SiemplifyAction 模块

类 SiemplifyAction.SiemplifyAction

SiemplifyAction.SiemplifyAction(mock_stdin=None, get_source_file=False)

基类：Siemplify

add_alert_entities_to_custom_list

add_alert_entities_to_custom_list(category_name)

将相应提醒的实体添加到具有指定类别的自定义列表记录中。

参数

参数名称	参数类型	定义	可能的值	评论
category_name	{string}	自定义列表类别	“CustomList”	不适用

返回值

添加的对象的 {[CustomList]} 列表。

示例

输入：显式输入 category_name。隐式使用范围的实体。
运行 add_alert_entities_to_custom_list 将生成“CustomList”对象列表，并导致设置发生配置更改。

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.add_alert_entities_to_custom_list("WhiteListed HOSTs")

结果行为

添加了 WhiteListed HOSTs 类别。

结果值

[<SiemplifyDataModel.CustomList object at 0x0000000003476E10>, <SiemplifyDataModel.CustomList object at 0x0000000003476B00>]

add_attachment

add_attachment(file_path, case_id=None, alert_identifier=None, description=None, is_favorite=False)

向案例墙添加附件。

参数

参数名称	参数类型	定义	可能的值	评论
file_path	{string}	文件路径	“C:\Program Files (x86)\Google\Chrome\Application\chrome_proxy.exe”	不适用
case_id	{string}	支持请求标识符	234	不适用
alert_identifier	{string}	提醒标识符	12345	不适用
说明	{string}	文件的说明	不适用	不适用
is_favorite	布尔值	不适用	True/False	不适用

返回值

{long} attachment_id

示例

输入：明确指定的文件路径、说明和 is_favorite。隐式，case_id 和 alert_identifier。

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.add_attachment("C:\Program Files (x86)\Google\Chrome\Application\chrome_proxy.exe", case_id="234", alert_identifier=None, description=None, is_favorite=True)

结果行为

路径中提及的文件将附加到支持请求 ID 为 234 的支持请求，并返回附件 ID。

结果值

5 [附件 ID]

add_comment

add_comment(comment, case_id=None, alert_identifier=None)

向特定支持请求添加新评论。

参数

参数名称	参数类型	定义	可能的值	评论
评论	{string}	要添加到案例墙的评论	不适用	不适用
case_id	{string}	支持请求标识符	234	如果未提供 case_id，系统将使用当前转化情形。 默认值为 None（可选）
alert_identifier	{string}	提醒标识符	12345	如果未提供 alert_identifier，则使用当前提醒。 默认值为 None（可选）

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
comment = "Ran some tests on the hash and it seems fine"
siemplify.add_comment(comment=comment)

结果行为

指定评论已添加到当前支持请求中。

结果值

无

add_entity_insight

add_entity_insight(domain_entity_info, message, triggered_by=None, original_requesting_user=None)

向使用实体洞见的用例添加实体洞见。

参数

参数名称	参数类型	定义	可能的值	评论
domain_entity_info	{DomainEntityInfo}	表示要添加数据洞见的实体的实体对象	不适用	不适用
消息	{string}	数据分析消息	不适用	不适用
triggered_by	{string}	集成名称	不适用	如果未提供集成名称，则将使用为相应操作选择的集成。 默认值为 None（可选）
original_requesting_user	{string}	提出请求的用户	不适用	默认无（可选）

返回值

{boolean} 如果成功，则为 True。否则，False。

示例

结果行为

结果值

add_entity_to_case

add_entity_to_case(entity_identifier, entity_type, is_internal, is_suspicious, is_enriched, is_vulnerable, properties, case_id=None, alert_identifier=None, environment=None)

向当前问题添加实体。

参数

参数名称	参数类型	定义	可能的值	评论
entity_identifier	{string}	实体标识符	192.0.2.1、example.com	不适用
entity_type	{string}	实体类型	“ADDRESS”	不适用
is_internal	{boolean}	不适用	内部/外部	不适用
is_suspicious	{boolean}	不适用	可疑/不可疑	不适用
is_enriched	{boolean}	不适用	True/False	默认值为 False
is_vulnerable	{boolean}	不适用	True/False	默认值为 False
属性	{dict}	{"Property1":"PropertyValue", "Property2":"PropertyValue2"}	不适用	不适用

返回值

NoneType

如果存在现有实体，则会显示以下错误：/

500 Server Error: Internal Server Error for url: https://localhost:8443/api/external/v1/sdk/CreateEntity?format=snake: \"ErrorMessage\":\"Cannot add entity [Identifier:Entities Identifies - Type:siemplify.parameters[] to alert [MONITORED MAILBOX <[e-mail]>_633997CB-D23B-4A2B-92F2-AD1D350284FF] in case [12345] because the entity already exists >there.\"

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.add_entity_to_case(entity_identifier, entity_type, is_internal, is_suspicious, is_enriched, is_vulnerable, properties, case_id, alert_identifier, environment)

结果行为

如果实体不在相应情形中，此函数会将新实体添加到情形中。

结果值

无

add_tag

add_tag(tag, case_id=None, alert_identifier=None)

向特定支持请求添加新标签。

参数

参数名称	参数类型	定义	可能的值	评论
标记	{string}	要添加的标记	要用作标记的任何字符串	不适用
case_id	{string}	支持请求标识符	12345	如果未提供 case_id，则使用当前支持请求 ID。 默认值为 None（可选）
alert_identifier	{string}	提醒标识符	123	如果未提供 alert_identifier，则使用当前提醒 ID 。 默认值为 None（可选）

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
tag_to_be_added = "MaliciousMail"
siemplify.add_tag(tag=tag_to_be_added)

结果行为

系统会将“MaliciousMail”标记添加到当前支持请求。

结果值

无

警告： 请勿创建过于具体的标记，因为系统会使用标记来帮助搜索和过滤支持请求。避免使用包含实体标识符或任何其他唯一字符串的标记。
手动创建或通过操作创建的标记不适用于 playbook 触发器“按标记”。

any_alert_entities_in_custom_list

any_alert_entities_in_custom_list(category_name)

检查相应提醒的任何实体是否具有指定类别的自定义列表记录。
此函数从 CustomLists 获取类别名称，并返回 True（布尔值），以指示范围内的任何实体是否属于该类别。如果实体的标识符在 CustomLists 表的设置中与相应类别一起列出，则该实体会被视为属于相应类别。

参数

参数名称	参数类型	定义	可能的值	评论
category_name	{string}	自定义列表类别名称	BlackListed IPs	不适用

返回值

{boolean} 如果类别中存在实体，则为 True；否则为 False。

示例 1

from SiemplifyAction import SiemplifyAction \
siemplify = SiemplifyAction() \
result = siemplify.any_entity_in_custom_list("BlackListed IPs")

示例 2

from SiemplifyAction import SiemplifyAction \
siemplify = SiemplifyAction() \
result = siemplify.any_entity_in_custom_list("Executive IPs")

结果行为

示例代码 1 的结果为 True。示例代码 2 的结果为 False。

结果值

True 或 False

assign_case

assign_case(user, case_id=None, alert_identifier=None)

将支持请求分配给用户。

此函数适用于用户 ID 或用户角色。

参数

参数名称	参数类型	定义	可能的值	评论
用户	{string}	用户 ID 或用户角色	USER_ID，管理员，@Tier1	不适用
case_id	{string}	支持请求标识符	12345	如果未提供 case_id，则使用当前支持请求 ID。 默认值为 None（可选）
alert_identifier	{string}	提醒标识符	123	如果未提供 alert_identifier，则使用当前提醒 ID 。 默认值为 None（可选）

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
assigned_user= "Admin"
siemplify.assign_case(assigned_user)

结果行为

支持请求会分配给管理员用户。

结果值

无

attach_workflow_to_case

attach_workflow_to_case(workflow_name, cyber_case_id=None, indicator_identifier=None)

将 playbook 附加到当前提醒。

参数

参数名称	参数类型	定义	可能的值	评论
workflow_name	{string}	工作流（playbook）名称	不适用	不适用
cyber_case_id	{string}	支持请求标识符	234	如果未提供任何情况，则使用当前情况。 默认值为 None（可选）
indicator_identifier	{string}	提醒标识符	12345	如果未提供提醒标识符，则使用当前提醒。 默认值为 None（可选）

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.attach_workflow_to_case(workflow_name, cyber_case_id, indicator_identifier)

结果行为

将指定工作流附加到指定指示器标识符的相应支持请求。

结果值

无

媒体资源案例

change_case_priority

change_case_priority(priority, case_id=None, alert_identifier=None)

更改支持请求的优先级。

参数

参数名称	参数类型	定义	可能的值	评论
优先级	{int}	每个数字分别代表的优先级为： 低、中、高和严重	{"Low": 40, "Medium": 60, "High": 80, "Critical": 100}	不适用
case_id	{string}	支持请求标识符	12345	如果未提供具体情况，则使用当前情况
alert_identifier	{string}	提醒标识符	123	如果未提供提醒标识符，则使用当前提醒

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
priority_to_change_to = 60
siemplify.change_case_priority(priority=priority_to_change_to )

结果行为

支持请求的优先级会更改为“中”。

结果值

无

注意： 支持请求优先级是支持请求的属性。从 playbook 或提醒的角度来看，更改时请务必谨慎。

change_case_stage

change_case_stage(stage, case_id=None, alert_identifier=None)

更改支持请求阶段

参数

参数名称	参数类型	定义	可能的值	评论
流程中的	{string}	阶段应与支持请求阶段表中定义的字符串完全一致	突发事件、 调查	不适用
case_id	{string}	支持请求标识符	12345	如果未提供具体情况，则使用当前情况
alert_identifier	{string}	提醒标识符	123	如果未提供提醒标识符，则使用当前提醒

返回值

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
stage_to_change_to = "Investigation"
siemplify.change_case_stage(stage=stage_to_change_to)

结果行为

支持请求状态更改为“调查中”。

结果值

无

注意： 诉讼阶段是诉讼的属性。从剧本或提醒的角度来看，更改时请务必谨慎。

close_alert

close_alert(root_cause, comment, reason, case_id=None, alert_id=None)

关闭当前提醒。

参数

参数名称	参数类型	定义	可能的值	评论
root_cause	{string}	关闭案例的根本原因	从设置中的“关闭案例的根本原因” 表格中提取的字符串	不适用
评论	{string}	评论	此处可以使用任何字符串	注释应描述相应情况， 但不受限制
reason	{ApiSyncAlertCloseReasonEnum}		手动操作时，对话框 中提供的三个预定义字符串之一：“NotMalicious”“Malicious”和“Maintenance”	请参阅 SiemplifyDataModel.ApiSyncAlertCloseReasonEnum

返回值

{dict} 服务器操作的结果

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
reason = "Maintenance"
root_cause = "Employee Error"
comment = "User accidentally activated a correlation before it was ready to be used and triggered this alert"
siemplify.close_alert(reason=reason, root_cause=root_cause, comment=comment)

结果行为

当前提醒会移至新案例，然后随提醒一起关闭。

结果值

无

close_case

close_case(root_cause, comment, reason, case_id=None, alert_identifier=None)

关闭支持请求。

参数

参数名称	参数类型	定义	可能的值	评论
root_cause	{string}	关闭案例的根本原因	不适用	不适用
评论	{string}	评论	此处可以使用任何字符串	注释应描述支持请求，但不受限制
reason	{ApiSyncAlertCloseReasonEnum}	关闭支持请求的原因	手动完成时，对话框中提供的三个预定义字符串之一：“NotMalicious”“Malicious”和“Maintenance”
case_id	{string}	支持请求标识符	12345	如果未提供具体情况，则使用当前情况
alert_identifier	{string}	提醒标识符	123	如果未提供提醒标识符，则使用当前提醒

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
reason = "Maintenance"
root_cause = "Employee Error"
comment = "User accidentally activated a correlation before it was ready to be used and triggered this alert"
siemplify.close_case(reason=reason, root_cause=root_cause, comment=comment)

结果行为

系统会关闭支持请求，并显示指定的原因、根本原因和评论。

结果值

无

create_case_insight

create_case_insight(triggered_by, title, content, entity_identifier, severity, insight_type, additional_data=None, additional_data_type=None, additional_data_title=None)

向支持请求添加分析洞见。

参数

参数名称	参数类型	定义	可能的值	评论
triggered_by	{string}	集成名称	VirusTotal、XForce	不适用
title	{string}	数据分析标题	由 VirusTotal 丰富化	不适用
内容	{string}	数据分析消息	数据分析消息	不适用
entity_identifier	{string}	实体标识符	example.com	不适用
和程度上减少	{int}	严重级别	0 = 信息， 1 = 警告， 2 = 错误
insight_type	{int}	数据分析类型	0 = 常规， 1 = 实体	不适用
additional_data	{string}	数据分析的其他数据	{"checked against": "VT", "malicious": "No"}	不适用
additional_data_type	{int}	其他数据的类型	“常规”=0， “实体”=1	不适用
additional_data_title	{string}	数据分析的其他数据标题	VT 检查	不适用

返回值

{boolean} 如果成功，则为 True。否则，False。

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.create_case_insight(triggered_by, title, content, entity_identifier, severity, insight_type, additional_data, additional_data_type, additional_data_title)

结果行为

使用定义的数据为支持请求创建数据洞见。如果创建了支持请求数据分析，则为
True。否则，False。

结果值

True 或 False

属性 current_alert

dismiss_alert

dismiss_alert(alert_group_identifier, should_close_case_if_all_alerts_were_dismissed, case_id=None)

已弃用： 此函数已弃用。

媒体资源环境

escalate_case

escalate_case(comment, case_id=None, alert_identifier=None)

上报支持请求。

参数

参数名称	参数类型	定义	可能的值	评论
评论	{string}	上报评论	不适用	不适用
case_id	{string}	支持请求标识符	12345	不适用
alert_identifier	{string}	提醒标识符	123	不适用

extract_action_param

extract_action_param(param_name, default_value=None, input_type=<class 'str'>, is_mandatory=False, print_value=False)

获取操作脚本参数。

参数

参数名称	参数类型	定义	可能的值	评论
param_name	{string}	参数的名称	适用于相应操作的任何参数名称	不适用
default_value	{any}	参数的默认值	如果未设置参数 （如果 is_mandatory 设置为 False），则返回指定的值	如果未传递参数，则默认使用此值。 默认值为 None（可选）
input_type	{obj}	将参数转换为其他类型	整数	默认情况下为 str（可选）
is_mandatory	{boolean}	如果参数为空，则会引发异常	True/False	默认值为 False
print_value	{boolean}	将值输出到日志	True/False	默认值为 False

返回值

形参值，默认情况下为 {string}，除非指定了 input_type。

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
param_value= siemplify.extract_action_param(
 "Threshold",
 default_value=-1,
 input_type=int,
 is_mandatory=False,
 print_value=False)

结果行为

系统将返回所选参数的值，并将其转换为所选类型。

结果值

20

fetch_and_save_timestamp

fetch_and_save_timestamp(datetime_format=False, timezone=False, new_timestamp=1683033493671)

提取时间戳并将其保存到支持请求上下文。

参数

参数名称	参数类型	定义	可能的值	评论
datetime_format	{boolean}	日期/时间格式	True 表示以日期时间格式获取，False 表示以 Unix 格式获取	默认值为 False（可选）
timezone	相应参数不再受支持
new_timestamp	{int}	要保存的时间戳	不适用	默认的 Unix 纪元时间（可选）

返回值

{int} 个日期时间。

示例

from SiemplifyAction import SiemplifyAction
sa = SiemplifyAction()
sa.fetch_and_save_timestamp(self, datetime_format=False, new_timestamp=SiemplifyUtils.Unix_now())

结果行为

系统会提取最新时间戳，并将其保存为当前目录中的 TIMESTAMP 文件。

结果值

datetime.datetime(2019, 7, 16, 14, 26, 2, 26000)/1563276380

fetch_timestamp

fetch_timestamp(datetime_format=False, timezone=False)

获取通过 save_timestamp 保存的时间戳。

参数

参数名称	参数类型	定义	可能的值	评论
datetime_format	{boolean}	如果为 True，则以 datetime 格式返回时间戳。否则，以 Unix 格式返回	True/False	默认值为 False（可选）
timezone	相应参数不再受支持

返回值

已保存的 Unix 纪元时间和日期时间。

示例

from SiemplifyAction import SiemplifyAction
sa = SiemplifyAction()
result = sa.fetch_timestamp(datetime_format=True)

结果行为

系统会提取最新时间戳，并将其保存为当前目录中的 TIMESTAMP 文件。

结果值

datetime.datetime(2019, 7, 16, 14, 26, 2, 26000)/1563276380

get_alert_context_property

get_alert_context_property(property_key)

从当前提醒中获取上下文属性。

参数

参数名称	参数类型	定义	可能的值	评论
property_key	{string}	所请求属性的键	不适用	不适用

返回值

{string} 属性值

get_alerts_ticket_ids_from_cases_closed_since_timestamp

get_alerts_ticket_ids_from_cases_closed_since_timestamp(timestamp_unix_ms, rule_generator)

接收自时间戳以来已关闭的支持请求的提醒。

参数

参数名称	参数类型	定义	可能的值	评论
timestamp_unix_ms	{long}	时间戳	1550409785000L	不适用
rule_generator	{string}	不适用	钓鱼式攻击电子邮件检测器	不适用

返回值

{[string]} 提醒 ID 列表

get_attachments

get_attachments(case_id=None)

获取支持请求中的附件。
此函数从类别和实体列表中获取自定义列表项的列表，并返回自定义列表项对象的列表。

参数

参数名称	参数类型	定义	可能的值	评论
case_id	{string}	支持请求标识符	234	如果未提供任何情形，则使用当前情形（可选）

返回值

{dict} 个附件

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.get_attachments(case_id="234")

结果行为

系统将返回工单 ID 为 234 的附件字典列表。

结果值

[{u'is_favorite': False, u'description': u'test', u'type': u'.exe', u'id': 4, u'name': u'chrome_proxy'}]

get_case_comments

get_case_comments(case_id=None)

获取支持请求评论。

参数

参数名称	参数类型	定义	可能的值	评论
case_id	{string}	支持请求标识符	234	如果未提供任何情况，系统将使用当前情况

返回值

工单注释的 {[dict]}

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.get_case_comments(case_id)

结果行为

系统将提取相应支持请求的所有评论。

结果值

[{'comment': u'this is a comment',
u'is_deleted': False,
u'last_editor_full_name': u'example user',
u'modification_time_unix_time_in_ms_for_client': 0,
u'creation_time_unix_time_in_ms': 1681904404087, u'id': 12,
u'modification_time_unix_time_in_ms': 1681904404087,
u'case_id': 234,
u'is_favorite': False,
u'alert_identifier': None,
u'creator_user_id': u'cd1c112a-0277-44a9-b68d-98ceef9b0399',
u'last_editor': u'cd1c112a-0277-44a9-b68d-98ceef9b0399',
u'type': 5,
u'comment_for_client': None,
u'creator_full_name': u'example user'}]

get_case_context_property

get_case_context_property(property_key)

获取支持请求上下文属性。

参数

参数名称	参数类型	定义	可能的值	评论
property_key	{string}	所请求的键属性	不适用	不适用

返回值

{string} 属性值

get_configuration

get_configuration(provider, environment=None, integration_instance=None)

获取集成配置。

参数

参数名称	参数类型	定义	可能的值	评论
provider	{string}	集成名称	VirusTotal
环境	{string}	特定环境或“全部”的配置		可选。 如果提供，系统将从相应的 环境配置中检索凭据。如果未指定任何环境， 默认使用案例环境。 如果没有针对特定环境的配置，则返回默认配置。
integration_instance	{string}	集成实例的标识符	不适用	不适用

返回值

{dict} 配置详情

get_similar_cases

get_similar_cases(consider_ports, consider_category_outcome, consider_rule_generator, consider_entity_identifiers, days_to_look_back, case_id=None, end_time_unix_ms=None)

获取类似支持请求。

参数

参数名称	参数类型	定义	可能的值	评论
consider_ports	{boolean}	参数，用于配置是否使用端口过滤条件	True/false	不适用
consider_category_outcome	{boolean}	参数用于配置是否考虑事件的类别结果	True/false	不适用
consider_rule_generator	{boolean}	参数，用于配置是否考虑提醒的规则生成器	True/false	不适用
consider_entity_identifiers	{boolean}	参数用于配置是否考虑提醒的实体标识符	True/false	不适用
days_to_look_back	{int}	参数用于配置回溯天数，以查找类似的支持请求	365	不适用

返回值

{[int]} 支持请求 ID 列表

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.get_similar_cases(consider_ports=True,
 consider_category_outcome=False,
 consider_rule_generator=False,
 consider_entity_identifiers=False,
 days_to_look_back=30, case_id="234", end_time_unix_ms=None)

结果行为

系统会返回类似于支持请求 234 的支持请求 ID 列表。

结果值

[4, 231]

get_ticket_ids_for_alerts_dismissed_since_timestamp

get_ticket_ids_for_alerts_dismissed_since_timestamp(timestamp_unix_ms)

警告： 不支持。

属性 is_timeout_reached

load_case_data

load_case_data()

此函数用于加载案例数据。

参数

无需任何参数。

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.load_case_data()

结果行为

系统会加载支持请求数据。

结果值

无

property log_location

mark_case_as_important

mark_case_as_important(case_id=None, alert_identifier=None)

将支持请求标记为重要。

参数

参数名称	参数类型	定义	可能的值	评论
case_id	{string}	支持请求标识符	234	不适用
alert_identifier	{string}	提醒标识符	12345	不适用

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.mark_case_as_important()

结果行为

当前支持请求已标记为重要。

结果值

无

raise_incident

raise_incident(case_id=None, alert_identifier=None)

提出突发事件。

参数

参数名称	参数类型	定义	可能的值	评论
case_id	{string}	支持请求标识符	234	不适用
alert_identifier	{string}	提醒标识符	12345	不适用

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
siemplify.raise_incident(case_id, alert_identifier)

结果行为

支持请求已升级为突发事件。

结果值

无

remove_alert_entities_from_custom_list

remove_alert_entities_from_custom_list(category_name)

从具有指定类别的自定义列表记录中移除相应提醒的实体。

参数

参数名称	参数类型	定义	可能的值	评论
category_name	{string}	自定义列表类别	`列入白名单的 HOST`	不适用

返回值

已移除的 CustomList 对象的 {[CustomList]} 列表。

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
result = siemplify.remove_alert_entities_from_custom_list("WhiteListed HOSTs")

结果行为

已移除 WhiteListed HOSTS。

结果值

[<SiemplifyDataModel.CustomList object at 0x0000000003476E10>,
<SiemplifyDataModel.CustomList object at 0x0000000003476B00>]

save_timestamp

save_timestamp(datetime_format=False, timezone=False, new_timestamp=1683033493671)

将时间戳保存到当前脚本上下文。

参数

参数名称	参数类型	定义	可能的值	评论
datetime_format	{boolean}	不适用	对于日期时间格式，值为 True；对于 Unix，值为 False	默认值为 False（可选）
timezone	相应参数不再受支持
new_timestamp	{long}	要保存到上下文的时间戳	不适用	时间戳将默认为调用该方法的 Unix 时间戳

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
sa = SiemplifyAction()
sa.save_timestamp(self, datetime_format=False, new_timestamp=SiemplifyUtils.unix_now())

结果行为

新时间戳将以 TIMESTAMP 文件形式保存在当前目录中。

结果值

无

set_alert_context_property

set_alert_context_property(property_key, property_value)

按键值对设置提醒上下文属性。

参数

参数名称	参数类型	定义	可能的值	评论
property_key	{string}	要存储到上下文中的属性的键	不适用	不适用
property_value	{string}	要存储到上下文中的属性值	不适用	不适用

set_alert_sla

set_alert_sla(period_time, period_type, critical_period_time, critical_period_type, case_id=None, alert_id=None)

设置指定 case_id 的 alert_identifier 的 SLA。使用此 API 设置的 SLA 应高于所有其他提醒 SLA 类型。

参数

参数名称	参数类型	定义	可能的值	评论
period_time	{int/str}	服务等级协议总期限	不适用	period_time > 0
period_type	{string}	period_time 的时间单位，由 ApiPeriodTypeEnum 表示	不适用	不适用
critical_period_time	{int/str}	关键服务等级协议 (SLA) 时段	不适用	critical_period_time >= 0 关键周期（按时间单位伸缩后） 应小于总周期。
critical_period_type	{string}	critical_period_time 的时间单位， 由 ApiPeriodTypeEnum 表示
case_id	{long}	支持请求标识符	234	不适用
alert_id	{string}	提醒标识符	12345	不适用

set_case_context_property

set_case_context_property(property_key, property_value)

使用键值对设置案例上下文属性。

参数

参数名称	参数类型	定义	可能的值	评论
property_key	{string}	相应房源的键	不适用	不适用
property_value	{string}	属性的值	不适用	不适用

set_case_sla

set_case_sla(period_time, period_type, critical_period_time, critical_period_type, case_id=None)

如果指定了 case_id，则设置相应实体的 SLA；否则，设置当前支持请求的 SLA。使用此 API 设置的 SLA 应高于所有其他支持请求 SLA 类型。

参数

参数名称	参数类型	定义	可能的值	评论
period_time	{int/str}	服务等级协议总期限	不适用	period_time > 0
period_type	{string}	period_time 的时间单位，由 ApiPeriodTypeEnum 表示	不适用	不适用
critical_period_time	{int/str}	关键服务等级协议 (SLA) 时段	不适用	critical_period_time >0 关键周期（按其时间单位伸缩后）应小于总周期。
critical_period_type	{string}	critical_period_time 的时间单位， 由 ApiPeriodTypeEnum 表示	不适用	不适用
case_id	{long}	支持请求标识符	不适用	不适用

signal_handler

signal_handler(sig, frame)

property target_entities

target_entities 对象是一个实体对象列表，配置的操作可以针对这些实体对象运行。每个实体对象都公开了以下属性和方法：

实体属性

以下是实体对象的直接数据保持属性：

属性	数据类型	说明
identifier	string	实体的唯一标识符 (UUID)。
creation_time	int	相应实体的创建 Unix 时间戳。
modification_time	int	相应实体上次被修改时的 Unix 时间戳。
additional_properties	dict	包含有关实体的额外详细信息的字典。
case_identifier	string	实体所属父级支持请求的 ID。
alert_identifier	string	与实体关联的提醒的 ID。
entity_type	string	实体类型（例如，“HOSTNAME”“USERUNQNAME”）。
is_internal	bool	表示相应实体是否为内部资源。
is_suspicious	bool	指示实体是否被标记为可疑。
is_artifact	bool	指示实体是否为制品。
is_enriched	bool	指示实体是否已扩充。
is_vulnerable	bool	指示实体是否被标记为易受攻击。
is_pivot	bool	指示实体是否为透视实体。

实体方法

以下是实体对象上可用的可执行函数：

方法	说明
to_dict()	将实体对象转换为标准 Python 字典。

try_set_alert_context_property

try_set_alert_context_property(property_key, property_value)

try_set_case_context_property

try_set_case_context_property(property_key, property_value)

update_alerts_additional_data

update_alerts_additional_data(alerts_additional_data, case_id=None)

更新提醒附加数据。

参数

参数名称	参数类型	定义	可能的值	评论
case_id	{string}	支持请求标识符	234	不适用
alerts_additional_data	{string:string}	不适用	不适用	不适用

返回值

NoneType

示例

from SiemplifyAction import SiemplifyAction
siemplify = SiemplifyAction()
additional_data = {"testKey":"testValue"}
siemplify.update_alerts_additional_data(alerts_additional_data=additional_data, case_id=caseid)

结果行为

使用其他数据（例如 testKey:testValue）更新提醒。

结果值

无