.

 操作成功。
Error executing action "Get Scope Context Value". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用获取范围上下文值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

获取类似案例

使用获取类似案例操作搜索类似案例并返回其 ID。

该操作会将逻辑 AND 运算符应用于 Rule Generator、Port、Category Outcome、Entity Identifier、Include Open Cases 和 Include Closed Cases 参数，以过滤出符合所有指定条件的案例。

此操作会在所有 Google SecOps 实体上运行。

操作输入

获取类似案例操作需要以下参数：

参数 说明
Rule Generator

可选。

如果选中，该操作会使用规则生成器搜索类似案例。

默认处于启用状态。
Port

可选。

如果选中此选项，该操作会使用端口号搜索类似案例。

默认处于启用状态。
Category Outcome

可选。

如果选中，该操作会使用类别结果搜索类似案例。

默认处于启用状态。
Entity Identifier

可选。

如果选中，该操作会使用实体标识符搜索类似案例。

默认处于启用状态。
Days Back

必填。

操作要搜索的当前日期之前的天数。
Include Open Cases

可选。

如果选中，该操作会在搜索中包含未结支持请求。

默认处于启用状态。
Include Closed Cases

可选。

如果选中，该操作会在搜索中包含已关闭的支持请求。

默认处于启用状态。

操作输出

获取类似案例操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取类似案例操作时收到的 JSON 结果输出：

{
  "results": [{
    "id": 23874, 
    "name": "Malware", 
    "tags": ["hi", "Simulated Case"], 
    "start time": "2024-09-25 05:43:41.999000+00:00", 
    "start time unix": 1727243021999, 
    "last modified": "2025-06-19 13:24:01.062000+00:00", 
    "priority": "Informative", 
    "assigned user": "@Tier1", 
    "matching_criteria": {
        "ruleGenerator": true, 
        "port": true, 
        "outcome": true, 
        "entities": true
      }, 
    "matched_entities": [
      {"entity": "INSTANCE-1", "type": "HOSTNAME", "isSuspicious": false}, 
      {"entity": "10.150.0.3", "type": "ADDRESS", "isSuspicious": false}, {"entity": "172.17.0.1", "type": "ADDRESS", "isSuspicious": false}, {"entity": "VANSHIKAVW_GOOGLE_COM", "type": "USERUNIQNAME", "isSuspicious": false}, 
      {"entity": "CURL", "type": "PROCESS", "isSuspicious": false}, {"entity": "EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}, 
      {"entity": "3395856CE81F2B7382DEE72602F798B642F14140", "type": "FILEHASH", "isSuspicious": false}, 
      {"entity": "34.85.128.214", "type": "ADDRESS", "isSuspicious": false}, 
      {"entity": "/HOME/VANSHIKAVW_GOOGLE_COM/EICAR_TEST_VANSHIKAVW-TEST-NEW", "type": "FILENAME", "isSuspicious": false}
      ], 
      "status": "Open"}], 
      "stats": 
      {"Malicious": 0.0, "Is Important": 0.0, "Is Incident": 0.0, "Status Open": 100.0}, 
      "platform_url": "https://soarapitest.backstory.chronicle.security/"
}
输出消息

获取类似支持请求操作可能会返回以下输出消息：

输出消息 消息说明

Processed NUMBER_OF_CASES similar cases: CASE_IDS_LIST

 操作成功。
Error executing action "Get Similar Cases". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用获取类似支持请求操作时脚本结果输出的值：

脚本结果名称 值
SimilarCasesIds 类似支持请求 ID 的列表。

指令

使用指令操作直接在案例中向分析师提供指令。

此操作不会在 Google SecOps 实体上运行。

操作输入

Instruction 操作需要以下参数：

参数 说明
Instruction

必填。

分析师的说明。

操作输出

Instruction 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Add Vote To Entity 操作可以返回以下输出消息：

输出消息 消息说明

Please perform the following instructions: INSTRUCTION.

 操作成功。
Error executing action "Instruction". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用 Instruction 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

在自定义名单中

使用在自定义列表中操作可检查指定自定义列表中是否存在某个实体。

此操作会在所有 Google SecOps 实体上运行。

操作输入

Is In Custom List 操作需要以下参数：

参数 说明
Category

必填。

要搜索的自定义名单类别的名称。

操作输出

Is In Custom List（在自定义名单中）操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

在自定义名单中操作可能会返回以下输出消息：

输出消息 消息说明

This alert contains entities in the given custom list category: CATEGORY.

This alert does not contain entities in the given custom list category: CATEGORY.

 操作成功。
Error executing action "Is In Custom List". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用在自定义名单中操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

标记为重要

使用标记为重要操作将支持请求标记为重要。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

标记为重要操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

标记为重要操作可能会返回以下输出消息：

输出消息 消息说明

The case was automatically marked as important.

 操作成功。
Error executing action "Mark As Important". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用标记为重要操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

打开网址

使用打开网址操作生成浏览器链接。

此操作不会在 Google SecOps 实体上运行。

操作输入

Open Web Url 操作需要以下参数：

参数 说明
Title

必填。

网址的标题。
URL

必填。

目标网址。

操作输出

打开网址操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

打开网址操作可能会返回以下输出消息：

输出消息 消息说明

URL_TITLE

URL_LINK

 操作成功。
Error executing action "Open Web Url". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用打开网址操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

暂停提醒服务等级协议

使用暂停提醒服务等级协议操作可暂停提醒的服务等级协议 (SLA) 计时器。

此操作不会在 Google SecOps 实体上运行。

操作输入

暂停提醒服务等级协议操作需要以下参数：

参数 说明
Message

可选。

暂停提醒服务等级协议的原因。

操作输出

暂停提醒服务等级协议操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停提醒服务等级协议操作可能会返回以下输出消息：

输出消息 消息说明

The alert SLA was paused.

 操作成功。
Error executing action "Pause Alert SLA". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用暂停提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

暂停支持请求 SLA

使用暂停支持请求 SLA 操作可暂停支持请求的服务等级协议 (SLA) 计时器。

此操作不会在 Google SecOps 实体上运行。

操作输入

暂停支持请求 SLA 操作需要以下参数：

参数 说明
Message

可选。

暂停支持请求 SLA 的原因。

操作输出

暂停支持请求 SLA 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

暂停支持请求 SLA 操作可能会返回以下输出消息：

输出消息 消息说明

The Case SLA was paused successfully.

 操作成功。
Error executing action "Pause Case SLA". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用暂停支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

允许的提醒时间

使用允许的提醒时间操作检查提醒的开始时间是否符合用户定义的时间条件。

此操作不会在 Google SecOps 实体上运行。

操作输入

Permitted Alert Time 操作需要以下参数：

参数 说明
Timestamp Type

可选。

用于比较的时间戳类型。

可能的值如下：

  • Alert Start Time
  • Alert Creation Time
  • Case Creation Time

默认值为 Alert Start Time。
Permitted Start Time

必填。

允许发送提醒的时间段的开始时间，例如 0:00:00。
Permitted End Time

必填。

允许发送提醒的时间段的结束时间，例如 0:00:00。
Monday

可选。

如果选中，则操作会将星期一纳入允许发送提醒的日子。

默认不启用。
Tuesday

可选。

如果选中，则该操作会将星期二纳入允许发送提醒的日子。

默认处于启用状态。
Wednesday

可选。

如果选中，则该操作会将星期三纳入允许发送提醒的日子。

默认处于启用状态。
Thursday

可选。

如果选中，则操作会将星期四纳入允许发送提醒的日子。

默认不启用。
Friday

可选。

如果选中，则操作会将星期五纳入允许发送提醒的日子。

默认不启用。
Saturday

可选。

如果选中，则该操作会将星期六纳入允许发送提醒的日期。

默认不启用。
Sunday

可选。

如果选中，则操作会将星期日纳入允许发送提醒的日期。

默认不启用。
Input Timezone

可选。

除了 IANA 时区（例如 America/New_York）之外，此操作还支持标准时区（例如 UTC）。

如果您提供 IANA 时区，则操作会自动调整夏令时。

操作输出

Permitted Alert Time 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Permitted Alert Time 操作可以返回以下输出消息：

输出消息 消息说明

Case Time of ALERT_TIMEis within condition parameters of between START_TIME - END_TIME on LIST_OF_PERMITTED_DAYS

 操作成功。
Error executing action "Permitted Alert Time". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用允许的提醒时间操作时脚本结果输出的值：

脚本结果名称 值
Permitted true 或 false

Ping

使用 Ping 操作测试与 Siemplify 的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作可能会返回以下输出消息：

输出消息 消息说明

Email address is syntactically correct.

 操作成功。
Error executing action "Ping". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

提出突发事件

使用提出突发事件操作将真正例案例标记为 Critical 并提出案例突发事件。

此操作不会在 Google SecOps 实体上运行。

操作输入

Raise Incident 操作需要以下参数：

参数 说明
Soc Role

可选。

要将案例分配到的 Google SecOps SOC 角色。

操作输出

Raise Incident 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Raise Incident 操作可能会返回以下输出消息：

输出消息 消息说明

The case raised to CASE_STAGE status.

 操作成功。
Error executing action "Raise Incident". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用引发突发事件操作时脚本结果输出的值：

脚本结果名称 值
脚本结果 true 或 false

移除标签

使用移除标记操作从支持请求中移除标记。

此操作不会在 Google SecOps 实体上运行。

操作输入

移除标签操作需要以下参数：

参数 说明
Tag

必填。

要从支持请求中移除的标签的逗号分隔列表。

操作输出

移除标记操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

移除标记操作可能会返回以下输出消息：

输出消息 消息说明
Successfully removed the following tags from case CASE_ID:TAGS 操作成功。

It is not possible to remove the tag.

Error executing action "Remove Tag". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用移除标记操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

从自定义列表中移除

使用从自定义列表中移除操作，从自定义列表类别中移除与提醒关联的实体。

此操作会在所有 Google SecOps 实体上运行。

操作输入

从自定义名单中移除操作需要以下参数：

参数 说明
Category

必填。

要从中移除实体标识符的自定义列表类别的名称。

操作输出

从自定义名单中移除操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

从自定义名单中移除操作可能会返回以下输出消息：

输出消息 消息说明

The alert's entities ENTITY_ID were removed from custom list category: CATEGORY

The given category does not exist.

 操作成功。
Error executing action "Remove From Custom List". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用从自定义名单中移除操作时脚本结果输出的值：

脚本结果名称 值
ScriptResult true 或 false

恢复提醒服务等级协议

使用恢复提醒服务等级协议操作可取消暂停并重启提醒的服务等级协议 (SLA) 计时器。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

恢复提醒服务等级协议操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复提醒服务等级协议操作可能会返回以下输出消息：

输出消息 消息说明

The alert SLA was resumed.

 操作成功。
Error executing action "Resume Alert SLA". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用恢复提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

恢复支持请求 SLA

使用恢复支持请求 SLA 操作可解除暂停状态并重启支持请求的服务等级协议 (SLA) 计时器。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

恢复支持请求 SLA 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

恢复支持请求 SLA 操作可能会返回以下输出消息：

输出消息 消息说明

The Case SLA was resumed successfully.

 操作成功。
Error executing action "Resume Case SLA". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用恢复支持请求 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

搜索支持请求

使用搜索支持请求操作，通过动态过滤条件搜索支持请求。

此操作不会在 Google SecOps 实体上运行。

操作输入

Search Cases 操作需要以下参数：

参数 说明
Assignee

可选。

分配给案例的用户的逗号分隔列表，用于过滤搜索结果。
Status

可选。

用于过滤搜索结果的支持请求状态选项。

可能的值如下：

  • Opened
  • Closed
Playbook Status

可选。

用于过滤搜索结果的一系列 playbook 状态。

可能的值如下：

  • In Progress
  • Completed
  • Failed
Severity

可选。

用于过滤搜索结果的支持请求严重级别。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
  • Informational
Environment

可选。

用于过滤搜索结果的环境的英文逗号分隔列表。 多个值将使用“OR”逻辑进行评估。

此参数支持通过使用 ~ 符号（例如 environment,~environment）进行“包含”匹配。
Case Names

可选。

用于过滤搜索结果的案例名称逗号分隔列表。多个值使用“OR”逻辑进行评估。

此参数支持通过使用 ~ 符号（例如 case,~case）进行“包含”匹配。
Alert Names

可选。

以英文逗号分隔的提醒名称列表，用于过滤搜索结果。系统会使用“OR”逻辑评估多个值。

此参数支持通过使用 ~ 符号（例如 alert,~alert）进行“包含”匹配。
Product Names

可选。

以英文逗号分隔的产品名称列表，用于过滤搜索结果。 多个值将使用“OR”逻辑进行评估。

此参数支持通过使用 ~ 符号（例如 product,~product）进行“包含”匹配。
Tag Names

可选。

用于过滤搜索结果的标签名称逗号分隔列表。多个值使用“OR”逻辑进行评估。
Timestamp Type

可选。

用于确定 Time Frame 是以支持请求的创建时间还是修改时间为目标的时间戳类型。

可能的值如下：

  • Modification Time
  • Creation Time

默认值为 Modification Time。
Time Frame

可选。

用于限制搜索结果的时间范围。

可能的值如下：

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom

如果选择 Custom，则 Start Time 参数是必需的。

默认值为 Last Hour。
Start Time

条件。

搜索结果时间范围的起始点（采用 ISO 8601 格式）。

如果 Time Frame 设置为 Custom，则此参数是必需的。
End Time

可选。

搜索结果的时间范围结束点，采用 ISO 8601 格式。

如果 Time Frame 设置为 Custom 且未提供任何值，则此参数默认为当前时间。

操作输出

搜索案例操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用搜索案例操作时收到的 JSON 结果输出：

[
    {
        "name": "projects//locations//instances//cases/4",
        "relatedAlerts": [],
        "dataAccessScopes": [],
        "id": 4,
        "lastModifyingUserId": "9c6562ad-f74f-424f-a2f7-c0d2d8629bbb",
        "createTime": 1769592095506,
        "updateTime": 1769689090290,
        "alertCount": 1,
        "type": "External",
        "overflowCase": false,
        "status": "Opened",
        "involvedSuspiciousEntity": false,
        "workflowStatus": "Completed",
        "source": "Server",
        "tags": [
            {
                "displayName": "Simulated Case",
                "priority": 0
            }
        ],
        "products": [
            {
                "displayName": "Windows:AccessDisabledAccounts",
                "alert": "ACCESS DISABLED ACCOUNTS_5FB4AAF2-1CB2-49F7-850D-EECCAB91B203"
            }
        ],
        "tasks": [],
        "displayName": "Access Disabled Accounts",
        "stage": "Triage",
        "priority": "PriorityHigh",
        "important": false,
        "assignee": "@Administrator",
        "incident": false,
        "environment": "Default Environment",
        "moveEnvironment": {}
    }
]
输出消息

搜索支持请求操作可能会返回以下输出消息：

输出消息 消息说明

Successfully returned cases based on the provided criteria.

 操作成功。
Error executing action "Search Cases". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用搜索案例操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置提醒服务等级协议

使用设置提醒 SLA 操作为提醒设置 SLA 计时器。

此操作不会在 Google SecOps 实体上运行。

操作输入

设置提醒 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

SLA 的总时长，超过该时长即视为违反 SLA。

SLA 总期限不得超过 30 天。

默认值为 5。
SLA Time Unit

必填。

服务等级协议 (SLA) 周期的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。
SLA Time To Critical Period

必填。

服务等级协议 (SLA) 进入关键状态前的时长。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 阶段的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。

操作输出

设置提醒 SLA 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置提醒 SLA 操作可能会返回以下输出消息：

输出消息 消息说明

Alert ALERT_NAME of case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Alert SLA". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用设置提醒 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置支持请求 SLA

使用设置支持请求 SLA 操作来设置支持请求的 SLA。

此操作具有最高优先级，会覆盖为特定案例定义的现有 SLA。

此操作不会在 Google SecOps 实体上运行。

操作输入

设置支持请求 SLA 操作需要以下参数：

参数 说明
SLA Period

必填。

SLA 的总时长，超过该时长即视为违反 SLA。

SLA 总期限不得超过 30 天。

默认值为 5。
SLA Time Unit

必填。

服务等级协议 (SLA) 周期的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。
SLA Time To Critical Period

可选。

服务等级协议 (SLA) 进入关键状态前的时长。

默认值为 4。
SLA Time To Critical Unit

必填。

关键 SLA 阶段的时间单位。

可能的值如下：

  • Minutes
  • Hours
  • Days

默认值为 Minutes。

操作输出

设置案例 SLA 操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

搜索 ASM 问题操作可能会返回以下输出消息：

输出消息 消息说明

Case CASE_ID was set with SLA of SLA_PERIOD SLA_TIME_UNIT and critical period of CRITICAL_PERIOD CRITICAL_TIME_UNIT.

 操作成功。
Error executing action "Set Case SLA". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用设置案例 SLA 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置自定义字段

使用设置自定义字段操作为自定义字段设置值。

此操作不会在 Google SecOps 实体上运行。

操作输入

设置自定义字段操作需要以下参数：

参数 说明
Scope

必填。

要为自定义字段设置的范围。

可能的值如下：

  • Case
  • Alert

默认值为 Case。
Custom Fields Data

必填。

自定义字段的更新值。

您可以在单次操作运行中更新多个自定义字段。

默认值为：

    {
      "Custom Field Name 1":"Custom Field Value 1",
      "Custom Field Name 2":"Custom Field Value 2"
    }
Append Values

可选。

如果选中，该操作会将 Custom Fields Data 中的输入附加到自定义字段的现有值。

如果未选择，该操作会使用 Custom Fields Data 参数中的输入覆盖现有值。

默认不启用。

操作输出

设置自定义字段操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用设置自定义字段操作时收到的 JSON 结果输出：

{
  "Custom Field Name": "Updated Custom Field Value",
  "Custom Field Name": "Updated Custom Field Value",
}
输出消息

设置自定义字段操作可能会返回以下输出消息：

输出消息 消息说明
Successfully updated the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES 操作成功。
Error executing action "Set Custom Fields". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用设置自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置风险评分

使用设置风险评分操作更新案例的风险评分。

此操作不会在 Google SecOps 实体上运行。

操作输入

设置风险评分操作需要以下参数：

参数 说明
Risk Score

必填。

要为案例设置的风险评分。

操作输出

设置风险评分操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置风险评分操作可能会返回以下输出消息：

输出消息 消息说明
Successfully set Risk Score for case CASE_ID 操作成功。
Error executing action "Set Risk Score". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用设置风险评分操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

设置范围上下文值

使用设置范围上下文值操作为存储在 Google SecOps 数据库中的键设置值。

此操作不会在 Google SecOps 实体上运行。

操作输入

设置范围上下文值操作需要以下参数：

参数 说明
Context Scope

必填。

要从中检索数据的上下文范围。

可能的值如下：

  • Not specified
  • Alert
  • Case
  • Global

默认值为 Not specified。
Key Name

必填。

要从中检索对应值的键名称。
Key Value

必填。

要存储在指定键下的值。

操作输出

设置范围上下文值操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

设置范围上下文值操作可以返回以下输出消息：

输出消息 消息说明
Successfully set context value for the context key CONTEXT_KEY with scope CONTEXT_SCOPE. 操作成功。
Error executing action "Set Scope Context Value". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用设置范围上下文值操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

更新支持请求说明

使用更新支持请求说明操作来更新支持请求说明。

此操作不会在 Google SecOps 实体上运行。

操作输入

更新支持请求说明操作需要以下参数：

参数 说明
Description

必填。

要为支持请求设置的说明。

操作输出

Update Case Description 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Update Case Description 操作可能会返回以下输出消息：

输出消息 消息说明
Successfully updated the case description. 操作成功。
Error executing action "Update Case Description". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用更新支持请求说明操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

等待自定义字段

使用等待自定义字段操作等待自定义字段值继续执行 playbook。

此操作不会在 Google SecOps 实体上运行。

操作输入

等待自定义字段操作需要以下参数：

参数 说明
Scope

必填。

要为自定义字段设置的范围。

可能的值如下：

  • Case
  • Alert

默认值为 Case。
Custom Fields Data

必填。

必须满足的自定义字段条件，才能恢复 playbook。 自定义字段名称及其所需值需要配置为 JSON 对象。

如果您为多个字段设置了条件，则操作会等待所有字段都与其各自的条件匹配。

  • 如需在自定义字段具有任何值时恢复，请配置空字符串： 
    {"Custom Field Name": ""}
  • 如需在自定义字段等于特定值（例如 VALUE_1）时恢复，请指定该值： 
    {"Custom Field Name": "VALUE_1"}

默认值显示预期的 JSON 格式：

{
  "Custom Field Name 1": "Custom Field Value 1",
  "Custom Field Name 2": "Custom Field Value 2"
}

操作输出

等待自定义字段操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用等待自定义字段操作时收到的 JSON 结果输出：

{
"Custom Field Name": "Updated Custom Field Value",
"Custom Field Name": "Updated Custom Field Value",
}
输出消息

Wait For Custom Fields 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully waited for the following SCOPE custom fields: UPDATED_CUSTOM_FIELD_NAMES

Waiting for SCOPE custom fields updates...

 操作成功。
Error executing action "Wait For Custom Fields". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用等待自定义字段操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

作业

如需详细了解作业，请参阅 配置新作业和 高级调度。

Siemplify - Actions Monitor

使用 Siemplify - Actions Monitor 作业接收有关在过去三小时内至少失败三次的操作的通知。

作业参数

Siemplify - Actions Monitor 作业需要以下参数：

参数 说明
Run Interval In Seconds

可选。

作业运行的时间间隔（以秒为单位）。

此参数决定了集成检查失败的 playbook 操作的频率。

默认值为 900。
Is Enabled

可选。

如果选中，则作业处于有效状态，并将按计划运行。如果未选中，则作业会被停用，不会执行。

默认处于启用状态。

Siemplify - Cases Collector DB

使用 Siemplify - Cases Collector DB 作业从指定发布商处检索和处理安全案例。

作业参数

Siemplify - Cases Collector DB 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集支持请求和日志的发布商的 ID。
Verify SSL

可选。

如果选中，作业会验证发布者的 SSL 证书是否有效。

默认不启用。

Siemplify - 日志收集器

使用 Siemplify - Logs Collector 作业从指定发布者检索和处理日志。

作业输入

Siemplify - Logs Collector 作业需要以下参数：

参数 说明
Publisher Id

必填。

要从中收集日志的发布商的 ID。
Verify SSL

可选。

如果选中，作业会验证发布者的 SSL 证书是否有效。

默认不启用。

Siemplify - 响应集成和连接器升级

使用响应集成和连接器升级作业，通过将响应集成和连接器升级到最新版本，或在 Content Hub 中有新版本可用时生成通知，自动维护您的环境。

作业行为

该作业会扫描 Content Hub，以找出未运行最新版本的集成和连接器。根据所选的 Mode，作业会执行以下操作：

  • 过滤逻辑：作业使用以下条件来确定在扫描期间要排除哪些组件。

    • 预演环境：作业仅扫描已安装的集成。如果启用了 Update Staging Only，则作业仅处理手动创建的预演环境中的集成。您必须先配置预演环境并分配相关集成，然后作业才能在此模式下识别更新。

    • 集成：在应用 Integrations To Ignore 列表时，作业会同时检查标识符和显示名称。

    • 连接器：过滤仅适用于显示名称，因为连接器标识符不是唯一的。

  • 通知模式：设置为 Notification 模式时，作业会识别可用更新，并生成具有以下结构的系统通知。

    以下集成有新的响应集成版本：
    {Integration Name}：{previous version} -> {new version}

    以下连接器有更新：
    {Connector display name}

    这些通知会显示在 Google SecOps 平台的 通知 通知 > 系统通知下。

  • 升级模式：设置为 Upgrade 模式时，作业会自动应用更新并生成具有以下结构的确认通知。

    以下响应集成已更新至最新版本：
    {Response Integration name}

    以下连接器已更新至最新版本：
    {Connector display name}

作业输入

Siemplify - 响应集成和连接器升级作业需要以下参数：

参数 说明
Update Staging Only

可选。

如果选中此选项，则作业仅会更新或通知手动配置的预演环境中的集成。这样，您就可以在将更改推送到生产环境之前测试更新。

默认处于启用状态。
Update Enabled Connectors Only

可选。

如果选中此选项，作业只会升级或生成当前已启用的连接器的通知。扫描期间会忽略已停用的连接器实例。

默认情况下不选择。
Mode

必填。

作业的运行模式。

可能的值如下：

  • Notification：作业会扫描更新并生成平台通知，而不会应用更改。
  • Upgrade：该作业会扫描更新，自动应用更新（模拟界面中的手动更新流程），并生成确认通知。

默认值为 Notification。
Integrations To Ignore

可选。

在升级过程中要跳过的集成标识符的逗号分隔列表。您必须使用集成详情中找到的唯一标识符（例如 GoogleCloudAPI），而不是显示名称。
Connectors To Ignore

可选。

在升级过程中要跳过的连接器显示名称的英文逗号分隔列表。这样，您就可以精细控制要更新哪些特定的连接器实例。
Overwrite Custom Integration

可选。

如果选中，该作业会升级最初基于商业版或社区版的自定义集成（包括已导出然后重新导入平台的商业集成）。

默认处于启用状态。
Ignore Ontology Mapping Update For Integrations

可选。

集成标识符的逗号分隔列表，升级过程会保留这些标识符的现有本体映射。您必须使用集成详情中找到的唯一标识符（例如 GoogleCloudAPI），而不是显示名称。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。