リアルタイム メールとチャットの通知を有効にする

SendGrid Email

メール通知を有効にする方法は、次のとおりです。

• SendGrid Email API アカウントを作成し、API キーを取得する。
• Pub/Sub から通知を受信するとメールを送信する Cloud Run functions の関数を作成してデプロイする。

SendGrid Email API アカウントを作成する

このセクションでは、SendGrid Email API アカウントを作成し、API キーを取得します。SendGrid が有効になっている場合は、Sendgrid Email API キーを取得するにスキップし、既存の API キーに適切な権限があることを確認します。

1. Google Cloud Console に移動します。
   Google Cloud Console に移動
   
2. ページの上部にある検索ボックスで、SendGrid Email API を検索します。

3. 次のページで、ニーズに合うプランを選択します。

   • 無料プランでは、月に最大 12,000 件のメールが可能で、このガイドには十分ですが、大規模な組織ではさらに必要になることがあります。これより大量のメール通知を受け取ることが予想される場合は、通知にフィルタを追加して不要な検出結果を除外することを検討してください。
   • SendGrid に関連付けるプロジェクトの選択を求められることがあります。プロジェクトを選択し、続行してください。プロジェクトに関連付けられた請求先アカウントの購入情報を管理するために、適切な権限が必要になる場合があります。

4. 利用規約を確認し、問題がなければ [登録] をクリックします。

5. [SENDGRID に登録] をクリックして、SendGrid サービスを有効にします。

6. 登録画面で、ユーザー名、パスワード、メールアドレスを入力します。利用規約に同意し、[Continue] をクリックします。

7. 確認ダイアログで [Return to Google] をクリックします。

SendGrid Email API キーを取得する

1. [Manage API keys on SendGrid website] をクリックします。SendGrid ウェブサイトの新しいタブが開きます。

2. 表示された指示に従って、フォームに入力するかログインします。[Get Started!] をクリックします。

3. メニューパネルで [Settings] を展開し、[API Keys] をクリックします。

4. 次の画面で [Create API Key] ボタンをクリックします。

5. [API Key Name] で「SCC Email Notifications」と入力して、[Full Access] を選択し、続いて [Create & View] ボタンをクリックします。
   
   

6. API キーが表示されます。値を記録します。コピーしたメールアドレスは次のセクションで必要になります。

7. [完了] をクリックします。現在の API キーのセットが表示されます。タブを閉じて Google Cloud コンソールに戻ります。

次に、1 つのメールアドレスに通知を送信する Cloud Run functions の関数をデプロイします。

SendGrid の Cloud Run functions 関数を作成する

このセクションでは、メール アカウントに通知を送信する関数をデプロイします。

1. Cloud Run functions に移動します。
   Cloud Run functions に移動
   

2. PROJECT_ID は、Pub/Sub トピックの作成に使用したものと同じであることを確認してください。

3. [関数を作成] をクリックします。

4. [関数名] を「send-high-and-critical-finding-email-notification」に、[トリガーのタイプ] を [Pub/Sub] に設定します。

5. Pub/Sub トピックには、Pub/Sub トピックの設定で作成したものを選択します。

6. [保存] をクリックし、[次へ] をクリックします。

7. 次のページで、[ランタイム] を [Python 3.8] に設定します。このセクションのコードサンプルは Python で記述されていますが、Cloud Run functions でサポートされている任意の言語を使用できます。

8. ファイルリストで、[requirements.txt] をクリックし、テキスト フィールドに 「sendgrid」を追加します。
   
   

9. [main.py] をクリックし、その内容を次のコード スニペットに置き換えます。

   import base64
   import json
   from sendgrid import SendGridAPIClient
   from sendgrid.helpers.mail import Mail
   
   def send_email_notification(event, context):
       """Triggered from a message on a Pub/Sub topic.
       Args:
            event (dict): Event payload.
            context (google.cloud.functions.Context): Metadata for the event.
       """
       pubsub_message = base64.b64decode(event['data']).decode('utf-8')
       message_json = json.loads(pubsub_message)
       message = Mail(
           from_email='noreply@yourdomain.com',
           to_emails='$EMAIL_ADDRESS',
           subject='New High or Critical Severity Finding Detected',
           html_content='A new high or critical severity finding was
           detected: ' + ''.join(message_json['finding']['category']))
       try:
           sg = SendGridAPIClient('$SENDGRID_EMAIL_API_KEY')
           response = sg.send(message)
           print(response.status_code)
           print(response.body)
           print(response.headers)
       except Exception as e:
           print(e)
   
       print(pubsub_message)
   

10. 以下を置き換えます。

    • noreply@yourdomain.com を、メッセージの送信元として使用するメールアドレスに変更します。
    • $EMAIL_ADDRESS を、対象とする受信者のメールアドレスに変更します。注: この変数は、メールアドレスの配列（['user1@yourdomain.com', 'user2@yourdomain.com']）を保持できます。また、カスタムコードを記述して、ローテーションする待機者のリストなどの動的変数のセットを作成することも可能です。
    • $SENDGRID_EMAIL_API_KEY を、既存の API キーまたは前のセクションで作成した API キーに変更します。

11. [エントリ ポイント] フィールドにカーソルを移し、コード スニペットに関数の名前を入力します（この例では「send_email_notification」）。

12. [デプロイ] をクリックします。Cloud Run functions の関数のリストに戻ります。ここに新しい関数が表示されます。関数名の横に緑色のチェックマークが付けば、デプロイは正常に終了しています。この処理には、数分かかる場合があります。

Slack

Slack チャンネルに通知を送信する方法は、次のとおりです。

• メッセージを公開 Slack チャンネルに投稿するために十分な権限を持つ新しい Slack アプリを作成する。
• Pub/Sub からの通知の受信時にチャット メッセージを Slack に投稿する Cloud Run functions の関数を作成してデプロイする。

新しい Slack アプリを作成する

このセクションでは、通知を受け取るる新しい Slack アプリを作成します。

1. Slack API アプリに移動します。ページは新しいタブで開きます。

2. ログインするか、アカウントを作成します。

3. [Create New App] を選択します。

4. [アプリ名] を「SCC Finding Notifier」に設定します。

5. Slack Bot でメッセージを投稿する [Development Slack Workspace] を選択し、[Create App] をクリックします。

6. ナビゲーション パネルで [OAuth & Permissions] を選択します。
   
   

7. [Scopes] セクションに移動します。Scopes は、次の 2 つの種類に分類されます。

   • Bot Token Scopes
   • User Token Scopes

8. ここでは、User Token Scopes のスコープを追加する必要はありません。[Bot Token Scopes] で、[Add an OAuth Scope] をクリックし、次の項目を入力します。

   • chat:write
   • chat:write.public
     
     

9. [OAuth & Permissions] ページの上部までスクロールし、[Install App to Workspace] をクリックします。

10. 確認のダイアログで [Allow] をクリックします。

11. Cloud Functions の関数で使用する [Bot User OAuth Access Token] を [Copy] します。

次に、Slack グループに通知を送信する Cloud Run functions の関数をデプロイします。

Slack の Cloud Run functions 関数を作成する

このセクションでは、Slack のアカウントに通知を送信する関数をデプロイします。

1. Cloud Run functions に移動します。
   Cloud Run functions に移動
   

2. PROJECT_ID は、Pub/Sub トピックの作成で使用したものと同じであることを確認してください。

3. [関数を作成] をクリックします。

4. [関数名] を「slack-chat-high-and-critical-findings」に、[トリガーのタイプ] を「Pub/Sub」に設定します。

5. Pub/Sub トピックには、Pub/Sub トピックの設定で作成したものを選択します。

6. [保存] をクリックし、[次へ] をクリックします。

7. 次のページで、[ランタイム] を [Python 3.8] に設定します。このセクションのコードサンプルは Python で記述されていますが、Cloud Run functions でサポートされている任意の言語を使用できます。

8. ファイルのリストに移動します。[requirements.txt] をクリックし、requests を追加します。

9. [main.py] をクリックし、その内容を次のコード スニペットに置き換えます。

   import base64
   import json
   import requests
   
   TOKEN = "BOT_ACCESS_TOKEN"
   
   def send_slack_chat_notification(event, context):
       pubsub_message = base64.b64decode(event['data']).decode('utf-8')
       message_json = json.loads(pubsub_message)
       finding = message_json['finding']
   
       requests.post("https://slack.com/api/chat.postMessage", data={
           "token": TOKEN,
           "channel": "#general",
           "text": f"A high severity finding {finding['category']} was detected!"
       })
   

10. BOT_ACCESS_TOKEN は、Slack アプリで作成した Bot User OAuth Access Tokenに置き換えます。

11. [エントリ ポイント] フィールドにカーソルを移し、コード スニペットに関数の名前を入力します（この例では「send_slack_chat_notification」）。

12. [デプロイ] をクリックします。Cloud Run functions の関数のリストに戻ります。ここに新しい関数が表示されます。関数名の横に緑色のチェックマークが付けば、デプロイは正常に終了しています。この処理には、数分かかる場合があります。メッセージは、#general Slack チャンネルに表示されます。

WebEx

WebEx Teams アカウントに通知を送信する方法は、次のとおりです。

• Security Command Center からアセットを取得する権限を持つ、新しいサービス アカウントを作成する。
• ワークスペースにメッセージを投稿するための十分な権限を持つ新しい WebEx Bot を作成する。
• Pub/Sub をサブスクライブし、Pub/Sub トピックから通知を受け取ると WebEx にチャット メッセージを投稿する、Cloud Run functions の関数を作成してデプロイする。

サービス アカウントを作成する

デフォルトでは、Cloud Run functions は Security Command Center からアセットを取得できません。このセクションでは、Cloud Run functions が検出結果に関連するアセットを取得できるようにするサービス アカウントをプロビジョニングします。

1. サービス アカウントに名前を付け、環境変数として指定します。

   export SERVICE_ACCOUNT=ACCOUNT_NAME
   

2. プロジェクトのサービス アカウントを作成します。

   gcloud iam service-accounts create $SERVICE_ACCOUNT \
    --display-name "Service Account for SCC Finding Notifier WebEx Cloud Function" \
    --project $PROJECT_ID
   

3. サービス アカウントに、組織レベルで securitycenter.assetsViewer ロールを付与します。

    gcloud organizations add-iam-policy-binding $ORG_ID \
      --member="serviceAccount:$SERVICE_ACCOUNT@$PROJECT_ID.iam.gserviceaccount.com" \
      --role='roles/securitycenter.assetsViewer'
   

Webex Bot を作成する

このセクションでは、ワークスペースにメッセージを送信する WebEx Bot を作成します。

1. WebEx Teams アカウントにログインして、[New Bot] ページに移動します。

2. Bot 名を [SCC Finding Notifier] に設定します。

3. わかりやすい一意の名前を [Bot Username] に設定します（your-name-scc-finding-notifier-demo）。

4. [Icon] で [Default 1] を選択します。

5. [Description] を「新しい高重要度か重大重要度の検出結果が Security Command Center にパブリッシュされると、チームに通知するボット」に設定します。

6. [Add Bot] をクリックします。

7. 確認ページで Bot Access Token をコピーし、Cloud Run functions の関数で使用するために保存します。

ワークスペースに Webex Bot を追加する

このセクションでは、WebEx Bot をワークスペースに追加します。

1. Bot が通知を送信する WebEx Space で、アクティビティ パネルを展開します。

2. [Add People] を選択します。

3. テキスト フィールドに「SCC Finding Notifier」と入力し、作成したボットをプルダウン メニューから選択します。

4. [Add] ボタンを選択して、パネルを閉じます。

5. Cloud Run functions 関数のワークスペースの Room ID を取得します。 デスクトップ パソコンで、https://developer.webex.com/docs/api/v1/rooms/list-rooms にアクセスし、必要に応じてログインします。このページでは、WebEx API を使用して、参加している会議室の一覧を取得します。

6. 検索パネルに移動します。

7. パネルの上部にある [Try it] タブを選択します。

8. すべてのオプションをデフォルト値のままにして、[Run] をクリックします。

9. [Response] タブでは、items つまり会議室のリストを含む JSON 形式のレスポンスを受け取ります。通知を表示する会議室の title を探して、関連する id の値を記録します。

次に、WebEx ワークスペースに通知を送信する Cloud Run functions の関数をデプロイします。

WebEx の Cloud Run functions 関数を作成する

このセクションでは、WebEx のアカウントに通知を送信する関数をデプロイします。

1. Cloud Run functions に移動します。
   Cloud Run functions に移動
   

2. PROJECT_ID は、Pub/Sub トピックの作成に使用したものを選択します。

3. [関数を作成] をクリックします。

4. [関数名] を「webex-teams-high-and-critical-findings」に、[トリガーのタイプ] を「Pub/Sub」に設定します。

5. Pub/Sub トピックには、Pub/Sub トピックの設定で作成したものを選択します。

6. [変数、ネットワーク、詳細設定] 欄を展開します。

7. [サービス アカウント] で、作成した webex-cloud-function-sa サービス アカウントをフィルタリングして選択します。

8. [保存] をクリックし、[次へ] をクリックします。

9. 次のページで、[ランタイム] を [Python 3.8] に設定します。このセクションのコードサンプルは Python で記述されていますが、Cloud Run functions でサポートされている任意の言語を使用できます。

10. ファイルのリストに移動します。[requirements.txt] をクリックし、次の内容を追加します。

    • requests==2.25.1
    • google-cloud-securitycenter==1.1.0

11. [main.py] をクリックし、その内容を次のコード スニペットに置き換えます。

    #!/usr/bin/env python3
    import base64
    import json
    
    import requests
    from google.cloud import securitycenter_v1
    
    WEBEX_TOKEN = "WEBEX_TOKEN"
    ROOM_ID = "ROOM_ID"
    
    TEMPLATE = """
    **Severity:** {severity}\n
    **Asset:** {asset}\n
    **SCC Category:** {category}\n
    **Project:** {project}\n
    **First observed:** {create_time}\n
    **Last observed:** {event_time}\n
    **Link to finding:** {finding_link}
    """
    
    PREFIX = "https://console.cloud.google.com/security/command-center/findings"
    
    def get_finding_detail_page_link(finding_name):
        """Constructs a direct link to the finding detail page."""
        org_id = finding_name.split("/")[1]
        return f"{PREFIX}?organizationId={org_id}&resourceId={finding_name}"
    
    def get_asset(parent, resource_name):
        """Retrieves the asset corresponding to `resource_name` from SCC."""
        client = securitycenter_v1.SecurityCenterClient()
        resp = client.list_assets(
            securitycenter_v1.ListAssetsRequest(
                parent=parent,
                filter=f'securityCenterProperties.resourceName="{resource_name}"',
            )
        )
        page = next(resp.pages)
        if page.total_size == 0:
            return None
        asset = page.list_assets_results[0].asset
        return json.loads(securitycenter_v1.Asset.to_json(asset))
    
    def send_webex_teams_notification(event, context):
        """Send the notification to WebEx Teams."""
        pubsub_message = base64.b64decode(event["data"]).decode("utf-8")
        message_json = json.loads(pubsub_message)
        finding = message_json["finding"]
    
        parent = "/".join(finding["parent"].split("/")[0:2])
        asset = get_asset(parent, finding["resourceName"])
    
        requests.post(
            "https://webexapis.com/v1/messages",
            json={
                "roomId": ROOM_ID,
                "markdown": TEMPLATE.format(
                    severity=finding["severity"],
                    asset=asset["securityCenterProperties"]["resourceDisplayName"],
                    category=finding["category"],
                    project=asset["resourceProperties"]["project"],
                    create_time=finding["createTime"],
                    event_time=finding["eventTime"],
                    finding_link=get_finding_detail_page_link(finding["name"]),
                ),
            },
            headers={"Authorization": f"Bearer {WEBEX_TOKEN}"},
        )
    

12. 以下を置き換えます。

    • WEBEX_TOKEN は、WebEx Bot を作成するセクションの Bot Access Token に置き換えます。
    • ROOM_ID は、ワークスペースに WebEx Bot を追加するセクションの Room ID で置き換えます。

13. [エントリ ポイント] フィールドにカーソルを移し、コード スニペットに関数の名前を入力します（この例では「send_webex_teams_notification」）。

14. [デプロイ] をクリックします。Cloud Run functions の関数のリストに戻ります。ここに新しい関数が表示されます。関数名の横に緑色のチェックマークが付けば、デプロイは正常に終了しています。この処理には、数分かかる場合があります。