Intégrer Web Risk à Google SecOps

Ce document explique comment intégrer Web Risk à Google Security Operations.

Cas d'utilisation

L'intégration Web Risk utilise les fonctionnalités Google SecOps pour prendre en charge les cas d'utilisation suivants :

  • Recherches de réputation d'URL : comparez les URL aux listes Google de ressources malveillantes connues pour identifier l'hameçonnage, les logiciels malveillants et les logiciels indésirables.

  • Enrichissement des incidents : enrichissez automatiquement les alertes de sécurité avec des renseignements sur les menaces provenant de Web Risk pour aider les analystes à hiérarchiser les menaces et à y répondre.

  • Atténuation des URL malveillantes : intégrez les vérifications Web Risk dans les playbooks pour bloquer ou signaler automatiquement les domaines à haut risque identifiés lors des investigations.

  • Automatiser la réponse à l'hameçonnage : validez les liens suspects extraits des e-mails signalés par les utilisateurs pour confirmer les tentatives d'hameçonnage et déclencher des actions de confinement automatiques, comme l'envoi d'une notification à l'utilisateur ou la réinitialisation des identifiants.

  • Validez l'intelligence externe : croisez les URL des flux de menaces tiers avec les listes haute fidélité de Googlepour réduire les faux positifs et confirmer l'intention malveillante avant de prendre des mesures destructrices.

Avant de commencer

Avant de configurer l'intégration Web Risk dans Google SecOps, remplissez les conditions préalables suivantes :

  1. Créez un compte de service.

  2. Choisissez et configurez l'une des méthodes d'authentification suivantes :

    • Option 1 : Workload Identity (recommandée) : cette méthode utilise des jetons d'accès temporaires de courte durée par le biais de l'emprunt d'identité d'un compte de service. Vous n'avez donc pas besoin de stocker de secrets.

    • Option 2 : clé JSON du compte de service : cette méthode repose sur un fichier de clé secrète statique et durable. N'utilisez cette méthode que si l'authentification Workload Identity n'est pas disponible dans votre environnement.

Créer un compte de service

Pour créer un compte de service pour l'intégration, procédez comme suit :

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service.

    Accéder à la page "Comptes de service"

  2. Cliquez sur Ajouter > Créer un compte de service, puis saisissez un nom et une description.

  3. Cliquez sur OK pour terminer la création du compte. L'adresse e-mail de ce compte de service est utilisée lors de la configuration de l'authentification.

Configurer les identifiants Workload Identity

Choisissez cette méthode ou la méthode de clé JSON pour authentifier l'intégration. Workload Identity est l'approche recommandée et la plus sécurisée, car elle utilise des jetons d'accès temporaires de courte durée grâce à l'emprunt d'identité d'un compte de service. Il n'est donc pas nécessaire de stocker ni de faire tourner des secrets de longue durée.

Identifier l'identité unique de l'instance

Pour vous authentifier à l'aide de Workload Identity, vous devez autoriser votre instance Google SecOps à emprunter l'identité de votre compte de service. Cela permet à l'instance d'accéder de manière sécurisée aux ressources Google Cloud .

  1. Dans Google SecOps, accédez à Content Hub > Intégrations de réponse.

  2. Sélectionnez l'intégration Web Risk, puis saisissez l'adresse e-mail de votre compte de service dans Adresse e-mail Workload Identity.

  3. Saisissez un ID de projet valide dans ID du projet de quota.

  4. Cliquez sur Enregistrer > Tester. Le test devrait échouer.

  5. Cliquez sur close_small à droite de Test et recherchez le message d'erreur pour l'adresse e-mail de l'identité commençant par gke-init-python@... ou soar-python@....

  6. Copiez cette adresse e-mail unique.

Autoriser l'identité de l'instance dans Google Cloud

Une fois que vous avez récupéré l'identité unique de votre instance Google SecOps, vous devez l'autoriser à accéder à vos ressourcesGoogle Cloud . Cette étape permet d'emprunter l'identité d'un compte de service, ce qui permet à la plate-forme de générer des jetons éphémères et d'agir en votre nom sans avoir besoin de clés statiques.

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service.

    Accéder à la page "Comptes de service"

  2. Sélectionnez le compte de service cible, puis accédez à Autorisations > Accorder l'accès.

  3. Collez l'adresse e-mail unique dans le champ Nouveaux comptes principaux, puis attribuez le rôle Créateur de jetons du compte de service (roles/iam.serviceAccountTokenCreator).

Accorder l'accès au projet de quota

Lorsque vous vous authentifiez à l'aide d'une Workload Identity, vous devez spécifier un Quota Project ID dans les paramètres d'intégration pour suivre l'utilisation de l'API et la facturation.

Pour ce faire, vous devez accorder à votre compte de service le rôle suivant dans le projet de quota désigné :

  1. Dans la console Google Cloud , accédez à IAM et administration > IAM, puis sélectionnez votre projet.

    Accéder à IAM

  2. Recherchez votre compte de service dans la liste des comptes principaux, puis cliquez sur Modifier(Modifier le compte principal) pour ce compte.

  3. Cliquez sur Ajouter un autre rôle, puis sélectionnez le rôle Consommateur Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Cliquez sur Enregistrer.

Configurer une clé JSON

Choisissez cette méthode ou la méthode Workload Identity pour authentifier l'intégration. N'utilisez la méthode de clé JSON que si Workload Identity n'est pas disponible dans votre environnement. Workload Identity est l'approche recommandée et la plus sécurisée. Cette méthode repose sur un fichier de clé secrète statique et durable qui nécessite une gestion et une rotation manuelles.

Procédez comme suit pour générer le fichier de clé JSON requis pour authentifier l'intégration :

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service, puis sélectionnez le compte de service que vous avez créé.

    Accéder à la page "Comptes de service"

  2. Accédez à l'onglet Clés.

  3. Cliquez sur Ajouter une clé > Créer une clé.

  4. Sélectionnez le type de clé JSON, puis cliquez sur Créer. Le navigateur télécharge le fichier JSON sur votre ordinateur.

  5. Copiez l'intégralité du contenu de ce fichier et collez-le dans Service Account JSON File Content lors de la configuration de l'intégration.

Paramètres d'intégration

L'intégration Web Risk nécessite les paramètres suivants :

Paramètre Description
Workload Identity Email

Facultatif.

Adresse e-mail du client de votre compte de service.

Ne configurez ce paramètre que si vous vous authentifiez à l'aide d'une identité de charge de travail.

Si vous configurez ce paramètre, vous devez également configurer Quota Project ID.
Service Account JSON File Content

Facultatif.

Contenu complet du fichier de clé JSON du compte de service.

Ne configurez ce paramètre que si vous vous authentifiez à l'aide d'une clé JSON.
Quota Project ID

Facultatif.

ID du projet Google Cloud utilisé pour l'utilisation de l'API et la facturation.

Ce paramètre est obligatoire si vous vous authentifiez à l'aide d'une identité de charge de travail.
Project ID

Facultatif.

ID du projet Google Cloud à utiliser dans l'intégration.

Si aucune valeur n'est fournie, l'intégration récupère l'ID à partir des identifiants du compte de service.
Verify SSL

Obligatoire.

Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Web Risk.

Cette option est activée par défaut.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement, si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour savoir comment configurer et prendre en charge plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis Votre espace de travail et Effectuer une action manuelle.

Enrichir les entités

Utilisez l'action Enrichir les entités pour renvoyer des informations sur les entités Google SecOps à partir de Web Risk.

Cette action s'exécute sur l'entité URL Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Enrichir les entités fournit les sorties suivantes :

Type de sortie de l'action Disponibilité
Pièce jointe au mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Tableau d'enrichissement des entités Disponible
Résultat JSON Disponible
Messages de sortie Disponible
Résultat du script Disponible
Tableau d'enrichissement des entités

L'action Enrich Entities (Enrichir les entités) peut enrichir l'entité URL et fournir les résultats d'enrichissement suivants :

Nom du champ d'enrichissement Source (clé JSON) Applicabilité
threatTypes Fichier CSV des types de menaces. Lorsqu'il est disponible dans le résultat JSON.
Résultat JSON

L'exemple suivant montre le résultat JSON obtenu lors de l'utilisation de l'action Enrichir les entités :

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}
Messages de sortie

L'action Enrichir les entités peut renvoyer les messages de sortie suivants :

Message de sortie Description du message

Successfully enriched the following entities in Web Risk: ENTITY_ID.

The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID.

No information was found for the provided entities.

 L'action a réussi.
Error executing action "Enrich Entities". Reason: ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Enrichir les entités :

Nom du résultat du script Valeur
is_success True ou False

Ping

Utilisez l'action Ping pour tester la connectivité à Web Risk.

Cette action ne s'applique pas aux entités Google SecOps.

Entrées d'action

Aucune.

Sorties d'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action Disponibilité
Pièce jointe au mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement Non disponible
Résultat JSON Non disponible
Messages de sortie Disponible
Résultat du script Disponible
Messages de sortie

L'action Ping peut renvoyer les messages de résultat suivants :

Message de sortie Description du message
Successfully connected to the Web Risk server with the provided connection parameters! L'action a réussi.
Failed to connect to the Web Risk server! Error is ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script

Le tableau suivant répertorie la valeur du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script Valeur
is_success True ou False

Envoyer des entités

Utilisez l'action Envoyer des entités pour envoyer des entités à Web Risk afin qu'elles soient analysées.

Cette action est asynchrone. Ajustez la valeur du délai d'expiration du script dans l'environnement de développement intégré (IDE) Google SecOps pour l'action, si nécessaire.

Cette action s'exécute sur l'entité URL Google SecOps.

Entrées d'action

L'action Envoyer des entités nécessite les paramètres suivants :

Paramètre Description
Abuse Type

Facultatif.

Type d'utilisation abusive associé à une demande.

Pour en savoir plus sur les types d'utilisation abusive, consultez AbuseType.

Voici les valeurs possibles :

  • Select One
  • Malware
  • Social Engineering
  • Unwanted Software

La valeur par défaut est Select One.
Confidence Level

Facultatif.

Niveau de confiance d'une contribution.

Pour en savoir plus sur les niveaux de confiance, consultez Confiance et ConfidenceLevel.

Voici les valeurs possibles :

  • Select One
  • Low
  • Medium
  • High

La valeur par défaut est Select One.
Justification

Facultatif.

Justification d'un envoi.

Pour en savoir plus sur les options de justification, consultez JustificationLabel.

Voici les valeurs possibles :

  • Manual Verification
  • User Report
  • Automated Report

La valeur par défaut est User Report.
Comment

Facultatif.

Commentaire pour justifier l'envoi.
Region Code

Facultatif.

Liste de codes CLDR (Common Locale Data Repository) pour les pays ou régions associés à l'envoi, séparés par des virgules. Pour en savoir plus sur les envois, consultez Envoi.
Platform

Facultatif.

Type de plate-forme sur laquelle l'envoi a été détecté.

Voici les valeurs possibles :

  • Select One
  • Android
  • iOS
  • MacOS
  • Windows

La valeur par défaut est Select One.
Skip Waiting

Facultatif.

Si cette option est sélectionnée, l'action initialise l'envoi et n'attend pas qu'il se termine.

La valeur par défaut est True.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.