测试自定义连接器
支持范围：
Google SecOps
SOAR
本文档介绍了如何通过将示例恶意电子邮件注入 Google Security Operations 平台来测试连接器。测试过程演示了如何：
- 提取恶意电子邮件示例。
- 运行连接器。
- 将提醒加载到案例队列中。
- 查看提醒数据的转换方式。
完成这些步骤后，您可以查看新案例、预览电子邮件内容，并了解在映射和建模之前，提醒数据如何在平台内转换和显示。
提取恶意电子邮件示例
如需将恶意电子邮件示例注入 Google SecOps 平台，请按照以下步骤操作：
- 将恶意电子邮件插入平台。
- 复制以下示例电子邮件文本，并以其他用户的身份发送此电子邮件：
Subject: Your new salary notification
Email body:
Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
Faithfully,
Human Resources
University of California, Berkeley
运行该连接器
如需运行连接器，请按以下步骤操作：
- 前往设置 > 数据管理 > 连接器。
- 在测试标签页上，点击运行连接器一次。结果会显示在输出部分中，并显示在平台中创建的新连接器实例。每次运行此函数时，它都会像第一次迭代一样执行。
系统不会保存任何时间戳，也不会在后端存储任何 ID。
如果连接器成功运行，系统会显示一条针对单封未读电子邮件的提醒。确保您的邮箱中至少有一封未读电子邮件，以便进行此测试。 - 可选：点击预览，查看电子邮件的预览。
将提醒加载到案例队列中
注入示例提醒后，请按照以下步骤将提醒注入到案例队列中：
- 选择相应提醒，然后点击加载到系统。
- 在案例标签页中，查看提取的案例。
- 连接器通过将电子邮件数据转换为 Google SecOps 数据来接收电子邮件后，您可以在案例队列的案例标签页中看到您的提醒。
连接器将电子邮件数据转换为 Google SecOps 格式后，提醒会显示在案例队列中。当用例首次出现时，它尚未映射或建模。这些步骤在工作流中接下来发生。
查看提醒数据的翻译方式
您可以查看连接器代码中的每个字段如何与平台上下文详细信息中显示的相关字段对应。
如需查看提醒数据在平台中的显示方式，请点击提醒以查看提醒上下文详细信息。
| “平台”字段 | 说明 | 代码映射 |
|---|---|---|
| 字段名称/值 | 电子邮件主题，例如：“YOUR NEW SALARY NOTIFICATION”（您的新工资通知） | alert_info.name = email_message_data['Subject'] |
| RuleGenerator / Mail | 导致创建提醒的 Google Security Operations SIEM 规则的名称 | alert_info.rule_generator = RULE_GENERATOR_EXAMPLE |
| TicketID | 电子邮件唯一 ID | alert_info.ticket_id = f"{alert_id}" |
| AlertID | 电子邮件唯一 ID | alert_info.display_id = f"{alert_id}" |
| DeviceProduct / Mail | 正如我们在 CONSTANTS 中所定义：PRODUCT= "Mail" |
alert_info.device_product = PRODUCT |
| DeviceVendor / Mail | 正如我们在 CONSTANTS 中所定义：VENDOR = "Mail" |
alert_info.device_vendor = VENDOR |
| DetectionTime / EndTime / StartTime / EstimatedStartTime | 收到电子邮件的时间 |
alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
|
| 优先/参考性 | 正如我们为此提醒所定义的那样：
|
alert_info.priority = 60 |