REST Resource: organizations.sources.locations.findings

Recurso: Finding

Descoberta do Security Command Center.

Uma descoberta é um registro de dados de avaliação, como segurança, risco, integridade ou privacidade, que é ingerido no Security Command Center para apresentação, notificação, análise, teste de políticas e aplicação. Por exemplo, uma vulnerabilidade de scripting em vários locais (XSS) em um aplicativo do App Engine é uma descoberta.

Representação JSON 
{
  "name": string,
  "canonicalName": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "mute": enum (Mute),
  "muteInfo": {
    object (MuteInfo)
  },
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ],
  "chokepoint": {
    object (Chokepoint)
  }
}
Campos
name

string

O nome do recurso relativo da descoberta. Confira alguns exemplos na lista a seguir:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}
canonicalName

string

Apenas saída. O nome canônico da descoberta. Confira alguns exemplos na lista a seguir:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}

O prefixo é o ancestral do CRM mais próximo do recurso associado à descoberta.
parent

string

O nome do recurso relativo da fonte e do local a que a descoberta pertence. Consulte: https://cloud.google.com/apis/design/resource_names#relative_resource_name. Esse campo é imutável após a criação. Confira alguns exemplos na lista a seguir:

  • organizations/{organization_id}/sources/{source_id}
  • folders/{folders_id}/sources/{source_id}
  • projects/{projects_id}/sources/{source_id} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}
  • folders/{folders_id}/sources/{source_id}/locations/{locationId}
  • projects/{projects_id}/sources/{source_id}/locations/{locationId}
resourceName

string

Imutável. Para descobertas em recursos do Google Cloud, o nome completo do recurso do Google Cloud a que a descoberta se refere. Consulte: https://cloud.google.com/apis/design/resource_names#full_resource_name Quando a descoberta é para um recurso que não é do Google Cloud, o resourceName pode ser uma string definida pelo cliente ou parceiro.
state

enum (State)

Apenas saída. O estado da descoberta.
category

string

Imutável. O grupo de taxonomia adicional nas descobertas de uma determinada origem. Exemplo: "XSS_FLASH_INJECTION"
externalUri

string

O URI que, se disponível, aponta para uma página da Web fora do Security Command Center, onde podem ser encontradas informações adicionais sobre a descoberta. É garantido que esse campo esteja vazio ou seja um URL bem formado.
sourceProperties

map (key: string, value: value (Value format))

Propriedades específicas da origem. Essas propriedades são gerenciadas pela origem que grava a descoberta. Os nomes das chaves no mapa sourceProperties precisam ter entre 1 e 255 caracteres, começar com uma letra e conter apenas caracteres alfanuméricos ou sublinhados.

Um objeto com uma lista de pares "key": value. Exemplo: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Apenas saída. Marcações de segurança especificadas pelo usuário. Essas marcas são totalmente gerenciadas pelo usuário e vêm do recurso SecurityMarks que pertence à descoberta.
eventTime

string (Timestamp format)

Horário em que a descoberta foi detectada pela primeira vez. Se uma descoberta existente for atualizada, esse será o horário em que a atualização ocorreu. Por exemplo, se a descoberta representar um firewall aberto, essa propriedade vai capturar o horário em que o detector acredita que o firewall foi aberto. A precisão é determinada pelo detector. Se a descoberta for resolvida mais tarde, esse horário vai refletir quando ela foi resolvida. Ele não pode ser definido como um valor maior do que o carimbo de data/hora atual.

Usa o RFC 3339, em que a saída gerada é sempre normalizada em Z e usa dígitos fracionários 0, 3, 6 ou 9. Deslocamentos diferentes de "Z" também são aceitos. Exemplos: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Apenas saída. A hora em que a descoberta foi criada no Security Command Center.

Usa o RFC 3339, em que a saída gerada é sempre normalizada em Z e usa dígitos fracionários 0, 3, 6 ou 9. Deslocamentos diferentes de "Z" também são aceitos. Exemplos: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

A gravidade da descoberta. Esse campo é gerenciado pela origem que grava a descoberta.
mute

enum (Mute)

Indica o estado de silenciamento de uma descoberta (silenciada, ativada ou indefinida). Ao contrário de outros atributos de um achado, um provedor de achados não pode definir o valor de desativação do som.
muteInfo

object (MuteInfo)

Apenas saída. As informações de desativação relacionadas a essa descoberta.
findingClass

enum (FindingClass)

A classe da descoberta.
indicator

object (Indicator)

Representa o que é comumente conhecido como indicador de comprometimento (IoC, na sigla em inglês) na perícia forense de computadores. É um artefato observado em uma rede ou em um sistema operacional que, com alta confiança, indica uma invasão de computador. Para mais informações, consulte Indicador de comprometimento.
vulnerability

object (Vulnerability)

Representa campos específicos de vulnerabilidade, como pontuações CVE e CVSS. CVE é a sigla para Common Vulnerabilities and Exposures (vulnerabilidades e exposições comuns) (https://cve.mitre.org/about/).
muteUpdateTime

string (Timestamp format)

Apenas saída. A última vez que esta descoberta foi silenciada ou ativada.

Usa o RFC 3339, em que a saída gerada é sempre normalizada em Z e usa dígitos fracionários 0, 3, 6 ou 9. Deslocamentos diferentes de "Z" também são aceitos. Exemplos: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Apenas saída. Os campos de SIEM/SOAR de terceiros no SCC contêm informações do sistema externo e campos de descoberta do sistema externo.

Um objeto com uma lista de pares "key": value. Exemplo: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

Táticas e técnicas do MITRE ATT&CK relacionadas a essa descoberta. Consulte: https://attack.mitre.org
access

object (Access)

Acesse os detalhes associados à descoberta, como mais informações sobre o autor da chamada, qual método foi acessado e de onde.
connections[]

object (Connection)

Contém informações sobre a conexão de IP associada à descoberta.
muteInitiator

string

Registra informações adicionais sobre a operação de desativação, por exemplo, a configuração de desativação que desativou a descoberta e o usuário que fez isso.
processes[]

object (Process)

Representa os processos do sistema operacional associados à descoberta.
contacts

map (key: string, value: object (ContactDetails))

Apenas saída. Mapa contendo os pontos de contato para a descoberta. A chave representa o tipo de contato, e o valor contém uma lista de todos os contatos relacionados. Consulte: https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Um objeto com uma lista de pares "key": value. Exemplo: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Contém informações de compliance para os padrões de segurança associados à descoberta.
parentDisplayName

string

Apenas saída. O nome de exibição legível pela pessoa da origem da descoberta, como "Detecção de ameaças a eventos" ou "Análise de integridade da segurança".
description

string

Contém mais detalhes sobre a descoberta.
exfiltration

object (Exfiltration)

Representa exfiltrações associadas à descoberta.
iamBindings[]

object (IamBinding)

Representa vinculações do IAM associadas à descoberta.
nextSteps

string

Etapas para resolver a descoberta.
moduleName

string

Identificador exclusivo do módulo que gerou a descoberta. Exemplo: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Contêineres associados à descoberta. Esse campo fornece informações para contêineres do Kubernetes e de outros tipos.
kubernetes

object (Kubernetes)

Recursos do Kubernetes associados à descoberta.
database

object (Database)

Banco de dados associado à descoberta.
attackExposure

object (AttackExposure)

Os resultados de uma simulação de caminho de ataque relevante para essa descoberta.
files[]

object (File)

Arquivo associado à descoberta.
cloudDlpInspection

object (CloudDlpInspection)

Resultados de inspeção do Cloud Data Loss Prevention (Cloud DLP) associados à descoberta.
cloudDlpDataProfile

object (CloudDlpDataProfile)

Perfil de dados do Cloud DLP associado à descoberta.
kernelRootkit

object (KernelRootkit)

Assinatura do rootkit do kernel.
orgPolicies[]

object (OrgPolicy)

Contém informações sobre as políticas da organização associadas à descoberta.
job

object (Job)

Função associada à descoberta.
application

object (Application)

Representa um aplicativo associado à descoberta.
ipRules

object (IpRules)

Regras de IP associadas à descoberta.
backupDisasterRecovery

object (BackupDisasterRecovery)

Campos relacionados às descobertas de backup e DR.
securityPosture

object (SecurityPosture)

A postura de segurança associada à descoberta.
logEntries[]

object (LogEntry)

Entradas de registro relevantes para a descoberta.
loadBalancers[]

object (LoadBalancer)

Os balanceadores de carga associados à descoberta.
cloudArmor

object (CloudArmor)

Campos relacionados às descobertas do Cloud Armor.
notebook

object (Notebook)

Caderno associado à descoberta.
toxicCombination

object (ToxicCombination)

Contém detalhes sobre um grupo de problemas de segurança que, quando ocorrem juntos, representam um risco maior do que quando ocorrem de forma independente. Um grupo de problemas desse tipo é chamado de combinação tóxica. Não é possível atualizar este campo. O valor é ignorado em todas as solicitações de atualização.
groupMemberships[]

object (GroupMembership)

Contém detalhes sobre os grupos dos quais essa descoberta é membro. Um grupo é uma coleção de descobertas relacionadas de alguma forma. Não é possível atualizar este campo. O valor é ignorado em todas as solicitações de atualização.
disk

object (Disk)

Disco associado à descoberta.
dataAccessEvents[]

object (DataAccessEvent)

Eventos de acesso a dados associados à descoberta.
dataFlowEvents[]

object (DataFlowEvent)

Eventos de fluxo de dados associados à descoberta.
networks[]

object (Network)

Representa as redes VPC às quais o recurso está anexado.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Eventos de exclusão de retenção de dados associados à descoberta.
chokepoint

object (Chokepoint)

Contém detalhes sobre um ponto de estrangulamento, que é um recurso ou grupo de recursos em que os caminhos de ataque de alto risco convergem, com base em simulações de caminho de ataque. Não é possível atualizar este campo. O valor é ignorado em todas as solicitações de atualização.

Métodos

create

 Cria uma descoberta em um local.

group

 Filtra as descobertas de uma organização ou fonte e as agrupa por propriedades especificadas em um local.

list

 Lista as descobertas de uma organização ou fonte.

patch

 Cria ou atualiza uma descoberta.

setMute

 Atualiza o estado de desativação de uma descoberta.

setState

 Atualiza o estado de uma descoberta.

updateSecurityMarks

 Atualiza as marcações de segurança.