Créer et gérer des modules personnalisés pour Event Threat Detection

Cette page explique comment créer et gérer des modules personnalisés pour Event Threat Detection.

Avant de commencer

Cette section décrit les exigences relatives à l'utilisation de modules personnalisés pour Event Threat Detection.

Security Command Center Premium et Event Threat Detection

Pour utiliser les modules personnalisés Event Threat Detection, vous devez activer Event Threat Detection. Pour activer Event Threat Detection, consultez Activer ou désactiver un service intégré.

Rôles et autorisations IAM requis

Les rôles IAM déterminent les actions que vous pouvez effectuer avec les modules personnalisés Event Threat Detection.

Le tableau suivant contient la liste des autorisations de module personnalisé Event Threat Detection requises, ainsi que les rôles IAM prédéfinis qui les incluent.

Vous pouvez utiliser la console Google Cloud ou l'API Security Command Center pour appliquer ces rôles au niveau de l'organisation, du dossier ou du projet.

les autorisations requises pour l'extension ;	Rôle
`securitycentermanagement.eventThreatDetectionCustomModules.create` `securitycentermanagement.eventThreatDetectionCustomModules.update` `securitycentermanagement.eventThreatDetectionCustomModules.delete`	`roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.settingsEditor` `roles/securitycenter.admin`
`securitycentermanagement.eventThreatDetectionCustomModules.list` `securitycentermanagement.eventThreatDetectionCustomModules.get` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.list` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.get` `securitycentermanagement.eventThreatDetectionCustomModules.validate`	`roles/securitycentermanagement.etdCustomModulesViewer` `roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.adminViewer` `roles/securitycenter.admin`

Si vous rencontrez des erreurs d'accès dans Security Command Center, demandez de l'aide à votre administrateur. Consultez l'une des pages suivantes en fonction du niveau auquel vous avez activé Security Command Center :

Journaux requis

Assurez-vous que les journaux concernés sont activés pour votre organisation, vos dossiers et vos projets. Pour savoir quels journaux sont requis par chaque type de module personnalisé, consultez le tableau dans Modules et modèles personnalisés.

Les journaux provenant de sources autres que Google Cloud ne sont pas acceptés.

Niveaux de module personnalisés

Ce document utilise les termes suivants pour décrire le niveau auquel un module personnalisé a été créé :

Module résidentiel: Le module a été créé dans la vue ou le champ d'application actuels. Par exemple, si vous êtes dans la vue de l'organisation de la console Google Cloud , les modules résidentiels sont ceux qui ont été créés au niveau de l'organisation.
Module hérité: Le module a été créé au niveau d'une vue ou d'un champ d'application parent. Par exemple, un module créé au niveau de l'organisation est un module hérité à n'importe quel niveau de dossier ou de projet.
Module descendant: Le module a été créé au niveau d'une vue ou d'un champ d'application enfant. Par exemple, un module créé au niveau d'un dossier ou d'un projet est un module descendant au niveau de l'organisation.

Créer des modules personnalisés

Vous pouvez créer des modules personnalisés de détection des menaces liées aux événements dans la consoleGoogle Cloud ou en modifiant un modèle JSON et en l'envoyant via gcloud CLI. Vous n'avez besoin de modèles JSON que si vous prévoyez d'utiliser la gcloud CLI pour créer des modules personnalisés.

Pour obtenir la liste des modèles de modules compatibles, consultez Modules et modèles personnalisés.

Structure du modèle

Les modèles définissent les paramètres que les modules personnalisés utilisent pour identifier les menaces dans vos journaux. Les modèles sont écrits au format JSON et leur structure est semblable à celle des résultats générés par Security Command Center. Vous n'avez besoin de configurer un modèle JSON que si vous prévoyez d'utiliser gcloud CLI pour créer un module personnalisé.

Chaque modèle contient des champs personnalisables :

severity : niveau de gravité ou de risque que vous souhaitez attribuer aux résultats de ce type (LOW, MEDIUM, HIGH ou CRITICAL).
description : description du module personnalisé.
recommendation : actions recommandées pour résoudre les problèmes identifiés par le module personnalisé.
Paramètres de détection : variables utilisées pour évaluer les journaux et déclencher des résultats. Les paramètres de détection diffèrent pour chaque module, mais ils incluent un ou plusieurs des éléments suivants :
- domains : domaines Web à surveiller
- ips : adresses IP à surveiller
- permissions : autorisations à surveiller
- regions : régions dans lesquelles les nouvelles instances Compute Engine sont autorisées
- roles : rôles à surveiller
- accounts : comptes à surveiller
- Paramètres qui définissent les types d'instances Compute Engine autorisés (par exemple, series, cpus et ram_mb).
- Expressions régulières permettant de vérifier les propriétés (par exemple, caller_pattern et resource_pattern).

L'exemple de code ci-dessous est un exemple de modèle JSON pour Configurable Bad IP.

{
  "metadata": {
    "severity": "LOW",
    "description": "Flagged by Cymbal as malicious",
    "recommendation": "Contact the owner of the relevant project."
  },
  "ips": [
    "192.0.2.1",
    "192.0.2.0/24"
  ]
}

Dans l'exemple précédent, le module personnalisé génère un résultat de gravité faible si vos journaux indiquent une ressource connectée à l'adresse IP 192.0.2.1 ou 192.0.2.0/24.

Modifier un modèle de module

Pour créer des modules, vous devez choisir un modèle de module et le modifier.

Si vous prévoyez d'utiliser Google Cloud CLI pour créer votre module personnalisé, vous devez effectuer cette tâche.

Si vous prévoyez d'utiliser la console Google Cloud pour créer votre module personnalisé, ignorez cette tâche. Vous utiliserez les options affichées à l'écran pour modifier les paramètres du modèle.

Choisissez un modèle dans Modules et modèles personnalisés.
Copiez le code dans un fichier local.
Mettez à jour les paramètres que vous souhaitez utiliser pour évaluer vos journaux.
Enregistrez le fichier au format JSON.
Créez un module personnalisé à l'aide de la gcloud CLI en utilisant le fichier JSON.

Créer un module personnalisé

Cette section explique comment créer un module personnalisé à l'aide de la consoleGoogle Cloud , de gcloud CLI, de l'API REST et de Terraform. La taille de chaque module personnalisé Event Threat Detection est limitée à 6 Mo.

Pour créer un module personnalisé, procédez comme suit :

Console

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Cliquez sur Créer un module.
Cliquez sur le modèle de module que vous souhaitez utiliser.
Cliquez sur Sélectionner.
Dans le champ Nom du module, saisissez un nom à afficher pour le nouveau modèle. Le nom ne doit pas dépasser 128 caractères et ne doit contenir que des caractères alphanumériques et des traits de soulignement (par exemple, example_custom_module).
Sélectionnez ou ajoutez les valeurs de paramètre demandées. Les paramètres diffèrent pour chaque module. Par exemple, si vous avez sélectionné le modèle de module Configurable allowed Compute Engine region, vous devez sélectionner une ou plusieurs régions. Vous pouvez également fournir la liste au format JSON.
Cliquez sur Suivant.
Pour Gravité, saisissez le niveau de gravité que vous souhaitez attribuer aux résultats générés par le nouveau module personnalisé.
Dans le champ Description, saisissez une description pour le nouveau module personnalisé.
Dans Étapes suivantes, saisissez les actions recommandées au format texte brut. Les sauts de ligne que vous ajoutez sont ignorés.
Cliquez sur Créer.

gcloud

La commande gcloud scc manage custom-modules etd create crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organization, folder ou project)
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_CONFIG : paramètres de configuration du module personnalisé. Utilisez un modèle de module personnalisé comme point de départ.
MODULE_TYPE : type de module personnalisé. Pour obtenir la liste des types acceptés, consultez Modules et modèles personnalisés.
MODULE_DISPLAY_NAME : nom à afficher lisible pour le module personnalisé. Il peut contenir des lettres, des chiffres et des traits de soulignement (_), et ne peut pas comporter plus de 128 caractères.

Enregistrez le code suivant dans un fichier nommé request.json :

{
  MODULE_CONFIG
}

Exécutez la commande gcloud scc manage custom-modules etd create :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd create \
    --RESOURCE_TYPE=RESOURCE_ID \
    --custom-config-file=request.json \
    --display-name=MODULE_DISPLAY_NAME \
    --module-type=MODULE_TYPE \
    --enablement-state=ENABLED

Windows (PowerShell)

gcloud scc manage custom-modules etd create `
    --RESOURCE_TYPE=RESOURCE_ID `
    --custom-config-file=request.json `
    --display-name=MODULE_DISPLAY_NAME `
    --module-type=MODULE_TYPE `
    --enablement-state=ENABLED

Windows (cmd.exe)

gcloud scc manage custom-modules etd create ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --custom-config-file=request.json ^
    --display-name=MODULE_DISPLAY_NAME ^
    --module-type=MODULE_TYPE ^
    --enablement-state=ENABLED

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.create de l'API Security Command Center Management crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à laquelle appartient le module personnalisé (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour la facturation et le suivi des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_CONFIG : paramètres de configuration du module personnalisé. Utilisez un modèle de module personnalisé comme point de départ.
MODULE_TYPE : type de module personnalisé. Pour obtenir la liste des types acceptés, consultez Modules et modèles personnalisés.
MODULE_DISPLAY_NAME : nom à afficher lisible pour le module personnalisé. Il peut contenir des lettres, des chiffres et des traits de soulignement (_), et ne peut pas comporter plus de 128 caractères.

Méthode HTTP et URL :

POST https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules

Corps JSON de la requête :

{
  "config": MODULE_CONFIG,
  "enablementState": "ENABLED",
  "type": "MODULE_TYPE",
  "displayName": "MODULE_DISPLAY_NAME"
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "name": "projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210",
  "config": {
    "metadata": {
      "severity": "MEDIUM",
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role."
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "enablementState": "ENABLED",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "displayName": "iam_custom_role_prohibited_permissions",
  "updateTime": "2026-03-16T19:44:58.588134Z"
}

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez Commandes Terraform de base. Pour en savoir plus, lisez la documentation de référence du fournisseur Terraform.

resource "google_scc_management_organization_event_threat_detection_custom_module" "example" {
  organization = "123456789"
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  type = "CONFIGURABLE_BAD_IP"
  description = "My Event Threat Detection Custom Module"
  config = jsonencode({
    "metadata": {
      "severity": "LOW",
      "description": "Flagged by Forcepoint as malicious",
      "recommendation": "Contact the owner of the relevant project."
    },
    "ips": [
      "192.0.2.1",
      "192.0.2.0/24"
    ]
  })
}

Votre module personnalisé est créé et commence à analyser le code. Pour supprimer un module, consultez Supprimer un module personnalisé.

Le nom de catégorie du module personnalisé contient la catégorie de résultat du type de module et le nom à afficher du module que vous avez défini. Par exemple, le nom de catégorie d'un module personnalisé peut être Unexpected Compute Engine Region: example_custom_module. Dans la console Google Cloud , les traits de soulignement sont affichés sous forme d'espaces. Toutefois, vous devez inclure les traits de soulignement dans vos requêtes.

Les quotas régissent votre utilisation des modules personnalisés pour Event Threat Detection.

Latence de détection

La latence de détection pour Event Threat Detection et tous les autres services Security Command Center intégrés est décrite dans Latence d'analyse.

Examiner les résultats

Vous pouvez consulter les résultats générés par les modules personnalisés dans la console Google Cloud ou à l'aide de gcloud CLI ou de l'API REST.

Console

Dans la console Google Cloud , accédez à la page Résultats de Security Command Center.

Accéder aux résultats
Sélectionnez votre projet ou votre organisation Google Cloud .
Dans la sous-section Nom à afficher pour la source de la section Filtres rapides, sélectionnez Modules personnalisés Event Threat Detection. Les résultats de la requête sont mis à jour pour n'afficher que les résultats provenant de cette source.
Pour afficher les détails d'un résultat spécifique, cliquez sur son nom dans la colonne Catégorie. Le panneau de détails du résultat s'ouvre et affiche l'onglet Résumé.
Dans l'onglet Résumé, examinez les détails du résultat, y compris les informations sur ce qui a été détecté, la ressource concernée et, le cas échéant, les étapes à suivre pour corriger le résultat.
Facultatif : Pour afficher la définition JSON complète du résultat, cliquez sur l'onglet JSON.

gcloud

Trouver l'ID de la source

La commande gcloud scc sources describe affiche des informations sur une source de résultats pour Security Command Center.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à laquelle appartient la source (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.

Exécutez la commande gcloud scc sources describe :

Linux, macOS ou Cloud Shell

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID \
    --source-display-name="Event Threat Detection Custom Modules"

Windows (PowerShell)

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID `
    --source-display-name="Event Threat Detection Custom Modules"

Windows (cmd.exe)

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID ^
    --source-display-name="Event Threat Detection Custom Modules"

Vous devriez obtenir un résultat semblable à celui-ci :

canonicalName: organizations/123456789012/sources/98765432109876543210
description: Provider used by Event Threat Detection Custom Modules
displayName: Event Threat Detection Custom Modules
name: organizations/123456789012/sources/98765432109876543210

L'ID de source correspond à la valeur numérique à la fin des champs canonicalName et name (par exemple, 98765432109876543210).

Lister tous les résultats des modules personnalisés Event Threat Detection

La commande gcloud scc findings list liste les résultats pour une source à un emplacement spécifique.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à obtenir (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
LOCATION : emplacement Security Command Center à utiliser, par exemple eu. Si la résidence des données n'est pas activée, utilisez global.
SOURCE_ID : identifiant numérique de la source des résultats.

Exécutez la commande suivante :

Linux, macOS ou Cloud Shell

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID \
    --source=SOURCE_ID \
    --location=LOCATION

Windows (PowerShell)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID `
    --source=SOURCE_ID `
    --location=LOCATION

Windows (cmd.exe)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID ^
    --source=SOURCE_ID ^
    --location=LOCATION

La réponse contient une liste de résultats.

Lister les résultats d'un module personnalisé spécifique

La commande gcloud scc findings list liste les résultats pour une source à un emplacement spécifique.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à obtenir (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
LOCATION : emplacement Security Command Center à utiliser, par exemple eu. Si la résidence des données n'est pas activée, utilisez global.
SOURCE_ID : identifiant numérique de la source des résultats.
CUSTOM_MODULE_CATEGORY_NAME : nom de la catégorie du module personnalisé, composé de la catégorie de résultat du module (telle qu'indiquée dans Modules et modèles personnalisés), d'un deux-points, d'un espace et du nom à afficher du module avec les espaces remplacés par des traits de soulignement. Par exemple, Unexpected Compute Engine region: example_custom_module.

Exécutez la commande suivante :

Linux, macOS ou Cloud Shell

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID \
    --source=SOURCE_ID \
    --location=LOCATION \
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

Windows (PowerShell)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID `
    --source=SOURCE_ID `
    --location=LOCATION `
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

Windows (cmd.exe)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID ^
    --source=SOURCE_ID ^
    --location=LOCATION ^
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

La réponse contient une liste de résultats.

REST

Trouver l'ID de la source

La méthode RESOURCE_TYPE.sources.list de l'API Security Command Center liste les informations sur les sources de résultats Security Command Center.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource parente (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour la facturation et le suivi des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.

Méthode HTTP et URL :

GET https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources" | Select-Object -Expand Content

La réponse contient une liste de résultats.

{
  "sources": [
    {
      "name": "organizations/123456789012/sources/9876543210987654321",
      "displayName": "Security Command Center",
      "description": "Detector for misconfigurations within the Security Command Center platform.",
      "canonicalName": "organizations/123456789012/sources/9876543210987654321"
    },
    {
      "name": "organizations/123456789012/sources/8765432109876543210",
      "displayName": "Application Design Center",
      "description": "Provides vulnerabilities on ADC resources.",
      "canonicalName": "organizations/123456789012/sources/8765432109876543210"
    },
    {
      "name": "organizations/123456789012/sources/7654321098765432109",
      "displayName": "Cloud Anomaly Detection",
      "description": "Provider used by Cloud Anomaly Detection",
      "canonicalName": "organizations/123456789012/sources/7654321098765432109"
    },
    {
      "name": "organizations/123456789012/sources/6543210987654321098",
      "displayName": "Vulnerability Assessment",
      "description": "Provider for Vulnerability Assessment.",
      "canonicalName": "organizations/123456789012/sources/6543210987654321098"
    },
    {
      "name": "organizations/123456789012/sources/5432109876543210987",
      "displayName": "Data Security Posture Management",
      "description": "Service to detect drift and post findings",
      "canonicalName": "organizations/123456789012/sources/5432109876543210987"
    },
    {
      "name": "organizations/123456789012/sources/4321098765432109876",
      "displayName": "Notebook Security Scanner",
      "description": "Provider for the Notebook Security Scanner",
      "canonicalName": "organizations/123456789012/sources/4321098765432109876"
    },
    {
      "name": "organizations/123456789012/sources/3210987654321098765",
      "displayName": "GKE Security Posture",
      "description": "Provides actionable security issues on GKE.",
      "canonicalName": "organizations/123456789012/sources/3210987654321098765"
    },
    {
      "name": "organizations/123456789012/sources/2109876543210987654",
      "displayName": "Integrated Vulnerability Scanner",
      "description": "Provider for Integrated Vulnerability Scanner.",
      "canonicalName": "organizations/123456789012/sources/2109876543210987654"
    },
    {
      "name": "organizations/123456789012/sources/1098765432109876543",
      "displayName": "Event Threat Detection Custom Modules",
      "description": "Provider used by Event Threat Detection Custom Modules",
      "canonicalName": "organizations/123456789012/sources/1098765432109876543"
    },
    {
      "name": "organizations/123456789012/sources/9876543210987654321",
      "displayName": "Serverless Vulnerability Detection",
      "description": "Provides vulnerability detection for serverless assets.",
      "canonicalName": "organizations/123456789012/sources/9876543210987654321"
    }
  ]
}

L'ID de source correspond à la valeur numérique à la fin des champs canonicalName et name.

Lister les résultats des modules personnalisés Event Threat Detection

La méthode RESOURCE_TYPE.sources.locations.findings.list de l'API Security Command Center liste les résultats d'une source dans un emplacement spécifique.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

QUOTA_PROJECT : ID du projet à utiliser pour la facturation et le suivi des quotas.
RESOURCE_TYPE : type de ressource à obtenir (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
LOCATION : emplacement Security Command Center à utiliser, par exemple eu. Si la résidence des données n'est pas activée, utilisez global.
SOURCE_ID : identifiant numérique de la source des résultats.

Méthode HTTP et URL :

GET https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings" | Select-Object -Expand Content

La réponse contient une liste de résultats.

Pour en savoir plus sur le filtrage des résultats, consultez la page Lister les résultats de sécurité.

Les résultats générés par les modules personnalisés peuvent être gérés de la même manière que tous les résultats dans Security Command Center. Pour en savoir plus, consultez les ressources suivantes :

Gérer les modules personnalisés Event Threat Detection

Cette section explique comment afficher, lister, mettre à jour et supprimer des modules personnalisés Event Threat Detection.

Afficher ou lister les modules personnalisés

Par défaut, lorsque vous listez les modules personnalisés pour Event Threat Detection, vous voyez tous les éléments suivants :

Tous les modules personnalisés Event Threat Detection appartenant à l'organisation, au dossier ou au projet.
Tous les modules personnalisés Event Threat Detection hérités. Par exemple, si vous consultez un projet, les modules personnalisés créés dans l'organisation et les dossiers parents de ce projet sont inclus dans les résultats.
Tous les modules personnalisés Event Threat Detection créés dans les ressources enfants. Par exemple, si vous êtes dans la vue de l'organisation, les modules personnalisés des dossiers et projets de l'organisation sont inclus dans les résultats.

Console

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Facultatif : Pour n'afficher que les modules personnalisés, saisissez Type:Custom dans la zone Filtre.

gcloud

La commande gcloud scc manage custom-modules etd list liste tous les modules personnalisés Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.

Exécutez la commande gcloud scc manage custom-modules etd list :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd list \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud scc manage custom-modules etd list `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud scc manage custom-modules etd list ^
    --RESOURCE_TYPE=RESOURCE_ID

Vous devriez obtenir un résultat semblable à celui-ci :

- config:
    metadata:
      description: There is a Compute Engine instance in a region that's not allowed.
      recommendation: Delete the instance. If necessary, create a new instance in
        an allowed region.
      severity: MEDIUM
    regions:
    - region: northamerica-northeast1
  displayName: compute_instance_prohibited_region
  enablementState: ENABLED
  name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/9876543210987654321
  type: CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION
  updateTime: '2026-02-19T01:23:10.237946Z'
- config:
    metadata:
      description: An IAM custom role contains permissions that aren't allowed.
      recommendation: Remove the permissions from the custom role.
      severity: MEDIUM
    permissions:
    - accessapproval.requests.get
    - accessapproval.requests.invalidate
    - accessapproval.requests.list
    - accessapproval.settings.delete
  displayName: iam_custom_role_prohibited_permissions
  enablementState: ENABLED
  name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210
  type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
  updateTime: '2025-12-23T06:54:15.618430Z'

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.list de l'API Security Command Center Management répertorie tous les modules personnalisés Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour la facturation et le suivi des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.

Méthode HTTP et URL :

GET https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

[
  {
    "config": {
      "metadata": {
        "description": "There is a Compute Engine instance in a region that's not allowed.",
        "recommendation": "Delete the instance. If necessary, create a new instance in an allowed region.",
        "severity": "MEDIUM"
      },
      "regions": [
        {
          "region": "northamerica-northeast1"
        }
      ]
    },
    "displayName": "compute_instance_prohibited_region",
    "enablementState": "ENABLED",
    "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/9876543210987654321",
    "type": "CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION",
    "updateTime": "2026-02-19T01:23:10.237946Z"
  },
  {
    "config": {
      "metadata": {
        "description": "An IAM custom role contains permissions that aren't allowed.",
        "recommendation": "Remove the permissions from the custom role.",
        "severity": "MEDIUM"
      },
      "permissions": [
        "accessapproval.requests.get",
        "accessapproval.requests.invalidate",
        "accessapproval.requests.list",
        "accessapproval.settings.delete"
      ]
    },
    "displayName": "iam_custom_role_prohibited_permissions",
    "enablementState": "ENABLED",
    "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210",
    "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
    "updateTime": "2025-12-23T06:54:15.618430Z"
  }
]

Activer ou désactiver un module personnalisé

Lorsque vous activez ou désactivez un module personnalisé, cette modification s'applique à l'organisation, au dossier ou au projet auquel appartient le module personnalisé. Cette ressource est le parent du module personnalisé.

La modification peut également être héritée par les dossiers ou projets descendants du parent du module personnalisé. Par exemple, si vous créez un module personnalisé dans un dossier, les projets de ce dossier peuvent hériter de l'état du module personnalisé.

Si le parent d'un module personnalisé est un dossier ou un projet, vous devez activer ou désactiver le module personnalisé au même niveau de la hiérarchie des ressources ou à un niveau inférieur. Par exemple, si le parent d'un module personnalisé est un projet, vous ne pouvez pas activer ni désactiver le module personnalisé pour une organisation ou un dossier. Ces types de ressources sont toujours des ancêtres des projets.

Console

Consultez Afficher et modifier les modules d'un service.

gcloud

La commande gcloud scc manage custom-modules etd update met à jour l'état d'un module personnalisé pour Event Threat Detection.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à mettre à jour (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_ID : identifiant numérique du module
NEW_STATE : ENABLED pour activer le module, DISABLED pour le désactiver ou INHERITED pour hériter de l'état d'activation de la ressource parente (valable uniquement pour les projets et les dossiers).

Exécutez la commande gcloud scc manage custom-modules etd update :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID \
    --enablement-state="NEW_STATE"

Windows (PowerShell)

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID `
    --enablement-state="NEW_STATE"

Windows (cmd.exe)

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --enablement-state="NEW_STATE"

Vous devriez obtenir un résultat semblable à celui-ci :

config:
  metadata:
    description: An IAM custom role contains permissions that aren't allowed.
    recommendation: Remove the permissions from the custom role.
    severity: MEDIUM
  permissions:
  - accessapproval.requests.get
  - accessapproval.requests.invalidate
  - accessapproval.requests.list
  - accessapproval.settings.delete
displayName: iam_custom_role_prohibited_permissions
enablementState: DISABLED
name: projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210
type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
updateTime: '2026-03-20T16:52:27.046766Z'

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.patch de l'API Security Command Center Management met à jour l'état d'un module personnalisé pour Event Threat Detection.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à mettre à jour (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour la facturation et le suivi des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_ID : identifiant numérique du module
NEW_STATE : ENABLED pour activer le module, DISABLED pour le désactiver ou INHERITED pour hériter de l'état d'activation de la ressource parente (valable uniquement pour les projets et les dossiers).
FIELDS_TO_UPDATE (facultatif) : Liste de champs à mettre à jour, séparés par une virgule. Si ce paramètre est omis, tous les champs sont mis à jour.

Méthode HTTP et URL :

PATCH https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState

Corps JSON de la requête :

{
  "enablementState": "NEW_STATE"
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState"

PowerShell (Windows)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "name": "projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210",
  "config": {
    "metadata": {
      "severity": "MEDIUM",
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role."
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "enablementState": "DISABLED",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "displayName": "iam_custom_role_prohibited_permissions",
  "updateTime": "2026-03-20T16:52:27.046766Z"
}

Mettre à jour la définition d'un module personnalisé

Cette section explique comment mettre à jour un module personnalisé à l'aide de la consoleGoogle Cloud et de la gcloud CLI. La taille de chaque module personnalisé Event Threat Detection est limitée à 6 Mo.

Vous ne pouvez pas modifier le type d'un module personnalisé.

Pour mettre à jour un module personnalisé, procédez comme suit :

Console

Vous ne pouvez modifier que les modules personnalisés résidentiels. Par exemple, si vous êtes dans la vue de l'organisation, vous ne pouvez modifier que les modules personnalisés créés au niveau de l'organisation.

Consultez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé que vous souhaitez modifier.
Pour ce module personnalisé, cliquez sur Actions > Modifier.
Modifiez le module personnalisé selon vos besoins.
Cliquez sur Enregistrer.

gcloud

Pour mettre à jour un module, exécutez la commande suivante et incluez le modèle JSON du module mis à jour :

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Remplacez les éléments suivants :

CUSTOM_MODULE_ID : ID numérique du module personnalisé Event Threat Detection, par exemple 1234567890. Vous pouvez obtenir l'ID numérique à partir du champ name du module personnalisé concerné lorsque vous affichez la liste des modules personnalisés.
RESOURCE_FLAG : champ d'application de la ressource parente dans laquelle réside le module personnalisé (organization, folder ou project).
RESOURCE_ID : ID de la ressource parente, c'est-à-dire l'ID de l'organisation, du dossier ou du projet.
PATH_TO_JSON_FILE : fichier JSON contenant la définition JSON du module personnalisé.

Vérifier l'état d'un seul module personnalisé

Console

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé dans la liste.

L'état du module personnalisé est indiqué dans la colonne État.

gcloud

La commande gcloud scc manage custom-modules etd describe permet d'obtenir un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à laquelle appartient le module personnalisé (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Exécutez la commande gcloud scc manage custom-modules etd describe :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd describe MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud scc manage custom-modules etd describe MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud scc manage custom-modules etd describe MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID

Vous devriez obtenir un résultat semblable à celui-ci :

config:
  metadata:
    description: An IAM custom role contains permissions that aren't allowed.
    recommendation: Remove the permissions from the custom role.
    severity: MEDIUM
  permissions:
  - accessapproval.requests.get
  - accessapproval.requests.invalidate
  - accessapproval.requests.list
  - accessapproval.settings.delete
displayName: iam_custom_role_prohibited_permissions
enablementState: ENABLED
name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210
type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
updateTime: '2025-12-23T06:54:15.618430Z'

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.get de l'API Security Command Center Management permet d'obtenir un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à laquelle appartient le module personnalisé (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour la facturation et le suivi des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Méthode HTTP et URL :

GET https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "config": {
    "metadata": {
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role.",
      "severity": "MEDIUM"
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "displayName": "iam_custom_role_prohibited_permissions",
  "enablementState": "ENABLED",
  "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "updateTime": "2025-12-23T06:54:15.618430Z"
}

Supprimer un module personnalisé

Lorsque vous supprimez un module personnalisé Event Threat Detection, les résultats qu'il a générés ne sont pas modifiés et restent disponibles dans Security Command Center. En revanche, lorsque vous supprimez un module personnalisé Security Health Analytics, les résultats qu'il a générés sont marqués comme inactifs.

Vous ne pouvez pas récupérer un module personnalisé supprimé.

Console

Vous ne pouvez pas supprimer les modules personnalisés hérités. Par exemple, si vous êtes dans la vue du projet, vous ne pouvez pas supprimer les modules personnalisés créés au niveau du dossier ou de l'organisation.

Pour supprimer un module personnalisé à l'aide de la console Google Cloud :

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé que vous souhaitez supprimer.
Pour ce module personnalisé, cliquez sur Actions > Supprimer. Un message s'affiche pour vous inviter à confirmer la suppression.
Cliquez sur Supprimer.

gcloud

La commande gcloud scc manage custom-modules etd delete crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Exécutez la commande gcloud scc manage custom-modules etd delete :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd delete MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud scc manage custom-modules etd delete MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud scc manage custom-modules etd delete MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID

Vous devriez obtenir un résultat semblable à celui-ci :

Deleted [projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210].

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.delete de l'API Security Command Center Management crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à laquelle le module personnalisé appartiendra (organizations, folders ou projects)
QUOTA_PROJECT : ID du projet à utiliser pour la facturation et le suivi des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID de projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Méthode HTTP et URL :

DELETE https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{}

Cloner un module personnalisé

Lorsque vous clonez un module personnalisé, le module personnalisé obtenu est créé en tant que résident de la ressource que vous consultez. Par exemple, si vous clonez un module personnalisé que votre projet a hérité de l'organisation, le nouveau module personnalisé est un module résidentiel dans le projet.

Vous ne pouvez pas cloner un module personnalisé descendant.

Pour cloner un module personnalisé à l'aide de la console Google Cloud :

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé que vous souhaitez cloner.
Pour ce module personnalisé, cliquez sur Actions > Cloner.
Modifiez le module personnalisé selon vos besoins.
Cliquez sur Créer.

Étapes suivantes

En savoir plus sur les modules personnalisés pour Event Threat Detection

Créer et gérer des modules personnalisés pour Event Threat Detection Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.

Avant de commencer

Security Command Center Premium et Event Threat Detection

Rôles et autorisations IAM requis

Journaux requis

Niveaux de module personnalisés

Créer des modules personnalisés

Structure du modèle

Modifier un modèle de module

Créer un module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Terraform

Latence de détection

Examiner les résultats

Console

gcloud

Trouver l'ID de la source

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Lister tous les résultats des modules personnalisés Event Threat Detection

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Lister les résultats d'un module personnalisé spécifique

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

Trouver l'ID de la source

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Lister les résultats des modules personnalisés Event Threat Detection

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Gérer les modules personnalisés Event Threat Detection

Afficher ou lister les modules personnalisés

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Activer ou désactiver un module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Mettre à jour la définition d'un module personnalisé

Console

gcloud

Vérifier l'état d'un seul module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Supprimer un module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

Créer et gérer des modules personnalisés pour Event Threat Detection