将 EmailV2 与 Google SecOps 集成

本文档介绍了如何将 EmailV2 与 Google Security Operations (Google SecOps) 集成。

使用场景

EmailV2 集成使用 Google SecOps 功能来支持以下用例：

  • 钓鱼式攻击分类和邮件通知：自动执行向收件人（包括外部用户）发送邮件通知的过程，并设置异步 playbook 以等待用户响应（例如确认钓鱼式攻击尝试）。

  • 突发事件数据丰富化和保留：根据条件（例如发件人或主题）在邮箱中搜索相关邮件，并将可疑电子邮件中的所有文件附件直接保存到突发事件墙，以便进行取证分析和数据保留。

  • 邮箱管理和控制：自动将恶意或分类邮件从收件箱移至隔离区或归档文件夹，或永久删除符合特定过滤条件的邮件（例如删除多个文件夹中已知恶意软件邮件的所有副本）。

  • 会话串回复和协作：使用“发送会话串回复”操作在现有邮件会话串中发送即时回复或结构化回复，确保所有必要方都能及时了解相关安全更新。

准备工作

如需使 EmailV2 集成成功连接到您的邮件服务器，您必须确保配置的邮箱授予使用 IMAP/SMTP 访问第三方应用的权限。

如果您使用的是 Gmail 或 Google Workspace 账号，则必须使用应用专用密码进行身份验证。标准账号密码不适用于与 Google 服务器的 IMAP/SMTP 连接。

如需使用应用专用密码，请确保满足以下要求：

  1. 启用两步验证：只有在您的 Google 账号中启用了两步验证后，才能生成应用专用密码。如需了解详情，请参阅开启两步验证。

  2. 生成 16 位应用专用密码：为集成创建专属密码。如需了解详情，请参阅使用应用专用密码登录。

通过网络访问 IMAP/SMTP

使用 IMAP 访问和处理收到的电子邮件以及使用 SMTP 发送外发电子邮件需要使用配置的账号凭证进行网络访问。

网络要求

函数 默认端口 方向 协议
邮件服务器通信 多个值 出站 IMAP/SMTP

集成参数

EmailV2 集成需要以下参数：

参数 说明
IMAP - Use SSL

可选。

如果选中，该操作会在连接到 IMAP 服务器时启用安全通信 (SSL/TLS)。

默认处于启用状态。
SMTP - Use Authentication

可选。

如果选中，该操作会为 SMTP 连接启用身份验证。

当 SMTP 服务器未处于“开放中继”配置中，并且需要凭据才能发送外发电子邮件时，此字段是必需的。

默认处于启用状态。
Sender's Address

必填。

集成用于发送和接收消息的邮箱的电子邮件地址。
Sender's Display Name

必填。

集成发送电子邮件时显示的发件人名称。
SMTP Server Address

可选。

用于发送电子邮件的 SMTP 服务器的 DNS 主机名或 IP 地址，例如 smtp.gmail.com。
SMTP Port

可选。

用于连接到 SMTP 服务器的端口号，例如 587 或 465。
IMAP Server Address

可选。

检索收到的电子邮件所需的 IMAP 服务器的 DNS 主机名或 IP 地址，例如 imap.gmail.com。
IMAP Port

可选。

用于连接到 IMAP 服务器的端口号，例如 993。
Username

必填。

向邮件服务器进行身份验证所需的用户名（通常是完整的邮箱）。
Password

必填。

向邮件服务器进行身份验证所需的密码。

对于 Gmail 或 Google Workspace 账号，您必须输入在 Google账号安全设置中生成的 16 位应用专用密码。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

删除电子邮件

使用删除电子邮件操作可从邮箱中移除符合指定搜索条件的电子邮件。您可以使用此操作删除找到的第一封匹配电子邮件或删除所有匹配电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

删除电子邮件操作需要以下参数：

参数 说明
Folder Name

必填。

以英文逗号分隔的邮箱文件夹列表，操作会在其中搜索邮件。
Message IDs

可选。

要搜索和删除的特定邮件 ID 的逗号分隔列表。

如果提供，此列表会替换 Subject Filter、Sender Filter 和 Recipient Filter。
Subject Filter

可选。

用于缩小搜索范围以查找匹配邮件的主题行。
Sender Filter

可选。

用于搜索匹配邮件的发件人地址。
Recipient Filter

可选。

用于搜索匹配邮件的收件人地址。
Days Back

可选。

此操作搜索要删除的电子邮件的时间范围（以天为单位）。

时间范围以天为单位进行计算。

如果使用值 0，则搜索范围仅限于当天收到的电子邮件。

默认值为 0。
Delete all matching emails

可选。

如果选中此选项，该操作会删除符合指定条件的所有电子邮件；否则，它只会删除第一个匹配项。

默认情况下，该环境处于停用状态。

操作输出

删除电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用删除电子邮件操作时收到的 JSON 结果输出：

{
    "deleted_emails": {
        "email_1_deleted": {
            "message_id": "<a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0@mail.example.com>",
            "deleted_from_folder": "Inbox",
            "subject": "Suspicious Login Alert - Deleted",
            "sender": "noreply@system.com",
            "timestamp": "2025-11-20T14:30:00Z"
        },
        "email_2_deleted": {
            "message_id": "<u1v2w3x4y5z6a7b8c9d0e1f2g3h4i5j6k7l8m9n0@mail.example.com>",
            "deleted_from_folder": "Spam",
            "subject": "Phishing Offer",
            "sender": "scam@badsite.net",
            "timestamp": "2025-11-15T09:15:00Z"
        }
    }
}
输出消息

删除电子邮件操作可能会返回以下输出消息：

输出消息 消息说明

NUMBER_OF_DELETED_EMAILS email(s) were deleted successfully

Failed to find emails for deletion!

 操作成功。

Error deleting emails ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用删除电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

DownloadEmailAttachments

使用下载电子邮件附件操作从特定电子邮件中检索附件，并将其保存到 Google SecOps 服务器上的指定路径。

此操作不会在 Google SecOps 实体上运行。

操作输入

下载电子邮件附件操作需要以下参数：

参数 说明
Folder Name

必填。

邮箱文件夹的逗号分隔列表，操作会在其中搜索电子邮件。

默认值为 Inbox。
Download Path

必填。

Google SecOps 服务器上保存下载的附件的路径。
Message IDs

可选。

要从中下载附件的邮件 ID 的逗号分隔列表。
Subject filter

可选。

用于缩小邮件搜索范围的主题行。

操作输出

下载电子邮件附件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

下载电子邮件附件操作可以返回以下输出消息：

输出消息 消息说明

Downloaded NUMBER_OF_ATTACHMENTS attachments. ATTACHMENT_PATHS

 操作成功。

failed to download email attachments, the error is: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用下载电子邮件附件操作时脚本结果输出的值：

脚本结果名称 值
attachments_local_paths 以逗号分隔的字符串，表示已保存附件的完整路径。

转发邮件

使用转发电子邮件操作，通过提供原始电子邮件的唯一邮件 ID，将现有电子邮件（包括其之前的会话串内容）发送给新收件人。

此操作不会在 Google SecOps 实体上运行。

操作输入

转发电子邮件操作需要以下参数：

参数 说明
Folder Name

必填。

原始电子邮件所在的邮箱文件夹。

  • 如果要检查多个文件夹，请提供以英文逗号分隔的列表。
  • 文件夹名称必须与 IMAP 文件夹完全一致。
  • 如果文件夹名称包含空格，则必须用英文双引号括起来。

默认值为 Inbox。
Message ID of the email to forward

必填。

操作转发的现有电子邮件的唯一 message_id。
Recipients

必填。

新收件人的主邮箱逗号分隔列表。
CC

可选。

要包含在“抄送”字段中的电子邮件地址逗号分隔列表。
BCC

可选。

要包含在“密送”字段中的邮箱地址的逗号分隔列表。
Subject

必填。

转发邮件的主题行。
Content

可选。

要包含在转发邮件中的其他正文内容。
Return message id for the forwarded email

可选。

如果选择此选项，该操作会在 JSON 结果中返回新转发的电子邮件的唯一邮件 ID。

默认情况下，该环境处于停用状态。
Attachment Paths

可选。

服务器上其他附件的文件路径的英文逗号分隔列表。

操作输出

转发电子邮件操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用转发电子邮件操作时收到的 JSON 结果输出：

{
   "Date"
   "message_id"
   "Recipient"
}
输出消息

转发电子邮件操作可能会返回以下输出消息：

输出消息 消息说明

Email was forwarded successfully.

Mail was forwarded successfully. Mail message ID is: MESSAGE_ID

 操作成功。

Failed to forward the email! The Error is ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用转发电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

将电子邮件移至文件夹

使用将电子邮件移至文件夹操作，将电子邮件从邮箱中的指定源文件夹转移到其他目标文件夹。

此操作不会在 Google SecOps 实体上运行。

操作输入

将电子邮件移至文件夹操作需要以下参数：

参数 说明
Source Folder Name

必填。

邮件移出的来源文件夹的名称。
Destination Folder Name

必填。

邮件移至的目标文件夹的名称。
Message IDs

可选。

要搜索和移动的特定邮件 ID 的逗号分隔列表。

如果提供，此列表会覆盖 Subject Filter。
Subject Filter

可选。

用于缩小搜索范围以查找匹配邮件的主题行。
Only Unread

可选。

如果选中，搜索结果将仅限于未读邮件。

默认情况下，该环境处于停用状态。

操作输出

将电子邮件移至文件夹操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用将电子邮件移至文件夹操作时收到的 JSON 结果输出：

{
    "emails": {
        "email_1": {
            "message_id": "<4f1e50e8f4027d187a2385a39b83cde46e5b53c1@mail.example.com>",
            "received": "Mon, 24 Nov 2025 10:00:00 +0000",
            "sender": "security-alert@example.com",
            "recipients": "user@example.com",
            "subject": "Phishing Alert: Urgent Action Required",
            "plaintext_body": "Original alert content...",
            "moved_from_folder": "Inbox",
            "moved_to_folder": "Quarantine"
        },
        "email_2": {
            "message_id": "<a5b6c7d8e9f01g2h3i4j5k6l7m8n9o0p1q2r3s4t@mail.example.com>",
            "received": "Sun, 23 Nov 2025 14:30:00 +0000",
            "sender": "noreply@system.com",
            "recipients": "user@example.com",
            "subject": "System Update Notification",
            "plaintext_body": "System update successful...",
            "moved_from_folder": "Inbox",
            "moved_to_folder": "Archive"
        }
    }
}
输出消息

将电子邮件移至文件夹操作可能会返回以下输出消息：

输出消息 消息说明

NUMBER_OF_MOVED_EMAILS mails were successfully moved from SOURCE_FOLDER 至 DESTINATION_FOLDER

No mails were found matching the search criteria!

 操作成功。

Error search emails: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用将电子邮件移至文件夹操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

Ping

使用 Ping 操作测试与 Email V2 的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully connected to the email server server with the provided connection parameters!

 操作成功。

Failed to connect to the IMAP server! Error is ERROR_REASON

Failed to connect to the SMTP server! Error is ERROR_REASON

SMTP (or IMAP) configuration is needed to execute action. Please configure STMP (or IMAP) on integration configuration page in Content Hub.

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

将电子邮件附件保存到支持请求

使用将电子邮件附件保存到案例操作，可检索邮箱中特定电子邮件的附件，并将其自动保存到当前案例的案例墙中。

此操作不会在 Google SecOps 实体上运行。

操作输入

Save Email Attachments to Case 操作需要以下参数：

参数 说明
Folder Name

必填。

以逗号分隔列表形式显示的邮箱文件夹，操作会在其中搜索电子邮件。
Message ID

可选。

要从中下载附件的电子邮件的唯一邮件 ID。
Attachment To Save

可选。

要保存的附件的具体名称。

如果未提供值，该操作会将电子邮件中的所有附件保存到 Case Wall。

操作输出

将电子邮件附件保存到案例操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用将电子邮件附件保存到案例操作时收到的 JSON 结果输出：

{
    "saved_attachments_from_email": {
        "message_id": "<a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0@mail.example.com>",
        "subject": "Email with Malicious Attachment",
        "sender": "external@suspicious.com",
        "attachments_saved": [
            {
                "file_name": "Invoice_Q3_2025.pdf",
                "file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82",
                "saved_to_case_wall": "True"
            },
            {
                "file_name": "Report_Data.docx",
                "file_hash_md5": "b3e0c1a9f8d7c6b5a4e3d2c1b0a9f8e7",
                "saved_to_case_wall": "True"
            }
        ]
    }
}
输出消息

将电子邮件附件保存到案例操作可以返回以下输出消息：

输出消息 消息说明

Successfully saved the following attachments from the email MESSAGE_ID: MESSAGE_INFO

 操作成功。

Failed to save the email attachments to the case, the error is: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用将电子邮件附件保存到案例操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

搜索电子邮件

使用搜索电子邮件操作，通过各种过滤条件在配置的邮箱中查找特定电子邮件。

该操作会检索 JSON 文件中匹配邮件的详细信息，这些信息可用于后续的自动或手动分析。

此操作不会在 Google SecOps 实体上运行。

操作输入

搜索电子邮件操作需要以下参数：

参数 说明
Folder Name

必填。

以英文逗号分隔的邮箱文件夹列表，操作会在其中搜索邮件。

默认值为 Inbox。
Subject Filter

可选。

用于缩小搜索范围以查找匹配邮件的主题行。
Sender Filter

可选。

用于搜索匹配邮件的发件人地址。
Recipient Filter

可选。

用于搜索匹配邮件的收件人地址。
Time frame (minutes)

必填。

搜索功能回溯电子邮件的时间范围（以分钟为单位）。

默认值为 60。
Only Unread

可选。

如果选中，则搜索只会检索未读电子邮件。

默认处于停用状态
Max Emails To Return

必填。

该操作返回的电子邮件数量上限。

默认值为 100。

操作输出

搜索电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用搜索电子邮件操作时收到的 JSON 结果输出：

{
    "emails": {
        "email_1": {
            "message id": "<CAJP=A_uGkttoWc1eahvP43rWVEsdk77nMu1FomhgRjRSmySLLg@mail.example.com>",
            "received": "Mon, 26 Aug 2019 03:20:13 -0700 (PDT)",
            "sender": "user@test.example",
            "recipients": "user1@example.com,user2@example.com",
            "subject": "Cool offer",
            "plaintext_body": "Hi, ...",
            "attachmment_1": "pdfdocument.pdf",
            "attachment_1_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82"
        },
        "email_2": {
            "message id": "<WEAA=D_uGkttoWc1eahvP43rWVEsdk77nMu1FomhgRjRSmySLLg@mail.example.com>",
            "received": "Wen, 21 Aug 2019 03:20:13 -0700 (PDT)",
            "sender": "user@test.example",
            "recipients": "user3@example.com",
            "subject": "Cool offer",
            "plaintext_body": "Hi, ...",
            "attachmment_1": "photo.jpg",        "attachment_1_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82",
            "attachmment_2": "word_document.docx",
            "attachment_2_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82"
        }
    }
}
输出消息

搜索电子邮件操作可能会返回以下输出消息：

输出消息 消息说明

Search found NUMBER_OF_FOUND_EMAILS emails based on the provided search criteria

Search didn't found any matching emails

 操作成功。

Search didn't completed successfully due to error: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用搜索电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

发送电子邮件

使用发送电子邮件操作，从配置的邮箱向多个收件人发送电子邮件。

此操作可选择返回邮件 ID，然后“等待用户发送电子邮件”操作可以使用该 ID 来跟踪用户回复并控制 playbook 执行。

此操作不会在 Google SecOps 实体上运行。

操作输入

发送电子邮件操作需要以下参数：

参数 说明
Recipients

必填。

主要收件人邮箱。

多个地址之间必须用英文逗号分隔。
CC

可选。

要包含在“抄送”(CC) 字段中的邮箱。

多个地址之间必须用英文逗号分隔。
Bcc

可选。

要包含在“密送”(Bcc) 字段中的邮箱。

多个地址之间必须用英文逗号分隔。
Subject

必填。

电子邮件的主题行。
Content

必填。

电子邮件的正文内容。
Return message id for the sent email

可选。

如果选中，该操作会在 JSON 结果中返回唯一的消息 ID。

Wait for Email From User 操作可以使用此 ID 来跟踪回复。

默认情况下，该环境处于停用状态。
Attachments Paths

可选。

服务器上附件的绝对文件路径的逗号分隔列表。

操作输出

发送电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用发送电子邮件操作时收到的 JSON 结果输出：

{
    "message_id": "<4f1e50e8f4027d187a2385a39b83cde46e5b53c1-10013525-100078757@example.com>"
}
输出消息

发送电子邮件操作可能会返回以下输出消息：

输出消息 消息说明

Mail sent successfully.

Mail sent successfully. Mail message ID is: MESSAGE_ID

 操作成功。

Execution Failed: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用发送电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

发送消息串回复

使用发送会话串回复操作，通过原始邮件 ID 在现有邮件会话串中发送新邮件作为回复。

此操作不会在 Google SecOps 实体上运行。

操作输入

发送会话回复操作需要以下参数：

参数 说明
Message ID

必填。

回复所针对的消息的唯一 ID。
Folder Name

必填。

邮箱文件夹的逗号分隔列表，操作会在其中搜索原始电子邮件。

文件夹名称必须与 IMAP 文件夹完全一致。如果名称包含空格，则必须用英文双引号括起来（例如 "[Gmail]/All Mail"）。

默认值为 Inbox。
Content

必填。

回复消息的正文内容。
Attachment Paths

可选。

服务器上要包含在回复中的附件的文件路径逗号分隔列表。
Reply All

可选。

如果选中此选项，系统会将回复发送给原始邮件会话串的所有收件人。

此参数的优先级高于 Reply To。

默认处于启用状态。
Reply To

可选。

以英文逗号分隔的特定电子邮件地址列表，用于接收回复。

如果 Reply All 处于停用状态且未提供任何值，则回复只会发送给原始电子邮件的发件人。

操作输出

发送话题回复操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用发送话题回复操作时收到的 JSON 结果输出：

{
    "message_id": "<162556278608.14165.480701790user@example>",
    "recipients": "test@example.com"
}
输出消息

发送话题回复操作可以返回以下输出消息：

输出消息 消息说明

Successfully sent reply to the message with ID MESSAGE_ID in Exchange.

 操作成功。

Error executing action "Send Thread Reply". Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用发送会话串回复操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

等待用户发送电子邮件

使用等待用户发送电子邮件操作可暂停 playbook 的执行，并监控邮箱中是否有对之前通过发送电子邮件操作发送的邮件的回复。

此操作不会在 Google SecOps 实体上运行。

操作输入

等待用户发送电子邮件操作需要以下参数：

参数 说明
Email Message_id

必填。

所发送电子邮件的唯一邮件 ID，该操作会跟踪对该邮件的回复。

如果消息是使用“发送电子邮件”操作发送的，请选择 SendEmail.JSONResult.message_id 作为占位符。
Email Date

必填。

指示原始邮件发送时间的时间戳。该操作会使用此值来计算回复窗口。

如果消息是使用“发送电子邮件”操作发送的，请使用占位符 SendEmail.JSONResult.email_date。
Email Recipients

必填。

操作等待回复的收件人电子邮件地址的逗号分隔列表。

如果消息是使用“发送电子邮件”操作发送的，请使用占位符 SendEmail.JSONResult.email_date。
Wait stage timeout (minutes)

可选。

在将等待阶段标记为超时之前，操作等待回复的时长（以分钟为单位）。

默认值为 1440。
Wait for all recipients to reply?

可选。

如果选中此选项，Playbook 会等待所有收件人的回复，然后再继续；否则，它会在收到第一个回复后继续。

默认处于启用状态。
Wait stage exclude pattern

可选。

一个正则表达式模式，用于排除特定回复（例如自动发送的“不在办公室”消息），使其不被视为有效回复。
Folder to check for reply

可选。

邮箱文件夹的逗号分隔列表，操作会在其中搜索用户的回复。

此参数区分大小写。

默认值为 Inbox。
Fetch Response Attachments

可选。

如果选中此选项，收件人回复中包含的所有附件都会保存为操作结果的附件。

默认情况下，该环境处于停用状态。

操作输出

等待用户发送电子邮件操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用等待用户发送电子邮件操作时收到的 JSON 结果输出：

{
    "Responses":
    {[
     "user1@example.com": "Approved",
     "user2@example.com": "",
     "user3@example.com": ""
     ]}
}
脚本结果

下表列出了使用等待用户发送电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

通用 IMAP 电子邮件连接器

使用通用 IMAP 电子邮件连接器定期连接到 IMAP 邮件，以检查指定邮箱中是否有新电子邮件。连接器会近乎实时地处理新邮件，并将其转换为 Google SecOps 平台中具有上下文信息的提醒和案例。

已知问题和限制

  1. Outlook 附件 (.eml)：如果缺少关键标头，连接器可能无法处理由 Microsoft Outlook 转换为 .eml 格式的附件。Google SecOps 仍会针对该电子邮件创建提醒，但不会根据附件创建事件。以下日志表明存在此问题：

    Error Code 1: Encountered an email object with missing headers. Please
visit documentation portal for more details.

  2. 缺少文件名：在处理邮件标头中缺少文件名的附加邮件文件时，连接器会分配一个唯一的占位符文件名：Undefined_{UUID}.eml，使附件在 Google SecOps 中显示为事件。

邮件支持请求转发

Google SecOps 与邮件服务器通信，搜索并注入邮件，然后将其转发到平台，以便近乎实时地翻译并将其作为安全提醒进行情境化。

连接器规则

  • 连接器使用 SSL/TLS 来确保与电子邮件服务器进行加密通信。
  • 该连接器支持使用代理连接到邮件服务器，以处理 IMAP 和 IMAPS 流量。
  • 该连接器支持在多个邮箱文件夹中搜索邮件。Folder 参数接受以逗号分隔且区分大小写的文件夹名称列表。
  • 连接器支持 Unicode 编码，因此能够处理以英语以外的语言发送的电子邮件。

连接器输入

通用 IMAP 电子邮件连接器需要以下参数：

参数 说明
Default Environment

可选。

提取的提醒所分配到的环境的名称。
Run Every

可选。

连接器运行以检查新邮件的频率。

默认值为 00:00:10:00（10 分钟）。
Product Field Name

必填。

存储商品名称的字段的名称。

商品名称主要影响映射。为了简化和改进连接器的映射过程，默认值会解析为代码中引用的后备值。默认情况下，此参数的任何无效输入都会解析为回退值。

默认值为 Product Name。
Event Field Name

必填。

决定事件名称（子类型）的字段名称。

默认值为 event_name_mail_type。
Additional headers to extract from emails

可选。

在连接器处理期间要从电子邮件中提取的自定义标头字段的逗号分隔列表。
Script Timeout (Seconds)

必填。

运行当前脚本的 Python 进程的超时限制（以秒为单位）。

默认值为 60。
IMAP Server Address

必填。

要连接的 IMAP 服务器的 IP 地址或 DNS 主机名。

默认值为 imap.gmail.com。
IMAP Port

必填。

用于连接到 IMAP 服务器的端口号。

默认值为 993。
Username

必填。

连接器从中拉取电子邮件的邮箱的用户名。

默认值为 username。
Password

必填。

用于拉取邮件的邮箱的密码。

默认值为 1。
Folder to check for emails

必填。

以英文逗号分隔的邮箱文件夹列表，连接器会在其中搜索电子邮件。

此参数区分大小写。

默认值为 Inbox。
Server Time Zone

可选。

邮件服务器中配置的时区。

默认值为 UTC。
Environment Regex Pattern

可选。

用于操纵事件字段数据并提取环境名称的正则表达式模式。
IMAP USE SSL

可选。

如果选中此选项，连接器会使用 SSL/TLS 与邮件服务器建立安全的 IMAP 连接。

默认处于启用状态。
Unread Emails Only

可选。

如果选中此选项，连接器将仅提取未读电子邮件。

默认处于启用状态。
Mark Emails as Read

可选。

如果选中此选项，则在连接器成功拉取电子邮件后，这些电子邮件会被标记为已读。

默认处于启用状态。
Attach Original EML

可选。

如果选中此选项，原始邮件会以 .eml 文件的形式附加到创建的提醒中。

默认情况下，该环境处于停用状态。
Regex expressions to handle forwarded emails

可选。

一个 JSON 单行字符串，其中包含正则表达式模式，用于从转发的电子邮件中提取原始主题、发件人和收件人字段。
Exclusion Body Regex

可选。

一种正则表达式模式，用于在邮件正文内容与该模式匹配时排除邮件，使其不被提取，例如 ([N|n]ewsletter)|([O|o]ut of office)。
Exclusion Subject Regex

可选。

一个正则表达式模式，用于在主题行与该模式匹配时排除电子邮件，使其不被提取，例如 ([N|n]ewsletter)|([O|o]ut of office)。
Offset Time In Days

必填。

连接器提取邮件的最长回溯天数（最长时间范围）。

此值还可用作初始运行或连接器时间戳过期时的后备值，以确保提取停用期间的提醒。

默认值为 5。
Max Emails Per Cycle

必填。

连接器在单个轮询周期内处理的电子邮件数量上限。

默认值为 10。
Proxy Server Address

可选。

要使用的代理服务器的地址。
Proxy Username

可选。

用于代理服务器身份验证的用户名。
Proxy Password

可选。

用于代理服务器身份验证的密码。
Create a Separate Siemplify Alert per Attached Mail File?

可选。

如果选中此选项，连接器会为在邮件中找到的每个附加电子邮件文件创建单独的提醒。

如果事件映射设置为根据附加的电子邮件文件创建实体，此功能会很有用。

默认情况下，该环境处于停用状态。
Original Received Mail Prefix

可选。

添加到从受监控邮箱中收到的原始电子邮件中提取的键（收件人、发件人、主题等）的前缀（例如 orig）。

默认值为 orig。
Attached Mail File Prefix

可选。

添加到从电子邮件中找到的附加邮件文件中提取的键（收件人、发件人、主题等）的前缀（例如 attach）。

默认值为 attach。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。