Integrar a Alexa ao Google SecOps

Neste documento, explicamos como integrar a Alexa ao Google Security Operations.

Casos de uso

A integração com a Alexa usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:

  • Enriquecimento de popularidade de URL: adicione classificações globais de tráfego de sites a URLs em casos para distinguir sites estabelecidos de domínios desconhecidos.
  • Triagem de domínios suspeitos: sinalize automaticamente domínios de baixo tráfego como suspeitos durante investigações de phishing ou malware.
  • Escalonamento automatizado de alertas: encaminhe playbooks quando um domínio ficar abaixo do limite de popularidade para que os analistas possam priorizar URLs suspeitos.

Antes de começar

Antes de configurar a integração da Alexa no Google SecOps, conclua as seguintes etapas de pré-requisito:

  1. Crie credenciais de chave de acesso da AWS para sua instância do Google SecOps.
  2. Configure permissões de acesso de privilégio mínimo no Identity and Access Management da AWS.
  3. Verifique a conectividade de rede entre o Google SecOps e o Alexa Web Information Service.

Criar credenciais de chave de acesso da AWS

Para se conectar ao Alexa Web Information Service, crie um usuário dedicado do IAM na AWS em vez de usar as credenciais da conta raiz e gere um par de chaves de acesso para os parâmetros de integração:

  • Access key id: o ID da chave de acesso do usuário dedicado do IAM da AWS.
  • Secret access key: a chave de acesso secreta pareada com o ID da chave de acesso. Salve essa chave ao criá-la, porque a AWS não permite que você veja uma chave secreta atual novamente mais tarde.

Para instruções sobre como criar chaves de acesso de usuário do IAM, consulte a documentação do AWS Identity and Access Management.

Configurar permissões de acesso com privilégio mínimo

Conceda ao usuário dedicado do IAM apenas as permissões necessárias para consultar o Alexa Web Information Service, em vez de acesso administrativo total. Consulte a documentação do AWS Identity and Access Management para saber como anexar políticas.

A tabela a seguir lista as permissões mínimas da AWS necessárias para cada ação:

Ação Serviço da AWS Permissão necessária Descrição
Get URL Rank awis awis:UrlInfo Recupera as classificações de tráfego de sites para URLs.
Ping awis awis:UrlInfo Testa a conexão e verifica suas credenciais da AWS.

Verificar a conectividade de rede

Verifique se a instância do Google SecOps ou o agente remoto permite o tráfego HTTPS de saída para o endpoint do Alexa Web Information Service listado na tabela a seguir:

Host de destino Porta padrão Direção Protocolo
awis.us-west-1.amazonaws.com 443 Saída HTTPS

Parâmetros de integração

A integração com a Alexa requer os seguintes parâmetros:

Parâmetro Descrição
Access key id

Obrigatório.

O ID da chave de acesso da AWS usado para se conectar ao Alexa Web Information Service.
Secret access key

Obrigatório.

A chave de acesso secreta da AWS associada ao Access key id.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Receber classificação de URL

Use a ação Get URL Rank para verificar a classificação de tráfego global de URLs e identificar sites desconhecidos ou de baixo tráfego que possam ser suspeitos.

Essa ação é executada na entidade URL do Google SecOps.

Entradas da ação

A ação Get URL Rank requer os seguintes parâmetros:

Parâmetro Descrição
Threshold

Obrigatório.

O limite de classificação usado para sinalizar sites desconhecidos, como 100000. Os sites com um número de classificação maior que esse valor têm menos tráfego e são marcados como suspeitos.

Saídas da ação

A ação Get URL Rank fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento de entidades Disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Enriquecimento de entidades

A ação Get URL Rank é compatível com o seguinte enriquecimento de entidade:

Nome do campo de enriquecimento Descrição
Alexa_Rank A classificação de tráfego global do site no Alexa.
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Get URL Rank:

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]
Mensagens de saída

A ação Get URL Rank fornece as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Following domains were enriched by Alexa.

ENTITY_ID: Rank: RANK

 A ação foi concluída.
No entities were enriched.

A ação falhou.

Verifique se o caso inclui pelo menos um URL válido.
Request Error: (ERROR_CODE)

A ação falhou.

Verifique se as credenciais da AWS estão corretas, se o usuário do IAM tem permissão para consultar o Alexa Web Information Service e se a rede pode acessar o serviço.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get URL Rank:

Nome do resultado do script Valor
is_risky true ou false

Ping

Use a ação Ping para testar a conexão com a Alexa e verificar se as credenciais da AWS funcionam.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento de entidades Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Ping fornece as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem
Connected Successfully A ação foi concluída.
test_connectivity Error: (ERROR_REASON)

A ação falhou.

Verifique se as credenciais da AWS estão corretas, se o usuário do IAM tem permissão para consultar o Alexa Web Information Service e se a rede pode acessar o serviço.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script Valor
is_succeed true ou false

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.