我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

将 SentinelOne Singularity Operations Center 与 Google SecOps 集成

本文档介绍了如何配置 SentinelOne Singularity Operations Center 并将其与 Google Security Operations 集成。

使用场景

借助 SentinelOne Singularity Operations Center 集成，您可以执行以下操作：

集中进行初步诊断和调查：通过 SentinelOne Singularity Operations Center 访问统一的提醒、资产、指示和可观测对象，从而简化分析师工作流程。
更新提醒状态和判决：直接从 Google SecOps 以程序化方式更新提醒详细信息、受让人和判决。
添加分析师备注：将支持请求评论和备注同步回 SentinelOne Singularity Operations Center 提醒。

准备工作

如要验证 Google SecOps 与 SentinelOne Singularity Operations Center 实例之间的连接，您必须提供有效的 API 令牌。

您可以在 SentinelOne 管理控制台中生成个人 API 令牌。

如需详细了解如何生成和管理令牌，请访问 SentinelOne 客户门户。

集成参数

SentinelOne Singularity Operations Center 集成需要以下参数：

参数
`API Root`	必需 SentinelOne Singularity Operations Center 实例的 API 根。
`API Token`	必需 SentinelOne Singularity Operations Center 实例的 API 令牌。
`Verify SSL`	必需如果选中此复选框，集成会在连接到 SentinelOne Singularity Operations Center 时验证 SSL 证书。此选项将会默认选中。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

操作

如需详细了解操作，请参阅在“工作台”中处理待处理的操作和执行人工处置措施。

添加提醒注释

使用 Add Alert Comment 操作可向 SentinelOne Singularity Operations Center 中的提醒添加评论。

此操作不适用于 Google SecOps 实体。

操作输入

添加提醒注释操作需要以下参数：

参数
`Alert ID`	必需指定需要更新的提醒的 ID。
`Comment`	必需指定提醒的注释。

操作输出

添加提醒评论操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	不可用
脚本结果	可用

脚本结果

下表列出了使用添加提醒注释操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

操作输出消息

添加提醒注释操作会提供以下输出消息：

输出消息	消息说明
`Successfully added comment to the alert with ID ALERT_ID in SentinelOne Singularity Operations Center.`	操作成功。
`Error executing action "Add Alert Comment". Reason: ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。
`Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in SentinelOne Singularity Operations Center. Please check the spelling.`	操作失败。检查提醒 ID 的拼写。

Ping

使用 Ping 操作测试与 SentinelOne Singularity Operations Center 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

此操作没有输入参数。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	不可用
脚本结果	可用

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

操作输出消息

Ping 操作提供以下输出消息：

输出消息	消息说明
`Successfully connected to SentinelOne Singularity Operations Center.`	操作成功。
`Error executing action "Ping". Reason: ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。

更新提醒

使用 Update Alert 操作可在 SentinelOne Singularity Operations Center 中更新提醒的状态、判决或受让人。

此操作不适用于 Google SecOps 实体。

操作输入

更新提醒操作需要以下参数：

参数
`Alert ID`	必需指定需要更新的提醒的 ID。
`Status`	可选指定提醒的状态。可能的值：`New`、`In Progress`、`Resolved`。
`Verdict`	可选指定提醒的判定结果。可能的值： `True positive/Malware` `True positive/Unauthorized access` `True positive/Data exfiltration` `True positive/Insider threat` `True positive/Phishing attack` `True positive/Advanced persistent threat` `True positive/Denial of service` `True positive/Ransomware` `True positive/Policy violation` `True positive/Benign but suspicious` `True positive/Benign` `True positive/Undefined` `True positive/Exploitation tools` `True positive/PUA Adware` `False positive/Benign` `False positive/Benign but suspicious` `False positive/System error` `False positive/User error` `False positive/Undefined`
`Assignee`	可选指定需要将提醒分配给的分析师的名称。如果提供了 `Unassign`，则相应操作会从提醒中移除分配。

操作输出

更新提醒操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
脚本结果	可用

脚本结果

下表列出了使用更新提醒操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

操作输出消息

更新提醒操作提供以下输出消息：

输出消息	消息说明
`Successfully updated alert with ID ALERT_ID in SentinelOne Singularity Operations Center.`	操作成功。
`Error executing action "Update Alert". Reason: ERROR_REASON`	操作失败。检查与服务器的连接、输入参数或凭据。
`Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in SentinelOne Singularity Operations Center. Please check the spelling.`	操作失败。检查提醒 ID 的拼写。

连接器

如需详细了解连接器，请参阅使用连接器提取数据。

SentinelOne Singularity Operations Center - Unified Alerts 连接器

使用 SentinelOne Singularity Operations Center - Unified Alerts Connector 从 SentinelOne Singularity Operations Center 拉取统一的提醒。

连接器参数

使用以下参数配置连接器：

参数
`Product Field Name`	必需输入源字段名称，以便检索产品字段名称。默认值：`Product Name`。
`Event Field Name`	必需输入源字段名称，以便检索事件字段名称。默认值：`event_type`。
`Environment Field Name`	可选描述存储环境名称的字段的名称。如果找不到环境字段，则环境为默认环境。
`Environment Regex Pattern`	可选要对“环境字段名称”字段中找到的值运行的正则表达式模式。默认值为 `.*`，用于捕获所有内容并返回未更改的值。
`Script Timeout (Seconds)`	必需运行当前脚本的 Python 进程的超时时间限制（以秒为单位）。默认值：`180`。
`API Root`	必需 SentinelOne Singularity Operations Center 实例的 API 根。
`API Token`	必需 SentinelOne Singularity Operations Center 实例的 API 令牌。
`Lowest Severity To Fetch`	可选要提取的问题的最低严重程度。如果未提供任何内容，连接器会注入所有严重程度的问题。可能的值：`Critical`、`High`、`Medium`、`Low`、`Info`。
`Max Hours Backwards`	必需提取提醒的小时数。默认值：`1`。
`Max Alerts To Fetch`	必需每次连接器迭代要处理的提醒数量。默认值：`10`。
`Use dynamic list as a blocklist`	必需如果启用，动态列表将用作屏蔽列表。默认情况下处于未选中状态。
`Disable Overflow`	可选如果启用，连接器会忽略溢出机制。默认情况下处于未选中状态。
`Verify SSL`	必需如果选中此选项，则验证与 SentinelOne Singularity Operations Center 服务器的连接的 SSL 证书是否有效。默认情况下处于未选中状态。
`Proxy Server Address`	可选要使用的代理服务器的地址。
`Proxy Username`	可选用于进行身份验证的代理用户名。
`Proxy Password`	可选用于进行身份验证的代理密码。