Cómo habilitar las notificaciones de chat en tiempo real

Niveles de servicio Standard heredado, Standard, Premium y Enterprise (obsoleto)

El nivel de servicio Security Command Center Enterprise dejará de estar disponible el 21 de mayo de 2027. Si tu organización usa el nivel de servicio Enterprise, se cambiará automáticamente al nivel de servicio Premium a partir del 21 de mayo de 2027. Si tienes preguntas, comunícate con tu representante de cuenta o con un Google Cloud especialista en ventas.

Descripción general

Security Command Center proporciona notificaciones de resultados en tiempo real en laGoogle Cloud consola. En esta guía, se describe cómo usar los Google Cloud servicios y las APIs de terceros para extender esa funcionalidad y recibir notificaciones casi en tiempo real en Slack. Cuando completas la guía, recibes alertas sobre resultados nuevos en servicios de terceros configurados sin acceder a la consola de Google Cloud , lo que permite una evaluación más rápida de las vulnerabilidades y amenazas. Obtén más información sobre los diferentes tipos de vulnerabilidades y amenazas en Security Command Center.

Topología

En esta guía, crearás la configuración que se ilustra en el siguiente diagrama.

Flujo de trabajo de notificaciones casi en tiempo real para Security Command Center (haz clic para ampliar)

Objetivos

En esta guía, harás lo siguiente:

1. Configura un tema de Pub/Sub
2. Configura Slack.
3. Escribir código en Cloud Run Functions
4. Configura Pub/Sub y Cloud Run Functions para enviar notificaciones a Slack cada vez que se escriba un nuevo hallazgo de gravedad alta o crítica en Security Command Center.
5. Solucionar problemas de notificaciones.

Costos

En este instructivo, se usan componentes facturables de Google Cloud, incluidos los siguientes:

• Pub/Sub
• Cloud Run Functions
• Cloud Build

Usa la calculadora de precios para estimar los costos según el uso previsto.

Antes de comenzar

Para completar esta guía, debes tener las siguientes funciones de Identity and Access Management (IAM):

• Administrador de la organización (roles/resourcemanager.organizationAdmin)
• Administrador del centro de seguridad (roles/securitycenter.admin)
• Administrador de seguridad (roles/iam.securityAdmin)
• Una función con el permiso serviceusage.services.use, como propietario (roles/owner), editor (roles/editor) o una función personalizada
• Crea cuentas de servicio (roles/iam.serviceAccountCreator)
• Editor de Pub/Sub (roles/pubsub.editor)
• Administrador de cuentas de facturación (roles/billing.admin)

Los roles de IAM para Security Command Center se pueden otorgar a nivel de organización, carpeta o proyecto. Tu capacidad para ver, editar, crear o actualizar hallazgos, recursos y fuentes de seguridad depende del nivel al que se te otorga acceso. Para obtener más información sobre los roles de Security Command Center, consulta Control de acceso.

Configura un proyecto

Completa los siguientes pasos para crear o seleccionar un proyecto.

Accede a tu cuenta de Google Cloud . Si es la primera vez que usas Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud Build API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud Build API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Tiempo estimado: La configuración y prueba de las notificaciones para un solo servicio tarda aproximadamente una hora.

Configura un tema de Pub/Sub

Importante: Si ya configuraste Security Command Center para publicar resultados en Pub/Sub, puedes pasar a Configura una app de mensajería. De lo contrario, sigue las instrucciones de esta sección para configurar un tema de Pub/Sub.

Pub/Sub es un servicio de mensajería en tiempo real que permite enviar y recibir mensajes entre aplicaciones independientes. Obtén más información sobre Pub/Sub.

En esta sección, configurarás Security Command Center para publicar los resultados en un tema de Pub/Sub.

Para configurar un tema de Pub/Sub y suscribirse a él, sigue estos pasos:

1. Especifica tu proyecto de Google Cloud en una variable de entorno.

   Nota: Este ID del proyecto se usa en todo este documento.

   export PROJECT_ID=PROJECT_ID
   

   Reemplaza PROJECT_ID con el ID del proyecto.

2. Especifica tu organización de Google Cloud en una variable de entorno.

   export ORG_ID=ORG_ID
   

   Reemplaza ORG_ID por el ID de tu organización.

3. Configura el ID del proyecto para los comandos gcloud.

   gcloud config set project PROJECT_ID
   

4. Crea el tema de Pub/Sub en el que se publicarán las notificaciones.

   gcloud pubsub topics create scc-critical-and-high-severity-findings-topic
   

5. Especifica el tema en una variable de entorno.

   export TOPIC=projects/$PROJECT_ID/topics/scc-critical-and-high-severity-findings-topic
   

6. Crea la suscripción que notifica a las funciones de Cloud Run para que envíen un mensaje de chat cuando se publiquen mensajes en el tema.

   gcloud pubsub subscriptions create scc-critical-and-high-severity-findings-sub \
     --topic scc-critical-and-high-severity-findings-topic
   

   Nota: De forma predeterminada, las suscripciones a Pub/Sub vencen después de 31 días de inactividad, definidas como suscripciones sin conexiones activas, solicitudes de extracción o envíos exitosos. Para mantener las suscripciones por más tiempo, establece la marca --expiration-period en un valor mayor o el valor especial never, que indica que la suscripción nunca vence. Consulta Usa propiedades de suscripción para obtener más información.

7. Configura Security Command Center para publicar notificaciones en el tema. Se puede usar cualquier filtro compatible con la API de ListFindings.

   El siguiente filtro publica notificaciones para los resultados de gravedad alta y crítica activas en la ubicación global. Obtén más información para filtrar hallazgos.

    gcloud scc notifications create scc-critical-high-severity \
        --pubsub-topic=$TOPIC \
        --organization=$ORG_ID \
        --location=global \
        --filter '(severity="HIGH" OR severity="CRITICAL") AND state="ACTIVE"' \
        --deletion-notifications-enabled
   

   Agrega la marca --deletion-notifications-enabled para recibir notificaciones sobre los eventos de eliminación de búsquedas debido a las políticas de retención. La notificación contiene el conjunto de campos deletedFinding: true. Asegúrate de que tus Cloud Run Functions o tu aplicación analicen el atributo deletedFinding para que las alertas reflejen correctamente los borrados de hallazgos. Para inhabilitar las notificaciones de eliminación, actualiza NotificationConfig y establece la marca --no-deletion-notifications-enabled.

   Nota: Si usas los Controles del servicio de VPC, es posible que debas otorgar acceso a los recursos protegidos del proyecto antes de crear una NotificationConfig y para que funcionen las notificaciones. Para obtener más información, consulta Otorga acceso al perímetro en los Controles del servicio de VPC.

A continuación, crea o configura tu app de chat para recibir notificaciones de Pub/Sub.

Configura una app de mensajería

En esta sección, se describe cómo usar Pub/Sub y Cloud Run functions o Cloud Run functions (1ª gen.) para habilitar notificaciones casi en tiempo real para Slack.

Nota: En el ejemplo de Slack, se muestra cómo enviar notificaciones con información básica (la categoría de hallazgo). Puedes personalizar este ejemplo para incluir la cantidad de información que desees.

Para enviar notificaciones a un canal de Slack, haz lo siguiente:

• Crea una nueva aplicación de Slack con privilegios suficientes para publicar mensajes en un canal público de Slack.
• Crea e implementa una función de Cloud Run que publique mensajes de chat en Slack cuando se reciban notificaciones de Pub/Sub.

Cree una aplicación de Slack nueva

En esta sección, crearás una aplicación de Slack nueva para recibir notificaciones.

1. Navega a Apps de la API de Slack para abrir una página de ejemplo en otra pestaña.

2. Accede o crea una cuenta.

3. Selecciona Create an App.

4. Configura Nombre de la aplicación como "SCC Finding Notifier".

5. Selecciona el espacio de trabajo de Slack de desarrollo en el que quieres que el bot de Slack publique mensajes y, luego, haz clic en Crear app.

6. En el panel de navegación, selecciona OAuth y permisos.

7. Navega a la sección Scopes. Los permisos se dividen en dos categorías:

   • Bot Token Scopes
   • User Token Scopes

8. Para este ejercicio, no necesitas agregar un permiso de token de usuario. En Alcances del token de bot, haz clic en Agregar un alcance de OAuth y, luego, ingresa lo siguiente:

   • chat:write
   • chat:write.public

9. Ve a la parte superior de la página OAuth & Permissions y haz clic en Install App to Workspace.

10. En el diálogo de confirmación, haz clic en Permitir.

11. Copia el token de acceso OAuth de usuario bot para usar en la función de Cloud Functions.

A continuación, implementarás una función de Cloud Run para enviar notificaciones a un grupo de Slack.

Crea la función de Cloud Run de Slack

En esta sección, implementarás una función para enviar notificaciones a tu cuenta de Slack. La muestra de código de esta sección está escrita en Python, pero puedes usar cualquier lenguaje compatible con Cloud Run Functions.

Nota: Esta muestra de código requiere que se codifiquen las credenciales de los usuarios o aplicaciones. Para obtener mayor seguridad y proteger las credenciales, considera usar Secret Manager con Cloud Run Functions. Para obtener instrucciones, consulta Usa secretos en la documentación de Cloud Run Functions.

1. En la consola de Google Cloud , ve a la página Servicios de Cloud Run Functions.

   Ir a Servicios

2. Selecciona el ID del proyecto que contiene el tema de Pub/Sub.

3. Haz clic en Escribir una función y completa los campos:

   1. Para Nombre del servicio, ingresa slack-chat-high-and-critical-findings.
   2. En Región, selecciona la región en la que deseas almacenar el servicio.
   3. En Entorno de ejecución, selecciona la versión de Python que se usará para ejecutar tu función.

4. Haz clic en Agregar activador y selecciona Activador de Pub/Sub.

5. Ingresa los detalles del tema de Pub/Sub que creaste en Configura un tema de Pub/Sub y haz clic en Guardar activador.

6. Haz clic en Crear. Se mostrarán los detalles del servicio.

7. En el panel Fuente de la pestaña Fuente, haz clic en requirements.txt.

8. En el editor de código, agrega requests y functions-framework==3.*:

   requests
   functions-framework==3.*
   

9. En el panel Source, haz clic en main.py.

10. En el editor de código, reemplaza el código por lo siguiente:

    import base64
    import json
    import requests
    import functions_framework
    
    TOKEN = "BOT_ACCESS_TOKEN"
    
    @functions_framework.cloud_event
    def send_slack_chat_notification(cloud_event):
    
        pubsub_message = base64.b64decode(cloud_event.data["message"]["data"]).decode('utf-8').strip()
        message_json = json.loads(pubsub_message)
    
        finding = message_json['finding']
    
        requests.post("https://slack.com/api/chat.postMessage", data={
            "token": TOKEN,
            "channel": "#SLACK_CHANNEL_NAME",
            "text": f"A high severity finding {finding['category']} was detected."
        })
    

    Reemplaza lo siguiente:

    • BOT_ACCESS_TOKEN: Es el token de acceso de OAuth del usuario bot que creaste con la app de Slack.
    • SLACK_CHANNEL_NAME: Es el canal de Slack en el que deseas enviar las notificaciones.

11. En el campo Punto de entrada de la función, ingresa el nombre de la función en la muestra de código: send_slack_chat_notification.

12. Haz clic en Guardar y volver a implementar. Si aparece una marca de verificación verde junto al nombre de la función, significa que se implementó correctamente. Este proceso puede tardar unos minutos.

Si los pasos anteriores se completaron sin errores, la configuración se completará y comenzarás a recibir notificaciones. Keep in mind:

• Recibirás un mensaje de chat independiente por cada resultado individual crítico o de gravedad alta. La frecuencia o la cantidad de notificaciones depende de los recursos dentro de tu organización.
• Las notificaciones se publican y se envían casi en tiempo real. Sin embargo, la inmediatez de los mensajes no está garantizada, y varios factores pueden causar retrasos, incluidos los problemas con Slack.

Para cambiar el flujo de trabajo de notificaciones, puedes hacer lo siguiente:

• Actualiza tu función de Cloud Run para cambiar los destinatarios.
• Actualiza el filtro para el tema de Pub/Sub a fin de cambiar qué resultados activan notificaciones.

Prueba las notificaciones

Para probar si las notificaciones están configuradas de forma correcta, sigue estas instrucciones para activar o desactivar los resultados de gravedad alta entre estados activos e inactivos.

1. Accede a la página Hallazgos de Security Command Center.
   Ir a la página Resultados
   
2. Si se le solicita, selecciona tu organización.
3. En el panel Filtros rápidos, ve a la sección Gravedad y selecciona Alta o Crítica. El panel Resultados de la búsqueda se actualiza para mostrar solo los hallazgos de la gravedad seleccionada.
4. En el panel Resultados de la búsqueda de hallazgos, selecciona un hallazgo marcando la casilla junto a su nombre.
5. En el menú Cambiar el estado activo de la barra de acciones Resultados de la búsqueda de hallazgos, selecciona Inactivo. Si la búsqueda actual de hallazgos solo muestra los hallazgos activos, el hallazgo se quitará de los resultados de la búsqueda.
6. En el panel Filtros rápidos, ve a la sección Estado y cambia las selecciones para que solo se seleccione Inactivo. El panel Resultados de la búsqueda se actualiza para mostrar solo los hallazgos inactivos.
7. En el panel Resultados de la búsqueda, selecciona el hallazgo que marcaste como inactivo.
8. En el menú Cambiar el estado activo de la barra de acciones Resultados de la búsqueda de hallazgos, selecciona Activo.
9. Revisa tus mensajes de Slack. Aparecerá un mensaje similar al de la siguiente imagen:

Soluciona problemas

Si no se envían ni reciben mensajes de chat, sigue estos pasos para identificar y resolver posibles problemas.

1. Revisa los registros de Stackdriver de tu función de Cloud Run para determinar si la función se está invocando. Si no se invoca, asegúrate de que las notificaciones estén configuradas de forma correcta.

2. Si se invoca la función de Cloud Run, es posible que falle. Comprueba si hay errores en Cloud Run Functions con Google Cloud Error Reporting de la consola.

Realiza una limpieza

Para evitar que se apliquen cargos a tu Google Cloud cuenta por los recursos usados en este instructivo, borra el proyecto que contiene los recursos o conserva el proyecto y borra los recursos individuales.

Borra el proyecto

Precaución: Borrar un proyecto tiene las siguientes consecuencias:

• Se borra todo su contenido. Si usaste un proyecto existente para las tareas de este documento, cuando lo borres, también se borrará cualquier otro trabajo que hayas realizado en el proyecto.
• Se pierden los IDs personalizados de proyectos. Cuando creaste este proyecto, es posible que hayas creado un ID del proyecto personalizado que desees utilizar en el futuro. Para conservar las URLs que usan el ID del proyecto, como una URL appspot.com, borra los recursos seleccionados dentro del proyecto, en lugar de todo el proyecto.

Si planeas explorar varios instructivos, arquitecturas o guías de inicio rápido, reutilizar proyectos puede ser útil para no exceder los límites de cuota de los proyectos.

1. En la Google Cloud consola, ve a la página Administrar recursos.

   Ir a Administrar recursos

2. En la lista de proyectos, elige el proyecto que quieres borrar y haz clic en Borrar.
3. En el diálogo, escribe el ID del proyecto y, luego, haz clic en Cerrar para borrar el proyecto.

Borra recursos individuales

1. Borra la configuración de tus notificaciones:

   gcloud scc notifications delete scc-critical-high-severity \
       --organization=ORG_ID \
       --location=global
   

   Reemplaza ORG_ID por el ID de tu organización.

   Para mantener la configuración y pausar las notificaciones de manera temporal, comenta las llamadas send o post en la función de Cloud Run.

2. Borra tu función de Cloud Run:

   1. Ve a Cloud Run Functions.
      Ir a Cloud Run Functions
      
   2. Haz clic en la casilla de verificación junto al objeto que deseas borrar.
   3. Haz clic en Borrar .

3. Borra la cuenta de servicio:

   1. Vaya a la página de cuentas de servicio.
      Ir a las cuentas de servicio
   2. Selecciona un proyecto
   3. Selecciona la cuenta de servicio que deseas borrar y, luego, haz clic en Borrar .

¿Qué sigue?

• Obtén más información sobre los errores de notificaciones.
• Obtén más información para filtrar notificaciones.
• Aprende a solucionar los resultados de Web Security Scanner y Security Health Analytics.