REST Resource: organizations.sources.locations.findings

Ressource : Finding

Résultat de Security Command Center.

Un résultat est un enregistrement de données d'évaluation, telles que la sécurité, les risques, l'état ou la confidentialité, qui sont ingérées dans Security Command Center pour la présentation, la notification, l'analyse, les tests de règles et l'application. Par exemple, une faille de script intersites (XSS) dans une application App Engine est un résultat.

Représentation JSON 
{
  "name": string,
  "canonicalName": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "mute": enum (Mute),
  "muteInfo": {
    object (MuteInfo)
  },
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ],
  "chokepoint": {
    object (Chokepoint)
  }
}
Champs
name

string

Nom de ressource relatif de l'anomalie. La liste suivante présente quelques exemples:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}
canonicalName

string

Uniquement en sortie. Nom canonique du résultat. La liste suivante présente quelques exemples:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}

Le préfixe correspond à l'ancêtre CRM le plus proche de la ressource associée à la découverte.
parent

string

Nom de ressource relatif de la source et de l'emplacement auxquels la non-conformité appartient. Consultez https://cloud.google.com/apis/design/resource_names#relative_resource_name. Ce champ est immuable après la création. La liste suivante présente quelques exemples:

  • organizations/{organization_id}/sources/{source_id}
  • folders/{folders_id}/sources/{source_id}
  • projects/{projects_id}/sources/{source_id} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}
  • folders/{folders_id}/sources/{source_id}/locations/{locationId}
  • projects/{projects_id}/sources/{source_id}/locations/{locationId}
resourceName

string

Immuable. Pour les résultats concernant des ressources Google Cloud, nom complet de la ressource Google Cloud concernée. Consultez https://cloud.google.com/apis/design/resource_names#full_resource_name. Lorsque la découverte concerne une ressource autre que Google Cloud, resourceName peut être une chaîne définie par le client ou le partenaire.
state

enum (State)

Uniquement en sortie. État de la découverte.
category

string

Immuable. Groupe de taxonomie supplémentaire dans les résultats d'une source donnée. Exemple: "XSS_FLASH_INJECTION"
externalUri

string

URI qui, le cas échéant, pointe vers une page Web en dehors de Security Command Center où vous trouverez des informations supplémentaires sur le résultat. Ce champ est garanti vide ou contient une URL correctement formatée.
sourceProperties

map (key: string, value: value (Value format))

Propriétés spécifiques à la source. Ces propriétés sont gérées par la source qui écrit le résultat. Les noms de clé de la carte sourceProperties doivent comporter entre 1 et 255 caractères. Ils doivent commencer par une lettre et ne contenir que des caractères alphanumériques ou des traits de soulignement.

Objet contenant une liste de paires "key": value. Exemple : { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Uniquement en sortie. Marques de sécurité spécifiées par l'utilisateur. Ces marques sont entièrement gérées par l'utilisateur et proviennent de la ressource SecurityMarks appartenant à l'anomalie.
eventTime

string (Timestamp format)

Date/Heure de la première détection du résultat. Si un résultat existant est mis à jour, il s'agit de la date et de l'heure auxquelles la mise à jour a eu lieu. Par exemple, si le résultat représente un pare-feu ouvert, cette propriété capture l'heure à laquelle le détecteur estime que le pare-feu est devenu ouvert. La précision est déterminée par le détecteur. Si le résultat est résolu par la suite, cette valeur indique l'heure de résolution du résultat. Cette valeur ne doit pas être supérieure au code temporel actuel.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Uniquement en sortie. Heure à laquelle le résultat a été créé dans Security Command Center.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

Gravité de l'anomalie. Ce champ est géré par la source qui écrit la découverte.
mute

enum (Mute)

Indique l'état de masquage d'un résultat (masqué, non masqué ou indéfini). Contrairement aux autres attributs d'un résultat, un fournisseur de résultats ne doit pas définir la valeur de la fonctionnalité de masquage.
muteInfo

object (MuteInfo)

Uniquement en sortie. Informations sur l'activation de la fonctionnalité de masquage pour ce résultat.
findingClass

enum (FindingClass)

Classe du résultat.
indicator

object (Indicator)

Représente ce qui est communément appelé un indicateur de compromission (IoC) en informatique légale. Il s'agit d'un artefact observé sur un réseau ou dans un système d'exploitation qui indique, avec un niveau de confiance élevé, une intrusion informatique. Pour en savoir plus, consultez la section Indicateur de compromission.
vulnerability

object (Vulnerability)

Représente des champs spécifiques aux failles, tels que les CVE et les scores CVSS. CVE signifie "Common Vulnerabilities and Exposures" (https://cve.mitre.org/about/).
muteUpdateTime

string (Timestamp format)

Uniquement en sortie. Date et heure de la dernière activation ou désactivation de ce résultat.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Uniquement en sortie. Les champs SIEM/SOAR tiers du SCC contiennent des informations sur les systèmes externes et des champs de résultats sur les systèmes externes.

Objet contenant une liste de paires "key": value. Exemple : { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

Tactiques et techniques MITRE ATT&CK associées à cette observation Voir https://attack.mitre.org
access

object (Access)

Informations d'accès associées à la découverte, telles que des informations supplémentaires sur l'appelant, la méthode à laquelle il a accédé et l'emplacement d'où il a accédé.
connections[]

object (Connection)

Contient des informations sur la connexion IP associée au résultat.
muteInitiator

string

Enregistre des informations supplémentaires sur l'opération de masquage, par exemple la configuration de masquage qui a masqué la non-conformité et l'utilisateur qui l'a masquée.
processes[]

object (Process)

Représente les processus du système d'exploitation associés à l'anomalie.
contacts

map (key: string, value: object (ContactDetails))

Uniquement en sortie. Carte contenant les points de contact pour le résultat donné. La clé représente le type de contact, tandis que la valeur contient la liste de tous les contacts concernés. Veuillez consulter https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories.

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Objet contenant une liste de paires "key": value. Exemple : { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Contient des informations sur la conformité aux normes de sécurité associées à l'anomalie.
parentDisplayName

string

Uniquement en sortie. Nom à afficher de la source des résultats, par exemple "Event Threat Detection" ou "Security Health Analytics".
description

string

Contient plus d'informations sur la non-conformité.
exfiltration

object (Exfiltration)

Représente les exfiltrations associées au résultat.
iamBindings[]

object (IamBinding)

Représente les liaisons IAM associées à la découverte.
nextSteps

string

Étapes à suivre pour corriger le problème.
moduleName

string

Identifiant unique du module ayant généré le résultat. Exemple: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Conteneurs associés à la découverte. Ce champ fournit des informations pour les conteneurs Kubernetes et non Kubernetes.
kubernetes

object (Kubernetes)

Ressources Kubernetes associées à la découverte.
database

object (Database)

Base de données associée à la découverte.
attackExposure

object (AttackExposure)

Résultats d'une simulation de chemin d'attaque pertinents pour ce résultat.
files[]

object (File)

Fichier associé au résultat.
cloudDlpInspection

object (CloudDlpInspection)

Résultats de l'inspection Cloud Data Loss Prevention (Cloud DLP) associés à la découverte.
cloudDlpDataProfile

object (CloudDlpDataProfile)

Profil de données Cloud DLP associé au résultat.
kernelRootkit

object (KernelRootkit)

Signature du rootkit de kernel.
orgPolicies[]

object (OrgPolicy)

Contient des informations sur les règles de l'organisation associées à l'anomalie.
job

object (Job)

Tâche associée à la découverte.
application

object (Application)

Représente une application associée à la découverte.
ipRules

object (IpRules)

Règles IP associées à la découverte.
backupDisasterRecovery

object (BackupDisasterRecovery)

Champs liés aux résultats de sauvegarde et de reprise après sinistre.
securityPosture

object (SecurityPosture)

Niveau de sécurité associé à la découverte.
logEntries[]

object (LogEntry)

Entrées de journal pertinentes pour la découverte
loadBalancers[]

object (LoadBalancer)

Équilibreurs de charge associés à la découverte.
cloudArmor

object (CloudArmor)

Champs liés aux résultats de Cloud Armor.
notebook

object (Notebook)

Notebook associé au résultat.
toxicCombination

object (ToxicCombination)

Contient des informations sur un groupe de problèmes de sécurité qui, lorsqu'ils se produisent ensemble, représentent un risque plus élevé que lorsqu'ils se produisent indépendamment. Un groupe de problèmes de ce type est appelé "combinaison toxique". Ce champ ne peut pas être modifié. Sa valeur est ignorée dans toutes les requêtes de mise à jour.
groupMemberships[]

object (GroupMembership)

Contient des informations sur les groupes dont cette observation fait partie. Un groupe est un ensemble de résultats qui sont liés d'une manière ou d'une autre. Ce champ ne peut pas être modifié. Sa valeur est ignorée dans toutes les requêtes de mise à jour.
disk

object (Disk)

Disque associé au résultat.
dataAccessEvents[]

object (DataAccessEvent)

Événements d'accès aux données associés à la découverte.
dataFlowEvents[]

object (DataFlowEvent)

Événements de flux de données associés à la découverte.
networks[]

object (Network)

Représente les réseaux VPC auxquels la ressource est associée.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Événements de suppression liés à la conservation des données associés à la découverte.
chokepoint

object (Chokepoint)

Contient des informations sur un point d'étranglement, qui est une ressource ou un groupe de ressources où les chemins d'attaque à haut risque convergent, en fonction des simulations de chemins d'attaque. Ce champ ne peut pas être modifié. Sa valeur est ignorée dans toutes les requêtes de mise à jour.

Méthodes

create

 Crée un résultat dans un emplacement.

group

 Filtre les résultats d'une organisation ou d'une source, et les regroupe en fonction de leurs propriétés spécifiées dans un emplacement.

list

 Répertorie les résultats d'une organisation ou d'une source.

patch

 Crée ou met à jour un résultat.

setMute

 Met à jour l'état de désactivation d'un résultat.

setState

 Met à jour l'état d'un résultat.

updateSecurityMarks

 Met à jour les marques de sécurité.