Integra Alexa con Google SecOps

Questo documento spiega come integrare Alexa con Google Security Operations.

Casi d'uso

L'integrazione di Alexa utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

  • Arricchimento della popolarità degli URL: aggiungi i ranking del traffico dei siti web globali agli URL nei casi per distinguere i siti web affermati dai domini sconosciuti.
  • Triage dei domini sospetti: contrassegna automaticamente i domini con traffico ridotto come sospetti durante le indagini su phishing o malware.
  • Escalation automatica degli avvisi: indirizza i playbook quando un dominio scende al di sotto della soglia di popolarità, in modo che gli analisti possano dare la priorità agli URL sospetti.

Prima di iniziare

Prima di configurare l'integrazione di Alexa in Google SecOps, completa i seguenti passaggi preliminari:

  1. Crea le credenziali della chiave di accesso AWS per la tua istanza di Google SecOps.
  2. Configura le autorizzazioni di accesso con privilegio minimo in AWS Identity and Access Management.
  3. Verifica la connettività di rete tra Google SecOps e Alexa Web Information Service.

Crea credenziali della chiave di accesso AWS

Per connetterti ad Alexa Web Information Service, crea un utente IAM dedicato in AWS anziché utilizzare le credenziali dell'account root e genera una coppia di chiavi di accesso per i parametri di integrazione:

  • Access key id: l'ID chiave di accesso per l'utente IAM AWS dedicato.
  • Secret access key: la chiave di accesso segreta associata all'ID della chiave di accesso. Salva questa chiave quando la crei, perché AWS non ti consente di visualizzare di nuovo una chiave secret esistente in un secondo momento.

Per istruzioni sulla creazione delle chiavi di accesso degli utenti IAM, consulta la documentazione di AWS Identity and Access Management.

Configura le autorizzazioni di accesso con privilegio minimo

Concedi al tuo utente IAM dedicato solo le autorizzazioni necessarie per eseguire query su Alexa Web Information Service, anziché l'accesso amministrativo completo. Per informazioni dettagliate sul collegamento delle policy, consulta la documentazione di AWS Identity and Access Management.

La tabella seguente elenca le autorizzazioni AWS minime richieste per ogni azione:

Azione Servizio AWS Autorizzazione obbligatoria Descrizione
Get URL Rank awis awis:UrlInfo Recupera i ranking del traffico del sito web per gli URL.
Ping awis awis:UrlInfo Testa la connessione e verifica le tue credenziali AWS.

Verifica la connettività di rete

Verifica che l'istanza Google SecOps o l'agente remoto consenta il traffico HTTPS in uscita verso l'endpoint del servizio di informazioni web di Alexa elencato nella tabella seguente:

Host di destinazione Porta predefinita Direzione Protocollo
awis.us-west-1.amazonaws.com 443 In uscita HTTPS

Parametri di integrazione

L'integrazione di Alexa richiede i seguenti parametri:

Parametro Descrizione
Access key id

Obbligatorio.

L'ID chiave di accesso AWS utilizzato per connettersi ad Alexa Web Information Service.
Secret access key

Obbligatorio.

La chiave di accesso segreta AWS associata a Access key id.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Get URL Rank

Utilizza l'azione Get URL Rank per controllare il ranking del traffico globale degli URL e identificare siti web sconosciuti o con traffico ridotto che potrebbero essere sospetti.

Questa azione viene eseguita sull'entità Google SecOps URL.

Input azione

L'azione Ottieni ranking URL richiede i seguenti parametri:

Parametro Descrizione
Threshold

Obbligatorio.

Il limite di ranking utilizzato per segnalare siti web sconosciuti, ad esempio 100000. I siti web con un numero di ranking superiore a questo valore hanno meno traffico e sono contrassegnati come sospetti.

Output azione

L'azione Get URL Rank fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento delle entità Disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Enrichment delle entità

L'azione Get URL Rank supporta il seguente arricchimento delle entità:

Nome del campo di arricchimento Descrizione
Alexa_Rank Il ranking del traffico globale del sito web in Alexa.
Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Get URL Rank:

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]
Messaggi di output

L'azione Get URL Rank fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Following domains were enriched by Alexa.

ENTITY_ID: Rank: RANK

 L'azione è andata a buon fine.
No entities were enriched.

L'azione non è andata a buon fine.

Assicurati che la richiesta includa almeno un URL valido.
Request Error: (ERROR_CODE)

L'azione non è andata a buon fine.

Verifica che le tue credenziali AWS siano corrette, che il tuo utente IAM disponga dell'autorizzazione per eseguire query su Alexa Web Information Service e che la tua rete possa raggiungere il servizio.
Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Get URL Rank:

Nome del risultato dello script Valore
is_risky true o false

Dindin

Utilizza l'azione Ping per testare la connessione ad Alexa e verificare che le tue credenziali AWS funzionino.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento delle entità Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

L'azione Ping fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Connected Successfully L'azione è andata a buon fine.
test_connectivity Error: (ERROR_REASON)

L'azione non è andata a buon fine.

Verifica che le tue credenziali AWS siano corrette, che il tuo utente IAM disponga dell'autorizzazione per eseguire query su Alexa Web Information Service e che la tua rete possa raggiungere il servizio.
Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script Valore
is_succeed true o false

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.