Questa pagina fornisce una panoramica dei moduli personalizzati per Event Threat Detection.
Puoi configurare i moduli, noti anche come detector, per elaborare il flusso di Cloud Logging e rilevare le minacce in base ai parametri specificati. Questa funzionalità estende le funzionalità di monitoraggio di Event Threat Detection e ti consente di aggiungere moduli con i tuoi parametri di rilevamento, indicazioni di correzione e designazioni di gravità per configurazioni che i rilevatori integrati potrebbero non supportare.
I moduli personalizzati sono utili se hai bisogno di moduli con regole di rilevamento che soddisfino le esigenze uniche della tua organizzazione. Ad esempio, puoi aggiungere un modulo personalizzato che crea risultati se le voci di log mostrano che una risorsa è connessa a indirizzi IP specifici o è creata in una regione con limitazioni.
Come funzionano i moduli personalizzati per Event Threat Detection
I moduli personalizzati sono un gruppo selezionato di rilevatori Event Threat Detection che puoi configurare con i tuoi parametri di rilevamento. Puoi creare un modulo personalizzato Event Threat Detection tramite la console Google Cloud . In alternativa, puoi crearne uno aggiornando un modello di modulo personalizzato e inviando il modulo personalizzato a Security Command Center tramite Google Cloud CLI. Per informazioni sui modelli disponibili, consulta Moduli e modelli personalizzati.
I modelli di moduli personalizzati sono scritti in JSON e consentono di definire i parametri di rilevamento che controllano quali eventi nelle voci di log devono attivare i risultati. Ad esempio, il rilevatore Malware: Bad IP integrato controlla i log di flusso di Virtual Private Cloud per rilevare prove di connessioni a indirizzi IP sospetti noti. Tuttavia, puoi attivare e modificare il modulo personalizzato Configurable Bad IP con un elenco di indirizzi IP sospetti che gestisci. Se i log
indicano una connessione a uno degli indirizzi IP forniti, viene
generato un risultato e scritto in Security Command Center.
I modelli di moduli consentono inoltre di definire la gravità delle minacce e fornire passaggi di correzione personalizzati per aiutare i team di sicurezza a risolvere i problemi.
Con i moduli personalizzati, hai un maggiore controllo sul modo in cui Event Threat Detection rileva le minacce e segnala i risultati. I moduli personalizzati includono i parametri forniti, ma utilizzano comunque la logica di rilevamento proprietaria e l'intelligence sulle minacce di Event Threat Detection, inclusa la corrispondenza degli indicatori tripwire. Puoi implementare un'ampia gamma di modelli di minaccia personalizzati in base ai requisiti unici della tua organizzazione.
I moduli personalizzati per Event Threat Detection vengono eseguiti insieme ai rivelatori integrati. I moduli attivati vengono eseguiti in modalità in tempo reale, il che attiva le scansioni ogni volta che vengono creati nuovi log.
Moduli e modelli personalizzati
La tabella seguente contiene un elenco dei tipi di moduli personalizzati supportati, descrizioni, log richiesti e modelli di moduli JSON.
Hai bisogno di questi modelli di moduli JSON se vuoi utilizzare gcloud CLI per creare o aggiornare moduli personalizzati. Per visualizzare un modello, fai clic sull'icona di espansione accanto al nome. Per informazioni sull'utilizzo dei moduli personalizzati, consulta Configurazione e gestione di moduli personalizzati.
| Categoria risultati | Module type | Tipi di origini log | Descrizione |
|---|---|---|---|
| IP non valido configurabile | CONFIGURABLE_BAD_IP |
Log di flusso VPC Log delle regole firewall |
Rileva la connessione a un indirizzo IP specificato |
|
Modello: IP non valido configurabile
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"ips": [
"IP_ADDRESS_1",
"IP_ADDRESS_2"
]
}Sostituisci quanto segue:
|
|||
| Dominio non valido configurabile | CONFIGURABLE_BAD_DOMAIN
|
Log di Cloud DNS | Rileva la connessione a un nome di dominio specificato |
|
Modello: Configurable bad domain
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"domains": [
"DOMAIN_1","DOMAIN_2"
]
}Sostituisci quanto segue:
|
|||
| Tipo di istanza Compute Engine imprevisto | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_INSTANCE_TYPE
|
Audit log di Cloud: Log attività di amministrazione |
Rileva la creazione di istanze Compute Engine che non corrispondono al tipo di istanza o alla configurazione specificata. |
|
Modello: Tipo di istanza Compute Engine imprevisto
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"instances": [
{
"series": "SERIES",
"cpus": {
"minimum": MINIMUM_NUMBER_OF_CPUS,
"maximum": MAXIMUM_NUMBER_OF_CPUS
},
"ram_mb": {
"minimum": MINIMUM_RAM_SIZE,
"maximum": MAXIMUM_RAM_SIZE
},
"gpus": {
"minimum": MINIMUM_NUMBER_OF_GPUS,
"maximum": MAXIMUM_NUMBER_OF_GPUS
},
"projects": [
"PROJECT_ID_1",
"PROJECT_ID_2"
],
"regions": [
"REGION_1",
"REGION_2"
]
},
{
"series": " ... ",
...
"regions": [ ... ]
}
]
}
Sostituisci quanto segue:
|
|||
| Immagine di origine Compute Engine imprevista | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_SOURCE_IMAGE |
Audit log di Cloud: Log attività di amministrazione |
Rileva la creazione di un'istanza Compute Engine con un'immagine o una famiglia di immagini che non corrisponde a un elenco specificato |
|
Modello: Immagine di origine Compute Engine imprevista
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"patterns": [
{
"pattern": "PATTERN_1",
"name": "NAME_1"
},
{
"pattern": "PATTERN_2",
"name": "NAME_2"
}
]
}Sostituisci quanto segue:
|
|||
| Regione Compute Engine imprevista | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION |
Audit log di Cloud: Log attività di amministrazione |
Rileva la creazione di un'istanza Compute Engine in una regione che non si trova in un elenco specificato |
|
Modello: Regione Compute Engine imprevista
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"regions": [
{
"region": "REGION_1"
},
{
"region": "REGION_2"
}
]
}Sostituisci quanto segue:
|
|||
| Account di emergenza utilizzato | CONFIGURABLE_BREAKGLASS_ACCOUNT_USED |
Audit log di Cloud: Log attività di amministrazione Log di accesso ai dati (facoltativo) |
Rileva l'utilizzo di un account di accesso di emergenza (deployment di emergenza) |
|
Modello: Account di emergenza utilizzato
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"accounts": [
"BREAKGLASS_ACCOUNT_1", "BREAKGLASS_ACCOUNT_2"
]
}Sostituisci quanto segue:
|
|||
| Concessione del ruolo imprevista | CONFIGURABLE_UNEXPECTED_ROLE_GRANT |
Audit log di Cloud: Log attività di amministrazione |
Rileva quando un ruolo specificato viene concesso a un utente |
|
Modello: Concessione di ruoli imprevista
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"roles": ["ROLE_1", "ROLE_2"]
}Sostituisci quanto segue:
|
|||
| Ruolo personalizzato con autorizzazione vietata | CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION |
Audit log di Cloud: Log attività di amministrazione |
Rileva quando viene creato o aggiornato un ruolo personalizzato con una qualsiasi delle autorizzazioni IAM specificate. |
|
Modello: ruolo personalizzato con autorizzazione vietata
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"permissions": [
"PERMISSION_1",
"PERMISSION_2"
]
}Sostituisci quanto segue:
|
|||
| Chiamata API Cloud imprevista | CONFIGURABLE_UNEXPECTED_CLOUD_API_CALL
|
Audit log di Cloud: Log attività di amministrazione Log di accesso ai dati (facoltativo) |
Rileva quando un'entità specificata chiama un metodo specificato su una risorsa specificata. Un risultato viene generato solo se tutte le espressioni regolari corrispondono a una singola voce di log. |
|
Modello: Unexpected Cloud API Call
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"caller_pattern": "CALLER_PATTERN",
"method_pattern": "METHOD_PATTERN",
"resource_pattern": "RESOURCE_PATTERN"
}Sostituisci quanto segue:
|
|||
Prezzi e quote
Questa funzionalità è gratuita per i clienti di Security Command Center Premium.
I moduli personalizzati per Event Threat Detection sono soggetti a limiti di quota.
Il limite di quota predefinito per la creazione di moduli personalizzati è 200.
Anche le chiamate API ai metodi dei moduli personalizzati sono soggette a limiti di quota. La tabella seguente mostra i limiti di quota predefiniti per le chiamate API dei moduli personalizzati.
| Tipo di chiamata API | Limite |
|---|---|
| Get, List | 1000 chiamate API al minuto per organizzazione |
| Crea, aggiorna, elimina | 60 chiamate API al minuto per organizzazione |
Limiti di dimensione dei moduli
Ogni modulo personalizzato di Event Threat Detection ha un limite di dimensioni di 6 MB.
Limiti di frequenza
Si applicano i seguenti limiti di frequenza:
- 30 risultati per modulo personalizzato all'ora.
- 200 risultati di moduli personalizzati per risorsa padre (organizzazione o progetto) all'ora. Ogni risultato viene conteggiato per un'organizzazione o un progetto, a seconda del livello in cui è stato creato il modulo personalizzato di origine.
Questi limiti non possono essere aumentati.
Passaggi successivi
- Scopri come creare e gestire moduli personalizzati.