Mengintegrasikan Web Risk dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan Web Risk dengan Google Security Operations.

Kasus penggunaan

Integrasi Web Risk menggunakan kemampuan Google SecOps untuk mendukung kasus penggunaan berikut:

  • Pencarian reputasi URL: Memeriksa URL berdasarkan daftar resource berbahaya yang diketahui Google untuk mengidentifikasi phishing, malware, dan software yang tidak diinginkan.

  • Pengayaan insiden: Otomatis memperkaya notifikasi keamanan dengan threat intelligence dari Web Risk untuk membantu analis memprioritaskan dan merespons ancaman.

  • Mitigasi URL berbahaya: Gabungkan pemeriksaan Web Risk ke dalam playbook untuk otomatis memblokir atau menandai domain berisiko tinggi yang diidentifikasi selama investigasi.

  • Mengotomatiskan respons phishing: Verifikasi link mencurigakan yang diekstrak dari email yang dilaporkan pengguna untuk mengonfirmasi upaya phishing dan memicu tindakan penahanan otomatis seperti notifikasi pengguna atau reset kredensial.

  • Memvalidasi kecerdasan eksternal: Lakukan referensi silang URL dari feed ancaman pihak ketiga dengan daftar fidelitas tinggi Googleuntuk mengurangi positif palsu dan mengonfirmasi niat berbahaya sebelum mengambil tindakan yang merusak.

Sebelum memulai

Sebelum Anda mengonfigurasi integrasi Web Risk di Google SecOps, selesaikan prasyarat berikut:

  1. Membuat akun layanan:

  2. Pilih dan konfigurasi salah satu metode autentikasi berikut:

    • Opsi 1: Workload Identity (direkomendasikan): Metode ini menggunakan token akses sementara yang berumur singkat melalui peniruan akun layanan, sehingga Anda tidak perlu menyimpan secret.

    • Opsi 2: Kunci JSON akun layanan: Metode ini mengandalkan file kunci rahasia statis yang berumur panjang. Gunakan metode ini hanya jika autentikasi Workload Identity tidak tersedia di lingkungan Anda.

Membuat akun layanan

Untuk membuat akun layanan untuk integrasi, selesaikan langkah-langkah berikut:

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts.

    Buka Akun Layanan

  2. Klik addCreate service account, lalu berikan nama dan deskripsi.

  3. Klik Selesai untuk menyelesaikan pembuatan akun. Alamat email akun layanan ini digunakan selama proses konfigurasi autentikasi.

Mengonfigurasi kredensial Workload Identity

Pilih metode ini atau metode kunci JSON untuk mengautentikasi integrasi. Workload Identity adalah pendekatan yang direkomendasikan dan lebih aman karena menggunakan token akses sementara berumur pendek menggunakan peniruan akun layanan, sehingga tidak perlu menyimpan atau merotasi secret berumur panjang.

Mengidentifikasi identitas instance yang unik

Untuk melakukan autentikasi menggunakan Workload Identity, Anda harus memberikan izin kepada instance Google SecOps untuk meniru identitas akun layanan Anda. Hal ini memungkinkan instance mengakses resource Google Cloud dengan aman.

  1. Di Google SecOps, buka Content Hub > Response Integrations.

  2. Pilih integrasi Web Risk, lalu masukkan email akun layanan Anda di Workload Identity Email.

  3. Masukkan project ID yang valid di Quota Project ID.

  4. Klik Save > Test. Pengujian diperkirakan akan gagal.

  5. Klik close_small di sebelah kanan Test dan telusuri pesan error untuk email identitas yang diawali dengan gke-init-python@... atau soar-python@....

  6. Salin alamat email unik ini.

Mengizinkan identitas instance di Google Cloud

Setelah mengambil identitas unik untuk instance Google SecOps, Anda harus memberinya otorisasi untuk mengakses resourceGoogle Cloud Anda. Langkah ini mengaktifkan peniruan akun layanan, yang memungkinkan platform membuat token berumur singkat dan bertindak atas nama Anda tanpa memerlukan kunci statis.

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts.

    Buka Akun Layanan

  2. Pilih akun layanan target dan buka Permissions > Grant Access.

  3. Tempelkan alamat email unik ke kolom New principals dan tetapkan peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

Memberikan akses project kuota

Saat melakukan autentikasi menggunakan Workload Identity, Anda harus menentukan Quota Project ID di setelan integrasi untuk melacak penggunaan dan penagihan API.

Untuk mengizinkan hal ini, Anda harus memberikan peran berikut kepada akun layanan Anda di project kuota yang ditetapkan:

  1. Di konsol Google Cloud , buka IAM & Admin > IAM, lalu pilih project Anda.

    Buka IAM

  2. Temukan akun layanan Anda dalam daftar akun utama, lalu klik edit(Edit principal) untuk akun tersebut.

  3. Klik Add another role, lalu pilih peran Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

  4. Klik Simpan.

Mengonfigurasi kunci JSON

Pilih metode ini atau metode Workload Identity untuk mengautentikasi integrasi. Gunakan metode kunci JSON hanya jika Workload Identity tidak tersedia di lingkungan Anda. Workload Identity adalah pendekatan yang direkomendasikan dan lebih aman. Metode ini mengandalkan file kunci rahasia statis yang berumur panjang, yang memerlukan pengelolaan dan rotasi manual.

Gunakan prosedur berikut untuk membuat file kunci JSON yang diperlukan untuk mengautentikasi integrasi:

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts, lalu pilih akun layanan yang Anda buat.

    Buka Akun Layanan

  2. Buka tab Keys.

  3. Klik Add key > Create new key.

  4. Pilih JSON sebagai jenis kunci dan klik Create. Browser akan mendownload file JSON ke komputer Anda.

  5. Salin seluruh konten file ini dan tempelkan ke Service Account JSON File Content selama konfigurasi integrasi.

Parameter integrasi

Integrasi Web Risk memerlukan parameter berikut:

Parameter Deskripsi
Workload Identity Email

Opsional.

Alamat email klien akun layanan Anda.

Hanya konfigurasikan parameter ini jika Anda melakukan autentikasi menggunakan Workload Identity.

Jika mengonfigurasi parameter ini, Anda juga harus mengonfigurasi Quota Project ID.
Service Account JSON File Content

Opsional.

Konten lengkap file kunci JSON akun layanan.

Konfigurasikan parameter ini hanya jika Anda melakukan autentikasi menggunakan kunci JSON.
Quota Project ID

Opsional.

Google Cloud project ID yang digunakan untuk tujuan penggunaan dan penagihan API.

Parameter ini wajib jika Anda melakukan autentikasi menggunakan Workload Identity.
Project ID

Opsional.

Project ID Google Cloud yang akan digunakan dalam integrasi.

Jika tidak ada nilai yang diberikan, integrasi akan mengambil ID dari kredensial akun layanan.
Verify SSL

Wajib.

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Web Risk.

Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Memperkaya Entity

Gunakan tindakan Enrich Entities untuk menampilkan informasi tentang entity Google SecOps dari Web Risk.

Tindakan ini berjalan di entity URL Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Enrich Entities memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan entitas Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Tabel pengayaan entitas

Tindakan Enrich Entities dapat memperkaya entity URL dan memberikan hasil pengayaan berikut:

Nama kolom pengayaan Sumber (kunci JSON) Penerapan
threatTypes File CSV jenis ancaman. Jika tersedia dalam hasil JSON.
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Enrich Entities:

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}
Pesan output

Tindakan Enrich Entities dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched the following entities in Web Risk: ENTITY_ID.

The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID.

No information was found for the provided entities.

 Tindakan berhasil.
Error executing action "Enrich Entities". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Enrich Entities:

Nama hasil skrip Nilai
is_success True atau False

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Web Risk.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan
Successfully connected to the Web Risk server with the provided connection parameters! Tindakan berhasil.
Failed to connect to the Web Risk server! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip Nilai
is_success True atau False

Mengirim Entity

Gunakan tindakan Submit Entities untuk mengirimkan entity ke Web Risk untuk dianalisis.

Tindakan ini bersifat asinkron. Sesuaikan nilai waktu tunggu skrip di lingkungan pengembangan terintegrasi (IDE) Google SecOps untuk tindakan, sesuai kebutuhan.

Tindakan ini berjalan di entity URL Google SecOps.

Input tindakan

Tindakan Kirim Entitas memerlukan parameter berikut:

Parameter Deskripsi
Abuse Type

Opsional.

Jenis penyalahgunaan yang terkait dengan kiriman.

Untuk mengetahui informasi selengkapnya tentang jenis penyalahgunaan, lihat AbuseType.

Kemungkinan nilainya adalah sebagai berikut:

  • Select One
  • Malware
  • Social Engineering
  • Unwanted Software

Nilai defaultnya adalah Select One.
Confidence Level

Opsional.

Tingkat keyakinan untuk pengiriman.

Untuk mengetahui informasi selengkapnya tentang tingkat keyakinan, lihat Confidence dan ConfidenceLevel.

Nilai yang memungkinkan adalah sebagai berikut:

  • Select One
  • Low
  • Medium
  • High

Nilai defaultnya adalah Select One.
Justification

Opsional.

Justifikasi untuk pengiriman.

Untuk informasi selengkapnya tentang opsi justifikasi, lihat JustificationLabel.

Kemungkinan nilainya adalah sebagai berikut:

  • Manual Verification
  • User Report
  • Automated Report

Nilai defaultnya adalah User Report.
Comment

Opsional.

Komentar untuk menjustifikasi pengiriman.
Region Code

Opsional.

Daftar yang dipisahkan koma berisi kode Common Locale Data Repository (CLDR) untuk negara atau wilayah yang terkait dengan pengiriman. Untuk mengetahui informasi selengkapnya tentang pengiriman, lihat Pengiriman.
Platform

Opsional.

Jenis platform tempat pengiriman terdeteksi.

Kemungkinan nilainya adalah sebagai berikut:

  • Select One
  • Android
  • iOS
  • MacOS
  • Windows

Nilai defaultnya adalah Select One.
Skip Waiting

Opsional.

Jika dipilih, tindakan akan menginisialisasi pengiriman dan tidak menunggu hingga selesai.

Nilai defaultnya adalah True.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.