Integra Amazon Macie con Google SecOps

En este documento, se describe cómo integrar Amazon Macie en Google Security Operations (Google SecOps).

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre de la instancia	String	N/A	No	Es el nombre de la instancia para la que deseas configurar la integración.
Descripción	String	N/A	No	Es la descripción de la instancia.
ID de clave de acceso de AWS	String	N/A	Sí	Es el ID de la clave de acceso de AWS que se usará en la integración.
Clave secreta de AWS	Contraseña	N/A	Sí	La clave secreta de AWS que se usará en la integración.
Región predeterminada de AWS	String	N/A	Sí	Es la región predeterminada de AWS que se usará en la integración, por ejemplo, us-west-1.
Ejecuta de forma remota	Casilla de verificación	Desmarcado	No	Selecciona la casilla de verificación para ejecutar la integración configurada de forma remota. Una vez que se selecciona, aparece la opción para seleccionar el usuario remoto (agente).

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Ping

Probar la conectividad

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success:False

Muro de casos

Tipo de resultado	Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se realiza correctamente: "Successfully connected to the Amazon Macie service with the provided connection parameters!" La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico, como credenciales incorrectas o pérdida de conectividad: "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Genera

Enumerar hallazgos

Enumera los hallazgos de Amazon Macie según los parámetros de entrada de la acción especificados.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Tipo de resultado	String	N/A	No	Es el tipo de hallazgo que se buscará, por ejemplo, SensitiveData:S3Object/Credentials o SensitiveData:S3Object/Multiple. El parámetro acepta varios valores como una cadena separada por comas. Si no se especifica nada, la acción devuelve todos los tipos de hallazgos.
Gravedad	String	4	No	Gravedad del hallazgo que se buscará: alta, media o baja. El parámetro acepta varios valores como una cadena separada por comas. Si no se especifica nada, la acción devuelve todos los hallazgos, independientemente de la gravedad.
¿Quieres incluir los hallazgos archivados?	Casilla de verificación	Desmarcado	No	Especifica si deseas incluir hallazgos archivados en los resultados o no.
Período	Número entero	4	No	Especifica un período en horas para el que se recuperarán los hallazgos.
Límite de registros	Número entero	20	No	Especifica cuántos registros puede devolver la acción.
Ordenar por	String	N/A	No	Especifica un parámetro para ordenar los datos. Ejemplo: updatedAt
Ordenar por	DDL	ASC	No	Orden de clasificación.

Casos de uso

Enumera los hallazgos de Amazon Macie para ver cuáles están disponibles.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success:False

Resultado de JSON

{
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"2741",
      "content-type":"application/json",
      "date":"Thu, 22 Oct 2020 11:08:58 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"2741",
      "x-amzn-remapped-date":"Thu, 22 Oct ""2020 11:08:57 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"eaea00d2-11f8-40d8-adce-f6c9f17e9815",
      "x-amzn-requestid":"4102349a-a5da-4bfc-ad78-40f48885985f"
    },
    "HTTPStatusCode":200,
    "RequestId":"4102349a-a5da-4bfc-ad78-40f48885985f",
    "RetryAttempts":0
  },
  "findings":[
    {
      "accountId":"ACCOUNT_ID",
      "archived":false,
      "category":"CLASSIFICATION",
      "classificationDetails":{
        "detailedResultsLocation":"s3://[export-config-not-set]/AWSLogs/ACCOUNT_ID/Macie/us-east-1/",
        "jobArn":"arn:aws:macie2:us-east-1",
        "jobId":"088009521d393eda440a24f3c7ad8fbd",
        "result":{
          "additionalOccurrences":false,
          "customDataIdentifiers":{
            "detections":[
            ],
            "totalCount":0
          },
          "mimeType":"application/zip",
          "sensitiveData":[
            {
              "category":"PERSONAL_INFORMATION",
              "detections":[
                {
                  "count":80,
                  "type":"PHONE_NUMBER"
                },
                {
                  "count":5,
                  "type":"ADDRESS"
                },
                {
                  "count":207,
                  "type":"NAME"
                }
              ],
              "totalCount":292
            },
            {
              "category":"CREDENTIALS",
              "detections":[
                {
                  "count":5,
                  "type":"AWS_CREDENTIALS"
                }
              ],
              "totalCount":5
            }
          ],
          "sizeClassified":44213802,
          "status":{
            "code":"PARTIAL",
            "reason":"ARCHIVE_CONTAINS_UNPROCESSED_FILES"
          }
        }
      },
      "count":1,
      "createdAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())",
      "description":"The object contains more than one type of ""sensitive information.",
      "id":"FINDING_ID",
      "partition":"aws",
      "region":"us-east-1",
      "resourcesAffected":{
        "s3Bucket":{
          "arn":"arn:aws:s3:::testexample",
          "createdAt":datetime.datetime(2020,
          9,
          14,
          10,
          31,
          56,
          "tzinfo=tzutc())",
          "defaultServerSideEncryption":{
            "encryptionType":"NONE"
          },
          "name":"testexample",
          "owner":{
            "displayName":"lab_aws",
            "id":"OWNER_ID"
          },
          "publicAccess":{
            "effectivePermission":"PUBLIC",
            "permissionConfiguration":{
              "accountLevelPermissions":{
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                }
              },
              "bucketLevelPermissions":{
                "accessControlList":{
                  "allowsPublicReadAccess":false,
                  "allowsPublicWriteAccess":false
                },
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                },
                "bucketPolicy":{
                  "allowsPublicReadAccess":true,
                  "allowsPublicWriteAccess":false
                }
              }
            }
          },
          "tags":[
          ]
        },
        "s3Object":{
          "bucketArn":"arn:aws:s3:::testsiemplify",
          "eTag":"8dfbe2ba101b3ca0a62f8fde823503b4-5",
          "extension":"zip",
          "key":"awscliv2.zip",
          "lastModified":datetime.datetime(2020,
          9,
          28,
          18,
          47,
          30,
          "tzinfo=tzutc())",
          "path":"testexample/awscliv2.zip",
          "publicAccess":false,
          "serverSideEncryption":{
            "encryptionType":"NONE"
          },
          "size":33775890,
          "storageClass":"STANDARD",
          "tags":[
          ],
          "versionId":""
        }
      },
      "sample":false,
      "schemaVersion":"1.0",
      "severity":{
        "description":"High",
        "score":3
      },
      "title":"The S3 object contains multiple types of sensitive ""information.",
      "type":"SensitiveData:S3Object/Multiple",
      "updatedAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())"
    }
  ]
}

Muro de casos

Tipo de resultado	Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se realiza correctamente: "Amazon Macie findings found" Si is_success=False, por ejemplo, no se encontraron hallazgos: "No findings were returned." La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico, como credenciales incorrectas o pérdida de conectividad: "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	General
Tabla	Nombre de la tabla: Amazon Macie Findings Columnas de la tabla: ID de hallazgo: "id" Categoría Título Gravedad Tipo Is Archived - archived Fecha de creación Última actualización	General

Obtener hallazgos

Obtener hallazgos de Amazon Macie según el ID de hallazgo especificado.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de hallazgo	String	N/A	Sí	Es el ID del hallazgo del que se quieren obtener detalles. El parámetro puede tomar varios valores como una cadena separada por comas.

Casos de uso

Obtén detalles de los hallazgos mientras analizas la alerta. En este caso, el hallazgo no será "plano" como si fuera del conector, y los datos de los hallazgos podrían ser más fáciles de procesar.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success:False

Resultado de JSON

{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "AddPerm",
                "Effect": "Allow",
                "Principal": "*",
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::testexample/*"
            }
        ]
    }

Muro de casos

Tipo de resultado	Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se realiza correctamente: "Amazon Macie findings found" Si is_success=False, por ejemplo, no se encontraron hallazgos: "No findings were returned." La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico, como credenciales incorrectas o pérdida de conectividad: "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	General
Tabla	Nombre de la tabla: Amazon Macie Findings Columnas de la tabla: ID de hallazgo: "id" Categoría Título Gravedad Tipo Is Archived - archived Fecha de creación Última actualización	General

Crea un identificador de datos personalizado

Crea un identificador de datos personalizado de Amazon Macie.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del identificador de datos personalizado	String	N/A	Sí	Nombre del nuevo identificador de datos personalizados de Amazon Macie.
Descripción del identificador de datos personalizado	String	N/A	No	Descripción del nuevo identificador de datos personalizados de Amazon Macie.
Expresión regular del identificador de datos personalizados	String	N/A	Sí	Es la expresión regular del nuevo identificador de datos personalizados de Amazon Macie. Ejemplo: I[a@]mAB[a@]dRequest
Palabras clave del identificador de datos personalizado	String	N/A	No	Nuevas palabras clave del identificador de datos personalizados de Amazon Macie.
Palabras para ignorar del identificador de datos personalizado	String	N/A	No	Amazon Macie: Nuevas palabras para ignorar en el identificador de datos personalizados.
Distancia máxima de coincidencia del identificador de datos personalizado	Número entero	50	No	Distancia máxima de coincidencia del nuevo identificador de datos personalizados de Amazon Macie.

Casos de uso

Crea un identificador de datos personalizados de Amazon Macie basado en los datos observados para que, más adelante, se pueda usar el nuevo identificador de datos personalizados en los trabajos de clasificación.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success:False

Resultado de JSON

{
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"65",
      "content-type":"application/json",
      "date":"Mon, 26 Oct 2020 05:15:07 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"65",
      "x-amzn-remapped-date":"Mon, 26 Oct ""2020 05:15:07 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"61217a30-189e-4573-9f76-257b7065a04d",
      "x-amzn-requestid":"509e1c12-ab86-459e-9d6d-790a359686b2"
    },
    "HTTPStatusCode":200,
    "RequestId":"509e1c12-ab86-459e-9d6d-790a359686b2",
    "RetryAttempts":0
  },
  "customDataIdentifierId":"ff43487b-5643-4de1-b651-9ecbeb3021ed"
}

Muro de casos

Tipo de resultado	Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se realiza correctamente: "New Amazon Macie custom data identifier created: {0}".format(new identifier_id from response) Si is_success=False, por ejemplo, no se encontraron hallazgos: "Failed to create Amazon Macie Identifier. Error is: {0}".format(error from response) La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico, como credenciales incorrectas o pérdida de conectividad: "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	General

Borrar identificador de datos personalizado

Borra el identificador de datos personalizados de Amazon Macie.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID del identificador de datos personalizado	String	N/A	No	Es el ID del identificador de datos personalizados de Amazon Macie que se borrará.

Casos de uso

Borra el identificador de datos personalizados de Amazon Macie.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success:False

Muro de casos

Tipo de resultado	Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se ejecuta correctamente: "Amazon Macie custom data identifier {0} deleted".format(custom data identifier id) Si is_success=False, por ejemplo, no se encontraron hallazgos: "Failed to delete Amazon Macie Identifier {0}. Error is: {1}".format(custom data identifier id, error from response) La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico, como credenciales incorrectas o pérdida de conectividad: "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	General

Habilita Macie

Habilita el servicio de Amazon Macie.

Parámetros

N/A

Casos de uso

Habilita Amazon Macie después de que se complete el período de servicio.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success:False

Muro de casos

Tipo de resultado	Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se realiza correctamente: "Successfully enabled Amazon Macie service" Si is_success=False: "Failed to enable Amazon Macie service. Error is: {0}".format(error from response) La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico, como credenciales incorrectas o pérdida de conectividad:"Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	General

Inhabilitar Macie

Inhabilitar el servicio de Amazon Macie

Casos de uso

Inhabilitar Amazon Macie para la ventana de servicio, de modo que se realicen algunos cambios en los buckets de AWS y no se generen muchos falsos positivos

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero o falso	is_success:False

Muro de casos

Tipo de resultado	Descripción	Tipo
Mensaje de salida*	La acción no debería fallar ni detener la ejecución de una guía: Si se realiza correctamente: "Se inhabilitó correctamente el servicio de Amazon Macie" Si is_success=False: "Failed to disable Amazon Macie service. Error is: {0}".format(error from response) La acción debería fallar y detener la ejecución de una guía: Si se informa un error crítico, como credenciales incorrectas o pérdida de conectividad: "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	General

Conectores

Para obtener más información sobre cómo configurar conectores en Google SecOps, consulta Transferir tus datos (conectores).

Nota: Para evitar la pérdida de datos, los conectores utilizan la unificación de eventos. Si una alerta sin procesar contiene una lista de entidades (como varias direcciones de correo electrónico, nombres de host o direcciones IP), los conectores las aplanan automáticamente en eventos independientes y únicos.

Por ejemplo, una sola alerta sin procesar que contiene tres direcciones de correo electrónico diferentes se transfiere como tres eventos separados, cada uno con una dirección de correo electrónico distinta.

Este proceso garantiza que cada entidad se indexe correctamente como un recurso único, lo que hace que se pueda buscar y que se puedan realizar acciones en las guías.

Amazon Macie: Conector de hallazgos

Transferir hallazgos de Amazon Macie

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del campo del producto	String	N/A	Sí	Es el nombre del campo en el que se almacena el nombre del producto. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada. El valor predeterminado es Product Name.
Nombre del campo del evento	String	N/A	Sí	Es el nombre del campo que determina el nombre del evento (subtipo).
Nombre del campo del entorno	String	N/A	No	Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo environment, el conector usa el valor predeterminado.
Environment Regex Pattern	String	N/A	No	Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo de entorno con la lógica de expresiones regulares. Usa el valor predeterminado .* para recuperar el valor sin procesar de Environment Field Name requerido. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Tiempo de espera de la secuencia de comandos (segundos)	Número entero	180	Sí	Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual.
ID de clave de acceso de AWS	String	N/A	Verdadero	Es el ID de la clave de acceso de AWS que se usará en la integración.
Clave secreta de AWS	Contraseña	N/A	Verdadero	La clave secreta de AWS que se usará en la integración.
Región predeterminada de AWS	String	N/A	Verdadero	Es la región predeterminada de AWS que se usará en la integración, por ejemplo, us-west-2.
Gravedad del hallazgo que se transferirá	String	N/A	No	Gravedad del hallazgo que se transferirá: High, Medium o Low. El parámetro acepta varios valores como una cadena separada por comas. Si no se especifica nada, el conector transfiere todos los hallazgos, independientemente de la gravedad.
Cantidad máxima de hallazgos que se recuperarán	Número entero	50	No	Es la cantidad de hallazgos que se procesarán por iteración del conector.
Recuperar horas máximas hacia atrás	Número entero	1	No	Es la cantidad de horas previas al momento actual para recuperar alertas. Este parámetro se puede aplicar a la iteración inicial del conector después de que lo habilites por primera vez o al valor de resguardo de una marca de tiempo de conector vencida.
Use whitelist as a blacklist	Casilla de verificación	Desmarcado	Sí	Si se selecciona, el conector usa la lista dinámica como una lista de entidades bloqueadas.
Dirección del servidor proxy	String	N/A	No	Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy	String	N/A	No	Es el nombre de usuario del proxy con el que se autenticará.
Contraseña del proxy	Contraseña	N/A	No	Es la contraseña del proxy con la que se realizará la autenticación.

Reglas de conector

La lista de entidades bloqueadas está inhabilitada de forma predeterminada.

El conector admite la lista dinámica que solo transfiere hallazgos de un tipo específico.

El conector admite proxies.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.