Integra Google Alert Center con Google SecOps

Questo documento spiega come integrare il Centro avvisi di Google Workspace con Google Security Operations.

Importante: nella piattaforma Google SecOps, l'integrazione per il Centro avvisi si chiama Centro avvisi Google.

Casi d'uso

L'integrazione del Centro avvisi Google utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

• Risposta alla campagna di phishing: importa le notifiche del Centro avvisi relative a potenziali tentativi di phishing rivolti alla tua organizzazione. Attiva workflow automatizzati per esaminare le email, bloccare gli URL dannosi e mettere in quarantena gli account interessati.

• Contenimento dell'esfiltrazione di dati: attiva la risposta automatica agli incidenti quando viene rilevato un movimento di dati sospetto. Isola i sistemi interessati e avvia l'analisi forense.

• Correzione automatica del malware: metti in quarantena i dispositivi infetti identificati dagli avvisi di Google Workspace e avvia scansioni obbligatorie del malware o implementazioni di patch.

• Gestione delle vulnerabilità: elabora automaticamente gli avvisi relativi alle vulnerabilità appena scoperte che interessano il tuo ambiente Google Workspace per dare priorità alle patch e informare i team pertinenti.

Prima di iniziare

Prima di configurare l'integrazione del Centro avvisi Google in Google SecOps, completa i seguenti passaggi prerequisiti:

1. Attiva l'API Alert Center di Google Workspace.

2. Crea un account di servizio.

3. Configura una chiave JSON.

4. Delega l'autorità a livello di dominio.

5. Concedi l'accesso al Centro avvisi all'utente di cui è stata eseguita la simulazione.

Abilita l'API Alert Center di Google Workspace

L'abilitazione dell'API consente a Google SecOps di comunicare con i tuoi dati di sicurezza di Google Workspace.

1. Nella console Google Cloud , vai alla pagina Libreria.

   Vai alla Raccolta

2. Fai clic su Attiva.

Crea un account di servizio

Un account di servizio funge da identità sicura per l'integrazione per accedere ai tuoi dati di Google Workspace.

1. Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio.

   Vai a Service account

2. Fai clic su addCrea service account.

3. Fornisci un nome (ad esempio "Integrazione del Centro avvisi di SecOps") e una descrizione.

4. Fai clic su Crea e continua.

5. Salta i passaggi facoltativi di assegnazione dei ruoli IAM e fai clic su Fine. Le autorizzazioni del Centro avvisi vengono concesse all'utente Google Workspace di cui viene eseguita la simulazione dell'identità nella Console di amministrazione Google del tuo dominio, non al account di servizio in Google Cloud IAM.

6. Individua il account di servizio nell'elenco e copia il suo ID client (ID univoco) e il suo indirizzo email.

Configura una chiave JSON

Questa integrazione utilizza un file di chiave JSON statico per l'autenticazione.

1. Seleziona il tuo account di servizio nella console Google Cloud e vai alla scheda Chiavi.

2. Fai clic su Aggiungi chiave > Crea nuova chiave.

3. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato automaticamente sul computer.

4. Copia l'intero contenuto di questo file e incollalo in Service Account JSON Secret durante la configurazione dell'integrazione.

Delega l'autorità a livello di dominio

La concessione dell'autorità a livello di dominio consente al account di servizio di accedere agli avvisi degli utenti impersonando un amministratore.

1. Nella Console di amministrazione Google del tuo dominio, vai a Menu principale > Sicurezza > Accesso e controlli relativi ai dati > Controlli API.

2. Nel riquadro Delega a livello di dominio, seleziona Gestisci delega a livello di dominio.

3. Fai clic su Aggiungi nuovo.

4. Nel campo ID client, inserisci l'ID univoco (ID client) che hai copiato dall'account di servizio.

5. Nel campo Ambiti OAuth, inserisci il seguente ambito:

   https://www.googleapis.com/auth/apps.alerts
   

6. Fai clic su Autorizza.

Concedi l'accesso al Centro avvisi all'utente di cui è stata eseguita la simulazione

L'utente Google Workspace specificato nel parametro Impersonation Email Address deve disporre dei privilegi di amministratore del Centro avvisi nella Console di amministrazione Google del tuo dominio.

Per concedere l'accesso al Centro avvisi nella Console di amministrazione Google, assegna uno dei seguenti ruoli all'utente di cui viene eseguita la simulazione:

• Ruolo amministratore predefinito: assegna il ruolo Super amministratore o Amministratore dei servizi, che include l'accesso completo al Centro avvisi per impostazione predefinita.

• Ruolo di amministratore personalizzato: crea un ruolo di amministratore personalizzato in Account > Ruoli amministratore con il privilegio Centro avvisi > Accesso completo (obbligatorio per eseguire l'azione Elimina avviso) o il privilegio Centro avvisi > Accesso in visualizzazione (sufficiente per l'importazione degli avvisi in sola lettura) e assegna questo ruolo all'utente di cui viene eseguita la simulazione.

Per saperne di più sulla configurazione dei privilegi amministrativi e dei ruoli personalizzati del Centro avvisi, consulta Concedi l'accesso al Centro avvisi.

Parametri di integrazione

L'integrazione con il Centro avvisi di Google richiede i seguenti parametri:

Parametro	Descrizione
Service Account JSON Secret	Obbligatorio. I contenuti completi del file JSON della chiave del account di servizio che hai scaricato.
Impersonation Email Address	Obbligatorio. L'indirizzo email di un utente di Google Workspace con privilegi amministrativi del Centro avvisi (ad esempio il ruolo Super amministratore o Amministratore servizi oppure un ruolo amministrativo personalizzato con privilegi del Centro avvisi) nel tuo dominio Google Workspace. L'integrazione utilizza la delega a livello di dominio per impersonare questo utente e recuperare o gestire gli avvisi.
Verify SSL	Facoltativo. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server del Centro avvisi Google. Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Eliminazione avviso

Utilizza l'azione Elimina avviso per eliminare un avviso nel Centro avvisi.

Dopo aver eliminato un avviso, puoi recuperarlo per i 30 giorni successivi. Non puoi recuperare un avviso eliminato più di 30 giorni fa.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Elimina avviso richiede i seguenti parametri:

Parametro	Descrizione
Alert ID	Obbligatorio L'ID dell'avviso da eliminare.

Output azione

L'azione Elimina avviso fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Elimina avviso può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully deleted alert with ID RECORD_ID in the alert center. Alert with ID RECORD_ID doesn't exist in the alert center.	L'azione è andata a buon fine.
Error executing action "Delete Alert". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Elimina avviso:

Nome del risultato dello script	Valore
is_success	True o False

Dindin

Utilizza l'azione Ping per testare la connettività al Centro avvisi.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully connected to the alert center server with the provided connection parameters!	L'azione è andata a buon fine.
Failed to connect to the alert center server! Error is ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	True o False

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importa i dati (connettori).

Nota: per evitare la perdita di dati, i connettori utilizzano l'appiattimento degli eventi. Se un avviso non elaborato contiene un elenco di entità (ad esempio più indirizzi email, nomi host o indirizzi IP), i connettori le appiattiscono automaticamente in eventi separati e univoci.

Ad esempio, un singolo avviso non elaborato contenente tre indirizzi email diversi viene importato come tre eventi separati, ciascuno contenente un indirizzo email distinto.

Questo processo garantisce che ogni entità venga indicizzata correttamente come asset univoco, rendendola completamente ricercabile e utilizzabile nei playbook.

Google Alert Center – Alerts Connector

Utilizza il connettore Google Alert Center - Alerts per recuperare informazioni sugli avvisi dal Centro avvisi.

Importante: limitazioni per l'acquisizione dei dati

I dati importati in Google SecOps sono limitati dai campi forniti dall'API Alert Center di Google Workspace sottostante.

Alcuni campi visibili nell'interfaccia utente del Centro avvisi di Google (come Nome utente) non vengono restituiti dall'API e non saranno presenti nelle richieste importate. Questo è il funzionamento previsto. Consulta Esempio di evento JSON per verificare i campi disponibili.

Il filtro dell'elenco dinamico funziona con il parametro type.

Input del connettore

Il connettore Google Alert Center - Avvisi richiede i seguenti parametri:

Parametro	Descrizione
Product Field Name	Obbligatorio Il nome del campo in cui è memorizzato il nome del prodotto. Il valore predefinito è source.
Event Field Name	Obbligatorio Il nome del campo utilizzato per determinare il nome evento (sottotipo). Il valore predefinito è type.
Environment Field Name	Optional Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non viene trovato, l'ambiente viene impostato su quello predefinito. Il valore predefinito è "".
Environment Regex Pattern	Optional Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari. Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto. Se il pattern dell'espressione regolare è null o vuoto o se il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito.
PythonProcessTimeout	Obbligatorio Il limite di timeout in secondi per il processo Python che esegue lo script corrente. Il valore predefinito è 180.
Service Account JSON Secret	Obbligatorio I contenuti JSON completi del file dell'account di servizio che hai utilizzato per l'autenticazione nel Centro avvisi.
Impersonation Email Address	Obbligatorio L'indirizzo email di un utente di Google Workspace con privilegi amministrativi del Centro avvisi (ad esempio il ruolo Super amministratore o Amministratore servizi oppure un ruolo amministratore personalizzato con privilegi del Centro avvisi).
Verify SSL	Optional Se selezionata, l'integrazione verifica che il certificato SSL per la connessione al Centro avvisi sia valido. Questo tipo di annuncio sarà selezionato per impostazione predefinita.
Max Hours Backwards	Optional Un numero di ore prima della prima iterazione del connettore da cui recuperare le risposte. Questo parametro si applica all'iterazione iniziale del connettore dopo l'attivazione del connettore per la prima volta o al valore di riserva per un timestamp del connettore scaduto. Il valore predefinito è 1 ora.
Max Alerts To Fetch	Optional Il numero massimo di avvisi da recuperare per ogni iterazione del connettore. Il numero massimo è 100.
Lowest Severity To Fetch	Optional La gravità minima degli avvisi da recuperare.
Use whitelist as a blacklist	Optional Se selezionata, il connettore utilizza l'elenco dinamico come lista bloccata. Non selezionato per impostazione predefinita.
Proxy Server Address	Optional L'indirizzo del server proxy da utilizzare.
Proxy Username	Optional Il nome utente del proxy con cui eseguire l'autenticazione.
Proxy Password	Optional La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Le seguenti regole definiscono la logica operativa, il comportamento di trattamento dati e i meccanismi di sicurezza del connettore.

• Proxy: il connettore supporta i proxy.

• Creazione di eventi: se un avviso contiene una chiave data/messages (un elenco di oggetti JSON), il connettore crea un evento separato per ogni oggetto nell'elenco.

• Timeout di sicurezza: se il connettore raggiunge il 90% del timeout di esecuzione (in base a PythonProcessTimeout), si arresta e non crea un nuovo avviso per l'iterazione per impedire l'importazione parziale dei dati.

• Gestione dei watermark: il connettore monitora gli avvisi elaborati utilizzando alertId. Memorizza fino a 1000 ID in ids.json. Quando il limite viene superato, vengono rimossi i 100 ID meno recenti.

JSON dell'evento di esempio

L'esempio JSON seguente rappresenta la struttura di risposta tipica dell'API Google Alert Center, che illustra i campi di dati specifici disponibili per l'importazione.

{
    "customerId": "038judqw",
    "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
    "createTime": "2020-07-22T11:50:08.353Z",
    "startTime": "2020-07-22T10:54:54.059475Z",
    "endTime": "2020-07-22T11:46:51.020063Z",
    "type": "User reported phishing",
    "source": "Gmail phishing",
    "data": {
        "@type": "[type.googleapis.com/google.apps.alertcenter.type.MailPhishing](https://type.googleapis.com/google.apps.alertcenter.type.MailPhishing)",
        "domainId": {
            "customerPrimaryDomain": "smplylab.com"
        },
        "maliciousEntity": {
            "fromHeader": "[e-mail]"
        },
        "messages": [
            {
                "messageId": "[e-mail]",
                "messageBodySnippet": " eicar com http malware wicar org data ms14_064_ole_not_xp html",
                "md5HashSubject": "c93d4454877e844fdfcb4401472204f2",
                "subjectText": "Re: App Store - Support.      17/07/2020 12:50:36",
                "attachmentsSha256Hash": [
                    "77c2aed70c3b20c50dbf071f8688580e02463c213e7a65ccab1acc2f8a9769a3",
                    "f5e1b1bf12b71c54f68a719e0c45df5806a8b8d57bf3967d9bd4a071cfc5abbe"
                ],
                "recipient": "[e-mail]",
                "date": "2020-07-22T10:54:54.059475Z"
            }
        ]
    },
    "securityInvestigationToolLink": "[admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE](https://admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE)",
    "metadata": {
        "customerId": "038judqw",
        "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
        "status": "NOT_STARTED",
        "updateTime": "2020-07-22T11:50:08.353Z",
        "severity": "HIGH",
        "etag": "rrXycg7VpUA="
    },
    "updateTime": "2020-07-22T11:50:08.353Z",
    "etag": "rrXycg7VpUA="
}

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.