將 Google Chronicle 與 Google SecOps 整合
本文說明如何將 Google Chronicle 與 Google Security Operations 整合。
用途
Google Chronicle 整合功能會使用 Google SecOps 功能，支援下列用途：
自動調查及修復網路釣魚：自動查詢歷來電子郵件資料、使用者活動記錄和威脅情報，評估電子郵件是否合法。自動化修復功能可防止惡意軟體或資料侵害事件擴散，協助您進行分類和圍堵。
強化安全性警示：使用歷來背景資訊 (例如過去的使用者行為和資產資訊)，強化 SIEM 中產生的警示。這能讓分析師全面掌握事件，更快做出更明智的決策。
根據 Google SecOps 深入分析結果搜尋威脅：自動查詢其他安全性工具，找出相關入侵指標 (IOC)。這有助於主動找出潛在的入侵行為，避免情況加劇。
自動化事件應變應對手冊：觸發預先定義的應對手冊，使用 Google SecOps 資料隔離遭入侵的系統、封鎖惡意 IP 位址，並通知相關利害關係人。這能縮短事件應變時間，並將資安事件的影響降至最低。
法規遵循報告和稽核：自動從 Google SecOps 收集安全性資料，用於法規遵循報告、簡化稽核程序，以及減少人工作業。
事前準備
在 Google SecOps 中設定 Google Chronicle 整合功能之前，請確認您有權存取有效的Google Cloud 專案。
將 Backstory API 遷移至 Chronicle API
這項整合中的部分新功能和動作僅支援 Chronicle API，因此強烈建議所有使用者將部署作業遷移至 Chronicle API。
如要從舊版 Backstory API 遷移至 Chronicle API，請按照下列步驟操作：
- 找出 Chronicle API 根目錄，並在整合設定、連接器和工作的
API Root參數中輸入該目錄。 - 確認 Google Cloud 專案類型支援您的驗證方式，且整合設定、連接器和工作皆採用相同的驗證方式。
尋找 Chronicle API 根
存取 Chronicle API 時，您必須找出環境專屬的 API Root，用於整合、連接器和工作設定。
開啟瀏覽器的開發人員工具，然後前往 Google SecOps 平台。
依序選取「調查」 > 「資料表」。
在開發人員工具中，前往「Network」(網路) 分頁，然後按一下「Name」(名稱) 欄中的項目，例如
dataTables?pageSize=1000。在詳細資料窗格中，選取「Headers」(標頭)，然後複製「General」(一般) 下方的
Request URL值，但不包含端點和任何查詢參數 (所選項目的名稱)。舉例來說，如果值為
https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}/dataTables?pageSize=1000，API 根目錄會排除/dataTables?pageSize=1000，並設為https://{api_root}/v1alpha/projects/{project_id}/locations/{location}/instances/{customer_id}。
驗證方式和憑證優先順序
Google Chronicle 整合項目、連接器和工作會依下列順序評估憑證：
- 內建憑證：如果您未提供
Workload Identity Email和User's Service Account，系統會自動使用內建憑證。- 使用時機：最適合 2025 年第 4 季起佈建的 Google 代管專案 (預設)，或任何使用舊版 Backstory API 的 Google 代管專案。不需建立服務帳戶、指派角色或管理金鑰。使用 Chronicle API 的自備專案 (BYOP) 部署作業不支援內建憑證。
- 2025 年第 4 季前 Google 代管專案：如要遷移至 Chronicle API，請與 Google 支援團隊聯絡，啟用內建的 Chronicle API 憑證，或使用 Workload Identity 或 JSON 金鑰設定服務帳戶。
- Workload Identity (
Workload Identity Email)：提供服務帳戶電子郵件時使用。如果同時填入Workload Identity Email和User's Service Account，系統會優先採用前者。- 使用時機：建議在需要服務帳戶時使用 (例如自備專案 (BYOP) 部署，或 2025 年第 4 季前未內建 Chronicle API 憑證的 Google 代管專案)。提供無金鑰驗證，不需下載或輪替 JSON 金鑰，並遵守限制建立服務帳戶金鑰的組織政策。
- 服務帳戶 JSON 金鑰 (
User's Service Account)：只有在Workload Identity Email為空白，且您提供服務帳戶 JSON 金鑰時，才會使用這個金鑰。- 使用時機：只有在需要服務帳戶，且無法設定 Workload Identity 模擬功能時，才使用這個方法。需要下載及管理靜態 JSON 金鑰檔案。
使用 Workload Identity 進行驗證 (建議)
如要使用 Workload Identity 進行驗證，請建立服務帳戶、指派必要角色，並將模擬權限授予 Google SecOps 執行個體。
建立服務帳戶
前往 Google Cloud 控制台的「Credentials」(憑證) 頁面。
在「建立憑證」選單中，選取「服務帳戶」。
在「Service account details」(服務帳戶詳細資料) 下方的「Service account name」(服務帳戶名稱) 欄位中輸入名稱。
選用：編輯服務帳戶 ID。
按一下「建立並繼續」。系統會顯示「權限」畫面。
按一下「繼續」。「Principals with access」(具備存取權的主體) 畫面隨即顯示。
按一下「完成」。
Chronicle API：服務帳戶所需角色
使用 Chronicle API 時，服務帳戶需要 Chronicle API Editor 角色：
前往 Google Cloud 控制台的「Credentials」(憑證) 頁面。
在「Service Accounts」(服務帳戶) 下方，選取服務帳戶，然後依序點選 「Permissions」(權限) >「Manage access」(管理存取權)。
按一下「add 新增角色」，然後選取「
Chronicle API Editor」角色。然後按一下 [儲存]。
將模擬權限授予 Google SecOps 執行個體
授予 Google SecOps 執行個體權限，模擬服務帳戶：
在 Google SecOps 中，依序前往 「Content Hub」 >「Response Integrations」。
選取要設定的整合項目，然後在
Workload Identity Email輸入服務帳戶電子郵件。依序點選「儲存」 > 「測試」。測試預計會失敗。
按一下「Test」右側的 close_small，然後在錯誤訊息中搜尋
gke-init-python@PROJECT.iam.gserviceaccount.com或soar-python@TENANT_PROJECT.iam.gserviceaccount.com。複製這個專屬電子郵件地址 (用於識別 Google SecOps 執行個體)。前往「Service accounts」(服務帳戶)，選取專案和服務帳戶。
依序選取「具有存取權的主體」>「授予存取權」。
在「新增主體」下方，貼上複製的值。
在「Add Roles」(新增角色) 下方，選取「
Service Account Token Creator」(roles/iam.serviceAccountTokenCreator) 角色。
使用服務帳戶 JSON 金鑰進行驗證
如要使用服務帳戶 JSON 金鑰進行驗證 (而非建議的 Workload Identity 方法)，請建立專屬服務帳戶並下載其 JSON 金鑰：
在 Google Cloud 控制台中，依序前往 「IAM & Admin > Service Accounts」(IAM 與管理 > 服務帳戶)。
選取「建立服務帳戶」，然後按照提示操作。
選取新服務帳戶的電子郵件地址，然後依序前往 「Keys」(金鑰) >「Add Key」(新增金鑰) >「Create new key」(建立新的金鑰)。
選取「
JSON」做為金鑰類型，然後按一下「建立」。系統會將 JSON 金鑰檔案下載至您的電腦。使用 Chronicle API 時，請將
Chronicle API Editor角色指派給服務帳戶。
整合參數
Google Chronicle 整合服務需要下列參數：
| 參數 | 說明 |
|---|---|
UI Root |
這是必填欄位。 Google SecOps 介面的基準網址。 用於從案件產生直接連回 Google SecOps 的連結。 預設值為 |
API Root |
這是必填欄位。 Google SecOps 執行個體的 API 根網址：
|
User's Service Account |
選填。 用於驗證的服務帳戶 JSON 金鑰。只有在 將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。 |
Workload Identity Email |
選填。 用於 Workload Identity 驗證的服務帳戶電子郵件 (建議在需要服務帳戶時使用)。如果兩個憑證欄位都已填入，系統會優先採用這個欄位。 將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。 |
Verify SSL |
這是必填欄位。 如果選取，整合功能會在連線至 Google SecOps 伺服器時驗證 SSL 憑證。 (預設為啟用)。 |
如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。
如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。
動作
如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。
將項目加入觀察清單
使用「Add Entry To Watchlist」動作，將指定實體新增至 Google SecOps 中現有的風險分析觀察清單。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Add Entry To Watchlist」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Watchlist Name |
這是必填欄位。 要新增項目的風險分析觀察清單名稱。 |
Entry |
這是必填欄位。 JSON 物件，代表要新增至觀察清單的實體。 JSON 結構需要實體值、實體類型和選用命名空間。 預設值為：
[
{
"entity": "",
"type": "ASSET_IP_ADDRESS/MAC/HOSTNAME/PRODUCT_SPECIFIC_ID/USERNAME/EMAIL/EMPLOYEE_ID/WINDOWS_SID/PRODUCT_OBJECT_ID",
"namespace": "Optional"
}
]
|
動作輸出內容
「Add Entry To Watchlist」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例顯示使用「Add Entry To Watchlist」動作時，收到的 JSON 結果輸出內容：
[
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
},
{
"namespace": "Yuriy",
"asset": {
"hostname": "koko"
}
}
]
輸出訊息
「Add Entry To Watchlist」動作可傳回下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
|
動作成功。 |
Error executing action "Add Entry To Watchlist". Reason:
ERROR_REASON |
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表列出使用「Add Entry To Watchlist」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
在資料表中新增資料列
使用「Add Rows To Data Table」動作，將資料列新增至 Google SecOps 的資料表。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
如要設定動作，請使用下列參數：
| 參數 | 說明 |
|---|---|
Data Table Name |
這是必填欄位。 要更新的資料表顯示名稱。 |
Rows |
這是必填欄位。 JSON 物件清單，內含要新增的資料列相關資訊。 例如：
[
{
"columnName1": "value1",
"columnName2": "value2",
},
{
"columnName1": "value1",
"columnName2": "value2",
}
]
|
動作輸出內容
「將資料列新增至資料表」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| 實體洞察 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼結果 | 可用 |
JSON 結果
以下範例顯示「將資料列新增至資料表」動作傳回的 JSON 結果範例：
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
}
}
輸出訊息
「Add Rows To Data Table」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully added rows to the data table
DATA_TABLE_NAME in
Google SecOps. |
動作已成功執行。 |
Error executing action "Add Rows to Data Table". Reason:
ERROR_REASON |
無法執行動作。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Add Rows To Data Table」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
將值新增至參考清單
使用「Add Values To Reference List」動作，將值新增至 Google SecOps 的參考清單。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
如要設定動作，請使用下列參數：
| 參數 | 說明 |
|---|---|
Reference List Name |
這是必填欄位。 要更新的參考清單名稱。 |
Values |
這是必填欄位。 以半形逗號分隔的值清單，用於新增至參照清單。 |
動作輸出內容
「Add Value To Reference List」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 未供應 |
| 案件總覽連結 | 未供應 |
| 案件總覽表格 | 未供應 |
| 補充資訊表格 | 未供應 |
| 實體洞察 | 未供應 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明搭配使用「Add Value To Reference List」動作和 Backstory API 時，收到的 JSON 結果輸出內容：
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
以下範例說明使用 Add Value To Reference List 動作搭配 Chronicle API 時，收到的 JSON 結果輸出內容：
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
輸出訊息
「Add Values To Reference List」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully added values to the reference list
REFERENCE_LIST_NAME. |
動作成功。 |
Error executing action "Add Values To Reference List". Reason:
ERROR_REASON |
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Add Values To Reference List」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
問問 Gemini
使用「問問 Gemini」動作，將文字提示詞傳送至 Google SecOps 中的 Gemini。
這項動作不會在 Google SecOps 實體上執行。
處理限制和逾時
這項動作受限於 Google SecOps 管道中的處理限制。如果動作超出這些限制，通常會導致 503 Service Unavailable 錯誤。
為確保順利執行，要求必須符合下列規格：
逾時：意圖辨識的逾時時間為 30 秒。如果摘要工作過大或提示過於複雜，導致處理時間超過上限，動作就會失敗。
生成回覆上限：生成階段最多只能使用 28,000 個詞元。
動作輸入內容
「問問 Gemini」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Automatic Opt-in |
選填。 如果選取，Playbook 會自動讓使用者選擇加入 Gemini 對話，不需手動確認。 (預設為啟用)。 |
Prompt |
這是必填欄位。 要傳送給 Gemini 的初始文字提示詞或問題。 |
動作輸出內容
「問問 Gemini」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 未供應 |
| 案件總覽連結 | 未供應 |
| 案件總覽表格 | 未供應 |
| 補充資訊表格 | 未供應 |
| 實體洞察 | 未供應 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「問問 Gemini」動作時，收到的 JSON 結果輸出內容：
{
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/users/me/conversations/db3b0fc2-94f8-42ae-b743-c3693f593269/messages/b58e3186-e697-4400-9da8-8ef252a20bd9",
"input": {
"body": "Is IP 159.138.84.217 malicious? What can you tell me about it?"
},
"responses": [
{
"blocks": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<p>The IP address 159.138.84.217 is associated with malware and threat actors.</p>\n<ul>\n<li>It is an IPv4 indicator.</li>\n<li>It is associated with BEACON malware.</li>\n<li>It is categorized as malware-Backdoor.</li>\n<li>It has a low confidence, high severity threat rating.</li>\n<li>VirusTotal's IP Address Report indicates the network for this IP is 159.138.80.0/20, and the IP is associated with HUAWEI CLOUDS in Singapore.</li>\n<li>VirusTotal's last analysis on April 22, 2025, showed 8 malicious detections out of 94 sources.</li>\n</ul>\n<p>I might have more details for a question with more context (e.g., what is the source of the IP, what type of network traffic is associated with the IP).</p>\n"
}
}
],
"references": [
{
"blockType": "HTML",
"htmlContent": {
"privateDoNotAccessOrElseSafeHtmlWrappedValue": "<ol>\n<li><a href=\"https://advantage.mandiant.com/indicator/ipv4/159.138.84.217\" target=\"_blank\">Mandiant - indicator - 159.138.84.217</a></li>\n</ol>\n"
}
}
],
"groundings": [
"IP address 159.138.84.217 malicious cybersecurity",
"IP address 159.138.84.217 threat intelligence"
]
}
],
"createTime": "2025-05-16T11:31:36.660538Z"
}
}
輸出訊息
「問問 Gemini」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully executed a prompt in Google SecOps. |
動作成功。 |
Error executing action "GoogleChronicle - Ask Gemini".
Reason: ERROR_REASON |
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「問問 Gemini」 動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
充實網域 - 已淘汰
使用「Enrich Domain」(擴充網域) 動作，透過 Google SecOps 中的 IoC 資訊擴充網域。
這項動作會在下列 Google SecOps 實體上執行：
URLHostname
動作輸入內容
「Enrich Domain」(充實網域) 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Create Insight |
如果選取，系統會建立包含實體相關資訊的洞察。 (預設為啟用)。 |
Only Suspicious Insight |
如果選取，動作只會為標示為可疑的實體建立深入分析。 預設為停用。 如果選取這個參數，則必須一併選取 |
Lowest Suspicious Severity |
這是必填欄位。 與網域相關聯的最低嚴重性，必須標示為可疑。 預設值為
|
Mark Suspicious N/A Severity |
這是必填欄位。 如果選取這個選項，且無法取得嚴重性資訊，這項動作會將實體標示為可疑。 |
動作輸出內容
「Enrich Domain」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 可用 |
| 補充資訊表格 | 可用 |
| 實體洞察 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
案件總覽表格
「Enrich Domain」動作會提供下表：
名稱：ENTITY_IDENTIFIER
欄：
- 來源
- 嚴重性
- 類別
- 信心
實體擴充
「Enrich Domain」(擴充網域) 動作支援下列實體擴充邏輯：
| 補充資料欄位 | 邏輯 (套用時機) |
|---|---|
severity |
JSON 格式 (如有) |
average_confidence |
JSON 格式 (如有) |
related_domains |
JSON 格式 (如有) |
categories |
JSON 格式 (如有) |
sources |
JSON 格式 (如有) |
first_seen |
JSON 格式 (如有) |
last_seen |
JSON 格式 (如有) |
report_link |
JSON 格式 (如有) |
JSON 結果
以下範例說明搭配使用 Enrich Domain 動作和 Backstory API 時，收到的 JSON 結果輸出內容：
{
{
"sources": [
{
"source": "ET Intelligence Rep List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
以下範例說明透過 Chronicle API 使用「Enrich Domain」動作時，收到的 JSON 結果輸出：
[
{
"Entity": "example.com",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
},
{
"category": "Phishing",
"firstActiveTime": null,
"lastActiveTime": "2020-11-27T14:31:37Z",
"addresses": [
{
"domain": "example.com"
},
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "high",
"confidenceScore": {
"strRawConfidenceScore": "high"
}
},
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"domain": "example.com"
}
],
"rawSeverity": "medium",
"confidenceScore": {
"strRawConfidenceScore": "100"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
},
{
"metadata": {
"title": "ESET Threat Intelligence",
"description": "ESET Threat Intelligence"
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Phishing",
"activeTimerange": {
"end": "2020-11-27T14:31:37Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "High",
"rawSeverity": "High"
}
]
},
{
"metadata": {
"title": "Mandiant Active Breach Intelligence",
"description": "Mandiant Active Breach IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"domainAndPorts": {
"domain": "example.com"
},
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"confidenceScore": "100",
"rawSeverity": "Medium"
}
]
}
]
}
}
]
輸出訊息
「Enrich Domain」(擴充網域) 動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully enriched the following domain in Google Chronicle:
LIST_OF_IDS |
動作成功。 |
Error executing action "Enrich Domain". Reason:
ERROR_REASON |
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Enrich Domain」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
充實實體
使用「Enrich Entities」動作查詢 Google SecOps，取得指定實體類型的其他背景資訊和屬性。這項動作會整合外部情報，強化威脅調查資料。
這項動作會在下列 Google SecOps 實體上執行：
DomainFile HashHostnameIP AddressURL(從網址擷取網域)UserEmail(使用者實體，含電子郵件規則運算式)
動作輸入內容
「Enrich Entities」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Namespace |
選填。 要擴充的實體邏輯群組或範圍。 如未選取，擴充功能會套用至預設命名空間或所有可存取命名空間中的實體。 實體必須屬於這個命名空間，才能處理。 |
Time Frame |
選填。 相對時間範圍 (例如 這個參數的優先順序高於 |
Start Time |
選填。 擴充期間的開始時間，採用 ISO 8601 格式。 如果未設定 |
End Time |
選填。 擴充期的絕對結束時間，採用 ISO 8601 格式。 如果未設定 |
動作輸出內容
「Enrich Entities」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 可用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
| 補充資料欄位 | 來源 (JSON 金鑰) | 適用範圍 |
|---|---|---|
GoogleSecOps_related_entities |
related_entities數量 | JSON 結果中提供。 |
GoogleSecOps_alert_count_ruleName |
每項特定規則的 {alertCounts.count} | JSON 結果中提供。 |
GoogleSecOps_first_seen |
metric.firstSeen |
JSON 結果中提供。 |
GoogleSecOps_last_seen |
metric.lastSeen |
JSON 結果中提供。 |
GoogleSecOps_flattened_key_under_entity |
鍵的值，從 "entity" 物件下的巢狀結構展開。 |
JSON 結果中提供。 |
JSON 結果
以下範例顯示使用「Enrich Entities」動作時，收到的 JSON 結果輸出內容：
[
{
"Entity": "HTTP://MARKOSSOLOMON.COM/F1Q7QX.PHP",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChFtYXJrb3Nzb2xvbW9uLmNvbRDIAQ",
"metadata": { "entityType": "DOMAIN_NAME" },
"entity": {
"domain": {
"name": "markossolomon.com",
"firstSeenTime": "1970-01-01T00:00:00Z",
"lastSeenTime": "1970-01-01T00:00:00Z",
"registrar": "NameCheap, Inc.",
"creationTime": "2013-12-06T02:41:09Z",
"updateTime": "2019-11-06T11:48:33Z",
"expirationTime": "2020-12-06T02:41:09Z",
"registrant": {
"userDisplayName": "WhoisGuard Protected",
"emailAddresses": [
"58d09cb5035042e9920408f8bafd0869.protect@whoisguard.com"
],
"personalAddress": { "countryOrRegion": "PANAMA" },
"companyName": "WhoisGuard, Inc."
}
}
}
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "npatni-sysops",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg1ucGF0bmktc3lzb3BzEGYaBVl1cml5IhsKCwiC-OzCBhCAvYMUEgwIqvnnwwYQgMyI4QE",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:00:02.042Z",
"endTime": "2025-07-18T07:50:02.472Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "npatni-sysops" }
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:00:02.042Z",
"lastSeen": "2025-07-18T07:50:02.472Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "329" },
{ "rule": "rule_testbucket", "count": "339" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "332" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 1000 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "exlab2019-ad",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiGwoMCLv57MIGEMCp7qgDEgsI8PTnwwYQwLD6SA",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "hostname": "exlab2019-ad" }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.30.202.229",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIbCgwIu_nswgYQwKnuqAMSCwjw9OfDBhDAsPpI",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-06-25T00:03:07.891Z",
"endTime": "2025-07-18T07:40:32.153Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "ip": ["172.30.202.229"] }
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
}
},
"metric": {
"firstSeen": "2025-06-25T00:03:07.891Z",
"lastSeen": "2025-07-18T07:40:32.153Z"
},
"alertCounts": [
{ "rule": "rule_Pavel_test_Risk_score", "count": "321" },
{ "rule": "rule_testbucket", "count": "360" },
{ "rule": "pavel_test2_rule_1749239699456", "count": "319" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{ "alertCount": 26 },
{ "alertCount": 175 },
{ "alertCount": 185 },
{ "alertCount": 195 },
{ "alertCount": 182 },
{ "alertCount": 168 },
{ "alertCount": 69 }
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "172.17.0.1",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgoxNzIuMTcuMC4xEGQaBVl1cml5IhsKCwjOzre-BhDA1rU_EgwI9ZOMwAYQgPn82QM",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-03-09T19:09:02.133Z",
"endTime": "2025-04-19T02:27:01.994Z"
}
},
"entity": { "namespace": "Yuriy", "asset": { "ip": ["172.17.0.1"] } },
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
}
},
"metric": {
"firstSeen": "2025-03-09T19:09:02.133Z",
"lastSeen": "2025-04-19T02:27:01.994Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "911d039e71583a07320b32bde22f8e22",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CiA5MTFkMDM5ZTcxNTgzYTA3MzIwYjMyYmRlMjJmOGUyMhCwAiIVCgYItrj6ugYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "FILE",
"interval": {
"startTime": "2024-12-15T09:07:02Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"file": {
"sha256": "bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527",
"md5": "911d039e71583a07320b32bde22f8e22",
"sha1": "ded8fd7f36417f66eb6ada10e0c0d7c0022986e9",
"size": "278528",
"fileType": "FILE_TYPE_PE_EXE",
"names": [
"C:\\Windows\\System32\\cmd.exe",
"cmd",
"Cmd.Exe",
"C:\\Windows\\system32\\cmd.exe",
"C:\\Windows\\SYSTEM32\\cmd.exe",
"cmd.exe",
"C:\\\\Windows\\\\System32\\\\cmd.exe",
"C:\\windows\\SYSTEM32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\wjxpour4.d0f\\cmd.exe",
"c:\\Windows\\System32\\cmd.exe",
"Utilman.exe",
"c:\\windows\\system32\\cmd.exe",
"System32/cmd.exe",
"UtilityVM/Files/Windows/System32/cmd.exe",
"KerishDoctor/Data/KerishDoctor/Restore/cmd.rst",
"cmd.exe_",
"C:\\WINDOWS\\SYSTEM32\\cmd.exe",
"Cmd.exe",
"Windows/System32/cmd.exe",
"sethc.exe",
"C:\\WINDOWS\\System32\\cmd.exe",
"esRzqurX.exe",
"rofl.png",
"F:\\Windows\\SYSTEM32\\cmd.exe",
"utilman.exe",
"C:\\Windows\\system32\\CMD.exe",
"sys32exe/cmd.exe",
"cmd.txt",
"C:\\WINDOWS\\system32\\cmd.exe",
"cmd2.exe",
"Utilman.exe.sc",
"uhrHRIv8.exe",
"C:\\windows\\system32\\cmd.exe",
"submitted_file",
"C:\\Users\\user\\AppData\\Local\\Temp\\n1qo0bq3.2tn\\KerishDoctor\\Data\\KerishDoctor\\Restore\\cmd.rst",
"J6ff7z0hLYo.exe",
"N:\\Windows\\System32\\cmd.exe",
"Q:\\Windows\\System32\\cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\cmd.exe",
"C:\\Users\\<USER>\\AppData\\Local\\Temp\\cmd.exe",
"test.exe",
"68E2F01F8DE9EFCAE9C0DD893DF0E8C34E2B5C98A6C4073C9C9E8093743D318600.blob",
"8FCVE0Kq.exe",
"cmd (7).exe",
"cmd (8).exe",
"21455_16499564_bc866cfcdda37e24dc2634dc282c7a0e6f55209da17a8fa105b07414c0e7c527_cmd.exe",
"LinX v0.9.11 (Intel)/cmd.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\inbvmkaa.1xd\\LinX v0.9.11 (Intel)\\cmd.exe",
"cmd_b.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\sfd5bhoe.nqi\\cmd.exe",
"cMd.exe",
"Repl_Check.bat__",
"cmd.pdf",
"cmd.EXE",
"C:\\Users\\user\\AppData\\Local\\Temp\\uszjr42t.kda\\cmd.exe",
"LFepc1St.exe",
"firefox.exe",
"3BcnNlWV.exe",
"Utilman.exebak",
"utilman1.exe",
"1.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\ispvscgp.ep2\\sys32exe\\cmd.exe",
"cmd_1771019736291028992.exe",
"C:\\Users\\user\\AppData\\Local\\Temp\\xijgwqvd.54g\\cmd.exe",
"Sethc.exe",
"\\Device\\CdRom1\\DANFE352023067616112\\DANFE352023067616112.EXE",
"DANFE352023067616112.exe",
"file.exe",
"DANFE352023067616112/DANFE352023067616112.exe",
"C:\\Windows\\SYSTEM32\\Cmd.exe",
"pippo.exe",
"C:\\Windows\\System32\\sethc.exe",
"cmd.exe-bws024-windowsfolder",
"whatever.exe",
"sethc.exe.bak",
"S71dbOR1.exe",
"F:\\windows\\SYSTEM32\\cmd.exe",
"L6puhWL7.exe",
"DANFE357986551413927.exe",
"DANFE357666506667634.exe",
"\\Device\\CdRom1\\DANFE357666506667634\\DANFE357666506667634.EXE",
"\\Device\\CdRom1\\DANFE357986551413927\\DANFE357986551413927.EXE",
"\\Device\\CdRom1\\DANFE358567378531506\\DANFE358567378531506.EXE",
"\\Device\\CdRom1\\HtmlFactura3f48daa069f0e42253194ca7b51e7481DPCYKJ4Ojk\\HTMLFACTURA3F48DAA069F0E42253194CA7B51E7481DPCYKJ4OJK.EXE",
"\\Device\\CdRom1\\DANFE357410790837014\\DANFE357410790837014.EXE",
"\\Device\\CdRom1\\DANFE357702036539112\\DANFE357702036539112.EXE",
"winlogon.exe",
"AccessibilityEscalation.A' in file 'utilman.exe'",
"qpl9AqT0.exe",
"C:\\windows\\system32\\CMD.exe",
"C:\\po8az\\2po9hmc\\4v1b5.exe",
"batya.exe",
"nqAwJaba.exe",
"\\Device\\CdRom1\\DANFE356907191810758\\DANFE356907191810758.EXE",
"/Volumes/10_11_2023/DANFE356907191810758/DANFE356907191810758.exe",
"/Volumes/09_21_2023/DANFE357986551413927/DANFE357986551413927.exe",
"\\Device\\CdRom1\\DANFE355460800350113\\DANFE355460800350113.EXE",
"/Volumes/09_19_2023/DANFE355460800350113/DANFE355460800350113.exe",
"DANFE352429512050669.exe",
"/Volumes/04_15_2023/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3/HtmlFacturaeb58f4396e2028a70905705291031e7b3dlvDNyGp3.exe"
],
"firstSeenTime": "2024-12-15T09:07:02Z",
"lastSeenTime": "2025-07-18T07:43:59.045Z",
"lastAnalysisTime": "2025-07-16T10:06:40Z",
"signatureInfo": {
"sigcheck": {
"verificationMessage": "Signed",
"verified": true,
"signers": [{ "name": "Microsoft Windows" }]
}
},
"firstSubmissionTime": "2025-07-15T16:30:27Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
"metric": {
"firstSeen": "2024-12-15T09:07:02Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
},
"alertCounts": [
{ "rule": "pavel_test2_rule_1749239699456", "count": "329" },
{ "rule": "rule_testbucket", "count": "345" },
{ "rule": "rule_Pavel_test_Risk_score", "count": "326" }
],
"timeline": {
"buckets": [
{},
{},
{},
{},
{ "alertCount": 31 },
{ "alertCount": 111 },
{ "alertCount": 109 },
{ "alertCount": 82 },
{ "alertCount": 86 },
{ "alertCount": 98 },
{ "alertCount": 86 },
{ "alertCount": 85 },
{ "alertCount": 92 },
{ "alertCount": 89 },
{ "alertCount": 90 },
{ "alertCount": 41 }
],
"bucketSize": "172800s"
},
"prevalenceResult": [
{ "prevalenceTime": "2025-01-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-01-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-02-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-03-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-04-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-05-31T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-16T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-17T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-18T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-19T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-20T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-21T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-22T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-23T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-24T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-25T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-26T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-27T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-28T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-29T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-06-30T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-01T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-02T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-03T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-04T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-05T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-06T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-07T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-08T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-09T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-10T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-11T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-12T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-13T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-14T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-15T00:00:00Z", "count": 1 },
{ "prevalenceTime": "2025-07-16T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-17T00:00:00Z", "count": 2 },
{ "prevalenceTime": "2025-07-18T00:00:00Z", "count": 2 }
],
"relatedEntities": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/CgxleGxhYjIwMTktYWQQZhoFWXVyaXkiFQoGCPbso7wGEgsIv_bnwwYQwMq6FQ",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"hostname": "exlab2019-ad",
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
},
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cg4xNzIuMzAuMjAyLjIyORBkGgVZdXJpeSIVCgYI9uyjvAYSCwi_9ufDBhDAyroV",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "2025-01-16T12:07:18Z",
"endTime": "2025-07-18T07:43:59.045Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": {
"ip": ["172.30.202.229"],
"firstSeenTime": "2025-01-16T12:07:18Z"
}
},
"metric": {
"firstSeen": "2025-01-16T12:07:18Z",
"lastSeen": "2025-07-18T07:43:59.045Z"
}
}
]
}
},
{
"Entity": "tencent.com",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/Cgt0ZW5jZW50LmNvbRDIASIQCgYInNyZvAYSBgjo-Jm8Bg",
"metadata": {
"entityType": "DOMAIN_NAME",
"interval": {
"startTime": "2025-01-14T14:01:00Z",
"endTime": "2025-01-14T15:02:00Z"
}
},
"entity": {
"domain": {
"name": "tencent.com",
"firstSeenTime": "2025-01-14T14:01:00Z",
"lastSeenTime": "2025-01-14T15:02:00Z",
"registrar": "MarkMonitor Information Technology (Shanghai) Co., Ltd.",
"creationTime": "1998-09-14T04:00:00Z",
"updateTime": "2024-08-20T08:04:01Z",
"expirationTime": "2032-09-13T04:00:00Z",
"registrant": {
"emailAddresses": [""],
"personalAddress": { "countryOrRegion": "CHINA" },
"companyName": "\u6df1\u5733\u5e02\u817e\u8baf\u8ba1\u7b97\u673a\u7cfb\u7edf\u6709\u9650\u516c\u53f8"
}
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
}
},
"metric": {
"firstSeen": "2025-01-14T14:01:00Z",
"lastSeen": "2025-01-14T15:02:00Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
},
{
"Entity": "00:50:56:b6:34:86",
"EntityResult": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/entities/ChEwMDo1MDo1NjpiNjozNDo4NhBlGgVZdXJpeSIKCgASBgjemLzBBg",
"metadata": {
"entityType": "ASSET",
"interval": {
"startTime": "1970-01-01T00:00:00Z",
"endTime": "2025-05-22T11:37:02Z"
}
},
"entity": {
"namespace": "Yuriy",
"asset": { "mac": ["00:50:56:b6:34:86"] }
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
}
},
"metric": {
"firstSeen": "1970-01-01T00:00:00Z",
"lastSeen": "2025-05-22T11:37:02Z"
},
"timeline": {
"buckets": [
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{},
{}
],
"bucketSize": "172800s"
}
}
}
]
輸出訊息
「Enrich Entities」動作可傳回下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
|
動作成功。 |
Error executing action "Enrich Entities". Reason:
ERROR_REASON |
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表列出使用「Enrich Entities」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
充實 IP - 已淘汰
使用「Enrich IP」動作，透過 Google SecOps 中的 IoC 資訊充實 IP 實體。
這項動作會對「IP 位址」實體執行。
動作輸入內容
「Enrich IP」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Create Insight |
選填。 如果選取，這項動作會建立包含實體相關資訊的深入分析。(預設為啟用)。 |
Only Suspicious Insight |
選填。 如果選取這個選項，系統只會為標示為可疑的實體建立深入分析。預設為停用。 如果選取這個參數，也必須選取 |
Lowest Suspicious Severity |
這是必填欄位。 與 IP 位址相關聯的最低嚴重性，用於將 IP 位址標示為可疑。 預設值為
|
Mark Suspicious N/A Severity |
這是必填欄位。 如果選取這個選項，且無法取得嚴重性資訊，這項動作會將實體標示為可疑。 |
動作輸出內容
「Enrich IP」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 可用 |
| 補充資訊表格 | 可用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
案件總覽表格
名稱：ENTITY_IDENTIFIER
欄：
- 來源
- 嚴重性
- 類別
- 信心
- 相關網域
實體擴充
「Enrich IP」(擴充 IP) 動作支援下列實體擴充邏輯：
| 補充資料欄位 | 邏輯 (套用時機) |
|---|---|
severity |
JSON 格式 (如有) |
average_confidence |
JSON 格式 (如有) |
related_domains |
JSON 格式 (如有) |
categories |
JSON 格式 (如有) |
sources |
JSON 格式 (如有) |
first_seen |
JSON 格式 (如有) |
last_seen |
JSON 格式 (如有) |
report_link |
JSON 格式 (如有) |
JSON 結果
以下範例說明搭配使用 Backstory API 和「Enrich IP」動作時，收到的 JSON 結果輸出內容：
{
{
"sources": [
{
"source": "Example List",
"confidenceScore": {
"normalizedConfidenceScore": "Low",
"intRawConfidenceScore": 0
},
"rawSeverity": "High",
"category": "Malware Command and Control Server"
}
],
"iocIngestTime": "2021-01-26T17:00:00Z",
"firstSeenTime": "2018-10-03T00:03:53Z",
"lastSeenTime": "2022-02-09T10:52:21.229Z",
"uri": [
"https://INSTANCE/domainResults?domain=example.net&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2022-02-09T11%3A51%3A52.393783515Z"
]
}
}
以下範例說明搭配 Chronicle API 使用「Enrich IP」動作時，收到的 JSON 結果輸出內容：
[
{
"Entity": "192.0.2.121",
"EntityResult": {
"sources": [
{
"category": "Indicator was published in publicly available sources",
"firstActiveTime": "1970-01-01T00:00:01Z",
"lastActiveTime": "9999-12-31T23:59:59Z",
"addresses": [
{
"ipAddress": "IP_ADDRESS"
}
],
"rawSeverity": "low",
"confidenceScore": {
"strRawConfidenceScore": "67"
}
}
],
"feeds": [
{
"metadata": {
"title": "Mandiant Open Source Intelligence",
"description": "Open Source Intel IoC",
"confidenceScoreBucket": {
"rangeEnd": 100
}
},
"iocs": [
{
"categorization": "Indicator was published in publicly available sources",
"activeTimerange": {
"start": "1970-01-01T00:00:01Z",
"end": "9999-12-31T23:59:59Z"
},
"ipAndPorts": {
"ipAddress": "IP_ADDRESS"
},
"confidenceScore": "67",
"rawSeverity": "Low"
}
]
}
]
}
}
]
輸出訊息
「Enrich IP」(充實 IP) 動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully enriched the following IPs from Google Chronicle:
LIST_OF_IPS |
動作成功。 |
Error executing action "Enrich IP". Reason:
ERROR_REASON |
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Enrich IP」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
執行 RetroHunt
使用「Execute Retrohunt」(執行 Retrohunt) 動作，在 Google SecOps 中執行規則 Retrohunt。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「執行 Retrohunt」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Rule ID |
這是必填欄位。 要執行 RetroHunt 的規則 ID。 如要使用最新版本的規則，請採用 |
Time Frame |
選填。 要擷取結果的時間範圍。 可能的值如下：
如果選取 預設值為 |
Start Time |
結果的開始時間，採用 ISO 8601 格式。 如果 |
End Time |
結果的結束時間，採用 ISO 8601 格式。
如未設定值，並為 |
動作輸出內容
「Execute Retrohunt」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| 實體洞察 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明搭配使用 Execute Retrohunt 動作和 Backstory API 時，收到的 JSON 結果輸出內容：
{
"retrohuntId": "oh_d738c8ea-8fd7-4cc1-b43d-25835b8e1785",
"ruleId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497",
"versionId": "ru_30979d84-aa89-47d6-bf4d-b4bb0eacb497@v_1612472807_179679000",
"eventStartTime": "2021-01-14T23:00:00Z",
"eventEndTime": "2021-01-30T23:00:00Z",
"retrohuntStartTime": "2021-02-08T02:40:59.192113Z",
"state": "RUNNING"
}
以下範例說明透過 Chronicle API 使用「執行 Retrohunt」動作時，收到的 JSON 結果輸出內容：
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/operations/OPERATION_ID",
"metadata": {
"@type": "type.googleapis.com/RetrohuntMetadata",
"retrohunt": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID/retrohunts/RETROHUNT_ID",
"executionInterval": {
"startTime": "2025-01-22T12:16:20.963182Z",
"endTime": "2025-01-23T12:16:20.963182Z"
}
},
"retrohuntId": "RETROHUNT_ID",
"ruleId": "RULE_ID",
"versionId": "VERSION_ID",
"eventStartTime": "2025-01-22T12:16:20.963182Z",
"eventEndTime": "2025-01-23T12:16:20.963182Z"
}
輸出訊息
「Execute Retrohunt」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully executed a retrohunt for the provided rule in Google
Chronicle.
|
動作成功。 |
Error executing action "Execute Retrohunt". Reason:
ERROR_REASON |
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Execute Retrohunt」(執行 Retrohunt) 動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
執行 UDM 查詢
使用「Execute UDM Query」(執行 UDM 查詢) 動作，在 Google SecOps 中執行自訂 UDM 查詢。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Execute UDM Query」(執行 UDM 查詢) 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Query |
這是必填欄位。 要在 Google SecOps 中執行的查詢。 |
Include Raw Log Data |
選填。 如果選取，動作會擷取與 UDM 搜尋結果相關聯的原始記錄檔。 只有在使用 Chronicle API 驗證時，才能使用這個選項。 預設為停用。 |
Time Frame |
選填。 要擷取結果的時間範圍。 可能的值如下：
如果選取 預設值為 |
Start Time |
選填。 結果的開始時間，採用 ISO 8601 格式 (例如 如果 日期範圍上限為 90 天。 |
End Time |
選填。 結果的結束時間，採用 ISO 8601 格式 (例如 如未設定值，且 日期範圍上限為 90 天。 |
Max Results To Return |
選填。 單一查詢傳回的結果數量。 最大值為 預設值為 |
動作輸出內容
「執行 UDM 查詢」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「Execute UDM Query」動作時，收到的 JSON 結果輸出內容：
{
"events": [
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,4,16496990275yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:43:47.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"I did not create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"name": "02c2c701c5bb7e7042701ayyyyyyyyyx,3,16496987245yyyxx,EMAIL,",
"udm": {
"metadata": {
"enrichmentState": "ENRICHED",
"eventTimestamp": "2022-04-11T17:38:44.586Z",
"eventType": "EMAIL_TRANSACTION",
"ingestedTimestamp": "2022-04-11T15:50:21.912562Z",
"productName": "Chronicle Internal"
},
"network": {
"email": {
"from": "test@example.com",
"subject": [
"Did you create this service account"
],
"to": [
"test@example.com"
]
}
},
"principal": {
"asset": {
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"mac": [
"b5:1c:8b:xx:xx:xx"
]
},
"assetId": "CS:8973060bcf1d441a8cf10eyyyyyyyyyx",
"hostname": "test-pc",
"ip": [
"10.2.xx.yyy"
],
"location": {
"city": "San Francisco",
"countryOrRegion": "US",
"state": "California"
},
"mac": [
"b5:1c:8b:xx:xx:xx"
],
"user": {
"attribute": {
"labels": [
{
"key": "2FA Enabled",
"value": "false"
}
]
},
"department": [
"Cymbal Investments IT Contractors"
],
"emailAddresses": [
"test@example.com"
],
"groupIdentifiers": [
"Contractors"
],
"productObjectId": "test",
"title": "IT Support Agent",
"userDisplayName": "test test",
"userid": "test",
"windowsSid": "S-1-5-21-2623356yyy-8883713yyy-9684409yyy-yyyxx"
}
},
"rawLogData": {
"agent_id": "yyyyyy",
"aggregate_id": "yyyyyy",
"created_timestamp": "yyyyyy",
"decodedString": "yyyyyy",
"description": "yyyyyy",
"display_name": "yyyyyy",
"filename": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
]
}
},
{
"avg_seconds": {
"values": [
{
"doubleVal": 1755680893.3333333
}
]
},
"event_type_array": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
},
"target.file.vhash": {
"values": [
{
"stringVal": "673961a71ba82e0556ef95cb2147e212"
}
]
}
}
]
}
輸出訊息
「執行 UDM 查詢」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
|
動作成功。 |
Error executing action "Execute UDM Query". Reason:
ERROR_REASON
|
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
Error executing action "Execute UDM Query". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
動作失敗。 請稍候幾分鐘，再重新執行動作。 |
指令碼執行結果
下表說明使用「Execute UDM Query」(執行 UDM 查詢) 動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
非同步執行 UDM 查詢
使用「Execute UDM Query Async」動作，在 Google SecOps 中執行自訂 UDM 查詢。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Execute UDM Query」(執行 UDM 查詢) 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Query |
這是必填欄位。 要在 Google SecOps 中執行的查詢。 |
Time Frame |
選填。 要擷取結果的時間範圍。 可能的值如下：
如果選取「 如果選取 如果選取 預設值為 |
Start Time |
選填。 結果的開始時間，採用 ISO 8601 格式 ( 如果 |
End Time |
選填。 結果的結束時間，採用 ISO 8601 格式 ( 如果未設定值，且 |
Max Results To Return |
選填。 單一查詢傳回的結果數量。 最大值為 預設值為 |
動作輸出內容
Execute UDM Query Async 動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「Execute UDM Query Async」動作時，收到的 JSON 結果輸出內容：
{
"events": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-01-20T09:15:15.687Z",
"eventType": "USER_LOGIN",
"vendorName": "Microsoft",
"productName": "Active Directory",
"ingestedTimestamp": "2022-01-20T09:45:07.433587Z"
},
"principal": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
],
"location": {
"city": "Metropolis",
"state": "New York",
"countryOrRegion": "US"
},
"asset": {
"hostname": "workstation-01",
"ip": [
"192.168.1.50",
"192.168.1.50",
"192.168.1.50"
],
"mac": [
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E",
"00:1A:2B:3C:4D:5E"
]
}
},
"target": {
"user": {
"userid": "user_alpha",
"userDisplayName": "User Alpha",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-1000",
"emailAddresses": [
"alpha@example.com",
"admin.alpha@example.com"
],
"employeeId": "1234567",
"productObjectId": "11111111-2222-3333-4444-555555555555",
"firstName": "User",
"lastName": "Alpha",
"phoneNumbers": [
"555-0199-0000"
],
"title": "Executive Assistant",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
],
"managers": [
{
"userDisplayName": "Manager Beta",
"windowsSid": "S-1-5-21-1111111111-2222222222-3333333333-2000",
"emailAddresses": [
"beta@example.com"
],
"employeeId": "7654321",
"productObjectId": "66666666-7777-8888-9999-000000000000",
"firstName": "Manager",
"lastName": "Beta",
"phoneNumbers": [
"555-0199-0001 ext 123"
],
"title": "Chief Technology Officer",
"companyName": "Example Corp",
"department": [
"Executive - Admin"
]
}
]
},
"ip": [
"203.0.113.10"
],
"email": "alpha@example.com",
"application": "Windows Sign In"
},
"securityResult": [
{
"summary": "Successful Login",
"action": [
"ALLOW"
]
}
],
"rawLogData": {
"agent_id": "00000000000000000000000000000001",
"aggregate_id": "aggind:00000000000000000000000000000001:123456789012",
"data_domains": [
"Endpoint"
],
"description": "A suspicious process related to a likely malicious file was launched. Review any binaries involved as they may be related to malware.",
"device": {
"agent_load_flags": "0",
"agent_local_time": "2025-08-07T01:42:54.415Z",
"agent_version": "7.27.18003.0",
"bios_manufacturer": "Generic Manufacturer LTD"
},
"template_instance_id": "10001",
"timestamp": "2025-08-19T15:08:13.742Z",
"user_name": "root"
},
"extensions": {
"auth": {
"type": "SSO"
}
}
},
"eventLogToken": "abcdef0123456789abcdef0123456789,1,1642670115687000,USER,|USER_LOGIN"
}
]
}
輸出訊息
「Execute UDM Query Async」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
|
動作成功。 |
Error executing action "Execute UDM Query Async". Reason:
ERROR_REASON
|
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
Error executing action "Execute UDM Query Async ". Reason: you've reached a
rate limit. Please wait for several minutes and try again. |
動作失敗。 請稍候幾分鐘，再重新執行動作。 |
指令碼執行結果
下表說明使用「Execute UDM Query Async」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
生成 UDM 查詢
(預先發布版) 在 Google SecOps 中，使用「Generate UDM Query」(生成 UDM 查詢) 動作，透過自然語言提示建構複雜的 UDM 查詢。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Generate UDM Query」(生成 UDM 查詢) 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Prompt |
這是必填欄位。 系統用來生成結構化 UDM 查詢的提示。 |
動作輸出內容
「Generate UDM Query」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「Generate UDM Query」動作時，收到的 JSON 結果輸出內容：
{
"query": "ip = \"10.0.0.1\""
}
輸出訊息
「Generate UDM Query」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully generated a UDM query in Google SecOps. |
動作成功。 |
Error executing action "Generate UDM Query". Reason:
ERROR_REASON |
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Generate UDM Query」(產生 UDM 查詢) 動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
取得資料表
使用「Get Data Tables」動作，擷取 Google SecOps 中可用的資料表。
這項動作不會在 Google SecOps 實體上執行。
資料表快取
您可以啟用快取功能，減少對 Google SecOps 的重複要求，並加快執行應對手冊：
快取運作方式：選取「
Use Cache」後，動作會將擷取的資料表儲存在 Google SecOps 環境的共用快取中。在相同環境中，後續執行的應對手冊和支援的資料表動作，會重複使用快取資料，直到資料過期為止。完整資料表快取：這項動作一律會快取每個相符資料表的所有資料列 (即使
Expanded Rows已停用，或Max Data Table Rows To Return設為較小的限制)，因此「值是否在資料表中」和「值是否在資料表中 (非同步)」可以重複使用快取。未篩選的首次執行：系統會快取每個相符資料表的所有資料列，因此在快取空白或過期時，不使用
Filter Value執行動作可能需要較長時間。Cache TTL的影響：控制快取資料的有效時間長度，超過這個時間後，動作就會從 Google SecOps 擷取新資料：- 較長的存留時間：減少 API 要求並加快 Playbook 執行速度，但資料表更新要等到快取到期才會反映。
- 較短的存留時間：可讓經常變更的資料表保持最新狀態，但會增加傳送至 Google SecOps 的要求。
動作輸入內容
「Get Data Tables」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Filter Key |
選填。 篩選依據鍵
可能的值如下： NameDescription |
Filter Logic |
選填。 要套用的篩選器邏輯。 可能的值如下： Equal (完全比對)Contains(用於子字串比對) |
Filter Value |
選填。 篩選器中使用的值。 可能的值如下： Equal (完全比對)Contains(用於子字串比對)
如未提供任何值，就不會套用篩選器。 |
Expanded Rows |
選填。 如果選取，回應會包含詳細的資料表列。 |
Max Data Tables To Return |
這是必填欄位。 要傳回的資料表數量。 最大值為 |
Max Data Table Rows To Return |
這是必填欄位。 要傳回的資料表列數。 只有在啟用 最大值為 |
Use Cache |
選填。 如果選取這個選項，動作會盡可能使用快取的資料表結果，而非每次執行時都查詢 Google SecOps。詳情請參閱「資料表快取」。 |
Cache TTL |
選填。 快取存留時間 (以分鐘為單位)，超過這個時間後，動作就會從 Google SecOps 擷取新資料。詳情請參閱「資料表快取」。 最小值為 預設值為 |
動作輸出內容
「Get Data Tables」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「Get Data Tables」動作時，收到的 JSON 結果輸出內容：
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table",
"displayName": "data_table",
"createTime": "2025-05-14T12:52:50.064133Z",
"updateTime": "2025-05-14T13:13:48.631442Z",
"columnInfo": [
{
"originalColumn": "columnName1",
"columnType": "STRING"
},
{
"columnIndex": 1,
"originalColumn": "columnName2",
"columnType": "STRING"
},
{
"columnIndex": 2,
"originalColumn": "columnName3",
"columnType": "STRING"
}
],
"dataTableUuid": "c3cce57bb8d940d5ac4523c37d540436",
"approximateRowCount": "2",
"Used cache": true,
"rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
輸出訊息
「Get Data Tables」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully found data tables for the provided criteria in Google
SecOps |
動作成功。 |
Error executing action "Get Data Tables". Reason:
ERROR_REASON |
無法執行動作。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Get Data Tables」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
取得偵測項目詳細資料
使用「Get Detection Details」動作，擷取 Google SecOps 中的偵測資訊。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Get Detection Details」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Rule ID |
這是必填欄位。 與偵測結果相關聯的規則 ID。 如要使用最新版本的規則，請採用 |
Detection ID |
這是必填欄位。 要擷取詳細資料的偵測項目 ID。 如果提供特殊字元，動作不會失敗，但會傳回偵測結果清單。 |
Include Raw Log Data |
選填。 如果選取，這項動作會擷取與 UDM 搜尋結果相關聯的原始記錄檔。 只有在使用 Chronicle API 驗證時，才能使用這個選項。 預設為停用。 |
動作輸出內容
「Get Detection Details」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「Get Detection Details」動作時，收到的 JSON 結果輸出內容：
{
"collectionElements": [
{
"label": "e",
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2023-10-04T21:18:44Z",
"eventType": "NETWORK_CONNECTION",
"id": "yyyx=",
"ingestedTimestamp": "2023-10-04T21:31:03.790969Z",
"logType": "UDM",
"productEventType": "Traffic - start",
"productLogId": "yyyx-yyyx-yyyx45fc-yyyx-yyyx",
"productName": "NGFW",
"vendorName": "Palo Alto Networks"
},
"network": {
"ipProtocol": "TCP",
"receivedBytes": "yyyyyyyyyxx",
"sentBytes": "yyyyyyyyyxx",
"sessionId": "yyyyyyyyyxx"
},
"principal": {
"asset": {
"hostname": "test3",
"ip": [
"00.0.0.00"
],
"mac": [
"00:00:00:0b:c9:11"
]
},
"hostname": "test3",
"ip": [
"x.x.0.x"
],
"mac": [
"00:00:00:0b:c9:11"
],
"port": 18985
},
"rawLogData": {
"action": "yyyyyy",
"decodedString": "yyyyyy",
"external_id": "yyyyyy",
"matching_status": "yyyyyy",
"severity": "yyyyyy",
"source": "yyyyyy"
},
"securityResult": [
{
"action": [
"ALLOW"
]
}
],
"target": {
"asset": {
"hostname": "youtube.com"
},
"hostname": "youtube.com",
"port": 4548
}
}
}
]
}
],
"createdTime": "2023-10-04T22:16:22.145254Z",
"detection": [
{
"alertState": "ALERTING",
"riskScore": 40,
"ruleId": "yyyx-f66d-yyyx-yyyx-yyyx",
"ruleLabels": [
{
"key": "priority",
"value": "Medium"
},
{
"key": "severity",
"value": "Medium"
}
],
"ruleName": "dns_not_google",
"ruleType": "SINGLE_EVENT",
"ruleVersion": "yyyx-yyyx-yyyx-b682-yyyx@yyyx",
"urlBackToProduct": "https://unotest2.backstory-dev.chronicle.yyyx/alert?yyyx=yyyx-e380-yyyx-d29c-yyyx"
}
],
"detectionTime": "2023-10-04T21:18:44Z",
"id": "yyyx-e380-yyyx-yyyx-yyyx",
"timeWindow": {
"endTime": "2023-10-04T21:18:44Z",
"startTime": "2023-10-04T21:18:44Z"
},
"type": "RULE_DETECTION"
}
輸出訊息
「Get Detection Details」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully fetched information about the detection with ID
DETECTION_ID in Google Chronicle. |
動作成功。 |
Error executing action "Get Detection Details". Reason:
ERROR_REASON |
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Get Detection Details」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
取得參考清單
使用「Get Reference Lists」動作，擷取 Google SecOps 中可用的參考清單。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Get Reference Lists」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Filter Key |
篩選依據的鍵。
可能的值如下：
|
Filter Logic |
要套用的篩選器邏輯。 可能的值如下： Equal (完全比對)Contains(用於子字串比對)預設值為 |
Filter Value |
篩選器中使用的值。
可能的值如下： Equal (完全比對)Contains(用於子字串比對)
如未提供值，系統就不會套用篩選器。 |
Expanded Details |
如果選取，這項動作會傳回參考清單的詳細資訊。 預設為停用。 |
Max Reference Lists To Return |
要傳回的參考清單數量。
預設值為 |
動作輸出內容
「Get Reference List」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 未供應 |
| 案件總覽連結 | 未供應 |
| 案件總覽表格 | 可用 |
| 補充資訊表格 | 未供應 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
案件總覽表格
在案件牆上，「Get Reference Lists」(取得參考清單) 會提供下表：
名稱：Available Reference Lists
欄：
- 名稱
- 說明
- 類型
JSON 結果
以下範例說明搭配使用 Get Reference Lists 動作和 Backstory API 時，收到的 JSON 結果輸出內容：
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
以下範例說明搭配 Chronicle API 使用取得參考清單動作時，收到的 JSON 結果輸出內容：
[
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_ID",
"displayName": "REFERENCE_LIST_ID",
"revisionCreateTime": "2025-01-09T15:53:10.851775Z",
"description": "Test reference list",
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-09T15:53:10.851775Z"
}
]
輸出訊息
「Get Reference Lists」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
|
動作成功。 |
Error executing action
ACTION_NAME. Reason:
ERROR_REASON
|
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
Error executing action
ACTION_NAME. Reason: "Invalid
value was provided for "Max Reference Lists to Return":
PROVIIDED_VALUE. Positive number should be provided. |
動作失敗。
檢查 |
指令碼
下表說明使用「Get Reference Lists」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
取得規則詳細資料
使用「Get Rule Details」動作，擷取 Google SecOps 中的規則資訊。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Get Rule Details」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Rule ID |
這是必填欄位。 要擷取詳細資料的規則專屬 ID。 預設值為 |
動作輸出內容
「Get Rule Details」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明搭配使用「Get Rule Details」動作和 Backstory API 時，收到的 JSON 結果輸出內容：
{
"ruleId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f",
"versionId": "ru_e6abfcb5-1b85-41b0-b64c-695b3250436f@v_1602631093_146879000",
"ruleName": "SampleRule",
"metadata": {
"description": "Sample Description of the Rule",
"author": "author@example.com"
},
"ruleText": "rule SampleRule {
meta:
description = \"Sample Description of the Rule\"
author = \"author@example.com\"
events:
// This will just generate lots of detections
$event.metadata.event_type = \"NETWORK_HTTP\"
condition:
$event
} ",
"liveRuleEnabled": true,
"versionCreateTime": "2020-10-13T23:18:13.146879Z",
"compilationState": "SUCCEEDED"
}
以下範例說明使用 Chronicle API 執行「Get Rule Details」動作時，收到的 JSON 結果輸出內容：
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/rules/RULE_ID",
"revisionId": "v_1733917896_973567000",
"displayName": "Test_rule_SingleEvent",
"text": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"author": "example_user",
"metadata": {
"author": "example_user",
"description": "windowed single event example rule",
"severity": null
},
"createTime": "2024-12-11T11:36:18.192127Z",
"revisionCreateTime": "2024-12-11T11:51:36.973567Z",
"compilationState": "SUCCEEDED",
"type": "SINGLE_EVENT",
"allowedRunFrequencies": [
"LIVE",
"HOURLY",
"DAILY"
],
"etag": "CMj55boGEJjondAD",
"ruleId": "RULE_ID",
"versionId": "RULE_ID@v_1733917896_973567000",
"ruleName": "Test_rule_SingleEvent",
"ruleText": "rule Test_rule_SingleEvent {\n // This rule matches single events. Rules can also match multiple events within\n // some time window. For details about how to write a multi-event rule, see\n // URL\n\n meta:\n // Allows for storage of arbitrary key-value pairs of rule details - who\n // wrote it, what it detects on, version control, etc.\n // The \"author\" and \"severity\" fields are special, as they are used as\n // columns on the rules dashboard. If you want to sort based on\n // these fields on the dashboard, make sure to add them here.\n // Severity value, by convention, should be \"Low\", \"Medium\" or \"High\"\n author = \"example_user\"\n description = \"windowed single event example rule\"\n //severity = \"Medium\"\n\n events:\n $e.metadata.event_type = \"USER_LOGIN\"\n $e.principal.user.userid = $user\n\n //outcome:\n // For a multi-event rule an aggregation function is required\n // e.g., risk_score = max(0)\n // See URL\n //$risk_score = 0\n match:\n $user over 1m\n\n condition:\n #e > 0\n}\n",
"ruleType": "SINGLE_EVENT",
"versionCreateTime": "2024-12-11T11:51:36.973567Z"
}
輸出訊息
「Get Rule Details」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully fetched information about the rule with ID
RULE_ID in Google Chronicle.
|
動作成功。 |
Error executing action "Get Rule Details". Reason:
ERROR_REASON
|
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Get Rule Details」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
CIDR 是否在資料表中
使用 Is CIDR In Data Table，檢查 Google SecOps 的特定資料表中是否有特定 CIDR 值。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Is CIDR In Data Table」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Data Table Name |
這是必填欄位。 要搜尋的資料表顯示名稱。 |
Column |
選填。 以半形逗號分隔的清單，列出要在資料表中搜尋的資料欄。 如未提供值，動作會搜尋所有資料欄。 |
CIDR |
這是必填欄位。 要在資料表中搜尋的 CIDR 值，以逗號分隔的清單。 |
Max Data Table Rows To Return |
這是必填欄位。 每個相符值要傳回的資料表列數。 最大值為 預設值為 |
動作輸出內容
「Is CIDR In Data Table」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼結果 | 可用 |
JSON 結果
以下範例說明使用「Is CIDR In Data Table」動作時，收到的 JSON 結果輸出內容：
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
輸出訊息
「Is CIDR In Data Table」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully searched provided CIDR values in the data table
DATA_TABLE_NAME in Google SecOps |
動作成功。 |
Error executing action "Is CIDR In Data Table". Reason:
ERROR_REASON |
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Is CIDR In Data Table」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
值是否在資料表中
使用「Is Value In Data Table」，檢查提供的值是否在 Google SecOps 的資料表中。
這項動作不會在 Google SecOps 實體上執行。
資料表快取
您可以啟用快取功能，減少對 Google SecOps 的重複要求，並加快執行應對手冊：
快取運作方式：選取「
Use Cache」後，動作會將擷取的資料表儲存在 Google SecOps 環境的共用快取中。在相同環境中，後續執行的應對手冊和支援的資料表動作，會重複使用快取資料，直到資料過期為止。完整資料表快取：如果快取空白或過期，動作會擷取並快取整個資料表，而非僅限符合
Values的資料列。後續在同一資料表中搜尋不同值時，即可重複使用快取，不必查詢 Google SecOps。輸出資料列限制：
Max Data Table Rows To Return會限制動作輸出內容中，每個值傳回的相符資料列數量，而非快取中儲存的資料列數量。Cache TTL的影響：控制快取資料的有效時間長度，超過這個時間後，動作就會從 Google SecOps 擷取新資料：- 較長的存留時間：減少 API 要求並加快 Playbook 執行速度，但資料表更新要等到快取到期才會反映。
- 較短的存留時間：可讓經常變更的資料表保持最新狀態，但會增加傳送至 Google SecOps 的要求。
動作輸入內容
「Is Value In Data Table」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Data Table Name |
這是必填欄位。 要搜尋的資料表顯示名稱。 |
Column |
選填。 以半形逗號分隔的資料欄清單，用於搜尋。 如未提供值，動作會搜尋所有資料欄。 |
Values |
這是必填欄位。 以半形逗號分隔的值清單，用於搜尋。 |
Case Insensitive Search |
選填。 如果選取，搜尋不區分大小寫。 (預設為啟用)。 |
Max Data Table Rows To Return |
這是必填欄位。 每個相符值要傳回的資料表列數。 最大值為 |
Use Cache |
選填。 如果選取這個選項，動作會盡可能使用快取的資料表結果，而非每次執行時都查詢 Google SecOps。詳情請參閱「資料表快取」。 |
Cache TTL |
選填。 快取存留時間 (以分鐘為單位)，超過這個時間後，動作就會從 Google SecOps 擷取新資料。詳情請參閱「資料表快取」。 最小值為 預設值為 |
動作輸出內容
「值是否在資料表中」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼結果 | 可用 |
JSON 結果
以下範例說明使用「Is Value In Data Table」動作時，收到的 JSON 結果輸出內容：
[{
"Entity": "asda",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
]
}
}]
輸出訊息
「Is Value In Data Table」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME
in Google SecOps.
|
動作已成功執行。 |
| 執行「資料表中是否有值」動作時發生錯誤。原因： ERROR_REASON | 無法執行動作。
請檢查伺服器連線、輸入參數或憑證。 |
Error executing action "Is Value In Data Table". Reason: the
following data tables were not found in:
DATA_TABLE_NAME:
COLUMN_NAMES. Please check the
spelling.
|
動作失敗。 |
Error executing action "Is Value In Data Table". Reason:
This action isn't supported for Backstory API configuration. Please update
the integration configuration.
|
動作失敗。 |
指令碼執行結果
下表說明使用「Is Value In Data Table」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
Is Value In Data Table Async
使用「Is Value In Data Table Async」動作，透過長時間執行的搜尋作業，以非同步方式檢查 Google SecOps 資料表中是否有指定的值。
這項動作不會在 Google SecOps 實體上執行。
資料表快取
您可以啟用快取功能，減少對 Google SecOps 的重複要求，並加快執行應對手冊：
快取運作方式：選取「
Use Cache」後，動作會將擷取的資料表儲存在 Google SecOps 環境的共用快取中。在相同環境中，後續執行的應對手冊和支援的資料表動作，會重複使用快取資料，直到資料過期為止。快取時立即完成：如果資料表有有效的快取，動作會搜尋快取並立即完成，不會在 Google SecOps 啟動非同步搜尋。
超過 1,000,000 列的資料表：如果資料表超過 1,000,000 列，動作仍會傳回搜尋結果，但會略過快取資料表，以免儲存不完整的副本。
Cache TTL的影響：控制快取資料的有效時間長度，超過這個時間後，動作就會從 Google SecOps 擷取新資料：- 較長的存留時間：減少 API 要求並加快 Playbook 執行速度，但資料表更新要等到快取到期才會反映。
- 較短的存留時間：可讓經常變更的資料表保持最新狀態，但會增加傳送至 Google SecOps 的要求。
動作輸入內容
「Is Value In Data Table Async」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Data Table Name |
這是必填欄位。 要搜尋的資料表顯示名稱。 |
Column |
選填。 以半形逗號分隔的清單，列出要在資料表中搜尋的資料欄。 如未提供值，動作會搜尋所有資料欄。 |
Values |
這是必填欄位。 以半形逗號分隔的值清單，用於在資料表中搜尋。 |
Case Insensitive Search |
選填。 如果選取，搜尋不區分大小寫。 (預設為啟用)。 |
Max Data Table Rows To Return |
這是必填欄位。 每個相符值要傳回的資料表列數。 最大值為 預設值為 |
Use Cache |
選填。 如果選取這個選項，動作會盡可能使用快取的資料表結果，而非每次執行時都查詢 Google SecOps。詳情請參閱「資料表快取」。 |
Cache TTL |
選填。 快取存留時間 (以分鐘為單位)，超過這個時間後，動作就會從 Google SecOps 擷取新資料。詳情請參閱「資料表快取」。 最小值為 預設值為 |
動作輸出內容
「Is Value In Data Table Async」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼結果 | 可用 |
JSON 結果
以下範例說明使用「Is Value In Data Table Async」動作時，收到的 JSON 結果輸出內容：
[
{
"Entity": "example_value",
"EntityResult": {
"is_found": true,
"Used cache": true,
"matched_rows": [
{
"createTime": "",
"name": "projects/{project_id}/locations/{location}/instances/{instance_id}/dataTables/{table_id}/dataTableRows/{row_id}",
"updateTime": "",
"values": {
"columnName1": "example_value",
"columnName2": "sample_data"
}
}
]
}
}
]
輸出訊息
「Is Value In Data Table Async」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully searched provided values in the data table
DATA_TABLE_NAME.
|
動作已成功執行。 |
Error executing action "Is Value In Data Table Async". Reason:
ERROR_REASON.
|
動作失敗。 |
指令碼執行結果
下表說明使用「Is Value In Data Table Async」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
值是否在參考清單中
使用「Is Value In Reference List」動作，檢查 Google SecOps 的參考清單中是否有提供的值。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Is Value In Reference List」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Reference List Names |
這是必填欄位。 以半形逗號分隔的參考清單名稱，用於搜尋。 |
Values |
這是必填欄位。 以半形逗號分隔的值清單，用於搜尋。 |
Case Insensitive Search |
選填。 如果選取，搜尋不區分大小寫。 |
動作輸出內容
「Is Value In Reference List」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 未供應 |
| 案件總覽連結 | 未供應 |
| 案件總覽表格 | 未供應 |
| 補充資訊表格 | 未供應 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明搭配使用 Is Value In Reference List 動作和 Backstory API 時，收到的 JSON 結果輸出內容：
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
以下範例說明搭配 Chronicle API 使用「Is Value In Reference List」動作時，收到的 JSON 結果輸出內容：
{
"Entity": "example.com",
"EntityResult": {
"found_in": [
"Reference list names, where item was found"
],
"not_found_in": [
"Reference list names, where items wasn't found"
],
"overall_status": "found, if at least one reference list had the value/not found, if non of the reference lists found the value"
}
}
輸出訊息
「Is Value In Reference List」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully searched provided values in the reference lists in
Google Chronicle.
|
動作成功。 |
| 執行「值是否在參考清單中」動作時發生錯誤。原因： ERROR_REASON | 動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
Error executing action "Is Value In Reference List". Reason: the
following reference lists were not found in Google Chronicle:
MISSING_REFERENCE_LIST_NAME(S).
Please use the action "Get Reference Lists" to see what reference lists are
available.
|
動作失敗。 執行「Get Reference Lists」動作，查看可用的清單。 |
指令碼執行結果
下表說明使用「值是否在參考清單中」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
可列出資產
使用「List Assets」動作，根據指定時間範圍內的相關實體，列出 Google SecOps 中的資產。
這項動作僅支援 MD5、SHA-1 和 SHA-256 雜湊。
這項動作會在下列 Google SecOps 實體上執行：
URLIP AddressHash
動作輸入內容
List Assets 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Max Hours Backwards |
要擷取多久以前的資產。 預設值為 |
Create Insight |
如果選取，這項動作會建立包含實體相關資訊的深入分析。 (預設為啟用)。 |
Max Assets To Return |
要傳回的資產數量。 預設值為 |
Time Frame |
選填。 要擷取結果的時間範圍。 可能的值如下：
如果選取 預設值為 |
Start Time |
開始時間，採用 ISO 8601 格式。 如果 |
End Time |
結束時間，採用 ISO 8601 格式。 如未設定值，並將 |
動作輸出內容
「List Assets」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 可用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
案件總覽表格
名稱：ENTITY_IDENTIFIER
欄：
- 主機名稱
- IP 位址
- 首次出現的構件
- 上次偵測到的構件
JSON 結果
以下範例說明搭配使用列出資產動作和 Backstory API 時，收到的 JSON 結果輸出內容：
{
"assets": [
{
"asset": {
"hostname": "example"
},
"firstSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-02-28T09:18:15.675Z"
},
"lastSeenArtifactInfo": {
"artifactIndicator": {
"domainName": "www.example.com"
},
"seenTime": "2020-09-24T06:43:59Z"
}
}
],
"uri": [
"https://INSTANCE/domainResults?domain=www.example.com&selectedList=DomainViewDistinctAssets&whoIsTimestamp=2020-09-27T12%3A07%3A34.166830443Z"
]
}
以下範例說明搭配 Chronicle API 使用列出資產動作時，收到的 JSON 結果輸出內容：
[
{
"Entity": "192.0.2.229",
"EntityResult": {
"assets": [
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Open Source Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2024-09-20T14:14:07.843Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Open Source Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "OPEN_SOURCE_INTEL_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "ex ",
"valueType": "DOMAIN_NAME"
}
},
{
"artifactIndicator": {
"domain": "example.com"
},
"sources": [
"Mandiant Active Breach Intelligence"
],
"categories": [
"Indicator was published in publicly available sources"
],
"assetIndicators": [
{
"assetIpAddress": "192.0.2.229"
}
],
"iocIngestTimestamp": "2023-07-05T02:42:52.935Z",
"firstSeenTimestamp": "2025-01-15T11:20:00Z",
"lastSeenTimestamp": "2025-01-15T11:20:00Z",
"filterProperties": {
"stringProperties": {
"IOC/ALERT SEVERITY": {
"values": [
{
"rawValue": "Medium"
}
]
},
"IOC CONFIDENCE SCORE": {
"values": [
{
"rawValue": "High"
}
]
},
"IOC FEED": {
"values": [
{
"rawValue": "Mandiant Active Breach Intelligence"
}
]
},
"IOC CATEGORIES": {
"values": [
{
"rawValue": "Indicator was published in publicly available sources"
}
]
},
"TLD": {
"values": [
{
"rawValue": ".com"
}
]
}
}
},
"confidenceBucket": "High",
"rawSeverity": "Medium",
"logType": "MANDIANT_ACTIVE_BREACH_IOC",
"confidenceScore": 100,
"globalCustomerId": "ID",
"confidenceScoreBucket": {
"rangeEnd": 100
},
"categorization": "Indicator was published in publicly available sources",
"domainAndPorts": {
"domain": "example.com"
},
"activeTimerange": {
"startTime": "1970-01-01T00:00:01Z",
"endTime": "9999-12-31T23:59:59Z"
},
"feedName": "MANDIANT",
"id": "ID",
"fieldAndValue": {
"value": "example.com",
"valueType": "DOMAIN_NAME"
}
}
],
"uri": "https://INSTANCE.backstory.chronicle.security/destinationIpResults?ADDRESS=192.0.2.229&selectedList=IpViewDistinctAssets&referenceTime=2025-01-23T11%3A16%3A24.517449Z"
}
}
]
輸出訊息
「List Assets」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully listed related assets for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
動作成功。 |
Error executing action "List Assets". Reason:
ERROR_REASON |
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「List Assets」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
列出事件
使用「List Events」動作，列出特定資產在指定時間範圍內的事件。
這項動作只能擷取 10,000 個事件。
這項動作會在下列 Google SecOps 實體上執行：
IP addressMAC addressHostname
動作輸入內容
List Events 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Event Types |
以半形逗號分隔的事件類型清單。
如未提供值，系統會擷取所有事件類型。 如需所有可能值的清單，請參閱「事件類型可能值」。 |
Time Frame |
指定的時間範圍。建議盡可能縮小範圍，以獲得更理想的結果。 如果選取 如果選取 可能的值如下：
預設值為 |
Start Time |
開始時間，採用 ISO 8601 格式。 如果 |
End Time |
結束時間，採用 ISO 8601 格式。 如未提供值，且 這項參數接受 |
Reference Time |
事件搜尋的參考時間。
如未提供值，動作會以結束時間為基準。 |
Output |
這是必填欄位。 輸出格式。 可能的值如下：
|
Max Events To Return |
每個實體類型要處理的事件數量。 預設值為 |
事件類型的可能值
Event Type 參數可能的值如下：
EVENTTYPE_UNSPECIFIEDPROCESS_UNCATEGORIZEDPROCESS_LAUNCHPROCESS_INJECTIONPROCESS_PRIVILEGE_ESCALATIONPROCESS_TERMINATIONPROCESS_OPENPROCESS_MODULE_LOADREGISTRY_UNCATEGORIZEDREGISTRY_CREATIONREGISTRY_MODIFICATIONREGISTRY_DELETIONSETTING_UNCATEGORIZEDSETTING_CREATIONSETTING_MODIFICATIONSETTING_DELETIONMUTEX_UNCATEGORIZEDMUTEX_CREATIONFILE_UNCATEGORIZEDFILE_CREATIONFILE_DELETIONFILE_MODIFICATIONFILE_READFILE_COPYFILE_OPENFILE_MOVEFILE_SYNCUSER_UNCATEGORIZEDUSER_LOGINUSER_LOGOUTUSER_CREATIONUSER_CHANGE_PASSWORDUSER_CHANGE_PERMISSIONSUSER_STATSUSER_BADGE_INUSER_DELETIONUSER_RESOURCE_CREATIONUSER_RESOURCE_UPDATE_CONTENTUSER_RESOURCE_UPDATE_PERMISSIONSUSER_COMMUNICATIONUSER_RESOURCE_ACCESSUSER_RESOURCE_DELETIONGROUP_UNCATEGORIZEDGROUP_CREATIONGROUP_DELETIONGROUP_MODIFICATIONEMAIL_UNCATEGORIZEDEMAIL_TRANSACTIONEMAIL_URL_CLICKNETWORK_UNCATEGORIZEDNETWORK_FLOWNETWORK_CONNECTIONNETWORK_FTPNETWORK_DHCPNETWORK_DNSNETWORK_HTTPNETWORK_SMTPSTATUS_UNCATEGORIZEDSTATUS_HEARTBEATSTATUS_STARTUPSTATUS_SHUTDOWNSTATUS_UPDATESCAN_UNCATEGORIZEDSCAN_FILESCAN_PROCESS_BEHAVIORSSCAN_PROCESSSCAN_HOSTSCAN_VULN_HOSTSCAN_VULN_NETWORKSCAN_NETWORKSCHEDULED_TASK_UNCATEGORIZEDSCHEDULED_TASK_CREATIONSCHEDULED_TASK_DELETIONSCHEDULED_TASK_ENABLESCHEDULED_TASK_DISABLESCHEDULED_TASK_MODIFICATIONSYSTEM_AUDIT_LOG_UNCATEGORIZEDSYSTEM_AUDIT_LOG_WIPESERVICE_UNSPECIFIEDSERVICE_CREATIONSERVICE_DELETIONSERVICE_STARTSERVICE_STOPSERVICE_MODIFICATIONGENERIC_EVENTRESOURCE_CREATIONRESOURCE_DELETIONRESOURCE_PERMISSIONS_CHANGERESOURCE_READRESOURCE_WRITTENANALYST_UPDATE_VERDICTANALYST_UPDATE_REPUTATIONANALYST_UPDATE_SEVERITY_SCOREANALYST_UPDATE_STATUSANALYST_ADD_COMMENT
動作輸出內容
「List Events」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「List Events」動作時，收到的 JSON 結果輸出內容：
{
"statistics": {
"NETWORK_CONNECTION": 10
}
{
"events": [
{
"metadata": {
"eventTimestamp": "2020-09-28T14:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
},
{
"metadata": {
"eventTimestamp": "2020-09-28T17:20:00Z",
"eventType": "NETWORK_CONNECTION",
"productName": "EXAMPLE Name",
"productEventType": "NETWORK_DNS",
"ingestedTimestamp": "2020-09-28T16:28:11.615578Z"
},
"principal": {
"hostname": "user-example-pc",
"assetId": "EXAMPLE:user-example-pc",
"process": {
"pid": "1101",
"productSpecificProcessId": "EXAMPLE:32323"
}
},
"target": {
"hostname": "example.com",
"user": {
"userid": "user"
},
"process": {
"pid": "8172",
"file": {
"md5": "a219fc7fcc93890a842183388f80369e",
"fullPath": "C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe"
},
"commandLine": "\"C:\\Program Files(x86)\\adobe\\acrobat reader dc\\reader\\acrord32.exe\" ...",
"productSpecificProcessId": "EXAMPLE:82315"
}
}
}
],
"uri": [
"https://INSTANCE/assetResults?assetIdentifier=user-example-pc&referenceTime=2020-09-28T17%3A00%3A00Z&selectedList=AssetViewTimeline&startTime=2020-09-28T14%3A20%3A00Z&endTime=2020-09-28T20%3A20%3A00Z"
]
}
}
輸出訊息
「List Events」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully listed related events for the following entities
from Google Chronicle:
ENTITY_IDENTIFIER |
動作成功。 |
Error executing action "List Events". Reason:
ERROR_REASON
|
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
Error executing action "List Events". Reason: invalid event type
is provided. Please check the spelling. Supported event types:
SUPPORTED_EVENT_TYPES
|
動作失敗。
請檢查拼字。 |
指令碼執行結果
下表說明使用「List Events」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
列出 IOC
使用「List IOCs」(列出 IOC) 動作，列出指定日期範圍內在企業中發現的所有 IoC。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「List IOCs」(列出 IOC) 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Start Time |
結果的開始時間，採用 ISO 8601 格式。 |
Max IoCs to Fetch |
要傳回的 IoC 數量上限。
範圍為 預設值為 |
動作輸出內容
「List IOCs」(列出 IOC) 動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 可用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
案件總覽表格
欄：
- 網域
- 類別
- 來源
- 信心
- 嚴重性
- IoC 擷取時間
- IoC 首次出現時間
- IoC 上次出現時間
- URI
JSON 結果
以下範例說明使用「List IOCs」動作時，收到的 JSON 結果輸出內容：
{
"matches":[
{
"artifact":{
"domainName":"www.example.com"
},
"firstSeenTime":"2018-05-25T20:47:11.048998Z",
"iocIngestTime":"2019-08-14T21:00:00Z",
"lastSeenTime":"2019-10-24T16:19:46.880830Z",
"sources":[
{
"category":"Spyware Reporting Server",
"confidenceScore":{
"intRawConfidenceScore":0,
"normalizedConfidenceScore":"Low"
},
"rawSeverity":"Medium",
"source":"Example List"
}
],
"uri":["URI"]
}
],
"moreDataAvailable":true
}
輸出訊息
「List IOCs」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully listed IOCs from the provided timeframe in Google
Chronicle. |
動作成功。 |
Error executing action "List IOCs". Reason:
ERROR_REASON.
|
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「List IOCs」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
查詢類似警示
使用「Lookup Similar Alerts」動作，在 Google SecOps 中搜尋類似的快訊。
動作輸入內容
「Lookup Similar Alerts」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Time Frame |
結果的時間範圍。為獲得最佳結果，請盡可能縮短時間範圍。 可能的值如下：
|
IOCs / Assets |
這是必填欄位。 以半形逗號分隔的 IoC 或資產清單，用於在警告中尋找。這項動作會針對提供的每個項目分別執行搜尋。 |
Similarity By |
用於尋找相似快訊的屬性。 可能的值如下：
預設值為 |
「相似度依據」參數的運作方式
Similarity By 參數對規則快訊和外部快訊的套用方式不同。
如果選取
Alert Name, Alert Type and Product或Alert Name, Alert Type：如果是外部警告，這項動作會搜尋其他同名的外部警告。
如果是規則快訊，動作會處理來自相同規則的快訊。
如果選取「
Product」：- 無論是規則快訊還是外部快訊，這項動作都會處理來自相同產品的快訊。
舉例來說，源自 Crowdstrike 的警告只會與 Crowdstrike 的其他警告比對。
如果選取「
Only IOCs/Assets」：這項動作會根據
IOCs/Assets參數中提供的 IOC 比對快訊。系統會在規則快訊和外部快訊中搜尋這些指標。選取這個選項後，IOC 快訊才能執行這項動作。如果提供任何其他選項，動作會預設為
Only IOCs/Assets。
「Lookup Similar Alerts」動作是分析快訊的多功能工具。分析師可以找出同一時間範圍內的警示關聯，並擷取相關入侵指標，判斷事件是否為真陽性。
動作輸出內容
「Lookup Similar Alerts」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 可用 |
| 案件總覽表格 | 可用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
案件總覽連結
「Lookup Similar Alerts」動作可傳回下列連結：
- CBN：GENERATED_LINK_BASED_ON_IU_ROOT_URL
- 規則：GENERATED_LINK_BASED_ON_IU_ROOT_URL
案件總覽表格
資料表名稱：IOC/ASSET_IDENTIFIER
表格欄：
- 產品
- 主機名稱
- IP
- 使用者
- 電子郵件地址
- Subjects
- 網址
- 雜湊
- 處理程序
- 首次出現日期
- 上次上線時間
- 快訊名稱
- 一般
JSON 結果
以下範例說明使用「Lookup Similar Alerts」動作時，收到的 JSON 結果輸出內容：
{
"count": 123,
"distinct": [
{
"first_seen": "time of the first alert that matched our conditions",
"last_seen": "time of the last alert that matched our conditions",
"product_name": "product name",
"used_ioc_asset": "what user provided in the parameter IOCs and Assets",
"name": "Alert Name/Rule Name",
"hostnames": "csv list of unique hostnames that were found in alerts",
"urls": "csv list of unique urls that were found in alerts",
"ips": "csv list of unique ips that were found in alerts",
"subjects": "csv list of unique subjects that were found in alerts",
"users": "csv list of unique users that were found in alerts",
"email_addresses": "csv list of unique email_addresses that were found in alerts",
"hashes": "csv list of unique hashes that were found in alerts",
"processes": "csv list of unique processes that were found in alerts"
"rule_urls": ["Chronicle URL from API response for Rule"]
"count": 123
}
],
"processed_alerts": 10000,
"run_time": "how long it took to run the action or at least API request",
"EXTERNAL_url": "Chronicle URL from API response for EXTERNAL"
}
輸出訊息
「Lookup Similar Alerts」動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
|
動作成功。 |
Error executing action "Lookup Similar Alerts". Reason:
ERROR_REASON
|
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
Error executing action "Lookup Similar Alerts". Reason: all of the
retries are exhausted. Please wait for a minute and try again.
|
動作失敗。 請稍候幾分鐘，再重新執行動作。 |
指令碼執行結果
下表說明使用「Lookup Similar Alerts」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
乒乓
使用「Ping」動作測試與 Google SecOps 的連線能力。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
無。
動作輸出內容
Ping 動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 無法使用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
輸出訊息
Ping 動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully connected to the Google Chronicle backstory with the
provided connection parameters! |
動作成功。 |
Failed to connect to the Google Chronicle backstory. Error is
ERROR_REASON
|
動作失敗。 請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用 Ping 動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
從資料表中移除資料列
使用「從資料表中移除資料列」動作，從 Google SecOps 的資料表中移除資料列。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
「Remove Rows From Data Table」動作需要下列參數：
| 參數 | 說明 |
|---|---|
Data Table Name |
這是必填欄位。 要更新的資料表顯示名稱。 |
Rows |
這是必填欄位。 用於搜尋及刪除資料列的 JSON 物件清單。 只納入有效資料欄。 預設值如下： |
動作輸出內容
「Remove Rows From Data Table」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用「Remove Rows From Data Table」動作時，收到的 JSON 結果輸出內容：
{
"name": "projects/365235532452/locations/us/instances/df6f1958-0381-41f9-8794-08a3229744a5/dataTables/data_table/dataTableRows/840d18a85944833e1b97ed6d2fb11377",
"values": {
"columnName1": "asda",
"columnName2": "asdasd",
"columnName3": "zxczxc"
},
"createTime": "2025-05-14T12:52:51.908143Z",
"updateTime": "2025-05-14T12:52:51.908143Z"
}
輸出訊息
「Remove Rows From Data Table」(從資料表移除資料列) 動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully removed rows from the data table
DATA_TABLE_NAME in
Google SecOps.
|
動作成功。 |
Error executing action "Remove Rows From Data Table". Reason:
ERROR_REASON
|
動作失敗。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Remove Rows From Data Table」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
從參照清單中移除值
使用「Remove Values From Reference List」動作，從 Google SecOps 的參考清單中移除值。
這項動作不會在 Google SecOps 實體上執行。
動作輸入內容
Remove Values From Reference List 動作需要下列參數：
| 參數 | 說明 |
|---|---|
Reference List Name |
這是必填欄位。 要更新的參考清單名稱。 |
Values |
這是必填欄位。 要從參照清單中移除的值，以半形逗號分隔。 |
動作輸出內容
「Remove Values From Reference List」動作會提供下列輸出內容：
| 動作輸出類型 | 可用性 |
|---|---|
| 案件總覽附件 | 無法使用 |
| 案件總覽連結 | 無法使用 |
| 案件總覽表格 | 無法使用 |
| 補充資訊表格 | 無法使用 |
| JSON 結果 | 可用 |
| 輸出訊息 | 可用 |
| 指令碼執行結果 | 可用 |
JSON 結果
以下範例說明使用 Backstory API 執行「Remove Values From Reference List」動作時，收到的 JSON 結果輸出內容：
{
"name": "list_name",
"description": "description of the list",
"lines": [
"192.0.2.0/24",
"198.51.100.0/24"
],
"create_time": "2020-11-20T17:18:20.409247Z",
"content_type": "CIDR"
}
以下範例說明使用 Chronicle API 執行「Remove Values From Reference List」動作時，收到的 JSON 結果輸出內容：
{
"name": "projects/PROJECT_ID/locations/us/instances/INSTANCE_ID/referenceLists/REFERENCE_LIST_NAME",
"displayName": "REFERENCE_LIST_NAME",
"revisionCreateTime": "2025-01-16T09:15:21.795743Z",
"description": "Test reference list",
"entries": [
{
"value": "example.com"
},
{
"value": "exampledomain.com"
}
],
"syntaxType": "REFERENCE_LIST_SYNTAX_TYPE_PLAIN_TEXT_STRING",
"scopeInfo": {
"referenceListScope": {}
},
"createTime": "2025-01-16T09:15:21.795743Z",
"lines": [
"example.com",
"exampledomain.com"
]
}
輸出訊息
「Remove Values From Reference List」(從參考清單中移除值) 動作會提供下列輸出訊息：
| 輸出訊息 | 訊息說明 |
|---|---|
Successfully removed values from the reference list.
|
動作成功。 |
Error executing action "Remove Values From Reference List". Reason:
ERROR_REASON
|
無法執行動作。
請檢查伺服器連線、輸入參數或憑證。 |
指令碼執行結果
下表說明使用「Remove Values From Reference List」動作時，指令碼結果輸出的值：
| 指令碼結果名稱 | 值 |
|---|---|
is_success |
true或false |
連接器
如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。
Google Chronicle - Chronicle 警示連接器
使用 Google Chronicle - Chronicle Alerts 連接器，從 Google SecOps 提取規則型快訊的相關資訊。
總覽
Google Chronicle - Chronicle Alerts Connector 會從 Google SecOps 擷取規則型快訊。
主要功能和作業細節包括：
查詢一週內的資料。為避免因索引延遲而遺漏警告，您可以設定緩衝期並增加連接器逾時時間，但緩衝期過長可能會對效能造成負面影響。
使用動態清單，設定更靈活。
為缺少嚴重性值的快訊提供
Fallback Severity。
動態清單篩選器
動態清單用於直接從連接器設定頁面篩選快訊。
運算子邏輯
動態清單會結合以集合為基礎的評估和多行邏輯，處理篩選規則：
逗號分隔值 (集合評估)：同一行中以逗號分隔的值會視為單一集合。套用的邏輯取決於使用的運算子：
- 納入 (
=)：做為許可清單。
如果值與清單中的任何項目相符，則擷取快訊 (例如
Rule.severity = low,medium表示low或medium)。- 排除 (
!=)：做為封鎖清單。
只有在值與清單中的任何項目都不相符時，才會擷取快訊 (例如，
Rule.ruleName != rule_a,rule_b表示規則名稱不是rule_a，也不是rule_b)。- 納入 (
分行 (AND 邏輯)：動態清單中的每一行都會進一步限制篩選條件 (例如第 1 行 AND 第 2 行)。
支援的運算子：(
=、!=、>、<、>=、<=) 因篩選器鍵而異。
以下是使用運算子規則的範例：
Rule.severity = medium：連接器只會擷取嚴重性為「中」的規則警示。
Rule.severity = low,medium：連接器只會擷取嚴重性為中或低的規則快訊。
Rule.ruleName != rule_a,rule_b：連接器會擷取所有快訊，但規則名稱為
rule_a或rule_b的快訊除外。Rule.ruleName = default_rule：連接器只會擷取名稱為
default_rule的規則警示。
支援的篩選器
Chronicle Alerts 連接器支援依下列鍵篩選：
| 篩選鍵 | 回應鍵 | 運算子 | 可能的值 |
|---|---|---|---|
Rule.severity |
detection、ruleLabels 或 severity |
=、!=、>、<、>=、<= |
值不區分大小寫。 |
Rule.ruleName |
detection或ruleName |
=、!= |
由使用者定義。 |
Rule.ruleID |
detection或ruleId |
=、!= |
由使用者定義。 |
Rule.ruleType |
detection或ruleClass |
=、!= |
值不區分大小寫。 |
Rule.ruleLabels.{key} |
detection或ruleLabels |
=、!= |
由使用者定義。 |
處理 ruleLabels
如要篩選規則中的特定標籤，請使用 Rule.ruleLabels.{key} 格式。
舉例來說，如要篩選鍵為 type 且值為 suspicious_behaviour 的標籤，動態清單輸入內容應為：
Rule.ruleLabels.type=suspicious_behaviour
連接器輸入
Chronicle 快訊連接器需要下列參數：
預設值為 Medium。
| 參數 | 說明 |
|---|---|
Product Field Name |
這是必填欄位。 儲存產品名稱的欄位名稱。 產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。 預設值為 |
Event Field Name |
這是必填欄位。 決定事件名稱 (子類型) 的欄位名稱。 |
Environment Field Name |
選填。 儲存環境名稱的欄位名稱。 如果缺少環境欄位，連接器會使用預設值。 預設值為 |
Environment Regex Pattern |
選填。 規則運算式模式，用於對 使用預設值 如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。 |
Script Timeout (Seconds) |
這是必填欄位。 執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。 預設值為 |
API Root |
這是必填欄位。 Google SecOps 執行個體的 API 根網址：
|
User's Service Account |
選填。 用於驗證的服務帳戶 JSON 金鑰。只有在 將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。 |
Workload Identity Email |
選填。 用於 Workload Identity 驗證的服務帳戶電子郵件 (建議在需要服務帳戶時使用)。如果兩個憑證欄位都已填入，系統會優先採用這個欄位。 將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。 |
Fallback Severity |
這是必填欄位。 如果 Google SecOps 的警示不含嚴重性值，則會使用預設嚴重性。 可能的值如下：
|
Max Hours Backwards |
選填。 從初始連接器執行前幾小時開始擷取事件。 這個參數只會套用一次。 最大值為 預設值為 |
Max Alerts To Fetch |
選填。 每次連接器疊代要處理的警告數量。 預設值為 |
Disable Event Splitting |
選填。 如果選取這個選項，連接器就不會將原始事件分割成多個部分，確保來源和 Google SecOps 的事件數量一致。 預設為停用。 |
Verify SSL |
這是必填欄位。 如果選取，整合功能會在連線至 Google SecOps 伺服器時驗證 SSL 憑證。 (預設為啟用)。 |
Proxy Server Address |
選填。 要使用的 Proxy 伺服器位址。 |
Proxy Username |
選填。 用於驗證的 Proxy 使用者名稱。 |
Proxy Password |
選填。 用於驗證的 Proxy 密碼。 |
Disable Overflow |
選填。 如果選取，連接器會忽略 Google SecOps 溢位機制。 預設為停用。 |
Validate Dynamic List Entries |
選填。 如果啟用，連接器會先驗證動態清單中的項目是否存在於平台，再進行處理，以免發生擷取錯誤。 預設為停用。 |
連接器規則
Google Chronicle - Chronicle Alerts 連接器支援 Proxy。
連接器事件
以下各節說明連接器擷取的事件結構。這個連接器會專門提取 Google SecOps 偵測規則產生的快訊。
規則式警告
偵測規則與傳入的記錄資料相符時，就會產生這類事件。 JSON 輸出內容包含規則中繼資料、不重複的偵測 ID，以及觸發警告的相關 UDM 事件資料。
{
"alert_type": "RULE",
"event_type": "NETWORK_DHCP",
"type": "RULE_DETECTION",
"detection": [
{
"ruleName": "d3_test",
"urlBackToProduct": "https://INSTANCE/ruleDetections?ruleId=ru_74dd17e2-5aad-4053-acd7-958bead014f2&selectedList=RuleDetectionsViewTimeline&selectedParentDetectionId=de_b5dadaf4-b398-325f-9f09-833b71b3ffbb&selectedTimestamp=2022-02-08T05:02:36Z&versionTimestamp=2020-11-19T18:19:11.951951Z",
"ruleId": "ru_74dd17e2-5aad-4053-acd7-958bead014f2",
"ruleVersion": "ru_74dd17e2-5aad-4053-acd7-958bead014f2@v_1605809951_951951000",
"alertState": "NOT_ALERTING",
"ruleType": "SINGLE_EVENT",
"ruleLabels": [
{
"key": "author",
"value": "analyst123"
},
{
"key": "description",
"value": "8:00 AM local time"
},
{
"key": "severity",
"value": "Medium"
}
]
}
],
"createdTime": "2022-02-08T06:07:33.944951Z",
"id": "de_b5dadaf4-b398-325f-9f09-833b71b3ffbb",
"timeWindow": {
"startTime": "2022-02-08T05:02:36Z",
"endTime": "2022-02-08T05:02:36Z"
},
"collectionElements": [
{
"references": [
{
"event": {
"metadata": {
"eventTimestamp": "2022-02-08T05:02:36Z",
"eventType": "NETWORK_DHCP",
"productName": "Infoblox DHCP",
"ingestedTimestamp": "2022-02-08T05:03:03.892234Z"
},
"principal": {
"ip": [
"198.51.100.255",
"198.51.100.1"
],
"mac": [
"01:23:45:ab:cd:ef"
],
"email_address": [
"example@example.com"
]
},
"target": {
"hostname": "dhcp_server",
"ip": [
"198.51.100.0",
"198.51.100.1"
]
},
"network": {
"applicationProtocol": "DHCP",
"dhcp": {
"opcode": "BOOTREQUEST",
"ciaddr": "198.51.100.255",
"giaddr": "198.51.100.0",
"chaddr": "01:23:45:ab:cd:ef",
"type": "REQUEST",
"clientHostname": "example-user-pc",
"clientIdentifier": "AFm/LDfjAw=="
}
}
}
}
],
"label": "e"
}
],
"detectionTime": "2022-02-08T05:02:36Z"
}
快訊結構
下表說明 Google Chronicle - Chronicle Alerts Connector 如何在 Google SecOps 中填入快訊屬性。
內部產生的屬性
這些屬性是由平台架構產生，而非從來源快訊擷取：
| 快訊屬性名稱 | 來源 |
|---|---|
SourceSystemName |
由架構內部產生。 |
TicketId |
來源為快訊偵測 ID (id)。 |
DisplayId |
自動生成。 |
所有快訊類型的屬性
這些屬性衍生自來源快訊。
| 快訊屬性名稱 | 來源 |
|---|---|
Priority |
取自 API 回應或 Fallback Severity 參數。 |
DeviceVendor |
硬式編碼值為 Google Chronicle。 |
DeviceProduct |
硬式編碼值為 RULE。 |
Description |
來源為 detection/ruleLabels/description (如有)。 |
Reason |
不適用。 |
SourceGroupingIdentifier |
未提供。 |
Chronicle Alert - Attachments |
不適用。 |
已淘汰：Google Chronicle - 快訊連接器
這個連接器會從 Google SecOps 提取資產警示，並擷取至案件。
這個連接器需要 Google SecOps SIEM Search API。
連接器輸入
快訊連接器需要下列參數：
| 參數 | 說明 |
|---|---|
Product Field Name |
這是必填欄位。
儲存產品名稱的欄位名稱。 產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。 預設值為 |
Environment Field Name |
選填。 儲存環境名稱的欄位名稱。 如果缺少環境欄位，連接器會使用預設值。 預設值為 |
Environment Regex Pattern |
選填。 規則運算式模式，用於對 使用預設值 如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。 |
Script Timeout (Seconds) |
這是必填欄位。 執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。 預設值為 |
Service Account Credentials |
這是必填欄位。 服務帳戶 JSON 檔案的內容。 |
Fetch Max Hours Backwards |
選填。 在初始連接器執行前，要擷取事件的小時數。 這個參數只會套用一次。 最大值為 預設值為 |
已淘汰：Google Chronicle - IoC 連接器
請改用 Chronicle 快訊連接器。
這個連接器會從 Google SecOps 提取 IOC 網域比對結果，並擷取至案件。
這個連接器使用 Google SecOps Search API。
連接器輸入
Google Chronicle - IoC 連接器需要下列參數：
| 參數 | 說明 |
|---|---|
Product Field Name |
這是必填欄位。
儲存產品名稱的欄位名稱。 產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。 預設值為 |
Environment Field Name |
選填。 儲存環境名稱的欄位名稱。 如果缺少環境欄位，連接器會使用預設值。 預設值為 |
Environment Regex Pattern |
選填。 規則運算式模式，用於對 使用預設值 如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。 |
Script Timeout (Seconds) |
這是必填欄位。 執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。 預設值為 |
Service Account Credentials |
這是必填欄位。 服務帳戶 JSON 檔案的內容。 |
Fetch Max Hours Backwards |
選填。 從初始連接器執行前幾小時開始擷取快訊。 這個參數只會套用一次。 最大值為 預設值為 |
Max Alerts To Fetch |
選填。 每次連接器疊代處理的警告數量上限。 預設值為 |
工作
如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。
工作設定必要條件
設定工作前，請先設定 Chronicle 快訊連接器。
如要設定 Google Chronicle 工作，請按照下列步驟操作：
在 Google SecOps 中，依序前往「Response」>「Job Scheduler」。
按一下「add」「Create New Job」(建立新工作)。
在隨即顯示的「Add Job」(新增工作) 對話方塊中，選取對應的 Google Chronicle 工作，然後按一下「Save」(儲存)。
選用：視需要編輯工作名稱和說明。
在「Job Details」(工作詳細資料) 部分：
- 確認「Integration」(整合) 欄位中已選取「GoogleChronicle」。
如要按照指定的時間間隔自動執行工作，請設定排程器間隔。必須設定排程器，才能完成工作設定。
由於 Google Chronicle 工作可在一次執行中同步處理大量資料，Google 建議您將排程器間隔至少設為 2 分鐘。
Google Chronicle - 同步資料工作
這項工作適用於 Chronicle 警告連接器和 Chronicle 警告建立工具工作建立的警告，但不適用於已淘汰連接器 (警告連接器和 IOC 連接器) 的警告。
Google Chronicle 同步處理資料工作會同步處理 Google SecOps 中更新的案件和警示，因此案件管理期間所做的變更會立即反映在整個平台。
案件和警告資料同步處理
Google Chronicle Sync Data 工作會追蹤及同步處理案件的下列欄位：
| 追蹤欄位 | 同步欄位 |
|---|---|
Priority |
Priority |
Status |
Status |
Title |
Title |
| 不適用 | Stage |
| 不適用 | Google SecOps Case ID |
Google SecOps 案件 ID 是 Google SecOps 中的專屬案件 ID。
Google Chronicle Sync Data 工作會追蹤及同步處理下列警告欄位：
| 追蹤欄位 | 同步欄位 |
|---|---|
Priority |
Priority |
Status |
Status |
Case ID |
不適用 |
| 不適用 | Google SecOps Alert ID |
| 不適用 | Google SecOps Case ID |
| 不適用 | Verdict |
| 不適用 | Closure Comment |
| 不適用 | Closure Reason |
| 不適用 | Closure Root Cause |
| 不適用 | Usefulness |
Google SecOps 警告 ID 是 Google SecOps 中的專屬警告 ID。
在一個疊代中，工作最多可同步處理 1,000 個案件和 1,000 個警告。同步處理作業會在工作設定中指定的 Google SecOps 環境內進行。同步處理機制可確保指定環境中的案件不會與其他環境同步。
設定 Google Chronicle Sync Data 工作
這項工作只會同步處理含有從 Google SecOps 擷取快訊的案件。
請確認您已完成前置步驟，再設定這項工作。
如要設定 Google Chronicle Sync Data 工作，請按照下列步驟操作：
在「Parameters」(參數) 部分，設定下列參數：
參數 說明 Environment這是必填欄位。
在 Google SecOps 中建立的環境名稱，用於同步案件和警示。
API Root這是必填欄位。
Google SecOps 執行個體的 API 根網址：
- Chronicle API：包含專案 ID、區域和執行個體 ID (例如
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID)。請參閱「尋找 Chronicle API 根目錄」。 - Backstory API (舊版)：區域 Backstory 端點。預設值為
https://backstory.googleapis.com。
User's Service Account選填。
用於驗證的服務帳戶 JSON 金鑰。只有在
Workload Identity Email為空白時才會使用。將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。
Workload Identity Email選填。
用於 Workload Identity 驗證的服務帳戶電子郵件 (建議在需要服務帳戶時使用)。如果兩個憑證欄位都已填入，則優先採用。
將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。
Max Hours Backwards選填。
要擷取警示的小時數。只能使用正值。
預設值為
24。Verify SSL這是必填欄位。
如果選取，整合功能會在連線至 Google SecOps 伺服器時驗證 SSL 憑證。
(預設為啟用)。
Google Chronicle Sync Data 工作預設為啟用。儲存設定正確的工作後，系統會立即開始與 Google SecOps 同步處理資料。如要停用工作，請切換工作名稱旁的切換鈕。
- Chronicle API：包含專案 ID、區域和執行個體 ID (例如
按一下「儲存」，完成設定。
如果「Save」(儲存) 按鈕無法使用，請確認您已設定所有必要參數。
選用：如要在儲存後立即執行工作，請按一下「立即執行」。
「Run Now」(立即執行) 選項可觸發單一工作執行，立即同步處理目前的警告和案件資料。
記錄訊息
下表列出 Google Chronicle Data Sync 工作可能出現的記錄訊息：
| 記錄項目 | 類型 | 說明 |
|---|---|---|
Unable to parse credentials as JSON. Please validate creds.
|
錯誤 | User's Service Account 參數中提供的服務帳戶已損毀。 |
"Max Hours Backwards" parameter must be a positive number. |
錯誤 | Max Hours backwards 參數設為 0 或負數。 |
Current platform version doesn't support SDK methods designed for
Google SecOps. Please use version 6.1.33 or higher. |
錯誤 | 目前的 Google SecOps 平台執行個體版本不支援執行 Chronicle 同步資料工作指令碼。這表示執行個體的建構版本早於 6.1.33。 |
Unable to connect to Google SecOps, please validate
your credentials: CREDENTIALS |
錯誤 | 無法根據 Google SecOps 執行個體驗證服務帳戶或 API 根值。如果連線測試失敗，系統就會回報這項錯誤。 |
--- Start Processing Updated Cases --- |
資訊 | 案件處理迴圈已開始執行。 |
Last success time. Date time:DATE_AND_TIME.
Unix:UNIX_EPOCH_TIME
|
資訊 | 案件或快訊上次成功執行的時間戳記，以日期和時間 (DATE_AND_TIME) 以及 Unix 紀元時間戳記 (UNIX_EPOCH_TIME) 顯示。 |
Key: "DATABASE_KEY" doesn't exist in the
database. Returning default
value instead: DEFAULT_VALUE |
資訊 | 資料庫中沒有待處理案件或警告資料庫金鑰。首次執行指令碼時，一律會顯示這個記錄項目。 |
Failed to parse data as JSON. Returning default value instead:
"DEFAULT_VALUE. ERROR:
ERROR |
錯誤 | 從資料庫擷取的值並非有效的 JSON 格式。 |
Exception was raised from the database. ERROR:
ERROR. |
錯誤 | 資料庫連線發生問題。 |
|
資訊 | 已成功從待處理項目中擷取待處理案件或警告 ID。 CASE_IDS 是提供的案件 ID 數量。 |
|
錯誤 | 從資料庫擷取的待處理案件或快訊 ID 數量超過上限 (1000)。系統會忽略超出限制的 ID。 這項錯誤可能表示資料庫損毀。 |
|
資訊 | 已成功從平台擷取新更新的案件或警告 ID。 |
|
資訊 | Google SecOps 執行個體中的案件和警示已開始更新。 |
|
錯誤 | 指定的案件或警示無法與 Google SecOps 同步。 |
|
資訊 | 指定的待處理案件或快訊已達同步重試次數上限 (5 次)，不會重新插入待處理清單。 |
|
資訊 | 無法與 Google SecOps 同步的案件或警告 ID 清單。 |
Updated External Case IDs for the following cases:
CASE_IDS |
資訊 | 工作在 Google SecOps 平台中更新相符 Google SecOps 外部案件 ID 的案件清單。 |
Failed to update external ids. |
錯誤 | 連線或平台錯誤導致外部案件 ID 無法更新。 |
|
錯誤 | 發生錯誤，導致案件或警告更新作業在完成前停止。詳情請參閱這則記錄後方的堆疊追蹤。 |
|
資訊 | 案件和快訊更新階段已完成。 |
|
錯誤 | 重試次數小於或等於 5 次的失敗案件或快訊 ID 清單，會寫回待處理項目。 |
|
資訊 | 案件和警告處理階段已完成。 |
Saving timestamps. |
資訊 | 將上次成功更新案件和快訊的時間戳記儲存至資料庫。 |
Saving pending ids. |
資訊 | 正在將待處理案件和警告 ID 儲存至資料庫。 |
Got exception on main handler. Error:
ERROR_REASON |
錯誤 | 發生一般終止錯誤。系統會在記錄後方列印堆疊追蹤，並附上特定錯誤。 |
Google Chronicle 警示建立工具工作
Google Chronicle Alerts Creator 工作需要 Google SecOps 平台 6.2.30 以上版本。
這項工作會將從第三方連接器擷取的警告 (包括溢位警告) 同步至 Google SecOps。不會複製已來自 Google SecOps 偵測結果的警告。
Google Chronicle 工作之間的關係
完整的 Google SecOps 部署作業會同時執行下列三個元件：
- Chronicle 警示連接器：將 Google SecOps 的偵測警示擷取至案件。
- Google Chronicle Alerts Creator 工作：同步處理從第三方連接器擷取至 Google SecOps 的快訊，並為每則快訊指派專屬的 Google SecOps 快訊 ID。
- Google Chronicle Sync Data 工作：在 Google SecOps 中同步處理案件和警示更新 (例如優先順序或狀態變更)。
設定 Google Chronicle 快訊建立工具工作
設定工作前，請務必完成必要步驟。
如要設定 Google Chronicle Alerts Creator 工作，請按照下列步驟操作：
請根據下表設定工作參數：
參數 說明 Environment這是必填欄位。
在 Google SecOps 中建立的環境名稱，用於同步案件和警示。
API Root這是必填欄位。
Google SecOps 執行個體的 API 根網址：
- Chronicle API：包含專案 ID、區域和執行個體 ID (例如
https://us-chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/us/instances/INSTANCE_ID)。請參閱「尋找 Chronicle API 根目錄」。 - Backstory API (舊版)：區域 Backstory 端點。預設值為
https://backstory.googleapis.com。
User's Service Account選填。
用於驗證的服務帳戶 JSON 金鑰。只有在
Workload Identity Email為空白時才會使用。將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。
Workload Identity Email選填。
用於 Workload Identity 驗證的服務帳戶電子郵件地址 (建議在需要服務帳戶時使用)。如果兩個憑證欄位都已填入，則優先採用。
將兩個憑證欄位留空，即可在支援的情況下使用內建憑證 (請參閱「驗證方式和憑證優先順序」)。
Verify SSL這是必填欄位。
如果選取，整合功能會在連線至 Google SecOps 伺服器時驗證 SSL 憑證。
(預設為啟用)。
- Chronicle API：包含專案 ID、區域和執行個體 ID (例如
按一下「儲存」，完成設定。
如果「Save」(儲存) 按鈕無法使用，請確認您已設定所有必要參數。
選用：如要在儲存後立即執行工作，請按一下「立即執行」。
「Run Now」(立即執行) 選項可觸發單一工作執行，立即同步處理目前的警告和案件資料。
記錄訊息和錯誤處理
| 記錄 | 等級 | 說明 |
|---|---|---|
|
錯誤 | 「User's Service Account」(使用者服務帳戶) 參數中提供的服務帳戶已損毀。 |
|
錯誤 | 目前的 Google SecOps 平台執行個體版本不支援執行 Google Chronicle Alerts Creator Job 指令碼。這項錯誤表示執行個體建構版本早於 6.2.30。 |
|
錯誤 | 無法根據 Google SecOps 執行個體驗證服務帳戶或 API 根值。如果連線測試失敗，系統就會回報這項錯誤。 |
|
資訊 | 記錄訊息，指出工作已開始。 |
|
資訊 | 主要工作已開始執行。 |
|
資訊 | 目前擷取嘗試的疊代次數。 |
|
資訊 | 工作正在擷取最多 BATCH_SIZE 則新快訊。 |
|
資訊 | 目前批次擷取的新 Google 快訊數量。 |
|
資訊 | 未發現新的未同步快訊，因此工作即將停止。 |
|
資訊 | 目前批次擷取的快訊 ID。 |
|
資訊 | 工作正在將擷取的警告傳送至 Google SecOps。 |
|
錯誤 | 無法將指定警告同步至 Google SecOps。 |
|
資訊 | 工作正在更新同步的警告狀態。 |
|
警告 | 平台無法更新指定快訊的同步處理狀態。 |
|
資訊 | 目前工作執行期間同步處理的快訊總數。 |
|
資訊 | 工作執行作業已完成。 |
|
錯誤 | 發生一般錯誤，導致工作停止。詳情請參閱錯誤訊息。 |
用途
Google Chronicle 整合服務可讓您執行下列用途：
- Chronicle Windows 威脅調查與應變
- Security Command Center 和 Chronicle Cloud DIR
安裝應用實例
在 Google SecOps Content Hub 中，前往「Use Cases」(用途) 分頁。
在搜尋欄位中輸入用途名稱。
按一下用途。
按照安裝精靈中的設定步驟和指示操作。
完成後，所有必要元件都會安裝在 Google SecOps 機器上。如要完成安裝，請在與用途對應的教戰手冊中，設定「Initialization」(初始化) 區塊。
Chronicle Windows 威脅調查與應變
運用 Google SecOps 的強大功能，即時應對環境中的 Windows 威脅。資安團隊可透過 Google SecOps 專用 Threat Intelligence，搭配 Google SecOps 使用高保真度威脅情報服務。現在，環境中的實際威脅可以在短時間內自動分類並修復。
在 Google SecOps 中，依序前往「Response」 > 「Playbooks」。
選取「Google Chronicle - Windows Threats Investigation & Response」教戰手冊。應對手冊會在應對手冊設計工具檢視畫面中開啟。
按兩下「Set Initialization Block_1」。區塊設定對話方塊隨即開啟。
如要設定 playbook，請使用下列參數：
輸入參數 可能的值 說明 edr_product- CrowdStrike
- Carbon Black
- 無
要在應對手冊中使用的 EDR 產品。 itsm_product- Service Now
- Jira
- ZenDesk
- 無
要在應對手冊中使用的 ITSM 產品。Jira 需要在「Open Ticket」區塊中進行額外設定。 crowdstrike_use_spotlighttrue或false如果為 True，應對手冊會執行需要 Spotlight 授權 (安全漏洞資訊) 的 Crowdstrike 動作。use_mandianttrue或false如果為 True，應對手冊會執行 Mandiant 模塊。slack_user使用者名稱或電子郵件地址 Slack 使用者的使用者名稱或電子郵件地址。如未提供，則會略過 Slack 區塊。 按一下 [儲存]。區塊設定對話方塊會關閉。
在「Playbook 設計工具」窗格中，點選「儲存」。
如要測試使用案例中的自動化動作，請擷取套件中包含的測試案例。如果測試所用的資料在您的環境中無法使用，部分測試案例功能可能會失敗。
Security Command Center 和 Chronicle Cloud DIR
將 Security Command Center 與 Google SecOps 整合，分析人員就能調查 Security Command Center 偵測到的事件和威脅。
設定用途
您必須設定下列整合項目，才能完成這個應用實例：
- Siemplify
- 工具
- Mitre ATT&CK
- Google Cloud IAM
- Google Chronicle
- 函式
- Google Cloud Compute
- Email V2
- VirusTotal v3
Google Security Command Center 和 Mandiant 整合功能為選用。
請務必先安裝用途，再進行設定。
- 在 Google SecOps 中，前往「Playbooks」分頁。
- 選取「SCC & Chronicle Cloud DIR」應對手冊。
- 按兩下「Initialization block」(初始化區塊) 進行設定。
- 使用下列參數設定：
| 參數名稱 | 可能的值 | 說明 |
|---|---|---|
Mandiant_Enrichment |
true或false |
如果為 您必須設定 Mandiant 整合，才能完成這項設定。如果很少取得有意義的資訊，可以移除擴充功能。移除 enrichment 區塊可提高應對手冊的執行速度。 |
SCC_Enrichment |
true或false |
如果 您必須設定 Security Command Center 整合功能，才能完成這項設定。如果很少取得有意義的資訊，可以移除擴充功能。移除 enrichment 區塊可提高應對手冊的執行速度。 |
IAM_Enrichment |
true或false |
如果為 True，則教戰手冊會使用 IAM 功能進行額外擴充。如果很少取得有意義的資訊，可以移除擴充功能。移除 enrichment 區塊可提高應對手冊的執行速度。 |
Compute_Enrichment |
true或false |
如果 True，則應對手冊會使用 Compute Engine 功能，進一步充實內容。如果很少取得有意義的資訊，可以移除擴充功能。移除 enrichment 區塊可提高應對手冊的執行速度。 |
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。