行动

中止

“中止”操作将中止工作流。

工作流会立即中止，出错。如果终止标志为 false，则工作流将在下次重复时恢复，否则它将停止，直到重新启动事件收集服务或编辑日志源。

下表显示了中止操作的参数。

XML 示例：

此操作将停止工作流的当前执行，但在下次重复执行时再次运行。在清除或更新日志源状态之前，它包含以下错误消息：

The password for <user value> has expired.

添加

“添加”操作向“状态”中的数组添加一个值。

下表显示了“添加”操作的参数。

XML 示例：

此操作将字符串“V2hhdCBhIHdvbmRlcmZ1bCB3b3JsZC4uLg==”添加到位置 /tokens 的状态。

调用端点

CallEndpoint 操作调用 HTTP 终结点。

下表显示了“调用终结点”操作的参数。

                         /response { status_code: 200, status_message: "OK", headers: { "Date": "Tue, 16 Jun 2020 17:31:29 GMT", "Content-Type": "application/json", }, body: ... }

下表显示了 SSLConfiguration 的参数。

XML 示例：

此示例允许不受信任的服务器证书。

基本身份验证的参数如下表所示。

XML 示例：

此示例设置身份验证用户名和密码。

下表显示了持有者身份验证的参数。

XML 示例：

此示例设置用于身份验证的访问令牌。

下表显示了摘要式身份验证的参数。

XML 示例：

此示例设置用于身份验证的用户名和密码。

下表显示了 Akamai EdgeGrid 身份验证的参数。

下表显示了 Hawk 身份验证的参数。

下表显示了查询参数的参数。

XML 示例：

此示例设置查询的名称和值，如果值为空，则省略该参数。

下表显示了请求标头的参数。

XML 示例：

此示例设置请求标头的名称和值。

下表显示了请求正文的参数。

XML 示例：

此示例设置请求正文的内容类型、正文编码和内容。

下表显示了 UrlEncodedFormRequestBody 的参数。

XML 示例：

此示例设置 URL 编码表单请求正文的名称/值对。

下表显示了 XmlRequestBody 的参数。

XML 示例：

此示例设置 XML 请求正文的内容。

XML 示例：

此操作调用使用请求标头和请求正文向 https://${/host}/auth/oauth2/token 发出 POST 请求，并将响应保存在 /get_access_token 的状态中。

清除状态

ClearStatus 操作可清除协议实例的运行时状态。这将清除日志源的状态。

XML 示例

此操作将清除为日志源显示的任何信息、警告或错误消息。

复制

“复制”操作将状态的一部分复制到另一部分。

下表显示了“复制”操作的参数。

XML 示例

此操作将对象从 /events 处的数组（ type_id 为 4）复制到位置 /interestEvents 的数组中，并擦除以前存储在那里的任何内容。

创建 JWTA 令牌

JWTAccessToken 操作会创建一个 JSON Web 令牌 （JWT）。

有关详细信息，请参阅 JWT 文档。

下表显示了“创建 JWTAccessToken”操作的参数。

XML 示例

此操作使用提供的标头、有效负载和机密值创建 JWT，并将其保存在位置 /access_token 的状态中。

删除

“删除”操作从状态中删除元素。

下表显示了“删除”操作的参数。

XML 示例

此操作将删除位置 /token 的状态中存在的值

做而做

DoWhile 操作在条件为真时循环一系列操作。

在循环结束时评估条件。即使条件从不为 true，内容也会执行一次。此操作不同于 While 操作，后者在循环开始时评估条件。

下表显示了 DoWhile 操作的参数。

XML 示例

此操作将执行嵌套的“调用终结点”操作和“后事件”操作。如果位置 /next_page 的 State 中存在值，则条件为 true，将执行嵌套操作，并执行条件检查，直到条件为 false。

Foreach

ForEach 操作为数组或对象中的每个值执行一系列操作。在 V1 中，该操作仅适用于数组中的每个值。

下表显示了 ForEach 操作的参数。

XML 示例

/events 的状态中存在一个对象数组。此操作循环访问数组，并为数组中的每个对象执行嵌套的 PostEvent 操作。

格式日期

“格式化日期”操作将 UNIX 时间戳的格式设置为日期。

下表显示了“格式化日期”操作的参数。

XML 示例

此操作提取当前存储在 /bookmark 状态中的 UNIX 时间戳，并将其转换为 UTC 时区中采用以下格式的有意义的时间戳。

重新格式化的值保存在 /formatted_bookmark 的“状态”中。

生成HMAC

“生成HMAC”操作将 HMAC 哈希应用于给定输入。

下表显示了“生成HMAC”操作的参数。

XML 示例

此操作将生成存储在状态 /value 中的值的 HMAC 哈希。哈希是使用 SHA1 算法和提供的 密钥以十六进制格式生成的，并保存在位置 /signature 的状态中。

If/ElseIf/Else

如果满足条件，则 If/ElseIf/Else 操作将执行操作。

If/ElseIf/Else 操作基于一个或多个互斥条件执行嵌套操作：

• 始终检查“如果”条件。

• 仅当不满足所有先前的“If”和“ElseIf”条件时，才会检查“ElseIf”条件。

• “否则”操作没有条件;如果未满足上述“If”或“ElseIf”条件，则会自动执行“Else”操作。

下表显示了 If 操作的参数。

下表显示了 ElseIf 操作的参数。

下表显示了 Else 操作的参数。

XML 示例

在此示例中，将执行以下操作：

• 如果位置 /status 处的 State 值为 200，则仅执行将状态设置为 INFO“成功”消息的 SetStatus 操作。

• 如果 /status 值为 401，则仅执行将状态设置为错误“身份验证失败”消息的 SetStatus 操作。

• 如果 /status 值为 404，则仅执行将状态设置为错误“不存在路由”消息的 SetStatus 操作。

• 如果 /status 值为其他任何值，则仅执行最终的 SetStatus 操作。

初始 化

“初始化”操作初始化状态中的值。

如果该位置中存在某个值，则新值不会覆盖现有值。

XML 示例

此操作会将值“1”添加到位置 /书签的“状态”（如果该位置不存在任何值）。如果该位置确实存在某个值，则该操作不执行任何操作。

日志

“日志”操作会记录故障排除消息。

故障排除消息通常存储在 /var/log/qradar.error、var/log/qradar.log 和 /var/log/qradar.java.debug 的 JSA 日志文件中

下表显示了日志操作的参数。

XML 示例

此操作将 DEBUG 级别日志写入包含指定消息的 JSA 日志。

合并

“合并”操作将数组合并到数组中，或将对象合并到对象中。

下表显示了“合并”操作的参数。

XML 示例：

此操作将数组中位于状态中位置 /events 的type_id值为 4 的所有对象复制到位于 /累积事件处的数组。 /累积事件 中已有的任何对象都将被保留。

解析日期

ParseDate 操作将日期解析为 UNIX 时间戳。

Java DateFormatter支持ParseDate操作。一些 ParseDate 操作参数直接传递给 Java。

下表显示了“分析日期”操作的参数。

XML 示例：

此操作将存储在位置 /formatted_time 的状态中的时间戳转换为 UNIX 时间戳，并将其存储在位置 /时间戳的状态中。当前时间戳必须采用 yyyy-MM-dd'T'HH：mm：ss'Z' 格式，并表示协调世界时 （UTC） 区域中的时间。

活动后

PostEvent 操作将事件发布到 JSA 事件管道，从而允许分析、关联和存储事件。

下表显示了“事件后”操作的参数。

XML 示例：

此操作将存储在 State at /event 中的字符串作为事件发布到 JSA 事件管道中。如果日志源的日志源标识符与 /host 中存储的值匹配，则事件将路由到该日志源。

活动后

PostEvents 操作将事件数组发布到 JSA 事件管道，从而允许分析、关联和存储事件。

下表显示了“发布事件”操作的参数。

XML 示例：

此操作将存储在 State at /events 中的字符串数组作为一系列事件发布到 JSA 事件管道中。如果日志源的日志源标识符与 /host 中存储的值匹配，则事件将路由到该日志源。

正则表达式捕获

RegexCapture 操作使用正则表达式 （regex） 捕获字符串的一部分。

下表显示了正则表达式捕获操作的参数。

XML 示例：

此操作将模式中定义的正则表达式运行到在 State 中存储为 /data 的字符串。捕获组值存储在位置 /id 的“状态”中。提供的正则表达式捕获后面的一个或多个数字 "id="。

设置

“设置”操作在“状态”中设置一个值。

如果该位置存在某个值，则新值将覆盖现有值。

下表显示了“设置”操作的参数。

XML 示例：

此操作将 time（） 函数返回的值添加到位置 /current_time 的状态。如果该位置存在某个值，则会覆盖该值。

设置状态

操作设置协议实例的运行时状态。此信息显示在日志源的状态中。

下表显示了“设置状态”操作的参数。

XML 示例：

此操作将协议实例的运行时状态设置为 ERROR，并显示一条消息，指出： The password has expired此信息在 QRadar 日志源管理 应用程序和 API 中显示为日志源状态。

睡眠

“睡眠”操作将工作流挂起指定的时间量。

下表显示了“睡眠”操作的参数。

XML 示例：

此操作会导致工作流暂停执行 5 秒钟。

分裂

“拆分”操作拆分字符串。

例如，如果 API 以长字符串形式返回一组事件，其中每个事件都由逗号或其他分隔符分隔，则可以拆分字符串以使用 PostEvent 或 PostEvents 操作。

下表显示了拆分操作的参数。

XML 示例：

此操作将字符串 "value 1,value 2,value 3" 拆分为由三个字符串 "value1"、 "value2"和 "value3"组成的数组。字符串存储在位置 /values 的状态中。

而

While 操作在条件为真时循环一系列嵌套操作。

条件在循环开始时进行评估，因此，如果条件从不为 true，则永远不会执行其嵌套操作。此操作与 DoWhile 操作不同，在 DoWhile 操作中，条件在循环结束时进行评估。

下表显示了 While 操作的参数。

XML 示例：

如果位置 /next_page 的“状态”中存在值，则此操作将执行嵌套的 CallEndpoint 操作。While 操作执行嵌套的 CallEndpoint 操作，直到 /next_page 值为 null。如果 /next_page 始终为 null，则不执行嵌套操作。

XPathQuery

XPathQuery 操作对 XML 文档值执行 XPath 查询。

如果 API 返回 XML 格式的响应，则可以从响应中提取特定值或一组值。可以使用 XPath 提取值。

下表显示了 XPathQuery 操作的参数。

XML 示例：

此操作对存储在 /xml_events 状态中的 XML 文档执行 XPath 查询"//event/id/text()"，并将其作为单个值存储在位置 /event/id 的状态中。