Intégrer Alexa à Google SecOps
Ce document explique comment intégrer Alexa à Google Security Operations.
Cas d'utilisation
L'intégration d'Alexa utilise les fonctionnalités de Google SecOps pour prendre en charge les cas d'utilisation suivants :
- Enrichissement de la popularité des URL : ajoutez des classements du trafic mondial des sites Web aux URL dans les cas pour distinguer les sites Web établis des domaines inconnus.
- Tri des domaines suspects : signalez automatiquement les domaines à faible trafic comme suspects lors des enquêtes sur l'hameçonnage ou les logiciels malveillants.
- Escalade automatique des alertes : acheminez les playbooks lorsqu'un domaine passe en dessous de votre seuil de popularité afin que les analystes puissent prioriser les URL suspectes.
Avant de commencer
Avant de configurer l'intégration d'Alexa dans Google SecOps, effectuez les étapes préalables suivantes :
- Créez des identifiants de clé d'accès AWS pour votre instance Google SecOps.
- Configurez les autorisations d'accès selon le principe du moindre privilège dans AWS Identity and Access Management.
- Vérifiez la connectivité réseau entre Google SecOps et Alexa Web Information Service.
Créer des identifiants de clé d'accès AWS
Pour vous connecter à Alexa Web Information Service, créez un utilisateur IAM dédié dans AWS au lieu d'utiliser les identifiants du compte racine, puis générez une paire de clés d'accès pour les paramètres d'intégration :
Access key id: ID de clé d'accès de votre utilisateur IAM AWS dédié.Secret access key: clé d'accès secrète associée à l'ID de clé d'accès. Enregistrez cette clé lorsque vous la créez, car AWS ne vous permet pas de consulter à nouveau une clé secrète existante.
Pour savoir comment créer des clés d'accès utilisateur IAM, consultez la documentation AWS Identity and Access Management.
Configurer les autorisations d'accès selon le principe du moindre privilège
N'accordez à votre utilisateur IAM dédié que les autorisations nécessaires pour interroger Alexa Web Information Service, au lieu d'un accès administrateur complet. Pour en savoir plus sur l'association de stratégies, consultez la documentation AWS Identity and Access Management.
Le tableau suivant liste les autorisations AWS minimales requises pour chaque action :
| Action | Service AWS | Autorisation requise | Description |
|---|---|---|---|
| Obtenir le classement d'une URL | awis |
awis:UrlInfo |
Récupère les classements du trafic Web pour les URL. |
| Ping | awis |
awis:UrlInfo |
Teste la connexion et vérifie vos identifiants AWS. |
Vérifier la connectivité réseau
Vérifiez que votre instance Google SecOps ou votre agent distant autorise le trafic HTTPS sortant vers le point de terminaison du service d'informations Web Alexa indiqué dans le tableau suivant :
| Hôte de destination | Port par défaut | Direction | Protocole |
|---|---|---|---|
awis.us-west-1.amazonaws.com |
443 |
Sortant | HTTPS |
Paramètres d'intégration
L'intégration d'Alexa nécessite les paramètres suivants :
| Paramètre | Description |
|---|---|
Access key id |
Obligatoire. ID de clé d'accès AWS utilisé pour se connecter à Alexa Web Information Service. |
Secret access key |
Obligatoire. Clé d'accès secrète AWS associée à l' |
Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.
Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.
Actions
Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.
Obtenir le classement de l'URL
Utilisez l'action Obtenir le classement de l'URL pour vérifier le classement du trafic mondial des URL et identifier les sites Web inconnus ou à faible trafic qui pourraient être suspects.
Cette action s'exécute sur l'entité Google SecOps URL.
Entrées de l'action
L'action Obtenir le classement de l'URL nécessite les paramètres suivants :
| Paramètre | Description |
|---|---|
Threshold |
Obligatoire. Limite de classement utilisée pour signaler les sites Web inconnus, par exemple |
Sorties de l'action
L'action Obtenir le classement de l'URL fournit les résultats suivants :
| Type de sortie de l'action | Disponibilité |
|---|---|
| Pièce jointe du mur des cas | Non disponible |
| Lien vers le mur des cas | Non disponible |
| Tableau du mur des cas | Non disponible |
| Table d'enrichissement des entités | Disponible |
| Résultat JSON | Disponible |
| Messages de sortie | Disponible |
| Résultat du script | Disponible |
Enrichissement d'entités
L'action Obtenir le classement de l'URL accepte l'enrichissement d'entité suivant :
| Nom du champ d'enrichissement | Description |
|---|---|
Alexa_Rank |
Classement du trafic mondial du site Web dans Alexa. |
Résultat JSON
L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Get URL Rank (Obtenir le classement de l'URL) :
[
{
"EntityResult": {
"TrafficData": [
{
"text": " ",
"DataUrl": [
{
"text": "domain.com",
"type": "canonical"
}
],
"Rank": [
{
"text": "5"
}
]
}
],
"text": " ",
"Request": [
{
"text": " ",
"Arguments": [
{
"text": " ",
"Argument": [
{
"text": " ",
"Name": [
{
"text": "url"
}
],
"Value": [
{
"text": "domain.com"
}
]
},
{
"text": " ",
"Name": [
{
"text": "responsegroup"
}
],
"Value": [
{
"text": "Rank"
}
]
}
]
}
]
}
]
},
"Entity": "domain.com"
}
]
Messages de sortie
L'action Obtenir le classement de l'URL fournit les messages de sortie suivants :
| Message de sortie | Description du message |
|---|---|
|
L'action a réussi. |
No entities were enriched. |
Échec de l'action. Assurez-vous que la demande inclut au moins une URL valide. |
Request Error: (ERROR_CODE) |
Échec de l'action. Vérifiez que vos identifiants AWS sont corrects, que votre utilisateur IAM est autorisé à interroger Alexa Web Information Service et que votre réseau peut accéder au service. |
Résultat du script
Le tableau suivant liste la valeur du résultat du script lors de l'utilisation de l'action Obtenir le classement de l'URL :
| Nom du résultat du script | Valeur |
|---|---|
is_risky |
true ou false |
Ping
Utilisez l'action Ping pour tester la connexion à Alexa et vérifier que vos identifiants AWS fonctionnent.
Cette action ne s'exécute pas sur les entités Google SecOps.
Entrées de l'action
Aucune.
Sorties de l'action
L'action Ping fournit les résultats suivants :
| Type de sortie de l'action | Disponibilité |
|---|---|
| Pièce jointe du mur des cas | Non disponible |
| Lien vers le mur des cas | Non disponible |
| Tableau du mur des cas | Non disponible |
| Table d'enrichissement des entités | Non disponible |
| Résultat JSON | Non disponible |
| Messages de sortie | Disponible |
| Résultat du script | Disponible |
Messages de sortie
L'action Ping fournit les messages de sortie suivants :
| Message de sortie | Description du message |
|---|---|
Connected Successfully |
L'action a réussi. |
test_connectivity Error: (ERROR_REASON) |
Échec de l'action. Vérifiez que vos identifiants AWS sont corrects, que votre utilisateur IAM est autorisé à interroger Alexa Web Information Service et que votre réseau peut accéder au service. |
Résultat du script
Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Ping :
| Nom du résultat du script | Valeur |
|---|---|
is_succeed |
true ou false |
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.