Google-Benachrichtigungscenter in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie die Google Workspace-Benachrichtigungszentrale in Google Security Operations einbinden.

Anwendungsfälle

Die Integration des Google Alert Centers nutzt Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • Reaktion auf Phishing-Kampagnen: Benachrichtigungen aus der Benachrichtigungszentrale zu potenziellem Phishing, das auf Ihre Organisation abzielt, werden aufgenommen. Automatisierte Workflows auslösen, um E‑Mails zu untersuchen, schädliche URLs zu blockieren und betroffene Konten unter Quarantäne zu stellen.

  • Eindämmung von Daten-Exfiltration: Automatisierte Incident Response auslösen, wenn verdächtige Datenbewegungen erkannt werden. Betroffene Systeme isolieren und forensische Analyse einleiten.

  • Automatisierte Malware-Behebung: Sie können infizierte Geräte, die durch Google Workspace-Benachrichtigungen identifiziert wurden, in Quarantäne stellen und obligatorische Malware-Scans oder Patch-Bereitstellungen initiieren.

  • Verwaltung von Sicherheitslücken: Sie können Benachrichtigungen zu neu entdeckten Sicherheitslücken, die Ihre Google Workspace-Umgebung betreffen, automatisch verarbeiten, um das Patchen zu priorisieren und die relevanten Teams zu informieren.

Hinweis

Bevor Sie die Integration des Google-Benachrichtigungscenters in Google SecOps konfigurieren, müssen Sie die folgenden Schritte ausführen:

  1. Aktivieren Sie die Google Workspace Alert Center API.

  2. Erstellen Sie ein Dienstkonto.

  3. JSON-Schlüssel konfigurieren

  4. Domainweite Befugnisse delegieren

  5. Gewähren Sie dem Nutzer, dessen Identität angenommen wurde, Zugriff auf die Benachrichtigungszentrale.

Google Workspace Alert Center API aktivieren

Wenn Sie die API aktivieren, kann Google SecOps mit Ihren Google Workspace-Sicherheitsdaten kommunizieren.

  1. Rufen Sie in der Google Cloud Console die Seite Bibliothek auf.

    Zur Mediathek

  2. Klicken Sie auf Aktivieren.

Dienstkonto erstellen

Ein Dienstkonto dient als sichere Identität für die Integration, um auf Ihre Google Workspace-Daten zuzugreifen.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf addDienstkonto erstellen.

  3. Geben Sie einen Namen (z. B. „SecOps Alert Center Integration“) und eine Beschreibung ein.

  4. Klicken Sie auf Erstellen und fortfahren.

  5. Überspringen Sie die optionalen Schritte zur Zuweisung von IAM-Rollen und klicken Sie auf Fertig. Berechtigungen für die Benachrichtigungszentrale werden dem Google Workspace-Nutzer, dessen Identität angenommen wird, in der Admin-Konsole Ihrer Domain gewährt, nicht dem Dienstkonto in Google Cloud IAM.

  6. Suchen Sie das Dienstkonto in der Liste und kopieren Sie die Client-ID (eindeutige ID) und die E-Mail-Adresse.

JSON-Schlüssel konfigurieren

Diese Integration verwendet eine statische JSON-Schlüsseldatei für die Authentifizierung.

  1. Wählen Sie Ihr Dienstkonto in der Google Cloud Console aus und rufen Sie den Tab Schlüssel auf.

  2. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  3. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird automatisch auf Ihren Computer heruntergeladen.

  4. Kopieren Sie den gesamten Inhalt dieser Datei und fügen Sie ihn während der Integrationskonfiguration in Service Account JSON Secret ein.

Domainweite Befugnisse delegieren

Wenn Sie die domainweite Autorität gewähren, kann das Dienstkonto auf die Benachrichtigungen Ihrer Nutzer zugreifen, indem es die Identität eines Administrators übernimmt.

  1. Öffnen Sie in der Admin-Konsole Ihrer Domain das Hauptmenü > Sicherheit > Zugriffs- und Datenkontrolle > API-Steuerung.

  2. Wählen Sie im Bereich Domainweite Delegation die Option Domainweite Delegation verwalten aus.

  3. Klicken Sie auf Neu hinzufügen.

  4. Geben Sie im Feld Client-ID die eindeutige ID (Client-ID) ein, die Sie aus dem Dienstkonto kopiert haben.

  5. Geben Sie im Feld OAuth-Bereiche den folgenden Bereich ein:

    https://www.googleapis.com/auth/apps.alerts

  6. Klicken Sie auf Autorisieren.

Dem imitierten Nutzer Zugriff auf die Benachrichtigungszentrale gewähren

Der Google Workspace-Nutzer, den Sie im Parameter Impersonation Email Address angeben, muss in der Admin-Konsole Ihrer Domain Administratorberechtigungen für die Benachrichtigungszentrale haben.

Wenn Sie in der Admin-Konsole Zugriff auf die Benachrichtigungszentrale gewähren möchten, weisen Sie dem Nutzer, dessen Identität angenommen wird, eine der folgenden Rollen zu:

  • Vordefinierte Administratorrolle: Weisen Sie die Rolle Super Admin oder Dienste-Administrator zu, die standardmäßig vollen Zugriff auf die Benachrichtigungszentrale enthält.

  • Benutzerdefinierte Administratorrolle: Erstellen Sie unter Konto > Administratorrollen eine benutzerdefinierte Administratorrolle mit der Berechtigung Benachrichtigungscenter > Vollzugriff (erforderlich, um die Aktion „Benachrichtigung löschen“ auszuführen) oder der Berechtigung Benachrichtigungscenter > Lesezugriff (ausreichend für die schreibgeschützte Benachrichtigungsaufnahme) und weisen Sie diese Rolle dem imitierten Nutzer zu.

Weitere Informationen zum Konfigurieren von Administratorberechtigungen und benutzerdefinierten Rollen für die Benachrichtigungszentrale finden Sie im Hilfeartikel Zugriff auf die Benachrichtigungszentrale gewähren.

Integrationsparameter

Für die Integration von Google Alert Center sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Service Account JSON Secret

Pflichtangabe.

Der vollständige Inhalt der JSON-Datei des Dienstkontoschlüssels, die Sie heruntergeladen haben.
Impersonation Email Address

Pflichtangabe.

Die E-Mail-Adresse eines Google Workspace-Nutzers mit Administratorberechtigungen für die Benachrichtigungszentrale (z. B. die Rolle Super Admin oder Dienstadministrator oder eine benutzerdefinierte Administratorrolle mit Berechtigungen für die Benachrichtigungszentrale) in Ihrer Google Workspace-Domain.

Die Integration verwendet die domainweite Delegierung, um die Identität dieses Nutzers zu übernehmen und Benachrichtigungen abzurufen oder zu verwalten.
Verify SSL

Optional.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Alert Center-Server hergestellt wird.

Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Benachrichtigung löschen

Mit der Aktion Benachrichtigung löschen können Sie eine Benachrichtigung in der Benachrichtigungszentrale löschen.

Nachdem Sie eine Benachrichtigung gelöscht haben, können Sie sie innerhalb von 30 Tagen wiederherstellen. Benachrichtigungen, die vor mehr als 30 Tagen gelöscht wurden, können nicht wiederhergestellt werden.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Benachrichtigung löschen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Alert ID Erforderlich

Die ID der zu löschenden Benachrichtigung.

Aktionsausgaben

Die Aktion Benachrichtigung löschen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Delete Alert kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully deleted alert with ID RECORD_ID in the alert center.

Alert with ID RECORD_ID doesn't exist in the alert center.

 Die Aktion war erfolgreich.
Error executing action "Delete Alert". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Benachrichtigung löschen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zur Benachrichtigungszentrale zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht
Successfully connected to the alert center server with the provided connection parameters! Die Aktion war erfolgreich.
Failed to connect to the alert center server! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses Wert
is_success True oder False

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Google Alerts – Connector für Google Alerts

Verwenden Sie den Google Alert Center – Alerts Connector, um Informationen zu Benachrichtigungen aus der Benachrichtigungszentrale abzurufen.

Der Filter für dynamische Listen funktioniert mit dem Parameter type.

Connector-Eingaben

Für den Google Alert Center – Alerts Connector sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Product Field Name Erforderlich

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Standardwert ist source.
Event Field Name Erforderlich

Der Feldname, der zur Bestimmung des Ereignisnamens (Untertyp) verwendet wird.

Der Standardwert ist type.
Environment Field Name Optional

Der Name des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, wird die Umgebung auf die Standardumgebung gesetzt.

Der Standardwert ist "".
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
PythonProcessTimeout Erforderlich

Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt.

Der Standardwert ist 180.
Service Account JSON Secret Erforderlich

Der vollständige JSON-Inhalt der Dienstkontodatei, die Sie für die Authentifizierung bei der Benachrichtigungszentrale verwendet haben.
Impersonation Email Address Erforderlich

Die E-Mail-Adresse eines Google Workspace-Nutzers mit Administratorberechtigungen für die Benachrichtigungszentrale (z. B. die Rolle Poweruser oder Dienstadministrator oder eine benutzerdefinierte Administratorrolle mit Berechtigungen für die Benachrichtigungszentrale).
Verify SSL Optional

Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung mit der Benachrichtigungszentrale gültig ist.

Standardmäßig ausgewählt.
Max Hours Backwards Optional

Eine Anzahl von Stunden vor der ersten Connector-Iteration, aus der Antworten abgerufen werden sollen. Dieser Parameter gilt entweder für die erste Connector-Iteration, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel.

Der Standardwert ist 1 Stunde.
Max Alerts To Fetch Optional

Die maximale Anzahl von Benachrichtigungen, die für jede Connector-Iteration abgerufen werden sollen.

Die maximale Anzahl beträgt 100.
Lowest Severity To Fetch Optional

Der niedrigste Schweregrad der abzurufenden Benachrichtigungen.
Use whitelist as a blacklist Optional

Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste.

Standardmäßig nicht ausgewählt.
Proxy Server Address Optional

Die Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Der Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Die folgenden Regeln definieren die Betriebslogik, das Datenverarbeitungsverhalten und die Sicherheitsmechanismen des Connectors.

  • Proxys: Der Connector unterstützt Proxys.

  • Ereigniserstellung: Wenn eine Benachrichtigung einen data/messages-Schlüssel (eine Liste von JSON-Objekten) enthält, erstellt der Connector für jedes Objekt in der Liste ein separates Ereignis.

  • Sicherheitszeitüberschreitung: Wenn der Connector 90 % seiner Ausführungszeitüberschreitung (basierend auf PythonProcessTimeout) erreicht, wird er beendet und es wird keine neue Benachrichtigung für diese Iteration erstellt, um eine unvollständige Datenaufnahme zu verhindern.

  • Wasserzeichenverwaltung: Der Connector verfolgt verarbeitete Benachrichtigungen mithilfe von alertId. In ids.json werden bis zu 1.000 IDs gespeichert. Wenn das Limit überschritten wird, werden die ältesten 100 IDs entfernt.

Beispiel-JSON für Ereignis

Das folgende JSON-Beispiel zeigt die typische Antwortstruktur der Google Alert Center API und die spezifischen Datenfelder, die für die Aufnahme verfügbar sind.

{
    "customerId": "038judqw",
    "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
    "createTime": "2020-07-22T11:50:08.353Z",
    "startTime": "2020-07-22T10:54:54.059475Z",
    "endTime": "2020-07-22T11:46:51.020063Z",
    "type": "User reported phishing",
    "source": "Gmail phishing",
    "data": {
        "@type": "[type.googleapis.com/google.apps.alertcenter.type.MailPhishing](https://type.googleapis.com/google.apps.alertcenter.type.MailPhishing)",
        "domainId": {
            "customerPrimaryDomain": "smplylab.com"
        },
        "maliciousEntity": {
            "fromHeader": "crazywiz7@abv.bg"
        },
        "messages": [
            {
                "messageId": "1753474999.350456.1595412914645@nm22.abv.bg",
                "messageBodySnippet": " eicar com http malware wicar org data ms14_064_ole_not_xp html",
                "md5HashSubject": "c93d4454877e844fdfcb4401472204f2",
                "subjectText": "Re: App Store - Support.      17/07/2020 12:50:36",
                "attachmentsSha256Hash": [
                    "77c2aed70c3b20c50dbf071f8688580e02463c213e7a65ccab1acc2f8a9769a3",
                    "f5e1b1bf12b71c54f68a719e0c45df5806a8b8d57bf3967d9bd4a071cfc5abbe"
                ],
                "recipient": "lab3@smplylab.com",
                "date": "2020-07-22T10:54:54.059475Z"
            }
        ]
    },
    "securityInvestigationToolLink": "[admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE](https://admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE)",
    "metadata": {
        "customerId": "038judqw",
        "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
        "status": "NOT_STARTED",
        "updateTime": "2020-07-22T11:50:08.353Z",
        "severity": "HIGH",
        "etag": "rrXycg7VpUA="
    },
    "updateTime": "2020-07-22T11:50:08.353Z",
    "etag": "rrXycg7VpUA="
}

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten