我們重新調整了說明文件的導覽結構，直接對應您的作業工作流程。詳情請參閱版本資訊和逐步解說影片。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

整合 SentinelOne Singularity Operations Center 與 Google SecOps

本文說明如何設定 SentinelOne Singularity Operations Center，並與 Google Security Operations 整合。

用途

SentinelOne Singularity Operations Center 整合功能可協助您執行下列操作：

集中分類和調查：從 SentinelOne Singularity Operations Center 存取整合式警示、資產、指標和可觀察項目，簡化分析師工作流程。
更新快訊狀態和判決：直接透過 Google SecOps 以程式輔助方式更新快訊詳細資料、指派對象和判決。
新增分析師附註：將案件註解和附註同步回 SentinelOne Singularity Operations Center 快訊。

事前準備

如要驗證 Google SecOps 與 SentinelOne Singularity Operations Center 執行個體之間的連結，請務必提供有效的 API 權杖。

您可以在 SentinelOne 管理控制台中產生個人 API 權杖。

如需產生及管理權杖的詳細操作說明，請前往 SentinelOne 客戶入口網站。

整合參數

整合 SentinelOne Singularity Operations Center 時，需要下列參數：

參數
`API Root`	必要 SentinelOne Singularity Operations Center 執行個體的 API 根目錄。
`API Token`	必要 SentinelOne Singularity Operations Center 執行個體的 API 權杖。
`Verify SSL`	必要如果選取這個選項，整合功能會在連線至 SentinelOne Singularity Operations Center 時驗證 SSL 憑證。(此為預設選項)。

如需在 Google SecOps 中設定整合功能的說明，請參閱「設定整合功能」。

動作

如要進一步瞭解動作，請參閱「回覆工作台中的待處理動作」和「執行人工判決處罰」。

新增快訊註解

使用「新增快訊註解」動作，在 SentinelOne Singularity Operations Center 中為快訊新增註解。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「新增快訊註解」動作需要下列參數：

參數
`Alert ID`	必要指定要更新的快訊 ID。
`Comment`	必要指定快訊的註解。

動作輸出內容

「新增快訊註解」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表	無法使用
JSON 結果	無法使用
指令碼結果	可用

指令碼結果

下表列出使用「新增快訊註解」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

動作輸出訊息

「新增快訊註解」動作會提供下列輸出訊息：

輸出訊息	訊息說明
`Successfully added comment to the alert with ID ALERT_ID in SentinelOne Singularity Operations Center.`	動作成功。
`Error executing action "Add Alert Comment". Reason: ERROR_REASON`	動作失敗。檢查伺服器連線、輸入參數或憑證。
`Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in SentinelOne Singularity Operations Center. Please check the spelling.`	動作失敗。檢查快訊 ID 的拼字。

Ping

使用「Ping」動作測試與 SentinelOne Singularity Operations Center 的連線。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

這項動作沒有輸入參數。

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表	無法使用
JSON 結果	無法使用
指令碼結果	可用

指令碼結果

下表列出使用「Ping」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

動作輸出訊息

「Ping」動作會提供下列輸出訊息：

輸出訊息	訊息說明
`Successfully connected to SentinelOne Singularity Operations Center.`	動作成功。
`Error executing action "Ping". Reason: ERROR_REASON`	動作失敗。檢查伺服器連線、輸入參數或憑證。

更新警告內容

使用「Update Alert」(更新快訊) 動作，在 SentinelOne Singularity Operations Center 中更新快訊的狀態、判決或指派對象。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「更新快訊」動作需要下列參數：

參數
`Alert ID`	必要指定要更新的快訊 ID。
`Status`	選用指定快訊的狀態。可能的值：`New`、`In Progress`、`Resolved`。
`Verdict`	選用指定快訊的判定結果。可能的值包括： `True positive/Malware` `True positive/Unauthorized access` `True positive/Data exfiltration` `True positive/Insider threat` `True positive/Phishing attack` `True positive/Advanced persistent threat` `True positive/Denial of service` `True positive/Ransomware` `True positive/Policy violation` `True positive/Benign but suspicious` `True positive/Benign` `True positive/Undefined` `True positive/Exploitation tools` `True positive/PUA Adware` `False positive/Benign` `False positive/Benign but suspicious` `False positive/System error` `False positive/User error` `False positive/Undefined`
`Assignee`	選用指定要將快訊指派給哪位分析師。如果提供 `Unassign`，這項動作會從快訊中移除指派對象。

動作輸出內容

「更新快訊」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件總覽表格	無法使用
補充資訊表	無法使用
JSON 結果	可用
指令碼結果	可用

指令碼結果

下表列出使用「更新快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
`is_success`	`true`或`false`

動作輸出訊息

「更新快訊」動作會提供下列輸出訊息：

輸出訊息	訊息說明
`Successfully updated alert with ID ALERT_ID in SentinelOne Singularity Operations Center.`	動作成功。
`Error executing action "Update Alert". Reason: ERROR_REASON`	動作失敗。檢查伺服器連線、輸入參數或憑證。
`Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in SentinelOne Singularity Operations Center. Please check the spelling.`	動作失敗。檢查快訊 ID 的拼字。

連接器

如要進一步瞭解連接器，請參閱「使用連接器擷取資料」。

SentinelOne Singularity Operations Center - Unified Alerts Connector

使用 SentinelOne Singularity Operations Center - Unified Alerts Connector，從 SentinelOne Singularity Operations Center 提取整合式快訊。

連接器參數

使用下列參數設定連接器：

參數
`Product Field Name`	必要輸入來源欄位名稱，即可擷取產品欄位名稱。預設：`Product Name`。
`Event Field Name`	必要輸入來源欄位名稱，即可擷取事件欄位名稱。預設：`event_type`。
`Environment Field Name`	選用說明儲存環境名稱的欄位名稱。如果找不到環境欄位，環境就是預設環境。
`Environment Regex Pattern`	選用要對「環境欄位名稱」欄位中的值執行的 regex 模式。預設值為 `.*`，可擷取所有內容並傳回未變更的值。
`Script Timeout (Seconds)`	必要執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。預設：`180`。
`API Root`	必要 SentinelOne Singularity Operations Center 執行個體的 API 根目錄。
`API Token`	必要 SentinelOne Singularity Operations Center 執行個體的 API 權杖。
`Lowest Severity To Fetch`	選用要擷取的問題最低嚴重程度。如果未提供任何內容，連接器會擷取所有嚴重程度的問題。可能的值：`Critical`、`High`、`Medium`、`Low`、`Info`。
`Max Hours Backwards`	必要要擷取警示的小時數。預設：`1`。
`Max Alerts To Fetch`	必要每個連接器疊代要處理的快訊數量。預設：`10`。
`Use dynamic list as a blocklist`	必要如果啟用，系統會將動態清單當做封鎖清單使用。(預設為不勾選)。
`Disable Overflow`	選用啟用後，連接器會忽略溢位機制。(預設為不勾選)。
`Verify SSL`	必要如果選取這個選項，系統會驗證連線至 SentinelOne Singularity Operations Center 伺服器的 SSL 憑證是否有效。(預設為不勾選)。
`Proxy Server Address`	選用要使用的 Proxy 伺服器位址。
`Proxy Username`	選用用於驗證的 Proxy 使用者名稱。
`Proxy Password`	選用用於驗證的 Proxy 密碼。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。