Alexa in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Alexa in Google Security Operations einbinden.

Anwendungsfälle

Die Alexa-Integration verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • Anreicherung mit URL-Beliebtheit: Fügen Sie URLs in Fällen globale Website-Traffic-Rankings hinzu, um etablierte Websites von unbekannten Domains zu unterscheiden.
  • Triage verdächtiger Domains: Domains mit geringem Traffic werden bei Phishing- oder Malware-Untersuchungen automatisch als verdächtig gekennzeichnet.
  • Automatisierte Benachrichtigungsweiterleitung: Leiten Sie Playbooks weiter, wenn eine Domain unter Ihren Beliebtheitsschwellenwert fällt, damit Analysten verdächtige URLs priorisieren können.

Hinweis

Bevor Sie die Alexa-Integration in Google SecOps konfigurieren, müssen Sie die folgenden Voraussetzungen erfüllen:

  1. Erstellen Sie AWS-Zugriffsschlüssel-Anmeldedaten für Ihre Google SecOps-Instanz.
  2. Konfigurieren Sie Zugriffsberechtigungen mit den geringsten Berechtigungen in AWS Identity and Access Management.
  3. Prüfen Sie die Netzwerkverbindung zwischen Google SecOps und dem Alexa Web Information Service.

AWS-Zugriffsschlüssel-Anmeldedaten erstellen

Wenn Sie eine Verbindung zum Alexa Web Information Service herstellen möchten, erstellen Sie in AWS einen dedizierten IAM-Nutzer, anstatt die Anmeldedaten des Root-Kontos zu verwenden, und generieren Sie ein Zugriffsschlüsselpaar für die Integrationsparameter:

  • Access key id: Die Zugriffsschlüssel-ID für Ihren dedizierten AWS IAM-Nutzer.
  • Secret access key: Der geheime Zugriffsschlüssel, der mit der Zugriffsschlüssel-ID verknüpft ist. Speichern Sie diesen Schlüssel, wenn Sie ihn erstellen, da AWS es Ihnen nicht erlaubt, einen vorhandenen Secret Key später noch einmal aufzurufen.

Eine Anleitung zum Erstellen von IAM-Nutzerzugriffsschlüsseln finden Sie in der Dokumentation zu AWS Identity and Access Management.

Zugriffsberechtigungen nach dem Prinzip der geringsten Berechtigung konfigurieren

Gewähren Sie dem dedizierten IAM-Nutzer nur die Berechtigungen, die zum Abfragen des Alexa Web Information Service erforderlich sind, anstatt des vollständigen Administratorzugriffs. Weitere Informationen zum Anhängen von Richtlinien finden Sie in der Dokumentation zu AWS Identity and Access Management.

In der folgenden Tabelle sind die für die einzelnen Aktionen erforderlichen AWS-Mindestberechtigungen aufgeführt:

Aktion AWS-Dienst Erforderliche Berechtigung Beschreibung
URL-Rang abrufen awis awis:UrlInfo Ruft Website-Traffic-Rankings für URLs ab.
Ping awis awis:UrlInfo Testet die Verbindung und prüft Ihre AWS-Anmeldedaten.

Netzwerkverbindung prüfen

Prüfen Sie, ob Ihre Google SecOps-Instanz oder Ihr Remote-Agent ausgehenden HTTPS-Traffic zum Alexa Web Information Service-Endpunkt zulässt, der in der folgenden Tabelle aufgeführt ist:

Zielhost Standardport Richtung Protokoll
awis.us-west-1.amazonaws.com 443 Ausgehend HTTPS

Integrationsparameter

Für die Alexa-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Access key id

Pflichtangabe.

Die AWS-Zugriffsschlüssel-ID, die für die Verbindung mit dem Alexa Web Information Service verwendet wird.
Secret access key

Pflichtangabe.

Der geheime AWS-Zugriffsschlüssel, der mit dem Access key id verknüpft ist.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

URL-Rang abrufen

Mit der Aktion URL-Rang abrufen können Sie den globalen Traffic-Rang von URLs prüfen und unbekannte oder wenig besuchte Websites identifizieren, die verdächtig sein könnten.

Diese Aktion wird für die Google SecOps-Entität URL ausgeführt.

Aktionseingaben

Für die Aktion Get URL Rank sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Threshold

Pflichtangabe.

Das Ranglimit, das verwendet wird, um unbekannte Websites zu kennzeichnen, z. B. 100000. Websites mit einem höheren Rang als dieser Wert haben weniger Traffic und werden als verdächtig markiert.

Aktionsausgaben

Die Aktion Get URL Rank liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Tabelle mit Entitätsanreicherungen Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Entitätsanreicherung

Die Aktion Get URL Rank unterstützt die folgende Entitätsanreicherung:

Name des Anreicherungsfelds Beschreibung
Alexa_Rank Der globale Traffic-Rang der Website in Alexa.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion URL-Rang abrufen empfangen wird:

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]
Ausgabenachrichten

Die Aktion Get URL Rank liefert die folgenden Ausgabenachrichten:

Ausgabemeldung Beschreibung der Nachricht

Following domains were enriched by Alexa.

ENTITY_ID: Rank: RANK

 Die Aktion war erfolgreich.
No entities were enriched.

Die Aktion ist fehlgeschlagen.

Der Fall muss mindestens eine gültige URL enthalten.
Request Error: (ERROR_CODE)

Die Aktion ist fehlgeschlagen.

Prüfen Sie, ob Ihre AWS-Anmeldedaten korrekt sind, Ihr IAM-Nutzer die Berechtigung zum Abfragen des Alexa Web Information Service hat und Ihr Netzwerk den Dienst erreichen kann.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion URL-Rang abrufen aufgeführt:

Name des Skriptergebnisses Wert
is_risky true oder false

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Alexa zu testen und zu prüfen, ob Ihre AWS-Anmeldedaten funktionieren.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Tabelle mit Entitätsanreicherungen Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Ping liefert die folgenden Ausgabenachrichten:

Ausgabemeldung Beschreibung der Nachricht
Connected Successfully Die Aktion war erfolgreich.
test_connectivity Error: (ERROR_REASON)

Die Aktion ist fehlgeschlagen.

Prüfen Sie, ob Ihre AWS-Anmeldedaten korrekt sind, Ihr IAM-Nutzer die Berechtigung zum Abfragen des Alexa Web Information Service hat und Ihr Netzwerk den Dienst erreichen kann.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Ping verwendet wird:

Name des Skriptergebnisses Wert
is_succeed true oder false

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten