REST Resource: organizations.sources.locations.findings

Ressource: Erkenntnis

Security Command Center-Ergebnis

Ein Ergebnis ist ein Datensatz von Bewertungsdaten wie Sicherheit, Risiko, Zustand oder Datenschutz, die in Security Command Center für Darstellung, Benachrichtigung, Analyse, Richtlinientests und Durchsetzung aufgenommen werden. Eine XSS-Sicherheitslücke (Cross-Site-Scripting) in einer App Engine-Anwendung ist beispielsweise ein Ergebnis.

JSON-Darstellung 
{
  "name": string,
  "canonicalName": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "mute": enum (Mute),
  "muteInfo": {
    object (MuteInfo)
  },
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ],
  "chokepoint": {
    object (Chokepoint)
  }
}
Felder
name

string

Der relative Ressourcenname des Ergebnisses. Die folgende Liste enthält einige Beispiele:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}
canonicalName

string

Nur Ausgabe. Der kanonische Name des Ergebnisses. Die folgende Liste enthält einige Beispiele:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}

Das Präfix ist der CRM-Elternknoten der Ressource, die mit dem Ergebnis verknüpft ist.
parent

string

Der relative Ressourcenname der Quelle und des Standorts, zu dem der Fund gehört. Weitere Informationen finden Sie unter https://cloud.google.com/apis/design/resource_names#relative_resource_name. Dieses Feld ist nach der Erstellung unveränderlich. Die folgende Liste enthält einige Beispiele:

  • organizations/{organization_id}/sources/{source_id}
  • folders/{folders_id}/sources/{source_id}
  • projects/{projects_id}/sources/{source_id} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}
  • folders/{folders_id}/sources/{source_id}/locations/{locationId}
  • projects/{projects_id}/sources/{source_id}/locations/{locationId}
resourceName

string

Nicht veränderbar. Bei Ergebnissen zu Google Cloud-Ressourcen der vollständige Ressourcenname der Google Cloud-Ressource, auf die sich das Ergebnis bezieht. Weitere Informationen finden Sie unter https://cloud.google.com/apis/design/resource_names#full_resource_name. Wenn sich der Hinweis auf eine nicht zu Google Cloud gehörende Ressource bezieht, kann „resourceName“ ein von einem Kunden oder Partner definierter String sein.
state

enum (State)

Nur Ausgabe. Der Status des Befunds.
category

string

Nicht veränderbar. Die zusätzliche Taxonomiegruppe innerhalb der Ergebnisse aus einer bestimmten Quelle. Beispiel: „XSS_FLASH_INJECTION“
externalUri

string

Der URI, der gegebenenfalls auf eine Webseite außerhalb von Security Command Center verweist, auf der zusätzliche Informationen zum Ergebnis zu finden sind. Dieses Feld ist garantiert entweder leer oder eine korrekt formatierte URL.
sourceProperties

map (key: string, value: value (Value format))

Quellspezifische Properties. Diese Eigenschaften werden von der Quelle verwaltet, die den Hinweis schreibt. Die Schlüsselnamen in der Zuordnung „sourceProperties“ müssen zwischen 1 und 255 Zeichen lang sein und mit einem Buchstaben beginnen. Sie dürfen nur alphanumerische Zeichen oder Unterstriche enthalten.

Ein Objekt, das eine Liste von "key": value-Paaren enthält. Beispiel: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Nur Ausgabe. Vom Nutzer angegebene Sicherheitsmarkierungen. Diese Markierungen werden vollständig vom Nutzer verwaltet und stammen aus der SecurityMarks-Ressource, die zum Ergebnis gehört.
eventTime

string (Timestamp format)

Der Zeitpunkt, zu dem das Ergebnis zum ersten Mal erfasst wurde. Wenn ein vorhandenes Ergebnis aktualisiert wird, ist dies der Zeitpunkt, zu dem die Aktualisierung stattgefunden hat. Wenn das Ergebnis beispielsweise eine offene Firewall darstellt, erfasst diese Property den Zeitpunkt, zu dem der Detektor der Meinung ist, dass die Firewall geöffnet ist. Die Genauigkeit wird vom Detektor bestimmt. Wenn das Ergebnis später behoben wird, gibt dieser Zeitpunkt an, wann das Ergebnis behoben wurde. Dieser Wert darf nicht höher als der aktuelle Zeitstempel sein.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Nur Ausgabe. Die Zeit, zu der das Ergebnis im Security Command Center erstellt wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

Schweregrad des Ergebnisses Dieses Feld wird von der Quelle verwaltet, die den Befund schreibt.
mute

enum (Mute)

Gibt den Ausblendungsstatus eines Ergebnisses an (entweder „Ausgeblendet“, „Aktiviert“ oder „Undefiniert“). Im Gegensatz zu anderen Attributen eines Ergebnisses sollte der Anbieter des Ergebnisses den Wert „Ausblenden“ nicht festlegen.
muteInfo

object (MuteInfo)

Nur Ausgabe. Informationen zum Ausblenden dieses Ergebnisses.
findingClass

enum (FindingClass)

Die Klasse des Ergebnisses.
indicator

object (Indicator)

Stellt das dar, was in der Computerforensik als Kompromittierungsindikator (IoC) bezeichnet wird. Ein Artefakt, das in einem Netzwerk oder in einem Betriebssystem beobachtet wird und mit hoher Wahrscheinlichkeit auf einen Computereinbruch hinweist. Weitere Informationen finden Sie unter Indikator für eine Manipulation.
vulnerability

object (Vulnerability)

Stellt sicherheitslückespezifische Felder wie CVE- und CVSS-Werte dar. CVE steht für „Common Vulnerabilities and Exposures“ (https://cve.mitre.org/about/).
muteUpdateTime

string (Timestamp format)

Nur Ausgabe. Das Datum und die Uhrzeit, zu dem dieses Ergebnis zuletzt ausgeblendet oder wieder eingeblendet wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Nur Ausgabe. SIEM-/SOAR-Felder von Drittanbietern im SCC, die Informationen zu externen Systemen und Felder für externe Systemfunde enthalten.

Ein Objekt, das eine Liste von "key": value-Paaren enthält. Beispiel: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

MITRE ATT&CK-Taktiken und -Techniken, die sich auf diese Feststellung beziehen. Siehe: https://attack.mitre.org
access

object (Access)

Sie können auf Details zu dem Ergebnis zugreifen, z. B. weitere Informationen zum Anrufer, auf welche Methode zugegriffen wurde und von wo aus.
connections[]

object (Connection)

Enthält Informationen zur IP-Verbindung, die mit dem Ergebnis verknüpft ist.
muteInitiator

string

Hier werden zusätzliche Informationen zum Stummschalten aufgezeichnet, z. B. die Stummschaltungskonfiguration, mit der der Befund stummgeschaltet wurde, und der Nutzer, der den Befund stummgeschaltet hat.
processes[]

object (Process)

Stellt Betriebssystemprozesse dar, die mit dem Sicherheitsrisiko verknüpft sind.
contacts

map (key: string, value: object (ContactDetails))

Nur Ausgabe. Karte mit den Kontaktstellen für das jeweilige Ergebnis. Der Schlüssel steht für die Art des Kontakts, während der Wert eine Liste aller zugehörigen Kontakte enthält. Weitere Informationen finden Sie unter https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories.

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Ein Objekt, das eine Liste von "key": value-Paaren enthält. Beispiel: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Enthält Compliance-Informationen zu Sicherheitsstandards, die mit dem Ergebnis verknüpft sind.
parentDisplayName

string

Nur Ausgabe. Der visuell lesbare Anzeigename der Quelle der Ergebnisse, z. B. „Bedrohungserkennung“ oder „Security Health Analytics“.
description

string

Enthält weitere Details zum Ergebnis.
exfiltration

object (Exfiltration)

Stellt Datenexfiltrationen dar, die mit dem Ergebnis in Verbindung stehen.
iamBindings[]

object (IamBinding)

Stellt IAM-Bindungen dar, die mit dem Ergebnis verknüpft sind.
nextSteps

string

Schritte zur Behebung des Problems.
moduleName

string

Die eindeutige Kennung des Moduls, das das Ergebnis generiert hat. Beispiel: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Mit der Feststellung verknüpfte Container. Dieses Feld enthält Informationen sowohl für Kubernetes- als auch für Nicht-Kubernetes-Container.
kubernetes

object (Kubernetes)

Kubernetes-Ressourcen, die mit dem Ergebnis verknüpft sind.
database

object (Database)

Datenbank, die mit dem Ergebnis verknüpft ist.
attackExposure

object (AttackExposure)

Die Ergebnisse einer Angriffspfadsimulation, die für diese Erkenntnis relevant sind.
files[]

object (File)

Datei, die mit dem Ergebnis verknüpft ist.
cloudDlpInspection

object (CloudDlpInspection)

Ergebnisse der Cloud Data Loss Prevention (Cloud DLP)-Inspektion, die mit dem Ergebnis verknüpft sind.
cloudDlpDataProfile

object (CloudDlpDataProfile)

Cloud DLP-Datenprofil, das dem Ergebnis zugeordnet ist.
kernelRootkit

object (KernelRootkit)

Signatur des Kernel-Rootkits.
orgPolicies[]

object (OrgPolicy)

Enthält Informationen zu den mit dem Ergebnis verknüpften Richtlinien der Organisation.
job

object (Job)

Die mit dem Ergebnis verknüpfte Stelle.
application

object (Application)

Stellt eine Anwendung dar, die mit dem Ergebnis verknüpft ist.
ipRules

object (IpRules)

IP-Regeln, die mit dem Ergebnis verknüpft sind.
backupDisasterRecovery

object (BackupDisasterRecovery)

Felder im Zusammenhang mit Ergebnissen zur Sicherung und Notfallwiederherstellung.
securityPosture

object (SecurityPosture)

Der mit dem Ergebnis verbundene Sicherheitsstatus.
logEntries[]

object (LogEntry)

Logeinträge, die für den Befund relevant sind.
loadBalancers[]

object (LoadBalancer)

Die mit dem Ergebnis verknüpften Load Balancer.
cloudArmor

object (CloudArmor)

Felder zu Cloud Armor-Ergebnissen.
notebook

object (Notebook)

Das mit dem Ergebnis verknüpfte Notebook.
toxicCombination

object (ToxicCombination)

Enthält Details zu einer Gruppe von Sicherheitsproblemen, die bei gleichzeitigem Auftreten ein größeres Risiko darstellen als bei unabhängigem Auftreten. Eine Gruppe solcher Probleme wird als toxische Kombination bezeichnet. Dieses Feld kann nicht aktualisiert werden. Der Wert wird in allen Aktualisierungsanfragen ignoriert.
groupMemberships[]

object (GroupMembership)

Enthält Details zu den Gruppen, zu denen diese Information gehört. Eine Gruppe besteht aus einer Reihe von Ergebnissen, die in gewisser Weise zusammenhängen. Dieses Feld kann nicht aktualisiert werden. Der Wert wird in allen Aktualisierungsanfragen ignoriert.
disk

object (Disk)

Laufwerk, das mit dem Ergebnis verknüpft ist.
dataAccessEvents[]

object (DataAccessEvent)

Datenzugriffsereignisse, die mit dem Ergebnis verknüpft sind.
dataFlowEvents[]

object (DataFlowEvent)

Datenflussereignisse, die mit dem Ergebnis verknüpft sind.
networks[]

object (Network)

Stellt die VPC-Netzwerke dar, mit denen die Ressource verbunden ist.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Löschereignisse für die Datenaufbewahrung, die mit dem Ergebnis verknüpft sind.
chokepoint

object (Chokepoint)

Enthält Details zu einem Engpass, einer Ressource oder Ressourcengruppe, in der sich auf der Grundlage von Angriffspfadsimulationen Angriffspfade mit hohem Risiko konvergieren. Dieses Feld kann nicht aktualisiert werden. Der Wert wird in allen Aktualisierungsanfragen ignoriert.

Methoden

create

 Erstellt ein Ergebnis an einem Standort.

group

 Die Ergebnisse einer Organisation oder Quelle werden gefiltert und nach den angegebenen Attributen an einem Ort gruppiert.

list

 Hier werden die Ergebnisse einer Organisation oder Quelle aufgeführt.

patch

 Erstellt oder aktualisiert einen Befund.

setMute

 Aktualisiert den Ausblendungsstatus eines Ergebnisses.

setState

 Aktualisiert den Status eines Ergebnisses.

updateSecurityMarks

 Aktualisiert Sicherheitsmarkierungen.