Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

将 Palo Alto Cortex XDR 与 Google SecOps 集成

本文档介绍了如何将 Palo Alto Cortex XDR 与 Google Security Operations 集成。

准备工作

如需获取 Cortex XDR API 密钥，您必须从 Palo Alto Networks Cortex XDR 账号获取凭据

完成以下步骤，获取 Cortex XDR API 密钥：

转到设置。
选择 + 新建密钥。
选择要生成的 API 密钥类型（仅限 高级版）。
提供说明 API 密钥用途的注释（可选）。
选择您对此密钥的访问权限级别。
生成 API 密钥。
复制 API 密钥，然后点击完成。

如需获取 Cortex XDR API 密钥 ID，请执行以下操作：

前往 API 密钥表 > “ID”列。
记下您的相应 ID 编号。此值表示 x-xdr-auth-id:{key_id} 令牌。

集成参数

使用以下参数配置集成：

参数显示名称	类型	默认值	为必填项	说明
API 根	字符串	https://api-{fqdn}	是	Palo Alto Networks Cortex XDR API 根。注意：FQDN 表示与每个租户关联的唯一主机和域名。生成 API 密钥和密钥 ID 时，系统会为您分配一个单独的 FQDN。
API 密钥	密码	不适用	是	一个唯一标识符，用作对 API 调用进行身份验证所需的“Authorization:{key}”标头。根据您的安全等级，您可以从 Cortex XDR 应用生成高级 API 密钥。
API 密钥 ID	整数	3	是	用于对 API 密钥进行身份验证的唯一令牌。运行 API 调用时使用的标头为“x-xdr-auth-id:{key_id}”。
验证 SSL	复选框	尚未核查	是	用于验证 SSL/TLS 连接的选项。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅在工作桌上响应待处理的操作和在案例中运行手动操作。

为突发事件添加评论

使用向突发事件添加评论操作，向 Palo Alto Cortex XDR 中的突发事件添加评论。

此操作不会在 Google SecOps 实体上运行。

操作输入

向突发事件添加评论操作需要以下参数：

参数说明

参数	说明
`Incident ID`	必填。要更新的突发事件的 ID。
`Comment`	必填。要添加到突发事件的评论。

Incident ID

必填。

要更新的突发事件的 ID。

Comment

必填。

要添加到突发事件的评论。

操作输出

向突发事件添加评论操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

向突发事件添加评论操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully added a comment to an incident with ID COMMENT_ID in Palo Alto XDR.`	操作成功。
`Error executing action "Add Comment To Incident". Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭据。

Successfully added a comment to an incident with ID COMMENT_ID in Palo Alto XDR.

操作成功。

Error executing action "Add Comment To Incident". Reason:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用向突发事件添加评论操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

将哈希添加到屏蔽名单

使用此操作可将未列出的文件添加到指定的屏蔽名单中。

参数

参数显示名称	类型	默认值	是否为必填项	说明
评论	字符串	不适用	否	提供其他评论，以表示与该操作相关的其他信息
突发事件 ID	字符串	不适用	否	指定这些添加的哈希值所关联的突发事件 ID

运行时间

此操作在 Filehash 实体上运行

操作执行结果

此操作可提供以下部分中详述的结果。

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

{

"success": ["hashes that were added"],

"already_existed": ["hashes that already existed"]

"failed": ["hashes that failed"]

"unsupported": ["unsupported hashes"]

}

案例墙

结果类型	值/说明	类型
输出消息*	操作不应失败，也不应停止 playbook 执行：对于已成功添加的实体：“已成功将以下实体添加到屏蔽名单：”+successful_entities_list 对于不成功的实体：“无法将以下实体添加到屏蔽名单：”+unsuccessful_entities_list。如果提供了一个不受支持类型的哈希 (is_success=true)：不支持以下哈希值：{unsupported hashes} 如果提供的所有哈希值都是不受支持的类型 (is_success=false)：提供的哈希值都不受支持。操作应失败并停止 Playbook 执行： "Failed to perform action "Add Hashes to Blacklist" {0}".format(exception.stacktrace)	常规

结果类型

值/说明

类型

输出消息*

操作不应失败，也不应停止 playbook 执行：

对于已成功添加的实体：“已成功将以下实体添加到屏蔽名单：”+successful_entities_list

对于不成功的实体：“无法将以下实体添加到屏蔽名单：”+unsuccessful_entities_list。

如果提供了一个不受支持类型的哈希 (is_success=true)：

不支持以下哈希值：{unsupported hashes}

如果提供的所有哈希值都是不受支持的类型 (is_success=false)：提供的哈希值都不受支持。

操作应失败并停止 Playbook 执行：
"Failed to perform action "Add Hashes to Blacklist" {0}".format(exception.stacktrace)

常规

下载文件

使用下载文件操作从 Palo Alto XDR 中的远程端点下载文件。

此操作在以下 Google SecOps 实体上运行：

ADDRESS
HOSTNAME

操作输入

下载文件操作需要以下参数：

参数	说明
`File Paths`	必需目标端点上要下载的绝对文件路径的逗号分隔列表。
`Download Folder Path`	必需系统上应存储下载文件的本地文件夹路径。默认值为 `/tmp`。
`Overwrite`	必需如果选中此选项，该操作会覆盖目标文件夹中具有相同名称的所有现有本地文件。默认情况下，该环境处于停用状态。
`Incident ID`	可选要与此文件下载活动关联的 Cortex XDR 突发事件的 ID，以便结果清晰地显示在突发事件时间轴中。
`Agent ID`	可选要从中下载文件的目标代理 ID 的逗号分隔列表。此参数与提供的实体上下文一起发挥作用，并对实体上下文进行过滤。
`Unzip File`	必需如果选择此选项，该操作会解压缩下载的文件，并以原始格式保存。否则，文件会保存为 ZIP 归档文件。

操作输出

下载文件操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用下载文件操作时收到的 JSON 结果输出：

{
  "Entity": "10.10.10.10",
  "EntityResult": {
    "download_file_path": [
      "/tmp/sample.exe"
    ],
    "errored_file_paths": [
      "/tmp/missing.exe"
    ],
    "errors": {
      "/tmp/missing.exe": "File not found on endpoint"
    }
  }
}

输出消息

下载文件操作提供以下输出消息：

输出消息消息说明

Successfully downloaded target files from the specified endpoints via Palo Alto Cortex XDR. 操作成功。[cite: 31]

输出消息	消息说明
`Successfully downloaded target files from the specified endpoints via Palo Alto Cortex XDR.`	操作成功。[cite: 31]
`Error executing action "Download File". Reason: ERROR_REASON`	操作失败。请检查网络连接，验证端点代理状态，确保调整脚本超时限制，或检查目标文件权限。

Error executing action "Download File". Reason: 
      ERROR_REASON

操作失败。

请检查网络连接，验证端点代理状态，确保调整脚本超时限制，或检查目标文件权限。

脚本结果

下表介绍了使用下载文件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

丰富实体

根据 Palo Alto Networks Cortex XDR 中的信息丰富 Google SecOps 主机和 IP 实体。

参数

不适用

使用场景

不适用

运行时间

此操作将在以下实体上运行：

IP 地址
主机名

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

扩充项字段名称	Logic-When to apply
网域	如果存在于 JSON 结果中，则返回
endpoint_name	如果存在于 JSON 结果中，则返回
endpoint_type	如果存在于 JSON 结果中，则返回
ip	如果存在于 JSON 结果中，则返回
endpoint_version	如果存在于 JSON 结果中，则返回
install_date	如果存在于 JSON 结果中，则返回
installation_package	如果存在于 JSON 结果中，则返回
is_isolated	如果存在于 JSON 结果中，则返回
group_name	如果存在于 JSON 结果中，则返回
alias	如果存在于 JSON 结果中，则返回
active_directory	如果存在于 JSON 结果中，则返回
endpoint_status	如果存在于 JSON 结果中，则返回
endpoint_id	如果存在于 JSON 结果中，则返回
content_version	如果存在于 JSON 结果中，则返回
os_type	如果存在于 JSON 结果中，则返回
last_seen	如果存在于 JSON 结果中，则返回
first_seen	如果存在于 JSON 结果中，则返回
用户	如果存在于 JSON 结果中，则返回

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

[{
    "EntityResult":
       {
         "domain": "st2.local",
         "endpoint_name": "ST2-PC-1-14",
         "endpoint_type": "AGENT_TYPE_SERVER",
         "ip": null,
         "endpoint_version": "6.1.0.9915",
         "install_date": 1568103207592,
         "installation_package": "papi-test",
         "is_isolated": null,
         "group_name": null,
         "alias": "",
         "active_directory": null,
         "endpoint_status": "DISCONNECTED",
         "endpoint_id": "4ce98b4d8d2b45a9a1d82dc71f0d1304",
         "content_version": "",
         "os_type": "AGENT_OS_WINDOWS",
         "last_seen": 1568103207592,
         "first_seen": 1568103207591,
         "users": ["TEST USER"]
        },
    "Entity": "PC01"
 }]

执行 XQL 搜索

使用 Execute XQL Search 操作在 Palo Alto Cortex XDR 中使用 XQL 提取信息。

此操作不会在 Google SecOps 实体上运行。

操作输入

执行 XQL 搜索操作需要以下参数：

参数	说明
`Query`	必填。要在 Palo Alto Cortex XDR 中执行的查询。请勿在查询中提供 `limit`。该操作会从 `Max Results To Return` 中检索此值。
`Time Frame`	可选。要在 Palo Alto Cortex XDR 中执行的查询。请勿在查询中提供 `limit`。该操作会从 `Max Results To Return` 中检索此值。可能的值如下： `Last Hour` `Last 6 Hours` `Last 24 Hours` `Last Week` `Last Month` `Custom` 默认值为 `Last Hour`。
`Start Time`	可选。结果的开始时间，采用 ISO 8601 格式。如果为 `Time Frame` 选择了 `Custom`，则此参数是必需的。
`End Time`	可选。结果的结束时间，采用 ISO 8601 格式。如果为 `Time Frame` 选择了 `Custom`，但未提供任何值，则操作会使用当前时间。
`Max Results To Return`	可选。该操作会将 `limit` 附加到提供的查询。最大值为 `1000`。默认值为 `50`。

操作输出

Execute XQL Search 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用执行 XQL 搜索操作时收到的 JSON 结果输出：

{
    "events": [
        {
            "event_id": "AAABmRQvChTmouboArIcKg==",
            "_product": "XDR agent",
            "_time": 1756980296509,
            "_vendor": "PANW",
            "insert_timestamp": 1756980477113,
            "event_type": "NETWORK",
            "event_sub_type": "NETWORK_STREAM_CONNECT_FAILED"
        },
        {
            "event_id": "AAABmRQtb2XmouboArIb1g==",
            "_product": "XDR agent",
            "_time": 1756980191374,
            "_vendor": "PANW",
            "insert_timestamp": 1756980477113,
            "event_type": "NETWORK",
            "event_sub_type": "NETWORK_STREAM_CONNECT_FAILED"
        }
    ]
}

输出消息

执行 XQL 搜索操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully returned results for the query QUERY in Palo Alto XDR.` `No results were found for the query QUERY in Palo Alto XDR.` `Waiting for the search job to finish…`	操作成功。
`Error executing action "Execute XQL Search". Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭据。

Successfully returned results for the query QUERY in Palo Alto XDR.

No results were found for the query QUERY in Palo Alto XDR.

Waiting for the search job to finish…

操作成功。

Error executing action "Execute XQL Search". Reason:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用执行 XQL 搜索操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

获取端点代理报告

获取端点的代理报告。

参数

不适用

使用场景

不适用

运行时间

此操作将在以下实体上运行：

IP 地址
主机名

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

不适用

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

N/A

获取突发事件详情

使用获取突发事件详情操作可检索 Palo Alto Cortex XDR 中突发事件的相关信息。

此操作不会在 Google SecOps 实体上运行。

操作输入

获取突发事件详情操作需要以下参数：

参数说明

参数	说明
`Incident ID`	必填。要返回的突发事件的 ID。
`Lowest Alert Severity`	可选。要包含的提醒所需的最低严重级别。可能的值如下： `Critical` `High` `Medium` `Low` 默认值为 `High`。
`Max Alerts To Return`	可选。要返回的提醒数量上限。最大值为 `1000`。默认值为 `50`。

Incident ID

必填。

要返回的突发事件的 ID。

Lowest Alert Severity

可选。

要包含的提醒所需的最低严重级别。

可能的值如下：

Critical
High
Medium
Low

默认值为 High。

Max Alerts To Return

可选。

要返回的提醒数量上限。

最大值为 1000。

默认值为 50。

操作输出

获取突发事件详情操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取突发事件详情操作时收到的 JSON 结果输出：

{
    "incident_id": "146408",
    "is_blocked": false,
    "incident_name": null,
    "creation_time": 1756265930000,
    "modification_time": 1756265938000,
    "detection_time": null,
    "status": "new",
    "severity": "medium",
    "description": "'PHP XDebug Session Detection' generated by PAN NGFW",
    "assigned_user_mail": null,
    "assigned_user_pretty_name": null,
    "alert_count": 1,
    "low_severity_alert_count": 0,
    "med_severity_alert_count": 1,
    "high_severity_alert_count": 0,
    "critical_severity_alert_count": 0,
    "user_count": 0,
    "host_count": 0,
    "notes": null,
    "resolve_comment": null,
    "resolved_timestamp": null,
    "manual_severity": null,
    "manual_description": null,
    "xdr_url": "https://xyz.com/incident-view?caseId=146408",
    "starred": true,
    "starred_manually": false,
    "hosts": null,
    "users": [],
    "incident_sources": [
        "PAN NGFW"
    ],
    "rule_based_score": null,
    "predicted_score": 40,
    "manual_score": null,
    "aggregated_score": 40,
    "wildfire_hits": 0,
    "alerts_grouping_status": "Enabled",
    "mitre_tactics_ids_and_names": null,
    "mitre_techniques_ids_and_names": null,
    "alert_categories": [
        "Vulnerability"
    ],
    "original_tags": [
        "DS:PANW/NGFW"
    ],
    "tags": [
        "DS:PANW/NGFW"
    ],
    "network_artifacts": {
        "total_count": 1,
        "data": [
            {
                "type": "IP",
                "alert_count": 1,
                "is_manual": false,
                "network_domain": null,
                "network_remote_ip": "0.0.0.0",
                "network_remote_port": 500,
                "network_country": "JP"
            }
        ]
    },
    "file_artifacts": {
        "total_count": 0,
        "data": []
    },
    "alerts": [
        {
            "external_id": "7540915192461269271",
            "severity": "medium",
            "matching_status": "UNMATCHABLE",
            "end_match_attempt_ts": null,
            "local_insert_ts": 1756265929231,
            "last_modified_ts": null,
            "bioc_indicator": null,
            "matching_service_rule_id": null,
            "attempt_counter": 0,
            "bioc_category_enum_key": null,
            "case_id": 146408,
            "is_whitelisted": false,
            "starred": true,
            "deduplicate_tokens": "00421ab2ab1a43d089b1f690f8b4e54a",
            "filter_rule_id": null,
        }
    ]
}

输出消息

获取突发事件详情操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully returned information about incident with ID INCIDENT_ID in Palo Alto XDR.`	操作成功。
`Error executing action "Get Incident Details". Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭据。

Successfully returned information about incident with ID INCIDENT_ID in Palo Alto XDR.

操作成功。

Error executing action "Get Incident Details". Reason:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用获取突发事件详情操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

隔离端点

隔离端点。

操作输入

隔离端点操作需要以下参数：

参数说明

参数	说明
`Agent ID`	可选。要隔离的代理 ID 的逗号分隔列表。此参数与提供的实体搭配使用。

Agent ID

可选。

要隔离的代理 ID 的逗号分隔列表。

此参数与提供的实体搭配使用。

使用场景

不适用

运行时间

此操作将在以下实体上运行：

IP 地址
主机名

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

不适用

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

N/A

Ping

测试与 Palo Alto Networks Cortex XDR 的连接。

参数

不适用

使用场景

不适用

运行时间

此操作会在所有实体上运行。

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

不适用

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

N/A

查询

检索特定突发事件的数据，包括提醒和关键工件。

参数

参数	类型	默认值	说明
突发事件 ID	字符串	不适用	您要检索其数据的突发事件的 ID。

使用场景

不适用

运行时间

此操作会在所有实体上运行。

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

不适用

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

{
    "file_artifacts":
    {
        "total_count": 2,
        "data": [
            {
                "file_signature_status": "SIGNATURE_SIGNED",
                "is_process": "true",
                "is_malicious": "false",
                "is_manual": "false",
                "file_name": "cmd.exe",
                "file_signature_vendor_name": "Microsoft Corporation",
                "file_sha256": "6f88fb88ffb0f1d5465c2826e5b4f523598b1b8378377c8378ffebc171bad18b",
                "type": "HASH",
                "file_wildfire_verdict": "BENIGN",
                "alert_count": 1
            }, {
                "file_signature_status": "SIGNATURE_SIGNED",
                "is_process": "true",
                "is_malicious": "false",
                "is_manual": "false",
                "file_name": "WmiPrvSE.exe",
                "file_signature_vendor_name": "Microsoft Corporation",
                "file_sha256": "25dfb8168246e5d04dd6f124c95e4c4c4e8273503569acd5452205558d099871",
                "type": "HASH",
                "file_wildfire_verdict": "BENIGN",
                "alert_count": 1
            }]},
    "incident": {
        "status": "new",
        "incident_id": "1645",
        "user_count": 1,
        "assigned_user_mail": " ",
        "severity": "high",
        "resolve_comment": " ",
        "assigned_user_pretty_name": " ",
        "notes": " ",
        "creation_time": 1564877575921,
        "alert_count": 1,
        "med_severity_alert_count": 0,
        "detection_time": " ",
        "modification_time": 1564877575921,
        "manual_severity": " ",
        "xdr_url": "https://ac997a94-5e93-40ea-82d9-6a615038620b.xdr.us.paloaltonetworks.com/incident-view/1645",
        "manual_description": " ",
        "low_severity_alert_count": 0,
        "high_severity_alert_count": 1,
        "host_count": 1,
        "description": "WMI Lateral Movement generated by BIOC detected on host ILCSYS31 involving user ILLICIUM\\\\ibojer"
    },
    "alerts": {
        "total_count": 1,
        "data": [
            {
                "action_pretty": "Detected",
                "description": "Process action type = execution AND name = cmd.exe Process name = wmiprvse.exe, cgo name = wmiprvse.exe",
                "host_ip": "10.0.50.31",
                "alert_id": "21631",
                "detection_timestamp": 1564877525123,
                "name": "WMI Lateral Movement",
                "category": "Lateral Movement",
                "severity": "high",
                "source": "BIOC",
                "host_name": "ILCSYS31",
                "action": "DETECTED",
                "user_name": "ILLICIUM\\\\ibojer"
            }]},
    "network_artifacts": {
        "total_count": 0,
        "data": []
    }
}

解决突发事件

能够关闭 XDR 突发事件并提供关闭原因。

参数

参数	类型	默认值	说明
突发事件 ID	字符串	不适用	要更新的突发事件的 ID。
状态	列表	UNDER_INVESTIGATION	更新后的突发事件状态。
解决评论	字符串	不适用	说明突发事件变更的描述性评论。

使用场景

不适用

运行时间

此操作会在所有实体上运行。

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

不适用

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

N/A

扫描端点

使用扫描端点操作扫描 Palo Alto Cortex XDR 中的端点。

此操作在以下 Google SecOps 实体上运行：

IP Address
Hostname

操作输入

扫描端点操作需要以下参数：

参数说明

参数	说明
`Incident ID`	可选。要与扫描活动关联的突发事件的 ID，以便结果显示在突发事件时间轴中。
`Agent ID`	可选。要纳入扫描范围的代理 ID 逗号分隔列表。此参数与提供的实体搭配使用。

Incident ID

可选。

要与扫描活动关联的突发事件的 ID，以便结果显示在突发事件时间轴中。

Agent ID

可选。

要纳入扫描范围的代理 ID 逗号分隔列表。

此参数与提供的实体搭配使用。

操作输出

Scan Endpoint 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

输出消息

扫描端点操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully scanned the following endpoints in Palo Alto XDR: ENTITY_ID` `The scan didn't complete for the following endpoints in Palo Alto XDR: ENTITY_ID` `The scan didn't complete for all of the provided endpoints in Palo Alto XDR.`	操作成功。
`Error executing action "Scan Endpoint". Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully scanned the following endpoints in Palo Alto XDR: ENTITY_ID

The scan didn't complete for the following endpoints in Palo Alto XDR: ENTITY_ID

The scan didn't complete for all of the provided endpoints in Palo Alto XDR.

操作成功。

Error executing action "Scan Endpoint". Reason:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

JSON 结果

以下示例展示了使用扫描端点操作时收到的 JSON 结果输出：

[
   {
      "Entity": "192.168.1.10",
      "EntityResult": {
         "endpoint_id": "a0b1c2d3e4f5g6h7i8j9k0l1m2n3o4p5",
         "endpoint_name": "PLACEHOLDER-SERVER-NAME",
         "endpoint_type": "AGENT_TYPE_SERVER",
         "endpoint_status": "CONNECTED",
         "os_type": "AGENT_OS_WINDOWS",
         "os_version": "10.0.yyyy",
         "ip": [
            "192.168.1.10"
         ],
         "ipv6": [],
         "public_ip": "203.0.113.45",
         "users": [],
         "domain": "WORKGROUP",
         "alias": "",
         "first_seen": 1680000000000,
         "last_seen": 1760000000000,
         "content_version": "YYYY-ZZZZZ",
         "installation_package": "PLACEHOLDER-PACKAGE",
         "active_directory": [],
         "install_date": 1680000000000,
         "endpoint_version": "X.Y.Z.W",
         "is_isolated": "AGENT_UNISOLATED",
         "isolated_date": null,
         "group_name": [
            "PLACEHOLDER-GROUP"
         ],
         "operational_status": "PROTECTED",
         "operational_status_description": "[]",
         "operational_status_details": [],
         "scan_status": "SCAN_STATUS_PENDING",
         "content_release_timestamp": 1760000000000,
         "last_content_update_time": 1760000000000,
         "operating_system": "Windows Server PLACEHOLDER",
         "mac_address": [
            "00:1A:2B:3C:4D:5E"
         ],
         "assigned_prevention_policy": "PLACEHOLDER-POLICY",
         "assigned_extensions_policy": "Windows Default",
         "token_hash": "ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff",
         "tags": {
            "server_tags": [
               "PLACEHOLDER-TAG"
            ],
            "endpoint_tags": []
         },
         "content_status": "UP_TO_DATE"
      }
   }
]

脚本结果

下表列出了使用扫描端点操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

更新突发事件

能够将特定 XDR 突发事件设置为正在调查、分配给指定用户等。

参数

参数	类型	默认值	说明
突发事件 ID	字符串	不适用	要更新的突发事件的 ID。
分配的用户名	字符串	不适用	突发事件更新后的受托人全名。
严重级别	列表	低	管理员定义的严重级别。
状态	列表	UNDER_INVESTIGATION	更新后的突发事件状态。

使用场景

不适用

运行时间

此操作在网址实体上运行。

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

不适用

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

N/A

取消隔离端点

取消隔离端点。

操作输入

Unisolate Endpoint（取消隔离端点）操作需要以下参数：

参数说明

参数	说明
`Agent ID`	可选。要取消隔离的代理 ID 的逗号分隔列表。此参数与提供的实体搭配使用。

Agent ID

可选。

要取消隔离的代理 ID 的逗号分隔列表。

此参数与提供的实体搭配使用。

使用场景

不适用

运行时间

此操作将在以下实体上运行：

IP 地址
主机名

操作执行结果

此操作可提供以下部分中详述的结果。

实体丰富化

不适用

数据分析

不适用

脚本结果

脚本结果名称	值
`is_success`	`true` 或 `false`

JSON 结果

N/A

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

Palo Alto Cortex XDR 连接器

使用此连接器从 Palo Alto Cortex XDR 中拉取突发事件。

连接器输入

Palo Alto Cortex XDR 连接器需要以下参数：

参数	说明
`Product Field Name`	必填。存储商品名称的字段的名称。商品名称主要影响映射。为了简化和改进连接器的映射过程，默认值会解析为代码中引用的后备值。默认情况下，此参数的任何无效输入都会解析为回退值。默认值为 `Product Name`。
`Event Field Name`	必填。决定事件名称（子类型）的字段名称。默认值为 `event_type`。
`Environment Field Name`	可选。存储环境名称的字段的名称。如果缺少环境字段，连接器将使用默认值。默认值为 `""`。
`Environment Regex Pattern`	可选。要对 `Environment Field Name` 字段中找到的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。使用默认值 `.*` 检索所需的原始 `Environment Field Name` 值。如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
`Script Timeout (Seconds)`	可选。运行当前脚本的 Python 进程的超时限制（以秒为单位）。默认值为 `180`。
`Api Root`	必填。 Palo Alto XDR 实例的 API 根。
`Api Key`	必填。用于身份验证的 Palo Alto XDR API 密钥。
`Api Key ID`	必填。与 Palo Alto XDR API 密钥关联的 ID。
`Status Filter`	可选。要注入的提醒状态的逗号分隔列表。可能的值如下： `New` `Under Investigation` `Resolved` 默认值为 `New,Under Investigation`。
`Split Incident Alerts`	可选。如果选中此选项，连接器会将单个突发事件中的各个提醒分隔为不同的 SOAR 提醒。默认情况下，该环境处于停用状态。
`Lowest Alert Severity To Fetch`	可选。要检索的提醒的最低严重级别。 `Lowest Incident SmartScore To Fetch` 充当主要过滤条件。如果父级突发事件的得分达到其阈值，则无论此设置如何，系统都会处理所有关联的提醒。可能的值如下： `Low` `Medium` `High` `Critical` 如果未提供任何值，连接器会注入所有严重级别的提醒。
`Lowest Incident Severity To Fetch`	可选。要检索的突发事件的最低严重级别。可能的值如下： `Low` `Medium` `High` `Critical` 如果未提供值，连接器会注入所有严重级别的突发事件。
`Lowest Incident SmartScore To Fetch`	可选。提取突发事件所需的最低 SmartScore（`0` 到 `100`）。此过滤器独立于 `Lowest Incident Severity To Fetch` 运行。如果突发事件达到严重程度或 SmartScore 阈值，则会被提取。如果未提供任何值，系统会忽略 SmartScore 过滤条件。
`Max Days Backwards`	必填。在初始运行期间搜索和检索突发事件的最大天数。默认值为 `24`。
`Alerts Count Limit`	必填。连接器在每次迭代中处理的突发事件数量上限。最大值为 `100`。默认值为 `10`。
`Use dynamic list as a blocklist`	必填。如果选中，连接器会将动态列表用作屏蔽名单。默认情况下，该环境处于停用状态。
`Include Historical Artifacts`	可选。如果选中，连接器会在初始提取期间检索与提醒关联的所有历史工件。注意：启用此选项可能会增加首次运行期间注入的数据量。
`Artifacts To Ignore`	可选。以逗号分隔列表形式表示的工件，这些工件将从 Google SecOps 事件创建中排除。可能的值如下： `file_artifact` `network_artifact`
`Entities To Ignore`	可选。要从提取中排除的实体（IP 地址、CIDR 范围、网域、文件哈希、主机名和用户名）的逗号分隔列表。如果突发事件或提醒包含此参数中指定的实体，则不会被注入。支持 IP 范围 (CIDR) 表示法。
`Disable Overflow`	可选。如果选中，连接器会忽略 Google SecOps 溢出机制。默认处于启用状态。
`Verify SSL`	必填。如果选中，则集成会在连接到 Palo Alto Cortex XDR 服务器时验证 SSL 证书。默认处于启用状态。
`Proxy Server Address`	可选。要使用的代理服务器的地址。
`Proxy Username`	可选。用于进行身份验证的代理用户名。
`Proxy Password`	可选。用于进行身份验证的代理密码。

连接器规则

此连接器不支持白名单/黑名单。

连接器支持代理。

作业

如需详细了解作业，请参阅配置新作业和高级调度。

Palo Alto Cortex XDR - 同步突发事件

使用 Palo Alto Cortex XDR - 同步突发事件作业在 Google SecOps 与 Palo Alto Networks Cortex XDR 之间同步提醒和突发事件。

此作业可确保突发事件状态、评论和用户受让人在两个平台上保持一致。

作业行为

Palo Alto Cortex XDR - 同步突发事件作业通过以下机制实现双向同步：

同步阶段：作业分两个不同阶段执行：
1. 将状态更新从 Google SecOps 推送到 Palo Alto Cortex XDR。
2. 从 Palo Alto Cortex XDR 拉取修改内容以更新 Google SecOps。
处理窗口：在第一次迭代中，作业会根据 Max Hours Backwards 处理案例。后续运行会根据上次同步的提醒的时间戳处理更新。
案例识别：作业通过搜索 Palo Alto XDR Incident 标记来识别相关案例。
手动映射：对于并非源自 Palo Alto Cortex XDR 连接器的案例，您必须执行以下两个步骤：
1. 向支持请求添加 Palo Alto XDR Incident 标签。
2. 添加包含 XDR 突发事件 ID 的 Incident_ID 上下文值。
评论同步：该作业使用以下规则在平台之间同步评论：
- 源自 XDR 的评论带有 Palo Alto XDR: 前缀。
- 源自 Google SecOps 的评论带有 Google SecOps: 前缀。
- 结案评论也会同步，以确保审核跟踪记录一致。
关闭逻辑和回退：解决支持请求后，该作业会将关闭原因映射到 XDR 中的相应原因和根本原因。如果在 XDR 环境中找不到特定组合，该作业会使用通用后备选项，以确保突发事件成功关闭。
用户分配：如果配置了用户映射 JSON，作业会同步被分配人。如果用户未出现在映射中，系统会跳过该用户的同步并记录日志。
情境提醒数据：与突发事件关联的提醒列表会保留在每个案例的 XDR_ALERTS 情境值中。

作业参数

Palo Alto XDR - 同步突发事件作业需要以下参数：

参数	说明
`Environment Name`	必填。要从中同步突发事件的环境的名称。默认值为 `Default Environment`。
`Api Root`	必填。 Palo Alto Cortex XDR API 根网址。
`Api Key`	必填。用于向 Palo Alto Cortex XDR 服务器进行身份验证的 API 密钥。
`Api Key ID`	必填。与 Palo Alto XDR API 密钥关联的 ID。
`Max Hours Backwards`	必填。在初始作业迭代期间，同步当前时间之前多少小时内的突发事件。默认值为 `24`。
`User Mapping JSON`	可选。一个 JSON 对象，用于将 Google SecOps 显示名称映射到 XDR 用户名，以便同步案例受理人。请使用以下格式： `{ "Google SecOps Display Name": "XDR Username" }` 如果未提供任何值，系统会跳过用户同步。
`Verify SSL`	必填。如果选中，则集成会在连接到 Palo Alto Cortex XDR 服务器时验证 SSL 证书。默认处于启用状态。