Présentation des modules personnalisés pour Event Threat Detection

Niveaux de service Premium et Enterprise (obsolètes)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027.

Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après. Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.

Cette page présente les modules personnalisés pour Event Threat Detection.

Vous pouvez configurer des modules, également appelés détecteurs, pour traiter votre flux Cloud Logging et détecter les menaces en fonction des paramètres que vous spécifiez. Cette fonctionnalité étend les capacités de surveillance d'Event Threat Detection et vous permet d'ajouter des modules avec vos propres paramètres de détection, conseils de correction et désignations de gravité pour les configurations que les détecteurs intégrés ne prennent peut-être pas en charge.

Les modules personnalisés sont utiles si vous avez besoin de modules avec des règles de détection qui répondent aux besoins uniques de votre organisation. Par exemple, vous pouvez ajouter un module personnalisé qui crée des résultats si les entrées de journaux indiquent qu'une ressource est connectée à des adresses IP spécifiques ou qu'elle est créée dans une région soumise à des restrictions.

Fonctionnement des modules personnalisés Event Threat Detection

Les modules personnalisés sont un groupe sélectionné de détecteurs Event Threat Detection que vous pouvez configurer avec vos propres paramètres de détection. Vous pouvez créer un module personnalisé Event Threat Detection dans la console Google Cloud . Vous pouvez également en créer un en mettant à jour un modèle de module personnalisé et en envoyant le module personnalisé à Security Command Center via la Google Cloud CLI. Pour en savoir plus sur les modèles disponibles, consultez Modules et modèles personnalisés.

Les modèles de modules personnalisés sont écrits en JSON et vous permettent de définir des paramètres de détection qui contrôlent quels événements dans les entrées de journal doivent déclencher l'affichage des résultats. Par exemple, le détecteur Malware: Bad IP intégré vérifie les journaux de flux de cloud privé virtuel pour détecter les connexions à des adresses IP suspectes connues. Toutefois, vous pouvez activer et modifier le module personnalisé Configurable Bad IP avec une liste d'adresses IP suspectes que vous gérez. Si vos journaux indiquent une connexion à l'une des adresses IP que vous avez fournies, un résultat est généré et écrit dans Security Command Center.

Les modèles de modules vous permettent également de définir la gravité des menaces et de fournir des étapes de correction personnalisées pour aider vos équipes de sécurité à résoudre les problèmes.

Les modules personnalisés vous permettent de mieux contrôler la façon dont Event Threat Detection détecte les menaces et génère des résultats. Les modules personnalisés incluent les paramètres que vous avez fournis, mais utilisent toujours la logique de détection et les renseignements propriétaires sur les menaces d'Event Threat Detection, y compris la mise en correspondance des indicateurs de tripwire. Vous pouvez implémenter un large éventail de modèles de menace adaptés aux besoins spécifiques de votre organisation.

Les modules personnalisés Event Threat Detection s'exécutent parallèlement aux détecteurs intégrés. Les modules activés s'exécutent en mode en temps réel, qui déclenche des analyses chaque fois que de nouveaux journaux sont créés.

Modules et modèles personnalisés

Le tableau suivant contient la liste des types de modules personnalisés compatibles, des descriptions, des journaux requis et des modèles de modules JSON.

Vous avez besoin de ces modèles de modules JSON si vous souhaitez utiliser la gcloud CLI pour créer ou mettre à jour des modules personnalisés. Pour afficher un modèle, cliquez sur l'icône Développer  à côté de son nom. Pour en savoir plus sur l'utilisation des modules personnalisés, consultez Configurer et gérer les modules personnalisés.

Catégorie de résultats	Module type	Types de sources de journal	Description
Adresse IP incorrecte configurable	CONFIGURABLE_BAD_IP	Journaux de flux VPC Journaux de règles de pare-feu	Détecte une connexion à une adresse IP spécifiée
Modèle : Adresse IP incorrecte configurable { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "ips": [ "IP_ADDRESS_1", "IP_ADDRESS_2" ] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. IP_ADDRESS_1 : adresse IPv4 ou IPv6, ou bloc CIDR routable publiquement à surveiller (par exemple, 192.0.2.1 ou 192.0.2.0/24). IP_ADDRESS_2 : facultatif. Adresse IPv4 ou IPv6, ou bloc CIDR routable publiquement à surveiller (par exemple, 192.0.2.1 ou 192.0.2.0/24).
Domaine incorrect configurable	CONFIGURABLE_BAD_DOMAIN	Journaux Cloud DNS	Détecte une connexion à un nom de domaine spécifié
Modèle : Domaine incorrect configurable { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "domains": [ "DOMAIN_1","DOMAIN_2" ] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. DOMAIN_1 : nom de domaine à surveiller, par exemple example.com. La valeur localhost n'est pas autorisée. Les noms de domaine Unicode et Punycode sont normalisés. Par exemple, 例子.example et xn--fsqu00a.example sont équivalents. DOMAIN_2 : facultatif. Nom de domaine à surveiller (par exemple, example.com). La valeur localhost n'est pas autorisée. Les noms de domaine Unicode et Punycode sont normalisés. Par exemple, 例子.example et xn--fsqu00a.example sont équivalents.
Type d'instance Compute Engine inattendu	CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_INSTANCE_TYPE	Journaux d'audit Cloud : Journaux des activités d'administration	Détecte la création d'instances Compute Engine qui ne correspondent pas à la configuration d'instance ou au type que vous avez spécifié.
Modèle : Type d'instance Compute Engine inattendu { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "instances": [ { "series": "SERIES", "cpus": { "minimum": MINIMUM_NUMBER_OF_CPUS, "maximum": MAXIMUM_NUMBER_OF_CPUS }, "ram_mb": { "minimum": MINIMUM_RAM_SIZE, "maximum": MAXIMUM_RAM_SIZE }, "gpus": { "minimum": MINIMUM_NUMBER_OF_GPUS, "maximum": MAXIMUM_NUMBER_OF_GPUS }, "projects": [ "PROJECT_ID_1", "PROJECT_ID_2" ], "regions": [ "REGION_1", "REGION_2" ] }, { "series": " ... ", ... "regions": [ ... ] } ] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. SERIES : facultatif. Série de machines Compute Engine, par exemple C2. Si ce champ est vide, le module autorise toutes les séries. Pour en savoir plus, consultez le Guide des ressources de familles de machines et guide comparatif. MINIMUM_NUMBER_OF_CPUS : facultatif. Nombre minimal de processeurs à autoriser. Si cet attribut n'est pas présent, il n'y a pas de minimum. Il ne doit pas être négatif. MAXIMUM_NUMBER_OF_CPUS : facultatif. Nombre maximal de processeurs à autoriser. Si elle n'est pas présente, il n'y a pas de maximum. La valeur doit être supérieure ou égale à minimum et inférieure ou égale à 1 000. MINIMUM_RAM_SIZE : facultatif. Taille minimale de la RAM autorisée, en mégaoctets. Si cet attribut n'est pas présent, il n'y a pas de minimum. MAXIMUM_RAM_SIZE : facultatif. Taille maximale de la RAM à autoriser, en mégaoctets. Si cet attribut n'est pas spécifié, il n'y a pas de maximum. Doit être supérieur ou égal à minimum et inférieur ou égal à 10 000 000. MINIMUM_NUMBER_OF_GPUS : facultatif. Nombre minimal de GPU autorisés. Si cet attribut n'est pas présent, il n'y a pas de minimum. Il ne doit pas être négatif. MAXIMUM_NUMBER_OF_GPUS : facultatif. Nombre maximal de GPU à autoriser. Si elle n'est pas présente, il n'y a pas de maximum. Doit être supérieur ou égal à minimum et inférieur ou égal à 100. PROJECT_ID_1 : facultatif. ID d'un projet auquel vous souhaitez appliquer ce module (par exemple, projects/example-project). Si ce champ est vide ou non défini, le module est appliqué aux instances créées dans tous les projets du champ d'application actuel. PROJECT_ID_2 : facultatif. ID d'un projet auquel vous souhaitez appliquer ce module (par exemple, projects/example-project). REGION_1 : facultatif. Une région dans laquelle vous souhaitez appliquer ce module, par exemple us-central1. Si ce champ est vide ou non défini, le module est appliqué aux instances créées dans toutes les régions. REGION_2 : facultatif. Région dans laquelle vous souhaitez appliquer ce module (par exemple, us-central1).
Image source Compute Engine inattendue	CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_SOURCE_IMAGE	Journaux d'audit Cloud : Journaux des activités d'administration	Détecte la création d'une instance Compute Engine qui repose sur une image ou une famille d'images ne faisant pas partie d'une liste spécifiée
Modèle : Image source Compute Engine inattendue { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "patterns": [ { "pattern": "PATTERN_1", "name": "NAME_1" }, { "pattern": "PATTERN_2", "name": "NAME_2" } ] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. PATTERN_1 : expression régulière RE2 permettant de vérifier les images, par exemple debian-image-1. Si une image est utilisée pour créer une instance Compute Engine et que le nom de cette image ne correspond à aucune des expressions régulières spécifiées, un résultat est généré. NAME_1 : nom descriptif de ce modèle, par exemple first-image. PATTERN_2 : facultatif. Autre expression régulière RE2 à utiliser pour vérifier les images (par exemple, debian-image-2). NAME_2 : facultatif. Nom descriptif du deuxième modèle (par exemple, second-image).
Région Compute Engine inattendue	CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION	Journaux d'audit Cloud : Journaux des activités d'administration	Détecte la création d'une instance Compute Engine dans une région ne figurant pas dans une liste spécifiée
Modèle : Région Compute Engine inattendue { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "regions": [ { "region": "REGION_1" }, { "region": "REGION_2" } ] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. REGION_1 : nom d'une région à autoriser, par exemple us-west1. Si une instance Compute Engine est créée dans une région qui n'est pas spécifiée dans la liste, Event Threat Detection génère un résultat. REGION_2 : facultatif. Nom d'une région à autoriser, par exemple us-central1. Si une instance Compute Engine est créée dans une région qui n'est pas spécifiée dans la liste, Event Threat Detection génère un résultat.
Compte "bris de glace" utilisé	CONFIGURABLE_BREAKGLASS_ACCOUNT_USED	Journaux d'audit Cloud : Journaux des activités d'administration Journaux d'accès aux données (facultatif)	Détecte l'utilisation d'un compte d'accès d'urgence (bris de glace)
Modèle : Compte "bris de glace" utilisé { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "accounts": [ "BREAKGLASS_ACCOUNT_1", "BREAKGLASS_ACCOUNT_2" ] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. BREAKGLASS_ACCOUNT_1 : compte breakglass à surveiller, par exemple [e-mail]. Un résultat est généré si ce compte est utilisé pour une action enregistrée dans une entrée Cloud Audit Logs. BREAKGLASS_ACCOUNT_2 : facultatif. Un compte "bris de glace" à surveiller, par exemple [e-mail]. Un résultat est généré si ce compte est utilisé pour une action enregistrée dans une entrée Cloud Audit Logs.
Attribution de rôle inattendue	CONFIGURABLE_UNEXPECTED_ROLE_GRANT	Journaux d'audit Cloud : Journaux des activités d'administration	Détecte quand un rôle spécifié est attribué à un utilisateur
Modèle : Attribution de rôle inattendue { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "roles": ["ROLE_1", "ROLE_2"] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. ROLE_1 : rôle IAM à surveiller, par exemple roles/owner. Un résultat est généré si ce rôle est accordé. ROLE_2 : facultatif. Rôle IAM à surveiller (par exemple, roles/editor). Un résultat est généré si ce rôle est accordé.
Rôle personnalisé avec autorisation interdite	CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION	Journaux d'audit Cloud : Journaux des activités d'administration	Détecte la création ou la mise à jour d'un rôle personnalisé disposant de l'une des autorisations IAM spécifiées.
Modèle : Rôle personnalisé avec autorisation interdite { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "permissions": [ "PERMISSION_1", "PERMISSION_2" ] } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. PERMISSION_1 : autorisation IAM à surveiller, par exemple storage.buckets.list. Event Threat Detection génère un résultat si un rôle IAM personnalisé contenant cette autorisation est accordé à un compte principal. PERMISSION_2 : facultatif. Autorisation IAM à surveiller (par exemple, storage.buckets.get). Event Threat Detection génère un résultat si un rôle IAM personnalisé contenant cette autorisation est accordé à un compte principal.
Appel d'API Cloud inattendu	CONFIGURABLE_UNEXPECTED_CLOUD_API_CALL	Journaux d'audit Cloud : Journaux des activités d'administration Journaux d'accès aux données (facultatif)	Détecte les cas où un compte principal spécifié appelle une méthode spécifiée sur une ressource spécifiée. Un résultat n'est généré que si toutes les expressions régulières correspondent à une seule entrée de journal.
Modèle : Appel d'API Cloud inattendu { "metadata": { "severity": "SEVERITY", "description": "DESCRIPTION", "recommendation": "RECOMMENDATION" }, "caller_pattern": "CALLER_PATTERN", "method_pattern": "METHOD_PATTERN", "resource_pattern": "RESOURCE_PATTERN" } Remplacez les éléments suivants : SEVERITY : gravité des résultats à produire par ce module. Les valeurs valides sont LOW, MEDIUM, HIGH et CRITICAL. DESCRIPTION : description de la menace détectée par le module personnalisé. Cette description est utilisée pour remplir la propriété explanation de chaque résultat généré par ce module. RECOMMENDATION : explication des étapes recommandées que les équipes de sécurité peuvent suivre pour résoudre le problème détecté. Cette explication est utilisée pour remplir la propriété nextSteps de chaque résultat généré par ce module. CALLER_PATTERN : expression régulière RE2 permettant de vérifier les comptes principaux. Par exemple, .* correspond à n'importe quel principal. METHOD_PATTERN : expression régulière RE2 permettant de vérifier les méthodes, par exemple ^cloudsql\\.instances\\.export$. RESOURCE_PATTERN : expression régulière RE2 permettant de vérifier les ressources (par exemple, example-project).

Tarifs et quotas

Cette fonctionnalité est disponible sans frais pour les clients Security Command Center Premium.

Les modules personnalisés Event Threat Detection sont soumis à des limites de quota.

La limite de quota par défaut pour la création de modules personnalisés est de 200.

Les appels d'API aux méthodes de modules personnalisés sont également soumis à des limites de quota. Le tableau suivant indique les limites de quota par défaut pour les appels d'API de modules personnalisés.

Type d'appel d'API	Limite
Get, List	1 000 appels d'API par minute et par organisation
Create, Update, Delete	60 appels d'API par minute et par organisation

Limites de taille des modules

La taille de chaque module personnalisé Event Threat Detection est limitée à 6 Mo.

Limites de débit

Les limites de débit suivantes s'appliquent :

• 30 résultats par module personnalisé et par heure.
• 200 résultats de modules personnalisés par ressource parente (organisation ou projet) par heure. Chaque résultat est comptabilisé au niveau de l'organisation ou du projet, selon le niveau auquel le module personnalisé source a été créé.

Ces limites ne peuvent pas être augmentées.

Étapes suivantes

• Découvrez comment créer et gérer des modules personnalisés.