expressões de filtro

Se estiver construindo um modelo manualmente ou usando a Ferramenta de Mapeamento de Caso, deve-se definir as expressões de mapeamento usando o idioma do modelo Jinja2 Os filtros Jinja2 transformam os dados da ofensa QRadar® em um formato que pode ser usado pelo SOAR.
As expressões de filtro Jinja formatar ou modificar um valor antes que o valor seja copiado para o caso. Ao construir uma expressão de filtro, o filtro é separado do nome do campo de ofensa por uma barra vertical (|) conforme mostrado no exemplo a seguir.
{{ offense.<offense_field>|<filter_name> }}

A tabela a seguir mostra exemplos dos filtros que podem ser usados ao construir o modelo de mapeamento SOAR . Para saber mais sobre o uso de Jinja, consulte a documentação JINJA 3.1.x (https://jinja.palletsprojects.com/en/3.1.x/).

Tabela 1. Jinja2 expressões de filtro
Nome do filtro Descrição Uso de amostra.

ago

Converte o valor de registro de data e hora de milissegundos da época em uma representação em cadeia do tempo, em milissegundos, decorrido.

 {{ offense.start_time|ago }}

csv

Converte uma lista de valores em uma sequência separada por vírgula.

 {{ offense.categories|csv }}

res_email

Converte o nome de exibição em um endereço de e-mail, se o endereço de e-mail existir na organização SOAR ..

Se o e-mail não existir, ele retornará o endereço de e-mail SOAR padrão especificado no arquivo app.config .

 {{ offense.assigned_to|res_email }}

html

HTML-versão de escape do valor.

iso8601

Converte o valor de registro de data e hora de milissegundos de época em um valor de data e hora ISO8601 ..

 {{ offense.start_time|iso8601 }}

js

Igual ao filtro json , mas remove as aspas circundantes do resultado.

 {{ offense.description|js }}

json

Versão fácil de JSON do valor.

 {{ offense.description|js }}

local_dest_ip_whitelist

Remove todas as entradas que estão na lista Ignorar IP de Destino Local de uma lista de valores.

 {{ offense.local_destination_addresses|local_dest_ip_whitelist }}

severity
Mapeia uma gravidade numérica do QRadar para uma gravidade SOAR :
  • 8-10 = Alto
  • 4-7 = Médio
  • 1-3 = Baixo
 {{ offense.severity|severity }}

src_ip_whitelist

Remove todas as entradas que estão na lista Ignorar do IP de Origem de uma lista de valores

 {{ offense.source_addresses|src_ip_whitelist }}

uniq

Remove entradas duplicadas de uma lista de valores.

O modelo é processado como um documento .json . O documento é postado no SOAR para criar um novo caso, ou é convertido em um URL com parâmetros de valores-chave no formato SOAR web URL. Para obter mais informações sobre o formato URL da Web, consulte o Guia de Integração URL da Web.