Google SecOps와 Alexa 통합

이 문서에서는 Alexa를 Google Security Operations와 통합하는 방법을 설명합니다.

사용 사례

Alexa 통합은 Google SecOps 기능을 사용하여 다음 사용 사례를 지원합니다.

  • URL 인기도 보강: 알려진 웹사이트와 익숙하지 않은 도메인을 구분하기 위해 케이스의 URL에 전역 웹사이트 트래픽 순위를 추가합니다.
  • 의심스러운 도메인 분류: 피싱 또는 멀웨어 조사 중에 트래픽이 적은 도메인을 의심스러운 도메인으로 자동 신고합니다.
  • 자동 알림 에스컬레이션: 도메인이 인기도 기준점 아래로 떨어지면 플레이북을 라우팅하여 분석가가 의심스러운 URL의 우선순위를 지정할 수 있습니다.

시작하기 전에

Google SecOps에서 Alexa 통합을 구성하기 전에 다음 기본 요건 단계를 완료하세요.

  1. Google SecOps 인스턴스의 AWS 액세스 키 사용자 인증 정보를 만듭니다.
  2. AWS Identity and Access Management에서 최소 권한 액세스 권한을 구성합니다.
  3. Google SecOps와 Alexa Web Information Service 간의 네트워크 연결을 확인합니다.

AWS 액세스 키 사용자 인증 정보 만들기

Alexa Web Information Service에 연결하려면 루트 계정 사용자 인증 정보를 사용하는 대신 AWS에서 전용 IAM 사용자를 만들고 통합 매개변수의 액세스 키 쌍을 생성합니다.

  • Access key id: 전용 AWS IAM 사용자의 액세스 키 ID입니다.
  • Secret access key: 액세스 키 ID와 페어링된 보안 비밀 액세스 키입니다. AWS에서는 나중에 기존 보안 비밀 키를 다시 볼 수 없으므로 이 키를 만들 때 저장하세요.

IAM 사용자 액세스 키를 만드는 방법은 AWS Identity and Access Management 문서를 참조하세요.

최소 권한 액세스 권한 구성

전용 IAM 사용자에게 전체 관리 액세스 권한 대신 Alexa Web Information Service를 쿼리하는 데 필요한 권한만 부여합니다. 정책 연결에 대한 자세한 내용은 AWS Identity and Access Management 문서를 참조하세요.

다음 표에는 각 작업에 필요한 최소 AWS 권한이 나와 있습니다.

작업 AWS 서비스 필요한 권한 설명
URL 순위 가져오기 awis awis:UrlInfo URL의 웹사이트 트래픽 순위를 가져옵니다.
Ping awis awis:UrlInfo 연결을 테스트하고 AWS 사용자 인증 정보를 확인합니다.

네트워크 연결 확인

Google SecOps 인스턴스 또는 원격 에이전트가 다음 표에 나열된 Alexa Web Information Service 엔드포인트에 대한 아웃바운드 HTTPS 트래픽을 허용하는지 확인합니다.

대상 호스트 기본 포트 방향 프로토콜
awis.us-west-1.amazonaws.com 443 아웃바운드 HTTPS

통합 매개변수

Alexa 통합에는 다음 매개변수가 필요합니다.

매개변수 설명
Access key id

필수 입력란입니다.

Alexa Web Information Service에 연결하는 데 사용되는 AWS 액세스 키 ID입니다.
Secret access key

필수 입력란입니다.

Access key id와 연결된 AWS 보안 비밀 액세스 키입니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참조하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 관한 자세한 내용은 다중 인스턴스 지원을 참고하세요.

작업

작업에 대한 자세한 내용은 Workdesk의 대기 중인 작업에 응답 및 케이스에서 수동 작업 실행을 참고하세요.

URL 순위 가져오기

URL 순위 가져오기 작업을 사용하여 URL의 전역 트래픽 순위를 확인하고 의심스러울 수 있는 익숙하지 않거나 트래픽이 적은 웹사이트를 식별합니다.

이 작업은 URL Google SecOps 항목에서 실행됩니다.

작업 입력

URL 순위 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Threshold

필수 입력란입니다.

익숙하지 않은 웹사이트에 플래그를 지정하는 데 사용되는 순위 한도입니다(예: 100000). 이 값보다 순위가 높은 웹사이트는 트래픽이 적고 의심스러운 것으로 표시됩니다.

작업 출력

URL 순위 가져오기 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
항목 보강 테이블 사용 가능
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
항목 보강

URL 순위 가져오기 작업은 다음 항목 보강을 지원합니다.

보강 필드 이름 설명
Alexa_Rank Alexa에서 웹사이트의 전 세계 트래픽 순위입니다.
JSON 결과

다음 예시는 URL 순위 가져오기 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]
출력 메시지

URL 순위 가져오기 작업은 다음 출력 메시지를 제공합니다.

출력 메시지 메시지 설명

Following domains were enriched by Alexa.

ENTITY_ID: Rank: RANK

 작업이 완료되었습니다.
No entities were enriched.

작업이 실패했습니다.

케이스에 유효한 URL이 하나 이상 포함되어 있는지 확인합니다.
Request Error: (ERROR_CODE)

작업이 실패했습니다.

AWS 사용자 인증 정보가 올바르고, IAM 사용자에게 Alexa Web Information Service를 쿼리할 권한이 있으며, 네트워크가 서비스에 연결할 수 있는지 확인합니다.
스크립트 결과

다음 표에는 URL 순위 가져오기 작업을 사용할 때의 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_risky true 또는 false

핑

Ping 작업을 사용하여 Alexa에 대한 연결을 테스트하고 AWS 사용자 인증 정보가 작동하는지 확인합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

없음

작업 출력

핑 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용 불가
케이스 월 링크 사용 불가
케이스 월 테이블 사용 불가
항목 보강 테이블 사용 불가
JSON 결과 사용 불가
출력 메시지 사용 가능
스크립트 결과 사용 가능
출력 메시지

핑 작업은 다음 출력 메시지를 제공합니다.

출력 메시지 메시지 설명
Connected Successfully 작업이 완료되었습니다.
test_connectivity Error: (ERROR_REASON)

작업이 실패했습니다.

AWS 사용자 인증 정보가 올바르고, IAM 사용자에게 Alexa Web Information Service를 쿼리할 권한이 있으며, 네트워크가 서비스에 연결할 수 있는지 확인합니다.
스크립트 결과

다음 표에는 핑 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_succeed true 또는 false

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.