שילוב של Amazon Macie עם Google SecOps

במאמר הזה מוסבר איך לשלב את Amazon Macie עם Google Security Operations ‏ (Google SecOps).

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר לה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
מזהה מפתח הגישה של AWS String לא רלוונטי כן מזהה מפתח הגישה ל-AWS שבו משתמשים בשילוב.
מפתח סודי של AWS סיסמה לא רלוונטי כן מפתח סודי של AWS לשימוש בשילוב.
אזור ברירת המחדל של AWS String לא רלוונטי כן האזור שמוגדר כברירת מחדל ב-AWS לשימוש בשילוב, לדוגמה us-west-1.
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שבוחרים את האפשרות הזו, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

פינג

בודקים את הקישוריות.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם החיבור הצליח: "Successfully connected to the Amazon Macie service with the provided connection parameters!‎"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות Amazon Macie נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 Genera

הצגת רשימת הממצאים

הצגת רשימה של ממצאים של Amazon Macie על סמך הפרמטרים שצוינו לקלט של הפעולה.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
סוג הממצא String לא רלוונטי לא

סוג הממצא שרוצים לחפש, למשל SensitiveData:S3Object/Credentials או SensitiveData:S3Object/Multiple.

הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

אם לא מציינים סוג, הפעולה מחזירה את כל סוגי הממצאים.
חוּמרה String 4 לא

רמת החומרה של הממצאים שרוצים לחפש – גבוהה, בינונית או נמוכה.

הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

אם לא מציינים כלום, הפעולה מחזירה את כל הממצאים בלי קשר לחומרתם.
לכלול ממצאים שהועברו לארכיון? תיבת סימון התיבה לא מסומנת לא מציינים אם לכלול בתוצאות ממצאים שהועברו לארכיון או לא.
מסגרת זמן מספר שלם 4 לא מציינים את מסגרת הזמן בשעות שבהן רוצים לאחזר ממצאים.
מגבלת ההקלטה מספר שלם 20 לא מציינים כמה רשומות הפעולה יכולה להחזיר.
אפשרות מיון String לא רלוונטי לא

ציינו פרמטר למיון הנתונים.

דוגמה: updatedAt
סדר מיון DDL ASC לא סדר המיון.

תרחישים לדוגמה

מציגים את הממצאים של Amazon Macie כדי לראות אילו ממצאים זמינים.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON
{
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"2741",
      "content-type":"application/json",
      "date":"Thu, 22 Oct 2020 11:08:58 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"2741",
      "x-amzn-remapped-date":"Thu, 22 Oct ""2020 11:08:57 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"eaea00d2-11f8-40d8-adce-f6c9f17e9815",
      "x-amzn-requestid":"4102349a-a5da-4bfc-ad78-40f48885985f"
    },
    "HTTPStatusCode":200,
    "RequestId":"4102349a-a5da-4bfc-ad78-40f48885985f",
    "RetryAttempts":0
  },
  "findings":[
    {
      "accountId":"ACCOUNT_ID",
      "archived":false,
      "category":"CLASSIFICATION",
      "classificationDetails":{
        "detailedResultsLocation":"s3://[export-config-not-set]/AWSLogs/ACCOUNT_ID/Macie/us-east-1/",
        "jobArn":"arn:aws:macie2:us-east-1",
        "jobId":"088009521d393eda440a24f3c7ad8fbd",
        "result":{
          "additionalOccurrences":false,
          "customDataIdentifiers":{
            "detections":[
            ],
            "totalCount":0
          },
          "mimeType":"application/zip",
          "sensitiveData":[
            {
              "category":"PERSONAL_INFORMATION",
              "detections":[
                {
                  "count":80,
                  "type":"PHONE_NUMBER"
                },
                {
                  "count":5,
                  "type":"ADDRESS"
                },
                {
                  "count":207,
                  "type":"NAME"
                }
              ],
              "totalCount":292
            },
            {
              "category":"CREDENTIALS",
              "detections":[
                {
                  "count":5,
                  "type":"AWS_CREDENTIALS"
                }
              ],
              "totalCount":5
            }
          ],
          "sizeClassified":44213802,
          "status":{
            "code":"PARTIAL",
            "reason":"ARCHIVE_CONTAINS_UNPROCESSED_FILES"
          }
        }
      },
      "count":1,
      "createdAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())",
      "description":"The object contains more than one type of ""sensitive information.",
      "id":"FINDING_ID",
      "partition":"aws",
      "region":"us-east-1",
      "resourcesAffected":{
        "s3Bucket":{
          "arn":"arn:aws:s3:::testexample",
          "createdAt":datetime.datetime(2020,
          9,
          14,
          10,
          31,
          56,
          "tzinfo=tzutc())",
          "defaultServerSideEncryption":{
            "encryptionType":"NONE"
          },
          "name":"testexample",
          "owner":{
            "displayName":"lab_aws",
            "id":"OWNER_ID"
          },
          "publicAccess":{
            "effectivePermission":"PUBLIC",
            "permissionConfiguration":{
              "accountLevelPermissions":{
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                }
              },
              "bucketLevelPermissions":{
                "accessControlList":{
                  "allowsPublicReadAccess":false,
                  "allowsPublicWriteAccess":false
                },
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                },
                "bucketPolicy":{
                  "allowsPublicReadAccess":true,
                  "allowsPublicWriteAccess":false
                }
              }
            }
          },
          "tags":[
          ]
        },
        "s3Object":{
          "bucketArn":"arn:aws:s3:::testsiemplify",
          "eTag":"8dfbe2ba101b3ca0a62f8fde823503b4-5",
          "extension":"zip",
          "key":"awscliv2.zip",
          "lastModified":datetime.datetime(2020,
          9,
          28,
          18,
          47,
          30,
          "tzinfo=tzutc())",
          "path":"testexample/awscliv2.zip",
          "publicAccess":false,
          "serverSideEncryption":{
            "encryptionType":"NONE"
          },
          "size":33775890,
          "storageClass":"STANDARD",
          "tags":[
          ],
          "versionId":""
        }
      },
      "sample":false,
      "schemaVersion":"1.0",
      "severity":{
        "description":"High",
        "score":3
      },
      "title":"The S3 object contains multiple types of sensitive ""information.",
      "type":"SensitiveData:S3Object/Multiple",
      "updatedAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())"
    }
  ]
}
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה: "Amazon Macie findings found"

אם is_success=False, לדוגמה אם לא נמצאו ממצאים: "No findings were returned."‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות Amazon Macie נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 כללי
טבלה

שם הטבלה: Amazon Macie Findings

עמודות בטבלה:

  • מזהה הממצא – "id"
  • קטגוריה
  • כותרת
  • חוּמרה
  • סוג
  • Is Archived - archived
  • נוצר בתאריך
  • תאריך העדכון
 כללי

קבלת ממצאים

קבלת ממצאים של Amazon Macie על סמך מזהה הממצא שצוין.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה הממצא String לא רלוונטי כן

מזהה הממצא שרוצים לקבל את הפרטים שלו.

הפרמטר יכול לקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

תרחישים לדוגמה

קבלת פרטים על הממצאים בזמן ניתוח ההתראה. במקרה כזה, הממצא לא יהיה "שטוח" כמו ממצא ממחבר, וייתכן שיהיה קל יותר לעבד את נתוני הממצא.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון או לא נכון is_success:False
תוצאת JSON
{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "AddPerm",
                "Effect": "Allow",
                "Principal": "*",
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::testexample/*"
            }
        ]
    }
קיר נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה: "Amazon Macie findings found"

אם is_success=False, לדוגמה אם לא נמצאו ממצאים: "No findings were returned."‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות Amazon Macie נכשלה! השגיאה היא {0}".format(exception.stacktrace)

 כללי
טבלה

שם הטבלה: Amazon Macie Findings

עמודות בטבלה:

  • מזהה הממצא – "id"
  • קטגוריה
  • כותרת
  • חוּמרה
  • סוג
  • Is Archived - archived
  • נוצר בתאריך
  • תאריך העדכון
    		•  כללי

    יצירת מזהה נתונים בהתאמה אישית

    יצירת מזהה נתונים בהתאמה אישית של Amazon Macie.

    פרמטרים

    שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
    שם מזהה הנתונים בהתאמה אישית String לא רלוונטי כן שם חדש למזהה נתונים בהתאמה אישית ב-Amazon Macie.
    תיאור של מזהה נתונים בהתאמה אישית String לא רלוונטי לא תיאור של מזהה נתונים חדש בהתאמה אישית ב-Amazon Macie.
    ביטוי רגולרי של מזהה נתונים בהתאמה אישית String לא רלוונטי כן ביטוי רגולרי של מזהה נתונים חדש בהתאמה אישית של Amazon Macie. דוגמה: I[a@]mAB[a@]dRequest
    מילות מפתח של מזהה נתונים בהתאמה אישית String לא רלוונטי לא מילות מפתח חדשות של מזהה נתונים בהתאמה אישית של Amazon Macie.
    מילים להתעלמות במזהה נתונים בהתאמה אישית String לא רלוונטי לא מילים להתעלמות במזהה נתונים מותאם אישית חדש של Amazon Macie.
    מרחק ההתאמה המקסימלי של מזהה נתונים בהתאמה אישית מספר שלם 50 לא מרחק ההתאמה המקסימלי של מזהה נתונים חדש בהתאמה אישית של Amazon Macie.

    תרחישים לדוגמה

    ליצור מזהה נתונים בהתאמה אישית ב-Amazon Macie על סמך הנתונים שנצפו, כדי שאפשר יהיה להשתמש במזהה הנתונים החדש בהתאמה אישית במשימות סיווג.

    הפעלה ב-

    הפעולה הזו לא פועלת על ישויות.

    תוצאות הפעולה

    תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות לערכים דוגמה
    is_success נכון או לא נכון is_success:False
    תוצאת JSON
    {
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"65",
      "content-type":"application/json",
      "date":"Mon, 26 Oct 2020 05:15:07 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"65",
      "x-amzn-remapped-date":"Mon, 26 Oct ""2020 05:15:07 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"61217a30-189e-4573-9f76-257b7065a04d",
      "x-amzn-requestid":"509e1c12-ab86-459e-9d6d-790a359686b2"
    },
    "HTTPStatusCode":200,
    "RequestId":"509e1c12-ab86-459e-9d6d-790a359686b2",
    "RetryAttempts":0
  },
  "customDataIdentifierId":"ff43487b-5643-4de1-b651-9ecbeb3021ed"
}
    קיר נרתיק הטעינה
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

    אם הפעולה בוצעה בהצלחה: "New Amazon Macie custom data identifier created: {0}".format(new identifier_id from response)

    אם is_success=False, לדוגמה, לא נמצאו ממצאים: "Failed to create Amazon Macie Identifier. השגיאה היא: {0}".format(error from response)

    הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות Amazon Macie נכשלה! השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    מחיקת מזהה נתונים בהתאמה אישית

    מחיקת מזהה נתונים בהתאמה אישית של Amazon Macie.

    פרמטרים

    שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
    מזהה של מזהה נתונים בהתאמה אישית String לא רלוונטי לא מזהה הנתונים בהתאמה אישית של Amazon Macie שרוצים למחוק.

    תרחישים לדוגמה

    מחיקת מזהה נתונים בהתאמה אישית של Amazon Macie.

    הפעלה ב-

    הפעולה הזו לא פועלת על ישויות.

    תוצאות הפעולה

    תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות לערכים דוגמה
    is_success נכון או לא נכון is_success:False
    קיר נרתיק הטעינה
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

    אם הפעולה בוצעה בהצלחה: "Amazon Macie custom data identifier {0} deleted".format(custom data identifier id)

    אם is_success=False, לדוגמה לא נמצאו ממצאים: "Failed to delete Amazon Macie Identifier {0}. השגיאה היא: {1}".format(custom data identifier id, error from response)

    הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות Amazon Macie נכשלה! השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    הפעלת Macie

    מפעילים את שירות Amazon Macie.

    פרמטרים

    לא רלוונטי

    תרחישים לדוגמה

    הפעלת Amazon Macie אחרי שחלון השירות הושלם.

    הפעלה ב-

    הפעולה הזו לא פועלת על ישויות.

    תוצאות הפעולה

    תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות לערכים דוגמה
    is_success נכון או לא נכון is_success:False
    קיר נרתיק הטעינה
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

    אם הפעולה הצליחה: "Successfully enabled Amazon Macie service"

    אם is_success=False: "Failed to enable Amazon Macie service. השגיאה היא: {0}".format(error from response)

    הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות:"Failed to connect to the Amazon Macie service!‎ השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    השבתת Macie

    השבתת השירות Amazon Macie.

    תרחישים לדוגמה

    השבתת Amazon Macie לחלון השירות – כדי לבצע שינויים בקטגוריות של AWS בלי לגרום להרבה תוצאות חיוביות מוטעות.

    הפעלה ב-

    הפעולה הזו לא פועלת על ישויות.

    תוצאות הפעולה

    תוצאת הסקריפט
    שם תוצאת הסקריפט אפשרויות לערכים דוגמה
    is_success נכון או לא נכון is_success:False
    קיר נרתיק הטעינה
    סוג התוצאות תיאור סוג
    הודעת פלט*

    הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

    אם הפעולה הצליחה: "Successfully disabled Amazon Macie service"

    אם is_success=False: "Failed to disable Amazon Macie service. השגיאה היא: {0}".format(error from response)

    הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

    אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשירות Amazon Macie נכשלה! השגיאה היא {0}".format(exception.stacktrace)

    		 כללי

    מחברים

    איך מגדירים מחברים ב-Google SecOps?

    ‫Amazon Macie – מחבר ממצאים

    הטמעת ממצאים מ-Amazon Macie.

    פרמטרים של מחברים

    כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

    שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
    שם שדה המוצר String לא רלוונטי כן

    שם השדה שבו מאוחסן שם המוצר.

    שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל הופך לערך חלופי שאליו מתייחס הקוד. כל קלט לא חוקי בפרמטר הזה יוחלף בערך חלופי כברירת מחדל.

    ערך ברירת המחדל הוא Product Name.
    שם השדה של האירוע String לא רלוונטי כן

    שם השדה שקובע את שם האירוע (סוג משנה).
    שם השדה של הסביבה String לא רלוונטי לא

    שם השדה שבו מאוחסן שם הסביבה.

    אם שדה הסביבה חסר, המחבר משתמש בערך ברירת המחדל.
    Environment Regex Pattern String לא רלוונטי לא

    תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

    משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name.

    אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
    זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 180 כן

    מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי.
    מזהה מפתח הגישה של AWS String לא רלוונטי True מזהה מפתח הגישה ל-AWS שבו משתמשים בשילוב.
    מפתח סודי של AWS סיסמה לא רלוונטי True מפתח סודי של AWS לשימוש בשילוב.
    אזור ברירת המחדל של AWS String לא רלוונטי True אזור ברירת המחדל של AWS לשימוש בשילוב, לדוגמה us-west-2.
    רמת החומרה של הממצא שצריך להטמיע String לא רלוונטי לא

    רמת החומרה של הממצאים שצריך להטמיע – High,‏ Medium או Low.

    הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.

    אם לא מציינים ערך, המחבר מטמיע את כל הממצאים, בלי קשר לרמת החומרה.
    מספר הממצאים המקסימלי לאחזור מספר שלם 50 לא מספר הממצאים לעיבוד בכל איטרציה של מחבר.
    אחזור שעות מקסימליות אחורה מספר שלם 1 לא

    מספר השעות לפני הזמן הנוכחי לאחזור התראות.

    הפרמטר הזה יכול לחול על האיטרציה הראשונית של המחבר אחרי שמפעילים את המחבר בפעם הראשונה, או על ערך ברירת המחדל של חותמת זמן שפג התוקף שלה.
    Use whitelist as a blacklist תיבת סימון התיבה לא מסומנת כן

    אם בוחרים באפשרות הזו, המחבר משתמש ברשימה הדינמית כרשימת חסימה.
    כתובת שרת ה-Proxy String לא רלוונטי לא כתובת שרת ה-Proxy שבו רוצים להשתמש.
    שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy לאימות.
    סיסמת שרת ה-Proxy סיסמה לא רלוונטי לא הסיסמה לאימות מול שרת ה-proxy.

    כללי מחברים

    רשימת החסימה מושבתת כברירת מחדל.

    המחבר תומך ברשימה הדינמית שמוסיפה רק ממצאים מסוג מסוים.

    המחבר תומך בשרתי proxy.

    הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.