Esta página oferece uma vista geral dos módulos personalizados para a Deteção de ameaças de eventos.
Pode configurar módulos, também conhecidos como detetores, para processar a sua stream do Cloud Logging e detetar ameaças com base nos parâmetros que especificar. Esta funcionalidade expande as capacidades de monitorização da Deteção de ameaças de eventos e permite-lhe adicionar módulos com os seus próprios parâmetros de deteção, orientações de remediação e designações de gravidade para configurações que os detetores incorporados podem não suportar.
Os módulos personalizados são úteis se precisar de módulos com regras de deteção que satisfaçam as necessidades únicas da sua organização. Por exemplo, pode adicionar um módulo personalizado que crie resultados se as entradas de registo mostrarem que um recurso está ligado a endereços IP específicos ou é criado numa região restrita.
Como funcionam os módulos personalizados para a Deteção de ameaças de eventos
Os módulos personalizados são um grupo selecionado de detetores de deteção de ameaças de eventos que pode configurar com os seus próprios parâmetros de deteção. Pode criar um módulo personalizado de deteção de ameaças de eventos através da Google Cloud consola. Em alternativa, pode criar um atualizando um modelo de módulo personalizado e enviando o módulo personalizado para o Security Command Center através da CLI do Google Cloud. Para ver informações sobre os modelos disponíveis, consulte Modelos e módulos personalizados.
Os modelos de módulos personalizados são escritos em JSON e permitem definir parâmetros de deteção que controlam que eventos nas entradas do registo devem acionar resultados. Por exemplo, o detetor Malware: Bad IPincorporado verifica os registos de fluxo da nuvem privada virtual para encontrar provas de ligações a endereços IP suspeitos conhecidos. No entanto, pode ativar e modificar o módulo personalizado Configurable Bad IPcom uma lista de endereços IP suspeitos que mantém. Se os seus registos indicarem uma ligação a qualquer um dos endereços IP fornecidos, é gerada uma descoberta e escrita no Security Command Center.
Os modelos de módulos também permitem definir a gravidade das ameaças e fornecer passos de remediação personalizados para ajudar as suas equipas de segurança a corrigir problemas.
Com os módulos personalizados, tem mais controlo sobre a forma como a Deteção de ameaças de eventos deteta ameaças e comunica as conclusões. Os módulos personalizados incluem os parâmetros fornecidos por si, mas continuam a usar a lógica de deteção proprietária e a inteligência de ameaças da Deteção de ameaças de eventos, incluindo a correspondência de indicadores de armadilhas. Pode implementar um conjunto abrangente de modelos de ameaças adaptados aos requisitos únicos da sua organização.
Os módulos personalizados da Deteção de ameaças de eventos são executados juntamente com os detetores incorporados. Os módulos ativados são executados no modo em tempo real, o que aciona as análises sempre que são criados novos registos.
Modelos e módulos personalizados
A tabela seguinte contém uma lista de tipos de módulos personalizados suportados, descrições, registos necessários e modelos de módulos JSON.
Precisa destes modelos de módulos JSON se quiser usar a CLI gcloud para criar ou atualizar módulos personalizados. Para ver um modelo, clique no ícone para expandir junto ao respetivo nome. Para ver informações sobre a utilização de módulos personalizados, consulte o artigo Configure e faça a gestão de módulos personalizados.
| Categoria dos resultados | Tipo de módulo | Tipos de origens de registos | Descrição |
|---|---|---|---|
| IP incorreto configurável | CONFIGURABLE_BAD_IP |
Registos de fluxo de VPC Registos de regras de firewall |
Deteta uma ligação a um endereço IP especificado |
|
Modelo: IP incorreto configurável
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"ips": [
"IP_ADDRESS_1",
"IP_ADDRESS_2"
]
}Substitua o seguinte:
|
|||
| Domínio incorreto configurável | CONFIGURABLE_BAD_DOMAIN
|
Registos do Cloud DNS | Deteta uma ligação a um nome de domínio especificado |
|
Modelo: domínio inválido configurável
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"domains": [
"DOMAIN_1","DOMAIN_2"
]
}Substitua o seguinte:
|
|||
| Tipo de instância do Compute Engine inesperado | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_INSTANCE_TYPE
|
Registos de auditoria do Cloud: Registos de atividade do administrador |
Deteta a criação de instâncias do Compute Engine que não correspondem a um tipo ou a uma configuração de instância especificados. |
|
Modelo: tipo de instância do Compute Engine inesperado
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"instances": [
{
"series": "SERIES",
"cpus": {
"minimum": MINIMUM_NUMBER_OF_CPUS,
"maximum": MAXIMUM_NUMBER_OF_CPUS
},
"ram_mb": {
"minimum": MINIMUM_RAM_SIZE,
"maximum": MAXIMUM_RAM_SIZE
},
"gpus": {
"minimum": MINIMUM_NUMBER_OF_GPUS,
"maximum": MAXIMUM_NUMBER_OF_GPUS
},
"projects": [
"PROJECT_ID_1",
"PROJECT_ID_2"
],
"regions": [
"REGION_1",
"REGION_2"
]
},
{
"series": " ... ",
...
"regions": [ ... ]
}
]
}
Substitua o seguinte:
|
|||
| Imagem de origem do Compute Engine inesperada | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_SOURCE_IMAGE |
Registos de auditoria do Cloud: Registos de atividade do administrador |
Deteta a criação de uma instância do Compute Engine com uma imagem ou uma família de imagens que não corresponde a uma lista especificada |
|
Modelo: imagem de origem inesperada do Compute Engine
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"patterns": [
{
"pattern": "PATTERN_1",
"name": "NAME_1"
},
{
"pattern": "PATTERN_2",
"name": "NAME_2"
}
]
}Substitua o seguinte:
|
|||
| Região do Compute Engine inesperada | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION |
Registos de auditoria do Cloud: Registos de atividade do administrador |
Deteta a criação de uma instância do Compute Engine numa região que não se encontra numa lista especificada |
|
Modelo: região do Compute Engine inesperada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"regions": [
{
"region": "REGION_1"
},
{
"region": "REGION_2"
}
]
}Substitua o seguinte:
|
|||
| Conta de acesso de emergência usada | CONFIGURABLE_BREAKGLASS_ACCOUNT_USED |
Registos de auditoria do Cloud: Registos de atividade do administrador Registos de acesso aos dados (opcional) |
Deteta a utilização de uma conta de acesso de emergência (breakglass) |
|
Modelo: conta de acesso de emergência usada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"accounts": [
"BREAKGLASS_ACCOUNT_1", "BREAKGLASS_ACCOUNT_2"
]
}Substitua o seguinte:
|
|||
| Concessão de função inesperada | CONFIGURABLE_UNEXPECTED_ROLE_GRANT |
Registos de auditoria do Cloud: Registos de atividade do administrador |
Deteta quando uma função especificada é concedida a um utilizador |
|
Modelo: concessão de função inesperada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"roles": ["ROLE_1", "ROLE_2"]
}Substitua o seguinte:
|
|||
| Função personalizada com autorização proibida | CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION |
Registos de auditoria do Cloud: Registos de atividade do administrador |
Deteta quando é criada ou atualizada uma função personalizada com qualquer uma das autorizações de IAM especificadas. |
|
Modelo: função personalizada com autorização proibida
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"permissions": [
"PERMISSION_1",
"PERMISSION_2"
]
}Substitua o seguinte:
|
|||
| Chamada da API Cloud inesperada | CONFIGURABLE_UNEXPECTED_CLOUD_API_CALL
|
Registos de auditoria do Cloud: Registos de atividade do administrador Registos de acesso aos dados (opcional) |
Deteta quando um principal especificado chama um método especificado contra um recurso especificado. Uma descoberta só é gerada se todas as expressões regulares tiverem correspondência numa única entrada de registo. |
|
Modelo: chamada API Cloud inesperada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"caller_pattern": "CALLER_PATTERN",
"method_pattern": "METHOD_PATTERN",
"resource_pattern": "RESOURCE_PATTERN"
}Substitua o seguinte:
|
|||
Preços e quota
Esta funcionalidade é gratuita para clientes do Security Command Center Premium.
Os módulos personalizados da Deteção de ameaças de eventos estão sujeitos a limites de quota.
O limite de quota predefinido para a criação de módulos personalizados é de 200.
As chamadas de API para métodos de módulos personalizados também estão sujeitas a limites de quota. A tabela seguinte mostra os limites de quota predefinidos para chamadas da API de módulos personalizados.
| Tipo de chamada API | Limite |
|---|---|
| Get, List | 1000 chamadas API por minuto, por organização |
| Criar, atualizar e eliminar | 60 chamadas de API por minuto, por organização |
Limites de tamanho dos módulos
Cada módulo personalizado de deteção de ameaças de eventos tem um limite de tamanho de 6 MB.
Limites de taxas
Aplicam-se os seguintes limites de taxa:
- 30 resultados por módulo personalizado por hora.
- 200 resultados de módulos personalizados por recurso principal (organização ou projeto) por hora. Cada descoberta conta para uma organização ou um projeto, consoante o nível em que o módulo personalizado de origem foi criado.
Não é possível aumentar estes limites.
O que se segue?
- Saiba como criar e gerir módulos personalizados.