שילוב של Amazon Macie עם Google SecOps

במאמר הזה מוסבר איך לשלב את Amazon Macie עם Google Security Operations (Google SecOps).

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המופע שרוצים להגדיר עבורו שילוב.
תיאור String לא רלוונטי לא תיאור המופע.
מזהה מפתח הגישה ב-AWS String לא רלוונטי כן מזהה מפתח הגישה של AWS לשימוש בשילוב.
מפתח סודי של AWS סיסמה לא רלוונטי כן מפתח סודי של AWS לשימוש בשילוב.
אזור ברירת המחדל של AWS String לא רלוונטי כן אזור ברירת המחדל של AWS לשימוש בשילוב, לדוגמה us-west-1.
הרצה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את תיבת הסימון כדי להריץ את השילוב שהוגדר מרחוק. אחרי הסימון, מוצגת האפשרות לבחור את המשתמש (הסוכן) המרוחק.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות שממתינות לאישור ב-Your Workdesk ואיך מבצעים פעולה ידנית.

פינג

בודקים את הקישוריות.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון או לא נכון is_success:False
Case wall
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה: "Successfully connected to the Amazon Macie service with the provided connection parameters!"

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "החיבור לשירות Amazon Macie נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

הצגת רשימת הממצאים

רשימה של ממצאים ב-Amazon Macie על סמך פרמטרים של קלט פעולה שצוינו.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג הממצא String לא רלוונטי לא

מציאת הסוג לחיפוש, למשל SensitiveData:S3Object/Credentials או SensitiveData:S3Object/Multiple.

הפרמטר מקבל כמה ערכים כמחרוזת שמופרדת באמצעות פסיקים.

אם לא מציינים כלום, הפעולה מחזירה את כל סוגי הממצאים.
חוּמרה String 4 לא

חיפוש לפי רמת חומרה – גבוהה, בינונית או נמוכה.

הפרמטר מקבל כמה ערכים כמחרוזת שמופרדת באמצעות פסיקים.

אם לא מציינים כלום, הפעולה מחזירה את כל הממצאים ללא קשר לרמת החומרה.
האם לכלול ממצאים שהועברו לארכיון? תיבת סימון התיבה לא מסומנת לא מציינים אם לכלול בתוצאות ממצאים שהועברו לארכיון או לא.
מסגרת זמן מספר שלם 4 לא מציינים מסגרת זמן בשעות שבה רוצים לאחזר ממצאים.
מגבלת הרשומות מספר שלם 20 לא מציינים כמה רשומות הפעולה יכולה להחזיר.
אפשרות מיון String לא רלוונטי לא

מציינים פרמטר למיון הנתונים.

דוגמה: updatedAt
סדר מיון DDL ASC לא סדר המיון.

תרחישים לדוגמה

מציגים רשימה של ממצאים ב-Amazon Macie כדי לראות אילו ממצאים זמינים.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון או לא נכון is_success:False
תוצאה בפורמט JSON
{
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"2741",
      "content-type":"application/json",
      "date":"Thu, 22 Oct 2020 11:08:58 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"2741",
      "x-amzn-remapped-date":"Thu, 22 Oct ""2020 11:08:57 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"eaea00d2-11f8-40d8-adce-f6c9f17e9815",
      "x-amzn-requestid":"4102349a-a5da-4bfc-ad78-40f48885985f"
    },
    "HTTPStatusCode":200,
    "RequestId":"4102349a-a5da-4bfc-ad78-40f48885985f",
    "RetryAttempts":0
  },
  "findings":[
    {
      "accountId":"ACCOUNT_ID",
      "archived":false,
      "category":"CLASSIFICATION",
      "classificationDetails":{
        "detailedResultsLocation":"s3://[export-config-not-set]/AWSLogs/ACCOUNT_ID/Macie/us-east-1/",
        "jobArn":"arn:aws:macie2:us-east-1",
        "jobId":"088009521d393eda440a24f3c7ad8fbd",
        "result":{
          "additionalOccurrences":false,
          "customDataIdentifiers":{
            "detections":[
            ],
            "totalCount":0
          },
          "mimeType":"application/zip",
          "sensitiveData":[
            {
              "category":"PERSONAL_INFORMATION",
              "detections":[
                {
                  "count":80,
                  "type":"PHONE_NUMBER"
                },
                {
                  "count":5,
                  "type":"ADDRESS"
                },
                {
                  "count":207,
                  "type":"NAME"
                }
              ],
              "totalCount":292
            },
            {
              "category":"CREDENTIALS",
              "detections":[
                {
                  "count":5,
                  "type":"AWS_CREDENTIALS"
                }
              ],
              "totalCount":5
            }
          ],
          "sizeClassified":44213802,
          "status":{
            "code":"PARTIAL",
            "reason":"ARCHIVE_CONTAINS_UNPROCESSED_FILES"
          }
        }
      },
      "count":1,
      "createdAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())",
      "description":"The object contains more than one type of ""sensitive information.",
      "id":"FINDING_ID",
      "partition":"aws",
      "region":"us-east-1",
      "resourcesAffected":{
        "s3Bucket":{
          "arn":"arn:aws:s3:::testexample",
          "createdAt":datetime.datetime(2020,
          9,
          14,
          10,
          31,
          56,
          "tzinfo=tzutc())",
          "defaultServerSideEncryption":{
            "encryptionType":"NONE"
          },
          "name":"testexample",
          "owner":{
            "displayName":"lab_aws",
            "id":"OWNER_ID"
          },
          "publicAccess":{
            "effectivePermission":"PUBLIC",
            "permissionConfiguration":{
              "accountLevelPermissions":{
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                }
              },
              "bucketLevelPermissions":{
                "accessControlList":{
                  "allowsPublicReadAccess":false,
                  "allowsPublicWriteAccess":false
                },
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                },
                "bucketPolicy":{
                  "allowsPublicReadAccess":true,
                  "allowsPublicWriteAccess":false
                }
              }
            }
          },
          "tags":[
          ]
        },
        "s3Object":{
          "bucketArn":"arn:aws:s3:::testsiemplify",
          "eTag":"8dfbe2ba101b3ca0a62f8fde823503b4-5",
          "extension":"zip",
          "key":"awscliv2.zip",
          "lastModified":datetime.datetime(2020,
          9,
          28,
          18,
          47,
          30,
          "tzinfo=tzutc())",
          "path":"testexample/awscliv2.zip",
          "publicAccess":false,
          "serverSideEncryption":{
            "encryptionType":"NONE"
          },
          "size":33775890,
          "storageClass":"STANDARD",
          "tags":[
          ],
          "versionId":""
        }
      },
      "sample":false,
      "schemaVersion":"1.0",
      "severity":{
        "description":"High",
        "score":3
      },
      "title":"The S3 object contains multiple types of sensitive ""information.",
      "type":"SensitiveData:S3Object/Multiple",
      "updatedAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())"
    }
  ]
}
Case wall
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה: ‫Amazon Macie findings found

אם is_success=False, למשל לא נמצאו ממצאים: 'לא הוחזרו ממצאים'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "החיבור לשירות Amazon Macie נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי
טבלה

שם הטבלה: Amazon Macie Findings

עמודות הטבלה:

  • מזהה ממצא – 'id'
  • קטגוריה
  • כותרת
  • חוּמרה
  • סוג
  • בארכיון – בארכיון
  • נוצר בשעה
  • עודכן בתאריך
 כללי

קבלת ממצאים

קבלת ממצאים של Amazon Macie על סמך מזהה ממצא שצוין.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הממצא String לא רלוונטי כן

מציאת המזהה כדי לקבל פרטים.

הפרמטר יכול לקבל כמה ערכים כמחרוזת שמופרדת בפסיקים.

תרחישים לדוגמה

כשמנתחים את ההתראה, מקבלים פרטים על הממצאים. במקרה הזה, הממצא לא יהיה "שטוח" כמו שהוא יהיה ממחבר, ויהיה קל יותר לעבד את נתוני הממצא.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON
{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "AddPerm",
                "Effect": "Allow",
                "Principal": "*",
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::testexample/*"
            }
        ]
    }
Case wall
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה: ‫Amazon Macie findings found

אם is_success=False, למשל לא נמצאו ממצאים: 'לא הוחזרו ממצאים'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "החיבור לשירות Amazon Macie נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי
טבלה

שם הטבלה: Amazon Macie Findings

עמודות הטבלה:

  • מזהה ממצא – 'id'
  • קטגוריה
  • כותרת
  • חוּמרה
  • סוג
  • בארכיון – בארכיון
  • נוצר בשעה
  • עודכן בתאריך
    		•  כללי

    יצירת מזהה נתונים מותאם אישית

    יצירת מזהה נתונים מותאם אישית ב-Amazon Macie.

    פרמטרים

    שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
    שם מזהה נתונים מותאם אישית String לא רלוונטי כן השם החדש של מזהה נתונים מותאם אישית ב-Amazon Macie.
    תיאור של מזהה נתונים מותאם אישית String לא רלוונטי לא תיאור של מזהה נתונים מותאם אישית חדש ב-Amazon Macie.
    ביטוי רגולרי של מזהה נתונים בהתאמה אישית String לא רלוונטי כן ביטוי רגולרי חדש של מזהה נתונים מותאם אישית ב-Amazon Macie. דוגמה: I[a@]mAB[a@]dRequest
    מילות מפתח מותאמות אישית לזיהוי נתונים String לא רלוונטי לא מילות מפתח חדשות של מזהי נתונים מותאמים אישית ב-Amazon Macie.
    מילים להתעלמות במזהה נתונים מותאם אישית String לא רלוונטי לא מזהה חדש של נתונים מותאמים אישית ב-Amazon Macie מתעלם ממילים.
    מרחק מקסימלי להתאמה של מזהה נתונים מותאם אישית מספר שלם 50 לא ‫Amazon Macie new custom data identifier maximum match distance.

    תרחישים לדוגמה

    ליצור מזהה נתונים מותאם אישית ב-Amazon Macie על סמך הנתונים שנצפו, כדי שאפשר יהיה להשתמש במזהה הנתונים המותאם אישית החדש בעבודות סיווג בהמשך.

    הפעלה ב-

    הפעולה הזו לא מופעלת על ישויות.

    תוצאות הפעולה

    תוצאת סקריפט
    שם התוצאה של הסקריפט אפשרויות ערך דוגמה
    is_success נכון או לא נכון is_success:False
    תוצאת JSON
    {
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"65",
      "content-type":"application/json",
      "date":"Mon, 26 Oct 2020 05:15:07 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"65",
      "x-amzn-remapped-date":"Mon, 26 Oct ""2020 05:15:07 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"61217a30-189e-4573-9f76-257b7065a04d",
      "x-amzn-requestid":"509e1c12-ab86-459e-9d6d-790a359686b2"
    },
    "HTTPStatusCode":200,
    "RequestId":"509e1c12-ab86-459e-9d6d-790a359686b2",
    "RetryAttempts":0
  },
  "customDataIdentifierId":"ff43487b-5643-4de1-b651-9ecbeb3021ed"
}
    Case wall
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

    אם הפעולה בוצעה ללא שגיאות: "New Amazon Macie custom data identifier created: {0}".format(new identifier_id from response)

    אם is_success=False, לדוגמה, לא נמצאו ממצאים: "Failed to create Amazon Macie Identifier. Error is: {0}".format(error from response)

    הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "החיבור לשירות Amazon Macie נכשל! השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    מחיקת מזהה נתונים מותאם אישית

    מחיקה של מזהה נתונים מותאם אישית ב-Amazon Macie.

    פרמטרים

    שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
    מזהה של מזהה נתונים מותאם אישית String לא רלוונטי לא מזהה הנתונים המותאם אישית של Amazon Macie שרוצים למחוק.

    תרחישים לדוגמה

    מחיקה של מזהה נתונים מותאם אישית ב-Amazon Macie.

    הפעלה ב-

    הפעולה הזו לא מופעלת על ישויות.

    תוצאות הפעולה

    תוצאת סקריפט
    שם התוצאה של הסקריפט אפשרויות ערך דוגמה
    is_success נכון או לא נכון is_success:False
    Case wall
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

    אם הפעולה הצליחה: "Amazon Macie custom data identifier {0} deleted".format(custom data identifier id)

    אם is_success=False, למשל לא נמצאו ממצאים: "Failed to delete Amazon Macie Identifier {0}. Error is: {1}".format(custom data identifier id, error from response)

    הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "החיבור לשירות Amazon Macie נכשל! השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    הפעלת Macie

    מפעילים את השירות Amazon Macie.

    פרמטרים

    לא רלוונטי

    תרחישים לדוגמה

    מפעילים את Amazon Macie אחרי שחלון השירות מסתיים.

    הפעלה ב-

    הפעולה הזו לא מופעלת על ישויות.

    תוצאות הפעולה

    תוצאת סקריפט
    שם התוצאה של הסקריפט אפשרויות ערך דוגמה
    is_success נכון או לא נכון is_success:False
    Case wall
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

    אם הפעולה הצליחה: "Successfully enabled Amazon Macie service" (הפעלת שירות Amazon Macie הצליחה)

    אם is_success=False: "הפעלת השירות Amazon Macie נכשלה. Error is: {0}".format(error from response)

    הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות:"החיבור לשירות Amazon Macie נכשל! השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    השבתה של Macie

    משביתים את שירות Amazon Macie.

    תרחישים לדוגמה

    השבתה של Amazon Macie לחלון שירות – כדי לבצע שינוי מסוים בדלי AWS ולא לגרום להרבה תוצאות חיוביות שגויות.

    הפעלה ב-

    הפעולה הזו לא מופעלת על ישויות.

    תוצאות הפעולה

    תוצאת סקריפט
    שם התוצאה של הסקריפט אפשרויות ערך דוגמה
    is_success נכון או לא נכון is_success:False
    Case wall
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

    אם הפעולה הצליחה: "Successfully disabled Amazon Macie service" (השבתת השירות Amazon Macie בוצעה בהצלחה)

    אם is_success=False: "השבתת השירות Amazon Macie נכשלה. Error is: {0}".format(error from response)

    הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "החיבור לשירות Amazon Macie נכשל! השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    מחברים

    מידע נוסף על הגדרת מחברים ב-Google SecOps זמין במאמר הוספת נתונים (מחברים).

    Amazon Macie - Findings Connector

    הטמעת ממצאים של Amazon Macie.

    פרמטרים של מחברים

    משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

    שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
    שם שדה המוצר String לא רלוונטי כן

    שם השדה שבו מאוחסן שם המוצר.

    שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל מומר לערך חלופי שמופיע בקוד. כברירת מחדל, כל קלט לא תקין לפרמטר הזה יומר לערך חלופי.

    ערך ברירת המחדל הוא Product Name.
    שם השדה של האירוע String לא רלוונטי כן

    השם של השדה שקובע את שם האירוע (סוג משנה).
    שם השדה בסביבה String לא רלוונטי לא

    שם השדה שבו מאוחסן שם הסביבה.

    אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל.
    Environment Regex Pattern String לא רלוונטי לא

    תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי.

    משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name.

    אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
    זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן

    מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי, בשניות.
    מזהה מפתח הגישה ב-AWS String לא רלוונטי נכון מזהה מפתח הגישה של AWS לשימוש בשילוב.
    מפתח סודי של AWS סיסמה לא רלוונטי נכון מפתח סודי של AWS לשימוש בשילוב.
    אזור ברירת המחדל של AWS String לא רלוונטי נכון אזור ברירת המחדל של AWS לשימוש בשילוב, לדוגמה us-west-2.
    מציאת רמת החומרה להעברה String לא רלוונטי לא

    מציאת חומרה להטמעה – High,‏ Medium או Low.

    הפרמטר מקבל כמה ערכים כמחרוזת שמופרדת באמצעות פסיקים.

    אם לא מציינים כלום, המחבר מעביר את כל הממצאים בלי קשר לרמת החומרה שלהם.
    מספר הממצאים המקסימלי לאחזור מספר שלם 50 לא מספר הממצאים לעיבוד בכל איטרציה של מחבר.
    מספר השעות המקסימלי לאחזור נתונים אחורה מספר שלם 1 לא

    מספר השעות שלפני הזמן הנוכחי שבהן יאוחזרו התראות.

    אפשר להשתמש בפרמטר הזה כדי להגדיר את הערך של המחבר בפעם הראשונה שמפעילים אותו, או כערך ברירת מחדל אם חותמת הזמן של המחבר פגה.
    Use whitelist as a blacklist תיבת סימון התיבה לא מסומנת כן

    אם האפשרות הזו נבחרה, המחבר משתמש ברשימה הדינמית כרשימת חסימה.
    כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
    שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
    סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

    כללים של מחברים

    רשימת החסימה מושבתת כברירת מחדל.

    המחבר תומך ברשימה דינמית שקולטת רק ממצאים מסוג מסוים.

    המחבר תומך בשרתי proxy.

    הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.