Google Cloud Storage

En este documento, se proporciona orientación para integrar Cloud Storage con el módulo SOAR de Google Security Operations.

Versión de integración: 9.0

Esta integración usa uno o más componentes de código abierto. Puedes descargar una copia del código fuente de esta integración desde un bucket de Cloud Storage.

Casos de uso

En la plataforma SOAR de Google SecOps, la integración de Google Cloud Storage resuelve los siguientes casos de uso:

  • Almacenamiento de evidencia de incidentes: Los playbooks pueden recopilar y almacenar automáticamente evidencia relacionada con incidentes, como registros y muestras de software malicioso, en buckets de Cloud Storage para proporcionar un repositorio a prueba de manipulaciones para la conservación de la evidencia.

  • Compartir información sobre amenazas: Tu equipo de seguridad puede usar Cloud Storage para compartir de forma segura feeds de información sobre amenazas, como listas de direcciones IP y dominios maliciosos, con otros equipos u organizaciones. El uso compartido de feeds permite la defensa colaborativa contra amenazas y tiempos de respuesta más rápidos.

  • Integración de zona de pruebas de análisis de software malicioso: Las guías pueden enviar automáticamente archivos sospechosos de un incidente a una zona de pruebas de análisis de software malicioso basada en la nube. Puedes almacenar los resultados del análisis en Cloud Storage para su revisión y para tomar medidas adicionales que permitan realizar un análisis de malware eficiente y escalable.

  • Copia de seguridad de la configuración de seguridad: Usa las capacidades de SOAR de Google SecOps para automatizar copias de seguridad periódicas de configuraciones de seguridad críticas, como reglas de firewall y firmas del sistema de detección de intrusiones en Cloud Storage. La automatización de las copias de seguridad proporciona continuidad empresarial y una recuperación más rápida en caso de cambios accidentales o maliciosos.

  • Almacenamiento de artefactos de campañas de phishing: Usa las capacidades de SOAR de Google SecOps para almacenar correos electrónicos, archivos adjuntos y otros artefactos de phishing en Cloud Storage mientras investigas una campaña de phishing. El almacenamiento de artefactos permite el análisis centralizado y la conservación de evidencia para posibles acciones legales.

Antes de comenzar

Para usar la integración, necesitas una cuenta de servicio de Google Cloud . Puedes usar una cuenta de servicio existente o crear una nueva.

Crea una cuenta de servicio

  1. Para obtener orientación sobre cómo crear una cuenta de servicio, consulta Crea cuentas de servicio.

  2. En Otorga a esta cuenta de servicio acceso al proyecto, otorga a tu cuenta de servicio el siguiente rol:

    • Storage Admin

  3. Si no ejecutas cargas de trabajo en Google Cloud, debes crear una clave de cuenta de servicio en JSON después de crear una cuenta de servicio. Si no usas un correo electrónico de Workload Identity Federation for GKE, debes proporcionar el contenido del archivo JSON descargado cuando configures los parámetros de integración.

    Por motivos de seguridad, te recomendamos que uses las direcciones de correo electrónico de Workload Identity Federation for GKE en lugar de las claves JSON de las cuentas de servicio. Para obtener más información sobre las identidades para cargas de trabajo, consulta Identidades para cargas de trabajo.

Integra Cloud Storage con Google SecOps

La integración requiere los siguientes parámetros:

Parámetros Descripción
Service Account Optional

Es el contenido del archivo JSON de la clave de la cuenta de servicio.

Puedes configurar este parámetro o el parámetro Workload Identity Email.

Para configurar este parámetro, proporciona el contenido completo del archivo JSON de la cuenta de servicio que descargaste cuando creaste una cuenta de servicio.

Workload Identity Email Optional

Es la dirección de correo electrónico del cliente de tu cuenta de servicio.

Puedes configurar este parámetro o el parámetro Service Account.

Para actuar en nombre de cuentas de servicio con la dirección de correo electrónico de Workload Identity Federation for GKE, otorga el rol Service Account Token Creator a tu cuenta de servicio. Para obtener más detalles sobre las identidades de cargas de trabajo y cómo trabajar con ellas, consulta Identidades para cargas de trabajo.
Project ID Optional

Es el ID del proyecto que se usará para la integración de Cloud Storage. Si no estableces ningún valor para este parámetro, el ID del proyecto se recupera del contenido del archivo JSON proporcionado en el parámetro Service Account.
Quota Project ID Optional

El ID del proyecto Google Cloud que usas para las APIs y la facturación. Google Cloud Este parámetro requiere que otorgues el rol Service Usage Consumer a tu cuenta de servicio.

Si no estableces ningún valor para este parámetro, el ID del proyecto se recupera del contenido del archivo JSON proporcionado en el parámetro Service Account.

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Compatibilidad con varias instancias.

Acciones

En el caso de las acciones que funcionan con listas de control de acceso (LCA), puedes especificar el acceso y aplicar permisos tanto para el bucket como para el objeto individual. Para obtener más información, consulta Listas de control de acceso (LCA).

Descarga un objeto de un bucket

Usa esta acción para descargar un objeto (archivo) específico de un bucket de Cloud Storage.

Esta acción no se ejecuta en entidades.

Entradas de acción

La acción Download an Object From a Bucket requiere los siguientes parámetros:

Parámetros Descripción
Bucket Name Obligatorio

Nombre del bucket de Cloud Storage que contiene el objeto que se descargará.

Object Name Obligatorio

Nombre completo del objeto que se descargará.

Si el objeto se encuentra dentro de una carpeta del bucket, incluye la ruta de la carpeta, como folderA/mydocument.pdf.
Download Path Obligatorio

Es la ruta de acceso absoluta del objeto descargado que conduce a un directorio existente, por ejemplo, /tmp/downloads/.

Resultados de la acción

La acción Download an Object From a Bucket proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Download an Object From a Bucket:

{
"object_name": "123.txt"
"download_path": "/usr/bin/share/download.txt"
}
Mensajes de salida

En un muro de casos, la acción Download an Object From a Bucket proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

OBJECT_NAME successfully downloaded to DESTINATION_PATH.

Action wasn't able to download OBJECT_NAME. Reason: Bucket BUCKET_NAME not found.

Action wasn't able to download OBJECT_NAME. Reason: No such object.

 La acción se completó correctamente.
Error executing action "Download an Object From a Bucket". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Download an Object From a Bucket:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Obtén la lista de control de acceso de un bucket

Usa la acción Get a Bucket's Access Control List para recuperar y mostrar las LCA de los buckets de Cloud Storage especificados.

Esta acción no se ejecuta en entidades.

Entradas de acción

La acción Get a Bucket's Access Control List requiere los siguientes parámetros:

Parámetros Descripción
Bucket Name Obligatorio

Es el nombre del bucket de Cloud Storage para el que deseas recuperar la LCA. Para recuperar las ACL de varios buckets, ingresa los nombres de bucket como una cadena separada por comas, como bucket1,bucket2,bucket3.

Resultados de la acción

La acción Get a Bucket's Access Control List proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON
[
  {"BucketName": "ziv",
   "BucketACLs": [
                  {"Entity": "project-owners-ID",
                   "Role": "OWNER"}
                 ]
  }
]
Mensajes de salida

En un panel de casos, la acción Get a Bucket's Access Control List proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully retrieved the access control list (ACL) for the Cloud Storage buckets BUCKET_NAMES

Action wasn't able to return the access control list(ACL) for the Cloud Storage buckets BUCKET_NAMES. Reason: Cannot get legacy ACL for a bucket that has uniform bucket-level access. Read more at https://cloud.google.com/storage/docs/uniform-bucket-level-access

Action wasn't able to return the access control list(ACL) for the Cloud Storage buckets BUCKET_NAMES.

 La acción se completó correctamente.
Error executing action "Get a Bucket's Access Control List". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Get a Bucket's Access Control List:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Enumera los objetos del bucket

Usa la acción List Bucket Objects para enumerar los objetos almacenados en el bucket de Cloud Storage.

Esta acción no se ejecuta en entidades.

Entradas de acción

La acción List Bucket Objects requiere los siguientes parámetros:

Parámetros Descripción
Bucket Name Obligatorio

Nombre del bucket del que se recuperarán los objetos.
Max Objects to Return Optional

Es la cantidad de objetos que se devolverán.

De forma predeterminada, la acción devuelve 50 objetos por cada ejecución.
Retrieves the Access Control List of an object Optional

Si se selecciona, la acción recupera la LCA del objeto.

No está seleccionada de forma predeterminada.

Resultados de la acción

La acción List Bucket Objects proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En los siguientes ejemplos, se describen los resultados JSON que se reciben cuando se usa la acción List Bucket Objects:

  • Si no se selecciona el parámetro Retrieves the Access Control List of an object, sucede lo siguiente:

    {
    "Objects": [
        {
            "ObjectName": "test.txt",
        "Bucket":
        "ContentType":
            "TimeCreated": " ",
            "TimeUpdated": " ",
            "Size": 18,
            "MD5": "7CjVfQ+Oz/C0pI08IKRdvQ==",
            "Owner": "",
            "CR32c": "RQEqxA==",
            "id": "siemplify-tip/test.txt/1604926667310271"
        }
    ]
}

  • Si se selecciona el parámetro Retrieves the Access Control List of an object, haz lo siguiente:

    {
    "Objects": [
        {
            "ObjectName": "test.txt",
        "Bucket": "BUCKET_NAME",
        "ContentType": "text/plain"
            "TimeCreated": " ",
            "TimeUpdated": " ",
            "Size": 18,
            "MD5": "7CjVfQ+Oz/C0pI08IKRdvQ==",
            "Owner": "",
            "CR32c": "RQEqxA==",
            "id": "BUCKET_NAME/test.txt/1604926667310271",
            "ObjectACL": [
                {
                    "entity": "user@example.com",
                    "role": "OWNER"
                }]
        },
    ]
}
Mensajes de salida

En un muro de casos, la acción List Bucket Objects proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully returned objects of the BUCKET_NAME bucket in Google Cloud Storage.

Action wasn't able to return objects of the BUCKET_NAME bucket in Google Cloud Storage.

 La acción se completó correctamente.
Error executing action "List Bucket Objects". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Bucket Objects:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

List Buckets

Usa la acción List Buckets para recuperar una lista de buckets de Cloud Storage.

Esta acción no se ejecuta en entidades.

Entradas de acción

La acción List Buckets requiere los siguientes parámetros:

Parámetros Descripción
Max Results Optional

Es la cantidad máxima de buckets que se devolverán.

De forma predeterminada, la acción devuelve 50 buckets.

Resultados de la acción

La acción List Buckets proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción List Buckets:

{
    "Buckets": [
        {
            "CreationDate": "2020-11-09T12:57:03.981Z",
            "ModificationDate": "2020-11-09T12:57:03.981Z",
            "Name": "testexample",
            "Owner": "testexample"
        }]
}
Mensajes de salida

En un muro de casos, la acción List Buckets proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully listed available buckets in Google Cloud Storage.

Action wasn't able to list available buckets in Google Cloud Storage.

La acción se completó correctamente.
Error executing action "List Buckets". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Buckets:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Ping

Usa la acción Ping para probar la conectividad a Cloud Storage.

Esta acción no se ejecuta en entidades.

Entradas de acción

Ninguno

Resultados de la acción

La acción proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

En un muro de casos, la acción Ping proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully connected to the Google Cloud Storage server with the provided connection parameters! La acción se completó correctamente.
Failed to connect to the Google Cloud Storage server! Error is ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Quita el acceso público del bucket

Usa la acción Remove Public Access From Bucket para quitar el acceso público del bucket de Cloud Storage.

Esta acción requiere que otorgues el rol Storage Admin a la cuenta de servicio que usas en la integración.

Esta acción no se ejecuta en entidades.

Entradas de acción

La acción Remove Public Access From Bucket requiere los siguientes parámetros:

Parámetros Descripción
Resource Name Obligatorio

Es el nombre del recurso del bucket.
Prevent Public Access From Bucket Obligatorio

Si se selecciona, la acción configura el bucket para evitar el posible acceso público.

Resultados de la acción

La acción Remove Public Access From Bucket proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

En un muro de casos, la acción Remove Public Access From Bucket proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully removed public access from bucket using Google Cloud Storage: RESOURCE_NAME La acción se completó correctamente.
Error executing action "Remove Public Access From Bucket". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado del script cuando se usa la acción Remove Public Access From Bucket:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Actualiza una entrada de LCA en el bucket

Usa la acción Update an ACL entry on Bucket para actualizar una entrada de LCA en el bucket de Cloud Storage especificado.

Entradas de acción

La acción Update an ACL entry on Bucket requiere los siguientes parámetros:

Parámetros Descripción
Bucket Name Obligatorio

Es el nombre del bucket cuya LCA se modificará.
Entity Obligatorio

Es la entidad que tiene el permiso.

Los valores posibles son los siguientes:

  • user-userId
  • user-emailAddress
  • group-groupId
  • group-emailAddress
  • allUsers
  • allAuthenticatedUsers

Para obtener más información sobre las entidades, consulta Representaciones de recursos.
Role Obligatorio

Es el permiso de acceso que se requiere para la entidad.

Los valores posibles son los siguientes:

  • OWNER
  • READER
  • WRITER

Resultados de la acción

La acción Update an ACL entry on Bucket proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

En un muro de casos, la acción Update an ACL entry on Bucket proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Reason: OWNERs are WRITERs.

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Reason: OWNERs are WRITERs.

 La acción se completó correctamente. El rol existente no coincide con el valor del parámetro Role. Verifica el valor del parámetro Role.
Successfully updated ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. La acción se completó correctamente.

Error executing action "Update an ACL entry on Bucket". Reason: Entity ENTITY does not exist in the ACL of bucket BUCKET_NAME.

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. The entity holding the permission can be user-userId, user-emailAddress, group-groupId, group-emailAddress, allUsers, or allAuthenticatedUsers.

Error executing action "Update an ACL entry on Bucket". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado del script cuando se usa la acción Update an ACL entry on Bucket:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Sube un objeto a un bucket

Usa la acción Upload an Object To a Bucket para subir un objeto al bucket de Cloud Storage.

Esta acción no se ejecuta en entidades.

Entradas de acción

La acción Upload an Object To a Bucket requiere los siguientes parámetros:

Parámetros Descripción
Bucket Name Obligatorio

Nombre del bucket al que se subirá un objeto.
Source File Path Obligatorio

Ruta de acceso absoluta al archivo que se subirá, como /local/path/to/filename.
Object Name Obligatorio

Es el nombre del objeto subido en el bucket.

Resultados de la acción

La acción Upload an Object To a Bucket proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON
{
   "object_id":"BUCKET_NAME/errorlog.txt/1610616919132517",
   "Object_name":"errorlog.txt",
   "md5_hash":"PTdL8D6pBwIKyMfIXR/H9A==",
   "object_path":"/b/BUCKET_NAME/o/errorlog.txt"
}
Mensajes de salida

En un muro de casos, la acción Upload an Object To a Bucket proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully uploaded SOURCE_PATH to bucket: BUCKET_NAME.

Action wasn't able to upload SOURCE_PATH to Google Cloud Storage. Reason:No such file or directory: SOURCE_PATH.

La acción se completó correctamente.
Error executing action "Upload an Object To a Bucket". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Upload an Object To a Bucket:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.