Web Risk in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Web Risk in Google Security Operations einbinden.

Anwendungsfälle

Die Web Risk-Integration verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • URL-Reputationsabfragen: URLs werden mit den Google-Listen bekannter schädlicher Ressourcen abgeglichen, um Phishing, Malware und unerwünschte Software zu erkennen.

  • Anreicherung von Vorfällen: Sicherheitswarnungen werden automatisch mit Threat Intelligence von Web Risk angereichert, damit Analysten Bedrohungen priorisieren und darauf reagieren können.

  • Maßnahmen gegen schädliche URLs: Integrieren Sie Web Risk-Prüfungen in Playbooks, um risikoreiche Domains, die bei Untersuchungen identifiziert wurden, automatisch zu blockieren oder zu kennzeichnen.

  • Phishing-Reaktion automatisieren: Überprüfen Sie verdächtige Links, die aus von Nutzern gemeldeten E‑Mails extrahiert wurden, um Phishing-Versuche zu bestätigen und automatisierte Maßnahmen zur Eindämmung auszulösen, z. B. Nutzerbenachrichtigungen oder das Zurücksetzen von Anmeldedaten.

  • Externe Informationen validieren: Vergleichen Sie URLs aus Bedrohungsfeeds von Drittanbietern mit den hochpräzisen Listen von Google, um falsch positive Ergebnisse zu reduzieren und böswillige Absichten zu bestätigen, bevor Sie destruktive Maßnahmen ergreifen.

Hinweis

Bevor Sie die Web Risk-Integration in Google SecOps konfigurieren, müssen Sie die folgenden Voraussetzungen erfüllen:

  1. Erstellen Sie ein Dienstkonto.

  2. Wählen Sie eine der folgenden Authentifizierungsmethoden aus und konfigurieren Sie sie:

    • Option 1: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige, temporäre Zugriffstokens über die Identitätsübernahme des Dienstkontos verwendet, sodass Sie keine Secrets speichern müssen.

    • Option 2: JSON-Schlüssel für Dienstkonto: Diese Methode basiert auf einer statischen, langlebigen Secret-Schlüsseldatei. Verwenden Sie diese Methode nur, wenn die Workload Identity-Authentifizierung in Ihrer Umgebung nicht verfügbar ist.

Dienstkonto erstellen

So erstellen Sie ein Dienstkonto für die Integration:

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf addDienstkonto erstellen und geben Sie einen Namen und eine Beschreibung ein.

  3. Klicken Sie auf Fertig, um das Erstellen des Kontos abzuschließen. Die E-Mail-Adresse dieses Dienstkontos wird während der Authentifizierungskonfiguration verwendet.

Workload Identity-Anmeldedaten konfigurieren

Wählen Sie diese Methode oder die JSON-Schlüsselmethode aus, um die Integration zu authentifizieren. Workload Identity ist der empfohlene und sicherere Ansatz, da hier kurzlebige, temporäre Zugriffstokens verwendet werden, die die Identitätsübernahme des Dienstkontos nutzen. Dadurch müssen keine langlebigen Secrets gespeichert oder rotiert werden.

Eindeutige Instanzidentität identifizieren

Wenn Sie sich mit einer Workload Identity authentifizieren möchten, müssen Sie Ihrer Google SecOps-Instanz die Berechtigung erteilen, die Identität Ihres Dienstkontos zu übernehmen. Dadurch kann die Instanz sicher auf Google Cloud -Ressourcen zugreifen.

  1. Rufen Sie in Google SecOps Content Hub > Antwortintegrationen auf.

  2. Wählen Sie die Integration Web Risk aus und geben Sie die E-Mail-Adresse Ihres Dienstkontos unter Workload Identity-E-Mail ein.

  3. Geben Sie unter Quota Project ID eine gültige Projekt-ID ein.

  4. Klicken Sie auf Speichern > Testen. Der Test schlägt erwartungsgemäß fehl.

  5. Klicken Sie rechts neben Test auf close_small und suchen Sie in der Fehlermeldung nach der Identitäts-E-Mail-Adresse, die mit gke-init-python@... oder soar-python@... beginnt.

  6. Kopieren Sie diese eindeutige E‑Mail-Adresse.

Instanzidentität in Google Cloudautorisieren

Nachdem Sie die eindeutige Identität für Ihre Google SecOps-Instanz abgerufen haben, müssen Sie sie für den Zugriff auf IhreGoogle Cloud -Ressourcen autorisieren. In diesem Schritt wird die Identitätsübernahme des Dienstkontos aktiviert. Dadurch kann die Plattform kurzlebige Tokens generieren und in Ihrem Namen agieren, ohne dass statische Schlüssel erforderlich sind.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Zieldienstkonto aus und rufen Sie Berechtigungen > Zugriff gewähren auf.

  3. Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein und weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

Zugriff auf Kontingentprojekt gewähren

Wenn Sie sich mit einer Workload Identity authentifizieren, müssen Sie in den Integrationseinstellungen ein Quota Project ID angeben, um die API-Nutzung und die Abrechnung zu verfolgen.

Dazu müssen Sie Ihrem Dienstkonto die folgende Rolle für das festgelegte Kontingentprojekt zuweisen:

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > IAM auf und wählen Sie Ihr Projekt aus.

    IAM aufrufen

  2. Suchen Sie in der Liste der Hauptkonten nach Ihrem Dienstkonto und klicken Sie für dieses Konto auf Bearbeiten(Hauptkonto bearbeiten).

  3. Klicken Sie auf Weitere Rolle hinzufügen und wählen Sie die Rolle Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) aus.

  4. Klicken Sie auf Speichern.

JSON-Schlüssel konfigurieren

Wählen Sie diese Methode oder die Workload Identity-Methode aus, um die Integration zu authentifizieren. Verwenden Sie die JSON-Schlüsselmethode nur, wenn Workload Identity in Ihrer Umgebung nicht verfügbar ist. Workload Identity ist die empfohlene und sicherere Methode. Diese Methode basiert auf einer statischen, langlebigen Secret-Schlüsseldatei, die manuell verwaltet und rotiert werden muss.

Gehen Sie so vor, um die JSON-Schlüsseldatei zu generieren, die für die Authentifizierung der Integration erforderlich ist:

  1. Wechseln Sie in der Google Cloud Console zu IAM und Verwaltung > Dienstkonten und wählen Sie das von Ihnen erstellte Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf.

  3. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  4. Wählen Sie als Schlüsseltyp JSON aus und klicken Sie dann auf Erstellen. Der Browser lädt die JSON-Datei auf Ihren Computer herunter.

  5. Kopieren Sie den gesamten Inhalt dieser Datei und fügen Sie ihn während der Integrationskonfiguration in Service Account JSON File Content ein.

Integrationsparameter

Für die Integration von Web Risk sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Workload Identity Email

Optional.

Die Client-E-Mail-Adresse Ihres Dienstkontos.

Konfigurieren Sie diesen Parameter nur, wenn Sie sich mit einer Workload Identity authentifizieren.

Wenn Sie diesen Parameter konfigurieren, müssen Sie auch Quota Project ID konfigurieren.
Service Account JSON File Content

Optional.

Der vollständige Inhalt der JSON-Schlüsseldatei des Dienstkontos.

Konfigurieren Sie diesen Parameter nur, wenn Sie sich mit einem JSON-Schlüssel authentifizieren.
Quota Project ID

Optional.

Die Google Cloud -Projekt-ID, die für die API-Nutzung und Abrechnung verwendet wird.

Dieser Parameter ist obligatorisch, wenn Sie sich mit einer Workload Identity authentifizieren.
Project ID

Optional.

Die Google Cloud -Projekt-ID, die in der Integration verwendet werden soll.

Wenn kein Wert angegeben ist, ruft die Integration die ID aus den Anmeldedaten des Dienstkontos ab.
Verify SSL

Pflichtangabe.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Web Risk-Server hergestellt wird.

Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Entitäten anreichern

Verwenden Sie die Aktion Entitäten anreichern, um Informationen zu Google SecOps-Entitäten aus Web Risk zurückzugeben.

Diese Aktion wird für die Google SecOps-Entität URL ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Entitäten anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Tabelle mit Entitätsanreicherungen Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Entitätsanreicherungen

Mit der Aktion Entitäten anreichern kann die Entität URL angereichert werden. Dabei werden die folgenden Anreicherungsergebnisse bereitgestellt:

Name des Anreicherungsfelds Quelle (JSON-Schlüssel) Gültigkeit
threatTypes Die CSV-Datei mit den Bedrohungstypen. Wenn im JSON-Ergebnis verfügbar.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Entitäten anreichern empfangen wird:

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}
Ausgabenachrichten

Die Aktion Entitäten anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully enriched the following entities in Web Risk: ENTITY_ID.

The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID.

No information was found for the provided entities.

 Die Aktion war erfolgreich.
Error executing action "Enrich Entities". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Entitäten anreichern verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Web Risk zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht
Successfully connected to the Web Risk server with the provided connection parameters! Die Aktion war erfolgreich.
Failed to connect to the Web Risk server! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses Wert
is_success True oder False

Entitäten einreichen

Verwenden Sie die Aktion Entitäten einreichen, um Entitäten zur Analyse an Web Risk zu senden.

Diese Aktion ist asynchron. Passen Sie den Wert für das Script-Zeitlimit in der integrierten Entwicklungsumgebung (IDE) von Google SecOps für die Aktion nach Bedarf an.

Diese Aktion wird für die Google SecOps-Entität URL ausgeführt.

Aktionseingaben

Für die Aktion Entitäten senden sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Abuse Type

Optional.

Die Art des Missbrauchs, die mit einer Einreichung verknüpft ist.

Weitere Informationen zu Missbrauchsarten finden Sie unter AbuseType.

Folgende Werte sind möglich:

  • Select One
  • Malware
  • Social Engineering
  • Unwanted Software

Der Standardwert ist Select One.
Confidence Level

Optional.

Das Konfidenzniveau für eine Einreichung.

Weitere Informationen zu Konfidenzniveaus finden Sie unter Konfidenz und ConfidenceLevel.

Folgende Werte sind möglich:

  • Select One
  • Low
  • Medium
  • High

Der Standardwert ist Select One.
Justification

Optional.

Die Begründung für eine Einreichung.

Weitere Informationen zu den Begründungsoptionen finden Sie unter JustificationLabel.

Folgende Werte sind möglich:

  • Manual Verification
  • User Report
  • Automated Report

Der Standardwert ist User Report.
Comment

Optional.

Einen Kommentar zur Begründung der Einreichung
Region Code

Optional.

Eine durch Kommas getrennte Liste der CLDR-Codes (Common Locale Data Repository) für Länder oder Regionen, die mit der Einreichung verknüpft sind. Weitere Informationen zu Einreichungen finden Sie unter Einreichung.
Platform

Optional.

Ein Plattformtyp, auf dem die Einreichung erkannt wurde.

Folgende Werte sind möglich:

  • Select One
  • Android
  • iOS
  • MacOS
  • Windows

Der Standardwert ist Select One.
Skip Waiting

Optional.

Wenn diese Option ausgewählt ist, wird die Einreichung durch die Aktion initialisiert und es wird nicht gewartet, bis sie abgeschlossen ist.

Der Standardwert ist True.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten