將 Amazon GuardDuty 與 Google SecOps 整合

勾選這個欄位，即可從遠端執行設定的整合項目。

勾選後，系統會顯示選取遠端使用者 (代理) 的選項。

如果成功： 「已使用提供的連線參數成功連線至 AWS GuardDuty 伺服器！」

Else: "Failed to connect to the AWS if successful: "Successfully connected to the AWS GuardDuty server with the provided connection parameters!"

Else: "Failed to connect to the AWS GuardDuty server! 錯誤：{0}」

動作不應失敗，也不應停止執行應對手冊：

成功：「已建立偵測工具 <新偵測工具 ID>。」

如果未建立偵測工具 (is_success=false)：「Action wasn't able to create a detector. 原因：目前帳戶已有偵測工具。

如果回報「ErrorCode」(is_success=false)：「動作無法建立偵測工具。Error: {}".format (ErrorMessage)"

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無連線等)：「執行『建立偵測工具』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

動作不應失敗，也不應停止執行應對手冊：

如果偵測工具未刪除 (is_success=false)： 「Action wasn't able to delete <detector_ID> detector. Error: {}".format(ErrorMessage)"

如果偵測工具已成功刪除 (is_success=true)：「偵測工具 <偵測工具 ID> 已刪除。」

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、未連線等)：「Error executing action "Delete a Detector". 原因：{0}''.format(error.Stacktrace)

動作不應失敗，也不應停止執行應對手冊：

如果回報「ErrorCode」(is_success=false)：「動作無法建立偵測工具。Error: {}".format(ErrorMessage)"

如果偵測工具更新成功 (is_success=true)：「偵測工具 <偵測工具 ID> 已更新。」

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無連線等)：「Error executing action "Update a Detector". 原因：{0}''.format(error.Stacktrace)

動作不應失敗，也不應停止執行應對手冊：

如果成功：「Successfully retrieved information about <Indicator ID> indicator.」

注意：如果找到部分偵測工具 ID，但有部分找不到，請根據相關偵測工具 ID 顯示這兩則訊息。

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、未連線等)：「Error executing action "Get a Detector Details". 原因：{0}''.format(error.Stacktrace)

Table Title: 偵測工具詳細資料

表格欄：

• 偵測工具 ID
• 狀態
• 服務角色
• 建立時間
• 更新時間

動作不應失敗，也不應停止執行應對手冊：

如果回報 200 狀態碼 (is_success=true)：「已成功列出 Amazon GuardDuty 中的可用偵測工具。指標 ID：<value>"

如果回報其他狀態碼 (is_success=false)：「動作無法列出可用的偵測工具」

動作應失敗並停止執行應對手冊：

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「Error executing action "List Detectors". 原因：{0}''.format(error.Stacktrace)

遞增

可能的值包括：

• 遞增
• 遞減

動作不應失敗並停止執行應對手冊：

如果回報「ErrorCode」(is_success=false)：「動作無法取得偵測工具 <偵測工具 ID> 的發現項目。Error: {}".format(ErrorMessage)"

如果成功：「Successfully retrieved available findings IDs for detector {detector ID}」

動作應失敗並停止執行應對手冊：

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無連線等)：「執行『列出偵測工具的發現項目』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

要擷取的發現項目 ID。

以半形逗號分隔的 ID。

動作不應失敗，也不應停止執行應對手冊：

如果回報「ErrorCode」(is_success=false)：「動作無法封存發現項目。Error: {}".format(ErrorMessage). 請確認所有發現項目 ID 是否正確。」

如果成功：「已成功封存發現項目」→ 變更為：「已成功封存下列發現項目：<ids>」

如果有一/所有發現項目 ID 無效，動作不應失敗，但 is_success 應設為 false：「無法封存下列發現項目：<ids>」

注意：錯誤代碼不得用於其中一個 ID。如果發現項目 ID 有誤，系統會擲回例外狀況，並顯示下列錯誤：「呼叫 ArchiveFindings 作業時 (已達重試次數上限：4)：內部伺服器錯誤。」

同樣地：請先確認發現項目是否有效。

已成功封存下列發現項目： 88bac20f959084244a2b91778d12e883

無法封存下列發現項目： 1abac689941ae6f3e3e24d02ac4cf612

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無連線等)：「執行『封存發現項目』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

動作不應失敗，也不應停止執行應對手冊：

如果成功：「已成功封存下列發現項目：<ids>」

如果有一項/所有發現項目 ID 無效，動作不應失敗，但 is_success 應設為 false：「無法取消封存下列發現項目：<ids>

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、未連線等)：「執行『取消封存發現項目』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

注意：錯誤代碼不得用於其中一個 ID。如果發現項目 ID 有誤，系統會擲回例外狀況，並顯示下列錯誤：「呼叫 ArchiveFindings 作業時 (已達重試次數上限：4)：內部伺服器錯誤。」

同樣地，請先確認發現項目是否有效。

已成功封存下列發現項目： 88bac20f959084244a2b91778d12e883

無法封存下列發現項目： 1abac689941ae6f3e3e24d02ac4cf612

要產生的發現項目範例類型。逗號分隔值。

您可以在 UI 的「發現項目」部分，「發現項目類型」欄下方找到類型。

動作不應失敗，也不應停止執行應對手冊：

如果回報「ErrorCode」(is_success=false)：「動作無法建立範例發現項目。Error: {}".format(ErrorMessage)"

如果成功：「Successfully created sample findings」

如果其中一個輸入內容 (發現項目類型) 無效，請擷取下列例外狀況：「要求遭到拒絕，因為指定為輸入參數的值無效或超出範圍。」set, is_sucess=false:「動作無法建立發現項目範例，因為發現項目類型參數的值無效。

更新：如果發現項目類型無效，動作應會失敗，並顯示以下訊息：「發現項目類型參數的值無效，因此動作無法建立範例發現項目。錯誤：<traceback>

• 無效的發現項目類型 + 無效的偵測工具 → 動作應失敗，is_success=false
• 多個發現項目 - 無效 + 無效 - 動作仍會失敗！

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、未連線等)： 「Error executing action "Create Sample Findings". 原因：{0}''.format(error.Stacktrace)

動作不應失敗，也不應停止執行應對手冊：

如果回報「ErrorCode」(is_success=false)：「動作無法更新發現項目意見回饋。Error: {}".format(ErrorMessage)

如果成功：「已更新發現項目意見回饋。」

如果其中一個發現項目 ID 發生錯誤/找不到，即使其中一個 ID 不存在，回應物件仍會傳回空白回應。

如果找不到發現項目：「Cannot update feedback. <finding id> 無效。

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、未連線等)：「執行『更新發現項目意見回饋』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

指定要用於刪除 IP 集的偵測工具 ID。

這個參數位於「設定」分頁。

指定 IP 集 ID 清單，並以半形逗號分隔。

範例：id_1,id_2

動作不應失敗，也不應停止執行應對手冊：

如果成功 (is_success=true)：「已成功刪除下列信任的 IP 清單：<ids>」

如果部分 ID 未成功 (is_success=true)：「動作無法從 Amazon GuardDuty 刪除下列信任的 IP 清單：\n{0}。」.format(list_of_ids)"

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『刪除信任的 IP 清單』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace"

要擷取的發現項目 ID。以半形逗號分隔的 ID。

動作不應失敗，也不應停止執行應對手冊：

如果回報「ErrorCode」(is_success=false)：「Action wasn't able to get Findings details. Error: {}".format(ErrorMessage)"

如果成功：「已成功擷取下列發現項目的資訊：<擷取的發現項目 ID>」

如果系統回報其中一個 ID 發生錯誤，回應物件只會顯示正確 ID 的結果。檢查回應物件是否缺少某些 ID，並輸出適當訊息。

E.g. data = ['4cba8180b5959ae56a3be24cc722aaaa', '6eba7eae0e24ffe28a4109f2594febff', '24ba6761dc4cf85cfc292bbadd1c2655']

The first ID does not exist, therefore I will not get a result for that one. Output message:

"Successfully retrieved information for the following findings: 6eba7eae0e24ffe28a4109f2594febff,24ba6761dc4cf85cfc292bbadd1c2655. Failed to retrieve information for the following findings: 4cba8180b5959ae56a3be24cc722aaaa

動作應失敗並停止執行應對手冊：

如果回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無連線等)： 「Error executing action "Get Findings". Reason: {0}''.format(error.Stacktrace)"

注意：如果有的話。

表格欄：

• 發現項目 ID
• 標題
• 說明
• 類型
• 嚴重性
• 數量
• 資源 ID
• 建立時間
• 更新時間
• 帳戶 ID

指定要用於列出 IP 集的偵測工具 ID。

您可以在「設定」分頁中找到這項參數。

動作不應失敗，也不應停止執行應對手冊：

如果成功列出可用的組合 (is_success=true)：「Successfully retrieved available Trusted IP lists.」(已成功擷取可用的信任 IP 清單。)

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『取得所有信任的 IP 清單』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

指定用於取得 IP 集的偵測工具 ID。

您可以在「設定」分頁中找到這項參數。

指定以半形逗號分隔的 IP 集 ID 清單，例如 id_1,id_2。

動作不應失敗，也不應停止執行應對手冊：

If successfully returned details (is_success=true):"Successfully retrieved details about the following Trusted IP Lists from Amazon GuardDuty:\n{0}.".format(list_of_ids)"

如果部分 ID 失敗 (is_success=true)：「動作無法從 Amazon GuardDuty 擷取下列信任 IP 清單的詳細資料：\n{0}。」.format(list_of_ids)

如果未使用任何 ID (is_success=false)：「No details were retrieved about the provided Trusted IP Lists」.format(list_of_ids)

動作應失敗並停止執行應對手冊：

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器) 或其他錯誤：「執行『列出信任的 IP 清單』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

表格名稱：信任的 IP 清單詳細資料

表格欄：

• 名稱 (對應為「名稱」)
• 信任的 IP 清單 ID (來自動作參數)
• 位置 (對應為「位置」)
• 狀態 (對應為「狀態」)

指定要用於更新信任 IP 清單的偵測工具 ID。

您可以在「設定」分頁中找到這項參數。

動作不應失敗，也不應停止執行應對手冊：

如果成功更新一組 (is_success=true)：「Successfully updated the trusted IP list '{0}' in Amazon GuardDuty.".format(Threat ID)

如果無法更新一組 (is_success=false)：「動作無法更新 Amazon GuardDuty 中的信任 IP 清單『{0}』」。format(Threat ID)

動作應失敗並停止執行應對手冊：

如果回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『更新信任的 IP 清單』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

指定要用於建立信任 IP 清單的偵測工具 ID。

這個參數位於「設定」分頁。

選取要用來建立信任 IP 清單的檔案格式。

可能的值包括：

• 純文字結構化威脅資訊表示 (STIX)
• Open Threat Exchange (OTX) CSV
• FireEye iSIGHT Threat Intelligence CSV
• Proofpoint ET Intelligence 動態饋給 CSV
• AlienVault 信譽動態饋給

動作不應失敗，也不應停止執行應對手冊：

如果成功建立組合 (is_success=true)：「Successfully created new Trusted IP List '{0}' in Amazon GuardDuty.".format(Name)」

如果無法建立組合 (is_success=false)：「Action wasn't able to create new Trusted IP List '{0}' in Amazon GuardDuty.".format(name)」

動作應失敗並停止執行應對手冊：

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『建立信任的 IP 清單』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

指定要用於列出威脅情報集的偵測工具 ID。

您可以在「設定」分頁中找到這項參數。

動作不應失敗，也不應停止執行應對手冊：

如果成功列出可用的威脅情報集 (is_success=true)： 「Successfully listed available Threat Intelligence Sets.」

動作應失敗並停止執行應對手冊：

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『列出威脅情報集』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

指定偵測工具 ID，用於取得威脅情報集詳細資料。

您可以在「設定」分頁中找到這項參數。

指定威脅情報集的 ID 清單，並以半形逗號分隔。

範例：id_1,id_2

動作不應失敗，也不應停止執行應對手冊：

如果成功傳回至少一組詳細資料 (is_success=true)： "Successfully retrieved details about the following Threat Intelligence Sets from Amazon GuardDuty:\n{0}.".format(list_of_ids)"

如果部分 ID 失敗 (is_success=true)： 「動作無法從 Amazon GuardDuty 擷取下列威脅情報集的詳細資料：\n{0}。」.format(list_of_ids)

如果未使用任何 ID： "No details were retrieved about the provided Threat Intelligence Sets.".format(list_of_ids)

動作應失敗並停止執行應對手冊：

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『列出威脅情報集』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

資料表名稱：威脅情報集詳細資料

表格欄：

• 名稱 (對應為「名稱」)
• ID (來自動作參數)
• 位置 (對應為「位置」)
• 狀態 (對應為「狀態」)

指定用於建立威脅情報集的偵測工具 ID。

您可以在「設定」分頁中找到這項參數。

純文字

可能的值包括：

• 純文字
• 結構化威脅資訊表示 (STIX)
• Open Threat Exchange (OTX) CSV
• FireEye iSIGHT Threat Intelligence CSV
• Proofpoint ET Intelligence 動態饋給 CSV
• AlienVault 信譽動態饋給

指定應新增至威脅情報集的其他標記。

格式：key_1:value_1,key_2:value_1

動作不應失敗，也不應停止執行應對手冊：

如果成功建立威脅情報組合 (is_success=true)： "Successfully created the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(Name)

如果無法建立威脅情報組合 (is_success=false)："Action wasn't able to create the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(name)

動作應失敗並停止執行應對手冊：

如果系統回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『建立威脅情報集』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

指定要用於更新威脅情報集的偵測工具 ID。

這個參數位於「設定」分頁。

動作不應失敗，也不應停止執行應對手冊：

如果成功更新一組 (is_success=true)： "Successfully updated the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(Threat ID)

如果無法更新組合 (is_success=false)： "Action wasn't able to update the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(Threat ID)

動作應失敗並停止執行應對手冊：

如果回報致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器等)：「執行『更新威脅情報集』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

指定偵測工具 ID，用於取得威脅情報集詳細資料。

您可以在「設定」分頁中找到這項參數。

指定威脅情報集的 ID 清單，並以半形逗號分隔。

範例：id_1,id_2

動作不應失敗，也不應停止執行應對手冊：

如果成功傳回至少一組詳細資料 (is_success=true)：「Successfully deleted the following 威脅情報 Sets in Amazon GuardDuty: {0}.」.format(list_of_ids)

如果部分 ID 刪除失敗 (is_success=true)： "Action wasn't able to delete the following 威脅情報 Sets in Amazon GuardDuty:\n{0}.".format(list_of_ids)

如果未使用任何 ID：「未刪除任何威脅情報集」.format(list_of_ids)

動作應失敗並停止執行應對手冊：

偵測工具 ID 無效時，也應引發例外狀況、停止執行應對手冊，並將 is_success 設為 false。

如果發生致命錯誤、SDK 錯誤 (例如憑證錯誤、無法連線至伺服器)，或其他錯誤：「執行『刪除威脅情報集』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。

預設值為 Product Name。

決定事件名稱 (子類型) 的欄位名稱。

儲存環境名稱的欄位名稱。

如果缺少環境欄位，連接器會使用預設值。

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

整合時要使用的 AWS 預設區域。

範例：us-west-2

要擷取的快訊最低嚴重性。

如未設定這項參數，連接器會擷取所有嚴重性等級的警告。

可能的值介於 1 到 8 之間。

注意：Amazon GuardDuty 會依下列順序對應整數值：

• 1,2,3 - 低
• 4,5,6 - 中
• 7,8 - 高

這個參數可套用至首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。

每次連接器疊代要處理的發現項目數量。

上限：50 個

這是 GuardDuty 的限制。

如果選取，連接器會將動態清單做為封鎖清單。