REST Resource: organizations.sources.locations.findings

Risorsa: Ricerca

Risultato di Security Command Center.

Un risultato è un record di dati di valutazione, come sicurezza, rischio, stato o privacy, che viene importato in Security Command Center per la presentazione, la notifica, l'analisi, il test delle norme e l'applicazione. Ad esempio, una vulnerabilità di cross-site scripting (XSS) in un'applicazione App Engine è un rilevamento.

Rappresentazione JSON 
{
  "name": string,
  "canonicalName": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "mute": enum (Mute),
  "muteInfo": {
    object (MuteInfo)
  },
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ],
  "chokepoint": {
    object (Chokepoint)
  }
}
Campi
name

string

Il nome della risorsa relativa del rilevamento. Di seguito sono riportati alcuni esempi:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}
canonicalName

string

Solo output. Il nome canonico del risultato. Di seguito sono riportati alcuni esempi:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}

Il prefisso è l'antenato CRM più vicino della risorsa associata al rilevamento.
parent

string

Il nome della risorsa relativa all'origine e alla posizione a cui appartiene il risultato. Consulta: https://cloud.google.com/apis/design/resource_names#relative_resource_name Questo campo è immutabile dopo il momento della creazione. Di seguito sono riportati alcuni esempi:

  • organizations/{organization_id}/sources/{source_id}
  • folders/{folders_id}/sources/{source_id}
  • projects/{projects_id}/sources/{source_id} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}
  • folders/{folders_id}/sources/{source_id}/locations/{locationId}
  • projects/{projects_id}/sources/{source_id}/locations/{locationId}
resourceName

string

Immutabile. Per i risultati relativi alle risorse Google Cloud, il nome completo della risorsa Google Cloud a cui si riferisce il risultato. Consulta: https://cloud.google.com/apis/design/resource_names#full_resource_name Quando il rilevamento riguarda una risorsa non Google Cloud, resourceName può essere una stringa definita dal cliente o dal partner.
state

enum (State)

Solo output. Lo stato del risultato.
category

string

Immutabile. Il gruppo tassonomico aggiuntivo all'interno dei risultati di una determinata origine. Esempio: "XSS_FLASH_INJECTION"
externalUri

string

L'URI che, se disponibile, rimanda a una pagina web esterna a Security Command Center in cui è possibile trovare ulteriori informazioni sul risultato. Questo campo è garantito come vuoto o come URL ben formato.
sourceProperties

map (key: string, value: value (Value format))

Proprietà specifiche della sorgente. Queste proprietà sono gestite dalla sorgente che scrive il rilevamento. I nomi delle chiavi nella mappa sourceProperties devono essere compresi tra 1 e 255 caratteri, devono iniziare con una lettera e contenere solo caratteri alfanumerici o trattini bassi.

Un oggetto contenente un elenco di coppie "key": value. Esempio: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Solo output. Contrassegni di sicurezza specificati dall'utente. Questi indicatori sono gestiti interamente dall'utente e provengono dalla risorsa SecurityMarks che appartiene al rilevamento.
eventTime

string (Timestamp format)

Data/ora in cui il risultato è stato rilevato per la prima volta. Se un risultato esistente viene aggiornato, questa è la data/ora in cui si è verificato l'aggiornamento. Ad esempio, se il risultato rappresenta un firewall aperto, questa proprietà acquisisce il momento in cui il rilevatore ritiene che il firewall sia diventato aperto. La precisione è determinata dal rilevatore. Se il problema viene risolto in un secondo momento, questa data e ora riflettono il momento in cui è stato risolto. Non deve essere impostato un valore maggiore del timestamp corrente.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Solo output. L'ora in cui il risultato è stato creato in Security Command Center.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

La gravità del risultato. Questo campo è gestito dalla sorgente che scrive il rilevamento.
mute

enum (Mute)

Indica lo stato di disattivazione di un risultato (disattivato, riattivato o non definito). A differenza di altri attributi di una segnalazione, un fornitore di segnalazioni non deve impostare il valore di disattivazione.
muteInfo

object (MuteInfo)

Solo output. Le informazioni sulla disattivazione di questo risultato.
findingClass

enum (FindingClass)

La classe del risultato.
indicator

object (Indicator)

Rappresenta ciò che è comunemente noto come indicatore di compromissione (IoC) nella computer forensics. Si tratta di un artefatto osservato su una rete o in un sistema operativo che, con un'elevata probabilità, indica un'intrusione nel computer. Per ulteriori informazioni, consulta la sezione Indicatore di compromissione.
vulnerability

object (Vulnerability)

Rappresenta campi specifici per le vulnerabilità, come CVE e punteggi CVSS. CVE sta per Common Vulnerabilities and Exposures (https://cve.mitre.org/about/)
muteUpdateTime

string (Timestamp format)

Solo output. L'ora più recente in cui questo risultato è stato disattivato o riattivato.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Solo output. I campi SIEM/SOAR di terze parti all'interno di SCC contengono informazioni sui sistemi esterni e campi di risultati dei sistemi esterni.

Un oggetto contenente un elenco di coppie "key": value. Esempio: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

Tattiche e tecniche MITRE ATT&CK correlate a questo rilevamento. Vedi: https://attack.mitre.org
access

object (Access)

Accedi ai dettagli associati al rilevamento, ad esempio ulteriori informazioni sul chiamante, al metodo a cui è stato eseguito l'accesso e da dove.
connections[]

object (Connection)

Contiene informazioni sulla connessione IP associata al rilevamento.
muteInitiator

string

Registra informazioni aggiuntive sull'operazione di disattivazione, ad esempio la configurazione di disattivazione che ha disattivato il rilevamento e l'utente che lo ha fatto.
processes[]

object (Process)

Rappresenta i processi del sistema operativo associati al rilevamento.
contacts

map (key: string, value: object (ContactDetails))

Solo output. Mappa contenente i punti di contatto per la segnalazione in questione. La chiave rappresenta il tipo di contatto, mentre il valore contiene un elenco di tutti i contatti pertinenti. Consulta la pagina https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Un oggetto contenente un elenco di coppie "key": value. Esempio: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Contiene informazioni sulla conformità per gli standard di sicurezza associati al rilevamento.
parentDisplayName

string

Solo output. Il nome visualizzato leggibile dell'origine del rilevamento, ad esempio "Event Threat Detection" o "Security Health Analytics".
description

string

Contiene ulteriori dettagli sul risultato.
exfiltration

object (Exfiltration)

Rappresenta le esfiltrazioni associate al risultato.
iamBindings[]

object (IamBinding)

Rappresenta le associazioni IAM associate al risultato.
nextSteps

string

Passaggi per risolvere il problema.
moduleName

string

Identificatore univoco del modulo che ha generato il rilevamento. Esempio: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Contenitori associati al risultato. Questo campo fornisce informazioni sia per i container Kubernetes che per quelli non Kubernetes.
kubernetes

object (Kubernetes)

Risorse Kubernetes associate al rilevamento.
database

object (Database)

Database associato al rilevamento.
attackExposure

object (AttackExposure)

I risultati di una simulazione del percorso di attacco pertinente a questo risultato.
files[]

object (File)

File associato al risultato.
cloudDlpInspection

object (CloudDlpInspection)

I risultati dell'ispezione di Cloud Data Loss Prevention (Cloud DLP) associati al rilevamento.
cloudDlpDataProfile

object (CloudDlpDataProfile)

Profilo dei dati di Cloud DLP associato al rilevamento.
kernelRootkit

object (KernelRootkit)

Firma del rootkit del kernel.
orgPolicies[]

object (OrgPolicy)

Contiene informazioni sulle norme dell'organizzazione associate al rilevamento.
job

object (Job)

Job associato al risultato.
application

object (Application)

Rappresenta un'applicazione associata al risultato.
ipRules

object (IpRules)

Regole IP associate al risultato.
backupDisasterRecovery

object (BackupDisasterRecovery)

Campi relativi ai risultati di Backup e DR.
securityPosture

object (SecurityPosture)

La posizione di sicurezza associata al rilevamento.
logEntries[]

object (LogEntry)

Voci di log pertinenti al rilevamento.
loadBalancers[]

object (LoadBalancer)

I bilanciatori del carico associati al rilevamento.
cloudArmor

object (CloudArmor)

Campi relativi ai risultati di Cloud Armor.
notebook

object (Notebook)

Notebook associato al risultato.
toxicCombination

object (ToxicCombination)

Contiene dettagli su un gruppo di problemi di sicurezza che, se si verificano contemporaneamente, rappresentano un rischio maggiore rispetto a quando si verificano in modo indipendente. Un gruppo di questi problemi è definito combinazione tossica. Questo campo non può essere aggiornato. Il relativo valore viene ignorato in tutte le richieste di aggiornamento.
groupMemberships[]

object (GroupMembership)

Contiene i dettagli dei gruppi di cui fa parte questo risultato. Un gruppo è una raccolta di risultati correlati in qualche modo. Questo campo non può essere aggiornato. Il relativo valore viene ignorato in tutte le richieste di aggiornamento.
disk

object (Disk)

Disco associato al risultato.
dataAccessEvents[]

object (DataAccessEvent)

Eventi di accesso ai dati associati al rilevamento.
dataFlowEvents[]

object (DataFlowEvent)

Eventi di flusso di dati associati al risultato.
networks[]

object (Network)

Rappresenta le reti VPC a cui è collegata la risorsa.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Eventi di eliminazione della conservazione dei dati associati al rilevamento.
chokepoint

object (Chokepoint)

Contiene i dettagli di un punto di passaggio obbligato, ovvero una risorsa o un gruppo di risorse in cui convergono percorsi di attacco ad alto rischio, in base alle simulazioni dei percorsi di attacco. Questo campo non può essere aggiornato. Il relativo valore viene ignorato in tutte le richieste di aggiornamento.

Metodi

create

 Crea un rilevamento in una località.

group

 Filtra i risultati di un'organizzazione o di una fonte e li raggruppa in base alle proprietà specificate in una località.

list

 Elenca i risultati di un'organizzazione o di una fonte.

patch

 Crea o aggiorna un esito.

setMute

 Aggiorna lo stato di disattivazione dell'audio di un risultato.

setState

 Aggiorna lo stato di un risultato.

updateSecurityMarks

 Aggiorna i contrassegni di sicurezza.