Usa módulos personalizados con las estadísticas del estado de la seguridad

Google Cloud console

Para crear un módulo personalizado en la consola de Google Cloud , completa los siguientes pasos:

1. Ve a la página Configuración de Security Command Center en la consola deGoogle Cloud .

   Ir a la configuración

2. Si se te solicita, selecciona la organización, la carpeta o el proyecto en el que necesitas crear el módulo personalizado.

3. En la tarjeta Security Health Analytics, haz clic en Administrar configuración.

4. Haz clic en la pestaña Módulos.

5. Haz clic en add_box Crear módulo. Se abrirá la página Crea un módulo para Estadísticas del estado de la seguridad.

6. En el panel Configurar módulo, define el nombre visible, los recursos que se analizarán y la lógica de detección:

   1. En el campo Nombre del módulo, especifica un nombre para el módulo. El nombre debe tener entre 1 y 128 caracteres, comenzar con una letra minúscula y contener solo caracteres alfanuméricos o guiones bajos. Este nombre se convierte en la categoría de los hallazgos que produce este detector. No puedes cambiar el nombre después de crear el módulo.

   2. En Agregar tipo de recurso, especifica de uno a cinco tipos de recursos para analizar. No puedes especificar un tipo de recurso más de una vez.

      Para obtener una lista de los tipos de recursos admitidos, consulta Tipos de recursos admitidos.

   3. En el editor de expresiones, escribe expresiones de CEL para ejecutar verificaciones booleanas en una o más propiedades del recurso que especificaste en el último paso. Para activar un hallazgo, la expresión debe resolverse como TRUE. Por ejemplo, la siguiente expresión activa un hallazgo si un recurso CryptoKey tiene definido un período de rotación y este es superior a 2,592,000 segundos (30 días):

      has(resource.rotationPeriod) && (resource.rotationPeriod > duration('2592000s'))
      

      Para obtener más información, consulta lo siguiente:

      • Escribe expresiones en CEL
      • Cómo hacer referencia a las propiedades de recursos y políticas en módulos personalizados
      • Lista de definiciones de CEL estándar

   4. Haz clic en Siguiente. Se abrirá el panel Define finding details.

7. En el panel Define finding details, describe el problema que detecta el módulo personalizado, incluida su gravedad, qué es el problema, cómo corregirlo y los datos que deseas incluir en los resultados como propiedades de origen personalizadas:

   1. En el campo Gravedad, especifica la gravedad del problema. Puedes especificar Low, Medium, High o Critical. Medium es el valor predeterminado.

      Para obtener información sobre los niveles de gravedad, consulta Clasificaciones de gravedad para los resultados.

   2. En el campo Descripción del hallazgo, explica el problema que detecta el módulo personalizado. Esta explicación aparece en cada instancia del hallazgo para ayudar a los equipos de seguridad a comprender y abordar el problema detectado.

   3. En el campo Finding next steps, explica los pasos que puede seguir tu equipo de seguridad para solucionar el problema detectado o abordarlo de alguna otra manera.

      Los pasos se muestran con cada instancia del problema. Incluye los pasos específicos que el equipo de seguridad puede seguir para abordar el problema lo más rápido posible.

   4. Opcional: En el campo Propiedades personalizadas del hallazgo, especifica hasta 10 pares nombre-valor para definir propiedades de origen personalizadas que se devolverán con cada instancia del hallazgo. La información se devuelve como propiedades de origen en el JSON del hallazgo y se muestra en la pestaña Propiedades de origen en los detalles del hallazgo en la consola deGoogle Cloud . Especifica los valores de texto o de propiedad como pares clave-valor:

      • En el campo Nombre de la propiedad, especifica un nombre para la propiedad fuente personalizada. El nombre debe cumplir con las siguientes reglas:
        • El nombre debe comenzar con una letra minúscula.
        • El nombre solo debe contener caracteres alfanuméricos o guiones bajos.
        • El nombre debe tener entre 1 y 128 caracteres.
        • Cada nombre debe ser único entre las demás propiedades de la fuente.
      • En el campo Valor de la propiedad, especifica uno de los siguientes valores con un máximo de 1,024 caracteres:
        • Es una cadena de texto entre comillas. Las comillas se incluyen en el límite de 1,024 caracteres. Por ejemplo: "This string provides additional useful information."
        • Cualquier propiedad del recurso que se analiza. Por ejemplo, si verificas el recurso CryptoKey, puedes especificar resource.rotationPeriod. Se devuelve el valor de la propiedad rotationPeriod.

   5. Haz clic en Siguiente. Se abrirá el panel Habilitar módulo.

8. Opcional: Usa el menú desplegable del panel Habilitar módulo para especificar si el módulo personalizado está habilitado o inhabilitado cuando se crea. De forma predeterminada, los módulos personalizados se habilitan cuando se crean. Si especificas Inhabilitar, puedes habilitar el módulo más adelante en la pestaña Módulos de la página de configuración de Security Health Analytics.

9. Haz clic en Siguiente. Se abrirá el panel Módulo de prueba.

10. Opcional: Antes de crear tu módulo personalizado, te recomendamos que lo pruebes.

    Para probar un módulo personalizado, sigue estos pasos:

    1. Crea un archivo YAML que contenga definiciones de recursos de prueba para los recursos que verifica tu módulo personalizado.

       Para obtener información sobre cómo crear un archivo de datos de prueba, consulta Crea recursos de prueba en un archivo YAML.

    2. En Subir el archivo YAML, haz clic en Explorar para subir el archivo YAML que contiene las definiciones de recursos de prueba. La prueba comienza automáticamente cuando se sube el archivo.

    3. En Vista previa de los resultados de la prueba, verifica los resultados.

       • Si hay errores de sintaxis o de otro tipo en tu archivo YAML, se mostrará un mensaje de error flotante cerca de la parte inferior de la página del navegador.

       • Si la prueba se realiza correctamente, se mostrará la siguiente información:

         • Es el nombre visible del módulo personalizado.
         • Es el nombre arbitrario que especificaste en la propiedad resource del archivo de datos de prueba.
         • Es la organización, la carpeta o el proyecto en el que se creó o se creará el módulo personalizado.

    Los resultados de las pruebas no se almacenan ni se escriben en Security Command Center.

    Para obtener más información, consulta Prueba módulos personalizados.

11. Haz clic en Crear. Volverás a la página Modules y deberías ver el módulo que creaste con el estado Enabled.

Los módulos personalizados nuevos no están disponibles de inmediato para que las estadísticas del estado de la seguridad los usen en los análisis. Para obtener más información, consulta Latencia de detección.

gcloud CLI

Para crear un módulo personalizado con comandos de gcloud, primero debes codificar la definición del módulo personalizado en un archivo YAML que incluya expresiones en CEL para la lógica de detección y las propiedades de salida.

Una vez que se completa la definición, se sube a Security Command Center con los comandos de gcloud CLI.

1. Codifica una definición de módulo personalizado en un archivo YAML según las instrucciones que se indican en Cómo codificar un módulo personalizado para las estadísticas del estado de la seguridad.
2. Guarda el archivo YAML en una ubicación a la que pueda acceder tu instancia de gcloud CLI.

3. Sube la definición personalizada a Security Command Center:

   gcloud scc custom-modules sha create \
       PARENT_FLAG=PARENT_ID \
       --display-name="MODULE_DISPLAY_NAME" \
       --enablement-state="ENABLEMENT_STATE" \
       --custom-config-from-file=MODULE_FILE_NAME.yaml
   

   Reemplaza lo siguiente:

   • PARENT_FLAG: Es el nivel en el que creas el módulo personalizado, ya sea --organization, --folder o --project.
   • PARENT_ID: Es el ID de la organización, la carpeta o el proyecto en el que crearás el módulo personalizado.
   • ENABLEMENT_STATE: enabled o disabled.
   • MODULE_DISPLAY_NAME: Es el nombre de la categoría del hallazgo que deseas mostrar cuando el módulo personalizado devuelve un hallazgo. El nombre debe tener entre 1 y 128 caracteres, comenzar con una letra minúscula y contener solo caracteres alfanuméricos o guiones bajos.
   • MODULE_FILE_NAME: Es la ruta de acceso y el nombre del archivo YAML que contiene la definición del módulo personalizado.

Terraform

Sigue estos pasos para crear un módulo personalizado para una organización:

resource "google_scc_management_organization_security_health_analytics_custom_module" "example" {
  organization = "123456789"
  display_name = "basic_custom_module"
  location = "global"
  enablement_state = "ENABLED"
  custom_config {
    predicate {
      expression = "resource.rotationPeriod > duration(\"2592000s\")"
    }
    resource_selector {
      resource_types = [
        "cloudkms.googleapis.com/CryptoKey",
      ]
    }
    description = "The rotation period of the identified cryptokey resource exceeds 30 days."
    recommendation = "Set the rotation period to at most 30 days."
    severity = "MEDIUM"
  }
}

Sigue estos pasos para crear un módulo personalizado para una carpeta:

resource "google_folder" "folder" {
  parent       = "organizations/123456789"
  display_name = "folder-name"
  deletion_protection = false
}

resource "google_scc_management_folder_security_health_analytics_custom_module" "example" {
  folder = google_folder.folder.folder_id
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  custom_config {
    predicate {
      expression = "resource.rotationPeriod > duration(\"2592000s\")"
    }
    resource_selector {
      resource_types = [
        "cloudkms.googleapis.com/CryptoKey",
      ]
    }
    description = "The rotation period of the identified cryptokey resource exceeds 30 days."
    recommendation = "Set the rotation period to at most 30 days."
    severity = "MEDIUM"
  }
}

Sigue estos pasos para crear un módulo personalizado para un proyecto:

resource "google_scc_management_project_security_health_analytics_custom_module" "example" {
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  custom_config {
    predicate {
      expression = "resource.rotationPeriod > duration(\"2592000s\")"
    }
    resource_selector {
      resource_types = [
        "cloudkms.googleapis.com/CryptoKey",
      ]
    }
    description = "The rotation period of the identified cryptokey resource exceeds 30 days."
    recommendation = "Set the rotation period to at most 30 days."
    severity = "MEDIUM"
  }
}

Google Cloud console

Para actualizar un módulo personalizado existente en la consola de Google Cloud , sigue estos pasos:

1. Ve a la página Configuración de Security Command Center en la consola deGoogle Cloud .

   Ir a la configuración

2. En el selector de proyectos, selecciona la organización, la carpeta o el proyecto en el que se creó originalmente el módulo personalizado. No puedes editar un módulo personalizado en ningún otro lugar.

3. En la tarjeta Security Health Analytics, haz clic en Administrar configuración.

4. Selecciona la pestaña Módulos. Se muestran todos los módulos de detección de Security Health Analytics.

5. Usa el campo de filtro en la parte superior de la lista de módulos o desplázate para encontrar el módulo personalizado que necesitas modificar.

6. En el lado derecho de la fila de tu módulo personalizado, haz clic en el ícono del menú de acciones, more_vert.

7. En el menú de acciones, haz clic en el ícono Editar (edit). Se abrirá la página Ver módulo y se mostrará la pestaña Configurar módulo.

8. Edita los campos del módulo personalizado de cada pestaña en la página Ver módulo según sea necesario.

9. Opcional: Antes de guardar tus actualizaciones, te recomendamos que las pruebes.

   Para probar un módulo personalizado, sigue estos pasos:

   1. Crea un archivo YAML que contenga definiciones de recursos de prueba para los recursos que verifica tu módulo personalizado.

      Para obtener información sobre cómo crear un archivo de datos de prueba, consulta Crea recursos de prueba en un archivo YAML.

   2. En Subir el archivo YAML, haz clic en Explorar para subir el archivo YAML que contiene las definiciones de recursos de prueba. La prueba comienza automáticamente cuando se sube el archivo.

   3. En Vista previa de los resultados de la prueba, verifica los resultados.

      • Si hay errores de sintaxis o de otro tipo en tu archivo YAML, se mostrará un mensaje de error flotante cerca de la parte inferior de la página del navegador.

      • Si la prueba se realiza correctamente, se mostrará la siguiente información:

        • Es el nombre visible del módulo personalizado.
        • Es el nombre arbitrario que especificaste en la propiedad resource del archivo de datos de prueba.
        • Es la organización, la carpeta o el proyecto en el que se creó o se creará el módulo personalizado.

   Los resultados de las pruebas no se almacenan ni se escriben en Security Command Center.

   Para obtener más información, consulta Prueba módulos personalizados.

10. En la parte inferior de la página, haz clic en Guardar. Los cambios se aplicarán al módulo personalizado.

gcloud CLI

Para actualizar un módulo personalizado con gcloud CLI, primero edita la definición YAML del módulo personalizado y, luego, usa los comandos gcloud para actualizar el módulo personalizado en las estadísticas del estado de la seguridad.

1. Edita la definición del módulo personalizado. Para obtener información sobre cómo codificar una definición de módulo personalizado, consulta Cómo codificar un módulo personalizado para las estadísticas del estado de la seguridad.

2. Guarda el archivo YAML editado en una ubicación a la que pueda acceder gcloud CLI.

3. Para actualizar el módulo personalizado en Estadísticas del estado de la seguridad, ejecuta el siguiente comando:

   gcloud scc custom-modules sha update MODULE_ID \
      PARENT_FLAG=PARENT_ID \
      --enablement-state="ENABLED" \
      --custom-config-from-file=MODULE_FILE_NAME.yaml
   

   Reemplaza lo siguiente:

   • MODULE_ID: Es el ID o el nombre completo del recurso del módulo personalizado.
   • PARENT_FLAG: Es el nivel en el que se creó el módulo personalizado, ya sea --organization, --folder o --project.
   • PARENT_ID: Es el ID de la organización, la carpeta o el proyecto en el que se creó el módulo personalizado.
   • MODULE_FILE_NAME: Es la ruta de acceso y el nombre del archivo YAML que contiene la definición del módulo personalizado.

Google Cloud console

Para ver los módulos personalizados en la consola de Google Cloud , sigue estos pasos:

1. Ve a la página Security Health Analytics en la configuración de Security Command Center.

   Ir a la configuración

2. Haz clic en la pestaña Módulos. Se abrirá el panel Módulos.

3. Si es necesario, usa el campo de filtro en la parte superior de la lista de módulos para encontrar el módulo personalizado que necesitas modificar.

4. Para ver los detalles de la definición del módulo personalizado, haz clic en el ícono del menú Acción, more_vert, que se encuentra en el lado derecho de la fila del módulo personalizado.

5. En el menú de acciones, haz clic en el ícono de Editar,edit. Se abrirá la página Ver módulo y se mostrará la pestaña Configurar módulo.

6. Haz clic en las pestañas de la página Ver módulo para ver todos los campos de la definición del módulo personalizado.

gcloud CLI

Para ver los detalles de un módulo personalizado, ingresa el siguiente comando:

gcloud scc custom-modules sha get MODULE_ID \
      PARENT_FLAG=PARENT_ID

Reemplaza lo siguiente:

• MODULE_ID: Es el ID o el nombre completo del recurso del módulo personalizado.
• PARENT_FLAG: Es el nivel en el que se creó el módulo personalizado, ya sea --organization, --folder o --project.
• PARENT_ID: Es el ID de la organización, la carpeta o el proyecto en el que se creó el módulo personalizado.

Google Cloud console

1. Ve a la página Security Health Analytics en la configuración de Security Command Center.

   Ir a la configuración

2. Haz clic en la pestaña Módulos. Se abrirá el panel Módulos.

3. Haz clic en el campo de filtro que se encuentra en la parte superior de la lista de módulos para mostrar la lista de tipos de filtros.

4. Selecciona Tipo y, luego, ingresa Custom. La lista de módulos se actualiza para mostrar solo los módulos personalizados.

gcloud CLI

Para ver una lista de los módulos personalizados, ingresa el siguiente comando:

gcloud scc custom-modules sha list \
    PARENT_FLAG=PARENT_ID

Reemplaza lo siguiente:

• PARENT_FLAG: Es el nivel en el que se creó el módulo personalizado, ya sea --organization, --folder o --project.
• PARENT_ID: Es el ID de la organización, la carpeta o el proyecto en el que se creó el módulo personalizado.

Google Cloud console

1. Ve a la página Configuración de Security Command Center en la consola deGoogle Cloud .

   Ir a la configuración

2. Si se te solicita, selecciona tu organización, carpeta o proyecto.

3. En la tarjeta Security Health Analytics, haz clic en Administrar configuración.

4. Selecciona la pestaña Módulos. Se muestran todos los módulos de detección de Security Health Analytics.

5. Usa el campo de filtro en la parte superior de la lista de módulos o desplázate para encontrar el módulo personalizado que necesitas modificar.

6. En el lado derecho de la fila de tu módulo personalizado, haz clic en el ícono del menú de acciones, more_vert.

7. En el menú de acciones, haz clic en Borrar. Se abrirá el diálogo Borrar módulo personalizado.

8. En el cuadro de diálogo, haz clic en Borrar.

gcloud CLI

Para borrar un módulo personalizado, ingresa el siguiente comando:

gcloud scc custom-modules sha delete MODULE_ID \
    PARENT_FLAG=PARENT_ID

Reemplaza lo siguiente:

• MODULE_ID: Es el ID o el nombre completo del recurso del módulo personalizado.
• PARENT_FLAG: Es el nivel en el que se creó el módulo personalizado, ya sea --organization, --folder o --project.
• PARENT_ID: Es el ID de la organización, la carpeta o el proyecto en el que se creó el módulo personalizado.

Console

gcloud CLI

Para ver los resultados, haz lo siguiente:

1. Abre una ventana de terminal.

2. Para obtener el ID de la fuente de las estadísticas de estado de seguridad, ejecuta el siguiente comando:

   gcloud scc sources describe organizations/ORGANIZATION_ID \
   --source-display-name='Security Health Analytics Custom'
   

   El resultado debería mostrar un resultado como el siguiente. En el ejemplo, SOURCE_ID es un ID asignado por el servidor para las fuentes de seguridad.

   description: ...
   displayName: Security Health Analytics Custom
   name: organizations/ORGANIZATION_ID/sources/SOURCE_ID
   

3. Para enumerar todos los resultados generados por tus módulos personalizados, ejecuta el siguiente comando:

   gcloud scc findings list ORGANIZATION_ID --source=SOURCE_ID
   

4. Para enumerar los resultados de un módulo personalizado específico, ejecuta el siguiente comando:

   gcloud scc findings list ORGANIZATION_ID --source=SOURCE_ID --filter="category=\"MODULE_NAME\""