Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

LogRhythm

本文說明如何將 LogRhythm 與 Google SecOps 整合。

自這項整合功能的第 10 版起，將不再提供警報連接器。LogRhythm 已淘汰 SOAP API，因此這個連接器也已淘汰。現在，整個整合功能都使用 LogRhythm 7.9 版推出的 REST API。

詳情請參閱「SOAP API (LogRhythm 7.x.x)」。

此外，整合功能已更新至 Python 第 3 版，因此不支援將這個連接器 (第 9 版) 與新版整合功能 (第 10 版) 搭配使用，否則會導致非預期的行為。

請按照建議流程進行這項更新：

將整合功能更新至第 10 版前，請先使用第 9 版整合功能，將所有「LogRhythm Alarms Connector」遷移至「LogRhythm - Rest API Alarms Connector」。
將整合項目更新至第 10 版。

在 Google Security Operations 中設定 LogRhythm 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱	類型	預設值	是否為必要	說明
API 根層級	字串	https://{IP}:8501	是	LogRhythm 執行個體的 API 根目錄。
API 權杖	密碼	不適用	否	LogRhythm 執行個體的 API 權杖。
CA 憑證檔案	字串	不適用	否	Base 64 編碼 CA 憑證檔案。
驗證 SSL	核取方塊	已取消勾選	是	如果已啟用，請確認 LogRhythm 伺服器連線的 SSL 憑證有效。

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 LogRhythm 的連線能力。

參數

不適用

用途

不適用

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果成功：「已成功使用提供的連線參數連線至 LogRhythm 伺服器！」動作應失敗並停止執行應對手冊：如果未成功：「Failed to connect to the LogRhythm server! 錯誤為 {0}".format(exception.stacktrace)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功：「已成功使用提供的連線參數連線至 LogRhythm 伺服器！」

動作應失敗並停止執行應對手冊：

如果未成功：「Failed to connect to the LogRhythm server! 錯誤為 {0}".format(exception.stacktrace)

一般

充實實體

說明

使用 LogRhythm 的資訊充實實體。支援的實體：主機名稱、IP 位址。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
建立洞察	核取方塊	已勾選	否	如果啟用，這項動作會建立一項洞察，其中包含擷取到的所有實體相關資訊。

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

{
    "id": 2,
    "entity": {
        "id": 2,
        "name": "EchoTestEntity"
    },
    "name": "EchoTestHost",
    "shortDesc": "LogRhythm ECHO",
    "riskLevel": "None",
    "threatLevel": "None",
    "threatLevelComments": "",
    "recordStatusName": "Active",
    "hostZone": "Internal",
    "location": {
        "id": -1
    },
    "os": "Windows",
    "osVersion": "Microsoft Windows NT 6.2.9200.0",
    "useEventlogCredentials": false,
    "osType": "Server",
    "dateUpdated": "2021-04-14T09:18:17.677Z",
    "hostRoles": [],
    "hostIdentifiers": [
        {
            "type": "IPAddress",
            "value": "10.1.2.50",
            "dateAssigned": "2021-04-14T09:17:31Z"
        },
        {
            "type": "WindowsName",
            "value": "EchoTestHost",
            "dateAssigned": "2021-04-14T09:17:31Z"
        }
    ]
}

實體資料充實

補充資料欄位名稱	邏輯 - 套用時機
說明	JSON 格式 (如有)
risk_level	JSON 格式 (如有)
threat_level	JSON 格式 (如有)
狀態	JSON 格式 (如有)
host_zone	JSON 格式 (如有)
os	JSON 格式 (如有)
類型	JSON 格式 (如有)
ips	JSON 格式 (如有)

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果一個實體有資料 (is_success=true)：「已成功使用 LogRhythm 的資訊擴充下列實體：{entity.identifier}」。如果無法取得某個實體的資料 (is_success=true)：「動作無法使用 LogRhythm 的資訊充實下列實體：{entity.identifier}」。如果所有實體都沒有資料 (is_success=false)：「提供的實體都沒有經過擴充。」動作應失敗並停止執行應對手冊：如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『擴充實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)	一般
案件總覽表格	表格標題：{entity.identifier}	實體

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果一個實體有資料 (is_success=true)：「已成功使用 LogRhythm 的資訊擴充下列實體：{entity.identifier}」。

如果無法取得某個實體的資料 (is_success=true)：「動作無法使用 LogRhythm 的資訊充實下列實體：{entity.identifier}」。

如果所有實體都沒有資料 (is_success=false)：「提供的實體都沒有經過擴充。」

動作應失敗並停止執行應對手冊：

如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『擴充實體』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

一般

案件總覽表格

表格標題：{entity.identifier}

實體

更新警報

說明

更新 LogRhythm 中的警報。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
警報 ID	字串	不適用	是	指定要在 LogRhythm 中更新的警報 ID。
狀態	DDL	請選取一項可能的值：請選取一項新增開啟作業中已提報已關閉虛驚一場已解決未解決已回報監控	否	指定警報狀態。
風險評分	整數	不適用	否	為警報指定新的風險分數。上限：100

參數顯示名稱

類型

預設值

是否為必要

說明

警報 ID

字串

不適用

是

指定要在 LogRhythm 中更新的警報 ID。

狀態

DDL

請選取一項

可能的值：

請選取一項
新增
開啟
作業中
已提報
已關閉
虛驚一場
已解決
未解決
已回報
監控

否

指定警報狀態。

風險評分

整數

不適用

否

為警報指定新的風險分數。

上限：100

執行日期

這項動作會對下列實體執行：

網址
IP 位址

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果回報 200 狀態碼 (is_success=true)：「已成功在 LogRhythm 更新 ID 為 {ID} 的警報。」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『更新鬧鐘』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果狀態碼不是 200：「執行『更新鬧鐘』動作時發生錯誤。Reason: {0}''.format(responseMessage)" 如果「Status」參數設為「Select One」，且未提供其他值：「Error executing action "Update Alarm". 原因：至少一個動作參數應提供值。	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果 回報 200 狀態碼 (is_success=true)：「已成功在 LogRhythm 更新 ID 為 {ID} 的警報。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『更新鬧鐘』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果狀態碼不是 200：「執行『更新鬧鐘』動作時發生錯誤。Reason: {0}''.format(responseMessage)"

如果「Status」參數設為「Select One」，且未提供其他值：「Error executing action "Update Alarm". 原因：至少一個動作參數應提供值。

一般

取得警報詳細資料

說明

在 LogRhythm 中取得警報詳細資料。這項動作可讓您從 LogRhythm Advanced Intelligence Engine (AIE) 事件取得詳細資料，並將這些資料擷取至 Google SecOps。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
警報 ID	CSV	不適用	是	指定要擷取詳細資料的警報 ID 清單，並以半形逗號分隔。
要擷取的事件數量上限	整數	50	否	指定要傳回的事件數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

[
  {
    "alarmRuleID": 98,
    "alarmId": 18755,
    "personId": -100,
    "alarmDate": "2021-08-17T13:36:39.78",
    "alarmStatus": 0,
    "alarmStatusName": "New",
    "entityId": 2,
    "entityName": "EchoTestEntity",
    "alarmRuleName": "LogRhythm Agent Heartbeat Missed",
    "lastUpdatedID": -100,
    "lastUpdatedName": "LogRhythm Administrator",
    "dateInserted": "2021-08-17T13:36:39.807",
    "dateUpdated": "2021-08-17T13:36:39.86",
    "associatedCases": [],
    "lastPersonID": null,
    "eventCount": 1,
    "eventDateFirst": "2021-08-17T13:36:37.057",
    "eventDateLast": "2021-08-17T13:36:37.057",
    "rbpMax": 39,
    "rbpAvg": 39,
    "smartResponseActions": null,
    "alarmDataCached": "N",
    "alarmEventsDetails": [
      {
        "account": "admin5",
        "action": "",
        "amount": null,
        "bytesIn": null,
        "bytesOut": null,
        "classificationId": 2600,
        "classificationName": "Compromise",
        "classificationTypeName": "Security",
        "command": "",
        "commonEventId": 1031412,
        "cve": "",
        "commonEventName": "AIE: CSC: Disabled Account Auth Success",
        "count": 1,
        "directionId": 0,
        "directionName": "Unknown",
        "domain": "",
        "duration": 0,
        "entityId": -1000001,
        "entityName": "",
        "group": "",
        "impactedEntityId": -100,
        "impactedEntityName": "Global Entity",
        "impactedHostId": -1,
        "impactedHostName": "",
        "impactedInterface": "",
        "impactedIP": null,
        "impactedLocation": {
          "countryCode": "",
          "name": "",
          "latitude": 0,
          "locationId": 0,
          "locationKey": "",
          "longitude": 0,
          "parentLocationId": 0,
          "recordStatus": "Deleted",
          "regionCode": "",
          "type": "NULL",
          "dateUpdated": "0001-01-01T00:00:00"
        },
        "impactedMAC": "",
        "impactedName": "",
        "impactedNATIP": "",
        "impactedNATPort": null,
        "impactedNetwork": {
          "beginIPRange": {
            "value": ""
          },
          "dateUpdated": "0001-01-01T00:00:00",
          "riskThreshold": "",
          "endIPRange": {
            "value": ""
          },
          "entityId": 0,
          "hostZone": "Unknown",
          "locationId": 0,
          "longDesc": "",
          "name": "",
          "networkId": 0,
          "recordStatus": "Deleted",
          "shortDesc": ""
        },
        "impactedPort": -1,
        "impactedZone": "Unknown",
        "itemsPacketsIn": 0,
        "itemsPacketsOut": 0,
        "logDate": "2021-08-16T09:51:16.993",
        "login": "admin5",
        "logMessage": "",
        "logSourceHostId": -1000001,
        "logSourceHostName": "AI Engine Server",
        "logSourceName": "AI Engine",
        "logSourceTypeName": "LogRhythm AI Engine",
        "messageId": 173885,
        "mpeRuleId": -1,
        "mpeRuleName": "",
        "normalDateMax": "0001-01-01T00:00:00",
        "objectName": "",
        "objectType": "",
        "originEntityId": -100,
        "originEntityName": "Global Entity",
        "originHostId": -1,
        "originHostName": "",
        "originInterface": "",
        "originIP": null,
        "originLocation": {
          "countryCode": "",
          "name": "",
          "latitude": 0,
          "locationId": 0,
          "locationKey": "",
          "longitude": 0,
          "parentLocationId": 0,
          "recordStatus": "Deleted",
          "regionCode": "",
          "type": "NULL",
          "dateUpdated": "0001-01-01T00:00:00"
        },
        "originMAC": "",
        "originName": "",
        "originNATIP": "",
        "originNATPort": null,
        "originNetwork": {
          "beginIPRange": {
            "value": ""
          },
          "dateUpdated": "0001-01-01T00:00:00",
          "riskThreshold": "",
          "endIPRange": {
            "value": ""
          },
          "entityId": 0,
          "hostZone": "Unknown",
          "locationId": 0,
          "longDesc": "",
          "name": "",
          "networkId": 0,
          "recordStatus": "Deleted",
          "shortDesc": ""
        },
        "originPort": -1,
        "originZone": "Unknown",
        "parentProcessId": "",
        "parentProcessName": "",
        "parentProcessPath": "",
        "policy": "",
        "priority": 91,
        "process": "",
        "processId": -1,
        "protocolId": -1,
        "protocolName": "",
        "quantity": 0,
        "rate": 0,
        "reason": "",
        "recipient": "",
        "result": "",
        "responseCode": "",
        "sender": "",
        "session": "",
        "recipientIdentityId": null,
        "recipientIdentityName": ""
      }
    ]
  }
]

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果一個實體回報 200 狀態碼 (is_success=true)：「已成功擷取 LogRhythm 中下列警示的詳細資料：{IDs}」如果找不到一個警示 (is_success=true)：「在 LogRhythm 中找不到下列警示：{IDs}」如果找不到所有警示 (is_success=false)：「None of the provided alarms were found in LogRhythm.」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等，系統會回報：「執行『取得警報詳細資料』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)	一般
案件總覽表格	資料表名稱：Alarm {ID} Events 表格欄：分類名稱分類類型名稱優先順序帳戶主機名稱	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果 一個實體回報 200 狀態碼 (is_success=true)：「已成功擷取 LogRhythm 中下列警示的詳細資料：{IDs}」

如果找不到一個警示 (is_success=true)：「在 LogRhythm 中找不到下列警示：{IDs}」

如果找不到所有警示 (is_success=false)：「None of the provided alarms were found in LogRhythm.」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等，系統會回報：「執行『取得警報詳細資料』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

一般

案件總覽表格

資料表名稱：Alarm {ID} Events

表格欄：

分類名稱
分類類型
名稱
優先順序
帳戶
主機名稱

一般

新增警報註解

說明

在 LogRhythm 中為警示新增註解。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
警報 ID	字串	不適用	是	指定要在 LogRhythm 中新增註解的警報 ID。
註解	字串	不適用	是	指定要新增至警示的註解。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

N/A

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果回報 200 狀態碼 (is_success=true)：「已成功在 LogRhythm 中為 ID 為 {ID} 的警報新增註解。」動作應失敗並停止執行應對手冊：如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『在警示中新增註解』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果狀態碼不是 200：「執行『在警示中新增註解』動作時發生錯誤。原因：{0}''.format(responseMessage)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果回報 200 狀態碼 (is_success=true)：「已成功在 LogRhythm 中為 ID 為 {ID} 的警報新增註解。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『在警示中新增註解』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果狀態碼不是 200：「執行『在警示中新增註解』動作時發生錯誤。原因：{0}''.format(responseMessage)

一般

列出案件證據

說明

在 LogRhythm 中列出案件證據。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
案件 ID	字串	不適用	是	指定要傳回證據清單的案件 ID。
狀態篩選器	CSV	不適用	否	指定以逗號分隔的證據狀態篩選器清單。可能的值：pending、completed、failed。如未提供，動作會傳回所有狀態的證據。
類型篩選器	CSV	不適用	否	指定以逗號分隔的證據類型篩選器清單。可能的值：alarm、userEvents、log、note、file。如未提供，動作會傳回所有類型的證據。
要傳回的證據數量上限	整數	50	否	指定要傳回的證據數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

[
    {
        "number": 4,
        "dateCreated": "2021-07-31T11:00:40.2433333Z",
        "dateUpdated": "2021-07-31T11:00:40.2433333Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "file",
        "status": "completed",
        "statusMessage": null,
        "text": "test",
        "pinned": false,
        "datePinned": null,
        "file": {
            "name": "UploadCustomListTemplate .csv",
            "size": 161
        }
    }
]

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果回報 200 狀態碼 (is_success=true)：「已成功在 LogRhythm 列出與 ID 為 {ID} 的案件相關的證據。」如果沒有可用的證據 (is_success=false)：「在 LogRhythm 中找不到 ID 為 {ID} 的案件證據。」動作應失敗並停止執行應對手冊：如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『列出案件證據』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果回報 404 狀態碼：「Error executing action "List Case Evidence". Reason: {0}''.format(message) 如果為「Status」參數提供無效的值：「Error executing action "List Case Evidence". 原因：參數「狀態篩選器」中提供的值無效：{invalid value}。可能的值：pending、completed、failed。如果為「Type」參數提供無效的值：「Error executing action "List Case Evidence". 原因：參數「Type」中提供的值無效：{invalid value}。可能的值：alarm、userEvents、log、note、file。	一般
案件總覽	案件 {case id} 證據類型狀態背景資訊

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果 回報 200 狀態碼 (is_success=true)：「已成功在 LogRhythm 列出與 ID 為 {ID} 的案件相關的證據。」

如果沒有可用的證據 (is_success=false)：「在 LogRhythm 中找不到 ID 為 {ID} 的案件證據。」

動作應失敗並停止執行應對手冊：

如果回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『列出案件證據』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 404 狀態碼：「Error executing action "List Case Evidence". Reason: {0}''.format(message)

如果為「Status」參數提供無效的值：「Error executing action "List Case Evidence". 原因：參數「狀態篩選器」中提供的值無效：{invalid value}。可能的值：pending、completed、failed。

如果為「Type」參數提供無效的值：「Error executing action "List Case Evidence". 原因：參數「Type」中提供的值無效：{invalid value}。可能的值：alarm、userEvents、log、note、file。

一般

案件總覽

案件 {case id} 證據

類型

狀態

背景資訊

將警報新增至案件

說明

在 LogRhythm 中，將警示新增至案件。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
案件 ID	字串	不適用	是	指定要新增警報的案件 ID。
警報 ID	CSV	不適用	是	指定要新增至案件的警報，並以半形逗號分隔。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

[
    {
        "number": 23,
        "dateCreated": "2021-08-11T09:02:17.0066667Z",
        "dateUpdated": "2021-08-11T09:02:17.0066667Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "alarm",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "alarm": {
            "alarmId": 15298,
            "alarmDate": "2021-07-30T02:07:29.813+03:00",
            "alarmRuleId": 1000,
            "alarmRuleName": "AIE: ISO-27001: File Monitoring Event-File Changes",
            "dateInserted": "2021-07-30T02:07:29.82+03:00",
            "entityId": -100,
            "entityName": "Global Entity",
            "riskBasedPriorityMax": 1
        }
    },
    {
        "number": 24,
        "dateCreated": "2021-08-11T09:03:18.65Z",
        "dateUpdated": "2021-08-11T09:03:18.65Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "alarm",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "alarm": {
            "alarmId": 15297,
            "alarmDate": "2021-07-30T02:07:28.353+03:00",
            "alarmRuleId": 1419,
            "alarmRuleName": "AIE: CCF: FIM General Activity",
            "dateInserted": "2021-07-30T02:07:29.82+03:00",
            "entityId": 1,
            "entityName": "Primary Site",
            "riskBasedPriorityMax": 0
        }
    }
]

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 中，新增與 ID 為 {ID} 的案件相關的警報證據。」如果回報 200 狀態碼 (is_success=true)：「提供的所有警報證據都已是 LogRhythm 中 ID 為 {ID} 的案件一部分。」動作應失敗並停止執行應對手冊：如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『將警報新增至案件』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果回報 404 狀態碼：「Error executing action "Add Alarm To Case". 原因：{0}''.format(message or details)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果 回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 中，新增與 ID 為 {ID} 的案件相關的警報證據。」

如果回報 200 狀態碼 (is_success=true)：「提供的所有警報證據都已是 LogRhythm 中 ID 為 {ID} 的案件一部分。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『將警報新增至案件』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 404 狀態碼：「Error executing action "Add Alarm To Case". 原因：{0}''.format(message or details)

一般

將檔案附加到案件

說明

在 LogRhythm 中將檔案附加至案件。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
案件 ID	字串	不適用	是	指定要附加檔案的案件 ID。
檔案路徑	CSV	不適用	是	請列出絕對檔案路徑，並以半形逗號分隔。
注意事項	字串	不適用	否	指定要與檔案一併新增至案件的附註。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

[
    {
        "number": 26,
        "dateCreated": "2021-08-11T09:17:33.91Z",
        "dateUpdated": "2021-08-11T09:17:33.91Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "file",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "file": {
            "name": "Get Deep Visibility Query Result_JsonResultSample.json",
            "size": 4979
        }
    }
]

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果一個檔案路徑完成 (is_success=true)：「已成功將下列檔案新增至 LogRhythm 中 ID 為 {ID} 的案件。」如果一個檔案路徑失敗 (is_success= true)：「動作無法將下列檔案新增至 LogRhythm 中 ID 為 {ID} 的案件：{failed file paths}」。如果所有檔案路徑都失敗 (is_success=false)：「未將任何檔案新增至 LogRhythm 中 ID 為 {ID} 的案件。」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『將檔案附加至案件』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果回報 404 狀態碼：「Error executing action "Attach File To Case". Reason: {0}''.format(message) 如果發生逾時：「Error executing action "Attach File To Case". 原因：動作逾時。下列檔案仍在處理中：{pending files}。請在 IDE 中延長逾時時間。注意：新增相同檔案會在 LogRhythm 中建立個別項目。	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果一個檔案 路徑完成 (is_success=true)：「已成功將下列檔案新增至 LogRhythm 中 ID 為 {ID} 的案件。」

如果一個檔案路徑失敗 (is_success= true)：「動作無法將下列檔案新增至 LogRhythm 中 ID 為 {ID} 的案件：{failed file paths}」。

如果所有檔案路徑都失敗 (is_success=false)：「未將任何檔案新增至 LogRhythm 中 ID 為 {ID} 的案件。」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『將檔案附加至案件』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 404 狀態碼：「Error executing action "Attach File To Case". Reason: {0}''.format(message)

如果發生逾時：「Error executing action "Attach File To Case". 原因：動作逾時。下列檔案仍在處理中：{pending files}。請在 IDE 中延長逾時時間。注意：新增相同檔案會在 LogRhythm 中建立個別項目。

一般

在案件中新增附註

說明

在 LogRhythm 中為案件新增附註。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
案件 ID	字串	不適用	是	指定要新增附註的案件 ID。
注意事項	字串	不適用	是	指定要新增至案件的附註。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

{
    "number": 29,
    "dateCreated": "2021-08-11T12:21:11.5547306Z",
    "dateUpdated": "2021-08-11T12:21:11.5547306Z",
    "createdBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "type": "note",
    "status": "completed",
    "statusMessage": null,
    "text": "asdasd",
    "pinned": false,
    "datePinned": null
}

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 中為 ID 為 {ID} 的案件新增附註。」動作應失敗並停止執行應對手冊：如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『在案件中新增附註』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果回報 404 狀態碼：「Error executing action "Add Note To Case". Reason: {0}''.format(message)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 中為 ID 為 {ID} 的案件新增附註。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『在案件中新增附註』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 404 狀態碼：「Error executing action "Add Note To Case". Reason: {0}''.format(message)

一般

建立客服案件

說明

在 LogRhythm 中建立案件。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
名稱	字串	不適用	是	指定案件名稱。
優先順序	DDL	1 可能的值： 1 2 3 4 5	是	指定案件的優先順序。
截止日	字串	不適用	否	指定案件的到期日。格式：ISO 8601 例如：2021-04-23T12:38Z
說明	字串	不適用	否	指定案件說明。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

{
    "id": "BA210B5A-0E4F-4E07-A770-8C24FB82747A",
    "number": 2,
    "externalId": "",
    "dateCreated": "2021-08-11T12:37:42.8942168Z",
    "dateUpdated": "2021-08-11T12:37:42.8942168Z",
    "dateClosed": null,
    "owner": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "name": "System Compromise",
    "status": {
        "name": "Created",
        "number": 1
    },
    "priority": 1,
    "dueDate": "2019-08-24T14:15:22Z",
    "resolution": null,
    "resolutionDateUpdated": null,
    "resolutionLastUpdatedBy": null,
    "summary": "Investigated a potential system compromise. More details at http://example.com/.",
    "entity": {
        "number": -100,
        "name": "Global Entity",
        "fullName": "Global Entity"
    },
    "collaborators": [
        {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        }
    ],
    "tags": []
}

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 建立案件 {number}。」動作應失敗並停止執行應對手冊：如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『建立案件』動作時發生錯誤。原因：{0}''.format(error.Stacktrace) 如果回報 404 狀態碼：「Error executing action "Create Case". Reason: {0}''.format(message)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 建立案件 {number}。」

動作應失敗並停止執行應對手冊：

如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『建立案件』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

如果回報 404 狀態碼：「Error executing action "Create Case". Reason: {0}''.format(message)

一般

可更新客服案件

說明

在 LogRhythm 中更新案件。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
案件 ID	字串	不適用	是	指定要更新的案件 ID。
名稱	字串	不適用	否	指定案件的新名稱。
優先順序	DDL	請選取一項可能的值： 1 2 3 4 5	否	為案件指定新的優先順序。
截止日	字串	不適用	否	指定案件的新到期日。格式：ISO 8601 例如：2021-04-23T12:38Z
說明	字串	不適用	否	指定新的案件說明。
解析度	字串	不適用	否	指定案件解決方式。
狀態	DDL	請選取一項可能的值：建立時間已完成事件已處理已解決	否	指定案件的新狀態。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

{
    "id": "BA210B5A-0E4F-4E07-A770-8C24FB82747A",
    "number": 2,
    "externalId": "",
    "dateCreated": "2021-08-11T12:37:42.8942168Z",
    "dateUpdated": "2021-08-11T12:48:52.9765558Z",
    "dateClosed": null,
    "owner": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "name": "System Compromise",
    "status": {
        "name": "Created",
        "number": 1
    },
    "priority": 1,
    "dueDate": "2019-08-24T14:15:22Z",
    "resolution": null,
    "resolutionDateUpdated": null,
    "resolutionLastUpdatedBy": null,
    "summary": "Investigated a potential system compromise. More details at http://example.com/.",
    "entity": {
        "number": -100,
        "name": "Global Entity",
        "fullName": "Global Entity"
    },
    "collaborators": [
        {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        }
    ],
    "tags": []
}

實體資料充實

不適用

深入分析

不適用

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 更新案件 {ID}。」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『更新案件』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)" 如果回報 404 狀態碼：「Error executing action "Update Case". Reason: {0}''.format(message) 如果狀態碼為 400：「執行『更新案件』動作時發生錯誤。原因：{0}''.format(validationErrors)" 如果「狀態」或「優先順序」參數設為「選取一項」，且未提供其他值：「執行『更新案件』動作時發生錯誤。原因：至少一個動作參數應提供值。	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果 回報 201 狀態碼 (is_success=true)：「已成功在 LogRhythm 更新案件 {ID}。」

動作應失敗並停止執行應對手冊：

如果 發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『更新案件』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

如果回報 404 狀態碼：「Error executing action "Update Case". Reason: {0}''.format(message)

如果狀態碼為 400：「執行『更新案件』動作時發生錯誤。原因：{0}''.format(validationErrors)"

如果「狀態」或「優先順序」參數設為「選取一項」，且未提供其他值：「執行『更新案件』動作時發生錯誤。原因：至少一個動作參數應提供值。

一般

下載案件檔案

說明

在 LogRhythm 下載與案件相關的檔案。

參數

參數顯示名稱	類型	預設值	是否為必要	說明
案件 ID	字串	不適用	是	指定要下載檔案的案件 ID。
下載資料夾路徑	字串	不適用	是	指定要儲存案件檔案的資料夾路徑。
覆寫	布林值	否	是	如果啟用，動作會覆寫同名檔案。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果

指令碼執行結果名稱	價值選項	範例
is_success	True/False	is_success=False

JSON 結果

{"absolute_file_paths": ["file_path_1","file_path_2"]}
``` ##### Entity
Enrichment

N/A

#####  Insights

N/A

#####  Case Wall

<table>
<thead>
<tr>
<th><strong>Result type</strong></th>
<th><strong>Value/Description</strong></th>
<th><strong>Type</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>Output message*</td>
<td><p><strong>The action should not fail nor stop a playbook execution:</strong></p><p><strong></strong></p><p><em>If the</em> <strong></strong> <em>200 status code for all cases is reported (is_success=true):</em> "Successfully downloaded files related to case with ID {ID} in LogRhythm."</p><p></p><p><em>If no files are found (is_success=true): "</em>No related files were found for the case with ID {ID} in LogRhythm."</p><p></p><p><strong>The action should fail and stop a playbook execution:</strong></p><p><strong></strong></p><p><em>If a</em> <strong></strong> <em>fatal error, like wrong credentials, no connection to the server, other is reported:</em> "Error executing action "Download Case Files". Reason: {0}''.format(error.Stacktrace)"</p><p></p><p><em>If the 404 status code is reported:</em> "Error executing action "Download Case Files". Reason: {0}''.format(message)"</p><p></p><p><em>If a file with the same name already exists, but "Overwrite" is set to false:</em> "Error executing action "Download Case Files". Reason: files with path {0} already exist. Please delete the files or set "Overwrite" to true."</p></td>
<td>General</td>
</tr>
</tbody>
</table>

### List Entity Events

#### Description

List events related to entities in LogRhythm. Supported entities: Hostname, IP
Address, User, CVE, Hash, URL.

Note: This action runs as async. Adjust the script timeout value in the
Google SecOps IDE for the action as needed.

#### Parameters

<table>
<thead>
<tr>
<th><strong>Parameter Display Name</strong></th>
<th><strong>Type</strong></th>
<th><strong>Default Value</strong></th>
<th><strong>Is Mandatory</strong></th>
<th><strong>Description</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>Time Frame</td>
<td>DDL</td>
<td><p>Last Hour</p><p><strong></strong></p><p>Possible Values: </p><ul><li>Last Hour</li><li>Last 6 Hours</li><li>Last 24 Hours</li><li>Last Week</li><li>Last Month</li><li>Custom</li></ul></td>
<td>No</td>
<td>Name of the watchlist from which you want to remove values.</td>
</tr>
<tr>
<td>Start Time</td>
<td>String</td>
<td>N/A</td>
<td>No</td>
<td><p>Specify the start time for the results.</p><p></p><p>This parameter is mandatory, if "Custom" is selected for the "Time Frame" parameter. </p><p></p><p>Format: ISO 8601</p><p></p><p>Example: 2021-04-23T12:38Z</p></td>
</tr>
<tr>
<td>End Time</td>
<td>String</td>
<td>N/A</td>
<td>No</td>
<td><p>Specify the end time for the results. </p><p></p><p>If nothing is provided and "Custom" is selected for the "Time Frame" parameter then this parameter uses current time.</p><p></p><p>Format: ISO 8601</p></td>
</tr>
<tr>
<td>Sort Order</td>
<td>DDL</td>
<td><p>Datetime ASC <strong></strong> </p><p></p><p>Possible values:</p><ul><li>Datetime ASC</li><li>Datetime DESC</li><li>Risk ASC</li><li>RiskDESC</li></ul></td>
<td>No</td>
<td>Specify the sorting logic for the query.</td>
</tr>
<tr>
<td>Max Events To Return</td>
<td>Integer</td>
<td>50</td>
<td>No</td>
<td>Specify the number of events to return.</td>
</tr>
</tbody>
</table>

#### Run On

This action runs on the following entities:

*   Hostname
*   IP Address
*   User
*   CVE
*   Hash
*   URL

#### Action Results

#####  Script Result

<table>
<thead>
<tr>
<th><strong>Script Result Name</strong></th>
<th><strong>Value Options</strong></th>
<th><strong>Example</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>is_success</td>
<td>True/False</td>
<td>is_success:False</td>
</tr>
</tbody>
</table>

#####  JSON Result

```json
{
    "kBytes": 2521.025390625,
    "kBytesIn": 2500.0,
    "kBytesOut": 21.025390625,
    "outboundKBytes": 21.025390625,
    "impactedHostTotalKBytes": 2521.025390625,
    "keyField": "messageId",
    "count": 1,
    "classificationId": 3200,
    "classificationName": "Error",
    "classificationTypeName": "Operations",
    "commonEventName": "HTTP 504 : Server Error - Gateway Time-Out",
    "commonEventId": 8938,
    "direction": 3,
    "directionName": "External",
    "entityId": 2,
    "entityName": "EchoTestEntity",
    "rootEntityId": 2,
    "rootEntityName": "EchoTestEntity",
    "impactedEntityId": -100,
    "impactedEntityName": "Global Entity",
    "impactedHost": "192.0.2.11",
    "impactedInterface": "0",
    "impactedIp": "192.0.2.11",
    "impactedPort": 80,
    "impactedZoneName": "External",
    "indexedDate": 1629460029041,
    "insertedDate": 1629123439811,
    "logDate": 1629134239789,
    "logMessage": "CISCONGFW EVENT Ev_Id=436 Ev",
    "logSourceHost": "EchoTestHost",
    "logSourceHostId": 2,
    "logSourceHostName": "EchoTestHost",
    "logSourceId": 15,
    "logSourceName": "Echo_2_1000107",
    "logSourceType": 1000107,
    "logSourceTypeName": "Flat File - Cisco NGFW",
    "messageId": "23066",
    "messageTypeEnum": 2,
    "mpeRuleId": 1176829,
    "mpeRuleName": "HTTP 504 : Server Error : Gateway Timeout",
    "normalDate": 1629123439791,
    "normalDateMin": 1629123439791,
    "normalMsgDateMax": 1629123439791,
    "normalDateHour": 1629122400000,
    "originEntityId": -100,
    "originEntityName": "Global Entity",
    "originHostId": -1,
    "originHost": "192.0.2.12",
    "originInterface": "0",
    "originIp": "192.0.2.12",
    "originPort": 14042,
    "originZone": 3,
    "originZoneName": "External",
    "priority": 38,
    "process": "5",
    "processId": 300003,
    "protocolId": 6,
    "protocolName": "TCP",
    "serviceId": 1388,
    "serviceName": "HTTP",
    "portProtocol": "HTTP",
    "session": "436",
    "severity": "57",
    "url": "http://www.google.com/",
    "vendorMessageId": "504",
    "version": "2",
    "status": "504"
}

案件總覽

結果類型	值 / 說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：如果找到一個實體的資料 (is_success=true)：「已成功擷取 LogRhythm 中下列實體的事件：{entity.identifier}。」如果一個實體失敗 (is_success=true)：「動作無法擷取 LogRhythm 中下列實體的事件：{entity.identifier}。」如果所有實體都失敗 (is_success=false)：「動作無法在 LogRhythm 擷取所提供實體的事件。」如果至少有一個實體沒有資料 (is_success=true)：「在 LogRhythm 中找不到下列實體的事件：{entity.identifier}。」如果所有實體都沒有資料 (is_success=false)：「在 LogRhythm 中找不到所提供實體的事件。」如果一個實體發生逾時 (is_success=true)：「動作在執行期間發生逾時。待處理實體：{entities that didn't return data}。請在 IDE 中延長動作逾時時間。」非同步訊息：「正在等待下列實體的事件資訊：{entity.identifier}」動作應失敗並停止執行應對手冊：如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『列出實體事件』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)" 如果所有實體都逾時 (is_success=false)：「執行『列出實體事件』動作時發生錯誤。原因：執行動作時逾時。未擷取到所提供實體的事件資訊。請在 IDE 中延長動作逾時時間。」如果「開始時間」參數空白，且「Time Frame」參數設為「Custom」(失敗)：「Error executing action "". Reason: "Start Time" should be provided, when "Custom" is selected in the "Time Frame" parameter.」如果「開始時間」參數的值大於「結束時間」參數 (失敗)：「執行動作「」時發生錯誤。原因：「結束時間」必須晚於「開始時間」。如果傳回的項目數量上限不大於 0：「Error executing action "". Reason: "Max Events To Return" should be greater than 0.	一般
案件總覽表格	資料表名稱：{entity.identifier} 表格欄：分類："classificationName" 事件名稱：「commonEventName」日期：轉換為 ISO (insertedDate) 受影響的主機：impactedHost 受影響的 IP：impactedIP 登入：login 雜湊：hash 網址：url 優先順序：優先 CVE：CVE 來源 Host: originHost 來源 IP：originIP 注意：如果至少有一筆記錄含有值，系統就會顯示這個資料欄。	實體

結果類型

值 / 說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果找到一個實體的資料 (is_success=true)：「已成功擷取 LogRhythm 中下列實體的事件：{entity.identifier}。」

如果一個實體失敗 (is_success=true)：「動作無法擷取 LogRhythm 中下列實體的事件：{entity.identifier}。」

如果所有實體都失敗 (is_success=false)：「動作無法在 LogRhythm 擷取所提供實體的事件。」

如果至少有一個實體沒有資料 (is_success=true)：「在 LogRhythm 中找不到下列實體的事件：{entity.identifier}。」

如果所有實體都沒有資料 (is_success=false)：「在 LogRhythm 中找不到所提供實體的事件。」

如果一個實體發生逾時 (is_success=true)：「動作在執行期間發生逾時。待處理實體：{entities that didn't return data}。請在 IDE 中延長動作逾時時間。」

非同步訊息：「正在等待下列實體的事件資訊：{entity.identifier}」

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器，系統會回報其他錯誤：「執行『列出實體事件』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)"

如果所有實體都逾時 (is_success=false)：「執行『列出實體事件』動作時發生錯誤。原因：執行動作時逾時。未擷取到所提供實體的事件資訊。請在 IDE 中延長動作逾時時間。」

如果「開始時間」參數空白，且「Time Frame」參數設為「Custom」(失敗)：「Error executing action "". Reason: "Start Time" should be provided, when "Custom" is selected in the "Time Frame" parameter.」

如果「開始時間」參數的值大於「結束時間」參數 (失敗)：「執行動作「」時發生錯誤。原因：「結束時間」必須晚於「開始時間」。

如果傳回的項目數量上限不大於 0：「Error executing action "". Reason: "Max Events To Return" should be greater than 0.

一般

案件總覽表格

資料表名稱：{entity.identifier}

表格欄：

分類："classificationName"
事件名稱：「commonEventName」日期：轉換為 ISO (insertedDate)
受影響的主機：impactedHost
受影響的 IP：impactedIP 登入：login 雜湊：hash 網址：url
優先順序：優先 CVE：CVE 來源
Host: originHost
來源 IP：originIP

注意：如果至少有一筆記錄含有值，系統就會顯示這個資料欄。

實體

連接器

LogRhythm Cases 連接器

說明

從 LogRhythm 提取案件。

連接器參數

參數顯示名稱	類型	預設值	是否為必要	說明
產品欄位名稱	字串	不適用	是	輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱	字串	event_type	是	輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱	字串	""	否	說明儲存環境名稱的欄位名稱。如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式	字串	.*	否	要對「環境欄位名稱」欄位中的值執行的規則運算式模式。預設值為 .*，可擷取所有值並傳回未變更的值。用於允許使用者透過規則運算式邏輯操控環境欄位。如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒)	整數	180	是	執行目前指令碼的 Python 程序逾時限制。
API 根	字串	https://{IP}:8501	是	LogRhythm 執行個體的 API 根目錄。
API 權杖	密碼	不適用	是	LogRhythm API 權杖。
回溯天數上限	整數	1	是	要擷取案件的天數。
擷取優先順序最低	整數	不適用	否	擷取案件時，要使用的最低優先順序。如未提供，則會擷取所有優先順序的案件。可能的值：1 到 5。
快訊數量上限	整數	10	是	每次連接器疊代要處理的案件數量。
CA 憑證檔案	字串	不適用	否	Base 64 編碼 CA 憑證檔案。
將許可清單當做黑名單使用	核取方塊	已取消勾選	是	如果啟用，許可清單會做為黑名單使用。
驗證 SSL	核取方塊	已取消勾選	是	如果已啟用，請確認 LogRhythm 伺服器連線的 SSL 憑證有效。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼	不適用	否	用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

LogRhythm - Rest API 警報連接器

說明

使用 REST API 從 LogRhythm 提取警報。

在 Google SecOps 設定 LogRhythm - Rest API Alarms 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱	類型	預設值	為必填項目	說明
產品欄位名稱	字串	產品名稱	是	輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱	字串	classificationTypeName	是	輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱	字串	""	否	說明儲存環境名稱的欄位名稱。如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式	字串	.*	否	要對「環境欄位名稱」欄位中的值執行的規則運算式模式。預設值為 .*，可擷取所有值並傳回未變更的值。用於允許使用者透過規則運算式邏輯操控環境欄位。如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒)	整數	180	是	執行目前指令碼的 Python 程序逾時限制。
API 根層級	字串	https://{IP}:8501	是	LogRhythm 執行個體的 API 根目錄。
API 權杖	密碼	不適用	是	LogRhythm API 權杖。
往回查看時數上限	整數	1	否	要擷取快訊的時間範圍 (以小時為單位)。
要擷取的鬧鐘數量上限	整數	10	否	每次連接器疊代要處理的警告數量。
將許可清單當做黑名單使用	核取方塊	已取消勾選	是	如果啟用，許可清單會做為黑名單使用。
驗證 SSL	核取方塊	已取消勾選	是	如果已啟用，請確認 LogRhythm 伺服器連線的 SSL 憑證有效。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼	不適用	否	用於驗證的 Proxy 密碼。

連接器規則

Proxy 支援

連接器支援 Proxy。

工作

同步處理案件留言

說明

這項工作會同步 LogRhythm 案件和 Google SecOps 案件中的註解。

參數

參數顯示名稱	類型	預設值	為必填項目	說明
API 根	字串	https://{IP}:8501	是	LogRhythm 執行個體的 API 根目錄。
API 權杖	密碼	不適用	是	LogRhythm API 權杖。
CA 憑證檔案	字串	不適用	否	Base 64 編碼 CA 憑證檔案。
驗證 SSL	核取方塊	已勾選	是	如果已啟用，請確認 LogRhythm 伺服器連線的 SSL 憑證有效。

同步處理已關閉的案件

說明

這項工作會同步處理已關閉的 LogRhythm 案件和 Google SecOps 警示。

參數

參數顯示名稱	類型	預設值	為必填項目	說明
API 根	字串	https://{IP}:8501	是	LogRhythm 執行個體的 API 根目錄。
API 權杖	密碼	不適用	是	LogRhythm API 權杖。
CA 憑證檔案	字串	不適用	否	Base 64 編碼 CA 憑證檔案。
往回查看時數上限	整數	24	否	指定要同步處理過去幾小時的狀態。
驗證 SSL	核取方塊	已勾選	是	如果已啟用，請確認 LogRhythm 伺服器連線的 SSL 憑證有效。

同步處理警報註解

說明

這項工作會同步處理 LogRhythm 警報和 Google SecOps 案件中的註解。

參數

參數顯示名稱	類型	預設值	為必填項目	說明
API 根	字串	https://{IP}:8501	是	LogRhythm 執行個體的 API 根目錄。
API 權杖	密碼	不適用	是	LogRhythm API 權杖。
CA 憑證檔案	字串	不適用	否	Base 64 編碼 CA 憑證檔案。
驗證 SSL	核取方塊	已勾選	是	如果已啟用，請確認 LogRhythm 伺服器連線的 SSL 憑證有效。

同步已關閉的警報

說明

這項工作會同步處理已關閉的 LogRhythm 警報和 Google SecOps 警示。

參數

參數顯示名稱	類型	預設值	為必填項目	說明
API 根	字串	https://{IP}:8501	是	LogRhythm 執行個體的 API 根目錄。
API 權杖	密碼	不適用	是	LogRhythm API 權杖。
CA 憑證檔案	字串	不適用	否	Base 64 編碼 CA 憑證檔案。
往回查看時數上限	整數	24	否	指定要同步處理過去幾小時的狀態。
驗證 SSL	核取方塊	已勾選	是	如果已啟用，請確認連至 LogRhythm 伺服器的 SSL 憑證有效。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。