整合 Amazon Macie 與 Google SecOps

本文說明如何整合 Amazon Macie 與 Google Security Operations (Google SecOps)。

整合版本：7.0

整合參數

請使用下列參數設定整合：

參數名稱 類型 預設值 為必填項目 說明
執行個體名稱 字串 不適用 否 您要設定整合的執行個體名稱。
說明 字串 不適用 否 執行個體的說明。
AWS 存取金鑰 ID 字串 不適用 是 用於整合的 AWS 存取金鑰 ID。
AWS 密鑰 密碼 不適用 是 用於整合的 AWS 私密金鑰。
AWS 預設區域 字串 不適用 是 要在整合中使用的 AWS 預設區域，例如 us-west-1。
遠端執行 核取方塊 已取消勾選 否 勾選核取方塊，即可遠端執行設定的整合。選取後，系統會顯示選項，供您選取遠端使用者 (服務專員)。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您就可以在劇本中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 從工作台回覆待處理動作」和「執行手動動作」。

乒乓

測試連線。

執行日期

這項操作不會對實體執行。

動作結果

指令碼結果
指令碼結果名稱 值選項 範例
is_success True 或 False is_success:False
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功： 「Successfully connected to the Amazon Macie service with the provided connection parameters!」(已使用提供的連線參數成功連線至 Amazon Macie 服務！)

動作應會失敗並停止執行應對手冊：

如果系統回報重大錯誤，例如憑證錯誤或連線中斷： 「Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)

 Genera

可列出發現項目

根據指定動作輸入參數列出 Amazon Macie 發現項目。

參數

參數名稱 類型 預設值 為必填項目 說明
發現項目類型 字串 不適用 否

要搜尋的尋找類型，例如 SensitiveData:S3Object/Credentials 或 SensitiveData:S3Object/Multiple。

參數接受以半形逗號分隔的多個值。

如未指定，動作會傳回所有類型的發現項目。
嚴重性 字串 4 否

要搜尋的發現項目嚴重性 - 高、中或低。

參數接受以半形逗號分隔的多個值。

如未指定，動作會傳回所有發現項目，不論嚴重程度為何。
是否要包含已封存的發現項目？ 核取方塊 已取消勾選 否 指定是否要在結果中納入已封存的發現項目。
時間範圍 整數 4 否 指定要擷取發現項目的時間範圍 (以小時為單位)。
記錄限制 整數 20 否 指定動作可傳回的記錄數。
排序依據 字串 不適用 否

指定排序資料的參數。

例如：updatedAt
排列順序 DDL 遞增 否 排序順序。

用途

列出 Amazon Macie 發現項目，查看有哪些發現項目。

執行日期

這項操作不會對實體執行。

動作結果

指令碼結果
指令碼結果名稱 值選項 範例
is_success True 或 False is_success:False
JSON 結果
{
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"2741",
      "content-type":"application/json",
      "date":"Thu, 22 Oct 2020 11:08:58 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"2741",
      "x-amzn-remapped-date":"Thu, 22 Oct ""2020 11:08:57 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"eaea00d2-11f8-40d8-adce-f6c9f17e9815",
      "x-amzn-requestid":"4102349a-a5da-4bfc-ad78-40f48885985f"
    },
    "HTTPStatusCode":200,
    "RequestId":"4102349a-a5da-4bfc-ad78-40f48885985f",
    "RetryAttempts":0
  },
  "findings":[
    {
      "accountId":"ACCOUNT_ID",
      "archived":false,
      "category":"CLASSIFICATION",
      "classificationDetails":{
        "detailedResultsLocation":"s3://[export-config-not-set]/AWSLogs/ACCOUNT_ID/Macie/us-east-1/",
        "jobArn":"arn:aws:macie2:us-east-1",
        "jobId":"088009521d393eda440a24f3c7ad8fbd",
        "result":{
          "additionalOccurrences":false,
          "customDataIdentifiers":{
            "detections":[
            ],
            "totalCount":0
          },
          "mimeType":"application/zip",
          "sensitiveData":[
            {
              "category":"PERSONAL_INFORMATION",
              "detections":[
                {
                  "count":80,
                  "type":"PHONE_NUMBER"
                },
                {
                  "count":5,
                  "type":"ADDRESS"
                },
                {
                  "count":207,
                  "type":"NAME"
                }
              ],
              "totalCount":292
            },
            {
              "category":"CREDENTIALS",
              "detections":[
                {
                  "count":5,
                  "type":"AWS_CREDENTIALS"
                }
              ],
              "totalCount":5
            }
          ],
          "sizeClassified":44213802,
          "status":{
            "code":"PARTIAL",
            "reason":"ARCHIVE_CONTAINS_UNPROCESSED_FILES"
          }
        }
      },
      "count":1,
      "createdAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())",
      "description":"The object contains more than one type of ""sensitive information.",
      "id":"FINDING_ID",
      "partition":"aws",
      "region":"us-east-1",
      "resourcesAffected":{
        "s3Bucket":{
          "arn":"arn:aws:s3:::testexample",
          "createdAt":datetime.datetime(2020,
          9,
          14,
          10,
          31,
          56,
          "tzinfo=tzutc())",
          "defaultServerSideEncryption":{
            "encryptionType":"NONE"
          },
          "name":"testexample",
          "owner":{
            "displayName":"lab_aws",
            "id":"OWNER_ID"
          },
          "publicAccess":{
            "effectivePermission":"PUBLIC",
            "permissionConfiguration":{
              "accountLevelPermissions":{
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                }
              },
              "bucketLevelPermissions":{
                "accessControlList":{
                  "allowsPublicReadAccess":false,
                  "allowsPublicWriteAccess":false
                },
                "blockPublicAccess":{
                  "blockPublicAcls":false,
                  "blockPublicPolicy":false,
                  "ignorePublicAcls":false,
                  "restrictPublicBuckets":false
                },
                "bucketPolicy":{
                  "allowsPublicReadAccess":true,
                  "allowsPublicWriteAccess":false
                }
              }
            }
          },
          "tags":[
          ]
        },
        "s3Object":{
          "bucketArn":"arn:aws:s3:::testsiemplify",
          "eTag":"8dfbe2ba101b3ca0a62f8fde823503b4-5",
          "extension":"zip",
          "key":"awscliv2.zip",
          "lastModified":datetime.datetime(2020,
          9,
          28,
          18,
          47,
          30,
          "tzinfo=tzutc())",
          "path":"testexample/awscliv2.zip",
          "publicAccess":false,
          "serverSideEncryption":{
            "encryptionType":"NONE"
          },
          "size":33775890,
          "storageClass":"STANDARD",
          "tags":[
          ],
          "versionId":""
        }
      },
      "sample":false,
      "schemaVersion":"1.0",
      "severity":{
        "description":"High",
        "score":3
      },
      "title":"The S3 object contains multiple types of sensitive ""information.",
      "type":"SensitiveData:S3Object/Multiple",
      "updatedAt":datetime.datetime(2020,
      10,
      22,
      3,
      12,
      9,
      364000,
      "tzinfo=tzutc())"
    }
  ]
}
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功： 「找到 Amazon Macie 發現項目」

如果 is_success=False，例如找不到任何發現項目： 「No findings were returned.」

動作應會失敗並停止執行應對手冊：

如果系統回報重大錯誤，例如憑證錯誤或連線中斷： 「Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)

 一般
資料表

表格名稱：Amazon Macie Findings

資料表資料欄：

  • 找出 ID -「id」
  • 類別
  • 標題
  • 嚴重性
  • 類型
  • 已封存 - 已封存
  • 建立日期
  • 更新時間
 一般

取得發現項目

根據指定的發現項目 ID 取得 Amazon Macie 發現項目。

參數

參數名稱 類型 預設值 為必填項目 說明
發現項目 ID 字串 不適用 是

找出要取得詳細資料的 ID。

參數可以採用以半形逗號分隔的字串形式，接受多個值。

應用實例

分析快訊時，取得發現項目的詳細資料。在這種情況下，搜尋結果不會像從連接器取得的結果一樣「平坦」，而且處理搜尋資料可能更容易。

執行日期

這項操作不會對實體執行。

動作結果

指令碼結果
指令碼結果名稱 值選項 範例
is_success True 或 False is_success:False
JSON 結果
{
    "Policy": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "AddPerm",
                "Effect": "Allow",
                "Principal": "*",
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::testexample/*"
            }
        ]
    }
案件總覽
結果類型 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：

如果成功： 「找到 Amazon Macie 發現項目」

如果 is_success=False，例如找不到任何發現項目： 「No findings were returned.」

動作應會失敗並停止執行應對手冊：

如果系統回報重大錯誤，例如憑證錯誤或連線中斷： 「Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)

 一般
資料表

表格名稱：Amazon Macie Findings

資料表資料欄：

  • 找出 ID -「id」
  • 類別
  • 標題
  • 嚴重性
  • 類型
  • 已封存 - 已封存
  • 建立日期
  • 更新時間
    		•  一般

    建立自訂資料 ID

    建立 Amazon Macie 自訂資料 ID。

    參數

    參數名稱 類型 預設值 為必填項目 說明
    自訂資料 ID 名稱 字串 不適用 是 Amazon Macie 新自訂資料 ID 名稱。
    自訂資料 ID 說明 字串 不適用 否 Amazon Macie 新自訂資料 ID 說明。
    自訂資料 ID 規則運算式 字串 不適用 是 Amazon Macie 新的自訂資料 ID 規則運算式。例如：I[a@]mAB[a@]dRequest
    自訂資料 ID 關鍵字 字串 不適用 否 Amazon Macie 新的自訂資料 ID 關鍵字。
    自訂資料 ID 忽略字詞 字串 不適用 否 Amazon Macie 新的自訂資料 ID 忽略字詞。
    自訂資料 ID 最遠比對距離 整數 50 否 Amazon Macie 新的自訂資料 ID 最長比對距離。

    用途

    根據觀察到的資料建立 Amazon Macie 自訂資料 ID，以便稍後在分類作業中使用新的自訂資料 ID。

    執行日期

    這項操作不會對實體執行。

    動作結果

    指令碼結果
    指令碼結果名稱 值選項 範例
    is_success True 或 False is_success:False
    JSON 結果
    {
  "ResponseMetadata":{
    "HTTPHeaders":{
      "connection":"keep-alive",
      "content-length":"65",
      "content-type":"application/json",
      "date":"Mon, 26 Oct 2020 05:15:07 GMT",
      "x-amz-apigw-id":"ID",
      "x-amzn-remapped-content-length":"65",
      "x-amzn-remapped-date":"Mon, 26 Oct ""2020 05:15:07 ""GMT",
      "x-amzn-remapped-x-amzn-requestid":"61217a30-189e-4573-9f76-257b7065a04d",
      "x-amzn-requestid":"509e1c12-ab86-459e-9d6d-790a359686b2"
    },
    "HTTPStatusCode":200,
    "RequestId":"509e1c12-ab86-459e-9d6d-790a359686b2",
    "RetryAttempts":0
  },
  "customDataIdentifierId":"ff43487b-5643-4de1-b651-9ecbeb3021ed"
}
    案件總覽
    結果類型 說明 類型
    輸出訊息*

    動作不應失敗，也不應停止執行應對手冊：

    如果成功： 「New Amazon Macie custom data identifier created: {0}」(已建立新的 Amazon Macie 自訂資料 ID)。format(new identifier_id from response)

    如果 is_success=False，例如找不到任何發現項目： 「Failed to create Amazon Macie Identifier. 錯誤為：{0}".format(error from response)

    動作應會失敗並停止執行應對手冊：

    如果系統回報重大錯誤，例如憑證錯誤或連線中斷： 「Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)

    		 一般

    刪除自訂資料 ID

    刪除 Amazon Macie 自訂資料 ID。

    參數

    參數名稱 類型 預設值 為必填項目 說明
    自訂資料 ID ID 字串 不適用 否 要刪除的 Amazon Macie 自訂資料 ID。

    應用實例

    刪除 Amazon Macie 自訂資料 ID。

    執行日期

    這項操作不會對實體執行。

    動作結果

    指令碼結果
    指令碼結果名稱 值選項 範例
    is_success True 或 False is_success:False
    案件總覽
    結果類型 說明 類型
    輸出訊息*

    動作不應失敗，也不應停止執行應對手冊：

    如果成功： 「Amazon Macie custom data identifier {0} deleted」(已刪除 Amazon Macie 自訂資料 ID「{0}」)。format(custom data identifier id)

    如果 is_success=False，例如找不到任何發現項目： 「Failed to delete Amazon Macie Identifier {0}. 錯誤為：{1}".format(custom data identifier id, error from response)

    動作應會失敗並停止執行應對手冊：

    如果系統回報重大錯誤，例如憑證錯誤或連線中斷： 「Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)

    		 一般

    啟用 Macie

    啟用 Amazon Macie 服務。

    參數

    不適用

    用途

    服務窗口完成後，啟用 Amazon Macie。

    執行日期

    這項操作不會對實體執行。

    動作結果

    指令碼結果
    指令碼結果名稱 值選項 範例
    is_success True 或 False is_success:False
    案件總覽
    結果類型 說明 類型
    輸出訊息*

    動作不應失敗，也不應停止執行應對手冊：

    如果成功： 「Successfully enabled Amazon Macie service」(已成功啟用 Amazon Macie 服務)

    如果 is_success=False： 「Failed to enable Amazon Macie service. 錯誤為：{0}".format(error from response)

    動作應會失敗並停止執行應對手冊：

    如果系統回報重大錯誤，例如憑證錯誤或連線中斷：「Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)

    		 一般

    停用 Macie

    停用 Amazon Macie 服務。

    應用實例

    在服務時間範圍內停用 Amazon Macie，以便在 AWS 值區中進行變更，且不會造成大量誤判。

    執行日期

    這項操作不會對實體執行。

    動作結果

    指令碼結果
    指令碼結果名稱 值選項 範例
    is_success True 或 False is_success:False
    案件總覽
    結果類型 說明 類型
    輸出訊息*

    動作不應失敗，也不應停止執行應對手冊：

    如果成功： 「Successfully disabled Amazon Macie service」(已成功停用 Amazon Macie 服務)

    如果 is_success=False： 「Failed to disable Amazon Macie service. 錯誤為：{0}".format(error from response)

    動作應會失敗並停止執行應對手冊：

    如果系統回報重大錯誤，例如憑證錯誤或連線中斷： 「Failed to connect to the Amazon Macie service! Error is {0}".format(exception.stacktrace)

    		 一般

    連接器

    如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

    Amazon Macie - Findings Connector

    擷取 Amazon Macie 發現項目。

    連接器參數

    請使用下列參數設定連接器：

    參數名稱 類型 預設值 為必填項目 說明
    產品欄位名稱 字串 不適用 是

    儲存產品名稱的欄位名稱。

    產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的回退值。這個參數的任何無效輸入內容，預設都會解析為備用值。

    預設值為 Product Name。
    事件欄位名稱 字串 不適用 是

    決定事件名稱 (子類型) 的欄位名稱。
    環境欄位名稱 字串 不適用 否

    儲存環境名稱的欄位名稱。

    如果缺少環境欄位，連接器會使用預設值。
    Environment Regex Pattern 字串 不適用 否

    要在「Environment Field Name」欄位中找到的值上執行的規則運算式模式。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

    使用預設值 .* 擷取必要的原始 Environment Field Name 值。

    如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果就是預設環境。
    指令碼逾時 (秒) 整數 180 是

    執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。
    AWS 存取金鑰 ID 字串 不適用 是 用於整合的 AWS 存取金鑰 ID。
    AWS 密鑰 密碼 不適用 是 用於整合的 AWS 私密金鑰。
    AWS 預設區域 字串 不適用 是 要在整合中使用的 AWS 預設區域，例如 us-west-2。
    要擷取的發現項目嚴重性 字串 不適用 否

    要擷取的發現項目嚴重程度 - High、Medium 或 Low。

    參數接受以半形逗號分隔的多個值。

    如果未指定任何內容，連接器會擷取所有發現項目，無論嚴重程度為何。
    要擷取的發現項目數量上限 整數 50 否 每個連接器疊代要處理的發現項目數量。
    Fetch Max Hours Backwards 整數 1 否

    擷取快訊的小時數 (以目前時間為準)。

    這個參數可套用至首次啟用連接器後的初始連接器疊代，或套用至過期連接器時間戳記的回溯值。
    Use whitelist as a blacklist 核取方塊 已取消勾選 是

    如果選取這個選項，連接器會將動態清單做為封鎖清單。
    Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
    Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
    Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。

    連接器規則

    封鎖清單預設為停用。

    連接器支援動態清單，只會擷取特定類型的發現項目。

    連接器支援 Proxy。

    還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。