工具

支持范围：

一组用于数据操作的实用操作，可增强 playbook 功能。

操作

下面列出了您可以使用“工具”强化功能执行的操作类型。

添加提醒评分信息

说明

向提醒评分数据库添加条目。提醒分数基于以下比率：5 个低 = 1 个中。3 个中等 = 1 个高。2 个高优先级 = 1 个严重优先级。已向支持请求添加可选标记。

参数

参数 类型 默认值 是否为必填项 说明
名称 字符串 不适用 是 对提醒执行的检查的名称。
说明 字符串 不适用 是 对提醒执行的检查的说明。
严重级别 字符串 参考信息 是 严重级别。
类别 字符串 不适用 是 所执行检查的类别。
来源 字符串 不适用 否 得分所依据的提醒部分。示例：文件、用户、电子邮件。
案例标记 字符串 不适用 否 要添加到支持请求的标记。

示例

此示例将提醒分数设置为“高”，因为 VirusTotal 结果可疑。

tools16

操作结果

  • 脚本结果
    脚本结果名称 “值”选项 示例
    Alert_score 信息、低、中、高、严重 高
  • JSON 结果 
    {
"category": "File Enrichment",
 "score_data": [{"score_name": "File Enrichment", "description": "VT has found a file to be suspicious", "severity": "High", "score": 3, "source": "VirusTotal"}],
 "category_score": 3
}

向实体日志添加评论

说明

在实体探索器中，为评分中的每个实体向实体日志添加注释。

参数

参数 类型 默认值 是否为必填项 说明
用户 下拉菜单 @Administrator 是 指定创建评论的用户。
评论 字符串 不适用 是 指定要添加到实体日志中的评论。

示例

tools24

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    不适用 不适用 不适用

添加或更新提醒附加数据

说明

在提醒附加数据中添加或更新字段。结果会显示在提醒概览的 OFFENSE_ID 字段中。

参数

参数 类型 默认值 是否为必填项 说明
JSON 字段 JSON 不适用 是 输入自由文本（针对一个变量）或表示 JSON 字典的字符串（可以嵌套）。

示例

此示例将 MITRE 攻击详细信息添加到要在提醒概览中显示的提醒中。

tools1

tools2

操作执行结果

  • 脚本结果
    脚本结果名称 “值”选项 示例
    ScriptResult 字典中的项数 2
  • JSON 结果 
    {
"dict": {"mitre": " T1059"}, "list": []
}

附加到上下文值

说明

将值附加到现有上下文属性，或者创建新的上下文属性（如果不存在）并添加值。

参数

参数 类型 默认值 是否为必填项 说明
键 字符串 不适用 是 指定上下文属性键
值 字符串 不适用 是 指定要附加到上下文属性的值
分隔符 字符串 不适用 是 指定值字段中使用的定界符。

示例

在此场景中，我们将值“T1595”和“T1140”添加到现有上下文键“MITRE”。

tools12

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 上下文值 T1595、T1140

将支持请求分配给用户

说明

将支持请求分配给用户。

参数

参数 类型 默认值 是否为必填项 说明
支持请求 ID 字符串 不适用 是 指定支持请求 ID。对当前支持请求使用 [Case.Id]。
分配给 字符串 @Admin 是 指定要将支持请求分配给的用户。这是用户的 ID。使用“获取 Siemplify 用户”操作检索特定用户的 ID。
提醒 ID 字符串
是 指定提醒 ID。使用 [Alert.Identifier]。

示例

在此场景中，我们将使用当前支持请求的 ID 将其分配给特定用户。

tools34

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

将 playbook 附加到提醒

说明

将特定 playbook 或区块附加到当前提醒。

参数

参数 类型 默认值 是否为必填项 说明
Playbook 名称 字符串 不适用 是 要添加到所有案例提醒中的 Playbook 或区块名称。

示例

此示例将名为遏制块的块附加到当前案例提醒。

tools4

操作执行结果

  • 脚本结果
    脚本结果名称 “值”选项 示例
    ScriptResult true 或 false true

将 playbook 附加到所有案例提醒

说明

将特定 playbook 或块附加到案例中的所有提醒。

参数

参数 类型 默认值 是否为必填项 说明
Playbook 名称 字符串 不适用 是 要添加到案例中所有提醒的 Playbook 或块名称。

示例

此示例会将名为 Phishing playbookM 的 playbook 附加到所有案例提醒。

tools3

操作执行结果

  • 脚本结果
    脚本结果名称 “值”选项 示例
    ScriptResult true 或 false true

Buffer

说明

将 JSON 输入转换为 JSON 对象。

参数

参数 类型 默认值 是否为必填项 说明
ResultValue 字符串 不适用 否 作为 ScriptResult 值返回的占位值。
JSON JSON 不适用 否 表达式构建器中显示的 JSON。

示例

此示例在 JSON 表达式构建器中显示 JSON 输入值，以供进一步操作使用。

tools5-buffer

操作执行结果

  • 脚本结果
    脚本结果名称 “值”选项 示例
    ScriptResult ResultValue 参数输入值 成功
  • JSON 结果 
    {
"domain" : "company.com",
"domain2" : "company2.com"
}

更改支持请求名称

说明

更改支持请求名称或标题。

参数

参数 类型 默认值 是否为必填项 说明
新名称 字符串 不适用 否 指定支持请求的新名称。
仅在首次发出提醒时 复选框 未选择 否 如果选中，则仅当对案例中的第一个提醒执行操作时，才会更改案例的名称。

示例

在这种情况下，只有在第一个提醒中运行时，案例的标题才会更改为“钓鱼式攻击 - 可疑电子邮件”。

tools29

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

检查文本中的实体字段

说明

在范围内的每个实体中搜索特定字段（或使用正则表达式搜索多个字段），并将其与一个或多个值进行比较。比较的值也可以通过正则表达式进行。如果实体丰富中的某个后正则表达式值位于一个或多个搜索值中，则表示找到匹配项。

参数

参数 类型 默认值 是否为必填项 说明
SearchInData JSON [ { "Data": "[Event.from]", "RegEx": "(?<=@)[^.]+(?=\\.)" } ] 是 表示您要搜索的字符串的 JSON，采用以下格式：[ { "Data": "", "RegEx": "" } ]
FieldsInput JSON [ { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "" }, { "RegexForFieldName": ".*(_url_).*", "FieldName": "", "RegexForFieldValue": "" }, { "RegexForFieldName": "", "FieldName": "body", "RegexForFieldValue": "HostName: (.*?)" } ] 是 一个 JSON，用于描述应测试哪些字段 [ "RegexForFieldName": “”,

"FieldName": "Field name to search",

"RegexForFieldValue": “”}]
ShouldEnrichEntity 字符串 domain_matched 否 如果设置为 <VAL>，系统还会在实体上放置一个丰富值，以便将其识别为与该值“匹配”。

密钥将为 <VAL>
IsCaseSensitive 复选框 未选择 否 请指定字段是否区分大小写。

示例

在此场景中，我们将检查指定文本中是否存在字段名称为 malicious 的实体。

tools18

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 发现结果数量 0
  • JSON 结果 
    {
"Entity": "EXL88765-AD", "EntityResult": [{"RegexForFieldName": "", "FieldName": "malicious", "RegexForFieldValue": "", "ResultsToSearch": {"val_to_search": [[]], "found_results": [], "num_of_results": 0}}]
}

检查列表子集

说明

检查一个列表中的值是否存在于另一个列表中。

参数

参数 类型 默认值 是否为必填项 说明
原始模式 字符串 不适用 是 指定要检查的项目列表。JSON 列表或以英文逗号分隔。
子集 列表 不适用 是 指定子集列表。JSON 列表或以英文逗号分隔。

示例

在此场景中，我们会检查值 1、2、3 是否存在于原始列表 1、2、3、4、5 中，从而得出 true 结果值。

tools15

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

转换为模拟案例

说明

将支持请求转换为可加载到平台中的模拟支持请求。

参数

参数 类型 默认值 是否为必填项 说明
推送到模拟案例 复选框 未选择 否 如果选中，该案例会被添加到可用的模拟案例列表中。
将 JSON 保存为 Case Wall 文件 复选框 已选择 否 如果选择此选项，系统会将表示该支持请求的 JSON 文件保存到支持请求墙，以便下载。
替换提醒名称 字符串 空白 否 指定要使用的新提醒名称。如果选择此参数，它将取代完整路径名称参数。
路径的全名 复选框 未选择 否 如果选择此选项，请使用提醒名称作为 source_product_eventtype，例如 QRadar_WinEventLog:Security_Remote fail login。 如果设置了替换提醒名称，则系统会忽略此参数。

示例

在此示例中，一个案例被转换为模拟案例，并使用“Risky Sign On”作为提醒名称，该名称将作为主屏幕中可用的模拟案例之一显示。

convertsimcase1

convertsimcase2

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
  "cases": [
    {
      "CreatorUserId": null,
      "Events": [
        {
          "_fields": {
            "BaseEventIds": "[]",
            "ParentEventId": -1,
            "DeviceProduct": "WinEventLog:Security",
            "StartTime": "1689266169689",
            "EndTime": "1689266169689"
          },
          "_rawDataFields": {
            "sourcetype": "Failed login",
            "starttime": "1689702001439",
            "endtime": "1689702001439"
          },
          "Environment": null,
          "SourceSystemName": null,
          "Extensions": []
        }
      ],
      "Environment": "default",
      "SourceSystemName": "QRadar",
      "TicketId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Description": "This case created by SPLUNK query ",
      "DisplayId": "de2e3913-e4d8-4060-ae2b-1c81ee64ba47",
      "Reason": null,
      "Name": "Risky Sign On",
      "DeviceVendor": "WIN-24TBDNRMSVB",
      "DeviceProduct": "WinEventLog:Security",
      "StartTime": 1689702001439,
      "EndTime": 1689702001439,
      "Type": 1,
      "Priority": -1,
      "RuleGenerator": "Remote Failed login",
      "SourceGroupingIdentifier": null,
      "PlaybookTriggerKeywords": [],
      "Extensions": [
        {
          "Key": "KeyName",
          "Value": "TCS"
        }
      ],
      "Attachments": null,
      "IsTrimmed": false,
      "DataType": 1,
      "SourceType": 1,
      "SourceSystemUrl": null,
      "SourceRuleIdentifier": null,
      "SiemAlertId": null,
      "__CorrelationId": "7efd38feaea247ad9f5ea8d907e4387c"
    }
  ]
}

使用分隔符创建实体

说明

创建实体并将其添加到提醒中。

参数

参数 类型 默认值 是否为必填项 说明
实体标识符 字符串 不适用 是 指定要添加到提醒中的实体。
实体类型 字符串 不适用 是 指定实体类型。
是内部资产 复选框 未选择 否 检查提供的实体是否属于内部网络。
实体分隔符 字符串 、 是 指定实体标识符字段中使用的分隔符。
富化 JSON 下拉菜单 JSON 否 以 JSON 格式指定丰富数据。
PrefixForEnrichment 字符串 不适用 否 指定要添加到丰富化数据的前缀。

示例

在此场景中，我们将创建三个 IP 实体，并使用名为“is_suspicious”的字段来丰富这些实体。

tools9

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
"created": ["0.0.0.0", "0.0.0.1", "0.0.0.2"], 
"enriched": ["0.0.0.0", "0.0.0.1", "0.0.0.2"],
"failed": []
}

创建实体关系

说明

在提供的实体与关联的实体之间创建关系。如果提供的实体不存在，则会创建这些实体。

参数

参数 类型 默认值 是否为必填项 说明
实体标识符 字符串 不适用 是 创建新的实体标识符或使用现有实体标识符，或使用以英文逗号分隔的标识符列表。
实体标识符类型 下拉菜单 用户名 是 指定实体类型。
连接身份 下拉菜单 来源 是 使用来源、目标或关联关系将实体标识符连接到目标实体标识符。
目标实体类型 下拉菜单 地址 是 指定要将实体标识符连接到的目标实体类型。
目标实体标识符 字符串 不适用 否 此逗号分隔列表中的实体

“目标实体类型”中的类型将关联到“实体标识符”参数中的实体。

富化 JSON JSON 不适用 否 一个可选的 JSON 对象，包含键/

可添加到新创建的实体的属性值对。

分隔符 字符串 不适用 否 指定用于分隔“实体标识符”和/或“目标实体标识符”中的实体列表的字符。默认值为逗号。

示例

在此场景中，我们将在用户和网址之间创建关系。在本例中，Bola001 访问了 example.com 的网址。

tools13

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
"Entity": "Bola001", "EntityResult": {}
}

创建 Siemplify 任务

说明

将任务分配给用户或角色。该任务将与执行操作的支持请求相关。

参数

参数 类型 默认值 是否为必填项 说明
任务标题 字符串 不适用 否 指定任务的标题。
SLA（以分钟为单位） 整数 480 是 指定分配的用户/角色必须在多少分钟内响应任务。
任务内容 字符串 不适用 是 指定任务的详细信息。
分配给 下拉菜单 不适用 是 指定要将任务分配给的用户或角色。

示例

在这种情况下，系统会创建一项任务，指示第 3 层级运行病毒扫描。

tools33

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

Delay Playbook V2

说明

在指定时间段内暂时停止 playbook 完成。

参数

参数 类型 默认值 是否为必填项 说明
秒 整数 0 否 指定 playbook 的延迟秒数。
分钟 整数 1 否 指定 Playbook 的延迟分钟数。
小时 整数 0 否 指定 playbook 的延迟小时数。
天 整数 0 否 指定 Playbook 的延迟天数。
Cron 表达式 字符串 不适用 否 使用 cron 表达式确定 playbook 应在何时继续执行。 其优先级高于其他参数。

示例

在此场景中，我们将 Playbook 延迟 12.5 小时。

tools20

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

DNS 查找

说明

使用指定的 DNS 解析器执行 DNS 查找。

参数

参数 类型 默认值 是否为必填项 说明
DNS 服务器 IP 地址 不适用 是 单个 DNS 服务器或以英文逗号分隔的多个 DNS 服务器。

示例

此示例显示了 Google 的公共 DNS 地址 8.8.8.8，用于搜索外部网域实体。

toolsnew1

操作结果

  • 脚本结果
    脚本结果名称 “值”选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
"Entity": "WWW.EXAMPLE.ORG",
 "EntityResult": [{"Type": "A", "Response": "176.9.157.114", "DNS Server": "8.8.8.8"}]
}

提取网址网域

说明

使用新字段 siemplifytools_extracted_domain 丰富所有实体，其中包含从实体标识符中提取的网域。如果实体没有网域（例如文件哈希），则不会返回任何内容。除了实体之外，用户还可以将网址列表指定为参数，并在不进行扩充的情况下处理这些网址。

参数

参数 类型 默认值 是否为必填项 说明
分词符 字符串 、 是 指定用于分隔网址的分隔符字符串。
网址 字符串 不适用 否 指定一个或多个要从中提取网域的网址。
提取子域名 复选框 不适用 否 指定是否还要提取子网域。

示例

在此场景中，我们将从指定网址中提取域名。

tools14

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 提取的网域数量 1
  • JSON 结果 
    {
"Entity": "https://sample.google.com", "EntityResult": {"domain": "sample.google.com", "source_entity_type": "DestinationURL"}
}

查找第一个提醒

说明

返回给定案例中第一个提醒的标识符。

参数

没有适用的参数。

示例

在这种情况下，它会返回案例中第一个提醒的提醒标识符。

tools27

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 提醒标识符值 IRC CONNECTIONS9A33308C-AC62-4A41-8F73-20529895D567

获取支持请求数据

说明

从支持请求中检索所有数据，并返回 JSON 结果。结果包括评论、实体信息、数据分析、运行的 playbook、提醒信息和事件。

参数

参数 类型 默认值 是否为必填项 说明
支持请求 ID 整数 不适用 否 指定要查询的支持请求 ID。如果留空，系统将使用当前支持请求。

示例

在此场景中，我们将从当前支持请求中检索支持请求详细信息。

tools35

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
  "id": 11111,
  "creationTimeUnixTimeInMs": 1770209216367,
  "modificationTimeUnixTimeInMs": 1770209216367,
  "createTime": 1770209216367,
  "updateTime": 1770209216367,
  "name": "Access Disabled Accounts",
  "displayName": "Access Disabled Accounts",
  "priority": -1,
  "important": false,
  "incident": false,
  "isImportant": false,
  "isIncident": false,
  "startTimeUnixTimeInMs": 1770209216367,
  "endTimeUnixTimeInMs": null,
  "assignedUser": "@SOC_Analyst",
  "assignee": "@SOC_Analyst",
  "description": "",
  "isTestCase": true,
  "type": "Test",
  "stage": "Triage",
  "environment": "Production_Environment",
  "status": 1,
  "products": [
    {
      "displayName": "Windows:AccessDisabledAccounts",
      "alert": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "score": 0,
  "involvedSuspiciousEntity": false,
  "workflowStatus": "InProgress",
  "source": "Simulated",
  "tasks": [],
  "incidentId": "",
  "lastModifyingUserId": "System",
  "tags": [
    "Simulated Case"
  ],
  "relatedAlerts": [],
  "alertCount": 1,
  "wallData": [
    {
      "caseId": 11111,
      "activityKind": "Action",
      "activityDataJson": "{\"ActionTriggerType\":0,\"Integration\":\"Tools\",\"ExecutingUser\":null,\"PlaybookName\":\"Security_Workflow_Test\",\"PlaybookIsInDebugMode\":true,\"Status\":5,\"ActionProvider\":\"Scripts\",\"ActionIdentifier\":\"Tools_Get_Case_Data_1\",\"ActionName\":\"Tools_Get Case Data\",\"ActionResult\":\"Action started\",\"AlertIdentifiers\":[],\"TargetEntites\":[],\"Parameters\":{\"Case Id\":\"\",\"Fields to Return\":\"\",\"Nested Keys Delimiter\":\".\"},\"LoopIteration\":null,\"LoopName\":null,\"Properties\":{},\"CreatorUserId\":null,\"CreatorFullName\":null,\"Id\":222222,\"Type\":3,\"CaseId\":11111,\"IsFavorite\":false,\"ModificationTimeUnixTimeInMs\":1770209218163,\"CreationTimeUnixTimeInMs\":1770209218163,\"AlertIdentifier\":\"ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0\"}",
      "favorite": false,
      "name": "projects/internal-project/locations/global/instances/default/cases/11111/caseWallRecords/ActionResults222222",
      "id": "ActionResults222222",
      "activityId": 222222,
      "activityType": "CaseAction",
      "createTime": 1770209218163,
      "updateTime": 1770209218163,
      "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0"
    }
  ],
  "entityCards": [],
  "entities": [],
  "isOverflowCase": false,
  "overflowCase": false,
  "isManualCase": false,
  "manualCase": false,
  "slaExpirationUnixTime": null,
  "slaCriticalExpirationUnixTime": null,
  "stageSlaExpirationUnixTimeInMs": null,
  "stageSlaCriticalExpirationUnixTimeInMs": null,
  "canOpenIncident": false,
  "sla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "stageSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alertSla": {
    "slaExpirationTime": -1,
    "criticalExpirationTime": -1,
    "expirationStatus": "NoSla",
    "remainingTimeSinceLastPause": -1
  },
  "alerts": [
    {
      "id": 333333,
      "creationTimeUnixTimeInMs": 0,
      "modificationTimeUnixTimeInMs": 0,
      "identifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
      "status": "Open",
      "name": "ACCESS DISABLED ACCOUNTS",
      "priority": "Informative",
      "workflowsStatus": 1,
      "slaExpirationUnixTime": null,
      "slaCriticalExpirationUnixTime": null,
      "startTime": 1768587188938,
      "endTime": 1768587188938,
      "alertGroupIdentifier": "Access_Disabled_Accounts_Group_Z1Y2X3",
      "eventsCount": 1,
      "title": "ACCESS DISABLED ACCOUNTS",
      "ruleGenerator": "Access Disabled Accounts",
      "deviceProduct": "Windows:AccessDisabledAccounts",
      "deviceVendor": "Microsoft",
      "caseId": 11111,
      "playbookAttached": null,
      "playbookRunCount": 1,
      "isManualAlert": false,
      "sla": {
        "slaExpirationTime": -1,
        "criticalExpirationTime": -1,
        "expirationStatus": "NoSla",
        "remainingTimeSinceLastPause": -1
      },
      "fieldsGroups": [],
      "sourceUrl": null,
      "sourceRuleUrl": null,
      "siemAlertId": null,
      "additionalProperties": "{\"Name\":\"Access Disabled Accounts\",\"Type\":\"ALERT\",\"EndTime\":\"1768587279109\",\"Alert_Id\":\"ID-99999-AAAAA\",\"TicketId\":\"TICKET-88888-BBBBB\",\"DisplayId\":\"DISPLAY-77777-CCCCC\",\"StartTime\":\"1768587279109\",\"IsArtifact\":\"False\",\"IsEnriched\":\"False\",\"IsTestCase\":\"True\",\"Description\":\"Access Disabled Accounts\",\"Environment\":\"Production_Environment\",\"IsSuspicious\":\"False\",\"IsVulnerable\":\"False\",\"DataAccessScope\":null,\"IsInternalAsset\":\"False\",\"AlertBaseEventIds\":\"EVENT-ID-66666-DDDDD\",\"EstimatedStartTime\":\"1768587279109\"}",
      "ticketId": "TICKET-UNIQUE-UUID-VALUE",
      "closureDetails": {
        "reason": "Unknown"
      },
      "productFamilies": [],
      "entityCards": [],
      "securityEventCards": [
        {
          "fields": [
            {
              "order": 0,
              "groupName": "Highlighted Fields",
              "isIntegration": false,
              "isHighlight": true,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Application",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "applicationProtocol",
                  "name": "Application Protocol",
                  "value": "TCP"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "System",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "categoryOutcome",
                  "name": "CategoryOutcome",
                  "value": "Allowed"
                },
                {
                  "originalName": "destinationPort",
                  "name": "DestinationPort",
                  "value": "633"
                },
                {
                  "originalName": "deviceProduct",
                  "name": "DeviceProduct",
                  "value": "Windows:AccessDisabledAccounts"
                },
                {
                  "originalName": "deviceVendor",
                  "name": "DeviceVendor",
                  "value": "Windows"
                },
                {
                  "originalName": "name",
                  "name": "Name",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Destination",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "destinationNtDomain",
                  "name": "Destination Domain",
                  "value": ""
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Device",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceAddress",
                  "name": "Device Address",
                  "value": "10.10.20.50"
                },
                {
                  "originalName": "deviceHostName",
                  "name": "Device Host Name",
                  "value": "SEC-SVR-04"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Event",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "deviceEventClassId",
                  "name": "Device Event Class ID",
                  "value": "Access Disabled Accounts"
                },
                {
                  "originalName": "message",
                  "name": "Message",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Default",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "Field_29",
                  "name": "Field_29",
                  "value": "REDACTED_VAL"
                },
                {
                  "originalName": "sourcetype",
                  "name": "sourcetype",
                  "value": "Access Disabled Accounts"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Time",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "endTime",
                  "name": "End Time",
                  "value": "1768587279109"
                },
                {
                  "originalName": "managerReceiptTime",
                  "name": "Manager Receipt Time",
                  "value": "1522058625000"
                },
                {
                  "originalName": "startTime",
                  "name": "Start Time",
                  "value": "1768587279109"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Threat",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "severity",
                  "name": "Severity",
                  "value": "9"
                }
              ]
            },
            {
              "order": 0,
              "groupName": "Source",
              "isIntegration": false,
              "isHighlight": false,
              "items": [
                {
                  "originalName": "sourceAddress",
                  "name": "Source Address",
                  "value": "192.168.10.25"
                },
                {
                  "originalName": "sourceHostName",
                  "name": "Source Host Name",
                  "value": "workstation-01.internal.corp"
                },
                {
                  "originalName": "sourceUserName",
                  "name": "Source User Name",
                  "value": "user_account@internal"
                }
              ]
            }
          ],
          "identifier": "UID-AAA-BBB-CCC-DDD",
          "caseId": 11111,
          "alertIdentifier": "ACCESS_DISABLED_ACCOUNTS_A1B2C3D4E5F6G7H8I9J0",
          "name": "Access Disabled Accounts",
          "product": "Windows:AccessDisabledAccounts",
          "port": null,
          "sourceSystemName": "Security_Information_Service",
          "outcome": null,
          "time": 1768587188938,
          "type": "Access Disabled Accounts",
          "artifactEntities": []
        }
      ],
      "involvedRelations": []
    }
  ]
}

获取证书详情

说明

检索给定网址的证书详细信息。

参数

参数 类型 默认值 是否为必填项 说明
要检查的网址 网址 expired.badssk.com 是 指定要从中检索证书详细信息的网址。

示例

在此场景中，我们将从 expired.badssl.com 网站检索证书详细信息。

tools6

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
"hostname": "expired.badssl.com",
 "ip": "104.154.89.105", 
"commonName": "*.badssl.com",
 "is_self_signed": false, 
"SAN": [["*.badssl.com", "badssl.com"]], 
"is_expired": true, 
"issuer": "EXAMPLE CA", 
"not_valid_before": "04/09/2015", 
"not_valid_after": "04/12/2015", 
"days_to_expiration": -2762
}

获取上下文值

说明

检索案例或提醒中上下文键的值。

参数

参数 类型 默认值 是否为必填项 说明
范围 下拉菜单 提醒 是 指定键值的范围，无论是在案例、提醒还是全局范围内。
键 字符串 不适用 是 指定密钥。

示例

在此场景中，我们将从案例中名为 impact 的键中检索上下文值。此操作与设置上下文值操作一起使用，后者会将键值对添加到案例或提醒中。

tools7

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 上下文值 高


获取当前时间

说明

返回当前日期和时间。

参数

参数 类型 默认值 是否为必填项 说明
日期时间格式 字符串 %d/%m/%Y %H:%M 是 指定日期和时间的格式。

示例

在此场景中，我们将使用以下格式返回日期和时间值：%d/%m/%Y %H:%M:%S

tools22

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 日期时间值 2022 年 3 月 11 日 20:33:43

获取电子邮件模板

说明

返回系统中的所有电子邮件模板。

参数

参数 类型 默认值 是否为必填项 说明
模板类型 下拉菜单 标准 是 指定要返回的模板类型，标准或 HTML。

示例

在此场景中，我们将返回所有基于 HTML 的电子邮件模板。

tools8

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 包含 HTML 代码的 JSON 结果 JSON 结果显示在下一部分中
  • JSON 结果 
    {
"templates": [{"type": 1, "name": "test 1", "content": "<html>\n    <head>\n    <style type=\"text/css\"> .title\n\n    { color: blue; text-decoration: bold; text-size: 1em; }\n    .author\n    { color: gray; }\n\n    </style>\n    </head>\n\n    <body>\n    <span class=\"title\">La super bonne</span>\n    {Text}\n    [Case.Id]\n    </h1> <br/>\n    </body>\n\n    </html>", "creatorUserName": "f00942-fa040-4422324-b2c43e-de40fdsff122b9c4", "forMigration": false, "environments": ["Default"], "id": 3, "creationTimeUnixTimeInMs": 1672054127271, "modificationTimeUnixTimeInMs": 1672054127279}]
}

获取集成实例

说明

返回环境的所有集成实例。

参数

没有适用的参数。

示例

在这种情况下，系统将返回所有环境中的所有集成实例。

tools19

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
"instances": [{"identifier": "27dee746-1857-41b7-a722-b99699b8d6c8", "integrationIdentifier": "Tools", "environmentIdentifier": "Default", "instanceName": "Tools_1", "instanceDescription": "test", "isConfigured": true, "isRemote": false, "isSystemDefault": false},{...........}]
}

获取原始提醒 JSON

说明

返回原始提醒的 JSON 结果（原始数据）。

参数

无适用参数

示例

在这种情况下，系统会返回提醒的原始 JSON。

tools21

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
"CreatorUserId": null, "Events": [{"_fields": {"BaseEventIds": "[]", "ParentEventId": -1, "deviceEventClassId": "IRC Connections", "DeviceProduct": "IPS_Product", "StartTime": "1667497096184", "EndTime": "1667497096184"}, "_rawDataFields": {"applicationProtocol": "TCP", "categoryOutcome": "blocked", "destinationAddress": "104.131.182.103", "destinationHostName": "www.ircnet.org", "destinationPort": "770", "destinationProcessName": "MrlCS.sob", "destinationUserName": "XWTTRYzNr1l@gmail.com", "deviceAddress": "0.0.0.0", "deviceEventClassId": "IRC Connections", "deviceHostName": "ckIYC2", "Field_24": "B0:E7:DF:6C:EF:71", "deviceProduct": "IPS_Product", "deviceVendor": "Vendor", "endTime": "1667497110906", "eventId": "0aa16009-57b4-41a3-91ed-81347442ca29", "managerReceiptTime": "1522058997000", "message": "Connection to IRC Server", "name": "IRC Connections", "severity": "8", "sourceAddress": "0.0.0.0", "sourceHostName": "jhon@domain.local", "startTime": "1667497110906", "sourcetype": "Connection to IRC Server"}, "Environment": null, "SourceSystemName": null, "Extensions": []}], "Environment": "Default", "SourceSystemName": "Arcsight", "TicketId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Description": "IRC Connections", "DisplayId": "fab1b5a1-637f-4aed-a94f-c63137307505", "Reason": null, "Name": "IRC Connections", "DeviceVendor": "IPS", "DeviceProduct": "IPS_Product", "StartTime": 1667497110906, "EndTime": 1667497110906, "Type": 1, "Priority": -1, "RuleGenerator": "IRC Connections", "SourceGroupingIdentifier": null, "PlaybookTriggerKeywords": [], "Extensions": [], "Attachments": null, "IsTrimmed": false, "DataType": 1, "SourceType": 1, "SourceSystemUrl": null, "SourceRuleIdentifier": null
}

获取 Siemplify 用户

说明

返回系统中配置的所有用户的列表。

参数

参数 类型 默认值 是否为必填项 说明
隐藏已停用的用户 复选框 已选择 否 指定是否在结果中隐藏已停用的用户。

示例

在这种情况下，我们将返回系统中的所有用户，包括已停用的用户。

tools17

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确
  • JSON 结果 
    {
"siemplifyUsers": [{"permissionGroup": "Admins", "socRole": "@Administrator", "isDisabled": false, "loginIdentifier": "sample@domain.com", "firstName": "John", "lastName": "Doe", "permissionType": 0, "role": 0, "socRoleId": 1, "email": "sample@domain.com", "userName": "0b3423496fc2-0834302-42f33d-8523408-18c087d2347cf1e", "imageBase64": null, "userType": 1, "identityProvider": -1, "providerName": "Internal", "advancedReportsAccess": 0, "accountState": 2, "lastLoginTime": 1679831126656, "previousLoginTime": 1678950002044, "lastPasswordChangeTime": 0, "lastPasswordChangeNotificationTime": 0, "loginWrongPasswordCount": 0, "isDeleted": false, "deletionTimeUnixTimeInMs": 0, "environments": ["*"], "id": 245, "creationTimeUnixTimeInMs": 1675457504856, "modificationTimeUnixTimeInMs": 1674957504856
}

锁定 Playbook

说明

暂停当前 playbook，直到上一个提醒中的所有 playbook 完成。

参数

参数 类型 默认值 是否为必填项 说明
异步操作超时 整数 1 天 否 异步操作超时定义执行相应操作允许花费的总时间（所有迭代运行时的总和）。
异步轮询间隔 整数 1 小时 否 设置异步操作运行时期间两次轮询尝试间隔的时长。

示例

在此场景中，我们将暂停当前 playbook，并每隔 30 秒检查一次，以查看案例中上一个提醒中的所有 playbook 是否已完成。

tools26

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

相似域名

说明

将网域实体与为环境定义的网域列表进行比较。如果域名相似，则实体将被标记为可疑，并使用匹配的域名进行扩充。

参数

没有适用的参数

示例

在这种情况下，我们会检查外部网域实体是否与设置中的网域列表中配置的网域类似。

tools28

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    look_a_like_domain_found True/False 正确
  • JSON 结果 
    {
"Entity" : {"EntityResult" : { "look_a_like_domains" : ["outlooks.com"]}}
}

对实体丰富化进行归一化

说明

从实体接收键列表并替换它们。

参数

参数 类型 默认值 是否为必填项 说明
标准化数据 JSON 不适用 是 请按照以下格式示例指定 JSON：[ { "entity_field_name": "AT_fields_Name", "new_name": "InternalEnrichment_Name" }, { "entity_field_name": "AT_fields_Direct-Manager", "new_name": "InternalEnrichment_DirectManager_Name" }, { "entity_field_name": "AT_Manager_fields_Work-Email", "new_name": "InternalEnrichment_DirectManager_Email" } ]

示例

在此场景中，我们将实体键 is_bad 替换为 malicious。

tools11

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 已扩充的实体数量 5

重新附加 Playbook

说明

从案例中移除 playbook，删除案例中该 playbook 的所有结果数据，然后重新附加 playbook，以便其再次运行。需要安装 PostgreSQL 集成，并将其配置为实例名称为 Google SecOps SOAR 的共享环境。如需了解更多详情，请咨询 CSM/支持团队。

参数

参数 类型 默认值 是否为必填项 说明
Playbook 名称 下拉菜单 不适用 是 指定要重新附加的 playbook。

示例

在此场景中，我们将重新附加名为 attach_playbook_test 的 playbook

tools25

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False/请配置 PostgreSQL 集成的 Google SecOps SOAR 实例。 正确

搜索文本

说明

在输入文本中搜索“搜索内容”参数，或遍历“搜索正则表达式”列表并在输入文本中查找匹配项。如果匹配，该操作会返回 true。

参数

参数 类型 默认值 是否为必填项 说明
文本 字符串 不适用 是 指定要搜索的文本。
搜索 字符串 不适用 否 在“text”字段中指定要搜索的字符串。
搜索正则表达式 字符串 不适用 否 将用于搜索字符串的正则表达式列表。正则表达式应括在英文双引号中。支持以英文逗号分隔的列表。
区分大小写 复选框 不适用 否 指定搜索是否应区分大小写。

示例

在此场景中，我们将检查 Text 字段值中是否存在 malicious 一词。

tools31

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    match_found True/False 正确
  • JSON 结果 
    {
"matches": [{"search": "malicious", "input": "This IOC is malicious.", "match": true}]
}

设置上下文值

说明

在特定上下文中设置键和值。此操作通常与“获取上下文值”操作搭配使用，以检索键的值。

参数

参数 类型 默认值 是否为必填项 说明
值 字符串 不适用 是 指定上下文值。
键 字符串 不适用 是 指定上下文键。
范围 下拉菜单 提醒 是 指定上下文分配范围（提醒、案例、全局）。

示例

在此场景中，我们将“malicious”上下文键的值设置为“yes”。

tools32

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

拼写检查字符串

说明

检查输入字符串的拼写。输出会显示准确度百分比、总字数、拼写错误的字词总数、每个拼写错误的字词及其更正内容的列表，以及输入字符串的更正版本。

参数

参数 类型 默认值 是否为必填项 说明
字符串 字符串 不适用 是 指定要检查拼写错误的字符串。

示例

此示例对以下输入字符串进行拼写检查：
“Testing if this is a mispelled wodr.”。

tools30

操作执行结果

  • 脚本结果
    脚本结果名称 “值”选项 示例
    accuracy_percentage 百分比值 71
  • JSON 结果 
    {"input_string": "Testing if this is a mispelled wodr.", "total_words": 7, "total_misspelled_words": 2, "misspelled_words": [{"misspelled_word": "mispelled", "correction": "misspelled"}, {"misspelled_word": "wodr", "correction": "word"}], "accuracy": 71, "corrected_string": "Testing if this is a misspelled word."}

更新提醒得分

说明

按提供的金额更新提醒分数。

参数

参数 类型 默认值 是否为必填项 说明
输入 整数 不适用 是 指定要增加或减少（负数）的金额。

示例

在这种情况下，我们将提醒分数降低 20。

tools23

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult 输入值 -20

更新支持请求说明

说明

更新支持请求的说明。

参数

参数 类型 默认值 是否为必填项 说明
案例说明 字符串 不适用 是 指定更新后的说明。

示例

此示例将支持请求说明更新为“此支持请求与可疑登录有关”。

tools10

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

等待 Playbook 完成

说明

暂停当前 playbook，直到在同一提醒上运行的其他 playbook 或块完成。

参数

参数 类型 默认值 是否为必填项 说明
Playbook 名称 字符串 不适用 否 指定要先完成的代码块或 playbook 的名称。

示例

在这种情况下，我们会暂停当前 playbook，直到针对同一提醒运行的“调查块”完成。

tools36

操作结果

  • 脚本结果
    脚本结果名称 价值选项 示例
    ScriptResult True/False 正确

作业

说明

此作业会根据搜索查询关闭所有支持请求。为确保高效管理支持请求，请遵循以下准则：

  • 对于 1-50 个支持请求：直接从支持请求界面关闭这些请求。
  • 对于超过 50 个案例：使用此作业进行批量关闭。

Search Payload 是 CaseSearchEverything API 调用中使用的载荷。如需检索此值，请执行以下操作：

  1. 在界面中前往搜索，然后打开浏览器的开发者工具。
  2. 搜索要删除的支持请求。
  3. 在 Network 标签页中找到 CaseSearchEverything API 调用。
  4. 复制 POST 请求的 JSON 载荷，并将其粘贴到 Search Payload 字段中。

Close Reason 必须为 0（恶意）或 1（非恶意）。 根本原因 ID 位于设置 > 调查 > 关闭 C 中。

如果这些选项无法解决支持请求关闭要求，请与 Cloud Customer Care 联系。

参数

参数 类型 默认值 是强制性的 说明
搜索载荷 JSON 不适用 否 指定要搜索的 JSON 载荷。示例： {"tags":[],"ruleGenerator":[],"caseSource":[],"stage":[],"environments":[],"assignedUsers":[],"products":[],"ports":[],"categoryOutcomes":[],"status":[],"caseIds":[],"incident":[],"importance":[],"priorities":[],"pageSize":50,"isCaseClosed":false,"title":"","startTime":"2023-01-22T00:00:00.000Z","endTime":"2023-01-22T23:59:59.999Z","requestedPage":0,"timeRangeFilter":1}
关闭评论 字符串 不适用 是 指定关闭评论。
关闭原因 字符串 不适用 是 指定关闭原因：0 表示恶意，1 表示非恶意。
根本原因 整数 不适用 是 指定根本原因。在设置 > 调查 > 结案中找到根本原因。
Google SecOps SOAR 用户名 字符串 不适用 是 指定 Google SecOps SOAR 用户名。
Google SecOps SOAR 密码 密码 不适用 是 指定 Google SecOps SOAR 密码。

标记未处理的支持请求

说明

此作业会搜索在指定小时数内保持未修改状态的未结案例，并向这些案例应用指定标记。此流程可识别需要进一步关注或人工审核的停滞案例。

作业行为

  • 搜索窗口：作业使用系统定义的 30 天搜索窗口。
  • 系统限制：搜索查询不会捕获超过 30 天（720 小时）未修改的支持请求。即使 Unmodified time 设置为更高的值，此限制仍然存在。
  • 应用标记：该作业会将参数中定义的标记应用于在 30 天可见性窗口内识别出的所有案例的元数据。

参数

参数 类型 默认值 是否为必填项 说明
标记 字符串 不适用 是 指定要应用于所识别支持请求的一个或多个标签。此属性支持以英文逗号分隔的多个标记值。
未修改时间 整数 不适用 是 指定非活动阈值（以小时为单位）。该作业会为超过此值且没有记录修改的支持请求应用标记。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。