Intégrer Amazon Macie à Google SecOps

Ce document explique comment intégrer Amazon Macie à Google Security Operations (Google SecOps).

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom de l'instance	Chaîne	N/A	Non	Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description	Chaîne	N/A	Non	Description de l'instance.
AWS Access Key ID (ID de clé d'accès AWS)	Chaîne	N/A	Oui	ID de clé d'accès AWS à utiliser dans l'intégration.
Clé secrète AWS	Mot de passe	N/A	Oui	Clé secrète AWS à utiliser dans l'intégration.
Région AWS par défaut	Chaîne	N/A	Oui	Région AWS par défaut à utiliser dans l'intégration, par exemple "us-west-1".
Exécuter à distance	Case à cocher	Décochée	Non	Cochez la case pour exécuter l'intégration configurée à distance. Une fois cette option sélectionnée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ping

Tester la connectivité

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Mur des cas

Type de résultat	Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit  : "Successfully connected to the Amazon Macie service with the provided connection parameters!" (La connexion au service Amazon Macie a bien été établie avec les paramètres de connexion fournis.) L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur critique est signalée, par exemple des identifiants incorrects ou une perte de connectivité : "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Genera

Répertorier les données

Répertoriez les résultats d'Amazon Macie en fonction des paramètres d'entrée de l'action spécifiée.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Type de résultat	Chaîne	N/A	Non	Type de résultat à rechercher, par exemple SensitiveData:S3Object/Credentials ou SensitiveData:S3Object/Multiple. Le paramètre accepte plusieurs valeurs sous la forme d'une chaîne séparée par une virgule. Si rien n'est spécifié, l'action renvoie tous les types de résultats.
Gravité	Chaîne	4	Non	Gravité du résultat à rechercher : élevée, moyenne ou faible. Le paramètre accepte plusieurs valeurs sous la forme d'une chaîne séparée par une virgule. Si rien n'est spécifié, l'action renvoie tous les résultats, quel que soit leur niveau de gravité.
Inclure les résultats archivés ?	Case à cocher	Décochée	Non	Indiquez si vous souhaitez inclure les résultats archivés dans les résultats ou non.
Période	Integer	4	Non	Spécifiez une période en heures pour laquelle récupérer les résultats.
Limite d'enregistrements	Integer	20	Non	Spécifiez le nombre d'enregistrements pouvant être renvoyés par l'action.
Trier par	Chaîne	N/A	Non	Spécifiez un paramètre pour trier les données. Exemple : updatedAt
Ordre de tri	LDD	ASC	Non	Ordre de tri.

Cas d'utilisation

Répertoriez les résultats Amazon Macie pour voir ceux qui sont disponibles.

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

{
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"2741",
      "content-type":"application/json",
      "date":"Thu, 22 Oct 2020 11:08:58 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"2741",
      "x-amzn-remapped-date":"Thu, 22 Oct ""2020 11:08:57 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"eaea00d2-11f8-40d8-adce-f6c9f17e9815",
      "x-amzn-requestid":"4102349a-a5da-4bfc-ad78-40f48885985f"
    },
    "HTTPStatusCode":200,
    "RequestId":"4102349a-a5da-4bfc-ad78-40f48885985f",
    "RetryAttempts":0
  },
  "findings":[
    {
      "accountId":"ACCOUNT_ID",
      "archived":false,
      "category":"CLASSIFICATION",
      "classificationDetails":{
        "detailedResultsLocation":"s3://[export-config-not-set]/AWSLogs/ACCOUNT_ID/Macie/us-east-1/",
        "jobArn":"arn:aws:macie2:us-east-1",
        "jobId":"088009521d393eda440a24f3c7ad8fbd",
        "result":{
          "additionalOccurrences":false,
          "customDataIdentifiers":{
            "detections":[
            ],
            "totalCount":0
          },
          "mimeType":"application/zip",
          "sensitiveData":[
            {
              "category":"PERSONAL_INFORMATION",
              "detections":[
                {
                  "count":80,
                  "type":"PHONE_NUMBER"
                },
                {
                  "count":5,
                  "type":"ADDRESS"
                },
                {
                  "count":207,
                  "type":"NAME"
                }
              ],
              "totalCount":292
            },
            {
              "category":"CREDENTIALS",
              "detections":[
                {
                  "count":5,
                  "type":"AWS_CREDENTIALS"
                }
              ],
              "totalCount":5
            }
          ],
          "sizeClassified":44213802,
          "status":{
            "code":"PARTIAL",
            "reason":"ARCHIVE_CONTAINS_UNPROCESSED_FILES"
          }
        }
      },
      "count":1,
      "createdAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())",
      "description":"The object contains more than one type of ""sensitive information.",
      "id":"FINDING_ID",
      "partition":"aws",
      "region":"us-east-1",
      "resourcesAffected":{
        "s3Bucket":{
          "arn":"arn:aws:s3:::testexample",
          "createdAt":datetime.datetime(2020,
          9,
          14,
          10,
          31,
          56,
          "tzinfo=tzutc())",
          "defaultServerSideEncryption":{
            "encryptionType":"NONE"
          },
          "name":"testexample",
          "owner":{
            "displayName":"lab_aws",
            "id":"OWNER_ID"
          },
          "publicAccess":{
            "effectivePermission":"PUBLIC",
            "permissionConfiguration":{
              "accountLevelPermissions":{
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                }
              },
              "bucketLevelPermissions":{
                "accessControlList":{
                  "allowsPublicReadAccess":false,
                  "allowsPublicWriteAccess":false
                },
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                },
                "bucketPolicy":{
                  "allowsPublicReadAccess":true,
                  "allowsPublicWriteAccess":false
                }
              }
            }
          },
          "tags":[
          ]
        },
        "s3Object":{
          "bucketArn":"arn:aws:s3:::testsiemplify",
          "eTag":"8dfbe2ba101b3ca0a62f8fde823503b4-5",
          "extension":"zip",
          "key":"awscliv2.zip",
          "lastModified":datetime.datetime(2020,
          9,
          28,
          18,
          47,
          30,
          "tzinfo=tzutc())",
          "path":"testexample/awscliv2.zip",
          "publicAccess":false,
          "serverSideEncryption":{
            "encryptionType":"NONE"
          },
          "size":33775890,
          "storageClass":"STANDARD",
          "tags":[
          ],
          "versionId":""
        }
      },
      "sample":false,
      "schemaVersion":"1.0",
      "severity":{
        "description":"High",
        "score":3
      },
      "title":"The S3 object contains multiple types of sensitive ""information.",
      "type":"SensitiveData:S3Object/Multiple",
      "updatedAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())"
    }
  ]
}

Mur des cas

Type de résultat	Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit  : "Amazon Macie findings found" (Résultats Amazon Macie trouvés) Si is_success=False, par exemple si aucun résultat n'a été trouvé : "Aucun résultat n'a été renvoyé." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur critique est signalée, par exemple des identifiants incorrects ou une perte de connectivité : "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Général
Table	Nom de la table : Amazon Macie Findings Colonnes du tableau : ID du résultat : "id" Catégorie Titre Gravité Type Is Archived - archived Création le Mise à jour :	Général

Obtenir des résultats

Obtenez les résultats Amazon Macie en fonction de l'ID de résultat spécifié.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID du résultat	Chaîne	N/A	Oui	ID du résultat pour lequel obtenir des détails. Le paramètre peut prendre plusieurs valeurs sous la forme d'une chaîne de valeurs séparées par une virgule.

Cas d'utilisation

Obtenez des détails sur les résultats tout en analysant l'alerte. Dans ce cas, le résultat ne sera pas "plat" comme s'il provenait d'un connecteur, et les données du résultat seront peut-être plus faciles à traiter.

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "AddPerm",
                "Effect": "Allow",
                "Principal": "*",
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::testexample/*"
            }
        ]
    }

Mur des cas

Type de résultat	Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit  : "Amazon Macie findings found" (Résultats Amazon Macie trouvés) Si is_success=False, par exemple si aucun résultat n'a été trouvé : "Aucun résultat n'a été renvoyé." L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur critique est signalée, par exemple des identifiants incorrects ou une perte de connectivité : "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Général
Table	Nom de la table : Amazon Macie Findings Colonnes du tableau : ID du résultat : "id" Catégorie Titre Gravité Type Is Archived - archived Création le Mise à jour :	Général

Créer un identificateur de données personnalisé

Créez un identifiant de données personnalisé Amazon Macie.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom de l'identifiant de données personnalisé	Chaîne	N/A	Oui	Nouveau nom de l'identifiant de données personnalisé Amazon Macie.
Description de l'identifiant de données personnalisé	Chaîne	N/A	Non	Description du nouvel identifiant de données personnalisé Amazon Macie.
Expression régulière de l'identifiant de données personnalisé	Chaîne	N/A	Oui	Nouvelle expression régulière d'identifiant de données personnalisé Amazon Macie. Exemple : I[a@]mAB[a@]dRequest
Mots clés d'identifiant de données personnalisé	Chaîne	N/A	Non	Nouveaux mots clés d'identifiant de données personnalisées Amazon Macie.
Mots à ignorer pour l'identificateur de données personnalisé	Chaîne	N/A	Non	Mots à ignorer pour le nouvel identifiant de données personnalisées Amazon Macie.
Distance de correspondance maximale de l'identifiant de données personnalisé	Integer	50	Non	Distance de correspondance maximale du nouvel identifiant de données personnalisé Amazon Macie.

Cas d'utilisation

Créez un identificateur de données personnalisé Amazon Macie en fonction des données observées, afin de pouvoir l'utiliser ultérieurement dans des jobs de classification.

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Résultat JSON

{
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"65",
      "content-type":"application/json",
      "date":"Mon, 26 Oct 2020 05:15:07 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"65",
      "x-amzn-remapped-date":"Mon, 26 Oct ""2020 05:15:07 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"61217a30-189e-4573-9f76-257b7065a04d",
      "x-amzn-requestid":"509e1c12-ab86-459e-9d6d-790a359686b2"
    },
    "HTTPStatusCode":200,
    "RequestId":"509e1c12-ab86-459e-9d6d-790a359686b2",
    "RetryAttempts":0
  },
  "customDataIdentifierId":"ff43487b-5643-4de1-b651-9ecbeb3021ed"
}

Mur des cas

Type de résultat	Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit  : "New Amazon Macie custom data identifier created: {0}".format(new identifier_id from response) Si is_success=False, par exemple si aucun résultat n'a été trouvé : "Failed to create Amazon Macie Identifier. Error is: {0}".format(error from response) L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur critique est signalée, par exemple des identifiants incorrects ou une perte de connectivité : "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Général

Supprimer l'identificateur de données personnalisé

Supprimer l'identifiant de données personnalisé Amazon Macie.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID de l'identifiant de données personnalisé	Chaîne	N/A	Non	ID de l'identifiant de données personnalisé Amazon Macie à supprimer.

Cas d'utilisation

Supprimer l'identifiant de données personnalisé Amazon Macie.

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Mur des cas

Type de résultat	Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : En cas de réussite  : "Amazon Macie custom data identifier {0} deleted".format(custom data identifier id) Si is_success=False, par exemple si aucun résultat n'a été trouvé : "Failed to delete Amazon Macie Identifier {0}. Error is: {1}".format(custom data identifier id, error from response) L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur critique est signalée, par exemple des identifiants incorrects ou une perte de connectivité : "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Général

Activer Macie

Activez le service Amazon Macie.

Paramètres

N/A

Cas d'utilisation

Activez Amazon Macie une fois la période de maintenance terminée.

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Mur des cas

Type de résultat	Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit  : "Successfully enabled Amazon Macie service" (Le service Amazon Macie a bien été activé) Si is_success=False  : "Failed to enable Amazon Macie service. Error is: {0}".format(error from response) L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur critique est signalée, par exemple des identifiants incorrects ou une perte de connectivité :"Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Général

Désactiver Macie

Désactivez le service Amazon Macie.

Cas d'utilisation

Désactivez Amazon Macie pour la fenêtre de service afin d'apporter des modifications aux buckets AWS sans générer de nombreux faux positifs.

Exécution

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai ou faux	is_success:False

Mur des cas

Type de résultat	Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit  : "Successfully disabled Amazon Macie service" (Le service Amazon Macie a bien été désactivé) Si is_success=False  : "Échec de la désactivation du service Amazon Macie. Error is: {0}".format(error from response) L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur critique est signalée, par exemple des identifiants incorrects ou une perte de connectivité : "Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)	Général

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (par exemple, plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements distincts et uniques.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'élément unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

Amazon Macie - Connecteur de résultats

Ingérer les résultats d'Amazon Macie.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du champ de produit	Chaîne	N/A	Oui	Nom du champ dans lequel le nom du produit est stocké. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement. La valeur par défaut est Product Name.
Nom du champ d'événement	Chaîne	N/A	Oui	Nom du champ qui détermine le nom de l'événement (sous-type).
Nom du champ d'environnement	Chaîne	N/A	Non	Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut.
Environment Regex Pattern	Chaîne	N/A	Non	Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut.
Délai avant expiration du script (en secondes)	Entier	180	Oui	Délai avant expiration, en secondes, du processus Python qui exécute le script actuel.
AWS Access Key ID (ID de clé d'accès AWS)	Chaîne	N/A	Vrai	ID de clé d'accès AWS à utiliser dans l'intégration.
Clé secrète AWS	Mot de passe	N/A	Vrai	Clé secrète AWS à utiliser dans l'intégration.
Région AWS par défaut	Chaîne	N/A	Vrai	Région AWS par défaut à utiliser dans l'intégration, par exemple "us-west-2".
Niveau de gravité des résultats à ingérer	Chaîne	N/A	Non	Niveau de gravité des résultats à ingérer : High, Medium ou Low. Le paramètre accepte plusieurs valeurs sous la forme d'une chaîne séparée par une virgule. Si rien n'est spécifié, le connecteur ingère tous les résultats, quel que soit leur niveau de gravité.
Nombre maximal de résultats à récupérer	Integer	50	Non	Nombre de résultats à traiter par itération de connecteur.
Récupérer le nombre maximal d'heures en arrière	Integer	1	Non	Nombre d'heures avant l'heure actuelle pour récupérer les alertes. Ce paramètre peut s'appliquer à l'itération initiale du connecteur après sa première activation, ou à la valeur de remplacement d'un code temporel de connecteur expiré.
Use whitelist as a blacklist	Case à cocher	Décochée	Oui	Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage.
Adresse du serveur proxy	Chaîne	N/A	Non	Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy	Chaîne	N/A	Non	Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy	Mot de passe	N/A	Non	Mot de passe du proxy pour l'authentification.

Règles du connecteur

La liste de blocage est désactivée par défaut.

Le connecteur est compatible avec la liste dynamique qui n'ingère que les résultats d'un type spécifique.

Le connecteur est compatible avec les proxys.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.