探索 playbook 应用场景

支持的平台：

本文档讨论了您可以在 playbook 中自动执行的一些基本用例。

在 playbook 中发送邮件

您可以将互动式电子邮件通信纳入 playbook 中。借助内置的电子邮件操作，您可以从 Google SecOps 平台发送外发电子邮件，并自动跟踪、注入用户回复并将其直接记录到案例中，从而确保记录所有通信和用户输入，以便进一步处理 playbook。

准备工作

在开始之前，您需要启用电子邮件功能，这需要您安装以下集成之一：

发送电子邮件

如需发送电子邮件并在 Google SecOps 中记录其响应，请按以下步骤操作：

  1. 选择发送邮件操作以发送电子邮件。
  2. 添加等待用户发送邮件操作，以定期查询邮箱是否有回复。此操作通过使用唯一 ID 来确定信函的对应关系。

收到回答后，系统会将其提取到平台中。

您可以在支持请求墙上看到该响应，并将其用作 playbook 中其他操作的输入。

在 VirusTotal 中扫描多个网址

VirusTotal 扫描网址操作会遍历所选范围的实体，并针对每个网址类型的实体向 VirusTotal 发出请求。完成后，该操作会使用 VirusTotal 报告来丰富网址实体，并在支持请求墙上发布结果。 系统会公开 is_risky 值，以便您向 playbook 添加更多条件，从而应对高风险网址。如需详细了解如何使用扫描哈希操作通过 VirusTotal 扫描文件哈希、将实体标记为可疑实体并显示数据分析，请参阅 VirusTotal 的扫描哈希操作。

扫描通过电子邮件收到的网址

您可以构建一个安全自动化工作流，用于提取和扫描入站电子邮件中的网址，以检测钓鱼式攻击链接或恶意链接。此流程可确保在任何危险链接造成风险之前将其中和，从而让您的剧本立即采取行动，例如屏蔽相应网址或隔离相应电子邮件。

准备工作

您必须在环境中安装并配置以下集成：

  • 电子邮件集成：Microsoft Graph Mail 或 Gmail（用于读取和提取电子邮件/提醒中的数据）。
  • 信誉集成：VirusTotal 或类似的网址分析工具。

如需扫描通过电子邮件收到的网址，您需要配置一个连接器来监控邮箱（使用电子邮件或 Exchange 集成）。

在 playbook 中构建扫描逻辑

请按照以下步骤在 playbook 中构建扫描逻辑：

  1. 使用电子邮件集成的操作（例如 Gmail_Search For Emails）获取完整的邮件正文或事件数据。使用表达式构建工具解析电子邮件，并提取要扫描的特定网址。如需了解详情，请参阅使用表达式构建器。
    当电子邮件开始进入 Google Security Operations SOAR 时，其内容可以通过映射功能进行解析，也可以通过 Create Entity playbook 操作（如果 playbook 附加到传入的电子邮件）进行提取。
  2. 添加您选择的操作（例如 VirusTotal_Scan 网址），并使用占位符输入上一步中提取的网址。
  3. 在扫描操作后立即添加条件流。如需了解详情，请参阅使用 playbook 中的流程。
  4. 配置条件的各个分支，以评估信誉扫描的 JSON 结果：
    • 分支 1（恶意）：如果 Scan Result 被报告为恶意（例如，得分 > 5，或特定引擎发现了威胁）。
    • 分支 2（干净/未知）：如果 Scan Result 是干净的，或者条件未能找到恶意指标。

提取所有网址后，您可以在人工操作和 playbook 中使用这些网址。

向手机号码发送消息

如需向手机号码发送消息，您必须安装 Twilio 集成，并且拥有有效的 Twilio 账号。

在内容中心内配置完成后，Twilio 操作将允许您发送短信，甚至根据短信回复分叉 playbook。

将支持请求数据中的元素放入电子邮件中

占位符是 playbook 操作中使用的动态表达式，用于将特定案例数据、实体属性或提醒详细信息插入文本字段（例如电子邮件）。在运行时，占位符会被从 Google Security Operations 平台提取的实际数据替换。

占位符结构

占位符始终以方括号 [ ] 开头和结尾，其中包含具体的数据路径（例如，[Alert.Name] 引用了提醒的名称）。

以下占位符不会针对任何自动操作进行呈现：

  • General.CurrentUserEmail
  • General.CurrentUserID
  • General.CurrentUserFullName
  • General.CurrentUserRole

使用占位符

如需使用占位符，请按以下步骤操作：

  1. 点击文本字段（例如发送电子邮件操作中的“消息”字段）旁边的 data_array 占位符。
  2. 选择要插入占位符的首选内容路径（例如 [Alert.Name]）。

您可以将多个占位符与静态文本相结合，以创建丰富的自定义内容。

构建一个 playbook，用于从案例 PDF 文件中提取文本

此使用情形介绍了如何构建剧本，以从附加到支持请求的 PDF 文件中提取文本。它使用远程代理将 PDF 转换为图片，然后使用光学字符识别 (OCR) 技术提取文本。该 playbook 使用 FileUtilities 集成来处理附件，并使用 ImageUtilities 集成来提取文本。您可以在后续的剧本步骤中使用提取的文本。

准备工作

  1. 在内容中心内，前往 Power Up。
  2. 安装 FileUtilities 和 ImageUtilities 集成。
  3. 配置远程代理：
    1. 验证您是否已设置并运行远程代理。
    2. 您必须配置 FileUtilities 和 ImageUtilities Power Up，以便在远程代理上运行。
    3. 在远程代理上安装依赖项：
      4. 对于 CentOS 7/RHEL：
      • 1 sudo yum update -y
      • 2 sudo yum install -y epel-release
      • 3 sudo yum install -y poppler-utils # Provides pdftoppm for PDF conversion
      • 4 sudo yum install -y tesseract # OCR engine
      对于 Ubuntu：
      • sudo apt-get update
      • sudo apt-get install -y poppler-utils # Provides pdftoppm for PDF conversion
      • sudo apt-get install -y tesseract-ocr # OCR engine

构建 playbook

如需构建 playbook，请执行以下操作：

  1. 使用 FileUtilities 通过 Get Attachment 操作获取附件。
  2. 使用 FileUtilities Save Base64 to File 操作按如下方式保存文件：
    • 文件扩展名：.pdf
    • Base64 输入：[Get Attachment.JsonResult| "base64_blob"]
    • 文件名：[Get Attachment.JsonResult| "evidenceName"]
  3. 使用 ImageUtilities 转换文件：
    • 输入文件格式：PDF
    • 输入文件路径：[Save file to Remote Agent.JsonResult| "files.file_path"]
    • 输出文件格式：PNG
  4. 使用 ImageUtilities OCR Image 操作开始 OCR 流程：
    • 文件路径： [Convert PDF to PNG.JsonResult| "file_path"]
  5. 使用 Siemplify Case Comment // Any 操作提取结果
    • 注释： [OCR Image.JsonResult| "extracted_text"]

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。