Crea y administra módulos personalizados para Event Threat Detection

Console

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Haz clic en Crear módulo.
3. Haz clic en la plantilla de módulo que deseas usar.
4. Haz clic en Seleccionar.
5. En Nombre del módulo, ingresa un nombre visible para la plantilla nueva. El nombre no debe superar los 128 caracteres y solo debe contener caracteres alfanuméricos y guiones bajos, por ejemplo, example_custom_module.
6. Selecciona o agrega los valores de los parámetros solicitados. Los parámetros difieren para cada módulo. Por ejemplo, si seleccionaste la plantilla del módulo Configurable allowed Compute Engine region, debes seleccionar una o más regiones. Como alternativa, proporciona la lista en formato JSON.
7. Haz clic en Siguiente.
8. En Gravedad, ingresa el nivel de gravedad que deseas asignar a los hallazgos generados por el nuevo módulo personalizado.
9. En Descripción, ingresa una descripción para el nuevo módulo personalizado.
10. En Próximos pasos, ingresa las acciones recomendadas en formato de texto sin formato. Se ignorarán los saltos de párrafo que agregues.
11. Haz clic en Crear.

gcloud

1. Crea un archivo JSON que contenga la definición del módulo personalizado. Usa las plantillas de Módulos y plantillas personalizados como guía.

2. Para crear el módulo personalizado, envía el archivo JSON en un comando gcloud:

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

• RESOURCE_FLAG: Es el alcance del recurso principal en el que se creará el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: Es el ID del recurso principal, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
• DISPLAY_NAME: Es un nombre visible para la plantilla nueva. El nombre no debe superar los 128 caracteres y solo debe contener caracteres alfanuméricos y guiones bajos.
• MODULE_TYPE: El tipo de módulo personalizado que deseas crear, por ejemplo, CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION.
• PATH_TO_JSON_FILE: Archivo JSON que contiene la definición JSON del módulo personalizado según la plantilla del módulo.

Terraform

resource "google_scc_management_organization_event_threat_detection_custom_module" "example" {
  organization = "123456789"
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  type = "CONFIGURABLE_BAD_IP"
  description = "My Event Threat Detection Custom Module"
  config = jsonencode({
    "metadata": {
      "severity": "LOW",
      "description": "Flagged by Forcepoint as malicious",
      "recommendation": "Contact the owner of the relevant project."
    },
    "ips": [
      "192.0.2.1",
      "192.0.2.0/24"
    ]
  })
}

Console

1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

   Ir a hallazgos

2. Selecciona tu Google Cloud organización o proyecto.
3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Módulos personalizados de Event Threat Detection. Los resultados de la búsqueda se actualizan para mostrar solo los hallazgos de esta fuente.
4. Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para corregir el hallazgo.
6. Opcional: Para ver la definición completa de JSON del resultado, haz clic en la pestaña JSON.

gcloud

Para usar gcloud CLI y ver los hallazgos, haz lo siguiente:

1. Abre una ventana de terminal.

2. Obtén el ID de la fuente para los módulos personalizados de Event Threat Detection. El comando depende de si activaste Security Command Center a nivel de la organización o del proyecto:

   gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
       --source-display-name='Event Threat Detection Custom Modules'
   

   Reemplaza lo siguiente:

   • RESOURCE_LEVEL: Es el nivel de activación de tu instancia de Security Command Center; puede ser organizations o projects.
   • RESOURCE_ID: Es el ID de recurso de tu organización o proyecto.

   La salida se ve de la siguiente manera: SOURCE_ID es un ID asignado por el servidor para las fuentes de seguridad.

   canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   description: Provider used by Event Threat Detection Custom Modules
   displayName: Event Threat Detection Custom Modules
   name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID

3. Para enumerar todos los hallazgos de los módulos personalizados de Detección de amenazas ante eventos, ejecuta el siguiente comando con el ID de la fuente del paso anterior:

   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
   

   Reemplaza lo siguiente:

   • RESOURCE_LEVEL: Es el nivel del recurso en el que deseas enumerar los hallazgos; puede ser organizations, folders o projects.
   • RESOURCE_ID: Es el ID del recurso, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
   • SOURCE_ID: Es el ID de origen de los módulos personalizados de Event Threat Detection.

4. Para enumerar los resultados de un módulo personalizado específico, ejecuta el siguiente comando:

   MODULE="CUSTOM_MODULE_CATEGORY_NAME"
   FILTER="category=\"$MODULE\""
   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
   

   Reemplaza lo siguiente:

   • CUSTOM_MODULE_CATEGORY_NAME: Es el nombre de la categoría del módulo personalizado. Este nombre se compone de la categoría del hallazgo del tipo de módulo (como se indica en Módulos y plantillas personalizados) y el nombre visible del módulo con guiones bajos en lugar de espacios. Por ejemplo, el nombre de la categoría de un módulo personalizado puede ser Unexpected Compute Engine region: example_custom_module.
   • RESOURCE_LEVEL: Es el nivel de recursos en el que deseas enumerar los hallazgos; puede ser organizations, folders o projects.
   • RESOURCE_ID: Es el ID del recurso, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
   • SOURCE_ID: Es el ID de origen de tus módulos personalizados de Event Threat Detection.

Console

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Opcional: Para ver solo los módulos personalizados, en el campo Filtro, ingresa Tipo:Personalizado.

Los resultados incluyen lo siguiente:

• Son todos los módulos personalizados de Event Threat Detection residenciales.
• Son todos los módulos personalizados heredados de Event Threat Detection. Por ejemplo, si estás en la vista del proyecto, los módulos personalizados creados en las carpetas principales y la organización de ese proyecto se incluyen en los resultados.
• Son todos los módulos personalizados de Event Threat Detection descendientes creados en recursos secundarios. Por ejemplo, si estás en la vista de la organización, los módulos personalizados que se crearon en las carpetas y los proyectos de esa organización se incluyen en los resultados.

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• RESOURCE_FLAG: Es el alcance en el que deseas enumerar los módulos personalizados; puede ser organization, folder o project.
• RESOURCE_ID: Es el ID del recurso, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

Los resultados incluyen lo siguiente:

• Son todos los módulos personalizados de Event Threat Detection residenciales.
• Son todos los módulos personalizados heredados de Event Threat Detection. Por ejemplo, cuando enumeras los módulos personalizados a nivel del proyecto, los módulos personalizados creados en las carpetas principales y la organización de ese proyecto se incluyen en los resultados.

Cada elemento de los resultados incluye el nombre, el estado y las propiedades del módulo. Las propiedades difieren para cada módulo.

El nombre de cada módulo contiene su ID de módulo personalizado. Muchas operaciones de gcloud esta página requieren el ID del módulo personalizado.

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

Console

Consulta Cómo habilitar o inhabilitar un módulo.

Cuando inhabilitas un módulo personalizado heredado, los cambios solo se aplican al nivel de recursos actual. El módulo personalizado original que se encuentra en el nivel superior no se ve afectado. Por ejemplo, si estás a nivel del proyecto y inhabilitas un módulo personalizado que se heredó de la carpeta principal, el módulo personalizado solo se inhabilita a nivel del proyecto.

No puedes inhabilitar un módulo personalizado secundario. Por ejemplo, si estás en la vista de organización, no puedes inhabilitar un módulo personalizado que se creó a nivel del proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado pertinente cuando consultes la lista de módulos personalizados.
• RESOURCE_FLAG: Es el alcance del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: Es el ID del recurso principal, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

Console

Consulta Cómo habilitar o inhabilitar un módulo.

Cuando habilitas un módulo personalizado heredado, los cambios solo se aplican a tu nivel de recurso actual. El módulo personalizado original que se encuentra en el nivel superior no se ve afectado. Por ejemplo, si estás a nivel del proyecto y habilitas un módulo personalizado que se heredó de la carpeta principal, el módulo personalizado solo se habilitará a nivel del proyecto.

No puedes habilitar un módulo personalizado secundario. Por ejemplo, si estás en la vista de la organización, no puedes habilitar un módulo personalizado que se creó a nivel del proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico en el campo name del módulo personalizado pertinente cuando consultes la lista de módulos personalizados.
• RESOURCE_FLAG: Es el alcance del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: Es el ID del recurso principal, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

Console

Solo puedes editar módulos personalizados residenciales. Por ejemplo, si estás en la vista de la organización, solo puedes editar los módulos personalizados que se crearon a nivel de la organización.

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado que deseas editar.
3. En ese módulo personalizado, haz clic en more_vert Acciones > Editar.
4. Edita el módulo personalizado según sea necesario.
5. Haz clic en Guardar.

gcloud

Para actualizar un módulo, ejecuta el siguiente comando y, luego, incluye la plantilla JSON del módulo actualizado:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico en el campo name del módulo personalizado pertinente cuando consultes la lista de módulos personalizados.
• RESOURCE_FLAG: Es el alcance del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: Es el ID del recurso principal, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
• PATH_TO_JSON_FILE: Es el archivo JSON que contiene la definición en formato JSON del módulo personalizado.

Console

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado en la lista.

El estado del módulo personalizado se muestra en la columna Estado.

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado pertinente cuando consultes la lista de módulos personalizados.
• RESOURCE_FLAG: Es el alcance del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: Es el ID del recurso principal, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

El resultado es similar al siguiente y, además, incluye el estado y las propiedades del módulo. Las propiedades difieren para cada módulo.

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

Console

No puedes borrar módulos personalizados heredados. Por ejemplo, si estás en la vista del proyecto, no puedes borrar los módulos personalizados que se crearon a nivel de la organización o de la carpeta.

Para borrar un módulo personalizado a través de la consola de Google Cloud , haz lo siguiente:

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado que quieres borrar.
3. En ese módulo personalizado, haz clic en more_vert Acciones > Borrar. Aparecerá un mensaje en el que se te pedirá que confirmes la eliminación.
4. Haz clic en Borrar.

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado pertinente cuando consultes la lista de módulos personalizados.
• RESOURCE_FLAG: Es el alcance del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: Es el ID del recurso principal, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.