Cette page présente les modules personnalisés de Security Health Analytics. Pour en savoir plus sur les modules intégrés, consultez Détecteurs intégrés de Security Health Analytics.
Les modules personnalisés vous permettent d'étendre les capacités de détection de Security Health Analytics en créant des détecteurs personnalisés qui analysent les Google Cloud ressources et les règles que vous spécifiez à l'aide de règles que vous définissez pour rechercher les failles, les erreurs de configuration ou les violations de conformité.
La configuration ou la définition d'un module personnalisé, que vous le créiez dans la Google Cloud console ou que vous le codiez vous-même, détermine les ressources que le détecteur vérifie, les propriétés qu'il évalue et les informations qu'il renvoie lorsqu'une faille ou une erreur de configuration est détectée.
Vous pouvez créer des modules personnalisés pour n'importe quelle ressource ou n'importe quel élément compatible avec Security Command Center.
Si vous codez vous-même les définitions de modules personnalisés, vous utilisez des expressions YAML et CEL (Common Expression Language). Si vous utilisez la Google Cloud console pour créer vos modules personnalisés, la majeure partie du codage est effectuée pour vous, mais vous devez coder les expressions CEL.
Pour obtenir un exemple de définition de module personnalisé dans un fichier YAML, consultez Exemple de définition de module personnalisé.
Les modules personnalisés s'exécutent parallèlement aux détecteurs intégrés de Security Health Analytics dans les analyses en temps réel et par lots. En mode en temps réel, les analyses sont déclenchées chaque fois que la configuration d'un élément change. Les analyses en mode de traitement par lots s'exécutent avec tous les détecteurs pour les organisations ou les projets enregistrés une fois par jour.
Lors d'une analyse, chaque détecteur personnalisé est appliqué à tous les éléments correspondants de chaque organisation, dossier ou projet pour lequel il est activé.
Les résultats des détecteurs personnalisés sont écrits dans Security Command Center.
Pour en savoir plus, consultez les ressources suivantes :
- Créer des modules personnalisés
- Types d'analyse de Security Health Analytics
- Types de ressources acceptés
- YAML
- Présentation de CEL
Comparaison des détecteurs intégrés et des modules personnalisés
Les modules personnalisés offrent des capacités de détection plus larges que les détecteurs intégrés de Security Health Analytics. Toutefois, les modules personnalisés ne sont pas compatibles avec certaines fonctionnalités de Security Command Center fournies par les détecteurs intégrés.
Compatibilité avec les fonctionnalités
Les modules personnalisés de Security Health Analytics ne sont pas compatibles avec les simulations de vecteurs d'attaque. Les résultats générés par les modules personnalisés n'incluent pas les scores d'exposition aux vecteurs d'attaque ni les vecteurs d'attaque.
Comparaison de la logique de détection
Pour illustrer certaines des actions que vous pouvez effectuer avec un module personnalisé, comparez ce que le détecteur intégré PUBLIC_SQL_INSTANCE vérifie avec ce que vous pouvez faire avec un module personnalisé.
Le détecteur intégré PUBLIC_SQL_INSTANCE vérifie si la propriété authorizedNetworks des instances Cloud SQL est définie sur 0.0.0.0/0.
Si c'est le cas, le détecteur génère un résultat indiquant que l'instance Cloud SQL est ouverte au public, car elle accepte les connexions de toutes les adresses IP.
Avec un module personnalisé, vous pouvez implémenter une logique de détection plus complexe pour vérifier les instances Cloud SQL, par exemple :
- Les adresses IP avec des préfixes spécifiques, à l'aide de caractères génériques.
- La valeur de la propriété
state, que vous pouvez utiliser pour ignorer les instances si la valeur est définie surMAINTENANCEou pour déclencher des résultats si la valeur est différente. - La valeur de la propriété
region, que vous pouvez utiliser pour déclencher des résultats uniquement pour les instances avec des adresses IP publiques dans des régions spécifiques.
Rôles et autorisations IAM requis
Les rôles IAM déterminent les actions que vous pouvez effectuer avec les modules personnalisés de Security Health Analytics.
Le tableau suivant contient la liste des autorisations requises pour les modules personnalisés de Security Health Analytics, ainsi que les rôles IAM prédéfinis qui les incluent.
Vous pouvez utiliser la Google Cloud console ou l'API Security Command Center pour appliquer ces rôles au niveau de l'organisation, du dossier ou du projet.
| Autorisations requises | Rôles |
|---|---|
securitycentermanagement.securityHealthAnalyticsCustomModules.create |
roles/securitycentermanagement.shaCustomModulesEditor |
securitycentermanagement.securityHealthAnalyticsCustomModules.list |
roles/securitycentermanagement.shaCustomModulesViewer
|
Pour en savoir plus sur les autorisations et les rôles IAM, et sur la manière de les accorder, consultez Attribuer un rôle IAM à l'aide de la Google Cloud console.
Quotas de modules personnalisés
Les modules personnalisés de Security Health Analytics sont soumis à des limites de quota.
La limite de quota par défaut pour la création de modules personnalisés est de 100, mais vous pouvez demander une augmentation de quota si nécessaire.
Les appels d'API aux méthodes de modules personnalisés sont également soumis à des limites de quota. Le tableau suivant présente les limites de quota par défaut pour les appels d'API de modules personnalisés.
| Type d'appel d'API | Limite |
|---|---|
| Requêtes de lecture CustomModules (Get, List) | 1 000 appels d'API par minute et par organisation |
| Requêtes d'écriture CustomModules (Create, Update, Delete) | 60 appels d'API par minute et par organisation |
| Requêtes de test CustomModules | 12 appels d'API par minute et par organisation |
Pour augmenter les quotas, envoyez une demande dans la Google Cloud console sur la page **Quotas**.
Pour en savoir plus sur les quotas de Security Command Center, consultez Quotas et limites.
Types de ressources acceptés
Cette section récapitule les Google Cloud types de ressources compatibles avec les modules personnalisés.
Étape suivante
- Pour utiliser des modules personnalisés, consultez Utiliser des modules personnalisés pour Security Health Analytics.
- Pour coder vous-même des définitions de modules personnalisés, consultez Coder des modules personnalisés pour Security Health Analytics.
- Pour tester vos modules personnalisés, consultez Tester des modules personnalisés pour Security Health Analytics.