Integrar o Web Risk ao Google SecOps

Este documento explica como integrar o Web Risk ao Google Security Operations.

Casos de uso

A integração do Web Risk usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:

  • Pesquisas de reputação de URL: verifique URLs nas listas do Google de recursos maliciosos conhecidos para identificar phishing, malware e software indesejado.

  • Enriquecimento de incidentes: enriqueça automaticamente os alertas de segurança com inteligência contra ameaças do Web Risk para ajudar os analistas a priorizar e responder a ameaças.

  • Mitigação de URLs maliciosos: incorpore as verificações do Web Risk aos playbooks para bloquear ou sinalizar automaticamente domínios de alto risco identificados durante as investigações.

  • Automatizar a resposta a phishing: verifique links suspeitos extraídos de e-mails denunciados por usuários para confirmar tentativas de phishing e acionar ações de contenção automatizadas, como notificação do usuário ou redefinição de credenciais.

  • Validar inteligência externa: compare URLs de feeds de ameaças de terceiros com as listas de alta fidelidade do Googlepara reduzir falsos positivos e confirmar intenções maliciosas antes de tomar medidas destrutivas.

Antes de começar

Antes de configurar a integração do Web Risk no Google SecOps, conclua os seguintes pré-requisitos:

  1. Crie uma conta de serviço.

  2. Escolha e configure um dos seguintes métodos de autenticação:

    • Opção 1: Identidade da carga de trabalho (recomendado): esse método usa tokens de acesso temporários de curta duração por meio da identidade temporária de conta de serviço, para que você não precise armazenar secrets.

    • Opção 2: chave JSON da conta de serviço: esse método depende de um arquivo de chave secreta estático e de longa duração. Use esse método somente se a autenticação da Identidade da carga de trabalho não estiver disponível no seu ambiente.

Criar uma conta de serviço

Para criar uma conta de serviço para a integração, siga estas etapas:

  1. No console do Google Cloud , acesse IAM e administrador > Contas de serviço.

    Acessar a página "Contas de serviço"

  2. Clique em addCriar conta de serviço e forneça um nome e uma descrição.

  3. Clique em Concluído para terminar a criação da conta. O endereço de e-mail dessa conta de serviço é usado durante o processo de configuração da autenticação.

Configurar credenciais da Identidade da carga de trabalho

Escolha esse método ou o método de chave JSON para autenticar a integração. A Identidade da carga de trabalho é a abordagem recomendada e mais segura porque usa tokens de acesso temporários de curta duração com a identidade temporária de conta de serviço, eliminando a necessidade de armazenar ou alternar secrets de longa duração.

Identificar a identidade exclusiva da instância

Para autenticar usando uma Identidade da carga de trabalho, conceda à instância do Google SecOps permissão para representar sua conta de serviço. Isso permite que a instância acesse os recursos do Google Cloud com segurança.

  1. No Google SecOps, acesse Hub de conteúdo > Integrações de resposta.

  2. Selecione a integração do Web Risk e insira o e-mail da sua conta de serviço em E-mail da Identidade da carga de trabalho.

  3. Insira um ID do projeto válido em ID do projeto de cota.

  4. Clique em Salvar > Testar. O teste deve falhar.

  5. Clique em close_small à direita de Teste e pesquise na mensagem de erro o e-mail de identidade que começa com gke-init-python@... ou soar-python@....

  6. Copie esse endereço de e-mail exclusivo.

Autorize a identidade da instância em Google Cloud

Depois de recuperar a identidade exclusiva da sua instância do Google SecOps, você precisa autorizá-la a acessar os recursos doGoogle Cloud . Essa etapa permite a identidade temporária de conta de serviço, que permite que a plataforma gere tokens de curta duração e aja em seu nome sem a necessidade de chaves estáticas.

  1. No console do Google Cloud , acesse IAM e administrador > Contas de serviço.

    Acessar a página "Contas de serviço"

  2. Selecione a conta de serviço de destino e acesse Permissões > Conceder acesso.

  3. Cole o endereço de e-mail exclusivo no campo Novos principais e atribua o papel Criador de token da conta de serviço (roles/iam.serviceAccountTokenCreator).

Conceder acesso ao projeto de cota

Ao autenticar usando uma identidade da carga de trabalho, é necessário especificar um Quota Project ID nas configurações de integração para acompanhar o uso e o faturamento da API.

Para autorizar isso, conceda à conta de serviço o seguinte papel no projeto de cota designado:

  1. No console do Google Cloud , acesse IAM e administrador > IAM e selecione seu projeto.

    Acessar IAM

  2. Localize sua conta de serviço na lista de principais e clique em editar(Editar principal) para essa conta.

  3. Clique em Adicionar outro papel e selecione o papel Consumidor do Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Clique em Salvar.

Configurar uma chave JSON

Escolha esse método ou o método de Identidade da carga de trabalho para autenticar a integração. Use o método de chave JSON somente se a Identidade da carga de trabalho não estiver disponível no seu ambiente. A Identidade da carga de trabalho é a abordagem recomendada e mais segura. Esse método depende de um arquivo de chave secreta estático e de longa duração que exige gerenciamento e rotação manuais.

Use o procedimento a seguir para gerar o arquivo de chave JSON necessário para autenticar a integração:

  1. No console do Google Cloud , acesse IAM e administrador > Contas de serviço e selecione a conta de serviço que você criou.

    Acessar a página "Contas de serviço"

  2. Acesse a guia Chaves.

  3. Clique em Adicionar chave > Criar nova chave.

  4. Selecione JSON como o tipo de chave e clique em Criar. O navegador faz o download do arquivo JSON para seu computador.

  5. Copie todo o conteúdo desse arquivo e cole em Service Account JSON File Content durante a configuração da integração.

Parâmetros de integração

A integração do Web Risk requer os seguintes parâmetros:

Parâmetro Descrição
Workload Identity Email

Opcional.

O endereço de e-mail do cliente da sua conta de serviço.

Configure esse parâmetro apenas se você estiver autenticando usando uma Identidade da carga de trabalho.

Se você configurar esse parâmetro, também precisará configurar Quota Project ID.
Service Account JSON File Content

Opcional.

O conteúdo completo do arquivo de chave JSON da conta de serviço.

Configure esse parâmetro apenas se você estiver autenticando usando uma chave JSON.
Quota Project ID

Opcional.

O ID do projeto do Google Cloud usado para fins de uso e faturamento da API.

Esse parâmetro é obrigatório se você estiver autenticando usando uma Identidade da carga de trabalho.
Project ID

Opcional.

O ID do projeto do Google Cloud a ser usado na integração.

Se nenhum valor for fornecido, a integração vai recuperar o ID das credenciais da conta de serviço.
Verify SSL

Obrigatório.

Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do Web Risk.

Ativado por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Enriquecer entidades

Use a ação Enriquecer entidades para retornar informações sobre entidades do Google SecOps do Web Risk.

Essa ação é executada na entidade URL do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Enriquecer entidades fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento de entidades Disponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Tabela de enriquecimento de entidades

A ação Enriquecer entidades pode enriquecer a entidade URL e fornecer os seguintes resultados de enriquecimento:

Nome do campo de enriquecimento Origem (chave JSON) Aplicabilidade
threatTypes O arquivo CSV de tipos de ameaça. Quando disponível no resultado JSON.
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Enriquecer entidades:

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}
Mensagens de saída

A ação Enrich Entities pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully enriched the following entities in Web Risk: ENTITY_ID.

The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID.

No information was found for the provided entities.

 A ação foi concluída.
Error executing action "Enrich Entities". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Enriquecer entidades:

Nome do resultado do script Valor
is_success True ou False

Ping

Use a ação Ping para testar a conectividade com o Web Risk.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Ping pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem
Successfully connected to the Web Risk server with the provided connection parameters! A ação foi concluída.
Failed to connect to the Web Risk server! Error is ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Enviar entidades

Use a ação Enviar entidades para enviar entidades ao Web Risk para análise.

Essa ação é assíncrona. Ajuste o valor do tempo limite do script no ambiente de desenvolvimento integrado (IDE) do Google SecOps para a ação, conforme necessário.

Essa ação é executada na entidade URL do Google SecOps.

Entradas da ação

A ação Enviar entidades requer os seguintes parâmetros:

Parâmetro Descrição
Abuse Type

Opcional.

O tipo de abuso associado a um envio.

Para mais informações sobre os tipos de abuso, consulte AbuseType.

Os valores possíveis são os seguintes:

  • Select One
  • Malware
  • Social Engineering
  • Unwanted Software

O valor padrão é Select One.
Confidence Level

Opcional.

O nível de confiança de um envio.

Para mais informações sobre os níveis de confiança, consulte Confiança e ConfidenceLevel.

Os valores possíveis são os seguintes:

  • Select One
  • Low
  • Medium
  • High

O valor padrão é Select One.
Justification

Opcional.

A justificativa de um envio.

Para mais informações sobre as opções de justificativa, consulte JustificationLabel.

Os valores possíveis são os seguintes:

  • Manual Verification
  • User Report
  • Automated Report

O valor padrão é User Report.
Comment

Opcional.

Um comentário para justificar o envio.
Region Code

Opcional.

Uma lista separada por vírgulas dos códigos do Common Locale Data Repository (CLDR) para países ou regiões associados ao envio. Para mais informações sobre envios, consulte Envio.
Platform

Opcional.

Um tipo de plataforma em que o envio foi detectado.

Os valores possíveis são os seguintes:

  • Select One
  • Android
  • iOS
  • MacOS
  • Windows

O valor padrão é Select One.
Skip Waiting

Opcional.

Se selecionada, a ação inicializa o envio e não aguarda a conclusão.

O valor padrão é True.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.