Integra Web Risk con Google SecOps

En este documento, se explica cómo integrar Web Risk en Google Security Operations.

Casos de uso

La integración de Web Risk usa las capacidades de Google SecOps para admitir los siguientes casos de uso:

• Búsquedas de reputación de URLs: Verifica las URLs con las listas de recursos maliciosos conocidos de Google para identificar suplantación de identidad (phishing), software malicioso y software no deseado.

• Enriquecimiento de incidentes: Enriquece automáticamente las alertas de seguridad con inteligencia contra amenazas de Web Risk para ayudar a los analistas a priorizar y responder a las amenazas.

• Mitigación de URLs maliciosas: Incorpora verificaciones de Web Risk en las guías para bloquear o marcar automáticamente los dominios de alto riesgo identificados durante las investigaciones.

• Automatiza la respuesta al phishing: Verifica los vínculos sospechosos extraídos de los correos electrónicos denunciados por los usuarios para confirmar los intentos de phishing y activar acciones de contención automatizadas, como la notificación al usuario o el restablecimiento de credenciales.

• Valida la inteligencia externa: Compara datos mediante referencia cruzada las URLs de los feeds de amenazas de terceros con las listas de alta fidelidad de Googlepara reducir los falsos positivos y confirmar la intención maliciosa antes de tomar medidas destructivas.

Antes de comenzar

Antes de configurar la integración de Web Risk en Google SecOps, completa los siguientes requisitos previos:

1. Crea una cuenta de servicio.

2. Elige y configura uno de los siguientes métodos de autenticación:

   • Opción 1: Workload Identity (recomendado): Este método usa tokens de acceso temporales de corta duración a través de la identidad temporal como cuenta de servicio, por lo que no necesitas almacenar secretos.

   • Opción 2: Clave JSON de la cuenta de servicio: Este método se basa en un archivo de clave secreta estático y de larga duración. Usa este método solo si la autenticación de Workload Identity no está disponible en tu entorno.

Crea una cuenta de servicio

Para crear una cuenta de servicio para la integración, completa los siguientes pasos:

1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio.

   Ir a Cuentas de servicio

2. Haz clic en addCrear cuenta de servicio y proporciona un nombre y una descripción.

3. Haz clic en Listo para terminar de crear la cuenta. La dirección de correo electrónico de esta cuenta de servicio se usa durante el proceso de configuración de la autenticación.

Configura las credenciales de Workload Identity

Elige este método o el de clave JSON para autenticar la integración. Workload Identity es el enfoque recomendado y más seguro, ya que usa tokens de acceso temporales de corta duración con la identidad temporal como cuenta de servicio, lo que elimina la necesidad de almacenar o rotar secretos de larga duración.

Identifica la identidad única de la instancia

Para autenticarte con una Workload Identity, debes otorgar permiso a tu instancia de Google SecOps para que actúe en nombre de tu cuenta de servicio. Esto permite que la instancia acceda de forma segura a los recursos de Google Cloud .

1. En Google SecOps, ve a Centro de contenido > Integraciones de respuesta.

2. Selecciona la integración de Web Risk y, luego, ingresa el correo electrónico de tu cuenta de servicio en Correo electrónico de Workload Identity.

3. Ingresa un ID del proyecto válido en ID del proyecto de cuota.

4. Haz clic en Guardar > Probar. Se espera que la prueba falle.

5. Haz clic en close_small a la derecha de Prueba y busca en el mensaje de error el correo electrónico de identidad que comienza con gke-init-python@... o soar-python@....

6. Copia esta dirección de correo electrónico única.

Autoriza la identidad de la instancia en Google Cloud

Después de recuperar la identidad única de tu instancia de Google SecOps, debes autorizarla para que acceda a tus recursos deGoogle Cloud . Este paso habilita la identidad temporal como cuenta de servicio, lo que permite que la plataforma genere tokens de corta duración y actúe en tu nombre sin necesidad de claves estáticas.

1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio.

   Ir a Cuentas de servicio

2. Selecciona la cuenta de servicio de destino y ve a Permisos > Otorgar acceso.

3. Pega la dirección de correo electrónico única en el campo Principales nuevas y asigna el rol de Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator).

Otorga acceso al proyecto de cuota

Cuando te autentiques con una Workload Identity, debes especificar un Quota Project ID en la configuración de la integración para hacer un seguimiento del uso de la API y la facturación.

Para autorizar esto, debes otorgar a tu cuenta de servicio el siguiente rol en el proyecto de cuota designado:

1. En la consola de Google Cloud , ve a IAM y administración > IAM y selecciona tu proyecto.

   Ir a IAM

2. Ubica tu cuenta de servicio en la lista de principales y haz clic en edit(Editar principal) para esa cuenta.

3. Haz clic en Agregar otro rol y selecciona el rol Consumidor de Service Usage (roles/serviceusage.serviceUsageConsumer).

4. Haz clic en Guardar.

Configura una clave JSON

Elige este método o el de Workload Identity para autenticar la integración. Usa el método de clave JSON solo si Workload Identity no está disponible en tu entorno. Workload Identity es el enfoque recomendado y más seguro. Este método se basa en un archivo de clave secreta estático y de larga duración que requiere administración y rotación manuales.

Usa el siguiente procedimiento para generar el archivo de claves JSON necesario para autenticar la integración:

1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio y selecciona la cuenta de servicio que creaste.

   Ir a Cuentas de servicio

2. Ve a la pestaña Claves.

3. Haz clic en Agregar clave > Crear clave nueva.

4. Selecciona JSON como el tipo de clave y haz clic en Crear. El navegador descarga el archivo JSON en tu computadora.

5. Copia todo el contenido de este archivo y pégalo en Service Account JSON File Content durante la configuración de la integración.

Parámetros de integración

La integración de Web Risk requiere los siguientes parámetros:

Parámetro	Descripción
Workload Identity Email	Es opcional. Es la dirección de correo electrónico del cliente de tu cuenta de servicio. Solo configura este parámetro si te autenticas con una identidad de Workload. Si configuras este parámetro, también debes configurar Quota Project ID.
Service Account JSON File Content	Es opcional. Es el contenido completo del archivo de claves JSON de la cuenta de servicio. Configura este parámetro solo si te autenticas con una clave JSON.
Quota Project ID	Es opcional. Es el ID del proyecto de Google Cloud que se usa para la facturación y el uso de la API. Este parámetro es obligatorio si te autenticas con una identidad de cargas de trabajo.
Project ID	Es opcional. Es el ID del proyecto de Google Cloud que se usará en la integración. Si no se proporciona ningún valor, la integración recupera el ID de las credenciales de cuenta de servicio.
Verify SSL	Obligatorio. Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Web Risk. Habilitada de forma predeterminada.

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Enriquece entidades

Usa la acción Enrich Entities para devolver información sobre las entidades de Google SecOps de Web Risk.

Esta acción se ejecuta en la entidad URL de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Enrich Entities proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento de entidades	Disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Tabla de enriquecimiento de entidades

La acción Enrich Entities puede enriquecer la entidad URL y proporcionar los siguientes resultados de enriquecimiento:

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Aplicabilidad
threatTypes	Es el archivo CSV de los tipos de amenazas.	Cuando está disponible en el resultado JSON.

Resultado de JSON

En el siguiente ejemplo, se muestra el resultado JSON que se recibe cuando se usa la acción Enrich Entities:

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}

Mensajes de salida

La acción Enrich Entities puede devolver los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully enriched the following entities in Web Risk: ENTITY_ID. The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID. No information was found for the provided entities.	La acción se realizó correctamente.
Error executing action "Enrich Entities". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se muestra el valor del resultado de la secuencia de comandos cuando se usa la acción Enrich Entities:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Ping

Usa la acción Ping para probar la conectividad con Web Risk.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de resultado de la acción	Disponibilidad
Archivo adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Ping puede devolver los siguientes mensajes de resultado:

Mensaje de salida	Descripción del mensaje
Successfully connected to the Web Risk server with the provided connection parameters!	La acción se realizó correctamente.
Failed to connect to the Web Risk server! Error is ERROR_REASON	No se pudo realizar la acción. Verifica la conexión con el servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Envía entidades

Usa la acción Enviar entidades para enviar entidades a Web Risk para su análisis.

Esta acción es asíncrona. Ajusta el valor del tiempo de espera de la secuencia de comandos en el entorno de desarrollo integrado (IDE) de Google SecOps para la acción, según sea necesario.

Esta acción se ejecuta en la entidad URL de Google SecOps.

Entradas de acción

La acción Enviar entidades requiere los siguientes parámetros:

Parámetro	Descripción
Abuse Type	Es opcional. Es el tipo de abuso que se asocia con un envío. Para obtener más información sobre los tipos de abuso, consulta AbuseType. Los valores posibles son los siguientes: Select One Malware Social Engineering Unwanted Software El valor predeterminado es Select One.
Confidence Level	Es opcional. Es el nivel de confianza de un envío. Para obtener más información sobre los niveles de confianza, consulta Confianza y ConfidenceLevel. Los valores posibles son los siguientes: Select One Low Medium High El valor predeterminado es Select One.
Justification	Es opcional. Es la justificación de un envío. Para obtener más información sobre las opciones de justificación, consulta JustificationLabel. Los valores posibles son los siguientes: Manual Verification User Report Automated Report El valor predeterminado es User Report.
Comment	Es opcional. Un comentario para justificar el envío
Region Code	Es opcional. Es una lista separada por comas de los códigos del repositorio de datos de configuración regional común (CLDR) para los países o las regiones que se asocian con el envío. Para obtener más información sobre los envíos, consulta Envío.
Platform	Es opcional. Es el tipo de plataforma en la que se detectó el envío. Los valores posibles son los siguientes: Select One Android iOS MacOS Windows El valor predeterminado es Select One.
Skip Waiting	Es opcional. Si se selecciona, la acción inicializa el envío y no espera a que finalice. El valor predeterminado es True.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.