Integra Amazon GuardDuty con Google SecOps

Questo documento spiega come integrare Amazon GuardDuty con Google Security Operations (Google SecOps).

Prerequisiti

Se hai bisogno dell'accesso di sola lettura all'integrazione, ad esempio per eseguire il connettore, utilizza la policy AmazonGuardDutyReadOnlyAccess.

Per ottenere l'accesso completo a tutte le funzionalità di integrazione, utilizza la policy AmazonGuardDutyFullAccess.

Per informazioni dettagliate sull'utilizzo delle policy, consulta Policy gestite da AWS.

Configura la federazione delle identità web (OIDC) Google Cloud per AWS

Le integrazioni e i connettori di Google SecOps possono autenticarsi su AWS utilizzando la federazione delle identità web OpenID Connect (OIDC). In questo modo, non è necessario archiviare chiavi di accesso e chiavi segrete AWS di lunga durata nella piattaforma.

Per configurare la federazione OIDC, devi configurare una relazione di trust tra il tuo ambienteGoogle Cloud e il tuo ambiente AWS.

Passaggio 1: configura l'account di servizio Google Cloud

  1. Nella console Google Cloud , crea o seleziona un service account Google Cloud di destinazione dedicato alle tue integrazioni AWS.
  2. Assegna il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator) al service account per abilitare la generazione di token e l'impersonificazione.
  3. Copia l'ID client OAuth 2.0 (noto anche come ID univoco o ID soggetto) di questo service account. Questo valore ti servirà per configurare AWS.
  4. Configura il modo in cui il tuo ambiente Google SecOps si autentica come questo account di servizio di destinazione:
    • Workload Identity (consigliato): se l'agente o l'ambiente Google SecOps viene eseguito in modo nativo in Google Cloud, assicurati che disponga dell'autorizzazione per impersonare questo account di servizio di destinazione utilizzando Workload Identity.
    • Chiave del service account: se il tuo ambiente o agente viene eseguito esternamente o on-premise, scarica un file JSON della chiave del service account per questo service account di destinazione e configura l'ambiente della tua piattaforma in modo che lo utilizzi per l'autenticazione.

Passaggio 2: aggiungi il provider di identità OIDC in AWS

  1. Nella Console di gestione AWS, vai a IAM > Identity Providers (Provider di identità).
  2. Fai clic su Add Provider (Aggiungi provider) e seleziona OpenID Connect.
  3. In Provider URL (URL provider), inserisci: https://accounts.google.com
  4. In Pubblico, inserisci l'ID client OAuth 2.0 del service account Google Cloud che hai copiato nel passaggio 1.

Passaggio 3: crea il ruolo AWS IAM federato

  1. Nella console AWS IAM, crea un nuovo ruolo IAM.
  2. Seleziona Web Identity come tipo di entità attendibile per configurare automaticamente una policy di attendibilità utilizzando Amazon Security Token Service (sts:AssumeRoleWithWebIdentity).
  3. Collega le policy di autorizzazione specifiche richieste dall'integrazione o dal connettore (ad esempio AmazonGuardDutyReadOnlyAccess).

  4. Visualizza la scheda Relazioni di attendibilità del ruolo, fai clic su Modifica policy di attendibilità e applica la seguente configurazione JSON:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::<AWS_ACCOUNT_ID>:oidc-provider/accounts.google.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "accounts.google.com:aud": "<GCP_SERVICE_ACCOUNT_CLIENT_ID>",
          "accounts.google.com:sub": "<GCP_SERVICE_ACCOUNT_CLIENT_ID>"
        }
      }
    }
  ]
}

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID chiave di accesso AWS Stringa N/D No ID chiave di accesso AWS da utilizzare nell'integrazione. Lascia vuoto se utilizzi la federazione delle identità web (OIDC) Google Cloud.
Chiave segreta AWS Password N/D No Chiave segreta AWS da utilizzare nell'integrazione. Lascia vuoto se utilizzi la federazione di identità web (OIDC) Google Cloud .
Regione predefinita AWS Stringa N/D Sì Regione AWS predefinita da utilizzare nell'integrazione, ad esempio us-west-1.
Esegui da remoto Casella di controllo Deselezionata No

Seleziona il campo per eseguire l'integrazione configurata da remoto.

Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Casi d'uso

  1. Rileva e gestisci le minacce nel sistema AWS utilizzando playbook o azioni manuali.
  2. Importa i risultati di Amazon GuardDuty, che vengono poi spostati nell'archivio di GuardDuty.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Dindin

Testa la connettività ad Amazon GuardDuty.

Parametri

Nessuno.

Pubblica su

Questa azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

Se l'operazione va a buon fine: "Connessione al server AWS GuardDuty con i parametri di connessione forniti riuscita."

Else: "Failed to connect to the AWS if successful: "Successfully connected to the AWS GuardDuty server with the provided connection parameters!"

Else: "Failed to connect to the AWS GuardDuty server! Errore: {0}"

 Generale

Crea un rilevatore

Crea un singolo rilevatore Amazon GuardDuty. Un rilevatore è una risorsa che rappresenta il servizio GuardDuty. Puoi avere un solo rilevatore per account per regione.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Abilita Casella di controllo Deselezionata Sì Specifica se il rilevatore deve essere attivato.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: "Il rilevatore <nuovo ID rilevatore> è stato creato."

Se il rilevatore non viene creato (is_success=false): "L'azione non è riuscita a creare un rilevatore. Motivo: esiste già un rilevatore per l'account corrente.

Se viene segnalato "ErrorCode" (is_success=false): "L'azione non è riuscita a creare un rilevatore. Errore: {}".format (ErrorMessage)"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Crea un rilevatore". Reason: {0}''.format(error.Stacktrace)

 Generale

Elimina un rilevatore

Elimina un rilevatore Amazon GuardDuty specificato dall'ID rilevatore.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore che vuoi eliminare.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se il rilevatore non viene eliminato (is_success=false): "L'azione non è riuscita a eliminare il rilevatore <detector_ID>. Errore: {}".format(ErrorMessage)"

Se il rilevatore viene eliminato correttamente (is_success=true): "Il rilevatore <ID rilevatore> è stato eliminato."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Elimina un rilevatore". Reason: {0}''.format(error.Stacktrace)

 Generale

Aggiorna un rilevatore

Aggiorna il rilevatore Amazon GuardDuty specificato dall'ID rilevatore.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore che vuoi aggiornare.
Abilita Casella di controllo Deselezionata No Specifica se il rilevatore deve essere attivato.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se viene segnalato "ErrorCode" (is_success=false): "L'azione non è riuscita a creare un rilevatore. Errore: {}".format(ErrorMessage)"

Se il rilevatore viene aggiornato correttamente (is_success=true): "Il rilevatore <ID rilevatore> è stato aggiornato."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Anche un ID rilevatore non valido dovrebbe generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Aggiorna un rilevatore". Reason: {0}''.format(error.Stacktrace)

 Generale

Ottieni dettagli del rilevatore

Recupera un rilevatore Amazon GuardDuty specificato dall'ID rilevatore.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore che vuoi recuperare. Valori separati da virgola.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
   "DetectorId": "DETECTOR_ID",
   "CreatedAt": "response['CreatedAt']",
   "ServiceRole": "response['ServiceRole']",
   "Status": "response['Status']",
   "UpdatedAt": "response['UpdatedAt']",
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: "Recupero delle informazioni sull'indicatore <Indicator ID> riuscito."

Nota: se alcuni ID rilevatore vengono trovati e altri no, visualizza entrambi i messaggi in base all'ID rilevatore pertinente.

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Recupera i dettagli di un rilevatore". Reason: {0}''.format(error.Stacktrace)

 Generale
Tabella CSV

Table Title: Detectors Details

Colonne della tabella:

  • ID rilevatore
  • Stato
  • Ruolo di servizio
  • Data/ora di creazione
  • Data/ora di aggiornamento
 Generale

Elenca rilevatori

Elenca i detectorId di tutte le risorse del rilevatore Amazon GuardDuty esistenti.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Numero massimo di rilevatori da restituire Numero intero 50 No Specifica il numero di rilevatori da restituire.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "detectorIds": ["ID1,ID2"]
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se viene restituito il codice di stato 200 (is_success=true): "I rilevatori disponibili in Amazon GuardDuty sono stati elencati correttamente. Indicator ID:<value>"

Se viene segnalato un altro codice di stato (is_success=false): "L'azione non è riuscita a elencare i rilevatori disponibili"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elenca rilevatori". Reason: {0}''.format(error.Stacktrace)

 Generale

Elenca i risultati per un rilevatore

Elenca tutti i risultati di Amazon GuardDuty per l'ID rilevatore specificato.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore che vuoi recuperare.
Numero massimo di risultati da restituire Numero intero 50 No Specifica il numero di rilevatori da restituire.
Ordina per Stringa N/D No Rappresenta l'attributo del risultato (ad esempio accountId) in base al quale ordinare i risultati.
Ordina per DDL

CRESC

Valori possibili:

  • CRESC
  • DECR
 No L'ordine in base al quale devono essere visualizzati i risultati ordinati.
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{"FindingIds": ["10ba96ae50733ae38b9cae95431b7558"]}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo e interrompere l'esecuzione di un playbook:

Se viene segnalato "ErrorCode" (is_success=false): "L'azione non è riuscita a ottenere i risultati per il rilevatore <detector ID>. Errore: {}".format(ErrorMessage)"

In caso di esito positivo: "Successfully retrieved available findings IDs for detector {detector ID}" (ID dei risultati disponibili recuperati correttamente per il rilevatore {detector ID})

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Elenca i risultati per un rilevatore". Reason: {0}''.format(error.Stacktrace)

 Generale

Archivia i risultati

Archivia i risultati di GuardDuty specificati dagli ID dei risultati.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID risultati Stringa N/D Sì

Gli ID dei risultati che vuoi recuperare.

ID separati da virgole.
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Autorizzazione della policy IAM AWS:

  • Effetto: Consenti
  • Azione: guardduty:ArchiveFindings

Solo l'account amministratore può archiviare i risultati. Gli account membri non hanno l'autorizzazione per archiviare i risultati dai propri account.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:

Se viene segnalato "ErrorCode" (is_success=false): "L'azione non è riuscita ad archiviare i risultati. Error: {}".format(ErrorMessage). Verifica che tutti gli ID dei risultati siano corretti."

Se l'operazione riesce: "I risultati sono stati archiviati correttamente" → Modificato in: "I seguenti risultati sono stati archiviati correttamente: <ids>

In caso di uno o tutti gli ID dei risultati non validi, l'azione non dovrebbe avere esito negativo, ma is_success deve essere impostato su false: "Impossibile archiviare i seguenti risultati: <ids>"

Nota: il codice di errore non può essere relativo a uno degli ID. In caso di ID risultato errato, viene generata un'eccezione con il seguente errore: "Durante la chiamata dell'operazione ArchiveFindings (numero massimo di nuovi tentativi raggiunto: 4): errore interno del server".

Same here:Check first if finding is valid.

I seguenti risultati sono stati archiviati correttamente: 88bac20f959084244a2b91778d12e883

Impossibile archiviare i seguenti risultati: 1abac689941ae6f3e3e24d02ac4cf612

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Anche un ID rilevatore non valido dovrebbe generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Archivia risultati". Reason: {0}''.format(error.Stacktrace)"

 Generale

Annulla archiviazione dei risultati

Estrai i risultati di GuardDuty specificati dagli ID dei risultati.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID risultati Stringa N/D Sì Gli ID dei risultati che vuoi recuperare. Valori separati da virgola.
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore.

Autorizzazione della policy IAM AWS:

  • Effetto: Consenti
  • Azione: guardduty:UnarchiveFindings

Solo l'account amministratore può archiviare i risultati. Gli account membri non hanno l'autorizzazione per archiviare i risultati dai propri account.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:

In caso di esito positivo: "I seguenti risultati sono stati archiviati correttamente: <ids>"

In caso di uno o tutti gli ID dei risultati non validi, l'azione non dovrebbe non riuscire, ma is_success dovrebbe essere impostato su false: "Impossibile annullare l'archiviazione dei seguenti risultati: <ids>

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Annulla l'archiviazione dei risultati". Reason: {0}''.format(error.Stacktrace)"

Nota: il codice di errore non può essere relativo a uno degli ID. In caso di ID risultato errato, viene generata un'eccezione con il seguente errore: "Durante la chiamata dell'operazione ArchiveFindings (numero massimo di nuovi tentativi raggiunto: 4): errore interno del server".

Same here: Check first if finding is valid.

I seguenti risultati sono stati archiviati correttamente: 88bac20f959084244a2b91778d12e883

Impossibile archiviare i seguenti risultati: 1abac689941ae6f3e3e24d02ac4cf612

 Generale

Crea risultati di esempio

Genera risultati di esempio dei tipi specificati dall'elenco dei risultati.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore per cui creare i risultati di esempio.
Tipi di risultati Stringa N/D No

I tipi di risultati di esempio da generare. Valori separati da virgola.

I tipi sono disponibili nella UI nella sezione Risultati, nella colonna Tipo di risultato.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se viene segnalato "ErrorCode" (is_success=false): "L'azione non è riuscita a creare risultati di esempio. Errore: {}".format(ErrorMessage)"

In caso di esito positivo: "Creazione dei risultati di esempio riuscita"

Se uno degli input (Tipi di risultati) non è valido, viene rilevata la seguente eccezione: "La richiesta viene rifiutata perché è stato specificato un valore non valido o fuori intervallo come parametro di input." set, is_sucess=false: "L'azione non è riuscita a creare risultati di esempio perché è stato trovato un valore non valido come parametro Tipi di risultati.

Aggiornato: in caso di tipo di risultato non valido, l'azione non dovrebbe riuscire e dovrebbe essere visualizzato questo messaggio: "L'azione non è riuscita a creare risultati di esempio perché è stato trovato un valore non valido come parametro Tipi di risultati. Errore: <traceback>

  • tipo di risultato non valido + rilevatore non valido → l'azione non dovrebbe riuscire, is_success=false
  • Più risultati: non valido + non valido. L'azione non andrà comunque a buon fine.

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Crea risultati di esempio". Reason: {0}''.format(error.Stacktrace)

 Generale

Aggiorna il feedback sui risultati

Contrassegna i risultati di Amazon GuardDuty specificati come utili o non utili.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore associato ai risultati per cui aggiornare il feedback.
Utile? Casella di controllo Deselezionata Sì Il feedback per il risultato.
ID risultati Stringa N/D Sì Gli ID dei risultati che vuoi contrassegnare come utili o non utili. Valori separati da virgola.
Commento Stringa N/D No Feedback aggiuntivo sui risultati di GuardDuty.
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se viene segnalato "ErrorCode" (is_success=false): "L'azione non è riuscita ad aggiornare il feedback sui risultati. Errore: {}".format(ErrorMessage)

In caso di esito positivo: "Il feedback sui risultati è stato aggiornato."

Se si verifica un errore o un ID risultato non viene trovato, l'oggetto di risposta restituisce comunque una risposta vuota, anche se uno degli ID non esiste.

Se non vengono trovati risultati:"Impossibile aggiornare il feedback. <finding id> is not valid."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Aggiorna feedback sui risultati". Reason: {0}''.format(error.Stacktrace)"

 Generale

Elimina un elenco di IP attendibili

Elimina l'IPSet specificato dall'ID.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per eliminare un set di IP.

Questo parametro è disponibile nella scheda Impostazioni.
ID degli elenchi di IP attendibili Stringa N/D Sì

Specifica l'elenco separato da virgole degli ID dei set di IP.

Esempio: id_1,id_2

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se l'operazione riesce (is_success=true): "Successfully deleted the following Trusted IP lists: <ids>"

Se l'operazione non è andata a buon fine per alcuni ID (is_success=true): "Action wasn't able to delete the following Trusted IP Lists from Amazon GuardDuty:\n{0}.".format(list_of_ids)"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elimina un elenco di IP attendibili". Reason: {0}''.format(error.Stacktrace"

 Generale

Ottieni i dettagli dei risultati

Restituisce informazioni dettagliate su un risultato in AWS Guard Duty.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID risultati Stringa N/D Sì

Gli ID dei risultati che vuoi recuperare. ID separati da virgole.
ID rilevatore Stringa N/D Sì L'ID univoco del rilevatore che vuoi recuperare.
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "Findings": [{
        "AccountId": "ACCOUNT_ID",
        "Arn": "arn:aws:guardduty:us-east-1:ACCOUNT_ID:detector/DETECTOR_ID/finding/FINDING_ID",
        "CreatedAt": "2020-10-06T05:19:50.794Z",
        "Description": "203.0.113.9 is performing RDP brute force attacks against i-INSTANCE_ID. Brute force attacks are used to gain unauthorized access to your instance by guessing the RDP password.", "Id": "ID",
        "Partition": "aws",
        "Region": "us-east-1",
        "Resource": {
            "InstanceDetails": {
                "AvailabilityZone": "us-east-1e",
                "ImageId": "ami-IMAGE_ID",
                "InstanceId": "i-INSTANCE_ID",
                "InstanceState": "running",
                "InstanceType": "t2.micro",
                "LaunchTime": "2020-05-27T08:54:03Z", "NetworkInterfaces": [{
                    "Ipv6Addresses": [],
                    "NetworkInterfaceId": "eni-012d9b8a1a3b4e40a",
                    "PrivateDnsName": "ip-192.0.2.1.ec2.internal",
                    "PrivateIpAddress": "192.0.2.1",
                    "PrivateIpAddresses": [{
                        "PrivateDnsName": "ip-192.0.2.1.ec2.internal",
                        "PrivateIpAddress": "192.0.2.1"
                    }],
                    "PublicDnsName": "ec2-54-234-69-236.compute-1.amazonaws.com",
                    "PublicIp": "198.51.100.236",
                    "SecurityGroups": [{
                        "GroupId": "sg-0fa42e04e9cd15407",
                        "GroupName": "Windows Server 2016"
                    }],
                    "SubnetId": "subnet-2edddf10",
                    "VpcId": "vpc-48a7ac32"
                }],
                "Platform": "windows",
                "ProductCodes": [],
                "Tags": [{
                    "Key": "Name",
                    "Value": "CiscoAMP-win2012"
                }]},
            "ResourceType": "Instance"
        },
        "SchemaVersion": "2.0",
        "Service": {
            "Action": {
                "ActionType": "NETWORK_CONNECTION", "NetworkConnectionAction": {
                    "Blocked": false,
                    "ConnectionDirection": "INBOUND",
                    "LocalPortDetails": {
                        "Port": 3389, "PortName": "RDP"
                    },
                    "Protocol": "TCP",
                    "LocalIpDetails": {
                        "IpAddressV4": "192.0.2.1"
                    },
                    "RemoteIpDetails": {
                        "IpAddressV4": "203.0.113.9",
                        "Organization": {
                            "Asn": "24875",
                            "AsnOrg": "Example Inc.",
                            "Isp": "Example Inc.",
                            "Org": "Example Inc."
                        }},
                    "RemotePortDetails": {
                            "Port": 1549,
                        "PortName": "Unknown"
                    }}},
            "Archived": false,
            "Count": 5,
            "DetectorId": "DETECTOR_ID",
            "EventFirstSeen": "2020-10-06T05:10:58Z",
            "EventLastSeen": "2020-10-06T05:46:59Z",
            "ResourceRole": "TARGET",
            "ServiceName": "guardduty"
        },
        "Severity": 2,
        "Title": "203.0.113.9 is performing RDP brute force attacks against i-INSTANCE_ID.",
        "Type": "UnauthorizedAccess:EC2/RDPBruteForce",
        "UpdatedAt": "2020-10-06T06:01:46.380Z"
    }]
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se viene segnalato "ErrorCode" (is_success=false): "L'azione non è riuscita a recuperare i dettagli dei risultati. Errore: {}".format(ErrorMessage)"

Se l'operazione ha esito positivo: "Informazioni recuperate correttamente per i seguenti risultati <ID dei risultati recuperati>"

Se viene segnalato un errore per uno degli ID, l'oggetto della risposta contiene i risultati solo per gli ID corretti. Controlla se l'oggetto della risposta non contiene alcuni degli ID e stampa un messaggio appropriato.

E.g. data = ['4cba8180b5959ae56a3be24cc722aaaa', '6eba7eae0e24ffe28a4109f2594febff', '24ba6761dc4cf85cfc292bbadd1c2655']

The first ID does not exist, therefore I will not get a result for that one. Output message:

"Successfully retrieved information for the following findings: 6eba7eae0e24ffe28a4109f2594febff,24ba6761dc4cf85cfc292bbadd1c2655. Failed to retrieve information for the following findings: 4cba8180b5959ae56a3be24cc722aaaa

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione o altro: "Errore durante l'esecuzione dell'azione "Recupera risultati". Reason: {0}''.format(error.Stacktrace)"

 Generale
Tabella della bacheca casi

Nota: se esiste.

Colonne della tabella:

  • ID risultato
  • Titolo
  • Descrizione
  • Tipo
  • Gravità
  • Conteggio
  • ID risorsa
  • Data/ora di creazione
  • Data/ora di aggiornamento
  • ID account
 Generale

Ottieni tutti gli elenchi di IP attendibili

Descrizione

Recupera tutti gli elenchi di IP attendibili (IPSet) del servizio GuardDuty specificato dall'ID del rilevatore.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per elencare i set di IP.

Questo parametro è disponibile nella scheda Impostazioni.
Numero massimo di elenchi di IP attendibili da restituire Numero intero 50 No Specifica il numero di elenchi di IP attendibili da restituire.
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "IpSetIds": ['', '' , '']
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se i set disponibili sono stati elencati correttamente (is_success=true): "Elenchi di IP attendibili disponibili recuperati correttamente."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Recupera tutti gli elenchi di IP attendibili". Reason: {0}''.format(error.Stacktrace)

 Generale

Ottieni un elenco di IP attendibili

Descrizione

Ottieni i dettagli su un elenco di IP attendibili in Amazon GuardDuty.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per ottenere un set di IP.

Questo parametro è disponibile nella scheda Impostazioni.
ID degli elenchi di IP attendibili CSV N/D Sì

Specifica l'elenco separato da virgole di ID per i set di IP, ad esempio id_1,id_2.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "ip_set_id": {
        "Format": "response['Format']",
        "Location": "response['Location']",
        "Name": "response['Name']",
        "Status": "response['Status']"
        }
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se i dettagli vengono restituiti correttamente (is_success=true):"Successfully retrieved details about the following Trusted IP Lists from Amazon GuardDuty:\n{0}.".format(list_of_ids)"

Se l'operazione non va a buon fine per alcuni ID (is_success=true): "Action wasn't able to retrieve details about the following Trusted IP Lists from Amazon GuardDuty:\n{0}.".format(list_of_ids)

Se non vengono utilizzati ID (is_success=false): "No details were retrieved about the provided Trusted IP Lists".format(list_of_ids)"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elenca elenchi IP attendibili". Reason: {0}''.format(error.Stacktrace)

 Generale
CSV

Nome tabella: Dettagli degli elenchi di IP attendibili

Colonne della tabella:

  • Nome (mappato come Nome)
  • ID elenco IP attendibili (dal parametro dell'azione)
  • Location (mappata come Location)
  • Status (mappato come Status)
 Generale

Aggiorna un elenco di IP attendibili

Descrizione

Aggiorna un elenco di IP attendibili in Amazon GuardDuty.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per aggiornare un elenco di IP attendibili.

Questo parametro è disponibile nella scheda Impostazioni.
ID elenco IP attendibili Stringa N/D Sì Specifica l'ID dell'elenco di IP attendibili da aggiornare.
Nome Stringa N/D No Specifica il nuovo nome dell'elenco di IP attendibili.
Posizione file Stringa https://s3.amazonaws.com/{bucket-name}/file.txt No Specifica una nuova posizione URI in cui si trova il file.
Attiva Casella di controllo Selezionata Sì Se abilitato, l'elenco di IP attendibili verrà attivato.
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
N/A
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se un set è stato aggiornato correttamente (is_success=true): "Successfully updated the trusted IP list '{0}' in Amazon GuardDuty.".format(Threat ID)

Se l'aggiornamento di un set non va a buon fine (is_success=false): "Action wasn't able to update the trusted IP list '{0}' in Amazon GuardDuty.".format(Threat ID)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Aggiorna elenco IP attendibili". Reason: {0}''.format(error.Stacktrace)

 Generale

Crea un elenco di IP attendibili

Crea un nuovo elenco di indirizzi IP attendibili (IPSet) che erano presenti nell'elenco dinamico per la comunicazione sicura con l'infrastruttura e le applicazioni AWS.

GuardDuty non genera risultati per gli indirizzi IP inclusi negli IPSet. Solo gli utenti dell'account amministratore possono utilizzare questa operazione.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per creare un elenco di IP attendibili.

Questo parametro è disponibile nella scheda Impostazioni.
Nome Stringa N/D Sì Specifica il nome dell'elenco di IP attendibili.
Formato file DDL Testo non crittografato Sì

Seleziona il formato del file da utilizzare per creare un elenco di IP attendibili.

Valori possibili:

  • STIX (Structured Threat Information Expression) in testo non crittografato
  • CSV Open Threat Exchange (OTX)
  • FireEye iSIGHT Threat Intelligence CSV
  • Feed CSV di Proofpoint ET Intelligence
  • AlienVault Reputation Feed
Posizione file Stringa https://s3.amazonaws.com/{bucket-name}/file.txt Sì Specifica la posizione dell'URI in cui si trova il file
Attiva Casella di controllo Selezionata Sì Se l'opzione è attiva, l'elenco di IP attendibili appena creato viene attivato.
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "TrustedIPID": "TRUSTED_IP_ID"
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se un set è stato creato correttamente (is_success=true): "Successfully created new Trusted IP List '{0}' in Amazon GuardDuty.".format(Name)"

Se la creazione di un set non va a buon fine (is_success=false): "Action wasn't able to create new Trusted IP List '{0}' in Amazon GuardDuty.".format(name)"

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Crea elenco di IP attendibili". Reason: {0}''.format(error.Stacktrace)"

 Generale

Elenca set di threat intelligence

Elenca i set di threat intelligence disponibili in Amazon GuardDuty.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per elencare i set di threat intelligence.

Questo parametro è disponibile nella scheda Impostazioni.
Numero massimo di set di threat intelligence da restituire Numero intero 50 No Specifica il numero di set di threat intelligence da restituire.
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "ThreatIntelSetIds": ["14ba8b942b76c1be6d985715eb7443eb",
                       "32ba8b92e553fe04d06dab543ed57a70",
                       "8aba8b93ba6e08e8fd5349b2c2b57709"
                       ]
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se i set disponibili sono stati elencati correttamente (is_success=true): "Successfully listed available Threat Intelligence Sets." (Set di threat intelligence disponibili elencati correttamente).

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elenca set di threat intelligence". Reason: {0}''.format(error.Stacktrace)

 Generale

Ottieni i dettagli del set di threat intelligence

Ottieni i dettagli di un set di threat intelligence in Amazon GuardDuty.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per ottenere i dettagli dei set di threat intelligence.

Questo parametro è disponibile nella scheda Impostazioni.
ID set di threat intelligence Stringa 50 Sì

Specifica l'elenco separato da virgole degli ID dei set di threat intelligence.

Esempio: id_1,id_2
Regione AWS Stringa N/D No Facoltativamente, specifica la regione AWS da utilizzare nell'azione, che può essere diversa dalla regione predefinita specificata nella pagina di configurazione dell'integrazione.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "Format": "TXT",
    "Location": "https: //example.s3.amazonaws.com/test.txt",
    "Name": "API Test",
    "ResponseMetadata": {
        "HTTPHeaders": {
            "connection": "keep-alive",
            "content-length": "149",
            "content-type": "application/json",
            "date": "Mon,19 Oct 2020 06: 23: 22 GMT",
            "x-amz-apigw-id": "ID",
            "x-amzn-requestid": "REQUEST_ID",
            "x-amzn-trace-id": "TRACE_ID"
        },
        "HTTPStatusCode": 200,
        "RequestId": "REQUEST_ID",
        "RetryAttempts": 0
    },
    "Status": "ERROR",
    "Tags": {}
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se i dettagli relativi ad almeno un set vengono restituiti correttamente (is_success=true): "Successfully retrieved details about the following Threat Intelligence Sets from Amazon GuardDuty:\n{0}.".format(list_of_ids)"

Se l'operazione non va a buon fine per alcuni ID (is_success=true): "Action wasn't able to retrieve details about the following Threat Intelligence Sets from Amazon GuardDuty:\n{0}.".format(list_of_ids)"

Se non vengono utilizzati ID: "No details were retrieved about the provided Threat Intelligence Sets.".format(list_of_ids)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Elenca set di threat intelligence". Reason: {0}''.format(error.Stacktrace)

 Generale
CSV

Nome della tabella: Threat Intelligence Set Details

Colonna tabella:

  • Name (mappato come Name)
  • ID (dal parametro azione)
  • Location (mappata come Location)
  • Status (mappato come Status)

Crea set di threat intelligence

Crea un set di threat intelligence in Amazon GuardDuty.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per creare un set di threat intelligence.

Questo parametro è disponibile nella scheda Impostazioni.
Nome Stringa N/D Sì Specifica il nome del set di threat intelligence.
Formato file DDL

Testo non crittografato

Valori possibili:

  • Testo non crittografato
  • Structured Threat Information Expression (STIX)
  • CSV Open Threat Exchange (OTX)
  • FireEye iSIGHT Threat Intelligence CSV
  • Feed CSV di Proofpoint ET Intelligence
  • AlienVault Reputation Feed
 Sì Seleziona il formato del file utilizzato per creare un set di threat intelligence.
Posizione file Stringa https://s3.amazonaws.com/{bucket-name}/file.txt Sì Specifica la posizione dell'URI in cui si trova il file.
Attivo Casella di controllo Selezionata Sì Se abilitato, il set di threat intelligence appena creato viene attivato.
Tag CSV N/D No

Specifica i tag aggiuntivi da aggiungere al set di threat intelligence.

Formato: key_1:value_1,key_2:value_1

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Risultato JSON
{
    "ThreatIntelSetId": "b6f0c884a54449cc8e29eed3094e9c31"
}
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se è stato creato un set (is_success=true): "Successfully created the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(Name)

Se la creazione di un set non va a buon fine (is_success=false):"Action wasn't able to create the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(name)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Crea set di threat intelligence". Reason: {0}''.format(error.Stacktrace)

 Generale

Aggiorna set di threat intelligence

Aggiorna un set di threat intelligence in Amazon GuardDuty.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID rilevatore Stringa N/D Sì

Specifica l'ID del rilevatore da utilizzare per aggiornare un set di threat intelligence.

Questo parametro è disponibile nella scheda Impostazioni.
ID Stringa N/D Sì Specifica l'ID del set di threat intelligence da aggiornare.
Nome Stringa N/D No Specifica il nuovo nome del set di threat intelligence.
Posizione file Stringa https://s3.amazonaws.com/{bucket-name}/file.txt No Specifica una nuova posizione URI in cui si trova il file.
Attivo Casella di controllo Selezionata Sì Se abilitato, il set di threat intelligence viene attivato.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se un set è stato aggiornato correttamente (is_success=true): "Successfully updated the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(Threat ID)

Se l'aggiornamento di un set non va a buon fine (is_success=false): "Action wasn't able to update the Threat Intelligence Set '{0}' in Amazon GuardDuty.".format(Threat ID)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, un errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Aggiorna set di threat intelligence". Reason: {0}''.format(error.Stacktrace)

 Generale

Elimina set di threat intelligence

Elimina un set di threat intelligence in Amazon GuardDuty.

Parametri

Nome parametro Tipo Valore predefinito Filigrana È obbligatorio Descrizione
ID rilevatore Stringa N/D N/D Sì

Specifica l'ID del rilevatore da utilizzare per ottenere i dettagli dei set di threat intelligence.

Questo parametro è disponibile nella scheda Impostazioni.
ID set di threat intelligence CSV N/D N/D Sì

Specifica l'elenco separato da virgole degli ID dei set di threat intelligence.

Esempio: id_1,id_2

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero o falso is_success=False
Bacheca casi
Tipo di risultato Descrizione Tipo
Messaggio di output*

L'azione non deve avere esito negativo né interrompere l'esecuzione di un playbook:

Se i dettagli relativi ad almeno un set vengono restituiti correttamente (is_success=true): "Successfully deleted the following Threat Intelligence Sets in Amazon GuardDuty:\n{0}.".format(list_of_ids)

Se l'operazione non va a buon fine per alcuni ID (is_success=true): "Action wasn't able to delete the following Threat Intelligence Sets in Amazon GuardDuty:\n{0}.".format(list_of_ids)

Se non vengono utilizzati ID: "Nessun set di threat intelligence è stato eliminato.".format(list_of_ids)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

Un ID rilevatore non valido dovrebbe anche generare un'eccezione, interrompere il playbook e impostare is_success su false.

In caso di errore irreversibile, errore dell'SDK, ad esempio credenziali errate, nessuna connessione al server, altro: "Errore durante l'esecuzione dell'azione "Elimina set di threat intelligence". Reason: {0}''.format(error.Stacktrace)

 Generale

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importa i dati (connettori).

AWS GuardDuty - Connettore per i risultati

Estrai i risultati da Amazon GuardDuty.

Input del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome del campo del prodotto Stringa Nome prodotto Sì

Il nome del campo in cui è memorizzato il nome del prodotto.

Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita.

Il valore predefinito è Product Name.
Nome campo evento Stringa Tipo Sì

Il nome del campo che determina il nome dell'evento (sottotipo).
Nome campo ambiente Stringa "" No

Il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non è presente, il connettore utilizza il valore predefinito.
Environment Regex Pattern Stringa .* No

Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari.

Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto.

Se il pattern dell'espressione regolare è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì

Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente.
ID chiave di accesso AWS Stringa N/D No ID chiave di accesso AWS da utilizzare nell'integrazione. Lascia vuoto se utilizzi la federazione delle identità web (OIDC) Google Cloud.
Chiave segreta AWS Password N/D No Chiave segreta AWS da utilizzare nell'integrazione. Lascia vuoto se utilizzi la federazione di identità web (OIDC) Google Cloud .
Regione predefinita AWS Stringa N/D Sì

Regione AWS predefinita da utilizzare nell'integrazione.

Esempio: us-west-2
Utilizza l'identità web Google Cloud (OIDC) Casella di controllo Deselezionata No Seleziona questa casella per eseguire l'autenticazione in modo sicuro utilizzando la federazione delle identità web (OIDC) Google Cloud anziché le credenziali AWS statiche.
ID rilevatore Stringa N/D Sì ID del rilevatore. Puoi trovarlo nella scheda Impostazioni.
Gravità minima da recuperare Numero intero 1 Sì

La gravità minima degli avvisi da recuperare.

Se non configuri questo parametro, il connettore importa gli avvisi con tutti i livelli di gravità.

I valori possibili sono compresi tra 1 e 8.

Nota: Amazon GuardDuty mappa il valore intero nel seguente ordine:

  • 1,2,3 - Bassa
  • 4,5,6 - Media
  • 7,8 - Alto
Numero massimo di ore di recupero indietro Numero intero 1 No Il numero di ore precedenti al momento attuale per recuperare i risultati.

Questo parametro può essere applicato all'iterazione iniziale del connettore dopo l'attivazione del connettore per la prima volta o al valore di riserva per un timestamp del connettore scaduto.
Numero massimo di risultati da recuperare Numero intero 50 No

Numero di risultati da elaborare per un'iterazione del connettore.

Massimo: 50

Questa è una limitazione di GuardDuty.
Use whitelist as a blacklist Casella di controllo Deselezionata Sì

Se selezionata, il connettore utilizza l'elenco dinamico come lista bloccata.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Il connettore supporta i proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.