使用應對手冊模塊

支援：

模塊基本上是可重複使用的小型應對手冊，可讓您在多個應對手冊中實作常見的工作流程和邏輯決策。由於區塊可重複使用，因此只要編輯或變更區塊，所有納入該區塊的應對手冊都會自動套用變更，有助於提升維護和改善效率。

您可以在區塊中設定輸入參數欄位，以便在其他劇本中使用區塊時，調整其內部動作流程。此外，區塊也可以將輸出值傳回父項應對手冊，在較大的工作流程中支援動態互動和條件邏輯。

事前準備

建立教戰手冊區塊前，建議您先花點時間，規劃預計在父項教戰手冊中重複使用的特定程序。此外，請考慮需要設定哪些輸入欄位，才能讓這些區塊彈性調整。

新增方塊

這個範例會建立一個區塊，用於管理 SOC 與用戶端之間的通訊。

如要新增區塊，請按照下列步驟操作：

  1. 在「Playbooks」頁面，按一下 「Add」(新增)，選擇資料夾和環境，然後點選「Create」(建立)。建議管理員使用者按一下「All Environments」(所有環境)。
  2. 輸入新劇本區塊的名稱。
  3. 新增輸入：
    1. 選取「輸入裝置」。
    2. 按一下「 新增」，然後輸入輸入名稱和值欄位。您可以視需要新增多個欄位。
  4. 您將使用下列輸入內容，設定這個區塊的流程條件：
    1. 通訊類型：需要核准 (這是兩種已定義的類型之一，另一種是「調查」)。
    2. 溝通方式：電子郵件。
    3. Additional Message：留空。
  5. 如果您在這些欄位中加入值，系統會將這些值設為預設設定。這些預設值是在設定區塊時建立，但插入父項劇本後，您可以修改每個區塊執行個體的預設值。這種方法支援可調整的動態工作流程。

設定輸入類型的流程步驟

在區塊中新增流程步驟。這個步驟會建立不同的分支，讓教戰手冊根據您輸入的「輸入類型」，遵循特定路徑。您會使用預留位置來擷取「調查」和「需要核准」輸入類型。

分支 1：必須核准 (預設)

這個分支版本會處理「需要核准」輸入類型，且為預設分支版本。

  1. 設定「需要核准」條件，啟動這個分支。
  2. 在「動作」欄中，依序選取「電子郵件」>「傳送電子郵件」，然後輸入傳送電子郵件所需的參數。這封電子郵件通常會要求使用者核准資安分析師修復其機器。
  3. 依序選取「Flow」>「Condition」，然後輸入必要參數，確認客戶是否已核准要求。
  4. 輸出內容 (已核准路徑)：在這個條件的「已核准」路徑輸出步驟中，新增「已核准」。這個值會回傳至父項區塊。
  5. 輸出 (Else 分支 - 未核准)：在 Else 分支的輸出步驟中 (客戶對核准要求的回應為否定)，在「輸出」方塊中新增「未核准」。

分支 2：調查

這個分支定義了「Investigate」輸入類型的動作。

  1. 在「動作」欄中，依序選取「電子郵件」>「傳送電子郵件」，然後填寫必要參數。系統會為額外訊息新增預留位置。如果將父項劇本中的「類型」變更為「調查」，請在「輸入其他訊息」欄位中輸入訊息。
  2. 依序選取「Siemplify」 > 「Assign Case」，將案件指派給客戶。這項動作會指派第 1 層分析師審查事件，將初步調查責任轉移給他們。
  3. 依序選取「Siemplify」>「Change Case Stage」。這個步驟假設客戶正在積極調查，因此案件階段會變更為「調查」。
  4. 依序選取「Siemplify」> 指派案件。這個步驟假設客戶已完成調查，並要求 SOC 重新取得案件擁有權。
  5. 依序選取「Siemplify」>「Change Case Stage」(變更案件階段)。 這個步驟會將案件階段從「調查」變更為「評估」，讓 SOC 繼續處理案件。
  6. 在「輸出」步驟中，新增「調查完成」字詞，返回父項應對手冊。

這個區塊現在已設定條件式邏輯，您可以將其插入各種父項劇本，根據「通訊類型」輸入內容調整行為。

插入現有區塊

如要插入現有區塊，請按照下列步驟操作：

  1. 在「劇本」頁面中，按一下「新增步驟」。
  2. 在「Step Selection」(步驟選取) 方塊中，選取「Blocks」(區塊) 部分。
  3. 將所需區塊拖曳到工作手冊中央。 

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。