Testa i connettori personalizzati
Questo documento spiega come testare un connettore importando un'email dannosa di esempio nella piattaforma Google Security Operations. La procedura del test mostra come:
- Importa un'email dannosa di esempio.
- Esegui il connettore.
- Carica l'avviso nella coda delle richieste.
- Visualizza come vengono tradotti i dati degli avvisi.
Dopo aver completato questi passaggi, puoi visualizzare la nuova richiesta, visualizzare l'anteprima dei contenuti dell'email e capire come i dati dell'avviso vengono tradotti e visualizzati all'interno della piattaforma prima di essere mappati e modellati.
Importa un'email dannosa di esempio
Per importare un'email dannosa di esempio nella piattaforma Google SecOps, segui questi passaggi:
- Inserire un'email dannosa nella piattaforma.
- Copia il seguente testo di esempio e invia l'email da un altro utente:
Subject: Your new salary notification
Email body:
Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
Faithfully,
Human Resources
University of California, Berkeley
Esegui il connettore
Per eseguire il connettore:
- Vai a Impostazioni > Gestione dei dati > Connettori.
- Nella scheda Test, fai clic su Esegui il connettore una volta. I risultati vengono visualizzati nella sezione Output e mostrano una nuova istanza del connettore creata nella piattaforma.
Ogni volta che esegui questa funzione, verrà eseguita come se fosse la prima iterazione.
Non vengono salvati timestamp né ID nel backend.
Se il connettore viene eseguito correttamente, viene visualizzato un avviso per una singola email non letta. Assicurati che la tua casella di posta contenga almeno un'email non letta per questo test. - (Facoltativo) Fai clic su Anteprima per visualizzare un'anteprima dell'email.
Carica l'avviso nella coda delle richieste
Dopo aver importato un avviso di esempio, importalo nella coda delle richieste seguendo questi passaggi:
- Seleziona l'avviso e fai clic su Carica nel sistema.
- Nella scheda Richieste, visualizza la richiesta importata.
- Dopo che il connettore riceve l'email traducendo i dati dell'email in dati di Google SecOps, puoi visualizzare l'avviso nella scheda Casi nella coda dei casi.
Dopo che il connettore ha tradotto i dati dell'email nel formato Google SecOps, l'avviso viene visualizzato nella coda delle richieste. Quando il caso viene visualizzato per la prima volta, non è mappato o modellato. Questi passaggi si verificano successivamente nel workflow.
Visualizza come vengono tradotti i dati degli avvisi
Puoi vedere come ogni campo nel codice del connettore corrisponde al campo pertinente presentato nei dettagli del contesto della piattaforma.
Per vedere come vengono visualizzati i dati dell'avviso nella piattaforma, fai clic sull'avviso per visualizzare i dettagli del contesto dell'avviso.
| Campo Platform | Descrizione | Mappatura del codice |
|---|---|---|
| Nome campo/Valore | Oggetto dell'email, ad esempio: "NOTIFICA DEL TUO NUOVO STIPENDIO" | alert_info.name = email_message_data['Subject'] |
| RuleGenerator / Mail | Il nome della regola SIEM di Google Security Operations che causa la creazione dell'avviso | alert_info.rule_generator = RULE_GENERATOR_EXAMPLE |
| TicketID | L'ID univoco dell'email | alert_info.ticket_id = f"{alert_id}" |
| AlertID | L'ID univoco dell'email | alert_info.display_id = f"{alert_id}" |
| DeviceProduct / Mail | Come definito in CONSTANTS: PRODUCT= "Mail" |
alert_info.device_product = PRODUCT |
| DeviceVendor / Mail | Come definito in CONSTANTS: VENDOR = "Mail" |
alert_info.device_vendor = VENDOR |
| DetectionTime / EndTime / StartTime / EstimatedStartTime | L'ora di ricezione dell'email |
alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
|
| Prioritario/Informativo | Come definito per questo avviso:
|
alert_info.priority = 60 |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.