Alexa を Google SecOps と統合する

このドキュメントでは、Alexa を Google Security Operations と統合する方法について説明します。

ユースケース

Alexa の統合では、Google SecOps の機能を使用して、次のユースケースをサポートしています。

  • URL の人気度を拡充: 確立されたウェブサイトと未知のドメインを区別するために、グローバル ウェブサイトのトラフィック ランキングをケースの URL に追加します。
  • 不審なドメインのトリアージ: フィッシングやマルウェアの調査中に、トラフィックの少ないドメインを不審なドメインとして自動的にフラグを立てます。
  • アラートのエスカレーションの自動化: ドメインが人気のしきい値を下回ったときに、アナリストが不審な URL を優先できるように、ハンドブックをルーティングします。

始める前に

Google SecOps で Alexa 統合を構成する前に、次の前提条件の手順を完了します。

  1. Google SecOps インスタンスの AWS アクセスキー認証情報を作成します。
  2. AWS Identity and Access Management で最小権限のアクセス権限を構成します。
  3. Google SecOps と Alexa Web Information Service 間のネットワーク接続を確認します。

AWS アクセスキー認証情報を作成する

Alexa Web Information Service に接続するには、root アカウントの認証情報を使用する代わりに、AWS で専用の IAM ユーザーを作成し、統合パラメータのアクセス 鍵ペアを生成します。

  • Access key id: 専用の AWS IAM ユーザーのアクセスキー ID。
  • Secret access key: アクセスキー ID とペアになっているシークレット アクセスキー。AWS では、既存の秘密鍵を後で再度表示することはできないため、作成時にこの鍵を保存してください。

IAM ユーザー アクセスキーの作成手順については、AWS Identity and Access Management のドキュメントをご覧ください。

最小権限のアクセス権限を構成する

専用の IAM ユーザーには、完全な管理者権限ではなく、Alexa Web Information Service のクエリに必要な権限のみを付与します。ポリシーのアタッチの詳細については、AWS Identity and Access Management のドキュメントをご覧ください。

次の表に、各アクションに必要な最小限の AWS 権限を示します。

アクション AWS サービス 必要な権限 説明
URL ランクを取得する awis awis:UrlInfo URL のウェブサイト トラフィック ランキングを取得します。
ping awis awis:UrlInfo 接続をテストし、AWS 認証情報を確認します。

ネットワーク接続を確認する

Google SecOps インスタンスまたはリモート エージェントが、次の表に示す Alexa Web Information Service エンドポイントへのアウトバウンド HTTPS トラフィックを許可していることを確認します。

宛先ホスト デフォルト ポート 方向 プロトコル
awis.us-west-1.amazonaws.com 443 送信 HTTPS

統合のパラメータ

Alexa の統合には、次のパラメータが必要です。

パラメータ 説明
Access key id

必須。

Alexa Web Information Service への接続に使用される AWS アクセスキー ID。
Secret access key

必須。

Access key id に関連付けられた AWS シークレット アクセスキー。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

URL ランクを取得する

[Get URL Rank] アクションを使用して、URL のグローバル トラフィック ランクを確認し、不審な可能性のある、なじみのないウェブサイトやトラフィックの少ないウェブサイトを特定します。

このアクションは URL Google SecOps エンティティに対して実行されます。

アクションへの入力

Get URL Rank アクションには、次のパラメータが必要です。

パラメータ 説明
Threshold

必須。

不明なウェブサイト（100000 など）にフラグを付けるために使用されるランクの上限。この値よりもランク番号が大きいウェブサイトは、トラフィックが少なく、不審なサイトとしてマークされます。

アクションの出力

[Get URL Rank] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充

Get URL Rank アクションは、次のエンティティ拡充をサポートしています。

拡充フィールド名 説明
Alexa_Rank Alexa でのウェブサイトのグローバル トラフィック ランク。
JSON の結果

次の例は、Get URL Rank アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]
出力メッセージ

Get URL Rank アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明

Following domains were enriched by Alexa.

ENTITY_ID: Rank: RANK

 アクションが成功しました。
No entities were enriched.

アクションが失敗しました。

ケースに有効な URL が少なくとも 1 つ含まれていることを確認します。
Request Error: (ERROR_CODE)

アクションが失敗しました。

AWS 認証情報が正しいこと、IAM ユーザーに Alexa Web Information Service をクエリする権限があること、ネットワークがサービスにアクセスできることを確認します。
スクリプトの結果

次の表に、Get URL Rank アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_risky true または false

Ping

Ping アクションを使用して Alexa への接続をテストし、AWS 認証情報が機能することを確認します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

なし

アクションの出力

Ping アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションでは、次の出力メッセージが表示されます。

出力メッセージ メッセージの説明
Connected Successfully アクションが成功しました。
test_connectivity Error: (ERROR_REASON)

アクションが失敗しました。

AWS 認証情報が正しいこと、IAM ユーザーに Alexa Web Information Service をクエリする権限があること、ネットワークがサービスにアクセスできることを確認します。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_succeed true または false

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。