Intégrer Web Risk à Google SecOps

Ce document explique comment intégrer Web Risk à Google Security Operations.

Cas d'utilisation

L'intégration de Web Risk utilise les fonctionnalités de Google SecOps pour prendre en charge les cas d'utilisation suivants :

  • Recherches de réputation d'URL : comparez les URL aux listes de ressources malveillantes connues de Google pour identifier l'hameçonnage, les logiciels malveillants et les logiciels indésirables.

  • Enrichissement des incidents : enrichissez automatiquement les alertes de sécurité avec des renseignements sur les menaces provenant de Web Risk pour aider les analystes à hiérarchiser les menaces et à y répondre.

  • Atténuation des URL malveillantes : intégrez des vérifications Web Risk aux playbooks pour bloquer ou signaler automatiquement les domaines à haut risque identifiés lors des investigations.

  • Automatiser la réponse à l'hameçonnage : vérifiez les liens suspects extraits des e-mails signalés par les utilisateurs pour confirmer les tentatives d'hameçonnage et déclencher des actions de confinement automatisées, telles que la notification des utilisateurs ou la réinitialisation des identifiants.

  • Valider les renseignements externes : croisez les URL des flux de menaces tiers avec les listes haute fidélité de Googlepour réduire les faux positifs et confirmer l'intention malveillante avant de prendre des mesures destructrices.

Avant de commencer

Avant de configurer l'intégration de Web Risk dans Google SecOps, remplissez les conditions préalables suivantes :

  1. Créez un compte de service.

  2. Choisissez et configurez l'une des méthodes d'authentification suivantes :

    • Option 1 : Workload Identity (recommandé) : cette méthode utilise des jetons d'accès temporaires de courte durée via l'emprunt d'identité d'un compte de service. Vous n'avez donc pas besoin de stocker de secrets.

    • Option 2 : Clé JSON du compte de service : cette méthode repose sur un fichier de clé secrète statique et de longue durée. N'utilisez cette méthode que si l'authentification Workload Identity n'est pas disponible dans votre environnement.

Créer un compte de service

Pour créer un compte de service pour l'intégration, procédez comme suit :

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service.

    Accéder à la page "Comptes de service"

  2. Cliquez sur addCréer un compte de service, puis indiquez un nom et une description.

  3. Cliquez sur OK pour terminer la création du compte. L'adresse e-mail de ce compte de service est utilisée lors du processus de configuration de l'authentification.

Configurer les identifiants Workload Identity

Choisissez cette méthode ou la méthode de clé JSON pour authentifier l'intégration. Workload Identity est l'approche recommandée et la plus sécurisée, car elle utilise des jetons d'accès temporaires de courte durée en empruntant l'identité d'un compte de service. Cela évite d'avoir à stocker des secrets de longue durée ou à effectuer une rotation de ces secrets.

Identifier l'identité unique de l'instance

Pour vous authentifier à l'aide de Workload Identity, vous devez autoriser votre instance Google SecOps à emprunter l'identité de votre compte de service. Cela permet à l'instance d'accéder de manière sécurisée aux ressources Google Cloud .

  1. Dans Google SecOps, accédez à Content Hub > Intégrations de réponse.

  2. Sélectionnez l'intégration Web Risk, puis saisissez l'adresse e-mail de votre compte de service dans Adresse e-mail Workload Identity.

  3. Saisissez un ID de projet valide dans ID du projet de quota.

  4. Cliquez sur Enregistrer > Tester. Le test devrait échouer.

  5. Cliquez sur close_small à droite de Test et recherchez dans le message d'erreur l'adresse e-mail d'identité commençant par gke-init-python@... ou soar-python@....

  6. Copiez cette adresse e-mail unique.

Autoriser l'identité de l'instance dans Google Cloud

Après avoir récupéré l'identité unique de votre instance Google SecOps, vous devez l'autoriser à accéder à vos ressourcesGoogle Cloud . Cette étape active l'emprunt d'identité d'un compte de service, ce qui permet à la plate-forme de générer des jetons éphémères et d'agir en votre nom sans avoir besoin de clés statiques.

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service.

    Accéder à la page "Comptes de service"

  2. Sélectionnez le compte de service cible, puis accédez à Autorisations > Accorder l'accès.

  3. Collez l'adresse e-mail unique dans le champ Nouveaux comptes principaux et attribuez le rôle Créateur de jetons du compte de service (roles/iam.serviceAccountTokenCreator).

Accorder l'accès au projet de quota

Lorsque vous vous authentifiez à l'aide d'une Workload Identity, vous devez spécifier un Quota Project ID dans les paramètres d'intégration pour suivre l'utilisation de l'API et la facturation.

Pour ce faire, vous devez attribuer à votre compte de service le rôle suivant sur le projet de quota désigné :

  1. Dans la console Google Cloud , accédez à IAM et administration > IAM, puis sélectionnez votre projet.

    Accéder à IAM

  2. Recherchez votre compte de service dans la liste des comptes principaux, puis cliquez sur edit(Modifier le compte principal) pour ce compte.

  3. Cliquez sur Ajouter un autre rôle, puis sélectionnez le rôle Consommateur Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Cliquez sur Enregistrer.

Configurer une clé JSON

Choisissez cette méthode ou la méthode Workload Identity pour authentifier l'intégration. N'utilisez la méthode de clé JSON que si Workload Identity n'est pas disponible dans votre environnement. Workload Identity est l'approche recommandée et la plus sécurisée. Cette méthode repose sur un fichier de clé secrète statique et de longue durée qui nécessite une gestion et une rotation manuelles.

Suivez la procédure ci-dessous pour générer le fichier de clé JSON requis pour authentifier l'intégration :

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service, puis sélectionnez le compte de service que vous avez créé.

    Accéder à la page "Comptes de service"

  2. Accédez à l'onglet Clés.

  3. Cliquez sur Ajouter une clé > Créer une clé.

  4. Sélectionnez le type de clé JSON, puis cliquez sur Créer. Le navigateur télécharge le fichier JSON sur votre ordinateur.

  5. Copiez l'intégralité du contenu de ce fichier et collez-le dans Service Account JSON File Content lors de la configuration de l'intégration.

Paramètres d'intégration

L'intégration de Web Risk nécessite les paramètres suivants :

Paramètre Description
Workload Identity Email

Facultatif.

Adresse e-mail du client de votre compte de service.

Ne configurez ce paramètre que si vous vous authentifiez à l'aide d'une identité de charge de travail.

Si vous configurez ce paramètre, vous devez également configurer Quota Project ID.
Service Account JSON File Content

Facultatif.

Contenu complet du fichier de clé JSON du compte de service.

Ne configurez ce paramètre que si vous vous authentifiez à l'aide d'une clé JSON.
Quota Project ID

Facultatif.

ID du projet Google Cloud utilisé pour l'utilisation de l'API et de la facturation.

Ce paramètre est obligatoire si vous vous authentifiez à l'aide d'une identité de charge de travail.
Project ID

Facultatif.

ID du projet Google Cloud à utiliser dans l'intégration.

Si aucune valeur n'est fournie, l'intégration récupère l'ID à partir des identifiants du compte de service.
Verify SSL

Obligatoire.

Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Web Risk.

Cette option est activée par défaut.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Enrichir les entités

Utilisez l'action Enrichir les entités pour renvoyer des informations sur les entités Google SecOps à partir de Web Risk.

Cette action s'exécute sur l'entité Google SecOps URL.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Enrichir les entités fournit les résultats suivants :

Type de sortie de l'action Disponibilité
Pièce jointe du mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement des entités Disponible
Résultat JSON Disponible
Messages de sortie Disponible
Résultat du script Disponible
Table d'enrichissement des entités

L'action Enrichir les entités peut enrichir l'entité URL et fournir les résultats d'enrichissement suivants :

Nom du champ d'enrichissement Source (clé JSON) Applicabilité
threatTypes Fichier CSV des types de menaces. Lorsqu'il est disponible dans le résultat JSON.
Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Enrichir les entités :

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}
Messages de sortie

L'action Enrichir les entités peut renvoyer les messages de sortie suivants :

Message de sortie Description du message

Successfully enriched the following entities in Web Risk: ENTITY_ID.

The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID.

No information was found for the provided entities.

 L'action a réussi.
Error executing action "Enrich Entities". Reason: ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Enrichir les entités :

Nom du résultat du script Valeur
is_success True ou False

Ping

Utilisez l'action Ping pour tester la connectivité à Web Risk.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action Disponibilité
Pièce jointe du mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement Non disponible
Résultat JSON Non disponible
Messages de sortie Disponible
Résultat du script Disponible
Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie Description du message
Successfully connected to the Web Risk server with the provided connection parameters! L'action a réussi.
Failed to connect to the Web Risk server! Error is ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script Valeur
is_success True ou False

Envoyer des entités

Utilisez l'action Envoyer des entités pour envoyer des entités à Web Risk pour analyse.

Cette action est asynchrone. Ajustez la valeur du délai avant expiration du script dans l'environnement de développement intégré (IDE) de Google SecOps pour l'action, si nécessaire.

Cette action s'exécute sur l'entité Google SecOps URL.

Entrées de l'action

L'action Envoyer des entités nécessite les paramètres suivants :

Paramètre Description
Abuse Type

Facultatif.

Type d'abus associé à un envoi.

Pour en savoir plus sur les types d'abus, consultez AbuseType.

Les valeurs possibles sont les suivantes :

  • Select One
  • Malware
  • Social Engineering
  • Unwanted Software

La valeur par défaut est Select One.
Confidence Level

Facultatif.

Le niveau de confiance d'un envoi.

Pour en savoir plus sur les niveaux de confiance, consultez Confidence et ConfidenceLevel.

Les valeurs possibles sont les suivantes :

  • Select One
  • Low
  • Medium
  • High

La valeur par défaut est Select One.
Justification

Facultatif.

Justification d'un envoi.

Pour en savoir plus sur les options de justification, consultez JustificationLabel.

Les valeurs possibles sont les suivantes :

  • Manual Verification
  • User Report
  • Automated Report

La valeur par défaut est User Report.
Comment

Facultatif.

Commentaire justifiant l'envoi.
Region Code

Facultatif.

Liste de codes CLDR (Common Locale Data Repository) séparés par une virgule pour les pays ou régions associés à l'envoi. Pour en savoir plus sur les envois, consultez Envoi.
Platform

Facultatif.

Type de plate-forme sur lequel l'envoi a été détecté.

Les valeurs possibles sont les suivantes :

  • Select One
  • Android
  • iOS
  • MacOS
  • Windows

La valeur par défaut est Select One.
Skip Waiting

Facultatif.

Si cette option est sélectionnée, l'action initialise l'envoi et n'attend pas qu'il se termine.

La valeur par défaut est True.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.