管理應對手冊觸發條件
支援：
Google SecOps
SOAR
擷取觸發條件會定義初始條件，當新快訊或案件進入系統時，應對手冊會根據這些條件自動附加。您可以在建構應對手冊的初始階段設定這些觸發條件。
如要查看選項，請開啟「觸發條件」選單，然後選取「擷取」分頁標籤。
可用的擷取觸發條件
「擷取」分頁中的選項會根據您設定劇本時選擇的範圍動態變更。
案件範圍擷取觸發條件
如果使用「案件」範圍設定劇本，選單會篩選出下列選項：
- 全部：將應對手冊附加至每個新建立的案件。
- 自訂觸發條件：根據您定義的特定篩選規則，附加應對手冊。
- 標記名稱：只有在案件包含特定標記時，才會附加應對手冊。 如要管理這些標記，請前往「SOAR 設定」>「案件資料」>「標記」。
警告範圍擷取觸發條件
設定快訊範圍的自動化動作時，可以選擇下列選項：
- 警告觸發條件值：根據連接器中預先定義的欄位觸發。建議改用自訂觸發條件。
- 快訊類型：根據設定連接器時設定的「規則產生器」欄位觸發。詳情請參閱「設定連接器」。
- 全部：針對環境中產生的每個警告觸發應對手冊。
- 自訂名單：根據設定中預先定義的自訂名單觸發。
- 自訂觸發條件：根據特定相符項目的自訂預留位置觸發。
- 網路名稱：如果警報涉及定義的子網路內實體，就會觸發警報。
- 產品名稱：當快訊來自特定產品或連接器時觸發。
- 代碼名稱：如果擷取期間新增特定代碼，就會觸發。如要 管理這些標記，請依序前往「SOAR 設定」>「案件資料」>「標記」。
如要瞭解在進行中的調查期間觸發的事件和生命週期觸發條件，請參閱「在應對手冊中使用反應觸發條件」。
在 Playbook 中新增擷取觸發條件
如要在工作流程中新增擷取觸發條件，請按照下列步驟操作：
- 建立新的應對手冊。詳情請參閱「使用 Gemini 建立及編輯劇本」。
- 在「建立應對手冊」對話方塊中，選取應對手冊的「範圍」(「警告」或「案件」)，載入正確的觸發條件組合，然後按一下「建立」。
- 在「步驟選取」選單中，選取「觸發條件」。
- 選取「Ingestion」分頁標籤，選擇觸發條件，然後拖曳至應對手冊面板的第一個步驟方塊。
- 在畫布上按兩下觸發條件圖示，開啟參數側邊抽屜。
- 在「參數」下方，定義評估條件 (例如「等於」、「包含」或「開頭為」)，並輸入自動化規則的目標值。
儲存變更後，參數詳細資料會直接顯示在畫布上的觸發條件說明中。
現在可以繼續使用動作建構應對手冊。詳情請參閱「管理劇本中的動作」。
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。