שילוב של AWS Security Hub עם Google SecOps

במסמך הזה מוסבר איך לשלב את AWS Security Hub עם Google Security Operations‏ (Google SecOps).

תרחישים לדוגמה

ב-Google SecOps, השילוב עם AWS Security Hub יכול לעזור לכם לפתור את תרחישי השימוש הבאים:

• העשרה אוטומטית של אירועים: אפשר להשתמש ביכולות של Google SecOps כדי לאחזר באופן אוטומטי הקשר רלוונטי משירותים אחרים של AWS, כמו VPC Flow Logs,‏ GuardDuty findings ו-CloudTrail logs, כשמזוהה אירוע אבטחה פוטנציאלי ב-Security Hub. העשרה אוטומטית של אירועים יכולה לעזור לאנליסטים להבין במהירות את היקף האירוע ואת ההשפעה הפוטנציאלית שלו.

• תיקון לפי סדר עדיפויות: אפשר להשתמש ביכולות של Google SecOps כדי להפעיל תגובות אוטומטיות לממצאים של Security Hub על סמך תוכניות פעולה מוגדרות מראש. לדוגמה, ממצא ברמת חומרה גבוהה שקשור לקטגוריית S3 שנחשפה יכול להפעיל אוטומטית תוכנית פעולה לתיקון הטעות בהגדרה ולשלוח התראה לצוותים המתאימים.

• שילוב של מודיעין איומי סייבר: אפשר להשתמש ביכולות של Google SecOps כדי לשלב פידים של מודיעין איומי סייבר ולהשוות בין הממצאים של Security Hub לבין אינדיקטורים זדוניים מוכרים. השילוב של מודיעין איומים מאפשר לאנליסטים לזהות איומים בסיכון גבוה שדורשים טיפול מיידי ולתעדף אותם.

• דיווח על תאימות וביקורת: אפשר להשתמש ביכולות של Google SecOps כדי לצבור ולנרמל נתוני אבטחה מ-Security Hub וממקורות אחרים, וכך לפשט את הדיווח על תאימות.

• ניהול פגיעויות: אפשר להשתמש ביכולות של Google SecOps כדי לבצע אוטומציה של תהליך בדיקת הפגיעויות, תעדוף שלהן ותיקון שלהן, על ידי שילוב עם תכונות סריקת הפגיעויות של AWS Security Hub. ניהול הפגיעויות יכול לעזור לכם לצמצם את שטח הפנים של המתקפה ולשפר את מצב האבטחה הכולל של הארגון.

לפני שמתחילים

כדי שהשילוב יפעל בצורה תקינה, צריך להגדיר מדיניות מותאמת אישית של זהויות וגישה ב-AWS.

מידע נוסף על יצירת מדיניות בהתאמה אישית ב-AWS זמין במאמר יצירת מדיניות באמצעות עורך JSON במסמכי התיעוד של AWS.

כדי להגדיר את ההרשאות שנדרשות לשילוב של AWS Security Hub ולהגדיר את המדיניות בהתאמה אישית, משתמשים בקוד הבא:

{
            "Sid": "SecurityHubServiceRolePermissions",
            "Effect": "Allow",
            "Action": [
                "securityhub:GetMasterAccount",
                "securityhub:GetInsightResults",
                "securityhub:CreateInsight",
                "securityhub:UpdateInsight",
                "securityhub:BatchUpdateFindings",
                "securityhub:GetFindings",
                "securityhub:GetInsight",
                "securityhub:DescribeHub",
            ],
            "Resource": "*"
}

מידע נוסף על הגדרת הרשאות זמין במאמר מדיניות מנוהלת של AWS:‏AWSSecurityHubServiceRolePolicy במסמכי AWS.

פרמטרים של שילוב

השילוב עם AWS Security Hub דורש את הפרמטרים הבאים:

פרמטר	תיאור
AWS Access Key ID	חובה מזהה מפתח הגישה של AWS שבו משתמשים בשילוב.
AWS Secret Key	חובה מפתח הסודי של AWS שבו משתמשים בשילוב.
AWS Default Region	חובה אזור ברירת המחדל של AWS שבו יש להשתמש בשילוב, כמו us-west-2.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופעים, אפשר להשתמש בהם ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר בנושא תמיכה במספר מופעים.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

עבודה עם הפרמטר Filter JSON Object

בפעולות Create Insight ו-Update Insight, אפשר להגדיר מסננים לתוצאות.

כדי ליצור תובנה ב-AWS Security Hub, צריך להחיל מסננים על הממצאים שזמינים במערכת.

המבנה של המסנן עם כל התצורות האפשריות הוא כזה:

{
    "ProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "AwsAccountId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Id": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "GeneratorId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Type": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "FirstObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "LastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "CreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "UpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "SeverityProduct": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityNormalized": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityLabel": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Confidence": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Criticality": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Title": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Description": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecommendationText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "SourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProductFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ProductName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "CompanyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "UserDefinedFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "MalwareName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwarePath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDirection": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkProtocol": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourceIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourcePort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkSourceDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceMac": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDestinationIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationPort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkDestinationDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessParentPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ProcessTerminatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorValue": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorCategory": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorLastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorSource": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorSourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourcePartition": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceRegion": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceTags": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIpV4Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceIpV6Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceKeyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIamInstanceProfileArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceVpcId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceSubnetId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceAwsS3BucketOwnerId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsS3BucketOwnerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyUserName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyCreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceContainerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceDetailsOther": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ComplianceStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "VerificationState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecordState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteUpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "NoteUpdatedBy": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Keyword": [
        {
            "Value": "string"
        }
    ]
}

לדוגמה, המסנן הבא מחזיר רק ממצאים עם חומרת סיכון קריטית:

{
    "SeverityLabel": [
        {
            "Value": "CRITICAL",
            "Comparison": "EQUALS"
        }
    ]
}

פעולות

כדי שהפעולות של AWS Security Hub יפעלו בצורה תקינה, צריך להגדיר הרשאות ספציפיות. מידע נוסף על ההרשאות של השילוב זמין בקטע לפני שמתחילים במסמך הזה.

יצירת תובנה

משתמשים בפעולה Create Insight כדי ליצור תובנה ב-AWS Security Hub.

הוספת נתונים לפעולה

הפעולה Create Insight (יצירת תובנה) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Insight Name	חובה שם התובנה.
Group By Attribute	חובה שם המאפיין שלפיו יקובצו הממצאים. הפעולה מקבצת את הממצאים לתובנה אחת. ערך ברירת המחדל הוא AWS Account ID. הערכים האפשריים הם: AWS Account ID Company Name Status Generator ID Malware Name Process Name Threat Intel Type Product ARN Product Name Record State EC2 Instance Image ID EC2 Instance IPv4 EC2 Instance IPv6 EC2 Instance Key Name EC2 Instance Subnet ID EC2 Instance Type EC2 Instance VPC ID IAM Access Key User Name S3 Bucket Owner Name Container Image ID Container Image Name Container Name Resource ID Resource Type Severity Label Source URL Type Verification State Workflow Status
Filter JSON Object	חובה מסנן להחלה על הממצאים. המסנן הוא אובייקט JSON שמאפשר לציין מאפיינים וערכים שונים. פרטים נוספים על הגדרת הסינון מופיעים בקטע עבודה עם הפרמטר Filter JSON Object במאמר הזה.

פלט של פעולות

הפעולה יצירת תובנה מספקת את התוצאות הבאות:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת סקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Create Insight:

{
    "InsightArn": "arn:aws:securityhub:ID",
}

הודעות פלט

הפעולה Create Insight יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully created 'INSIGHT_NAME" insight in AWS Security Hub. Action wasn't able to create 'INSIGHT_NAME' insight.	הפעולה הסתיימה בהצלחה.
Error executing action "Create Insight". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Create Insight:

שם התוצאה של הסקריפט	ערך
is_success	True או False

קבלת פרטים על תובנות

אפשר להשתמש בפעולה Get Insight Details כדי לקבל מידע מפורט על תובנות ב-AWS Security Hub.

הפעולה הזו לא מופעלת על ישויות ב-Google SecOps.

הוספת נתונים לפעולה

הפעולה Get Insight Details (קבלת פרטי תובנות) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Insight ARN	חובה שם משאב Amazon‏ (ARN) של התובנה.
Max Results To Return	חובה מספר התוצאות שיוחזרו. ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה קבלת פרטי תובנות מספקת את התוצאות הבאות:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת סקריפט	יש גישה

טבלת קיר עם תושבת

הפעולה Get Insight Details יכולה להחזיר את הטבלה הבאה ב-Google SecOps:

שם הטבלה: 'NUMBER_OF_OBJECTS' Bucket Objects

עמודות:

• שם (ממופה כ-GroupByAttributeValue)
• מספר יחידות (ממופה כ-Count)

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Get Insight Details:

"InsightResults": {
        "InsightArn": "arn:aws:securityhub:ID",
        "GroupByAttribute": "ResourceId",
        "ResultValues": [
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-getreportstatus",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-searchactionbug",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-unicodeandlogs",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-automation-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-awss3-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-azureactivedirectory-v-4-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-bootcamp-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-categories",
                "Count": 5
            }
        ]
    }

הודעות פלט

הפעולה Get Insight Details יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned details about Insight with ARN 'ARN' in AWS Security Hub.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Insight Details". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאות הסקריפט כשמשתמשים בפעולה Get Insight Details (קבלת פרטים על תובנות):

שם התוצאה של הסקריפט	ערך
is_success	True או False

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-AWS Security Hub.

הפעולה הזו לא מופעלת על ישויות ב-Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת סקריפט	יש גישה

הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully connected to the AWS Security Hub server with the provided connection parameters!	הפעולה הסתיימה בהצלחה.
Failed to connect to the AWS Security Hub! Error is ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט	ערך
is_success	True או False

עדכון ממצא

משתמשים בפעולה Update Finding כדי לעדכן ממצאים ב-AWS Security Hub.

הפעולה הזו לא מופעלת על ישויות ב-Google SecOps.

הוספת נתונים לפעולה

הפעולה Update Finding דורשת את הפרמטרים הבאים:

פרמטר	תיאור
ID	חובה המזהה של הממצא שרוצים לעדכן.
Product ARN	חובה מספר ה-ARN של המוצר שמשויך לממצא שרוצים לעדכן.
Note	אופציונלי טקסט חדש להערה על הממצא. אם מגדירים את הפרמטר הזה, צריך להגדיר גם את הפרמטר Note Author.
Note Author	אופציונלי המחבר של ההערה. אם מגדירים את הפרמטר הזה, צריך להגדיר גם את הפרמטר Note.
Severity	אופציונלי רמת חומרה חדשה לממצא. הערכים האפשריים הם: Critical High Medium Low Informational
Verification State	אופציונלי מצב אימות חדש לממצא. הערכים האפשריים הם: Unknown True Positive False Positive Benign Positive
Confidence	אופציונלי רמת מהימנות חדשה לממצא. הערך המקסימלי הוא 100.
Criticality	אופציונלי רמת חומרה חדשה לממצא. הערך המקסימלי הוא 100.
Types	אופציונלי רשימה מופרדת בפסיקים של סוגי הממצאים, כמו type1,type2.
Workflow Status	אופציונלי סטטוס חדש של תהליך העבודה עבור הממצא. הערכים האפשריים הם: New Notified Resolved Suppressed
Custom Fields	אופציונלי השדות המותאמים אישית של הממצא שרוצים לעדכן, למשל Custom_field_1:VALUE, Custom_field_2:VALUE.

פלט של פעולות

הפעולה Update Finding מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת סקריפט	יש גישה

הודעות פלט

הפעולה Update Finding יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub. Action wasn't able to update finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub.	הפעולה הסתיימה בהצלחה.
Error executing action "Update Findings". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Update Finding:

שם התוצאה של הסקריפט	ערך
is_success	True או False

עדכון התובנה

כדי לעדכן תובנה ב-AWS Security Hub, משתמשים בפעולה Update Insight.

הפעולה הזו לא מופעלת על ישויות ב-Google SecOps.

הוספת נתונים לפעולה

הפעולה Update Insight דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Insight ARN	חובה מספר ה-ARN של התובנה.
Insight Name	אופציונלי שם התובנה.
Group By Attribute	אופציונלי שם המאפיין שלפיו יקובצו הממצאים. הפעולה מקבצת את הממצאים לתובנה אחת. ערך ברירת המחדל הוא AWS Account ID. הערכים האפשריים הם: AWS Account ID Company Name Status Generator ID Malware Name Process Name Threat Intel Type Product ARN Product Name Record State EC2 Instance Image ID EC2 Instance IPv4 EC2 Instance IPv6 EC2 Instance Key Name EC2 Instance Subnet ID EC2 Instance Type EC2 Instance VPC ID IAM Access Key User Name S3 Bucket Owner Name Container Image ID Container Image Name Container Name Resource ID Resource Type Severity Label Source URL Type Verification State Workflow Status
Filter JSON Object	אופציונלי מסנן להחלה על הממצאים. המסנן הוא אובייקט JSON שמאפשר לציין מאפיינים וערכים שונים. פרטים נוספים על הגדרת הסינון מופיעים בקטע עבודה עם הפרמטר Filter JSON Object במאמר הזה.

פלט של פעולות

הפעולה Update Insight מספקת את התוצאות הבאות:

סוג הפלט של הפעולה	זמינות
קיר המארז	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת סקריפט	יש גישה

הודעות פלט

הפעולה Update Insight יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated 'INSIGHT_ARN' insight in AWS Security Hub Action wasn't able to update the 'INSIGHT_ARN' insight.	הפעולה הסתיימה בהצלחה.
Error executing action "Update Insight". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת סקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Update Insight:

שם התוצאה של הסקריפט	ערך
is_success	True או False

מחברים

מידע נוסף על הגדרת מחברים ב-Google SecOps זמין במאמר הוספת נתונים (מחברים).

AWS Security Hub – Findings Connector

משתמשים ב-AWS Security Hub – Findings Connector כדי לאחזר ממצאים מ-AWS Security Hub.

המחבר דורש את הפרמטרים הבאים:

פרמטרים	תיאור
Product Field Name	חובה שם השדה שבו מאוחסן שם המוצר. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה שם השדה שמשמש לקביעת שם האירוע (סוג משנה). ערך ברירת המחדל הוא alertType.
Environment Field Name	אופציונלי שם השדה שבו מאוחסן שם הסביבה. אם השדה environment לא נמצא, הסביבה היא סביבת ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	אופציונלי תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות הלוגיקה של הביטוי הרגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
AWS Access Key ID	חובה מזהה מפתח הגישה של AWS שבו משתמשים בשילוב.
AWS Secret Key	חובה מפתח הסודי של AWS שבו משתמשים בשילוב.
AWS Default Region	חובה אזור ברירת המחדל של AWS שבו יש להשתמש בשילוב, כמו us-west-2.
Lowest Severity To Fetch	חובה רמת החומרה הנמוכה ביותר של הממצאים שיש לאחזר. הערכים האפשריים הם: Informational Low Medium High Critical ערך ברירת המחדל הוא Medium.
Fetch Max Hours Backwards	אופציונלי מספר השעות לפני האיטרציה הראשונה של המחבר שמהן יאוחזרו האירועים. הפרמטר הזה חל רק פעם אחת על האיטרציה הראשונית של המחבר אחרי שמפעילים אותו בפעם הראשונה. ערך ברירת המחדל הוא שעה אחת.
Max Findings To Fetch	אופציונלי מספר הממצאים לעיבוד באיטרציה אחת של מחבר. ערך ברירת המחדל הוא 50.
Use whitelist as a blacklist	חובה אם האפשרות הזו נבחרה, המחבר משתמש ברשימה הדינמית כרשימת חסימה. האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL	חובה אם בוחרים באפשרות הזו, Google SecOps מאמת שאישור ה-SSL של החיבור לשרת AWS Security Hub תקף. האפשרות הזו מסומנת כברירת מחדל.
Proxy Server Address	אופציונלי הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	אופציונלי שם המשתמש ב-proxy לאימות.
Proxy Password	אופציונלי סיסמת ה-proxy לאימות.

כללים של Connectors

מחבר הממצאים של AWS Security Hub תומך בשרתי proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.