Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

將 Palo Alto Cortex XDR 與 Google SecOps 整合

本文提供將 Palo Alto Cortex XDR 與 Google Security Operations 整合的指南。

事前準備

如要取得 Cortex XDR API 金鑰，您必須從 Palo Alto Networks Cortex XDR 帳戶取得憑證

請完成下列步驟，取得 Cortex XDR API 金鑰：

前往 [設定]。
選取「+ 新增金鑰」。
選擇要產生的 API 金鑰類型 (僅限進階)。
提供註解，說明 API 金鑰的用途 (選填)。
選取這個金鑰的存取層級。
產生 API 金鑰。
複製 API 金鑰，然後點選「完成」。

如何取得 Cortex XDR API 金鑰 ID：

依序前往「API 金鑰」表格 >「ID」欄。
記下對應的ID 號碼。這個值代表 x-xdr-auth-id:{key_id} 權杖。

整合參數

請使用下列參數設定整合：

參數顯示名稱	類型	預設值	為必填	說明
API 根層級	字串	https://api-{fqdn}	是	Palo Alto Networks Cortex XDR API 根層級。注意：FQDN 代表與各租戶相關聯的專屬主機和網域名稱。產生 API 金鑰和金鑰 ID 時，系統會指派個別 FQDN 給您。
API 金鑰	密碼	不適用	是	專屬 ID，用於驗證 API 呼叫所需的「Authorization:{key}」標頭。視安全等級而定，您可以透過 Cortex XDR 應用程式產生進階 API 金鑰。
API 金鑰 ID	整數	3	是	用於驗證 API 金鑰的專屬權杖。執行 API 呼叫時使用的標頭為「x-xdr-auth-id:{key_id}」。
驗證 SSL	核取方塊	已取消勾選	是	驗證 SSL/TLS 連線的選項。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「在工作區回應待處理動作」和「在案件中執行手動動作」。

為事件新增註解

使用「Add Comment To Incident」動作，在 Palo Alto Cortex XDR 中為事件新增註解。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Comment To Incident」(在事件中新增註解) 動作需要下列參數：

參數說明

參數	說明
`Incident ID`	這是必填欄位。要更新的事件 ID。
`Comment`	這是必填欄位。要新增至事件的註解。

Incident ID

這是必填欄位。

要更新的事件 ID。

Comment

這是必填欄位。

要新增至事件的註解。

動作輸出內容

「Add Comment To Incident」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	無法使用
輸出訊息	可用
指令碼執行結果	可用

輸出訊息

「Add Comment To Incident」動作可能會傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully added a comment to an incident with ID COMMENT_ID in Palo Alto XDR.`	動作成功。
`Error executing action "Add Comment To Incident". Reason: ERROR_REASON`	動作失敗。請檢查伺服器連線、輸入參數或憑證。

Successfully added a comment to an incident with ID COMMENT_ID in Palo Alto XDR.

動作成功。

Error executing action "Add Comment To Incident". Reason:
      ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

指令碼執行結果

下表列出使用「Add Comment To Incident」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

將雜湊新增至封鎖清單

使用這項動作，將未列出的檔案新增至指定的封鎖清單。

參數

參數顯示名稱	類型	預設值	是否為必填	說明
註解	字串	不適用	否	提供其他註解，說明動作的額外資訊
事件 ID	字串	不適用	否	指定與新增雜湊相關的事件 ID

執行日期

這項動作會對 Filehash 實體執行

動作執行結果

這項操作可提供下列各節詳述的結果。

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

{

"success": ["hashes that were added"],

"already_existed": ["hashes that already existed"]

"failed": ["hashes that failed"]

"unsupported": ["unsupported hashes"]

}

案件總覽

結果類型	值/說明	類型
輸出訊息*	動作不應失敗，也不應停止執行應對手冊：成功新增的實體：「已成功將下列實體新增至封鎖清單：」+successful_entities_list 對於不成功的實體：「無法將下列實體新增至封鎖清單：」+unsuccessful_entities_list。如果提供一個不支援類型的雜湊 (is_success=true)：不支援下列雜湊：{unsupported hashes} 如果提供的雜湊值全是不支援的類型 (is_success=false)：系統不支援任何提供的雜湊值。動作應失敗並停止執行應對手冊： "Failed to perform action "Add Hashes to Blacklist" {0}".format(exception.stacktrace)	一般

結果類型

值/說明

類型

輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

成功新增的實體：「已成功將下列實體新增至封鎖清單：」+successful_entities_list

對於不成功的實體：「無法將下列實體新增至封鎖清單：」+unsuccessful_entities_list。

如果提供一個不支援類型的雜湊 (is_success=true)：

不支援下列雜湊：{unsupported hashes}

如果提供的雜湊值全是不支援的類型 (is_success=false)：系統不支援任何提供的雜湊值。

動作應失敗並停止執行應對手冊：
"Failed to perform action "Add Hashes to Blacklist" {0}".format(exception.stacktrace)

一般

下載檔案

使用「下載檔案」動作，從 Palo Alto XDR 的遠端端點下載檔案。

這項動作會在下列 Google SecOps 實體上執行：

ADDRESS
HOSTNAME

動作輸入內容

「下載檔案」動作需要下列參數：

參數	說明
`File Paths`	必要目標端點上要下載的絕對檔案路徑清單，以半形逗號分隔。
`Download Folder Path`	必要系統上應儲存下載檔案的本機資料夾路徑。預設值為 `/tmp`。
`Overwrite`	必要如果選取這個選項，動作會覆寫目的地資料夾中任何同名的現有本機檔案。預設為停用。
`Incident ID`	選用 Cortex XDR 事件 ID，用於與這項檔案下載活動建立關聯，讓結果清楚顯示在事件時間軸中。
`Agent ID`	選用列出要下載檔案的目標代理程式 ID，並以半形逗號分隔。這個參數會與提供的實體背景資訊搭配運作，並篩選這些資訊。
`Unzip File`	必要如果選取，這項動作會解壓縮下載的檔案，並以原始格式儲存。否則，檔案會儲存為 ZIP 封存檔。

動作輸出內容

「Download File」(下載檔案) 動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼執行結果	可用

JSON 結果

以下範例說明使用「Download File」動作時，收到的 JSON 結果輸出內容：

{
  "Entity": "10.10.10.10",
  "EntityResult": {
    "download_file_path": [
      "/tmp/sample.exe"
    ],
    "errored_file_paths": [
      "/tmp/missing.exe"
    ],
    "errors": {
      "/tmp/missing.exe": "File not found on endpoint"
    }
  }
}

輸出訊息

「Download File」動作會提供下列輸出訊息：

輸出訊息訊息說明

Successfully downloaded target files from the specified endpoints via Palo Alto Cortex XDR. 動作成功。[cite: 31]

輸出訊息	訊息說明
`Successfully downloaded target files from the specified endpoints via Palo Alto Cortex XDR.`	動作成功。[cite: 31]
`Error executing action "Download File". Reason: ERROR_REASON`	動作失敗。請檢查網路連線、確認端點代理程式狀態、確保指令碼逾時限制已調整，或檢查目標檔案權限。

Error executing action "Download File". Reason: 
      ERROR_REASON

動作失敗。

請檢查網路連線、確認端點代理程式狀態、確保指令碼逾時限制已調整，或檢查目標檔案權限。

指令碼執行結果

下表說明使用「Download File」(下載檔案) 動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

充實實體

根據 Palo Alto Networks Cortex XDR 的資訊，充實 Google SecOps 主機和 IP 實體。

參數

不適用

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

補充資料欄位名稱	邏輯 - 應用時機
網域	如果 JSON 結果中存在，則傳回
endpoint_name	如果 JSON 結果中存在，則傳回
endpoint_type	如果 JSON 結果中存在，則傳回
ip	如果 JSON 結果中存在，則傳回
endpoint_version	如果 JSON 結果中存在，則傳回
install_date	如果 JSON 結果中存在，則傳回
installation_package	如果 JSON 結果中存在，則傳回
is_isolated	如果 JSON 結果中存在，則傳回
group_name	如果 JSON 結果中存在，則傳回
alias	如果 JSON 結果中存在，則傳回
active_directory	如果 JSON 結果中存在，則傳回
endpoint_status	如果 JSON 結果中存在，則傳回
端點 ID	如果 JSON 結果中存在，則傳回
content_version	如果 JSON 結果中存在，則傳回
os_type	如果 JSON 結果中存在，則傳回
last_seen	如果 JSON 結果中存在，則傳回
first_seen	如果 JSON 結果中存在，則傳回
使用者	如果 JSON 結果中存在，則傳回

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

[{
    "EntityResult":
       {
         "domain": "st2.local",
         "endpoint_name": "ST2-PC-1-14",
         "endpoint_type": "AGENT_TYPE_SERVER",
         "ip": null,
         "endpoint_version": "6.1.0.9915",
         "install_date": 1568103207592,
         "installation_package": "papi-test",
         "is_isolated": null,
         "group_name": null,
         "alias": "",
         "active_directory": null,
         "endpoint_status": "DISCONNECTED",
         "endpoint_id": "4ce98b4d8d2b45a9a1d82dc71f0d1304",
         "content_version": "",
         "os_type": "AGENT_OS_WINDOWS",
         "last_seen": 1568103207592,
         "first_seen": 1568103207591,
         "users": ["TEST USER"]
        },
    "Entity": "PC01"
 }]

執行 XQL 搜尋

使用「Execute XQL Search」動作，在 Palo Alto Cortex XDR 中使用 XQL 擷取資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「執行 XQL 搜尋」動作需要下列參數：

參數	說明
`Query`	這是必填欄位。要在 Palo Alto Cortex XDR 中執行的查詢。請勿在查詢中提供 `limit`。這項動作會從 `Max Results To Return` 擷取這個值。
`Time Frame`	選填。要在 Palo Alto Cortex XDR 中執行的查詢。請勿在查詢中提供 `limit`。這項動作會從 `Max Results To Return` 擷取這個值。可能的值如下： `Last Hour` `Last 6 Hours` `Last 24 Hours` `Last Week` `Last Month` `Custom` 預設值為 `Last Hour`。
`Start Time`	選填。結果的開始時間，格式為 ISO 8601。如果 `Time Frame` 選取 `Custom`，則必須提供這個參數。
`End Time`	選填。結果的結束時間，格式為 ISO 8601。如果 `Time Frame` 選取 `Custom`，但未提供值，則動作會使用目前時間。
`Max Results To Return`	選填。這項動作會將 `limit` 附加至提供的查詢。最大值為 `1000`。預設值為 `50`。

動作輸出內容

「執行 XQL 搜尋」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼執行結果	可用

JSON 結果

以下範例顯示使用「Execute XQL Search」動作時，收到的 JSON 結果輸出內容：

{
    "events": [
        {
            "event_id": "AAABmRQvChTmouboArIcKg==",
            "_product": "XDR agent",
            "_time": 1756980296509,
            "_vendor": "PANW",
            "insert_timestamp": 1756980477113,
            "event_type": "NETWORK",
            "event_sub_type": "NETWORK_STREAM_CONNECT_FAILED"
        },
        {
            "event_id": "AAABmRQtb2XmouboArIb1g==",
            "_product": "XDR agent",
            "_time": 1756980191374,
            "_vendor": "PANW",
            "insert_timestamp": 1756980477113,
            "event_type": "NETWORK",
            "event_sub_type": "NETWORK_STREAM_CONNECT_FAILED"
        }
    ]
}

輸出訊息

「Execute XQL Search」動作可能會傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully returned results for the query QUERY in Palo Alto XDR.` `No results were found for the query QUERY in Palo Alto XDR.` `Waiting for the search job to finish…`	動作成功。
`Error executing action "Execute XQL Search". Reason: ERROR_REASON`	動作失敗。請檢查伺服器連線、輸入參數或憑證。

Successfully returned results for the query QUERY in Palo Alto XDR.

No results were found for the query QUERY in Palo Alto XDR.

Waiting for the search job to finish…

動作成功。

Error executing action "Execute XQL Search". Reason:
      ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

指令碼執行結果

下表列出使用「Execute XQL Search」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

取得端點代理程式報表

取得端點的代理程式報告。

參數

不適用

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

N/A

取得事件詳細資料

使用「Get Incident Details」動作，擷取 Palo Alto Cortex XDR 中的事件資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Incident Details」動作需要下列參數：

參數說明

參數	說明
`Incident ID`	這是必填欄位。要傳回的事件 ID。
`Lowest Alert Severity`	選填。快訊嚴重性必須達到最低門檻，才會納入。可能的值如下： `Critical` `High` `Medium` `Low` 預設值為 `High`。
`Max Alerts To Return`	選填。要傳回的快訊數量上限。最大值為 `1000`。預設值為 `50`。

Incident ID

這是必填欄位。

要傳回的事件 ID。

Lowest Alert Severity

選填。

快訊嚴重性必須達到最低門檻，才會納入。

可能的值如下：

Critical
High
Medium
Low

預設值為 High。

Max Alerts To Return

選填。

要傳回的快訊數量上限。

最大值為 1000。

預設值為 50。

動作輸出內容

「Get Incident Details」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼執行結果	可用

JSON 結果

以下範例顯示使用「Get Incident Details」動作時，收到的 JSON 結果輸出內容：

{
    "incident_id": "146408",
    "is_blocked": false,
    "incident_name": null,
    "creation_time": 1756265930000,
    "modification_time": 1756265938000,
    "detection_time": null,
    "status": "new",
    "severity": "medium",
    "description": "'PHP XDebug Session Detection' generated by PAN NGFW",
    "assigned_user_mail": null,
    "assigned_user_pretty_name": null,
    "alert_count": 1,
    "low_severity_alert_count": 0,
    "med_severity_alert_count": 1,
    "high_severity_alert_count": 0,
    "critical_severity_alert_count": 0,
    "user_count": 0,
    "host_count": 0,
    "notes": null,
    "resolve_comment": null,
    "resolved_timestamp": null,
    "manual_severity": null,
    "manual_description": null,
    "xdr_url": "https://xyz.com/incident-view?caseId=146408",
    "starred": true,
    "starred_manually": false,
    "hosts": null,
    "users": [],
    "incident_sources": [
        "PAN NGFW"
    ],
    "rule_based_score": null,
    "predicted_score": 40,
    "manual_score": null,
    "aggregated_score": 40,
    "wildfire_hits": 0,
    "alerts_grouping_status": "Enabled",
    "mitre_tactics_ids_and_names": null,
    "mitre_techniques_ids_and_names": null,
    "alert_categories": [
        "Vulnerability"
    ],
    "original_tags": [
        "DS:PANW/NGFW"
    ],
    "tags": [
        "DS:PANW/NGFW"
    ],
    "network_artifacts": {
        "total_count": 1,
        "data": [
            {
                "type": "IP",
                "alert_count": 1,
                "is_manual": false,
                "network_domain": null,
                "network_remote_ip": "0.0.0.0",
                "network_remote_port": 500,
                "network_country": "JP"
            }
        ]
    },
    "file_artifacts": {
        "total_count": 0,
        "data": []
    },
    "alerts": [
        {
            "external_id": "7540915192461269271",
            "severity": "medium",
            "matching_status": "UNMATCHABLE",
            "end_match_attempt_ts": null,
            "local_insert_ts": 1756265929231,
            "last_modified_ts": null,
            "bioc_indicator": null,
            "matching_service_rule_id": null,
            "attempt_counter": 0,
            "bioc_category_enum_key": null,
            "case_id": 146408,
            "is_whitelisted": false,
            "starred": true,
            "deduplicate_tokens": "00421ab2ab1a43d089b1f690f8b4e54a",
            "filter_rule_id": null,
        }
    ]
}

輸出訊息

「Get Incident Details」動作可傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully returned information about incident with ID INCIDENT_ID in Palo Alto XDR.`	動作成功。
`Error executing action "Get Incident Details". Reason: ERROR_REASON`	動作失敗。請檢查伺服器連線、輸入參數或憑證。

Successfully returned information about incident with ID INCIDENT_ID in Palo Alto XDR.

動作成功。

Error executing action "Get Incident Details". Reason:
      ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

指令碼執行結果

下表列出使用「Get Incident Details」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

隔離端點

隔離端點。

動作輸入內容

「Isolate Endpoint」動作需要下列參數：

參數說明

參數	說明
`Agent ID`	選填。要隔離的代理程式 ID 逗號分隔的清單。這個參數會與提供的實體搭配運作。

Agent ID

選填。

要隔離的代理程式 ID 逗號分隔的清單。

這個參數會與提供的實體搭配運作。

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

N/A

乒乓

測試與 Palo Alto Networks Cortex XDR 的連線。

參數

不適用

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

N/A

查詢

擷取特定事件的資料，包括警示和重要構件。

參數

參數	類型	預設值	說明
事件 ID	字串	不適用	要擷取資料的事件 ID。

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

{
    "file_artifacts":
    {
        "total_count": 2,
        "data": [
            {
                "file_signature_status": "SIGNATURE_SIGNED",
                "is_process": "true",
                "is_malicious": "false",
                "is_manual": "false",
                "file_name": "cmd.exe",
                "file_signature_vendor_name": "Microsoft Corporation",
                "file_sha256": "6f88fb88ffb0f1d5465c2826e5b4f523598b1b8378377c8378ffebc171bad18b",
                "type": "HASH",
                "file_wildfire_verdict": "BENIGN",
                "alert_count": 1
            }, {
                "file_signature_status": "SIGNATURE_SIGNED",
                "is_process": "true",
                "is_malicious": "false",
                "is_manual": "false",
                "file_name": "WmiPrvSE.exe",
                "file_signature_vendor_name": "Microsoft Corporation",
                "file_sha256": "25dfb8168246e5d04dd6f124c95e4c4c4e8273503569acd5452205558d099871",
                "type": "HASH",
                "file_wildfire_verdict": "BENIGN",
                "alert_count": 1
            }]},
    "incident": {
        "status": "new",
        "incident_id": "1645",
        "user_count": 1,
        "assigned_user_mail": " ",
        "severity": "high",
        "resolve_comment": " ",
        "assigned_user_pretty_name": " ",
        "notes": " ",
        "creation_time": 1564877575921,
        "alert_count": 1,
        "med_severity_alert_count": 0,
        "detection_time": " ",
        "modification_time": 1564877575921,
        "manual_severity": " ",
        "xdr_url": "https://ac997a94-5e93-40ea-82d9-6a615038620b.xdr.us.paloaltonetworks.com/incident-view/1645",
        "manual_description": " ",
        "low_severity_alert_count": 0,
        "high_severity_alert_count": 1,
        "host_count": 1,
        "description": "WMI Lateral Movement generated by BIOC detected on host ILCSYS31 involving user ILLICIUM\\\\ibojer"
    },
    "alerts": {
        "total_count": 1,
        "data": [
            {
                "action_pretty": "Detected",
                "description": "Process action type = execution AND name = cmd.exe Process name = wmiprvse.exe, cgo name = wmiprvse.exe",
                "host_ip": "10.0.50.31",
                "alert_id": "21631",
                "detection_timestamp": 1564877525123,
                "name": "WMI Lateral Movement",
                "category": "Lateral Movement",
                "severity": "high",
                "source": "BIOC",
                "host_name": "ILCSYS31",
                "action": "DETECTED",
                "user_name": "ILLICIUM\\\\ibojer"
            }]},
    "network_artifacts": {
        "total_count": 0,
        "data": []
    }
}

解決事件

可關閉 XDR 事件並提供關閉原因。

參數

參數	類型	預設值	說明
事件 ID	字串	不適用	要更新的事件 ID。
狀態	清單	UNDER_INVESTIGATION	已更新事件狀態。
解決註解	字串	不適用	說明事件變更的註解。

用途

不適用

執行日期

這項操作會對所有實體執行。

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

N/A

掃描端點

使用「掃描端點」動作，掃描 Palo Alto Cortex XDR 中的端點。

這項動作會在下列 Google SecOps 實體上執行：

IP Address
Hostname

動作輸入內容

Scan Endpoint 動作需要下列參數：

參數說明

參數	說明
`Incident ID`	選填。要與掃描活動建立關聯的事件 ID，讓結果顯示在事件時間軸中。
`Agent ID`	選填。列出要納入掃描作業的代理程式 ID，並以半形逗號分隔。這個參數會與提供的實體搭配運作。

Incident ID

選填。

要與掃描活動建立關聯的事件 ID，讓結果顯示在事件時間軸中。

Agent ID

選填。

列出要納入掃描作業的代理程式 ID，並以半形逗號分隔。

這個參數會與提供的實體搭配運作。

動作輸出內容

「Scan Endpoint」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼執行結果	可用

輸出訊息

「Scan Endpoint」動作可能會傳回下列輸出訊息：

輸出訊息訊息說明

輸出訊息	訊息說明
`Successfully scanned the following endpoints in Palo Alto XDR: ENTITY_ID` `The scan didn't complete for the following endpoints in Palo Alto XDR: ENTITY_ID` `The scan didn't complete for all of the provided endpoints in Palo Alto XDR.`	動作成功。
`Error executing action "Scan Endpoint". Reason: ERROR_REASON`	動作失敗。請檢查伺服器連線、輸入參數或憑證。

Successfully scanned the following endpoints in Palo Alto XDR: ENTITY_ID

The scan didn't complete for the following endpoints in Palo Alto XDR: ENTITY_ID

The scan didn't complete for all of the provided endpoints in Palo Alto XDR.

動作成功。

Error executing action "Scan Endpoint". Reason:
      ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

JSON 結果

以下範例顯示使用「掃描端點」動作時，收到的 JSON 結果輸出內容：

[
   {
      "Entity": "192.168.1.10",
      "EntityResult": {
         "endpoint_id": "a0b1c2d3e4f5g6h7i8j9k0l1m2n3o4p5",
         "endpoint_name": "PLACEHOLDER-SERVER-NAME",
         "endpoint_type": "AGENT_TYPE_SERVER",
         "endpoint_status": "CONNECTED",
         "os_type": "AGENT_OS_WINDOWS",
         "os_version": "10.0.yyyy",
         "ip": [
            "192.168.1.10"
         ],
         "ipv6": [],
         "public_ip": "203.0.113.45",
         "users": [],
         "domain": "WORKGROUP",
         "alias": "",
         "first_seen": 1680000000000,
         "last_seen": 1760000000000,
         "content_version": "YYYY-ZZZZZ",
         "installation_package": "PLACEHOLDER-PACKAGE",
         "active_directory": [],
         "install_date": 1680000000000,
         "endpoint_version": "X.Y.Z.W",
         "is_isolated": "AGENT_UNISOLATED",
         "isolated_date": null,
         "group_name": [
            "PLACEHOLDER-GROUP"
         ],
         "operational_status": "PROTECTED",
         "operational_status_description": "[]",
         "operational_status_details": [],
         "scan_status": "SCAN_STATUS_PENDING",
         "content_release_timestamp": 1760000000000,
         "last_content_update_time": 1760000000000,
         "operating_system": "Windows Server PLACEHOLDER",
         "mac_address": [
            "00:1A:2B:3C:4D:5E"
         ],
         "assigned_prevention_policy": "PLACEHOLDER-POLICY",
         "assigned_extensions_policy": "Windows Default",
         "token_hash": "ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff",
         "tags": {
            "server_tags": [
               "PLACEHOLDER-TAG"
            ],
            "endpoint_tags": []
         },
         "content_status": "UP_TO_DATE"
      }
   }
]

指令碼執行結果

下表列出使用「Scan Endpoint」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

更新事件

可將特定 XDR 事件設為調查中、指派給指定使用者等。

參數

參數	類型	預設值	說明
事件 ID	字串	不適用	要更新的事件 ID。
指派的使用者名稱	字串	不適用	事件指派對象的更新全名。
嚴重性	清單	低	管理員定義的嚴重性。
狀態	清單	UNDER_INVESTIGATION	已更新事件狀態。

用途

不適用

執行日期

這項動作會對網址實體執行。

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

N/A

取消隔離端點

取消隔離端點。

動作輸入內容

「Unisolate Endpoint」動作需要下列參數：

參數說明

參數	說明
`Agent ID`	選填。列出要取消隔離的代理程式 ID，並以半形逗號分隔。這個參數會與提供的實體搭配運作。

Agent ID

選填。

列出要取消隔離的代理程式 ID，並以半形逗號分隔。

這個參數會與提供的實體搭配運作。

用途

不適用

執行日期

這項動作會對下列實體執行：

IP 位址
主機名稱

動作執行結果

這項操作可提供下列各節詳述的結果。

實體充實

不適用

深入分析

不適用

指令碼執行結果

指令碼結果名稱	值
`is_success`	`true`或`false`

JSON 結果

N/A

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Palo Alto Cortex XDR 連接器

使用這個連接器，從 Palo Alto Cortex XDR 提取事件。

連接器輸入

Palo Alto Cortex XDR 連接器需要下列參數：

參數	說明
`Product Field Name`	這是必填欄位。儲存產品名稱的欄位名稱。產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。預設值為 `Product Name`。
`Event Field Name`	這是必填欄位。決定事件名稱 (子類型) 的欄位名稱。預設值為 `event_type`。
`Environment Field Name`	選填。儲存環境名稱的欄位名稱。如果缺少環境欄位，連接器會使用預設值。預設值為 `""`。
`Environment Regex Pattern`	選填。規則運算式模式，用於對 `Environment Field Name` 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。使用預設值 `.*` 擷取必要的原始 `Environment Field Name` 值。如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
`Script Timeout (Seconds)`	選填。執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。預設值為 `180`。
`Api Root`	這是必填欄位。 Palo Alto XDR 執行個體的 API 根。
`Api Key`	這是必填欄位。用於驗證的 Palo Alto XDR API 金鑰。
`Api Key ID`	這是必填欄位。與 Palo Alto XDR API 金鑰相關聯的 ID。
`Status Filter`	選填。以半形逗號分隔的快訊狀態清單，用於擷取。可能的值如下： `New` `Under Investigation` `Resolved` 預設值為 `New,Under Investigation`。
`Split Incident Alerts`	選填。如果選取這個選項，連接器會將單一事件中的個別警告，分成不同的 SOAR 警告。預設為停用。
`Lowest Alert Severity To Fetch`	選填。要擷取的最低快訊嚴重性等級。 `Lowest Incident SmartScore To Fetch` 是主要篩選條件。如果上層事件的分數達到門檻，無論這項設定為何，系統都會處理所有相關聯的警告。可能的值如下： `Low` `Medium` `High` `Critical` 如未提供值，連接器會擷取所有嚴重程度等級的警告。
`Lowest Incident Severity To Fetch`	選填。要擷取的事件最低嚴重性等級。可能的值如下： `Low` `Medium` `High` `Critical` 如未提供值，連接器會擷取所有嚴重程度等級的事件。
`Lowest Incident SmartScore To Fetch`	選填。擷取事件所需的最低智慧分數 (`0` 至 `100`)。這個篩選器與 `Lowest Incident Severity To Fetch` 獨立運作。如果事件符合嚴重性或 SmartScore 門檻，就會擷取。如未提供值，系統會忽略 SmartScore 篩選器。
`Max Days Backwards`	這是必填欄位。初始執行期間，搜尋及擷取事件的最長天數。預設值為 `24`。
`Alerts Count Limit`	這是必填欄位。連接器每次疊代處理的事件數量上限。最大值為 `100`。預設值為 `10`。
`Use dynamic list as a blocklist`	這是必填欄位。如果選取，連接器會將動態清單做為封鎖清單。預設為停用。
`Include Historical Artifacts`	選填。如果選取這個選項，連接器會在初始擷取期間，擷取與快訊相關聯的所有歷來構件。注意：啟用這個選項可能會增加首次執行時擷取的資料量。
`Artifacts To Ignore`	選填。以半形逗號分隔的構件清單，用於排除 Google SecOps 事件建立作業。可能的值如下： `file_artifact` `network_artifact`
`Entities To Ignore`	選填。以半形逗號分隔的實體清單 (IP 位址、CIDR 範圍、網域、檔案雜湊、主機名稱和使用者名稱)，用於排除在擷取範圍之外。如果事件或快訊包含這項參數指定的實體，就不會擷取。支援 IP 範圍 (CIDR) 標記法。
`Disable Overflow`	選填。如果選取，連接器會忽略 Google SecOps 溢位機制。 (預設為啟用)。
`Verify SSL`	這是必填欄位。如果選取，整合功能會在連線至 Palo Alto Cortex XDR 伺服器時驗證 SSL 憑證。 (預設為啟用)。
`Proxy Server Address`	選填。要使用的 Proxy 伺服器位址。
`Proxy Username`	選填。用於驗證的 Proxy 使用者名稱。
`Proxy Password`	選填。用於驗證的 Proxy 密碼。

連接器規則

這個連接器不支援許可清單/封鎖清單。

連接器支援 Proxy。

工作

如要進一步瞭解工作，請參閱「設定新工作」和「進階排程」。

Palo Alto Cortex XDR - 同步處理事件

使用「Palo Alto Cortex XDR - Sync Incidents」工作，在 Google SecOps 和 Palo Alto Networks Cortex XDR 之間同步處理警告和事件。

這項工作可確保兩個平台的事件狀態、留言和指派使用者保持一致。

工作行為

Palo Alto Cortex XDR - Sync Incidents 工作會透過下列機制，促進雙向同步處理：

同步處理階段：工作會分兩個階段執行：
1. 將 Google SecOps 的狀態更新推送至 Palo Alto Cortex XDR。
2. 從 Palo Alto Cortex XDR 提取修改內容，更新 Google SecOps。
處理時間範圍：在第一次疊代中，工作會根據 Max Hours Backwards 處理案件。後續執行作業會根據上次同步快訊的時間戳記處理更新。
案件識別：工作會搜尋 Palo Alto XDR Incident 標記，找出相關案件。
手動對應：如果案件並非來自 Palo Alto Cortex XDR 連接器，請務必執行下列兩個步驟：
1. 在案件中加入 Palo Alto XDR Incident 標記。
2. 新增包含 XDR 事件 ID 的 Incident_ID 情境值。
註解同步處理：工作會使用下列規則，在平台之間同步處理註解：
- 源自 XDR 的註解開頭會加上 Palo Alto XDR:。
- 源自 Google SecOps 的註解會加上 Google SecOps: 前置字元。
- 同步處理作業會納入案件結案註解，確保稽核追蹤記錄一致。
結案邏輯和備用方案：案件解決後，工作會將結案原因對應至 XDR 中適當的「原因」和「根本原因」。如果 XDR 環境中找不到特定組合，工作會使用一般備用選項，確保事件順利關閉。
使用者指派：如果已設定使用者對應 JSON，工作會同步指派對象。如果使用者未出現在對應中，系統會略過該使用者的同步處理作業，並記錄下來。
情境快訊資料：每個案件的 XDR_ALERTS 情境值中，都會維護與事件相關聯的快訊清單。

工作參數

Palo Alto XDR - Sync Incidents 工作需要下列參數：

參數	說明
`Environment Name`	這是必填欄位。要同步處理事件的環境名稱。預設值為 `Default Environment`。
`Api Root`	這是必填欄位。 Palo Alto Cortex XDR API 根網址。
`Api Key`	這是必填欄位。用於向 Palo Alto Cortex XDR 伺服器驗證的 API 金鑰。
`Api Key ID`	這是必填欄位。與 Palo Alto XDR API 金鑰相關聯的 ID。
`Max Hours Backwards`	這是必填欄位。在初始工作疊代期間，同步處理目前時間前幾小時的事件。預設值為 `24`。
`User Mapping JSON`	選填。 JSON 物件，用於將 Google SecOps 顯示名稱對應至 XDR 使用者名稱，以便同步案件指派對象。請使用下列格式： `{ "Google SecOps Display Name": "XDR Username" }` 如未提供值，系統會略過使用者同步處理。
`Verify SSL`	這是必填欄位。如果選取，整合功能會在連線至 Palo Alto Cortex XDR 伺服器時驗證 SSL 憑證。 (預設為啟用)。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。