REST Resource: organizations.sources.locations.findings

Recurso: Resultado

Hallazgo de Security Command Center

Un hallazgo es un registro de datos de evaluación, como seguridad, riesgo, estado o privacidad, que se transfieren a Security Command Center para fines de presentación, notificación, análisis, pruebas de políticas y aplicación. Por ejemplo, una vulnerabilidad de secuencia de comandos entre sitios (XSS) en una aplicación de App Engine es un resultado.

Representación JSON 
{
  "name": string,
  "canonicalName": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "mute": enum (Mute),
  "muteInfo": {
    object (MuteInfo)
  },
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ],
  "chokepoint": {
    object (Chokepoint)
  }
}
Campos
name

string

El nombre de recurso relativo del hallazgo En la siguiente lista, se muestran algunos ejemplos:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}
canonicalName

string

Solo salida. Es el nombre canónico del resultado. En la siguiente lista, se muestran algunos ejemplos:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}

El prefijo es el ancestro de CRM más cercano del recurso asociado con el hallazgo.
parent

string

Es el nombre de recurso relativo de la fuente y la ubicación a la que pertenece el hallazgo. Consulta: https://cloud.google.com/apis/design/resource_names#relative_resource_name Este campo es inmutable después del tiempo de creación. En la siguiente lista, se muestran algunos ejemplos:

  • organizations/{organization_id}/sources/{source_id}
  • folders/{folders_id}/sources/{source_id}
  • projects/{projects_id}/sources/{source_id} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}
  • folders/{folders_id}/sources/{source_id}/locations/{locationId}
  • projects/{projects_id}/sources/{source_id}/locations/{locationId}
resourceName

string

Inmutable. Para los resultados sobre recursos de Google Cloud, el nombre completo del recurso de Google Cloud al que se refiere el resultado. Consulta: https://cloud.google.com/apis/design/resource_names#full_resource_name Cuando el hallazgo es para un recurso que no es de Google Cloud, resourceName puede ser una cadena definida por un cliente o socio.
state

enum (State)

Solo salida. Es el estado del hallazgo.
category

string

Inmutable. Es el grupo de taxonomía adicional dentro de los resultados de una fuente determinada. Ejemplo: "XSS_FLASH_INJECTION"
externalUri

string

Es el URI que, si está disponible, apunta a una página web fuera de Security Command Center en la que se puede encontrar información adicional sobre el resultado. Se garantiza que este campo esté vacío o sea una URL con el formato correcto.
sourceProperties

map (key: string, value: value (Value format))

Propiedades específicas de la fuente. La fuente que escribe el hallazgo administra estas propiedades. Los nombres de clave en el mapa sourceProperties deben tener entre 1 y 255 caracteres, y deben comenzar con una letra y contener solo caracteres alfanuméricos o guiones bajos.

Un objeto que contiene una lista de pares "key": value. Ejemplo: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Solo salida. Marcas de seguridad especificadas por el usuario El usuario administra estas marcas por completo y provienen del recurso SecurityMarks que pertenece al hallazgo.
eventTime

string (Timestamp format)

Se refiere a la fecha y hora en que se detectó el resultado por primera vez. Si se actualiza un resultado existente, esta es la fecha y hora en que ocurrió la actualización. Por ejemplo, si el resultado representa un firewall abierto, esta propiedad captura la hora en que el detector cree que se abrió el firewall. El detector determina la precisión. Si el resultado se resuelve más adelante, esta hora refleja cuándo se resolvió. No se debe establecer en un valor superior a la marca de tiempo actual.

Usa RFC 3339, en el que el resultado generado siempre se normalizará en Z y usará 0, 3, 6 o 9 dígitos fraccionarios. También se aceptan compensaciones distintas de "Z". Ejemplos: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Solo salida. La hora en que se creó el resultado en Security Command Center.

Usa RFC 3339, en el que el resultado generado siempre se normalizará en Z y usará 0, 3, 6 o 9 dígitos fraccionarios. También se aceptan compensaciones distintas de "Z". Ejemplos: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

La gravedad del hallazgo. La fuente que escribe el hallazgo administra este campo.
mute

enum (Mute)

Indica el estado de silenciamiento de un hallazgo (silenciado, con sonido activado o sin definir). A diferencia de otros atributos de un hallazgo, un proveedor de hallazgos no debe establecer el valor de silenciamiento.
muteInfo

object (MuteInfo)

Solo salida. La información de silenciamiento sobre este resultado
findingClass

enum (FindingClass)

Es la clase del resultado.
indicator

object (Indicator)

Representa lo que se conoce comúnmente como un indicador de compromiso (IoC) en la informática forense. Es un artefacto que se observa en una red o en un sistema operativo que, con alta confianza, indica una intrusión informática. Para obtener más información, consulta Indicador de compromiso.
vulnerability

object (Vulnerability)

Representa campos específicos de vulnerabilidad, como CVE y puntuaciones de CVSS. CVE significa “Common Vulnerabilities and Exposures” (https://cve.mitre.org/about/).
muteUpdateTime

string (Timestamp format)

Solo salida. La última vez que se silenció o dejó de silenciar este resultado.

Usa RFC 3339, en el que el resultado generado siempre se normalizará en Z y usará 0, 3, 6 o 9 dígitos fraccionarios. También se aceptan compensaciones distintas de "Z". Ejemplos: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Solo salida. Los campos de SIEM/SOAR de terceros dentro de SCC contienen información del sistema externo y campos de búsqueda del sistema externo.

Un objeto que contiene una lista de pares "key": value. Ejemplo: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

Tácticas y técnicas de MITRE ATT&CK relacionadas con este hallazgo Consulta: https://attack.mitre.org
access

object (Access)

Accede a los detalles asociados con el hallazgo, como más información sobre el emisor, a qué método se accedió y desde dónde.
connections[]

object (Connection)

Contiene información sobre la conexión de IP asociada con el hallazgo.
muteInitiator

string

Registra información adicional sobre la operación de silenciamiento, por ejemplo, la configuración de silenciamiento que silenció el hallazgo y el usuario que lo hizo.
processes[]

object (Process)

Representa los procesos del sistema operativo asociados con el hallazgo.
contacts

map (key: string, value: object (ContactDetails))

Solo salida. Es un mapa que contiene los puntos de contacto del hallazgo determinado. La clave representa el tipo de contacto, mientras que el valor contiene una lista de todos los contactos que pertenecen a él. Consulta https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories.

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Un objeto que contiene una lista de pares "key": value. Ejemplo: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Contiene información de cumplimiento de los estándares de seguridad asociados al hallazgo.
parentDisplayName

string

Solo salida. Es el nombre visible legible por humanos de la fuente de resultados, como "Detección de amenazas de eventos" o "Estadísticas del estado de seguridad".
description

string

Contiene más detalles sobre el hallazgo.
exfiltration

object (Exfiltration)

Representa las extracciones asociadas con el hallazgo.
iamBindings[]

object (IamBinding)

Representa las vinculaciones de IAM asociadas con el hallazgo.
nextSteps

string

Pasos para abordar el hallazgo
moduleName

string

Es el identificador único del módulo que generó el hallazgo. Ejemplo: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Contenedores asociados con el hallazgo Este campo proporciona información para contenedores de Kubernetes y que no son de Kubernetes.
kubernetes

object (Kubernetes)

Recursos de Kubernetes asociados con el hallazgo
database

object (Database)

Base de datos asociada con el hallazgo.
attackExposure

object (AttackExposure)

Los resultados de una simulación de ruta de ataque relevantes para este hallazgo
files[]

object (File)

Es el archivo asociado al hallazgo.
cloudDlpInspection

object (CloudDlpInspection)

Los resultados de la inspección de Cloud Data Loss Prevention (Cloud DLP) asociados con el hallazgo
cloudDlpDataProfile

object (CloudDlpDataProfile)

Es el perfil de datos de Cloud DLP asociado con el resultado.
kernelRootkit

object (KernelRootkit)

Firma del rootkit de kernel.
orgPolicies[]

object (OrgPolicy)

Contiene información sobre las políticas de la organización asociadas con el hallazgo.
job

object (Job)

Es el trabajo asociado con el hallazgo.
application

object (Application)

Representa una aplicación asociada con el hallazgo.
ipRules

object (IpRules)

Son las reglas de IP asociadas con el resultado.
backupDisasterRecovery

object (BackupDisasterRecovery)

Campos relacionados con los resultados de Backup and DR.
securityPosture

object (SecurityPosture)

La postura de seguridad asociada con el hallazgo
logEntries[]

object (LogEntry)

Entradas de registro relevantes para el hallazgo
loadBalancers[]

object (LoadBalancer)

Los balanceadores de cargas asociados con el resultado
cloudArmor

object (CloudArmor)

Campos relacionados con los resultados de Cloud Armor.
notebook

object (Notebook)

Cuaderno asociado al hallazgo
toxicCombination

object (ToxicCombination)

Contiene detalles sobre un grupo de problemas de seguridad que, cuando ocurren juntos, representan un riesgo mayor que cuando ocurren de forma independiente. Un grupo de estos problemas se conoce como combinación tóxica. No se puede actualizar este campo. Su valor se ignora en todas las solicitudes de actualización.
groupMemberships[]

object (GroupMembership)

Contiene detalles sobre los grupos de los que este hallazgo es miembro. Un grupo es una colección de conclusiones que se relacionan de alguna manera. No se puede actualizar este campo. Su valor se ignora en todas las solicitudes de actualización.
disk

object (Disk)

Es el disco asociado con el hallazgo.
dataAccessEvents[]

object (DataAccessEvent)

Eventos de acceso a los datos asociados con el hallazgo
dataFlowEvents[]

object (DataFlowEvent)

Eventos de flujo de datos asociados con el hallazgo
networks[]

object (Network)

Representa las redes de VPC a las que está conectado el recurso.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Eventos de eliminación por retención de datos asociados con el hallazgo
chokepoint

object (Chokepoint)

Contiene detalles sobre un punto de estrangulamiento, que es un recurso o grupo de recursos en el que convergen rutas de ataque de alto riesgo, según las simulaciones de rutas de ataque. No se puede actualizar este campo. Su valor se ignora en todas las solicitudes de actualización.

Métodos

create

 Crea un resultado en una ubicación.

group

 Filtra los hallazgos de una organización o fuente y los agrupa según sus propiedades especificadas en una ubicación.

list

 Muestra una lista de los hallazgos de una organización o fuente.

patch

 Crea o actualiza un hallazgo.

setMute

 Actualiza el estado de silenciamiento de un resultado.

setState

 Actualiza el estado de un hallazgo.

updateSecurityMarks

 Actualiza las marcas de seguridad.