カスタム コネクタをテストする
このドキュメントでは、悪意のあるサンプルのメールを Google Security Operations プラットフォームに取り込んでコネクタをテストする方法について説明します。テストプロセスでは、次の方法について説明します。
- 悪意のあるメールのサンプルを取り込みます。
- コネクタを実行します。
- アラートをケースキューに読み込みます。
- アラートデータがどのように変換されるかを確認します。
これらの手順を完了すると、新しいケースを表示し、メールの内容をプレビューして、アラートデータがマッピングおよびモデル化される前にプラットフォーム内でどのように変換され、表示されるかを把握できます。
悪意のあるメールのサンプルを取り込む
悪意のあるメールのサンプルを Google SecOps プラットフォームに取り込む手順は次のとおりです。
- 悪意のあるメールをプラットフォームに挿入する。
- 次のサンプルメールのテキストをコピーして、別のユーザーからこのメールを送信します。
Subject: Your new salary notification
Email body:
Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
Faithfully,
Human Resources
University of California, Berkeley
コネクタを実行する
コネクタを実行する手順は次のとおりです。
- [設定] > [データ マネジメント] > [コネクタ] に移動します。
- [テスト] タブで、[コネクタを 1 回実行] をクリックします。結果は [出力] セクションに表示され、プラットフォームに作成された新しいコネクタ インスタンスが表示されます。この関数を実行するたびに、最初の反復処理であるかのように実行されます。タイムスタンプは保存されず、ID もバックエンドに保存されません。
コネクタが正常に実行されると、未読メールが 1 件あるというアラートが表示されます。このテストでは、メールボックスに未読メールが少なくとも 1 つあることを確認してください。 - 省略可: [プレビュー] をクリックして、メールのプレビューを表示します。
アラートをケースキューに読み込む
サンプル アラートを取り込んだ後、次の手順に沿ってアラートをケースキューに取り込みます。
- アラートを選択し、[Load to system] をクリックします。
- [Cases] タブで、取り込まれたケースを表示します。
- コネクタがメールデータから Google SecOps データに変換してメールを受信すると、ケースキューの [Cases] タブにアラートが表示されます。
コネクタがメールデータを Google SecOps 形式に変換すると、アラートがケースキューに表示されます。ケースが最初に表示されたときは、マッピングもモデリングもされていません。これらの手順は、ワークフローの次の段階で行われます。
アラートデータの変換方法を確認する
コネクタコードの各フィールドが、プラットフォームのコンテキストの詳細に表示される関連フィールドにどのように対応しているかを確認できます。
プラットフォームにアラートデータがどのように表示されるかを確認するには、アラートをクリックして [Alert Context details] を表示します。
| プラットフォーム フィールド | 説明 | コード マッピング |
|---|---|---|
| フィールド名 / 値 | メールの件名（例: 「新しい給与通知」） | alert_info.name = email_message_data['Subject'] |
| RuleGenerator / メール | アラートの作成の原因となった Google Security Operations SIEM ルールの名前 | alert_info.rule_generator = RULE_GENERATOR_EXAMPLE |
| TicketID | メール メッセージの一意の ID | alert_info.ticket_id = f"{alert_id}" |
| AlertID | メール メッセージの一意の ID | alert_info.display_id = f"{alert_id}" |
| DeviceProduct / Mail | CONSTANTS で定義したとおり、PRODUCT= "Mail" です。 |
alert_info.device_product = PRODUCT |
| DeviceVendor / Mail | CONSTANTS で定義したとおり、VENDOR = "Mail" です。 |
alert_info.device_vendor = VENDOR |
| DetectionTime / EndTime / StartTime / EstimatedStartTime | メール メッセージの受信時刻 |
alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
|
| 候補 / 情報 | このアラートで定義したとおり、
|
alert_info.priority = 60 |
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。