Google Cloud Storage

Questo documento fornisce indicazioni su come integrare Cloud Storage con il modulo SOAR di Google Security Operations.

Versione integrazione: 9.0

Questa integrazione utilizza uno o più componenti open source. Puoi scaricare una copia del codice sorgente di questa integrazione da un bucket Cloud Storage.

Casi d'uso

Nella piattaforma SOAR di Google SecOps, l'integrazione di Google Cloud Storage risolve i seguenti casi d'uso:

  • Archiviazione delle prove degli incidenti: i playbook possono raccogliere e archiviare automaticamente prove relative agli incidenti, come log e campioni di malware, nei bucket Cloud Storage per fornire un repository a prova di manomissione per la conservazione delle prove.

  • Condivisione di informazioni sulle minacce:il tuo team di sicurezza può utilizzare Cloud Storage per condividere in modo sicuro feed di informazioni sulle minacce, come elenchi di indirizzi IP e domini dannosi, con altri team o organizzazioni. La condivisione dei feed consente una difesa collaborativa dalle minacce e tempi di risposta più rapidi.

  • Integrazione della sandbox di analisi del malware: i playbook possono inviare automaticamente i file sospetti di un incidente a una sandbox di analisi del malware basata sul cloud. Puoi archiviare i risultati dell'analisi in Cloud Storage per la revisione e ulteriori azioni per fornire un'analisi del malware efficiente e scalabile.

  • Backup della configurazione di sicurezza: utilizza le funzionalità SOAR di Google SecOps per automatizzare i backup regolari delle configurazioni di sicurezza critiche, come le regole firewall e le firme del sistema di rilevamento delle intrusioni in Cloud Storage. L'automazione dei backup garantisce la continuità operativa e un ripristino più rapido in caso di modifiche accidentali o dannose.

  • Archiviazione degli artefatti della campagna di phishing: utilizza le funzionalità SOAR di Google SecOps per archiviare email di phishing, allegati e altri artefatti in Cloud Storage durante l'analisi di una campagna di phishing. L'archiviazione degli artefatti consente l'analisi e la conservazione centralizzate delle prove per potenziali azioni legali.

Prima di iniziare

Per utilizzare l'integrazione, devi disporre di un account di servizio Google Cloud . Puoi utilizzare unaccount di serviziot esistente o crearne uno nuovo.

Crea un account di servizio

  1. Per indicazioni sulla creazione di un account di servizio, vedi Creare service account.

  2. In Concedi a questo account di servizio l'accesso al progetto, concedi al tuo service account il seguente ruolo:

    • Storage Admin

  3. Se non esegui carichi di lavoro su Google Cloud, devi creare una chiave dell'account di servizio in JSON dopo aver creato un account di servizio. Se non utilizzi un indirizzo email Workload Identity Federation for GKE, devi fornire i contenuti del file JSON scaricato durante la configurazione dei parametri di integrazione.

    Per motivi di sicurezza, ti consigliamo di utilizzare gli indirizzi email della federazione delle identità per i workload per GKE anziché le chiavi JSON dei account di servizio. Per saperne di più sulle identità dei workload, consulta Identità per i workload.

Integrare Cloud Storage con Google SecOps

L'integrazione richiede i seguenti parametri:

Parametri Descrizione
Service Account Optional

Il contenuto del file JSON della chiave dell'account di servizio.

Puoi configurare questo parametro o il parametro Workload Identity Email.

Per configurare questo parametro, fornisci l'intero contenuto del file JSON dell'account di servizio che hai scaricato durante la creazione di un account di servizio.

Workload Identity Email Optional

L'indirizzo email client del tuo account di servizio.

Puoi configurare questo parametro o il parametro Service Account.

Per rappresentare service account con l'indirizzo email di Workload Identity Federation for GKE, concedi il ruolo Service Account Token Creator al tuo account di servizio. Per maggiori dettagli sulle identità dei workload e su come utilizzarle, consulta Identità per i workload.
Project ID Optional

L'ID progetto da utilizzare per l'integrazione di Cloud Storage. Se non imposti alcun valore per questo parametro, l'ID progetto viene recuperato dal contenuto del file JSON fornito nel parametro Service Account.
Quota Project ID Optional

L'ID progetto Google Cloud che utilizzi per le API e la fatturazione. Google Cloud Questo parametro richiede che tu conceda il ruolo Service Usage Consumer al tuo account di servizio.

Se non imposti alcun valore per questo parametro, l'ID progetto viene recuperato dal contenuto del file JSON fornito nel parametro Service Account.

Per istruzioni dettagliate sulla configurazione di un'integrazione in Google SecOps, vedi Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più sulla configurazione e sul supporto di più istanze, consulta Supporto di più istanze.

Azioni

Per le azioni che funzionano con gli elenchi di controllo dell'accesso (ACL), puoi specificare l'accesso e applicare le autorizzazioni sia per il bucket che per il singolo oggetto. Per ulteriori informazioni, consulta Elenchi di controllo dell'accesso (ACL).

Scaricare un oggetto da un bucket

Utilizza questa azione per scaricare un oggetto (file) specifico da un bucket Cloud Storage.

Questa azione non viene eseguita sulle entità.

Input azione

L'azione Scarica un oggetto da un bucket richiede i seguenti parametri:

Parametri Descrizione
Bucket Name Obbligatorio

Il nome del bucket Cloud Storage contenente l'oggetto da scaricare.

Object Name Obbligatorio

Il nome completo dell'oggetto da scaricare.

Se l'oggetto si trova all'interno di una cartella nel bucket, includi il percorso della cartella, ad esempio folderA/mydocument.pdf.
Download Path Obbligatorio

Il percorso assoluto dell'oggetto scaricato che porta a una directory esistente, ad esempio, /tmp/downloads/.

Output dell'azione

L'azione Scarica un oggetto da un bucket fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Scarica un oggetto da un bucket:

{
"object_name": "123.txt"
"download_path": "/usr/bin/share/download.txt"
}
Messaggi di output

In una bacheca richieste, l'azione Scarica un oggetto da un bucket fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

OBJECT_NAME successfully downloaded to DESTINATION_PATH.

Action wasn't able to download OBJECT_NAME. Reason: Bucket BUCKET_NAME not found.

Action wasn't able to download OBJECT_NAME. Reason: No such object.

 Azione riuscita.
Error executing action "Download an Object From a Bucket". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella descrive i valori per l'output del risultato dello script quando utilizzi l'azione Scarica un oggetto da un bucket:

Nome del risultato dello script Valore
is_success True o False

Recuperare l'elenco di controllo dell'accesso di un bucket

Utilizza l'azione Recupera elenco di controllo dell'accesso di un bucket per recuperare e visualizzare gli ACL per i bucket Cloud Storage specificati.

Questa azione non viene eseguita sulle entità.

Input azione

L'azione Recupera elenco di controllo dell'accesso di un bucket richiede i seguenti parametri:

Parametri Descrizione
Bucket Name Obbligatorio

Il nome del bucket Cloud Storage per cui vuoi recuperare l'elenco di controllo degli accessi. Per recuperare gli ACL per più bucket, inserisci i nomi dei bucket come stringa separata da virgole, ad esempio bucket1,bucket2,bucket3.

Output dell'azione

L'azione Recupera elenco di controllo dell'accesso di un bucket fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON
[
  {"BucketName": "ziv",
   "BucketACLs": [
                  {"Entity": "project-owners-ID",
                   "Role": "OWNER"}
                 ]
  }
]
Messaggi di output

In una bacheca richieste, l'azione Get a Bucket's Access Control List (Ottieni l'elenco di controllo dell'accesso di un bucket) fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully retrieved the access control list (ACL) for the Cloud Storage buckets BUCKET_NAMES

Action wasn't able to return the access control list(ACL) for the Cloud Storage buckets BUCKET_NAMES. Reason: Cannot get legacy ACL for a bucket that has uniform bucket-level access. Read more at https://cloud.google.com/storage/docs/uniform-bucket-level-access

Action wasn't able to return the access control list(ACL) for the Cloud Storage buckets BUCKET_NAMES.

 Azione riuscita.
Error executing action "Get a Bucket's Access Control List". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando utilizzi l'azione Recupera elenco di controllo degli accessi di un bucket:

Nome del risultato dello script Valore
is_success True o False

Elenco degli oggetti bucket

Utilizza l'azione Elenca oggetti bucket per elencare gli oggetti archiviati nel bucket Cloud Storage.

Questa azione non viene eseguita sulle entità.

Input azione

L'azione Elenca oggetti bucket richiede i seguenti parametri:

Parametri Descrizione
Bucket Name Obbligatorio

Il nome del bucket da cui recuperare gli oggetti.
Max Objects to Return Optional

Il numero di oggetti da restituire.

Per impostazione predefinita, l'azione restituisce 50 oggetti per ogni esecuzione.
Retrieves the Access Control List of an object Optional

Se selezionata, l'azione recupera l'ACL dell'oggetto.

Non selezionato per impostazione predefinita.

Output dell'azione

L'azione Elenca oggetti bucket fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Gli esempi seguenti descrivono gli output dei risultati JSON ricevuti quando si utilizza l'azione Elenca oggetti bucket:

  • Se il parametro Retrieves the Access Control List of an object non è selezionato:

    {
    "Objects": [
        {
            "ObjectName": "test.txt",
        "Bucket":
        "ContentType":
            "TimeCreated": " ",
            "TimeUpdated": " ",
            "Size": 18,
            "MD5": "7CjVfQ+Oz/C0pI08IKRdvQ==",
            "Owner": "",
            "CR32c": "RQEqxA==",
            "id": "siemplify-tip/test.txt/1604926667310271"
        }
    ]
}

  • Se è selezionato il parametro Retrieves the Access Control List of an object:

    {
    "Objects": [
        {
            "ObjectName": "test.txt",
        "Bucket": "BUCKET_NAME",
        "ContentType": "text/plain"
            "TimeCreated": " ",
            "TimeUpdated": " ",
            "Size": 18,
            "MD5": "7CjVfQ+Oz/C0pI08IKRdvQ==",
            "Owner": "",
            "CR32c": "RQEqxA==",
            "id": "BUCKET_NAME/test.txt/1604926667310271",
            "ObjectACL": [
                {
                    "entity": "user@example.com",
                    "role": "OWNER"
                }]
        },
    ]
}
Messaggi di output

In una bacheca delle richieste, l'azione Elenca oggetti bucket fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully returned objects of the BUCKET_NAME bucket in Google Cloud Storage.

Action wasn't able to return objects of the BUCKET_NAME bucket in Google Cloud Storage.

 Azione riuscita.
Error executing action "List Bucket Objects". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca oggetti bucket:

Nome del risultato dello script Valore
is_success True o False

Elenco bucket

Utilizza l'azione Elenca bucket per recuperare un elenco di bucket da Cloud Storage.

Questa azione non viene eseguita sulle entità.

Input azione

L'azione Elenca bucket richiede i seguenti parametri:

Parametri Descrizione
Max Results Optional

Il numero massimo di bucket da restituire.

Per impostazione predefinita, l'azione restituisce 50 bucket.

Output dell'azione

L'azione Elenca bucket fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio descrive l'output del risultato JSON ricevuto quando si utilizza l'azione List Buckets:

{
    "Buckets": [
        {
            "CreationDate": "2020-11-09T12:57:03.981Z",
            "ModificationDate": "2020-11-09T12:57:03.981Z",
            "Name": "testexample",
            "Owner": "testexample"
        }]
}
Messaggi di output

In una bacheca richieste, l'azione Elenca bucket fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully listed available buckets in Google Cloud Storage.

Action wasn't able to list available buckets in Google Cloud Storage.

Azione riuscita.
Error executing action "List Buckets". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca bucket:

Nome del risultato dello script Valore
is_success True o False

Dindin

Utilizza l'azione Ping per testare la connettività a Cloud Storage.

Questa azione non viene eseguita sulle entità.

Input azione

Nessuno.

Output dell'azione

L'azione fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

In una bacheca richieste, l'azione Ping fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully connected to the Google Cloud Storage server with the provided connection parameters! Azione riuscita.
Failed to connect to the Google Cloud Storage server! Error is ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella descrive i valori dell'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script Valore
is_success True o False

Rimuovi l'accesso pubblico dal bucket

Utilizza l'azione Rimuovi accesso pubblico dal bucket per rimuovere l'accesso pubblico dal bucket Cloud Storage.

Questa azione richiede che tu conceda il ruolo Storage Admin al account di servizio che utilizzi nell'integrazione.

Questa azione non viene eseguita sulle entità.

Input azione

L'azione Rimuovi accesso pubblico dal bucket richiede i seguenti parametri:

Parametri Descrizione
Resource Name Obbligatorio

Il nome della risorsa del bucket.
Prevent Public Access From Bucket Obbligatorio

Se selezionata, l'azione configura il bucket in modo da impedire l'accesso pubblico.

Output dell'azione

L'azione Rimuovi accesso pubblico dal bucket fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

In una bacheca casi, l'azione Rimuovi l'accesso pubblico dal bucket fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully removed public access from bucket using Google Cloud Storage: RESOURCE_NAME Azione riuscita.
Error executing action "Remove Public Access From Bucket". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori dell'output del risultato dello script quando si utilizza l'azione Rimuovi accesso pubblico dal bucket:

Nome del risultato dello script Valore
is_success True o False

Aggiorna una voce ACL nel bucket

Utilizza l'azione Aggiorna una voce ACL nel bucket per aggiornare una voce ACL nel bucket Cloud Storage specificato.

Input azione

L'azione Aggiorna una voce ACL sul bucket richiede i seguenti parametri:

Parametri Descrizione
Bucket Name Obbligatorio

Il nome del bucket per cui modificare la ACL.
Entity Obbligatorio

L'entità che detiene l'autorizzazione.

I valori possibili sono:

  • user-userId
  • user-emailAddress
  • group-groupId
  • group-emailAddress
  • allUsers
  • allAuthenticatedUsers

Per saperne di più sulle entità, consulta Rappresentazioni delle risorse.
Role Obbligatorio

L'autorizzazione di accesso richiesta per l'entità.

I valori possibili sono:

  • OWNER
  • READER
  • WRITER

Output dell'azione

L'azione Aggiorna una voce ACL sul bucket fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

In una bacheca richieste, l'azione Aggiorna una voce ACL nel bucket fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Reason: OWNERs are WRITERs.

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Reason: OWNERs are WRITERs.

 Azione riuscita. Il ruolo esistente non corrisponde al valore parametro Role. Controlla il valore parametro Role.
Successfully updated ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Azione riuscita.

Error executing action "Update an ACL entry on Bucket". Reason: Entity ENTITY does not exist in the ACL of bucket BUCKET_NAME.

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. The entity holding the permission can be user-userId, user-emailAddress, group-groupId, group-emailAddress, allUsers, or allAuthenticatedUsers.

Error executing action "Update an ACL entry on Bucket". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella descrive i valori per l'output del risultato dello script quando si utilizza l'azione Aggiorna una voce ACL nel bucket:

Nome del risultato dello script Valore
is_success True o False

Caricare un oggetto in un bucket

Utilizza l'azione Carica un oggetto in un bucket per caricare un oggetto nel bucket Cloud Storage.

Questa azione non viene eseguita sulle entità.

Input azione

L'azione Carica un oggetto in un bucket richiede i seguenti parametri:

Parametri Descrizione
Bucket Name Obbligatorio

Il nome del bucket in cui caricare un oggetto.
Source File Path Obbligatorio

Il percorso assoluto del file da caricare, ad esempio /local/path/to/filename.
Object Name Obbligatorio

Il nome dell'oggetto caricato nel bucket.

Output dell'azione

L'azione Carica un oggetto in un bucket fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON
{
   "object_id":"BUCKET_NAME/errorlog.txt/1610616919132517",
   "Object_name":"errorlog.txt",
   "md5_hash":"PTdL8D6pBwIKyMfIXR/H9A==",
   "object_path":"/b/BUCKET_NAME/o/errorlog.txt"
}
Messaggi di output

In una bacheca richieste, l'azione Carica un oggetto in un bucket fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully uploaded SOURCE_PATH to bucket: BUCKET_NAME.

Action wasn't able to upload SOURCE_PATH to Google Cloud Storage. Reason:No such file or directory: SOURCE_PATH.

Azione riuscita.
Error executing action "Upload an Object To a Bucket". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Carica un oggetto in un bucket:

Nome del risultato dello script Valore
is_success True o False

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.