Siemplify 模块

class Siemplify.Siemplify

代码库：SiemplifyBase

端点：external/v1/sdk/CaseFullDetails

add_agent_connector_logs

add_agent_connector_logs(agent_id, connector_id, logs_package)

添加远程代理的 connector_id 连接器的日志。

参数

参数名称 参数类型 定义 可能的值 评论
agent_id {string} 智能体的标识符 不适用 不适用
connector_id {string} 连接器实例标识符 不适用 不适用
logs_package {dict} ConnectorLogPackage 不适用 不适用

add_attachment

add_attachment(file_path, case_id, alert_identifier, description=None, is_favorite=False)

此函数会向支持请求墙添加一个条目，其中包含文件附件（然后可以从客户端下载到用户的本地机器）。该功能与添加证据（位于案例概览屏幕底部）基本相同。

参数

参数名称 参数类型 定义 可能的值 注释
file_path {string} 文件路径 任何无障碍通道 路径也可以是远程位置。 您需要拥有该文件的读取权限
case_id {string} 支持请求标识符 要将附件添加到其案例墙的支持请求 ID 默认值为当前案例
alert_identifier {string} 提醒标识符 要与附件关联的提醒的提醒标识符字符串 默认值为当前正在运行的提醒
description {string} 附件说明 任意字符串 默认情况下无。
可选参数。
is_favorite {boolean} 收藏附件 True/False 默认值为 False。
可选参数。

返回值

{long} attachment_id

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.add_attachment(r'C:/temp/investigation.txt', description='Deep investigation report by TIER3 team', is_favorite=True)

结果行为

在此示例中，我们将把本地机器（服务器本身）上 C:/temp 中的 investigation.txt 上传到支持请求墙。系统会在案例墙上的该条目中添加一条评论，其中包含说明中的字符串。is_favorite 标志已设置为 True，因此这个新条目也会加星标（收藏）。

add_comment

add_comment(comment, case_id, alert_identifier)

向特定支持请求添加新评论。

参数

参数名称 参数类型 定义 可能的值 注释
comment {string} 要添加到案例墙的评论 “此提醒中的事件似乎很可疑” 与支持请求相关的评论
case_id {string} 支持请求标识符 234 无
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 无

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
add_comment = "This alert is important"
alert_identifier = "ad6879f1-b72d-419f-990c-011a2526b16d"
case_id = "234"
siemplify.add_comment(comment, case_id, alert_identifier)

结果行为

提供的备注会添加到支持请求 234 中。

结果值

无

add_entities_to_custom_list

add_entities_to_custom_list(custom_list_items)

将添加了实体的自定义列表添加到自定义列表中。

参数

参数名称 参数类型 定义 可能的值 评论
custom_list_items {string} 自定义列表项的列表 不适用 不适用

返回值

{[CustomList]} 包含添加的自定义名单项的名单。

结果行为

实体已添加到自定义列表类别。

add_entity_insight

add_entity_insight(domain_entity_info, message, case_id, alert_id)

添加实体分析洞见。

参数

参数名称 参数类型 定义 可能的值 评论
domain_entity_info {string} 实体标识符 "192.0.2.1" {DomainEntityInfo}
消息 {string} 分析洞见消息 这是 Example DNS 不适用
case_id {string} 要添加到实体分析洞见中的案例标识符 234 不适用
alert_id {string} 要添加到实体数据分析的提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

返回值

{boolean} 如果成功，则为 True

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
entity = "192.0.2.1"
alert_identifier = "ad6879f1-b72d-419f-990c-011a2526b16d"
case_id = "234"
siemplify.add_entity_insight(domain_entity_info=entity, message=message, case_id=case_id, alert_id=alert_identifier)

结果行为

在支持请求 234 中，给定消息会作为数据分析添加到给定提醒标识符的实体 192.0.2.1。

结果值

正确。

如果未添加数据分析，则为 false。

add_entity_to_case

add_entity_to_case(case_id, alert_identifier, entity_identifier, entity_type, is_internal, is_suspicious, is_enriched, is_vulnerable, properties, environment)

将实体添加到案例。

参数

参数名称 参数类型 定义 可能的值 评论
entity_identifier {string} 实体标识符 192.0.2.1, example.com 不适用
entity_type {string} 实体标识符的实体类型 "ADDRESS" 不适用
is_internal {boolean} 不适用 True/False 不适用
is_suspicious {boolean} 不适用 True/False
is_enriched {boolean} 不适用 True/False 默认值为 false
is_vulnerable {boolean} 不适用 True/False 默认值为 false
属性 {dict} 实体的属性 {"property":"value"} 不适用

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
case_id = "234"
alert_identifier = "ad6879f1-b72d-419f-990c-011a2526b16d"
entity = "192.0.2.1"
entity_type = "ADDRESS"
properties = {"property": "value"}
siemplify.add_entity_to_case(case_id=case_id,
                                          alert_identifier = alert_identifier,
                                          entity_identifier = entity,
                                          entity_type = entity_type,
                                          is_internal = True,
                                          is_suspicious = False,
                                          is_enriched = False,
                                          is_vulnerable = False,
                                          properties = properties,
                                          environment=None)

结果行为

具有所提供信息的实体将添加到案例 234 中的给定提醒。

结果值

无

add_or_update_case_task

add_or_update_case_task(task)

添加或更新任务用例：如果有任务 ID，则更新；否则添加（创建）。

参数

参数名称 参数类型 定义 可能的值 评论
任务 {Task} 应添加到支持请求或更新的任务对象 不适用 不适用

返回值

{int} 新任务或更新后任务的 ID。

add_tag

add_tag(tag, case_id, alert_identifier)

向特定支持请求添加新标签。

参数

参数名称 参数类型 定义 可能的值 评论
标记 {string} 要添加的标签 不适用 不适用
case_id {string} 支持请求标识符 234 不适用
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

any_entity_in_custom_list

any_entity_in_custom_list(custom_list_items)

检查给定列表中是否有任何实体具有给定类别的自定义名单记录。

参数

参数名称 参数类型 定义 可能的值 评论
custom_list_items {[CustomList]} 要检查实体的一系列自定义列表项 不适用 不适用

返回值

{boolean} 如果找到实体，则为 True，否则为 False。

结果值

True 或 False

assign_case

assign_case(user, case_id, alert_identifier)

此函数会将当前支持请求分配给用户。

参数

参数名称 参数类型 定义 可能的值 评论
用户 {string} 用户/角色 管理员、@Tier1 不适用
case_id {string} 要分配给用户的支持请求标识符 234 不适用
alert_identifier {string} 要分配用户的提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 此值是在操作运行期间提取的

返回值

NoneType

结果行为

该支持请求会分配给指定用户。

结果值

无

attach_workflow_to_case

attach_workflow_to_case(workflow_name, cyber_case_id, indicator_identifier)

将 playbook 附加到案例。

参数

参数名称 参数类型 定义 可能的值 评论
workflow_name {string} 工作流名称 不适用 不适用
cyber_case_id {string} 支持请求标识符 234 不适用
indicator_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

返回值

服务器操作的 {string} 状态代码

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
alert_identifier = "ad6879f1-b72d-419f-990c-011a2526b16d"
case_id = "234"
workflow_name = "Workflow 234"
siemplify.attach_workflow_to_case(workflow_name=workflow_name, cyber_case_id=case_id, indicator_identifier=alert_identifier)

结果行为

工作流 234 将附加到支持请求 234。

结果值

无

batch_update_case_id_matches

batch_update_case_id_matches(case_id_matches)

使用合适的外部支持请求 ID 批量更新支持请求。

参数

参数名称 参数类型 定义 可能的值 评论
case_id_matches {list} SyncCaseIdMatch 对象列表

返回值

{list} 已成功更新的支持请求 ID 列表。

change_case_priority

change_case_priority(priority, case_id, alert_identifier)

更改支持请求优先级。

参数

参数名称 参数类型 定义 可能的值 评论
优先级 {int} 要更改的支持请求优先级 40/60/80/100 请参阅 ApiSyncCasePriorityEnum。
优先级映射：{"Low": 40, "Medium": 60, "High": 80, "Critical": 100}
case_id {string} 支持请求标识符 234 不适用
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
priority = 40
alert_identifier = "ad6879f1-b72d-419f-990c-011a2526b16d"
case_id = "234"
siemplify.change_case_priority(priority=priority, case_id=case_id, alert_identifier=alert_identifier)

结果行为

支持请求 234 的优先级更改为 40，对应于“低”。

结果值

无

change_case_stage

change_case_stage(stage, case_id, alert_identifier)

更改案例阶段。

参数

参数名称 参数类型 定义 可能的值 评论
流程中的 {string} 支持请求的当前阶段。 突发事件 不适用
case_id {string} 支持请求标识符 不适用 不适用
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

check_marketplace_status

check_marketplace_status()

查看市场状态。
如果未发生错误，该函数会返回 none。否则，系统会返回异常。

参数

不适用

返回值

无

close_alert

close_alert(root_cause, comment, reason, case_id, alert_id)

此函数会关闭当前提醒。这与从案例概览中手动关闭提醒相同。该函数需要提供关闭原因、根本原因和评论，就像关闭案例提醒一样。
关闭提醒会关闭仅包含一个提醒的新案例。

参数

参数名称 参数类型 定义 可能的值 评论
root_cause {string} 关闭案例的根本原因 不适用 不适用
评论 {string} 评论 不适用 不适用
reason {ApiSyncAlertCloseReasonEnum} 不适用 不适用 请参阅 SiemplifyDataModel.ApiSyncAlertCloseReasonEnum
case_id {string} 提醒所在的案例标识符 234 不适用
alert_id {string} 要关闭的提醒的标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

返回值

{dict} 服务器操作的结果

close_case

close_case(root_cause, comment, reason, case_id, alert_identifier)

关闭支持请求。

参数

参数名称 参数类型 定义 可能的值 评论
root_cause {string} 关闭案例的根本原因 不适用 不适用
评论 {string} 评论 不适用 不适用
reason {ApiSyncAlertCloseReasonEnum} 关闭支持请求的原因 请参阅 SiemplifyDataModel.ApiSyncAlertCloseReasonEnum
case_id {string} 支持请求标识符 234 不适用
alert_id {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

create_case

create_case(case_info)

此函数会使用 case_info 字典中包含的提醒和事件创建案例。

参数

参数名称 参数类型 定义 可能的值 评论
case_info {CaseInfo} 支持请求信息对象 不适用 查看SiemplifyConnectorsDataModel.CaseInfo

返回值

NoneType

结果行为

系统会使用提供的支持请求数据创建支持请求。

结果值

无

create_case_insight_internal

create_case_insight_internal(case_id, alert_identifier, triggered_by, title, content, entity_identifier, severity, insight_type, additional_data=None, additional_data_type=None, additional_data_title=None, original_requesting_user=None, entity_type=None)

添加分析洞见。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {string} 支持请求标识符 234 不适用
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用
triggered_by {string} 集成名称 不适用 不适用
title {string} 数据分析标题 不适用 不适用
内容 {string} 分析洞见消息 不适用 不适用
entity_identifier {string} 实体标识符 不适用 不适用
和程度上减少 {int} 严重级别标识符 0 = 信息，
1 = 警告，
2 = 错误		 不适用
insight_type {int} 数据分析类型 0 = 常规，
1 = 实体		 不适用
additional_data 不适用 不适用 不适用 不适用
additional_data_type 不适用 不适用 不适用 不适用
additional_data_title 不适用 不适用 不适用 不适用
original_requesting_user 不适用 不适用 不适用 不适用
entity_type {string} 实体类型 "ADDRESS" 不适用

返回值

{boolean} 如果成功，则为 True。

create_connector_package

create_connector_package(connector_package)

在系统中创建连接器软件包。

参数

参数名称 参数类型 定义 可能的值 评论
connector_package {string} 连接器软件包（JSON 格式） 不适用 不适用

dismiss_alert

dismiss_alert(alert_group_identifier, should_close_case_if_all_alerts_were_dismissed, case_id)

end

end(message, result_value, execution_state=0)

结束脚本。
end() 函数之后不会执行任何其他代码。
最终结果值会写入 stdout。
对于预定作业，结束函数不是必需的。

参数

参数名称 参数类型 定义 可能的值 评论
消息 {string} 要向客户端显示的输出消息 完成了操作 不适用
result_value {int/string/dict} 返回值 不适用 不适用
execution_state {int} 当前操作状态的指示器。主要用于异步操作，以标记操作是否已完成。 0 (EXECUTION_STATE_COMPLETED)、
1 (EXECUTION_STATE_INPROGRESS)、
2 (EXECUTION_STATE_FAILED)、
3 (EXECUTION_STATE_TIMEDOUT)		 默认值为 0

返回值

将结果数据返回给宿主进程。

end_script

end_script()

escalate_case

escalate_case(comment, case_id, alert_identifier)

上报支持请求。

参数

参数名称 参数类型 定义 可能的值 评论
评论 {string} 上报评论 不适用 不适用
case_id {string} 支持请求标识符 234 不适用
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

extract_configuration_param

extract_configuration_param(provider_name, param_name, default_value=None, input_type=<class 'str'>, is_mandatory=False, print_value=False)

从集成实例中获取配置参数。

参数

参数名称 参数类型 定义 可能的值 评论
provider_name {string} 集成名称 不适用 不适用
param_name {string} 参数的名称 不适用 不适用
default_value {any} 如果未传递该参数，则默认使用此值 不适用 默认无（可选）
input_type {obj} 将参数转换为其他类型 不适用 例如，默认情况下为 int.
str（可选）
is_mandatory {bool} 如果参数为空，则引发异常 不适用 默认值为 False（可选）
print_value {bool} 将值输出到日志 不适用 默认情况下为 False（可选）

返回值

参数值（默认为字符串），除非指定了 input_type。

static generate_serialized_object

generate_serialized_object(object_filter)

get_agent_by_id

get_agent_by_id(agent_id)

按 ID 获取代理详细信息。

参数

参数名称 参数类型 定义 可能的值 评论
agent_id {str} 代理的 ID 不适用 不适用

返回值

{dict} 发布商详细信息

get_alerts_ticket_ids_from_cases_closed_since_timestamp

get_alerts_ticket_ids_from_cases_closed_since_timestamp(timestamp_unix_ms, rule_generator)

获取自指定时间戳以来已关闭的支持请求的提醒。

参数

参数名称 参数类型 定义 可能的值 评论
timestamp_unix_ms {long} 时间戳 1550409785000L 不适用
rule_generator {string} 不适用 “钓鱼邮件检测器” 不适用

返回值

{list} 条提醒

get_attachment

get_attachment(attachment_id)

按标识符获取附件数据。

参数

参数名称 参数类型 定义 可能的值 评论
attachment_id {string} 附件标识符 不适用 不适用

返回值

{BytesIO} 附件数据

get_attachments

get_attachments(case_id)

从支持请求中获取附件。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {string} 支持请求标识符 234 不适用

返回值

{dict} 个附件

结果值

[{"is_favorite": False, "description": "", "type": ".txt", "id": 1, "name": "test.py"}]

_get_case_by_id

_get_case_by_id(case_id)

使用支持请求 ID 获取支持请求。

此函数会与以下端点互动：external/v1/sdk/CaseFullDetails

参数

参数名称 参数类型 定义 可能的值 评论
case_id {[string]} 支持请求 ID 不适用 不适用

返回值

{dict} 个案例数据。

get_case_closure_details

get_case_closure_details(case_id_list)

获取支持请求结案详情。

参数

参数名称 参数类型 定义 可能的值 评论
case_id_list {[string]} 支持请求 ID 列表 不适用 不适用

返回值

{[dict]} 包含支持请求关闭详情的字典列表。

结果值

[{'case_closed_action_type': 1, 'reason': NotMalicious', 'root_cause': 'Other'}]

对于 case_closed_action_type 参数，可能的值如下：

  • 0 = 自动
  • 1 = 手动

get_case_comments

get_case_comments(case_id)

此函数会从提供的案例中获取备注。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {string} 支持请求标识符 234 不适用

返回值

列表

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.get_case_comments(case_id)

结果行为

系统将提取属于该支持请求的所有评论。

结果值

[
    {
             u 'comment': u 'Test',
             u 'case_id': 10085,
             u 'is_favorite': False,
             u 'alert_identifier': None,
             u 'creator_user_id': u 'Admin',
             u 'type': 5,
             u 'id': 1,
             u 'modification_time_unix_time_in_ms': 1563272078332L
      }, {
             u 'comment': u 'jhfksdh',
             u 'case_id': 10085,
             u 'is_favorite': False,
             u 'alert_identifier': None,
             u 'creator_user_id': u 'Admin',
             u 'type': 5,
             u 'id': 2,
             u 'modification_time_unix_time_in_ms': 1563272079941L

       }, {
              u 'comment': u 'kjfhsdm',
              u 'case_id': 10085,
              u 'is_favorite': False,
              u 'alert_identifier': None,
              u 'creator_user_id': u 'Admin',
              u 'type': 5,
              u 'id': 3,
               u 'modification_time_unix_time_in_ms': 1563272080598L
       }
 ]

get_case_tasks

get_case_tasks(case_id)

按支持请求 ID 检索所有任务。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {int/str} 支持请求 ID 234 该函数可以接收 int 或 str

返回值

{[Task]} 属于该支持请求的任务对象列表。
请参阅 SiemplifyDataModel.Task。

get_cases_by_filter

get_cases_by_filter(environments=None, analysts=None, statuses=None, case_names=None, tags=None, priorities=None, stages=None, case_types=None, products=None, networks=None, ticked_ids_free_search='', case_ids_free_search='', wall_data_free_search='', entities_free_search='', start_time_unix_time_in_ms=-1, end_time_unix_time_in_ms=-1)

按请求的过滤条件获取支持请求。

*caseFilterValue* object - { 'Title':'Merged Case', 'Value': 'Merged', 'Title':'Involved Suspicious Entity', 'Value': 'InvolvedSuspiciousEntity', 'Title':'Manual', 'Value': 'Manual', 'Title':'Simulated Alerts', 'Value': 'Simulated',}

参数

参数名称 参数类型 定义 可能的值 评论
environments {[string]} 环境名称列表 (environment) 不适用 如果未提供环境，则使用 None（可选）
能力水平 {[string]} 分析师姓名列表（分配了支持请求的用户/角色）、 不适用 如果未提供分析师，则使用 None（可选）
statuses {[int]} 用于过滤的状态列表 不适用

有效 statuses 值包括：

1 = Open
2 = Closed

如果未提供任何状态，则使用 None，这会返回未结和已结支持请求（可选）
case_names {[string]} 案例名称列表 不适用 如果未提供 case_names，则使用 None（可选）
标签 {[string]} 案例标记列表 不适用 如果未提供任何标记，则使用 None（可选）
优先事项 {[int]} 优先级列表 请参阅 ApiSyncAlertPriorityEnum。
如果未提供优先级，则使用 None（可选）
阶段 {list} 阶段列表（caseFilterValue 对象） 不适用 如果未提供任何阶段，则使用 None（可选）
case_types {list} 对象类型列表（caseFilterValue 对象） 不适用

有效 case_types 值包括：

0 = Merged
1 = Important
2 = InvolvedSuspiciousEntity
3 = Manual
4 = Simulated

如果未提供 case_types，则使用 None（可选）
产品 {list} 商品列表（caseFilterValue 对象） 不适用 如果未提供任何产品，则使用 None（可选）
网络 {list} 网络列表（caseFilterValue 对象） 不适用 如果未提供任何网络，则使用 None（可选）
ticked_ids_free_search {string} 工单标识符 不适用 如果未提供，则默认值为“”（可选）
case_ids_free_search {string} 支持请求标识符 不适用 如果未提供，则默认值为“”（可选）
wall_data_free_search {string} 要搜索的字符串 不适用 如果未提供，则默认值为“”（可选）
entities_free_search {string} 实体标识符 不适用 如果未提供，则默认值为“”（可选）
start_time_unix_time_in_ms {long} 不适用 不适用 默认 -1
（可选）
end_time_unix_time_in_ms {long} 不适用 不适用 默认值为 -1
（可选）

返回值

Case_ids ''

get_cases_by_ticket_id

get_cases_by_ticket_id(ticket_id)

按工单标识符获取支持请求。

参数

参数名称 参数类型 定义 可能的值 评论
ticket_id {string} 工单标识符 不适用 不适用

返回值

{[int]} 个支持请求 ID 的列表。

get_cases_ids_by_filter

get_cases_ids_by_filter(status, start_time_from_unix_time_in_ms=None, start_time_to_unix_time_in_ms=None, close_time_from_unix_time_in_ms=None, close_time_to_unix_time_in_ms=None, update_time_from_unix_time_in_ms=None, update_time_to_unix_time_in_ms=None, operator=None, sort_by='START_TIME', sort_order='DESC', max_results=1000)

按过滤条件获取支持请求 ID。

参数

参数名称 参数类型 定义 可能的值 评论
状态 {str} 要检索的支持请求状态 'OPEN'、'CLOSE'、'BOTH' 不适用
start_time_from_unix_time_in_ms {int} 支持请求开始时间范围起始值（含边界值） 不适用 默认值为 30 天前（可选）
start_time_to_unix_time_in_ms {int} 支持请求开始时间结束范围（含边界值） 不适用 默认值为当前时间（可选）
close_time_from_unix_time_in_ms {int} 案例关闭时间范围起始值（含边界值） 不适用 默认值为 30 天前（可选）
close_time_to_unix_time_in_ms {int} 支持请求关闭时间范围的结束时间（含）。 不适用 默认值为当前时间（可选）
update_time_from_unix_time_in_ms {int} 案例修改时间开始范围（含边界值） 不适用 默认值为开始时间（可选）
update_time_to_unix_time_in_ms {int} 案例修改时间结束范围（含边界值） 不适用 默认值为当前时间（可选）
运算符 {str} 时间过滤条件运算符 OR、AND 可选
sort_by {str} 按时间对结果进行排序 START_TIME、UPDATE_TIME、CLOSE_TIME 可选
sort_order {str} 排列顺序 ASC、DESC 默认值为降序（可选）
max_results {int} 返回的结果数上限 不适用 默认值为 1000，最大值为 10000（可选）

get_configuration

get_configuration(provider, environment, integration_instance)

获取集成配置。

参数

参数名称 参数类型 定义 可能的值 评论
provider {string} 集成名称 “VirusTotal” 不适用
环境 {string} 特定环境或“所有”环境的配置 不适用 不适用
integration_instance {string} 集成实例的标识符 不适用 不适用

返回值

{dict} 配置详情。

get_configuration_by_provider

get_configuration_by_provider(identifier)

获取集成配置。

参数

参数名称 参数类型 定义 可能的值 评论
provider {string} 集成名称 “VirusTotal” 不适用

返回值

{dict} 配置详情

get_existing_custom_list_categories

get_existing_custom_list_categories()

获取所有现有的自定义列表类别。
此函数会返回一个列表对象，其中包含 CustomList 设置中的所有类别，无论环境如何。

参数

不适用

返回值

{[unicode]} 包含现有类别的 unicode 类型列表。

示例

from SiemplifyAction import SiemplifyAction siemplify = SiemplifyAction() result = siemplify.get_existing_custom_list_categories()

结果行为

系统会返回所有现有自定义名单的列表。

结果值

["DenyListed IPs", "AllowListed HOSTs"]

get_external_configuration

get_external_configuration(config_provider, config_name)

获取外部集成配置。

参数

参数名称 参数类型 定义 可能的值 评论
config_provider {string} 不适用 不适用 不适用
config_name {string} 不适用 不适用 不适用

get_integration_version

get_integration_version(integration_identifier)

获取集成版本。

参数

参数名称 参数类型 定义 可能的值 评论
integration_identifier {string} 集成标识符 不适用 不适用

返回值

{float} 个集成版本

get_publisher_by_id

get_publisher_by_id(publisher_id)

按 ID 获取发布商详细信息。

参数

参数名称 参数类型 定义 可能的值 评论
publisher_id {string} 发布商的 ID 不适用 不适用

返回值

{dict} 发布商详细信息

get_remote_connector_keys_map

get_remote_connector_keys_map(publisher_id)

按发布商 ID 获取远程连接器加密密钥。

参数

参数名称 参数类型 定义 可能的值 评论
publisher_id {string} 发布商的 ID 不适用 不适用

返回值

{dict} 键映射

get_similar_cases

get_similar_cases(case_id, ports_filter, category_outcome_filter, rule_generator_filter, entity_identifiers_filter, start_time_unix_ms, end_time_unix_ms)

获取类似案例。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {string} 支持请求标识符 234 不适用
ports_filter {boolean} True/False 使用端口过滤条件 True/False 不适用
category_outcome_filter {boolean} True/False use category_outcome filter True/False 不适用
rule_generator_filter {boolean} True/False use rule_generator filter True/False 不适用
entity_identifiers_filter {boolean} True/False：使用 entity_identifiers 过滤条件 True/False 不适用
start_time_unix_ms 不适用 不适用 不适用 不适用
end_time_unix_ms 不适用 不适用 不适用 不适用

返回值

{dict}

get_sync_alerts

get_sync_alerts(alert_group_ids)

检索系统同步所需的提醒信息。

参数

参数名称 参数类型 定义 可能的值 评论
alert_group_ids {list} 要检索的提醒组 ID 列表 不适用 不适用

返回值

{[SyncAlert]} SyncAlert 对象列表。

get_sync_cases

get_sync_cases(case_ids)

检索系统同步所需的案例信息。

参数

参数名称 参数类型 定义 可能的值 评论
case_ids {list} 要检索的支持请求 ID 列表 不适用 不适用

返回值

{[SyncCase]} SyncCase 对象的列表。

get_system_info

get_system_info(start_time_unixtime_ms)

get_system_version

get_system_version()

获取当前的 Google Security Operations SOAR 版本。

参数

不适用

返回值

{string} 当前 Google Security Operations SOAR 版本

get_temp_folder_path

get_temp_folder_path()

获取临时文件夹的路径。

参数

不适用

返回值

{string} 临时文件夹的路径

get_ticket_ids_for_alerts_dismissed_since_timestamp

get_ticket_ids_for_alerts_dismissed_since_timestamp(timestamp_unix_ms)

get_updated_sync_alerts_metadata

get_updated_sync_alerts_metadata(start_timestamp_unix_ms, count, allowed_environments=None, vendor=None)

检索更新后的跟踪提醒元数据。

参数

参数名称 参数类型 定义 可能的值 评论
start_timestamp_unix_ms {long} 搜索从
start_timestamp_unix_ms或之后开始更新的提醒		 不适用 如果 end_timestamp_unix_ms 为 None，
则结束时间为请求时间。
计数 {int} 要提取的提醒组 ID 数量上限 不适用 不适用
allowed_environments {[string]} 要搜索的环境 不适用 如果 allowed_environments 为 None，
则在所有环境中搜索
vendor {string} 按供应商过滤提醒 不适用 不适用

返回值

{[SyncAlertMetadata]} SyncAlertMetadata 对象列表，按 SyncAlertMetadata.tracking_time 排序。

get_updated_sync_cases_metadata

get_updated_sync_cases_metadata(start_timestamp_unix_ms, count, allowed_environments=None, vendor=None)

检索更新后的跟踪案例元数据。

参数

参数名称 参数类型 定义 可能的值 评论
start_timestamp_unix_ms {long} 搜索
start_timestamp_unix_ms或之后更新的支持请求		 不适用 如果 end_timestamp_unix_ms 为 None，
结束时间将是请求时间
计数 {int} 要提取的支持请求 ID 数量上限 不适用 不适用
allowed_environments {[string]} 要搜索的环境 不适用 如果 allowed_environments 为 None，
则在所有环境中搜索
vendor {string} 仅返回在 vendor 中发出的提醒所对应的案例 不适用 不适用

返回值

{[SyncCaseMetadata]} SyncCaseMetadata 对象列表，按 SyncCaseMetadata.tracking_time 排序。

init_proxy_settings

init_proxy_settings()

参数

不适用

is_existing_category

is_existing_category(category)

检查给定类别是否存在。
如果 CustomList 设置中将确切的类别名称字符串定义为类别，则此函数会返回 True（布尔值）。
此函数会忽略环境，如果项存在，则返回 True；否则，返回 False。

参数

参数名称 参数类型 定义 可能的值 评论
类别 {string} 要检查是否存在的类别 “拒绝清单中的 IP” 不适用

返回值

{bool} 如果类别存在，则为 True，否则为 False。

示例 1

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.is_existing_category("WhiteListed HOSTs")

示例 2

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.is_existing_category("SpecialHosts")

结果行为

示例代码 1 中的结果会返回 True，而示例代码 2 中的结果会返回 False。

结果值

True 或 False

mark_case_as_important

mark_case_as_important(case_id, alert_identifier)

此函数会将具有给定提醒标识符的当前案例标记为重要。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {string} 支持请求标识符 234 不适用
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
alert_identifier = "ad6879f1-b72d-419f-990c-011a2526b16d"
case_id = "234"
siemplify.mark_case_as_important(case_id=case_id, alert_identifier=alert_identifier)

结果行为

具有所提供提醒标识符的支持请求已标记为重要。

结果值

无

raise_incident

raise_incident(case_id, alert_identifier)

此函数会将当前支持请求（带有提醒标识符）上报为突发事件。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {string} 支持请求标识符 234 不适用
alert_identifier {string} 提醒标识符 ad6879f1-b72d-419f-990c-011a2526b16d 不适用

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
alert_identifier = "ad6879f1-b72d-419f-990c-011a2526b16d"
case_id = "234"
siemplify.raise_incident(case_id=case_id, alert_identifier=alert_identifier)

结果行为

支持请求 234 将作为突发事件提交。

结果值

无

remove_entities_from_custom_list

remove_entities_from_custom_list(custom_list_items)

从具有给定类别的自定义列表中移除实体。

参数

参数名称 参数类型 定义 可能的值 评论
custom_list_items {[CustomList]} 自定义列表项的列表 不适用 不适用

返回值

{[CustomList]} 移除的 CustomList 对象列表。

remove_temp_folder

remove_temp_folder()

删除临时文件夹及其子文件夹。

参数

不适用

property 结果

send_system_notification

send_system_notification(message, message_id='SDK_CUSTOM_NOTIFICATION')

发送系统通知，并附带可选的消息 ID。

参数

参数名称 参数类型 定义 可能的值 评论
消息 {string} 通知消息 不适用 不适用
message_id {string} 通知消息标识符 不适用 不适用

send_system_notification_message

send_system_notification_message(message, message_id)

示例

结果行为

结果值

set_alert_sla

set_alert_sla(period_time, period_type, critical_period_time, critical_period_type, case_id, alert_identifier)

设置 case_id 的给定 alert_identifier 的 SLA。使用此 API 设置的 SLA 应优先于所有其他提醒 SLA 类型。

参数

参数名称 参数类型 定义 可能的值 评论
period_time {int/str} 表示总 SLA 周期 不适用 period_time > 0
period_type {str} period_time 的时间单位，
由 ApiPeriodTypeEnum 表示		 不适用 不适用
critical_period_time {int/str} 表示关键 SLA 周期 不适用 critical_period_time >= 0
关键期（按时间单位伸缩后）
应小于总周期
critical_period_type {str} critical_period_time 的时间单位，由 ApiPeriodTypeEnum 表示
 不适用 不适用
case_id {long} 支持请求标识符 不适用 不适用
alert_identifier {str} 提醒标识符 不适用 不适用

set_case_sla

set_case_sla(period_time, period_type, critical_period_time, critical_period_type, case_id)

设置给定 case_id 的 SLA。使用此 API 设置的 SLA 应优先于所有其他支持请求 SLA 类型。

参数

参数名称 参数类型 定义 可能的值 评论
period_time {int/string} 表示总 SLA 周期 不适用 period_time > 0
period_type {string} period_time 的时间单位，
由 ApiPeriodTypeEnum 表示		 不适用 不适用
critical_period_time {int/string} 表示关键 SLA 周期 不适用 critical_period_time >= 0
关键期（按时间单位伸缩后）
应小于总周期
critical_period_type {string} critical_period_time 的时间单位，由 ApiPeriodTypeEnum 表示
 不适用 不适用
case_id {long} 支持请求标识符 234 不适用

update_alerts_additional_data

update_alerts_additional_data(case_id, alerts_additional_data)

更新提醒附加数据。

参数

参数名称 参数类型 定义 可能的值 评论
case_id {string} 支持请求标识符 234 不适用
alerts_additional_data {dict} 提醒的任何其他数据 不适用 不适用

update_entities

update_entities(updated_entities)

此函数会更新实体。

参数

参数名称 参数类型 定义 可能的值 评论
updated_entities {[{string:string}]} 不适用 不适用 不适用

返回值

NoneType

结果行为

使用该范围，所选提醒会添加新实体（如果这些实体尚不存在）。

结果值

无