案件應對手冊總覽

快訊應對手冊著重於個別快訊，案件應對手冊則可讓您在整個案件的更廣泛範圍內執行自動化工作流程。

在案件層級執行工作流程有三大優點：

• 案件專屬情境：您可以為直接套用至案件容器 (而非特定警示) 的作業工作建立自動化功能。
• 合併執行：您可以對案件或其合併實體執行單一動作，不必為每則個別快訊分別執行動作，這樣可減少多餘工作，並節省第三方 API 點數。
• 案件層級回應觸發條件：您可以根據調查期間案件本身發生的生命週期變更，自動觸發工作流程。

瞭解案件應對手冊

因為單一案件通常會將多個類似警示歸類在一起，所以逐一對警示執行劇本可能會導致效率不彰。舉例來說，您可能會看到劇本多次重設使用者密碼，或花費第三方 API 點數，在十個不同的快訊中，擴充完全相同的 IP 位址。

案件應對手冊會查看整個案件容器，解決這個問題。您可以存取與該案件相關的所有警告和實體。這樣一來，您就能針對整個案件執行單一作業動作，例如向團隊傳送統一的 Slack 通知，或在外部系統中開啟單一追蹤單，不必為每個個別快訊觸發重複動作。

案件應對手冊也會導入回應觸發條件。您可根據調查期間發生的事件 (例如案件優先順序變更或案件重新指派)，自動觸發這些應對手冊，而不只是在收到警報時執行。

常見用途

如果您需要著重於整體事件，而非個別事件，就很適合使用案件應對手冊。常見情況包括：

• 案件建立時：在開啟新案件時立即執行自動化工作流程。 例如，您可以在外部 IT 服務管理 (ITSM) 系統中自動建立追蹤票證。
• 調查期間手動附加檔案：直接在案件容器中執行單一集中式工作流程。舉例來說，如果您需要對從各種警示收集到的所有實體重新執行擴充區塊，案件劇本會在案件層級執行這項動作一次，而不是分別逐一處理每個警示。
• 使用回應觸發條件：根據生命週期更新自動執行工作。 舉例來說，當案件指派對象變更時，您可以自動觸發 Slack 通知或指派新工作。

支援的觸發條件

案件應對手冊會使用特定觸發條件，判斷執行時間。這些項目分為兩類：

擷取觸發條件

這些觸發條件會控管新案件建立時，應對手冊的附加方式：

• 所有：將應對手冊附加至每個新建立的案件。
• 自訂觸發條件：根據您選擇評估的特定欄位附加應對手冊。
• 標記名稱：只有在擷取案件時附上特定標記 (在 SOAR 設定中設定)，才會附加應對手冊。

詳情請參閱「在緊急應變手冊中使用觸發條件」。

回應觸發條件

這些觸發條件會根據調查期間所做的變更，自動做出回應：

• 變更案件指派對象：當案件的擁有權在分析人員或 SOC 角色之間轉移時觸發。
• Case Custom Field Changed：案件層級自訂欄位或案件背景資訊值更新時觸發。
• 案件優先順序已變更：案件的全球嚴重性或優先順序等級更新時觸發。
• Case Stage Changed：案件在調查生命週期階段之間轉換時 (例如從 Triage 移至 Containment)，就會觸發這項事件。
• 已新增案件標記：在案件中新增標記時觸發。您可以設定這個觸發條件，監聽任何代碼或篩選特定代碼值。
• 已新增案件註解：在案件中發布新留言時觸發。 您可以設定條件，只有在留言文字或附件的檔案名稱符合特定條件時，才觸發規則。

詳情請參閱「在應對手冊中使用回應觸發條件」。

建立及設定案件應對手冊

如要設定案件應對手冊，請按照下列步驟操作：

選擇應對手冊範圍

建立新應對手冊時，請從範圍選項中選取「案件」 (預設選項為「快訊」)。

選擇「Case」後，應對手冊建立工具會更新，顯示專為案件層級作業設計的擷取和回應觸發條件。

手動建立案件

手動建立案件時，您可以直接在精靈中附加案件範圍的應對手冊，在建立案件容器後執行。如需詳細操作說明，請參閱「建立手動案件」。

案件範圍的人工判決處罰

Content Hub 中的所有標準動作都會直接在案件上執行。分析師可以從案件介面，對案件容器執行手動動作，不必附加或執行完整應對手冊。手動快訊動作會針對個別或大量選取的快訊分別執行，但手動案件動作只會針對整個案件內容執行一次。

如要從案件介面執行手動動作，請按照下列步驟操作：

1. 開啟案件，然後按一下工具列中的「人工判決處罰」圖示。
2. 選取要在「案件層級」或「快訊層級」執行動作。
3. 選擇要執行的特定動作，並設定所有必要參數。
4. 點選「Execute」。

實體範圍和重複資料刪除

案件是較高層級的容器，可將多個個別快訊分組。由於案件中的每個警示都會帶來各自的實體清單，因此完全相同的實體 (例如特定 IP 位址或主機名稱) 通常會出現在多個警示中。從整體來看，案件自然會包含這些重複的實體。

為管理這項功能，案件應對手冊會自動將與案件相關聯的不同快訊中的所有實體，匯總到單一清單中。為確保第三方 API 使用效率，並避免重複處理相同實體，每個案件劇本動作都包含「重複實體」切換按鈕：

• 已啟用 (預設)：這項動作會找出不重複的實體 (依據 ID 和類型)，並只將該不重複的實體組合傳送至第三方工具。結果出爐後，這項工作手冊會自動將這些詳細資料複製到案件中所有相符的重複實體，有助於節省 API 抵免額。

• 已停用：如要對實體的每個例項 (包括重複項目) 執行動作，或想將重複項目保留在初始範圍中，以便稍後在工作流程中篩選，請關閉這項設定。

迴圈內簡化

使用實體迴圈時，「開始迴圈」步驟設定中會提供「簡化迴圈實體」切換鈕 (預設為啟用)：

• 啟用 (預設)：迴圈只會對不重複的案件實體執行，並略過重複的實體。啟用這項設定後，迴圈內動作的行為取決於「將範圍鎖定至疊代」設定：
  • 已啟用「將範圍鎖定為疊代」：內部迴圈動作只會看到目前迴圈的實體。動作完成後，結果會自動套用至案件中所有相符的重複項目。
  • 「將範圍鎖定至疊代」已停用：內部迴圈動作仍會瞭解整個案件實體陣列，讓您手動設定步驟處理更廣泛的背景資訊，就像任何標準動作一樣。
• 已停用：迴圈會疊代案件中所有警告的所有重複實體。如果重複實體的特定例項包含需要處理的不重複警告層級屬性，這項功能就非常實用。

使用應對手冊模塊

應對手冊區塊與範圍無關，也就是說，區塊不會與特定快訊或案件情境綁定。您只要建構一次區塊，就能在警報和案件應對手冊中使用。

在案件應對手冊中放置區塊時，區塊步驟會包含「簡化實體」切換鈕，預設為開啟。啟用後，所有內部區塊動作都會針對不重複的案件實體執行，略過重複項目，並自動將結果套用至案件中相符的重複項目。

限制和注意事項

• 應對手冊名稱不得重複：應對手冊名稱在平台中不得重複。案件應對手冊和快訊應對手冊不得使用完全相同的名稱。如要瞭解附件限制和應對手冊容量，請參閱「將應對手冊附加至快訊或案件」。
• 報表和匯出排除項目：系統會從舊版監控資訊主頁和 SOAR 資料匯出 (受管理 BigQuery 和自備 BigQuery (BYOBQ)) 中，排除案件劇本的執行作業。

整合版本控管，全面支援案件應對手冊

為確保案件劇本功能穩定運作，請將整合項目更新至最低必要版本。如果使用舊版整合服務，部分案件劇本功能可能無法正常運作。

整合	最低版本
AlienVaultAppliance	28
ConnectWise	23
EmailUtilities	50
內容豐富度	35
FileUtilities	25
GoogleChronicle	84
Jira	58
MISP	40
ServiceDeskPlus	10
ServiceDeskPlusV3	10
ServiceNow	67
Siemplify	108
TemplateEngine	23
工具	81

如需詳細的功能支援和更新操作說明，請參閱特定整合項目的說明文件。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。