Wir haben die Navigationsstruktur unserer Dokumentation neu organisiert, um sie direkt an Ihre betrieblichen Arbeitsabläufe anzupassen. Weitere Informationen finden Sie in den Versionshinweisen und im Video zur Anleitung.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Web Risk in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Web Risk in Google Security Operations einbinden.

Anwendungsfälle

Bei der Web Risk-Integration werden Google SecOps-Funktionen verwendet, um die folgenden Anwendungsfälle zu unterstützen:

URL-Reputationsabfragen: URLs werden mit den Google-Listen bekannter schädlicher Ressourcen abgeglichen, um Phishing, Malware und unerwünschte Software zu erkennen.
Anreicherung von Vorfällen: Sicherheitswarnungen werden automatisch mit Threat Intelligence von Web Risk angereichert, damit Analysten Bedrohungen priorisieren und darauf reagieren können.
Minderung bösartiger URLs: Integrieren Sie Web Risk-Prüfungen in Playbooks, um automatisch Domains mit hohem Risiko zu blockieren oder zu kennzeichnen, die bei Untersuchungen ermittelt wurden.
Phishing-Reaktion automatisieren: Verdächtige Links, die aus von Nutzern gemeldeten E‑Mails extrahiert wurden, werden überprüft, um Phishing-Versuche zu bestätigen und automatisierte Eindämmungsmaßnahmen wie Nutzerbenachrichtigungen oder das Zurücksetzen von Anmeldedaten auszulösen.
Externe Informationen validieren: Vergleichen Sie URLs aus Threat-Feeds von Drittanbietern mit den hochgenauen Listen von Google, um falsch positive Ergebnisse zu reduzieren und böswillige Absichten zu bestätigen, bevor Sie destruktive Maßnahmen ergreifen.

Hinweis

Bevor Sie die Web Risk-Integration in Google SecOps konfigurieren, müssen Sie die folgenden Voraussetzungen erfüllen:

Erstellen Sie ein Dienstkonto.
Wählen Sie eine der folgenden Authentifizierungsmethoden aus und konfigurieren Sie sie:
- Option 1: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige, temporäre Zugriffstokens durch die Übernahme der Identität von Dienstkonten verwendet, sodass Sie keine Secrets speichern müssen.
- Option 2: JSON-Schlüssel des Dienstkontos: Bei dieser Methode wird eine statische, langlebige Secret-Schlüsseldatei verwendet. Verwenden Sie diese Methode nur, wenn die Workload Identity-Authentifizierung in Ihrer Umgebung nicht verfügbar ist.

Dienstkonto erstellen

So erstellen Sie ein Dienstkonto für die Integration:

Wechseln Sie in der Google Cloud Console zu IAM & Verwaltung > Dienstkonten.

Zur Seite „Dienstkonten“
Klicken Sie auf addDienstkonto erstellen und geben Sie einen Namen und eine Beschreibung an.
Klicken Sie auf Fertig, um das Erstellen des Kontos abzuschließen. Die E-Mail-Adresse dieses Dienstkontos wird während der Konfiguration der Authentifizierung verwendet.

Workload Identity-Anmeldedaten konfigurieren

Wählen Sie diese Methode oder die JSON-Schlüsselmethode aus, um die Integration zu authentifizieren. Workload Identity ist der empfohlene und sicherere Ansatz, da kurzlebige, temporäre Zugriffstokens mithilfe der Identitätsübernahme des Dienstkontos verwendet werden. Dadurch entfällt die Notwendigkeit, langlebige Secrets zu speichern oder zu rotieren.

Eindeutige Instanzidentität ermitteln

Wenn Sie sich mit einer Workload Identity authentifizieren möchten, müssen Sie Ihrer Google SecOps-Instanz die Berechtigung erteilen, die Identität Ihres Dienstkontos zu übernehmen. Dadurch kann die Instanz sicher auf Google Cloud Ressourcen zugreifen.

Gehen Sie in Google SecOps zu Content Hub > Response Integrations.
Wählen Sie die Web Risk-Integration aus und geben Sie die E-Mail-Adresse Ihres Dienstkontos unter Workload Identity-E-Mail ein.
Geben Sie eine gültige Projekt-ID in Quota Project ID (Projekt-ID für Kontingent) ein.
Klicken Sie auf Speichern > Test. Der Test wird voraussichtlich fehlschlagen.
Klicken Sie neben Test auf das Symbol close_small und suchen Sie in der Fehlermeldung nach der Identitäts-E-Mail-Adresse, die mit gke-init-python@... oder soar-python@... beginnt.

Kopieren Sie diese eindeutige E-Mail-Adresse und fügen Sie sie während der Konfiguration der Integration in Workload Identity Email ein.

Instanzidentität in Google Cloudautorisieren

Nachdem Sie die eindeutige Identität für Ihre Google SecOps-Instanz abgerufen haben, müssen Sie sie autorisieren, auf IhreGoogle Cloud -Ressourcen zuzugreifen. Mit diesem Schritt wird die Identitätsübernahme des Dienstkontos aktiviert. So kann die Plattform kurzlebige Tokens generieren und in Ihrem Namen agieren, ohne dass statische Schlüssel erforderlich sind.

Wechseln Sie in der Google Cloud Console zu IAM & Verwaltung > Dienstkonten.

Zur Seite „Dienstkonten“
Wählen Sie das Zieldienstkonto aus und rufen Sie Berechtigungen > Zugriff gewähren auf.
Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein.
Weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

Zugriff auf das Kontingentprojekt gewähren

Wenn Sie sich mit einer Workload Identity authentifizieren, müssen Sie in den Integrationseinstellungen eine Quota Project ID angeben, um die API-Nutzung und die Abrechnung zu erfassen.

Dazu müssen Sie Ihrem Dienstkonto die folgende Rolle für das zugewiesene Kontingentprojekt zuweisen:

Rufen Sie in der Google Cloud Console IAM & Verwaltung > IAM auf und wählen Sie Ihr Projekt aus.

IAM aufrufen
Suchen Sie in der Liste der Hauptkonten nach Ihrem Dienstkonto und klicken Sie für dieses Konto auf Bearbeiten(Hauptkonto bearbeiten).
Klicken Sie auf Weitere Rolle hinzufügen und wählen Sie die Rolle Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) aus.
Klicken Sie auf Speichern.

JSON-Schlüssel konfigurieren

Wählen Sie diese Methode oder die Workload Identity-Methode aus, um die Integration zu authentifizieren. Verwenden Sie die JSON-Schlüsselmethode nur, wenn Workload Identity in Ihrer Umgebung nicht verfügbar ist. Workload Identity ist der empfohlene und sicherere Ansatz. Diese Methode basiert auf einer statischen, langlebigen Secret-Schlüsseldatei, die manuell verwaltet und rotiert werden muss.

So generieren Sie die JSON-Schlüsseldatei, die zum Authentifizieren der Integration erforderlich ist:

Wechseln Sie in der Google Cloud Console zu IAM & Verwaltung > Dienstkonten und wählen Sie das erstellte Dienstkonto aus.

Zur Seite „Dienstkonten“
Rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie als Schlüsseltyp JSON aus und klicken Sie auf Erstellen. Der Browser lädt die JSON-Datei auf Ihren Computer herunter.
Kopieren Sie den gesamten Inhalt dieser Datei und fügen Sie ihn während der Konfiguration der Integration in Service Account JSON File Content ein.

Integrationsparameter

Für die Web Risk-Integration sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
`Workload Identity Email`	Optional. Die Client-E‑Mail-Adresse Ihres Dienstkontos. Konfigurieren Sie diesen Parameter nur, wenn Sie sich mit einer Workload Identity authentifizieren. Wenn Sie diesen Parameter konfigurieren, müssen Sie auch `Quota Project ID` konfigurieren.
`Service Account JSON File Content`	Optional. Der vollständige Inhalt der JSON-Schlüsseldatei des Dienstkontos. Konfigurieren Sie diesen Parameter nur, wenn Sie die Authentifizierung mit einem JSON-Schlüssel durchführen.
`Quota Project ID`	Optional. Die Google Cloud -Projekt-ID, die für die API-Nutzung und Abrechnung verwendet wird. Dieser Parameter ist erforderlich, wenn Sie die Authentifizierung mit einer Workload Identity durchführen.
`Project ID`	Optional. Die Google Cloud Projekt-ID, die in der Integration verwendet werden soll. Wenn kein Wert angegeben ist, ruft die Integration die ID aus den Anmeldedaten des Dienstkontos ab.
`Verify SSL`	Erforderlich. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Web Risk-Server validiert. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen über „Mein Arbeitsbereich“ bearbeiten und Manuelle Maßnahme ausführen.

Entitäten anreichern

Mit der Aktion Enrich Entities (Entitäten anreichern) können Sie Informationen zu Google SecOps-Entitäten aus Web Risk abrufen.

Diese Aktion wird für die Google SecOps-Entität URL ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Enrich Entities (Entitäten anreichern) gibt Folgendes aus:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Tabelle zur Anreicherung von Rechtssubjekten	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle zur Anreicherung von Rechtssubjekten

Mit der Aktion Enrich Entities (Entitäten anreichern) kann die Entität URL angereichert werden. Dabei werden die folgenden Ergebnisse zurückgegeben:

Name des Anreicherungsfelds	Quelle (JSON-Schlüssel)	Gültigkeit
`threatTypes`	Die CSV-Datei mit den Bedrohungsarten.	Wenn im JSON-Ergebnis verfügbar.

JSON-Ergebnis

Im folgenden Beispiel sehen Sie die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Enrich Entities (Entitäten anreichern) empfangen wird:

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}

Ausgabenachrichten

Die Aktion Enrich Entities kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Ausgabemeldung	Nachrichtenbeschreibung
`Successfully enriched the following entities in Web Risk: ENTITY_ID.` `The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID.` `No information was found for the provided entities.`	Die Aktion wurde erfolgreich ausgeführt.
`Error executing action "Enrich Entities". Reason: ERROR_REASON`	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Successfully enriched the following entities in Web Risk: ENTITY_ID.

The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID.

No information was found for the provided entities.

Die Aktion wurde erfolgreich ausgeführt.

Error executing action "Enrich Entities". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Enrich Entities verwendet wird:

Name des Scriptergebnisses	Wert
`is_success`	`True` oder `False`

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Web Risk zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping bietet die folgenden Ausgaben:

Ausgabetyp der Aktion	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall‑Repository	Nicht verfügbar
Tabelle „Fall-Repository“	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Nachrichtenbeschreibung

Successfully connected to the Web Risk server with the provided connection parameters! Die Aktion wurde erfolgreich ausgeführt.

Ausgabemeldung	Nachrichtenbeschreibung
`Successfully connected to the Web Risk server with the provided connection parameters!`	Die Aktion wurde erfolgreich ausgeführt.
`Failed to connect to the Web Risk server! Error is ERROR_REASON`	Die Aktion ist fehlgeschlagen. Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Failed to connect to the Web Risk server! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Scriptergebnisses	Wert
`is_success`	`True` oder `False`

Entitäten einreichen

Mit der Aktion Entitäten einreichen können Sie Entitäten zur Analyse an Web Risk senden.

Diese Aktion ist asynchron. Passen Sie den Script-Timeout-Wert in der integrierten Entwicklungsumgebung (IDE) von Google SecOps für die Aktion nach Bedarf an.

Diese Aktion wird für die Google SecOps-Entität URL ausgeführt.

Aktionseingaben

Für die Aktion Submit Entities sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
`Abuse Type`	Optional. Der Missbrauchstyp, der mit einer Einreichung verknüpft ist. Weitere Informationen zu Missbrauchstypen finden Sie unter AbuseType. Folgende Werte sind möglich: `Select One` `Malware` `Social Engineering` `Unwanted Software` Der Standardwert ist `Select One`.
`Confidence Level`	Optional. Das Konfidenzniveau für eine Einreichung. Weitere Informationen zu Konfidenzniveaus finden Sie unter Confidence und ConfidenceLevel. Folgende Werte sind möglich: `Select One` `Low` `Medium` `High` Der Standardwert ist `Select One`.
`Justification`	Optional. Die Begründung für eine Einreichung. Weitere Informationen zu Begründungsoptionen finden Sie unter JustificationLabel. Folgende Werte sind möglich: `Manual Verification` `User Report` `Automated Report` Der Standardwert ist `User Report`.
`Comment`	Optional. Einen Kommentar zur Begründung der Einreichung.
`Region Code`	Optional. Eine durch Kommas getrennte Liste der CLDR-Codes (Common Locale Data Repository) für Länder oder Regionen, die mit der Einreichung verknüpft sind. Weitere Informationen zu Einreichungen finden Sie unter Einreichung.
`Platform`	Optional. Ein Plattformtyp, auf dem die Einreichung erkannt wurde. Folgende Werte sind möglich: `Select One` `Android` `iOS` `MacOS` `Windows` Der Standardwert ist `Select One`.
`Skip Waiting`	Optional. Wenn diese Option ausgewählt ist, wird die Einreichung durch die Aktion initialisiert, es wird aber nicht gewartet, bis sie abgeschlossen ist. Der Standardwert ist `True`.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten