Crea y administra módulos personalizados para Event Threat Detection

Console

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Haz clic en Crear módulo.
3. Haz clic en la plantilla de módulo que deseas usar.
4. Haz clic en Seleccionar.
5. En Nombre del módulo, ingresa un nombre visible para la plantilla nueva. El nombre no debe superar los 128 caracteres y debe contener solo caracteres alfanuméricos y guiones bajos, por ejemplo, example_custom_module.
6. Selecciona o agrega los valores de los parámetros solicitados. Los parámetros difieren para cada módulo. Por ejemplo, si seleccionaste la plantilla de módulo Configurable allowed Compute Engine region, debes seleccionar una o más regiones. Como alternativa, proporciona la lista en formato JSON.
7. Haz clic en Siguiente.
8. En Gravedad, ingresa el nivel de gravedad que deseas asignar a los hallazgos que genera el nuevo módulo personalizado.
9. En Descripción, ingresa una descripción para el nuevo módulo personalizado.
10. En Próximos pasos, ingresa las acciones recomendadas en formato de texto sin formato. Se ignorarán los saltos de párrafo que agregues.
11. Haz clic en Crear.

gcloud

1. Crea un archivo JSON que contenga la definición del módulo personalizado. Usa las plantillas de Módulos y plantillas personalizados como guía.

2. Para crear el módulo personalizado, envía el archivo JSON en un comando gcloud:

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

• RESOURCE_FLAG: Es el permiso del recurso superior en el que se creará el módulo personalizado, uno de organization, folder o project.
• RESOURCE_ID: El ID del recurso superior, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto
• DISPLAY_NAME: Es un nombre visible para la plantilla nueva. El nombre no debe exceder los 128 caracteres y debe contener solo caracteres alfanuméricos y guiones bajos.
• MODULE_TYPE: El tipo de módulo personalizado que deseas crear, por ejemplo, CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION.
• PATH_TO_JSON_FILE: Es el archivo JSON que contiene la definición JSON del módulo personalizado según la plantilla del módulo.

Console

1. En la consola de Google Cloud, ve a la página Resultados de Security Command Center.

   Ir a hallazgos

2. Selecciona tu organización o proyecto de Google Cloud.
3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Módulos personalizados de detección de amenazas en eventos. Los resultados de la búsqueda de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
4. Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en la columna Categoría. Se abre el panel de detalles del hallazgo y se muestra la pestaña Resumen.
5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para solucionar el problema.
6. Para ver la definición completa de JSON del resultado, haz clic en la pestaña JSON (opcional).

gcloud

Para usar gcloud CLI y ver los resultados, haz lo siguiente:

1. Abre una ventana de terminal.

2. Obtén el ID de la fuente para los módulos personalizados de Event Threat Detection. El comando depende de si activaste Security Command Center a nivel de la organización o del proyecto:

   gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
       --source-display-name='Event Threat Detection Custom Modules'
   

   Reemplaza lo siguiente:

   • RESOURCE_LEVEL: Es el nivel de activación de tu instancia de Security Command Center, uno de organizations o projects.
   • RESOURCE_ID: El ID de recurso de tu organización o proyecto.

   La salida se ve de la siguiente manera: SOURCE_ID es un ID asignado por el servidor para las fuentes de seguridad.

   canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   description: Provider used by Event Threat Detection Custom Modules
   displayName: Event Threat Detection Custom Modules
   name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID

3. Para enumerar todos los resultados de los módulos personalizados de Detección de amenazas de eventos, ejecuta el siguiente comando con el ID de fuente del paso anterior:

   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
   

   Reemplaza lo siguiente:

   • RESOURCE_LEVEL: Es el nivel de recurso en el que deseas enumerar los resultados. Puede ser organizations, folders o projects.
   • RESOURCE_ID: El ID del recurso, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
   • SOURCE_ID: Es el ID de origen de los módulos personalizados de Event Threat Detection.

4. Para enumerar los resultados de un módulo personalizado específico, ejecuta el siguiente comando:

   MODULE="CUSTOM_MODULE_CATEGORY_NAME"
   FILTER="category=\"$MODULE\""
   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
   

   Reemplaza lo siguiente:

   • CUSTOM_MODULE_CATEGORY_NAME: Es el nombre de la categoría del módulo personalizado. Este nombre se compone de la categoría de hallazgo del tipo de módulo (como se indica en Módulos y plantillas personalizados) y el nombre visible del módulo con guiones bajos en lugar de espacios. Por ejemplo, el nombre de la categoría de un módulo personalizado puede ser Unexpected Compute Engine region: example_custom_module.
   • RESOURCE_LEVEL: Es el nivel de recurso en el que deseas enumerar los resultados. Puede ser organizations, folders o projects.
   • RESOURCE_ID: El ID del recurso, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.
   • SOURCE_ID: El ID de origen de tus módulos personalizados de Event Threat Detection.

Console

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Opcional: Para ver solo los módulos personalizados, en el campo Filtro, ingresa Tipo:Personalizado.

Los resultados incluyen lo siguiente:

• Todos los módulos personalizados de Event Threat Detection para uso residencial
• Todos los módulos personalizados heredados de Event Threat Detection Por ejemplo, si estás en la vista del proyecto, los módulos personalizados creados en las carpetas y la organización superiores de ese proyecto se incluyen en los resultados.
• Todos los módulos personalizados de Event Threat Detection descendientes creados en recursos secundarios Por ejemplo, si estás en la vista de la organización, los módulos personalizados que se crearon en carpetas y proyectos de esa organización se incluyen en los resultados.

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• RESOURCE_FLAG: Es el permiso en el que deseas enumerar los módulos personalizados, uno de organization, folder o project.
• RESOURCE_ID: El ID del recurso, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto.

Los resultados incluyen lo siguiente:

• Todos los módulos personalizados de Event Threat Detection para uso residencial
• Todos los módulos personalizados heredados de Event Threat Detection Por ejemplo, cuando enumeras módulos personalizados a nivel del proyecto, los módulos personalizados que se crean en las carpetas y la organización superiores de ese proyecto se incluyen en los resultados.

Cada elemento de los resultados incluye el nombre, el estado y las propiedades del módulo. Las propiedades difieren para cada módulo.

El nombre de cada módulo contiene su ID de módulo personalizado. Muchas operaciones de gcloud en esta página requieren el ID del módulo personalizado.

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

Console

Consulta Habilita o inhabilita un módulo.

Cuando inhabilitas un módulo personalizado heredado, los cambios solo se aplican al nivel de recursos actual. El módulo personalizado original que reside en el nivel superior no se ve afectado. Por ejemplo, si estás a nivel del proyecto y inhabilitas un módulo personalizado que se heredó de la carpeta superior, el módulo personalizado solo se inhabilita a nivel del proyecto.

No puedes inhabilitar un módulo personalizado secundario. Por ejemplo, si estás en la vista de organización, no puedes inhabilitar un módulo personalizado que se creó a nivel del proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando consultas la lista de módulos personalizados.
• RESOURCE_FLAG: Es el permiso del recurso superior en el que reside el módulo personalizado, uno de organization, folder o project.
• RESOURCE_ID: El ID del recurso superior, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto

Console

Consulta Habilita o inhabilita un módulo.

Cuando habilitas un módulo personalizado heredado, los cambios solo se aplican al nivel de recurso actual. El módulo personalizado original que reside en el nivel superior no se ve afectado. Por ejemplo, si estás a nivel del proyecto y habilitas un módulo personalizado que se heredó de la carpeta superior, el módulo personalizado solo se habilita a nivel del proyecto.

No puedes habilitar un módulo personalizado secundario. Por ejemplo, si estás en la vista de la organización, no puedes habilitar un módulo personalizado que se creó a nivel del proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando ves la lista de módulos personalizados.
• RESOURCE_FLAG: Es el permiso del recurso superior en el que reside el módulo personalizado, uno de organization, folder o project.
• RESOURCE_ID: El ID del recurso superior, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto

Console

Solo puedes editar módulos personalizados residenciales. Por ejemplo, si estás en la vista de la organización, solo puedes editar los módulos personalizados que se crearon a nivel de la organización.

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado que quieres editar.
3. En ese módulo personalizado, haz clic en more_vert Acciones > Editar.
4. Edita el módulo personalizado según sea necesario.
5. Haz clic en Guardar.

gcloud

Para actualizar un módulo, ejecuta el siguiente comando y, luego, incluye la plantilla de módulo actualizada en formato JSON:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando ves la lista de módulos personalizados.
• RESOURCE_FLAG: Es el permiso del recurso superior en el que reside el módulo personalizado, uno de organization, folder o project.
• RESOURCE_ID: El ID del recurso superior, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto
• PATH_TO_JSON_FILE: Es el archivo JSON que contiene la definición en JSON del módulo personalizado.

Console

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado en la lista.

El estado del módulo personalizado se muestra en la columna Estado.

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando consultas la lista de módulos personalizados.
• RESOURCE_FLAG: Es el permiso del recurso superior en el que reside el módulo personalizado, uno de organization, folder o project.
• RESOURCE_ID: El ID del recurso superior, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto

El resultado se ve de la siguiente manera y, además, incluye el estado y las propiedades del módulo. Las propiedades difieren para cada módulo.

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

Console

No puedes borrar los módulos personalizados heredados. Por ejemplo, si estás en la vista de proyecto, no puedes borrar los módulos personalizados que se crearon a nivel de la carpeta o la organización.

Para borrar un módulo personalizado a través de la consola de Google Cloud, haz lo siguiente:

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado que quieres borrar.
3. Para ese módulo personalizado, haz clic en more_vert Acciones > Borrar. Aparecerá un mensaje en el que se te pedirá que confirmes la eliminación.
4. Haz clic en Borrar.

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

• CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando consultas la lista de módulos personalizados.
• RESOURCE_FLAG: Es el permiso del recurso superior en el que reside el módulo personalizado, uno de organization, folder o project.
• RESOURCE_ID: El ID del recurso superior, es decir, el ID de la organización, el ID de la carpeta o el ID del proyecto