Google Cloud Storage

Este documento fornece orientações sobre como integrar o Cloud Storage com o módulo SOAR do Google Security Operations.

Versão da integração: 9.0

Esta integração usa um ou mais componentes de código aberto. Pode transferir uma cópia do código-fonte desta integração a partir de um contentor do Cloud Storage.

Exemplos de utilização

Na plataforma SOAR do Google SecOps, a integração do Google Cloud Storage resolve os seguintes exemplos de utilização:

  • Armazenamento de provas de incidentes: os guias interativos podem recolher e armazenar automaticamente provas relacionadas com incidentes, como registos e amostras de software malicioso, em contentores do Cloud Storage para fornecer um repositório inviolável para a preservação de provas.

  • Partilha de informações sobre ameaças: a sua equipa de segurança pode usar o Cloud Storage para partilhar em segurança feeds de informações sobre ameaças, como listas de endereços IP e domínios maliciosos, com outras equipas ou organizações. A partilha de feeds permite uma defesa contra ameaças colaborativa e tempos de resposta mais rápidos.

  • Integração do sandbox de análise de software malicioso: os playbooks podem enviar automaticamente ficheiros suspeitos de um incidente para um sandbox de análise de software malicioso baseado na nuvem. Pode armazenar os resultados da análise no Cloud Storage para revisão e ação adicional, de modo a fornecer uma análise de software malicioso eficiente e escalável.

  • Cópia de segurança da configuração de segurança: use as capacidades de SOAR do Google SecOps para automatizar cópias de segurança regulares de configurações de segurança críticas, como regras de firewall e assinaturas do sistema de deteção de intrusões, para o Cloud Storage. A automatização das cópias de segurança garante a continuidade da empresa e uma recuperação mais rápida em caso de alterações acidentais ou maliciosas.

  • Armazenamento de artefactos de campanhas de phishing: use as capacidades de SOAR do Google SecOps para armazenar emails de phishing, anexos e outros artefactos no Cloud Storage enquanto investiga uma campanha de phishing. O armazenamento de artefactos permite a análise centralizada e a preservação de provas para uma potencial ação legal.

Antes de começar

Para usar a integração, precisa de uma Google Cloud conta de serviço. Pode usar uma conta de serviço existente ou criar uma nova.

Criar uma conta de serviço

  1. Para orientações sobre como criar uma conta de serviço, consulte o artigo Criar contas de serviço.

  2. Em Conceda a esta conta de serviço acesso ao projeto, conceda à sua conta de serviço a seguinte função:

    • Storage Admin

  3. Se não executar cargas de trabalho no Google Cloud, tem de criar uma chave de conta de serviço em JSON depois de criar uma conta de serviço. Se não usar uma Workload Identity Federation para o GKE, tem de fornecer o conteúdo do ficheiro JSON transferido quando configurar os parâmetros de integração.

    Por motivos de segurança, recomendamos que use a Workload Identity Federation para endereços de email do GKE em vez de chaves JSON de contas de serviço. Para mais informações sobre as identidades de cargas de trabalho, consulte o artigo Identidades para cargas de trabalho.

Integre o Cloud Storage com o Google SecOps

A integração requer os seguintes parâmetros:

Parâmetros Descrição
Service Account Opcional

O conteúdo do ficheiro JSON da chave da conta de serviço.

Pode configurar este parâmetro ou o parâmetro Workload Identity Email.

Para configurar este parâmetro, forneça o conteúdo completo do ficheiro JSON da conta de serviço que transferiu quando criou uma conta de serviço.

Workload Identity Email Opcional

O endereço de email do cliente da sua conta de serviço.

Pode configurar este parâmetro ou o parâmetro Service Account.

Para usar a identidade de contas de serviço com a federação de identidades da carga de trabalho para o endereço de email do GKE, conceda a função Service Account Token Creator à sua conta de serviço. Para mais detalhes sobre as identidades de cargas de trabalho e como trabalhar com elas, consulte Identidades para cargas de trabalho.
Project ID Opcional

O ID do projeto a usar para a integração do Cloud Storage. Se não definir nenhum valor para este parâmetro, o ID do projeto é obtido a partir do conteúdo do ficheiro JSON fornecido no parâmetro Service Account.
Quota Project ID Opcional

O Google Cloud ID do projeto que usa para Google Cloud APIs e faturação. Este parâmetro requer que conceda a função Service Usage Consumer à sua conta de serviço.

Se não definir nenhum valor para este parâmetro, o ID do projeto é obtido a partir do conteúdo do ficheiro JSON fornecido no parâmetro Service Account.

Para obter instruções detalhadas sobre a configuração de uma integração no Google SecOps, consulte o artigo Configure integrações.

Se necessário, pode fazer alterações numa fase posterior. Depois de configurar uma instância de integração, pode usá-la em manuais de soluções. Para mais informações sobre a configuração e o suporte de várias instâncias, consulte o artigo Suporte de várias instâncias.

Ações

Para ações que funcionam com listas de controlo de acesso (ACLs), pode especificar o acesso e aplicar autorizações para o contentor e o objeto individual. Para mais informações, consulte o artigo Listas de controlo de acesso (LCAs).

Transfira um objeto de um contentor

Use esta ação para transferir um objeto (ficheiro) específico de um contentor do Cloud Storage.

Esta ação não é executada em entidades.

Dados de ações

A ação Transferir um objeto de um contentor requer os seguintes parâmetros:

Parâmetros Descrição
Bucket Name Obrigatório

O nome do contentor do Cloud Storage que contém o objeto a transferir.

Object Name Obrigatório

O nome completo do objeto a transferir.

Se o objeto estiver localizado numa pasta no contentor, inclua o caminho da pasta, como folderA/mydocument.pdf.
Download Path Obrigatório

O caminho absoluto para o objeto transferido que conduz a um diretório existente, por exemplo, /tmp/downloads/.

Resultados da ação

A ação Transferir um objeto de um contentor fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte descreve a saída do resultado JSON recebida quando usa a ação Transferir um objeto de um contentor:

{
"object_name": "123.txt"
"download_path": "/usr/bin/share/download.txt"
}
Mensagens de saída

Numa Case Wall, a ação Transferir um objeto de um contentor fornece as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

OBJECT_NAME successfully downloaded to DESTINATION_PATH.

Action wasn't able to download OBJECT_NAME. Reason: Bucket BUCKET_NAME not found.

Action wasn't able to download OBJECT_NAME. Reason: No such object.

 Ação efetuada com êxito.
Error executing action "Download an Object From a Bucket". Reason: ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação Transferir um objeto de um contentor:

Nome do resultado do script Valor
is_success True ou False

Obtenha a lista de controlo de acesso de um contentor

Use a ação Get a Bucket's Access Control List para obter e apresentar ACLs para os contentores do Cloud Storage especificados.

Esta ação não é executada em entidades.

Dados de ações

A ação Get a Bucket's Access Control List requer os seguintes parâmetros:

Parâmetros Descrição
Bucket Name Obrigatório

O nome do contentor do Cloud Storage para o qual quer obter a ACL. Para obter as ACLs de vários contentores, introduza os nomes dos contentores como uma string separada por vírgulas, como bucket1,bucket2,bucket3.

Resultados da ação

A ação Get a Bucket's Access Control List (Obter lista de controlo de acesso de um contentor) fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON
[
  {"BucketName": "ziv",
   "BucketACLs": [
                  {"Entity": "project-owners-ID",
                   "Role": "OWNER"}
                 ]
  }
]
Mensagens de saída

Numa Case Wall, a ação Get a Bucket's Access Control List (Obter lista de controlo de acesso de um contentor) fornece as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully retrieved the access control list (ACL) for the Cloud Storage buckets BUCKET_NAMES

Action wasn't able to return the access control list(ACL) for the Cloud Storage buckets BUCKET_NAMES. Reason: Cannot get legacy ACL for a bucket that has uniform bucket-level access. Read more at https://cloud.google.com/storage/docs/uniform-bucket-level-access

Action wasn't able to return the access control list(ACL) for the Cloud Storage buckets BUCKET_NAMES.

 Ação efetuada com êxito.
Error executing action "Get a Bucket's Access Control List". Reason: ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação Get a Bucket's Access Control List:

Nome do resultado do script Valor
is_success True ou False

Listar objetos do contentor

Use a ação List Bucket Objects para listar os objetos armazenados no contentor do Cloud Storage.

Esta ação não é executada em entidades.

Dados de ações

A ação List Bucket Objects requer os seguintes parâmetros:

Parâmetros Descrição
Bucket Name Obrigatório

O nome do contentor a partir do qual os objetos devem ser obtidos.
Max Objects to Return Opcional

O número de objetos a devolver.

Por predefinição, a ação devolve 50 objetos para cada execução da ação.
Retrieves the Access Control List of an object Opcional

Se selecionada, a ação obtém a ACL do objeto.

Não selecionado por predefinição.

Resultados da ação

A ação List Bucket Objects (Listar objetos do contentor) fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

Os exemplos seguintes descrevem as saídas de resultados JSON recebidas quando usa a ação List Bucket Objects:

  • Se o parâmetro Retrieves the Access Control List of an object não estiver selecionado:

    {
    "Objects": [
        {
            "ObjectName": "test.txt",
        "Bucket":
        "ContentType":
            "TimeCreated": " ",
            "TimeUpdated": " ",
            "Size": 18,
            "MD5": "7CjVfQ+Oz/C0pI08IKRdvQ==",
            "Owner": "",
            "CR32c": "RQEqxA==",
            "id": "siemplify-tip/test.txt/1604926667310271"
        }
    ]
}

  • Se o parâmetro Retrieves the Access Control List of an object estiver selecionado:

    {
    "Objects": [
        {
            "ObjectName": "test.txt",
        "Bucket": "BUCKET_NAME",
        "ContentType": "text/plain"
            "TimeCreated": " ",
            "TimeUpdated": " ",
            "Size": 18,
            "MD5": "7CjVfQ+Oz/C0pI08IKRdvQ==",
            "Owner": "",
            "CR32c": "RQEqxA==",
            "id": "BUCKET_NAME/test.txt/1604926667310271",
            "ObjectACL": [
                {
                    "entity": "user@example.com",
                    "role": "OWNER"
                }]
        },
    ]
}
Mensagens de saída

Numa Case Wall, a ação List Bucket Objects fornece as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully returned objects of the BUCKET_NAME bucket in Google Cloud Storage.

Action wasn't able to return objects of the BUCKET_NAME bucket in Google Cloud Storage.

 Ação efetuada com êxito.
Error executing action "List Bucket Objects". Reason: ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação List Bucket Objects:

Nome do resultado do script Valor
is_success True ou False

Apresentar contentores

Use a ação List Buckets para obter uma lista de contentores do Cloud Storage.

Esta ação não é executada em entidades.

Dados de ações

A ação List Buckets requer os seguintes parâmetros:

Parâmetros Descrição
Max Results Opcional

O número máximo de contentores a devolver.

Por predefinição, a ação devolve 50 contentores.

Resultados da ação

A ação List Buckets fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo seguinte descreve o resultado JSON recebido quando usa a ação List Buckets:

{
    "Buckets": [
        {
            "CreationDate": "2020-11-09T12:57:03.981Z",
            "ModificationDate": "2020-11-09T12:57:03.981Z",
            "Name": "testexample",
            "Owner": "testexample"
        }]
}
Mensagens de saída

Num mural de registos, a ação List Buckets fornece as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully listed available buckets in Google Cloud Storage.

Action wasn't able to list available buckets in Google Cloud Storage.

Ação efetuada com êxito.
Error executing action "List Buckets". Reason: ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação List Buckets:

Nome do resultado do script Valor
is_success True ou False

Tchim-tchim

Use a ação Ping para testar a conetividade com o Cloud Storage.

Esta ação não é executada em entidades.

Dados de ações

Nenhum.

Resultados da ação

A ação fornece os seguintes resultados:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

Num mural de registos, a ação Ping apresenta as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully connected to the Google Cloud Storage server with the provided connection parameters! Ação efetuada com êxito.
Failed to connect to the Google Cloud Storage server! Error is ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Remova o acesso público do contentor

Use a ação Remover acesso público do contentor para remover o acesso público do contentor do Cloud Storage.

Esta ação requer que conceda a função Storage Admin à conta de serviço que usa na integração.

Esta ação não é executada em entidades.

Dados de ações

A ação Remove Public Access From Bucket requer os seguintes parâmetros:

Parâmetros Descrição
Resource Name Obrigatório

O nome do recurso do contentor.
Prevent Public Access From Bucket Obrigatório

Se selecionada, a ação configura o contentor para impedir o possível acesso público.

Resultados da ação

A ação Remove Public Access From Bucket fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

Numa Case Wall, a ação Remove Public Access From Bucket (Remover acesso público do contentor) apresenta as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem
Successfully removed public access from bucket using Google Cloud Storage: RESOURCE_NAME Ação efetuada com êxito.
Error executing action "Remove Public Access From Bucket". Reason: ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação Remove Public Access From Bucket:

Nome do resultado do script Valor
is_success True ou False

Atualize uma entrada da LCA no contentor

Use a ação Atualizar uma entrada da ACL no contentor para atualizar uma entrada da ACL no contentor do Cloud Storage especificado.

Dados de ações

A ação Update an ACL entry on Bucket requer os seguintes parâmetros:

Parâmetros Descrição
Bucket Name Obrigatório

O nome do contentor para o qual quer modificar a ACL.
Entity Obrigatório

A entidade que detém a autorização.

Os valores possíveis são os seguintes:

  • user-userId
  • user-emailAddress
  • group-groupId
  • group-emailAddress
  • allUsers
  • allAuthenticatedUsers

Para mais informações sobre entidades, consulte as Representações de recursos.
Role Obrigatório

A autorização de acesso necessária para a entidade.

Os valores possíveis são os seguintes:

  • OWNER
  • READER
  • WRITER

Resultados da ação

A ação Update an ACL entry on Bucket (Atualizar uma entrada da ACL no contentor) fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Não disponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

Numa Case Wall, a ação Update an ACL entry on Bucket (Atualizar uma entrada da ACL no contentor) fornece as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Reason: OWNERs are WRITERs.

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Reason: OWNERs are WRITERs.

 Ação efetuada com êxito. A função existente não corresponde ao valor do parâmetro Role. Verifique o valor do parâmetro Role.
Successfully updated ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. Ação efetuada com êxito.

Error executing action "Update an ACL entry on Bucket". Reason: Entity ENTITY does not exist in the ACL of bucket BUCKET_NAME.

Action wasn't able to update the ACL entity: ENTITY to role: ROLE in bucket BUCKET_NAME. The entity holding the permission can be user-userId, user-emailAddress, group-groupId, group-emailAddress, allUsers, or allAuthenticatedUsers.

Error executing action "Update an ACL entry on Bucket". Reason: ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação Update an ACL entry on Bucket (Atualizar uma entrada da ACL no contentor):

Nome do resultado do script Valor
is_success True ou False

Carregue um objeto para um contentor

Use a ação Carregar um objeto para um contentor para carregar um objeto para o contentor do Cloud Storage.

Esta ação não é executada em entidades.

Dados de ações

A ação Upload an Object To a Bucket requer os seguintes parâmetros:

Parâmetros Descrição
Bucket Name Obrigatório

O nome do contentor para o qual carregar um objeto.
Source File Path Obrigatório

O caminho absoluto para o ficheiro a carregar, como /local/path/to/filename.
Object Name Obrigatório

O nome do objeto carregado no contentor.

Resultados da ação

A ação Carregar um objeto para um contentor fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Fixação à parede da caixa Não disponível
Link da parede da caixa Não disponível
Mesa de parede para caixas Não disponível
Tabela de enriquecimento Não disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON
{
   "object_id":"BUCKET_NAME/errorlog.txt/1610616919132517",
   "Object_name":"errorlog.txt",
   "md5_hash":"PTdL8D6pBwIKyMfIXR/H9A==",
   "object_path":"/b/BUCKET_NAME/o/errorlog.txt"
}
Mensagens de saída

Numa Case Wall, a ação Upload an Object To a Bucket (Carregar um objeto para um contentor) fornece as seguintes mensagens de saída:

Mensagem de saída Descrição da mensagem

Successfully uploaded SOURCE_PATH to bucket: BUCKET_NAME.

Action wasn't able to upload SOURCE_PATH to Google Cloud Storage. Reason:No such file or directory: SOURCE_PATH.

Ação efetuada com êxito.
Error executing action "Upload an Object To a Bucket". Reason: ERROR_REASON

Falha na ação.

Verifique a ligação ao servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela seguinte descreve os valores do resultado do script quando usa a ação Upload an Object To a Bucket (Carregar um objeto para um contentor):

Nome do resultado do script Valor
is_success True ou False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.