启用实时电子邮件和聊天通知

SendGrid 电子邮件

如需启用电子邮件通知，请执行以下操作：

• 创建一个 SendGrid Email API 账号并获取 API 密钥。
• 创建和部署 Cloud Run 函数，以便在收到 Pub/Sub 发出通知时发送电子邮件。

创建 SendGrid Email API 账号

在本部分中，您将创建一个 SendGrid Email API 账号并获取 API 密钥。如果您已启用 SendGrid，请跳至获取 Sendgrid Email API 密钥，并确保现有 API 密钥具有足够的权限。

1. 前往 Google Cloud 控制台。
   前往 Google Cloud 控制台
   
2. 在页面顶部的搜索框中，搜索 SendGrid Email API。

3. 在下一页中，选择满足您的需求的方案。

   • 免费方案每月最多可发送 12000 封电子邮件，足以满足本指南的需求，但大型组织可能需要更多可发送电子邮件的数量。如果您预计收到大量电子邮件通知，请考虑向通知添加其他过滤条件，以排除嘈杂的发现结果。
   • 系统可能会要求您选择与 SendGrid 关联的项目。请选择项目以继续。您可能需要具备足够的权限才能管理项目关联的结算账号的购买交易。

4. 查看条款，如果您同意，请点击订阅。

5. 点击注册 SendGrid 激活 SendGrid 服务。

6. 在注册屏幕上，输入用户名、密码和电子邮件地址。接受服务条款，然后点击继续。

7. 在确认对话框中，点击返回 Google。

获取 SendGrid Email API 密钥

1. 点击在 SendGrid 网站上管理 API 密钥。 为 SendGrid 网站打开一个新标签页。

2. 如果系统提示，请填写表单或登录。然后点击开始使用！

3. 在菜单面板中，展开设置并点击 API 密钥。

4. 在下一个屏幕上，点击创建 API 密钥按钮。

5. 在 API 密钥名称下，输入“SCC 电子邮件通知”，选择完整访问权限，然后点击创建和查看按钮。
   
   

6. 您将看到 API 密钥。记录该值。您将在下一部分中用到该值。

7. 点击完成。您将看到当前的 API 密钥集。关闭标签页并返回 Google Cloud 控制台。

接下来，您将部署 Cloud Run 函数以向电子邮件地址发送通知。

创建 SendGrid Cloud Run 函数

在本部分中，您将部署一个向您的电子邮件账号发送通知的函数。

1. 前往 Cloud Run functions。
   前往 Cloud Run 函数
   

2. 确保您使用的是用于创建 Pub/Sub 主题的 PROJECT_ID。

3. 点击创建函数。

4. 将函数名称设置为 send-high-and-critical-finding-email-notification，并将触发器类型设置为 Pub/Sub。

5. 选择您在设置 Pub/Sub 主题中创建的 Pub/Sub 主题。

6. 点击保存，然后点击下一步。

7. 在下一页中，将运行时设置为 Python 3.8。本部分中的代码示例采用 Python 语言编写，但您可以使用 Cloud Run 函数支持的任何语言。

8. 在文件列表中，点击 requirements.txt 并将以下内容添加到文本字段：sendgrid。
   
   

9. 点击 main.py 并将内容替换为以下代码段。

   import base64
   import json
   from sendgrid import SendGridAPIClient
   from sendgrid.helpers.mail import Mail
   
   def send_email_notification(event, context):
       """Triggered from a message on a Pub/Sub topic.
       Args:
            event (dict): Event payload.
            context (google.cloud.functions.Context): Metadata for the event.
       """
       pubsub_message = base64.b64decode(event['data']).decode('utf-8')
       message_json = json.loads(pubsub_message)
       message = Mail(
           from_email='noreply@yourdomain.com',
           to_emails='$EMAIL_ADDRESS',
           subject='New High or Critical Severity Finding Detected',
           html_content='A new high or critical severity finding was
           detected: ' + ''.join(message_json['finding']['category']))
       try:
           sg = SendGridAPIClient('$SENDGRID_EMAIL_API_KEY')
           response = sg.send(message)
           print(response.status_code)
           print(response.body)
           print(response.headers)
       except Exception as e:
           print(e)
   
       print(pubsub_message)
   

10. 替换以下内容：

    • 将 noreply@yourdomain.com 更改为您希望从其收到消息的电子邮件地址。
    • 将 $EMAIL_ADDRESS 更改为目标收件人的电子邮件地址。注意：此变量可包含一个电子邮件地址数组 (['user1@yourdomain.com', 'user2@yourdomain.com'])，或者您可以编写自定义代码来将动态变量设置为随时待命人员的轮换列表。
    • 将 $SENDGRID_EMAIL_API_KEY 更改为您已拥有的 API 密钥或您在上一部分中创建的密钥。

11. 转到入口点字段，然后在代码段中（在此示例中为 send_email_notification）输入函数的名称。

12. 点击部署。您将返回到 Cloud Run 函数列表，您应该会在其中看到新函数。如果函数名称旁显示绿色对勾标记，则表示相应函数已成功部署。此过程可能需要几分钟时间。

Slack

如需向 Slack 渠道发送通知，请执行以下操作：

• 创建一个新的 Slack 应用，该应用拥有向公共 Slack 频道发布消息的权限。
• 创建和部署 Cloud Run 函数，使其在从 Pub/Sub 收到通知时向 Slack 发布聊天消息。

创建一个新的 Slack 应用

在此部分中，您将创建一个新的 Slack 应用来接收通知。

1. 导航到 Slack API 应用。该页面将在一个新的标签页中打开。

2. 登录或创建账户。

3. 选择创建应用。

4. 将应用名称设置为“SCC Finding Notifier”。

5. 选择您希望 Slack 聊天机器人要向其发布消息的开发 Slack 工作区，然后点击创建应用。

6. 在导航面板中，选择 OAuth 和权限。
   
   

7. 导航到范围部分。范围分为两类：

   • 聊天机器人令牌范围
   • 用户令牌范围

8. 在本练习中，您无需添加用户令牌范围。在“聊天机器人令牌范围”下，点击添加 OAuth 范围并输入以下内容：

   • chat:write
   • chat:write.public
     
     

9. 滚动到 OAuth 和权限页面顶部，然后点击将应用安装到工作区。

10. 在确认对话框中点击允许。

11. 复制聊天机器人用户 OAuth 访问令牌，以便在 Cloud Functions 函数中使用。

接下来，您将部署一个 Cloud Run 函数以向 Slack 群组发送通知。

创建 Slack Cloud Run 函数

在本部分中，您将部署一个函数来向 Slack 账号发送通知。

1. 前往 Cloud Run functions。
   前往 Cloud Run 函数
   

2. 确保您使用的是创建 Pub/Sub 主题的同一 PROJECT_ID。

3. 点击创建函数。

4. 将函数名称设置为 slack-chat-high-and-critical-findings，并将触发器类型设置为 Pub/Sub。

5. 选择您在设置 Pub/Sub 主题中创建的 Pub/Sub 主题。

6. 点击保存，然后点击下一步。

7. 在下一页中，将运行时设置为 Python 3.8。本部分中的代码示例采用 Python 语言编写，但您可以使用 Cloud Run functions 支持的任何语言。

8. 导航到文件列表。点击 requirements.txt 并添加以下内容：requests。

9. 点击 main.py 并将其内容替换为以下代码段。

   import base64
   import json
   import requests
   
   TOKEN = "BOT_ACCESS_TOKEN"
   
   def send_slack_chat_notification(event, context):
       pubsub_message = base64.b64decode(event['data']).decode('utf-8')
       message_json = json.loads(pubsub_message)
       finding = message_json['finding']
   
       requests.post("https://slack.com/api/chat.postMessage", data={
           "token": TOKEN,
           "channel": "#general",
           "text": f"A high severity finding {finding['category']} was detected!"
       })
   

10. 将 BOT_ACCESS_TOKEN 替换为您使用 Slack 应用创建的聊天机器人用户 OAuth 访问令牌。

11. 转到入口点字段，然后在代码段中（在此示例中为 send_slack_chat_notification）输入函数的名称。

12. 点击部署。您将返回到 Cloud Run 函数列表，您应该会在其中看到新函数。如果函数名称旁显示绿色对勾标记，则表示相应函数已成功部署。此过程可能需要几分钟时间。消息会显示在 #general Slack 频道中。

WebEx

如需向 WebEx Teams 账号发送通知，请执行以下操作：

• 创建一个有权从 Security Command Center 中检索资源的新服务账号。
• 创建一个有足够的权限将消息发送到工作区的 WebEx 聊天机器人。
• 创建和部署一个 Cloud Run 函数，用于订阅 Pub/Sub，并在收到 Pub/Sub 主题的通知时向 WebEx 发布聊天消息。

创建服务账号

默认情况下，Cloud Run 函数无法从 Security Command Center 中检索资源。在本部分中，您将预配服务账号，以允许 Cloud Run 函数检索与发现结果关联的资产。

1. 为您的服务账号命名，并将其指定为环境变量。

   export SERVICE_ACCOUNT=ACCOUNT_NAME
   

2. 为您的项目创建服务账号。

   gcloud iam service-accounts create $SERVICE_ACCOUNT \
    --display-name "Service Account for SCC Finding Notifier WebEx Cloud Function" \
    --project $PROJECT_ID
   

3. 在组织级层为服务账号授予 securitycenter.assetsViewer 角色。

    gcloud organizations add-iam-policy-binding $ORG_ID \
      --member="serviceAccount:$SERVICE_ACCOUNT@$PROJECT_ID.iam.gserviceaccount.com" \
      --role='roles/securitycenter.assetsViewer'
   

创建 Webex 聊天机器人

在本部分中，您将创建一个可将消息发布到您的工作区的 WebEx 聊天机器人。

1. 登录您的 WebEx Teams 账号，然后前往新建聊天机器人页面。

2. 将聊天机器人名称设置为“SCC Finding Notifier”。

3. 选择具有描述性但唯一的聊天机器人用户名 (your-name-scc-finding-notifier-demo)。

4. 在图标下，选择默认 1。

5. 在新的严重程度为“高”或“严重”的发现结果发送到 Security Command Center 时，将说明设置为“会通知团队的机器人”。

6. 点击添加聊天机器人。

7. 在确认页面上，复制聊天机器人访问令牌并保存，以在 Cloud Run 函数中使用。

将 Webex 聊天机器人添加到工作区

在本部分中，您可将 WebEx 聊天机器人添加到工作区。

1. 在您希望聊天机器人向其发布通知的 WebEx 空间中，展开活动面板。

2. 选择加人。

3. 在文本字段中键入“SCC Finding Notifier”，然后从下拉菜单中选择您创建的聊天机器人。

4. 选择添加按钮，然后关闭面板。

5. 获取 Cloud Run 函数工作区的聊天室 ID。在台式机上，转到 https://developer.webex.com/docs/api/v1/rooms/list- rooms，然后在必要时登录。本页面使用 WebEx API 来列出您所属的聊天室。

6. 导航到搜索面板。

7. 选择面板顶部标记为试用的标签页。

8. 将所有选项保留为默认值，然后点击运行。

9. 在响应 (Response) 标签页中，您会收到 JSON 格式的响应，其中包含 items 或聊天室列表。找到您要显示通知的聊天室的 title，并记录关联的 id 值。

接下来，您将部署 Cloud Run 函数以向 WebEx 工作区发送通知。

创建 WebEx Cloud Run 函数

在本部分中，您将部署一个函数来向您的 WebEx 账号发送通知。

1. 前往 Cloud Run functions。
   前往 Cloud Run 函数
   

2. 选择在其中创建 Pub/Sub 主题的 PROJECT_ID。

3. 点击创建函数。

4. 将函数名称设置为 webex-teams-high-and-critical-findings，并将触发器类型设置为 Pub/Sub。

5. 选择您在设置 Pub/Sub 主题中创建的 Pub/Sub 主题。

6. 展开变量、网络和高级设置字段。

7. 在服务账号下，过滤并选择您创建的 webex-cloud-function-sa 服务账号。

8. 点击保存，然后点击下一步。

9. 在下一页中，将运行时设置为 Python 3.8。本部分中的代码示例采用 Python 语言编写，但您可以使用 Cloud Run functions 支持的任何语言。

10. 导航到文件列表。点击 requirements.txt 并添加以下内容：

    • requests==2.25.1
    • google-cloud-securitycenter==1.1.0

11. 点击 main.py 并将内容替换为以下代码段。

    #!/usr/bin/env python3
    import base64
    import json
    
    import requests
    from google.cloud import securitycenter_v1
    
    WEBEX_TOKEN = "WEBEX_TOKEN"
    ROOM_ID = "ROOM_ID"
    
    TEMPLATE = """
    **Severity:** {severity}\n
    **Asset:** {asset}\n
    **SCC Category:** {category}\n
    **Project:** {project}\n
    **First observed:** {create_time}\n
    **Last observed:** {event_time}\n
    **Link to finding:** {finding_link}
    """
    
    PREFIX = "https://console.cloud.google.com/security/command-center/findings"
    
    def get_finding_detail_page_link(finding_name):
        """Constructs a direct link to the finding detail page."""
        org_id = finding_name.split("/")[1]
        return f"{PREFIX}?organizationId={org_id}&resourceId={finding_name}"
    
    def get_asset(parent, resource_name):
        """Retrieves the asset corresponding to `resource_name` from SCC."""
        client = securitycenter_v1.SecurityCenterClient()
        resp = client.list_assets(
            securitycenter_v1.ListAssetsRequest(
                parent=parent,
                filter=f'securityCenterProperties.resourceName="{resource_name}"',
            )
        )
        page = next(resp.pages)
        if page.total_size == 0:
            return None
        asset = page.list_assets_results[0].asset
        return json.loads(securitycenter_v1.Asset.to_json(asset))
    
    def send_webex_teams_notification(event, context):
        """Send the notification to WebEx Teams."""
        pubsub_message = base64.b64decode(event["data"]).decode("utf-8")
        message_json = json.loads(pubsub_message)
        finding = message_json["finding"]
    
        parent = "/".join(finding["parent"].split("/")[0:2])
        asset = get_asset(parent, finding["resourceName"])
    
        requests.post(
            "https://webexapis.com/v1/messages",
            json={
                "roomId": ROOM_ID,
                "markdown": TEMPLATE.format(
                    severity=finding["severity"],
                    asset=asset["securityCenterProperties"]["resourceDisplayName"],
                    category=finding["category"],
                    project=asset["resourceProperties"]["project"],
                    create_time=finding["createTime"],
                    event_time=finding["eventTime"],
                    finding_link=get_finding_detail_page_link(finding["name"]),
                ),
            },
            headers={"Authorization": f"Bearer {WEBEX_TOKEN}"},
        )
    

12. 替换以下内容：

    • 将 WEBEX_TOKEN 替换为创建 WebEx 聊天机器人部分中的聊天机器人访问令牌。
    • 将 ROOM_ID 替换为将 WebEx 聊天机器人添加到工作区部分中的聊天室 ID。

13. 转到入口点字段，然后在代码段中（在此示例中为 send_webex_teams_notification）输入函数的名称。

14. 点击部署。您将返回到 Cloud Run 函数列表，您应该会在其中看到新函数。如果函数名称旁显示绿色对勾标记，则表示相应函数已成功部署。此过程可能需要几分钟的时间。