重複チェックスキル

ディープ分析を開始する前に、潜在的な重複または類似の既存ケースを識別します。

入力

• CASE_ID - チェック対象の現在のケースのID
• ALERT_GROUP_IDENTIFIERS - ケースのアラートグループ識別子
• (オプション) DAYS_BACK - 検索対象とする過去の日数(デフォルト: 7)
• (オプション) INCLUDE_OPEN - オープンケースを含める(デフォルト: true)
• (オプション) INCLUDE_CLOSED - クローズ済みケースを含める(デフォルト: false)

ワークフロー

ステップ 1: 類似度チェックを実行

secops-soar.siemplify_get_similar_cases(
    case_id=CASE_ID,
    alert_group_identifiers=ALERT_GROUP_IDENTIFIERS,
    days_back=DAYS_BACK,
    include_open_cases=INCLUDE_OPEN,
    include_closed_cases=INCLUDE_CLOSED
)

ステップ 2: 結果を処理

レスポンスから類似ケースIDのリストを抽出します。

出力

出力	説明
SIMILAR_CASE_IDS	潜在的に類似/重複と識別されたケースIDのリスト
SIMILARITY_CHECK_STATUS	チェックの成功/失敗ステータス

使用パターン

1. エンリッチメント前に重複をチェック
2. 重複が見つかった場合:
   - 類似ケースを確認
   - 重複が確認できた場合: 重複として閉じる
   - 関連しているが異なる場合: 相関関係を記録して続行
3. 重複がない場合: 分析を進める

重複が見つかった場合

SIMILAR_CASE_IDS が空でない場合:

1. 記録: 「[類似ケースID]の重複として閉じています」
2. 以下でクローズ:
   • 理由: NOT_MALICIOUS
   • 根本原因: Similar case is already under investigation