Usa módulos personalizados con Security Health Analytics

Consola de Google Cloud

Para crear un módulo personalizado en la consola de Google Cloud, completa los los siguientes pasos:

1. Ve a la página Configuración de Security Command Center en la consola de Google Cloud.

   Ir a la configuración

2. Si se te solicita, selecciona la organización, la carpeta o el proyecto en el que necesitas crear el módulo personalizado.

3. En la tarjeta Security Health Analytics, haz clic en Administrar configuración.

4. Haz clic en la pestaña Módulos.

5. Haz clic en add_box Crear módulo. Se abrirá la página Crea un módulo para Security Health Analytics.

6. En el panel Configure module, define el nombre visible, los recursos y los para analizar y la lógica de detección:

   1. En el campo Module name, especifica un nombre para el módulo. El nombre debe tener entre 1 y 128 caracteres y comenzar con una una letra minúscula y contener caracteres alfanuméricos o guiones bajos solamente. Este nombre se convierte en la categoría de hallazgo de los hallazgos que produce este detector. No puedes cambiar el nombre después del módulo cuando se cree.

   2. En Agregar tipo de recurso, especifica de uno a cinco tipos de recursos. para escanear. No puedes especificar un tipo de recurso más de una vez.

      Para obtener una lista de los tipos de recursos admitidos, consulta Tipos de recursos admitidos.

   3. En el Editor de expresiones, escribe expresiones CEL para ejecutar verificaciones booleanas en una o más propiedades del recurso que especificaste en el último paso. Para activar un hallazgo, expresión debe resolverse como TRUE. Por ejemplo, la siguiente expresión activa un hallazgo si un recurso CryptoKey tiene un período de rotación definido y el es superior a 2,592,000 segundos (30 días):

      has(resource.rotationPeriod) && (resource.rotationPeriod > duration('2592000s'))
      

      Para obtener más información, consulta lo siguiente:

      • Cómo escribir expresiones en CEL
      • Cómo hacer referencia a propiedades de recursos y políticas en módulos personalizados
      • Lista de definiciones de CEL estándar

   4. Haz clic en Siguiente. Se abrirá el panel Definir detalles de hallazgo.

7. En el panel Definir detalles del hallazgo, describe el problema al que que detecta el módulo personalizado, como su gravedad, cuál es el problema cómo solucionar el problema y cualquier dato que desees incluir en el como propiedades fuente personalizadas:

   1. En el campo Gravedad, especifica la gravedad del problema. Puedes especificar Low, Medium, High o Critical. Medium es el valor predeterminado.

      Para obtener información sobre los niveles de gravedad, consulta Clasificaciones de gravedad para los resultados.

   2. En el campo Finding description, explica el problema que detecta el módulo personalizado. Esta explicación aparece en cada hallazgo para ayudar a los equipos de seguridad a comprender y abordar los el problema detectado.

   3. En el campo Cómo encontrar los próximos pasos, explica los pasos que que el equipo de seguridad puede tomar para solucionar o abordar de algún otro modo el problema detectado.

      Los pasos se muestran con cada instancia de hallazgo. Incluye información específica medidas que el equipo de seguridad puede tomar para abordar el problema, lo más rápido posible.

   4. Opcional: En el campo Propiedades de resultados personalizadas, especifica hasta 10 pares nombre-valor para definir las propiedades fuente personalizadas devolver con cada instancia de un hallazgo. La información se muestra como propiedades de origen en el JSON del hallazgo y se muestra en la pestaña Source properties en los detalles del hallazgo de la consola de Google Cloud. Especifica el texto o los valores de propiedad como Pares clave-valor:

      • En el campo Nombre de la propiedad, especifica un nombre para el evento personalizado. propiedad fuente. El nombre debe cumplir con las siguientes reglas:
        • Debe comenzar con una letra minúscula.
        • El nombre debe contener solo caracteres alfanuméricos guiones bajos.
        • El nombre debe tener entre 1 y 128 caracteres de longitud.
        • Cada nombre debe ser único entre las otras propiedades de origen.
      • En el campo Valor de la propiedad, especifica una de las siguientes opciones: en 1,024 caracteres o menos:
        • Es una cadena de texto encerrada entre comillas. Las comillas se incluyen en el límite de 1,024 caracteres. Por ejemplo: "This string provides additional useful information."
        • Cualquier propiedad del recurso que se analiza. Por ejemplo, si revisas el recurso CryptoKey, puedes especificar resource.rotationPeriod. El valor de se muestra la propiedad rotationPeriod.

   5. Haz clic en Siguiente. Se abrirá el panel Enable module.

8. Opcional: Usa el menú desplegable del panel Habilitar módulo para Especifica si el módulo personalizado se habilita o inhabilita al momento de la creación. De forma predeterminada, los módulos personalizados se habilitan después de su creación. Si especificas Inhabilitar; puedes habilitar el módulo más adelante en la pestaña Módulos en en la página de configuración de Security Health Analytics.

9. Haz clic en Siguiente. Se abrirá el panel Módulo de prueba.

10. Opcional: Antes de crear tu módulo personalizado, te recomendamos y probarlo.

    Para probar un módulo personalizado, sigue estos pasos:

    1. Crea un archivo YAML que contenga definiciones de recursos de prueba para el que tu módulo personalizado verifica.

       Para obtener información sobre cómo crear un archivo de datos de prueba, consulta Crea recursos de prueba en un archivo YAML.

    2. En Subir el archivo YAML, haz clic en Explorar para subir el archivo YAML. que contiene las definiciones de recursos de prueba. Comienza la prueba automáticamente cuando se sube el archivo.

    3. En Vista previa de los resultados de la prueba, verifica los resultados.

       • Si hay errores de sintaxis u otros errores en tu archivo YAML, Aparece un mensaje de error cerca de la parte inferior de la página del navegador.

       • Si la prueba es exitosa, muestra la siguiente información:

         • El nombre visible del módulo personalizado.
         • El nombre arbitrario que especificaste en la propiedad resource en el archivo de datos de prueba.
         • La organización, la carpeta o el proyecto en el que se encuentra el módulo se creó o se creará.

    Los resultados de las pruebas no se almacenan ni se escriben en Security Command Center.

    Para obtener más información, consulta Prueba módulos personalizados.

11. Haz clic en Crear. Ya te devolviste a la página Módulos y deberías ver el módulo que creaste. con el estado Enabled

Los módulos personalizados nuevos no están disponibles de inmediato para que Security Health Analytics los use en los análisis. Para obtener más información, consulta Latencia de detección.

gcloud CLI

Para crear un módulo personalizado con los comandos gcloud, primero debes hacer lo siguiente: codificar la definición del módulo personalizado en un archivo YAML que incluya Expresiones en CEL para la lógica de detección y las propiedades de salida.

Después de completar la definición, debes subirla a Security Command Center con comandos de gcloud CLI.

1. Codificar una definición de módulo personalizado en un archivo YAML según el instrucciones en Codifica un módulo personalizado para Security Health Analytics.
2. Guarda el archivo YAML en una ubicación accesible para tu instancia. de gcloud CLI.

3. Sube la definición personalizada a Security Command Center:

   gcloud scc custom-modules sha create \
       PARENT_FLAG=PARENT_ID \
       --display-name="MODULE_DISPLAY_NAME" \
       --enablement-state="ENABLEMENT_STATE" \
       --custom-config-from-file=MODULE_FILE_NAME.yaml
   

   Reemplaza lo siguiente:

   • PARENT_FLAG: el nivel en el que te encuentras creando el módulo personalizado, ya sea --organization, --folder o --project
   • PARENT_ID: Es el ID de la organización, la carpeta o proyecto en el que estás creando el módulo personalizado.
   • ENABLEMENT_STATE: enabled o disabled.
   • MODULE_DISPLAY_NAME: La categoría de hallazgo nombre que quieres mostrar cuando el módulo personalizado devuelve un resultado. Debe tener entre 1 y 128 caracteres y comenzar con una letra minúscula y contener solo caracteres alfanuméricos o guiones bajos.
   • MODULE_FILE_NAME: Es la ruta de acceso y el nombre de archivo de el archivo YAML que contiene la definición del módulo personalizado.

Consola de Google Cloud

Para actualizar un módulo personalizado existente en la consola de Google Cloud, sigue estos pasos: sigue estos pasos:

1. Ve a la página Configuración de Security Command Center en la consola de Google Cloud.

   Ir a la configuración

2. En el selector de proyectos, selecciona la organización, la carpeta o el proyecto en el que se creó originalmente el módulo personalizado. No puedes editar un módulo personalizado en ningún otro lugar.

3. En la tarjeta Security Health Analytics, haz clic en Administrar configuración.

4. Selecciona la pestaña Módulos. Toda la detección de Security Health Analytics se muestran los módulos.

5. Usa el campo de filtro en la parte superior de la lista de módulos o desplázate para encontrar el módulo personalizado que debes modificar.

6. En el lado derecho de la fila de tu módulo personalizado, haz clic en el botón Acción ícono de menú, more_vert.

7. En el menú Acción, haz clic en el ícono Editar. (edit). El Se abrirá la página Ver módulo, en la que se mostrará la pestaña Configurar módulo.

8. Edita los campos personalizados del módulo de cada pestaña en Ver módulo. página según sea necesario.

9. Opcional: Antes de guardar las actualizaciones, te recomendamos que las pruebes.

   Para probar un módulo personalizado, sigue estos pasos:

   1. Crea un archivo YAML que contenga definiciones de recursos de prueba para el que tu módulo personalizado verifica.

      Para obtener información sobre cómo crear un archivo de datos de prueba, consulta Crea recursos de prueba en un archivo YAML.

   2. En Subir el archivo YAML, haz clic en Explorar para subir el archivo YAML. que contiene las definiciones de recursos de prueba. Comienza la prueba automáticamente cuando se sube el archivo.

   3. En Vista previa de los resultados de la prueba, verifica los resultados.

      • Si hay errores de sintaxis u otros errores en tu archivo YAML, Aparece un mensaje de error cerca de la parte inferior de la página del navegador.

      • Si la prueba es exitosa, muestra la siguiente información:

        • El nombre visible del módulo personalizado.
        • El nombre arbitrario que especificaste en la propiedad resource en el archivo de datos de prueba.
        • La organización, la carpeta o el proyecto en el que se encuentra el módulo se creó o se creará.

   Los resultados de las pruebas no se almacenan ni se escriben en Security Command Center.

   Para obtener más información, consulta Prueba módulos personalizados.

10. Al final de la página, haz clic en Guardar. Los cambios se aplican a el módulo personalizado.

gcloud CLI

Para actualizar un módulo personalizado con gcloud CLI, primero debes editar la definición YAML del módulo personalizado y, luego, usar Comandos gcloud para actualizar el módulo personalizado en Security Health Analytics.

1. Edita la definición del módulo personalizado. Para obtener información sobre cómo codificar una definición de módulo personalizado, consulta Cómo codificar un módulo personalizado para las estadísticas del estado de la seguridad.

2. Guarda el archivo YAML editado en una ubicación a la que puedan acceder gcloud CLI.

3. Para actualizar el módulo personalizado en Security Health Analytics, emite el siguiente :

   gcloud scc custom-modules sha update MODULE_ID \
      PARENT_FLAG=PARENT_ID \
      --enablement-state="ENABLED" \
      --custom-config-from-file=MODULE_FILE_NAME.yaml
   

   Reemplaza lo siguiente:

   • MODULE_ID: Es el ID o nombre completo del recurso de el módulo personalizado.
   • PARENT_FLAG: Es el nivel en el que se se creó el módulo, ya sea --organization, --folder o --project.
   • PARENT_ID: Es el ID de la organización, la carpeta o proyecto en el que se creó el módulo personalizado.
   • MODULE_FILE_NAME: Es la ruta de acceso y el nombre de archivo de el archivo YAML que contiene la definición del módulo personalizado.

Consola de Google Cloud

Para ver los módulos personalizados en la consola de Google Cloud, sigue estos pasos:

1. Ve a la página Security Health Analytics en Security Command Center. configuración.

   Ir a la configuración

2. Haz clic en la pestaña Módulos. Se abrirá el panel Modules.

3. Si es necesario, usa el campo de filtro ubicado en la parte superior de la lista de módulos. para encontrar el módulo personalizado que debes modificar.

4. Para ver los detalles de la definición del módulo personalizado, haz clic en el botón Action ícono de menú, more_vert, a la derecha lado de la fila del módulo personalizado.

5. En el menú de acciones, haz clic en el ícono Editar, edit. Se abre la página Ver módulo y se muestra la pestaña Configurar módulo.

6. Haz clic en las pestañas de la página Ver módulo para ver todos los campos de la definición del módulo personalizado.

gcloud CLI

Para ver los detalles de un módulo personalizado, ingresa el siguiente comando:

gcloud scc custom-modules sha get MODULE_ID \
      PARENT_FLAG=PARENT_ID

Reemplaza lo siguiente:

• MODULE_ID: Es el ID o nombre completo del recurso de el módulo personalizado.
• PARENT_FLAG: Es el nivel en el que se se creó el módulo, ya sea --organization, --folder o --project.
• PARENT_ID: Es el ID de la organización, la carpeta o proyecto en el que se creó el módulo personalizado.

Consola de Google Cloud

1. Ve a la página Security Health Analytics en Security Command Center. configuración.

   Ir a la configuración

2. Haz clic en la pestaña Módulos. Se abrirá el panel Modules.

3. Haz clic en el campo de filtro en la parte superior de la lista de módulos para mostrar la lista de tipos de filtro.

4. Selecciona Tipo y, luego, ingresa Custom. Las listas de módulos se actualizan mostrar solo los módulos personalizados.

gcloud CLI

Para ver una lista de los módulos personalizados, ingresa siguiente comando:

gcloud scc custom-modules sha list \
    PARENT_FLAG=PARENT_ID

Reemplaza lo siguiente:

• PARENT_FLAG: Es el nivel en el que se se creó el módulo, ya sea --organization, --folder o --project.
• PARENT_ID: Es el ID de la organización, la carpeta o proyecto en el que se creó el módulo personalizado.

Consola de Google Cloud

1. Ve a la página Configuración de Security Command Center en la consola de Google Cloud.

   Ir a la configuración

2. Si se te solicita, selecciona tu organización, carpeta o proyecto.

3. En la tarjeta Security Health Analytics, haz clic en Administrar configuración.

4. Selecciona la pestaña Módulos. Toda la detección de Security Health Analytics se muestran los módulos.

5. Usa el campo de filtro en la parte superior de la lista de módulos o desplázate para encontrar el módulo personalizado que debes modificar.

6. En el lado derecho de la fila de tu módulo personalizado, haz clic en el botón Acción ícono de menú, more_vert.

7. En el menú Acción, haz clic en Borrar. La sección Borrar módulo personalizado cuando lo hagas.

8. En el cuadro de diálogo, haz clic en Borrar.

gcloud CLI

Para borrar un módulo personalizado, ingresa el siguiente comando:

gcloud scc custom-modules sha delete MODULE_ID \
    PARENT_FLAG=PARENT_ID

Reemplaza lo siguiente:

• MODULE_ID: Es el ID o nombre completo del recurso de el módulo personalizado.
• PARENT_FLAG: Es el nivel en el que se se creó el módulo, ya sea --organization, --folder o --project.
• PARENT_ID: Es el ID de la organización, la carpeta o el proyecto en el que se creó el módulo personalizado.

Console

gcloud CLI

Para ver los resultados, haz lo siguiente:

1. Abre una ventana de terminal.

2. Para obtener el ID de origen de Security Health Analytics, ejecuta el comando siguiente comando:

   gcloud scc sources describe organizations/ORGANIZATION_ID \
   --source-display-name='Security Health Analytics Custom'
   

   El resultado debería mostrar un resultado como el siguiente. En el ejemplo, SOURCE_ID es un ID que asigna el servidor por motivos de seguridad fuentes de datos.

   description: ...
   displayName: Security Health Analytics Custom
   name: organizations/ORGANIZATION_ID/sources/SOURCE_ID
   

3. Para enumerar todos los resultados generados por tus módulos personalizados, ejecuta el siguiente comando:

   gcloud scc findings list ORGANIZATION_ID --source=SOURCE_ID
   

4. Para enumerar los resultados de un módulo personalizado específico, ejecuta el siguiente comando:

   gcloud scc findings list ORGANIZATION_ID --source=SOURCE_ID --filter="category=\"MODULE_NAME\""