Crea y administra módulos personalizados para Event Threat Detection

Console

1. Consulta el módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecerán en una lista.
2. Haz clic en Create module.
3. Haz clic en la plantilla del módulo que quieres usar.
4. Haz clic en Seleccionar.
5. En Module name, ingresa un nombre visible para la nueva plantilla. El nombre no debe superar los 128 caracteres y debe contener solo caracteres caracteres y guiones bajos, por ejemplo, example_custom_module.
6. Selecciona o agrega los valores de parámetros solicitados. Los parámetros difieren para cada módulo. Por ejemplo, si seleccionaste la plantilla de módulo Configurable allowed Compute Engine region, deberás seleccionar una o más regiones. También puedes proporcionar la lista en formato JSON.
7. Haz clic en Siguiente.
8. En Gravedad, ingresa el nivel de gravedad que quieres asignar. resultados generados por el nuevo módulo personalizado.
9. En Description, ingresa una descripción para el nuevo módulo personalizado.
10. En Próximos pasos, ingresa las acciones recomendadas en formato de texto sin formato. Se ignorará cualquier salto de párrafo que agregues.
11. Haz clic en Crear.

gcloud

1. Crea un archivo JSON que contenga la definición del módulo personalizado. Usa el en Módulos y módulos personalizados plantillas como guía.

2. Para crear el módulo personalizado, envía el archivo JSON en un comando gcloud:

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

• RESOURCE_FLAG: Es el alcance del recurso superior en el que se el módulo se creará; organization, folder o project.
• RESOURCE_ID: Es el ID del recurso superior. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
• DISPLAY_NAME: Es un nombre visible para la plantilla nueva. El nombre no debe superar los 128 caracteres y debe contener solo caracteres caracteres y guiones bajos.
• MODULE_TYPE: Es el tipo de evento personalizado. módulo que quieras crear, por ejemplo, CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION
• PATH_TO_JSON_FILE: el archivo JSON que contiene las propiedades del módulo personalizado Definición JSON basada en la plantilla del módulo.

Console

Para ver los resultados en la consola de Google Cloud, haz lo siguiente:

1. Ve a la pestaña Resultados de Security Command Center en la consola de Google Cloud.

   Ir a hallazgos

2. Selecciona tu organización, carpeta o proyecto.

3. En el panel Filtros rápidos, desplázate hacia abajo hasta Nombre visible de la fuente. y selecciona Módulos personalizados de Event Threat Detection.

   El panel Resultados de la búsqueda se propaga con los resultados de el tipo de fuente que seleccionaste.

4. Para ver los detalles de un resultado específico en la tabla, haz clic en en Category.

gcloud

Si deseas usar gcloud CLI para ver los resultados, haz lo siguiente:

1. Abre una ventana de terminal.

2. Obtén el ID de origen de los módulos personalizados de Event Threat Detection. El comando depende de si activaste Security Command Center a nivel de la organización o el nivel de proyecto:

   gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
       --source-display-name='Event Threat Detection Custom Modules'
   

   Reemplaza lo siguiente:

   • RESOURCE_LEVEL: Es el nivel de activación de tu instancia de Security Command Center; organizations o projects.
   • RESOURCE_ID: Es el ID de recurso de tu organización o en un proyecto final.

   La salida se ve de la siguiente manera: SOURCE_ID es un un ID asignado por el servidor para las fuentes de seguridad.

   canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   description: Provider used by Event Threat Detection Custom Modules
   displayName: Event Threat Detection Custom Modules
   name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   

3. Para enumerar todos los hallazgos de Event Threat Detection personalizada, módulos, ejecuta el siguiente comando con el ID de origen del resultado paso:

   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
   

   Reemplaza lo siguiente:

   • RESOURCE_LEVEL: Es el nivel de recurso en el que quieres enumerar los hallazgos; organizations, folders o projects.
   • RESOURCE_ID: Es el ID del recurso. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
   • SOURCE_ID: Es el ID de origen de Event Threat Detection. módulos personalizados.

4. Para enumerar los resultados de un módulo personalizado específico, ejecuta el siguiente comando:

   MODULE="CUSTOM_MODULE_CATEGORY_NAME"
   FILTER="category=\"$MODULE\""
   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
   

   Reemplaza lo siguiente:

   • CUSTOM_MODULE_CATEGORY_NAME: Es el nombre de la categoría de el módulo personalizado. Este nombre está compuesto por la categoría de hallazgo de la de módulo (como se enumera en Módulos personalizados y plantillas). y el nombre visible del módulo con guiones bajos en lugar de espacios. Para Por ejemplo, el nombre de categoría de un módulo personalizado puede ser Unexpected Compute Engine region: example_custom_module.
   • RESOURCE_LEVEL: Es el nivel de recurso en el que quieres enumerar los hallazgos; organizations, folders o projects.
   • RESOURCE_ID: Es el ID del recurso. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
   • SOURCE_ID: Es el ID de origen de tu Módulos personalizados de Event Threat Detection.

Console

1. Consulta la módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecerán en una lista.
2. Opcional: Para ver solo los módulos personalizados, en el campo Filtro, ingresa Tipo:Personalizado

Los resultados incluyen lo siguiente:

• Todos los módulos personalizados de Event Threat Detection.
• Todos los módulos personalizados heredados de Event Threat Detection. Por ejemplo, si estás en la vista de proyecto, los módulos personalizados creados en las carpetas superiores y la organización de ese proyecto están incluidos en los resultados.
• Todos los módulos personalizados subordinados de Event Threat Detection creados en recursos secundarios. Por ejemplo, si estás en la vista de organización, los módulos personalizados que se crearon en carpetas y proyectos dentro de esa organización, se incluyen en los resultados.

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• RESOURCE_FLAG: El permiso en el que deseas enumerar módulos personalizados; organization, folder o project.
• RESOURCE_ID: Es el ID del recurso. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

Los resultados incluyen lo siguiente:

• Todos los módulos personalizados de Event Threat Detection.
• Todos los módulos personalizados heredados de Event Threat Detection. Por ejemplo, cuando enumeras módulos personalizados a nivel de proyecto, Los módulos creados en las carpetas superiores y la organización de ese proyecto se incluidos en los resultados.

Cada elemento de los resultados incluye el nombre, el estado y propiedades. Las propiedades difieren para cada módulo.

El nombre de cada módulo contiene su ID de módulo personalizado. Muchos gcloud las operaciones de esta página requieren el ID del módulo personalizado.

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

Console

Consulta Habilitar o inhabilitar un módulo.

Cuando inhabilitas un módulo personalizado heredado, los cambios solo se aplican a tu nivel de recursos actual. El módulo personalizado original que reside en el superior no se ve afectado. Por ejemplo, si estás a nivel de proyecto y inhabilitar un módulo personalizado que se heredó de la carpeta superior, el módulo solo se inhabilita a nivel de proyecto.

No puedes inhabilitar un módulo personalizado descendiente. Por ejemplo, si estás en el organización, no puedes inhabilitar un módulo personalizado creado en el a nivel de proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: El ID numérico del Módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes Obtén el ID numérico del campo name del módulo personalizado correspondiente. cuando veas la lista de módulos personalizados.
• RESOURCE_FLAG: El permiso del recurso superior dónde reside el módulo personalizado; organization, folder o project
• RESOURCE_ID: Es el ID del recurso superior. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

Console

Consulta Habilitar o inhabilitar un módulo.

Cuando habilitas un módulo personalizado heredado, los cambios solo se aplican a tu nivel de recursos actual. El módulo personalizado original que reside en el superior no se ve afectado. Por ejemplo, si estás a nivel de proyecto y habilita un módulo personalizado que se heredó de la carpeta superior, el módulo módulo solo está habilitado a nivel de proyecto.

No puedes habilitar un módulo personalizado descendiente. Por ejemplo, si estás en el organización, no puedes habilitar un módulo personalizado creado en el a nivel de proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico de Event Threat Detection. módulo personalizado, por ejemplo, 1234567890. Puedes obtener el ID numérico en el campo name del módulo personalizado correspondiente cuando veas la lista de módulos personalizados.
• RESOURCE_FLAG: El permiso del recurso superior dónde reside el módulo personalizado; organization, folder o project
• RESOURCE_ID: Es el ID del recurso superior. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

Console

Solo puedes editar módulos personalizados residenciales. Por ejemplo, si estás en el organización, puedes editar solo los módulos personalizados que se crearon en a nivel de la organización.

1. Consulta la módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecerán en una lista.
2. Busca el módulo personalizado que quieres editar.
3. Para ese módulo personalizado, haz clic en more_vert. Acciones > Editar.
4. Edita el módulo personalizado según sea necesario.
5. Haz clic en Guardar.

gcloud

Para actualizar un módulo, ejecuta el siguiente comando e incluye el módulo actualizado plantilla JSON:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico de Event Threat Detection. módulo personalizado, por ejemplo, 1234567890. Puedes obtener el ID numérico en el campo name del módulo personalizado correspondiente cuando veas la lista de módulos personalizados.
• RESOURCE_FLAG: El permiso del recurso superior dónde reside el módulo personalizado; organization, folder o project
• RESOURCE_ID: Es el ID del recurso superior. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
• PATH_TO_JSON_FILE: el archivo JSON que contiene las propiedades del módulo personalizado Definición JSON.

Console

1. Consulta la módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecerán en una lista.
2. Busca el módulo personalizado en la lista.

El estado del módulo personalizado se muestra en la columna Status.

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: El ID numérico del Módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes Obtén el ID numérico del campo name del módulo personalizado correspondiente. cuando veas la lista de módulos personalizados.
• RESOURCE_FLAG: El permiso del recurso superior dónde reside el módulo personalizado; organization, folder o project
• RESOURCE_ID: Es el ID del recurso superior. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

El resultado se parece al siguiente y, además, incluye el estado del módulo y propiedades. Las propiedades son diferentes para cada módulo.

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

Console

No puedes borrar los módulos personalizados heredados. Por ejemplo, si estás en el vista de proyecto, no puedes borrar los módulos personalizados que se crearon en a nivel de la organización o la carpeta.

Para borrar un módulo personalizado con la consola de Google Cloud, haz lo siguiente: lo siguiente:

1. Consulta la módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecerán en una lista.
2. Busca el módulo personalizado que deseas borrar.
3. Para ese módulo personalizado, haz clic en more_vert. Acciones > Borrar. Aparecerá un mensaje que te pedirá confirmar la eliminación.
4. Haz clic en Borrar.

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: El ID numérico del Módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes Obtén el ID numérico del campo name del módulo personalizado correspondiente. cuando veas la lista de módulos personalizados.
• RESOURCE_FLAG: El permiso del recurso superior dónde reside el módulo personalizado; organization, folder o project
• RESOURCE_ID: Es el ID del recurso superior. es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.