建立擴充應對手冊區塊

支援的國家/地區：

Google SecOps SOAR

本文說明如何建立可重複使用的區塊，以便在 Google Security Operations 劇本中使用，透過各種第三方威脅情報和資訊服務的資料，擴充實體 (例如 IP、網域、檔案雜湊和使用者)。使用區塊可提升模組化程度、確保一致性，並簡化多個劇本的維護作業。

核心概念

建構可處理各種實體類型及查詢多項第三方服務的區塊前，請先詳閱下列原則和規定。

輸入內容：這個區塊通常會對快訊環境中的實體執行作業。動作會自動指定實體，因此通常不需要特殊區塊輸入內容。
輸出：這個區塊會新增含有擴充資料的欄位或屬性，藉此修改快訊環境中的實體。通常不需要傳回特定輸出值。
抽象原則：
- 與服務無關：新增或移除智慧來源。
- 實體類型處理：根據實體類型有條件地執行動作。
- 可設定：可切換來源及設定參數。舉例來說，您可以透過整合設定或環境變數，設定可疑標記的門檻。

本節說明如何建立擴充區塊。

這個範例會建立名為「TPI_Enrich_Entities」(第三方智慧型資訊擴充實體) 的區塊。

如要定義區塊，請按照下列步驟操作：

依序前往「回應」 >「劇本」。
按一下「新增」，然後選取「封鎖」。
輸入方塊名稱：TPI_Enrich_Entities。
提供清楚的說明：Enriches entities (IPs, domains, hashes, URLs) using various third-party intelligence services。
除非服務金鑰是環境專屬，否則請讓所有環境都能使用該區塊。

如要將擴充動作新增至區塊，請視需要從各第三方服務的「動作」集中，拖曳下列動作 (和其他服務)：

VirusTotal v3：
- Enrich Hash
- Enrich IP
- Enrich Domain
- Enrich URL
Mandiant Threat Intelligence：
- Mandiant Enrich Entities 這項動作通常會在內部處理多個實體類型。
AbuseIPDB：
- Enrich IP

如要設定動作，請按照下列步驟操作：

如要設定區塊來處理錯誤，請按照下列步驟操作：

在每個動作的設定中，開啟「在失敗時重試」滑桿。一般來說，建議至少重試一次擴充動作，以免第三方發生網路或負載問題，但隨後自行修正。後續重試次數取決於 API 配額，以及第三方整合服務的主題專業知識。
設定「如果動作失敗」選項。一般來說，建議將此項設為「略過」，以免單一服務發生故障時，整個擴充程序都會停止。您可以手動查看任何失敗的步驟。

設定完畢後，請儲存封鎖條件，即可將其新增至劇本封鎖條件。

如要新增擴充來源來延長封鎖時間，請按照下列步驟操作：

如要在應對手冊中使用這個區塊，請按照下列步驟操作：

開啟要新增擴充功能的劇本。這通常適用於大多數劇本。
在「Playbook」編輯器中，前往「Blocks」分頁。
將 TPI_Enrich_Entities 區塊拖曳到劇本流程中，通常是在觸發條件和初步分類步驟之後。由於模塊例項會對快訊實體採取行動，因此通常不需要特殊參數。

問題	建議
未顯示強化資料	檢查案件劇本執行記錄或案件總覽頁面，確認區塊動作是否有錯誤。確認快訊實體符合該區塊支援的類型。確認您未超過 API 使用頻率限制。
動作失敗	查看執行記錄中的錯誤訊息。常見問題包括網路問題、無效的 API 金鑰或服務中斷。由於動作在失敗時會設為 `Skip`，因此其他服務仍應執行。
非預期資料	查看擴充動作的原始 JSON 輸出內容，瞭解結構。視需要調整任何自訂欄位對應或顯示小工具。

以下是使用區塊的建議做法。

在設定中安全地管理 API 金鑰。請勿在劇本或區塊中以硬式編碼方式加入任何憑證。

為欄位名稱加上前置字元：將擴充資料新增至實體時，請使用來源名稱做為鍵前置字元。這是為了避免衝突並提供清楚的資訊。許多整合服務會自動執行這項作業。如果手動剖析資料，請新增 VT_DetectionRatio、MDT_Score、AIPDB_Confidence 等前置字串。
正規化：區塊內的完整正規化作業可能很複雜，但請注意不同的資料格式。盡可能確保資料格式一致。
JSON 結果：許多動作都會傳回 JSON。使用內建的 JSON 路徑運算式，從傳回 JSON 的動作中擷取重要資訊。