將 EmailV2 與 Google SecOps 整合

本文說明如何將 EmailV2 與 Google Security Operations (Google SecOps) 整合。

用途

EmailV2 整合功能會使用 Google SecOps 功能，支援下列用途：

• 網路釣魚分類和通知：自動傳送通知電子郵件給收件者 (包括外部使用者)，並設定非同步應變手冊，等待使用者回覆 (例如確認網路釣魚嘗試)。

• 事件資料充實和保留：根據條件 (例如寄件者或主旨) 搜尋信箱中的相關郵件，並將可疑電子郵件中的所有附件直接儲存至案件牆，以便進行鑑識分析和資料保留。

• 信箱管理和圍堵：自動將惡意或分類的電子郵件從收件匣移至隔離區或封存資料夾，或永久刪除符合特定篩選條件的電子郵件 (例如刪除多個資料夾中所有已知的惡意軟體電子郵件副本)。

• 討論串回覆和協作：使用「傳送討論串回覆」動作，在現有電子郵件討論串中立即回覆或傳送結構化回覆，確保所有必要人員都能掌握相關安全性更新。

事前準備

如要啟用 EmailV2 整合功能，成功連線至郵件伺服器，請務必確認設定的信箱會使用 IMAP/SMTP 授予第三方應用程式存取權。

如果您使用的是 Gmail 或 Google Workspace 帳戶，則必須使用應用程式密碼進行驗證。標準帳戶密碼不適用於 Google 伺服器的 IMAP/SMTP 連線。

如要使用應用程式密碼，請確認符合下列規定：

1. 啟用兩步驟驗證： Google 帳戶必須啟用兩步驟驗證，才能產生應用程式密碼。詳情請參閱「開啟兩步驟驗證功能」。

2. 產生 16 位數的應用程式密碼：為整合功能建立專屬密碼。詳情請參閱「使用應用程式密碼登入帳戶」。

IMAP/SMTP 的網路存取權

如要使用 IMAP 存取及處理收到的電子郵件，並使用 SMTP 傳送外寄電子郵件，必須使用已設定的帳戶憑證存取網路。

網路需求

整合參數

EmailV2 整合需要下列參數：

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

刪除電子郵件

使用「刪除電子郵件」動作，從信箱中移除符合指定搜尋條件的電子郵件。您可以使用這項動作，刪除找到的第一封相符電子郵件，或刪除所有相符的電子郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「刪除電子郵件」動作需要下列參數：

動作輸出內容

「刪除電子郵件」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Delete Email」動作時，收到的 JSON 結果輸出內容：

{
    "deleted_emails": {
        "email_1_deleted": {
            "message_id": "<a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0@mail.example.com>",
            "deleted_from_folder": "Inbox",
            "subject": "Suspicious Login Alert - Deleted",
            "sender": "noreply@system.com",
            "timestamp": "2025-11-20T14:30:00Z"
        },
        "email_2_deleted": {
            "message_id": "<u1v2w3x4y5z6a7b8c9d0e1f2g3h4i5j6k7l8m9n0@mail.example.com>",
            "deleted_from_folder": "Spam",
            "subject": "Phishing Offer",
            "sender": "scam@badsite.net",
            "timestamp": "2025-11-15T09:15:00Z"
        }
    }
}

輸出訊息

「Delete Email」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Delete Email」動作時，指令碼結果輸出的值：

DownloadEmailAttachments

使用「Download Email Attachments」動作，從特定電子郵件擷取附件，並儲存至 Google SecOps 伺服器的指定路徑。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「下載電子郵件附件」動作需要下列參數：

動作輸出內容

「下載電子郵件附件」動作會提供下列輸出內容：

輸出訊息

「Download Email Attachments」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Download Email Attachments」動作時，指令碼結果輸出的值：

轉寄電子郵件

使用「轉寄電子郵件」動作，提供原始電子郵件的專屬郵件 ID，將現有電子郵件 (包括先前的討論串內容) 傳送給新收件者。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「轉寄電子郵件」動作需要下列參數：

動作輸出內容

「轉寄電子郵件」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Forward Email」動作時，收到的 JSON 結果輸出內容：

{
   "Date"
   "message_id"
   "Recipient"
}

輸出訊息

「轉寄電子郵件」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Forward Email」動作時，指令碼結果輸出的值：

將電子郵件移至資料夾

使用「Move Email to Folder」動作，將電子郵件從指定的來源資料夾，轉移到信箱中的其他目的地資料夾。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「將電子郵件移至資料夾」動作需要下列參數：

動作輸出內容

「Move Email to Folder」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Move Email to Folder」動作時，收到的 JSON 結果輸出內容：

{
    "emails": {
        "email_1": {
            "message_id": "<4f1e50e8f4027d187a2385a39b83cde46e5b53c1@mail.example.com>",
            "received": "Mon, 24 Nov 2025 10:00:00 +0000",
            "sender": "security-alert@example.com",
            "recipients": "user@example.com",
            "subject": "Phishing Alert: Urgent Action Required",
            "plaintext_body": "Original alert content...",
            "moved_from_folder": "Inbox",
            "moved_to_folder": "Quarantine"
        },
        "email_2": {
            "message_id": "<a5b6c7d8e9f01g2h3i4j5k6l7m8n9o0p1q2r3s4t@mail.example.com>",
            "received": "Sun, 23 Nov 2025 14:30:00 +0000",
            "sender": "noreply@system.com",
            "recipients": "user@example.com",
            "subject": "System Update Notification",
            "plaintext_body": "System update successful...",
            "moved_from_folder": "Inbox",
            "moved_to_folder": "Archive"
        }
    }
}

輸出訊息

「Move Email to Folder」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Move Email to Folder」動作時，指令碼結果輸出的值：

乒乓

使用 Ping 動作測試與 Email V2 的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

輸出訊息

Ping 動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

將電子郵件附件儲存至案件

使用「Save Email Attachments to Case」動作，擷取信箱中特定電子郵件的附件，並自動儲存至目前案件的案件牆。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Save Email Attachments to Case」動作需要下列參數：

動作輸出內容

「Save Email Attachments to Case」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Save Email Attachments to Case」動作時，收到的 JSON 結果輸出內容：

{
    "saved_attachments_from_email": {
        "message_id": "<a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0@mail.example.com>",
        "subject": "Email with Malicious Attachment",
        "sender": "external@suspicious.com",
        "attachments_saved": [
            {
                "file_name": "Invoice_Q3_2025.pdf",
                "file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82",
                "saved_to_case_wall": "True"
            },
            {
                "file_name": "Report_Data.docx",
                "file_hash_md5": "b3e0c1a9f8d7c6b5a4e3d2c1b0a9f8e7",
                "saved_to_case_wall": "True"
            }
        ]
    }
}

輸出訊息

「Save Email Attachments to Case」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Save Email Attachments to Case」動作時，指令碼結果輸出的值：

搜尋電子郵件

使用「搜尋電子郵件」動作，透過各種篩選條件，在設定的信箱中尋找特定電子郵件。

這項動作會擷取 JSON 檔案中相符訊息的詳細資料，可用於後續的自動或手動分析。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「搜尋電子郵件」動作需要下列參數：

動作輸出內容

「搜尋電子郵件」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「搜尋電子郵件」動作時，收到的 JSON 結果輸出內容：

{
    "emails": {
        "email_1": {
            "message id": "<CAJP=A_uGkttoWc1eahvP43rWVEsdk77nMu1FomhgRjRSmySLLg@mail.example.com>",
            "received": "Mon, 26 Aug 2019 03:20:13 -0700 (PDT)",
            "sender": "user@test.example",
            "recipients": "user1@example.com,user2@example.com",
            "subject": "Cool offer",
            "plaintext_body": "Hi, ...",
            "attachmment_1": "pdfdocument.pdf",
            "attachment_1_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82"
        },
        "email_2": {
            "message id": "<WEAA=D_uGkttoWc1eahvP43rWVEsdk77nMu1FomhgRjRSmySLLg@mail.example.com>",
            "received": "Wen, 21 Aug 2019 03:20:13 -0700 (PDT)",
            "sender": "user@test.example",
            "recipients": "user3@example.com",
            "subject": "Cool offer",
            "plaintext_body": "Hi, ...",
            "attachmment_1": "photo.jpg",        "attachment_1_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82",
            "attachmment_2": "word_document.docx",
            "attachment_2_file_hash_md5": "3bd4a36cc0ed0bfc12ae5e2ece929e82"
        }
    }
}

輸出訊息

「搜尋電子郵件」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「搜尋電子郵件」動作時，指令碼結果輸出的值：

傳送電子郵件

使用「Send Email」(傳送電子郵件) 動作，從設定的信箱傳送電子郵件給多位收件者。

這項動作可選擇傳回訊息 ID，「Wait for Email From User」動作可使用該 ID 追蹤使用者回覆，並控制 playbook 執行。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「傳送電子郵件」動作需要下列參數：

動作輸出內容

「傳送電子郵件」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Send Email」動作時，收到的 JSON 結果輸出內容：

{
    "message_id": "<4f1e50e8f4027d187a2385a39b83cde46e5b53c1-10013525-100078757@example.com>"
}

輸出訊息

「傳送電子郵件」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Send Email」動作時，指令碼結果輸出的值：

傳送討論串回覆

使用「Send Thread Reply」動作，即可使用原始郵件 ID，在現有電子郵件討論串中傳送新郵件做為回覆。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Send Thread Reply」動作需要下列參數：

動作輸出內容

「傳送討論串回覆」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「傳送討論串回覆」動作時，收到的 JSON 結果輸出內容：

{
    "message_id": "<162556278608.14165.480701790user@example>",
    "recipients": "test@example.com"
}

輸出訊息

「Send Thread Reply」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「傳送討論串回覆」動作時，指令碼結果輸出的值：

等待使用者傳送電子郵件

使用「等待使用者電子郵件」動作暫停執行應對手冊，並監控信箱，查看是否有回覆先前透過「傳送電子郵件」動作傳送的郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Wait for Email From User」動作需要下列參數：

動作輸出內容

「等待使用者傳送電子郵件」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Wait for Email From User」動作時，收到的 JSON 結果輸出內容：

{
    "Responses":
    {[
     "user1@example.com": "Approved",
     "user2@example.com": "",
     "user3@example.com": ""
     ]}
}

指令碼執行結果

下表列出使用「等待使用者傳送電子郵件」動作時，指令碼結果輸出的值：

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

一般 IMAP 電子郵件連接器

使用一般 IMAP 電子郵件連接器定期連線至 IMAP 郵件，檢查指定信箱是否有新電子郵件。連接器會近乎即時地處理新電子郵件，並在 Google SecOps 平台中，將這些郵件轉換為情境化快訊和案件。

已知問題和限制

1. Outlook 附件 (.eml)：如果缺少重要標頭，連接器可能無法處理 Microsoft Outlook 轉換為 .eml 格式的附件。Google SecOps 仍會針對電子郵件建立快訊，但不會根據附件建立事件。下列記錄指出這個問題：

   Error Code 1: Encountered an email object with missing headers. Please
   visit documentation portal for more details.
   

2. 缺少檔案名稱：處理電子郵件標頭中缺少檔案名稱的附加郵件檔案時，連接器會指派不重複的預留位置檔案名稱：Undefined_{UUID}.eml，讓附件在 Google SecOps 中顯示為事件。

電子郵件案件轉寄

Google SecOps 會與電子郵件伺服器通訊，搜尋及擷取電子郵件，並將郵件轉送至平台，近乎即時地翻譯並提供背景資訊，做為安全性警示。

連接器規則

• 連接器會使用 SSL/TLS，確保與電子郵件伺服器之間的通訊經過加密。
• 連接器支援使用 Proxy 連線至郵件伺服器，以處理 IMAP 和 IMAPS 流量。
• 連接器可搜尋多個信箱資料夾中的電子郵件。Folder 參數接受以半形逗號分隔、區分大小寫的資料夾名稱清單。
• 連接器支援 Unicode 編碼，因此可處理非英文電子郵件。

連接器輸入

一般 IMAP 電子郵件連接器需要下列參數：

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。