Attivazione delle notifiche via email e chat in tempo reale

Email SendGrid

Per attivare le notifiche via email:

• Crea un account API email SendGrid e ottieni una chiave API.
• Crea ed esegui il deployment di una funzione Cloud Run che invii email quando vengono ricevute notifiche da Pub/Sub.

Crea un account API Email SendGrid

In questa sezione, crei un account API email SendGrid e ottieni una chiave API. Se hai già attivato SendGrid, vai a Ottenere una chiave API email Sendgrid e assicurati che la chiave API esistente disponga delle autorizzazioni adeguate.

1. Vai alla console Google Cloud.
   Vai alla console Google Cloud
   
2. Nella casella di ricerca nella parte superiore della pagina, cerca API email SendGrid.

3. Nella pagina successiva, seleziona il piano più adatto alle tue esigenze.

   • Il piano gratuito consente di inviare fino a 12.000 email al mese ed è sufficiente per questa guida, ma le organizzazioni di grandi dimensioni potrebbero averne bisogno di più. Se prevedi un volume maggiore di notifiche via email, ti consigliamo di aggiungere filtri aggiuntivi alle notifiche per escludere i risultati con rumore.
   • Ti potrebbe essere chiesto di selezionare un progetto da associare a SendGrid. Procedi selezionando un progetto. Potresti aver bisogno di autorizzazioni adeguate per gestire gli acquisti per l'account di fatturazione associato al progetto.

4. Esamina i termini e, se tutto è a posto, fai clic su Iscriviti.

5. Attiva il servizio SendGrid facendo clic su Registrati con SendGrid.

6. Nella schermata di registrazione, inserisci un nome utente, una password e un indirizzo email. Accetta i Termini di servizio e fai clic su Continua.

7. Nella finestra di dialogo di conferma, fai clic su Torna a Google.

Ottenere una chiave API Email by SendGrid

1. Fai clic su Gestisci le chiavi API sul sito web di SendGrid. Si apre una nuova scheda per il sito web SendGrid.

2. Compila il modulo o accedi, se richiesto. Quindi, fai clic su Inizia.

3. Nel riquadro del menu, espandi Impostazioni e fai clic su Chiavi API.

4. Nella schermata successiva, fai clic sul pulsante Crea chiave API.

5. In Nome chiave API, inserisci "Notifiche via email SCC", seleziona Accesso completo e poi fai clic sul pulsante Crea e visualizza.
   
   

6. Viene visualizzata la chiave API. Registra il valore. Ti servirà nella sezione successiva.

7. Fai clic su Fine. Viene visualizzato l'attuale insieme di chiavi API. Chiudi la scheda e torna alla console Google Cloud.

Successivamente, esegui il deployment di una funzione Cloud Run per inviare notifiche a un indirizzo email.

Crea la funzione Cloud Run di SendGrid

In questa sezione esegui il deployment di una funzione che invia notifiche al tuo account email.

1. Vai a Cloud Run Functions.
   Vai alle funzioni Cloud Run
   

2. Assicurati di utilizzare lo stesso PROJECT_ID utilizzato per creare l'argomento Pub/Sub.

3. Fai clic su Crea funzione.

4. Imposta Nome funzione susend-high-and-critical-finding-email-notification e Tipo di trigger su Pub/Sub.

5. Seleziona l'argomento Pub/Sub che hai creato in Configurare un argomento Pub/Sub.

6. Fai clic su Salva e poi su Avanti.

7. Nella pagina successiva, imposta Runtime su Python 3.8. L'esempio di codice in questa sezione è scritto in Python, ma puoi utilizzare qualsiasi linguaggio supportato dalle funzioni Cloud Run.

8. Nell'elenco dei file, fai clic su requirements.txt e aggiungi quanto segue al campo di testo: sendgrid.
   
   

9. Fai clic su main.py e sostituisci i contenuti con il seguente snippet di codice.

   import base64
   import json
   from sendgrid import SendGridAPIClient
   from sendgrid.helpers.mail import Mail
   
   def send_email_notification(event, context):
       """Triggered from a message on a Pub/Sub topic.
       Args:
            event (dict): Event payload.
            context (google.cloud.functions.Context): Metadata for the event.
       """
       pubsub_message = base64.b64decode(event['data']).decode('utf-8')
       message_json = json.loads(pubsub_message)
       message = Mail(
           from_email='noreply@yourdomain.com',
           to_emails='$EMAIL_ADDRESS',
           subject='New High or Critical Severity Finding Detected',
           html_content='A new high or critical severity finding was
           detected: ' + ''.join(message_json['finding']['category']))
       try:
           sg = SendGridAPIClient('$SENDGRID_EMAIL_API_KEY')
           response = sg.send(message)
           print(response.status_code)
           print(response.body)
           print(response.headers)
       except Exception as e:
           print(e)
   
       print(pubsub_message)
   

10. Sostituisci quanto segue:

    • Sostituisci noreply@yourdomain.com con l'indirizzo email da cui vuoi che vengano inviati i messaggi.
    • Modifica$EMAIL_ADDRESS con l'indirizzo email del destinatario previsto. Nota:questa variabile può contenere un array di indirizzi email (['user1@yourdomain.com', 'user2@yourdomain.com']) oppure puoi scrivere codice personalizzato per impostare una variabile dinamica su, ad esempio, un elenco rotativo di persone di guardia.
    • Sostituisci $SENDGRID_EMAIL_API_KEY con la chiave API che hai già o con quella che hai creato nella sezione precedente.

11. Vai al campo Entry point (Punto di contatto) e inserisci il nome della funzione nello snippet di codice (send_email_notification, in questo esempio).

12. Fai clic su Esegui il deployment. Torni all'elenco delle funzioni Cloud Run, dove dovresti vedere la nuova funzione. Quando accanto al nome della funzione viene visualizzato un segno di spunta verde, significa che il deployment è stato completato correttamente. L'operazione potrebbe richiedere alcuni minuti.

Slack

Per inviare notifiche a un canale Slack:

• Crea una nuova app Slack con privilegi sufficienti per pubblicare messaggi in un canale pubblico di Slack.
• Crea ed esegui il deployment di una funzione Cloud Run che pubblichi messaggi di chat su Slack quando vengono ricevute notifiche da Pub/Sub.

Creare una nuova app di Slack

In questa sezione, crei una nuova app Slack per ricevere notifiche.

1. Vai ad App API Slack. La pagina si apre in una nuova scheda.

2. Accedi o crea un account.

3. Seleziona Crea un'app.

4. Imposta Nome app su "SCC Finding Notifier".

5. Seleziona l'area di lavoro Slack di sviluppo in cui vuoi che il bot di Slack pubblichi i messaggi, quindi fai clic su Crea app.

6. Nel pannello di navigazione, seleziona OAuth e autorizzazioni.
   
   

7. Vai alla sezione Ampiezze. Gli ambiti si suddividono in due categorie:

   • Ambiti dei token bot
   • Ampi dello token utente

8. Per questo esercizio, non è necessario aggiungere un ambito del token utente. In Ambiti token bot, fai clic su Aggiungi un ambito OAuth e inserisci:

   • chat:write
   • chat:write.public
     
     

9. Scorri fino alla parte superiore della pagina OAuth e autorizzazioni e fai clic su Installa app in Workspace.

10. Nella finestra di dialogo di conferma, fai clic su Consenti.

11. Copia il token di accesso OAuth dell'utente del bot da utilizzare nella funzione Cloud.

Successivamente, esegui il deployment di una funzione Cloud Run per inviare notifiche a un gruppo di Slack.

Crea la funzione Cloud Run di Slack

In questa sezione esegui il deployment di una funzione per inviare notifiche al tuo account Slack.

1. Vai a Cloud Run Functions.
   Vai alle funzioni Cloud Run
   

2. Assicurati di utilizzare lo stesso PROJECT_ID in cui è stato creato l'argomento Pub/Sub.

3. Fai clic su Crea funzione.

4. Imposta Nome funzione su slack-chat-high-and-critical-findings e Tipo di trigger su Pub/Sub.

5. Seleziona l'argomento Pub/Sub che hai creato in Configurare un argomento Pub/Sub.

6. Fai clic su Salva e poi su Avanti.

7. Nella pagina successiva, imposta Runtime su Python 3.8. L'esempio di codice in questa sezione è scritto in Python, ma puoi utilizzare qualsiasi linguaggio supportato dalle funzioni Cloud Run.

8. Vai all'elenco dei file. Fai clic su requirements.txt e aggiungi quanto segue: requests.

9. Fai clic su main.py e sostituisci i relativi contenuti con lo snippet di codice seguente.

   import base64
   import json
   import requests
   
   TOKEN = "BOT_ACCESS_TOKEN"
   
   def send_slack_chat_notification(event, context):
       pubsub_message = base64.b64decode(event['data']).decode('utf-8')
       message_json = json.loads(pubsub_message)
       finding = message_json['finding']
   
       requests.post("https://slack.com/api/chat.postMessage", data={
           "token": TOKEN,
           "channel": "#general",
           "text": f"A high severity finding {finding['category']} was detected!"
       })
   

10. Sostituisci BOT_ACCESS_TOKEN con il token di accesso OAuth dell'utente bot che hai creato con l'app Slack.

11. Vai al campo Entry point (Punto di contatto) e inserisci il nome della funzione nello snippet di codice (send_slack_chat_notification, in questo esempio).

12. Fai clic su Esegui il deployment. Torni all'elenco delle funzioni Cloud Run, dove dovresti vedere la nuova funzione. Quando accanto al nome della funzione viene visualizzato un segno di spunta verde, significa che il deployment è stato eseguito correttamente. L'operazione potrebbe richiedere alcuni minuti. I messaggi vengono visualizzati nel canale #general di Slack.

WebEx

Per inviare notifiche al tuo account WebEx Teams:

• Crea un nuovo account di servizio con autorizzazioni per recuperare gli asset da Security Command Center.
• Crea un nuovo bot WebEx con privilegi sufficienti per pubblicare messaggi nella tua area di lavoro.
• Crea ed esegui il deployment di una funzione Cloud Run che si iscriva a Pub/Sub e pubblichi messaggi di chat su WebEx quando vengono ricevute notifiche dall'argomento Pub/Sub.

Crea un account di servizio

Per impostazione predefinita, le funzioni Cloud Run non possono recuperare gli asset da Security Command Center. In questa sezione esegui il provisioning di un account di servizio che consente alle funzioni Cloud Run di recuperare gli asset associati ai risultati.

1. Assegna un nome all'account di servizio e specificalo come variabile di ambiente.

   export SERVICE_ACCOUNT=ACCOUNT_NAME
   

2. Crea l'account di servizio per il progetto.

   gcloud iam service-accounts create $SERVICE_ACCOUNT \
    --display-name "Service Account for SCC Finding Notifier WebEx Cloud Function" \
    --project $PROJECT_ID
   

3. Concedi all'account di servizio il ruolo securitycenter.assetsViewer a livello di organizzazione.

    gcloud organizations add-iam-policy-binding $ORG_ID \
      --member="serviceAccount:$SERVICE_ACCOUNT@$PROJECT_ID.iam.gserviceaccount.com" \
      --role='roles/securitycenter.assetsViewer'
   

Creare un bot Webex

In questa sezione, crei un bot WebEx che pubblica messaggi nella tua area di lavoro.

1. Accedi al tuo account WebEx Teams e vai alla pagina Nuovo bot.

2. Imposta Nome bot su "SCC Finding Notifier".

3. Seleziona un nome utente del bot descrittivo, ma univoco (your-name-scc-finding-notifier-demo).

4. In Icona, seleziona Predefinito 1.

5. Imposta Descrizione su "Un bot che invia una notifica al team quando viene pubblicato in Security Command Center un nuovo risultato con gravità elevata o critica".

6. Fai clic su Aggiungi bot.

7. Nella pagina di conferma, copia il token di accesso del bot e salvalo per usarlo nella funzione Cloud Run.

Aggiungere il bot Webex allo spazio di lavoro

In questa sezione aggiungi il bot WebEx a un'area di lavoro.

1. Nello spazio WebEx in cui vuoi che il bot pubblichi le notifiche, espandi il pannello delle attività.

2. Seleziona Aggiungi persone.

3. Digita "SCC Finding Notifier" nel campo di testo e seleziona il bot che hai creato dal menu a discesa.

4. Seleziona il pulsante Aggiungi, quindi chiudi il riquadro.

5. Ottieni l'ID stanza dello spazio di lavoro per la funzione Cloud Run. Su un computer, vai all'indirizzo https://developer.webex.com/docs/api/v1/rooms/list- rooms e accedi, se necessario. Questa pagina utilizza l'API WebEx per elencare le sale di cui fai parte.

6. Vai al riquadro di ricerca.

7. Seleziona la scheda Prova nella parte superiore del riquadro.

8. Lascia invariate tutte le opzioni con i valori predefiniti e fai clic su Esegui.

9. Nella scheda Risposta, ricevi una risposta in formato JSON con un elenco di items, ovvero camere. Trova il title della stanza in cui vuoi visualizzare le notifiche e registra il valore id associato.

Successivamente, esegui il deployment di una funzione Cloud Run per inviare notifiche alla tua area di lavoro WebEx.

Crea la funzione Cloud Run di WebEx

In questa sezione esegui il deployment di una funzione per inviare notifiche al tuo account WebEx.

1. Vai a Cloud Run Functions.
   Vai alle funzioni Cloud Run
   

2. Seleziona lo stesso PROJECT_ID in cui è stato creato l'argomento Pub/Sub.

3. Fai clic su Crea funzione.

4. Imposta Nome funzione suwebex-teams-high-and-critical-findings e Tipo di trigger suPub/Sub.

5. Seleziona l'argomento Pub/Sub che hai creato in Configurare un argomento Pub/Sub.

6. Espandi il campo Variabili, networking e impostazioni avanzate.

7. In Account di servizio, filtra per selezionare l'account di serviziowebex-cloud-function-sa che hai creato.

8. Fai clic su Salva e poi su Avanti.

9. Nella pagina successiva, imposta Runtime su Python 3.8. L'esempio di codice in questa sezione è scritto in Python, ma puoi utilizzare qualsiasi linguaggio supportato dalle funzioni Cloud Run.

10. Vai all'elenco dei file. Fai clic su requirements.txt e aggiungi quanto segue:

    • requests==2.25.1
    • google-cloud-securitycenter==1.1.0

11. Fai clic su main.py e sostituisci i contenuti con il seguente snippet di codice.

    #!/usr/bin/env python3
    import base64
    import json
    
    import requests
    from google.cloud import securitycenter_v1
    
    WEBEX_TOKEN = "WEBEX_TOKEN"
    ROOM_ID = "ROOM_ID"
    
    TEMPLATE = """
    **Severity:** {severity}\n
    **Asset:** {asset}\n
    **SCC Category:** {category}\n
    **Project:** {project}\n
    **First observed:** {create_time}\n
    **Last observed:** {event_time}\n
    **Link to finding:** {finding_link}
    """
    
    PREFIX = "https://console.cloud.google.com/security/command-center/findings"
    
    def get_finding_detail_page_link(finding_name):
        """Constructs a direct link to the finding detail page."""
        org_id = finding_name.split("/")[1]
        return f"{PREFIX}?organizationId={org_id}&resourceId={finding_name}"
    
    def get_asset(parent, resource_name):
        """Retrieves the asset corresponding to `resource_name` from SCC."""
        client = securitycenter_v1.SecurityCenterClient()
        resp = client.list_assets(
            securitycenter_v1.ListAssetsRequest(
                parent=parent,
                filter=f'securityCenterProperties.resourceName="{resource_name}"',
            )
        )
        page = next(resp.pages)
        if page.total_size == 0:
            return None
        asset = page.list_assets_results[0].asset
        return json.loads(securitycenter_v1.Asset.to_json(asset))
    
    def send_webex_teams_notification(event, context):
        """Send the notification to WebEx Teams."""
        pubsub_message = base64.b64decode(event["data"]).decode("utf-8")
        message_json = json.loads(pubsub_message)
        finding = message_json["finding"]
    
        parent = "/".join(finding["parent"].split("/")[0:2])
        asset = get_asset(parent, finding["resourceName"])
    
        requests.post(
            "https://webexapis.com/v1/messages",
            json={
                "roomId": ROOM_ID,
                "markdown": TEMPLATE.format(
                    severity=finding["severity"],
                    asset=asset["securityCenterProperties"]["resourceDisplayName"],
                    category=finding["category"],
                    project=asset["resourceProperties"]["project"],
                    create_time=finding["createTime"],
                    event_time=finding["eventTime"],
                    finding_link=get_finding_detail_page_link(finding["name"]),
                ),
            },
            headers={"Authorization": f"Bearer {WEBEX_TOKEN}"},
        )
    

12. Sostituisci quanto segue:

    • WEBEX_TOKEN con il token di accesso del bot dalla sezione Creare un bot WebEx.
    • ROOM_ID con l'ID stanza della sezione Aggiungi il bot WebEx allo spazio di lavoro.

13. Vai al campo Entry point (Punto di contatto) e inserisci il nome della funzione nello snippet di codice (send_webex_teams_notification, in questo esempio).

14. Fai clic su Esegui il deployment. Torni all'elenco delle funzioni Cloud Run, dove dovresti vedere la nuova funzione. Quando accanto al nome della funzione viene visualizzato un segno di spunta verde, significa che il deployment è stato completato correttamente. L'operazione può richiedere alcuni minuti.