Membuat dan mengelola modul kustom untuk Event Threat Detection

Konsol

1. Melihat modul layanan Event Threat Detection. Modul standar dan kustom akan muncul dalam daftar.
2. Klik Create module.
3. Klik template modul yang ingin Anda gunakan.
4. Klik Pilih.
5. Untuk Module name, masukkan nama tampilan untuk template baru. Nama tidak boleh melebihi 128 karakter dan hanya boleh berisi karakter alfanumerik dan garis bawah—misalnya, example_custom_module.
6. Pilih atau tambahkan nilai parameter yang diminta. Parameter berbeda untuk setiap modul. Misalnya, jika Anda memilih template modul Configurable allowed Compute Engine region, Anda memilih satu atau beberapa region. Atau, berikan daftar dalam format JSON.
7. Klik Berikutnya.
8. Untuk Keparahan, masukkan tingkat keparahan yang ingin Anda tetapkan ke temuan yang dihasilkan oleh modul kustom baru.
9. Untuk Deskripsi, masukkan deskripsi untuk modul kustom baru.
10. Untuk Langkah berikutnya, masukkan tindakan yang disarankan dalam format teks biasa. Setiap jeda paragraf yang Anda tambahkan akan diabaikan.
11. Klik Buat.

gcloud

1. Buat file JSON yang berisi definisi modul kustom. Gunakan template di Modul dan template kustom sebagai panduan Anda.

2. Buat modul kustom dengan mengirimkan file JSON dalam perintah gcloud:

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Ganti kode berikut:

• RESOURCE_FLAG: cakupan resource induk tempat modul kustom akan dibuat; salah satu dari organization, folder, atau project.
• RESOURCE_ID: ID resource dari resource induk; yaitu, ID organisasi, ID folder, atau ID project.
• DISPLAY_NAME: nama tampilan untuk template baru. Nama tidak boleh melebihi 128 karakter dan hanya boleh berisi karakter alfanumerik dan garis bawah.
• MODULE_TYPE: jenis modul kustom yang ingin Anda buat—misalnya, CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION.
• PATH_TO_JSON_FILE: file JSON yang berisi definisi JSON modul kustom berdasarkan template modul.

Terraform

resource "google_scc_management_organization_event_threat_detection_custom_module" "example" {
  organization = "123456789"
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  type = "CONFIGURABLE_BAD_IP"
  description = "My Event Threat Detection Custom Module"
  config = jsonencode({
    "metadata": {
      "severity": "LOW",
      "description": "Flagged by Forcepoint as malicious",
      "recommendation": "Contact the owner of the relevant project."
    },
    "ips": [
      "192.0.2.1",
      "192.0.2.0/24"
    ]
  })
}

Konsol

1. Di konsol Google Cloud , buka halaman Temuan di Security Command Center.

   Buka Temuan

2. Pilih project atau organisasi Google Cloud Anda.
3. Di bagian Filter cepat, di subbagian Nama tampilan sumber, pilih Modul Kustom Deteksi Ancaman Peristiwa. Hasil kueri temuan diperbarui untuk menampilkan hanya temuan dari sumber ini.
4. Untuk melihat detail temuan tertentu, klik nama temuan di kolom Kategori. Panel detail untuk temuan akan terbuka dan menampilkan tab Ringkasan.
5. Di tab Ringkasan, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan tersebut.
6. Opsional: Untuk melihat definisi JSON lengkap dari temuan, klik tab JSON.

gcloud

Untuk menggunakan gcloud CLI guna melihat temuan, lakukan hal berikut:

1. Buka jendela terminal.

2. Mendapatkan ID sumber untuk modul kustom Event Threat Detection. Perintah bergantung pada apakah Anda mengaktifkan Security Command Center di level organisasi atau level project:

   gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
       --source-display-name='Event Threat Detection Custom Modules'
   

   Ganti kode berikut:

   • RESOURCE_LEVEL: tingkat aktivasi instance Security Command Center Anda; salah satu dari organizations atau projects.
   • RESOURCE_ID: ID resource organisasi atau project Anda.

   Outputnya akan terlihat seperti berikut. SOURCE_ID adalah ID yang ditetapkan server untuk sumber keamanan.

   canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   description: Provider used by Event Threat Detection Custom Modules
   displayName: Event Threat Detection Custom Modules
   name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID

3. Untuk mencantumkan semua temuan untuk modul kustom Event Threat Detection, jalankan perintah berikut dengan ID sumber dari langkah sebelumnya:

   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
   

   Ganti kode berikut:

   • RESOURCE_LEVEL: tingkat resource tempat Anda ingin mencantumkan temuan; salah satu dari organizations, folders, atau projects.
   • RESOURCE_ID: ID resource; yaitu, ID organisasi, ID folder, atau ID project.
   • SOURCE_ID: ID sumber untuk modul kustom Event Threat Detection.

4. Untuk mencantumkan temuan untuk modul kustom tertentu, jalankan perintah berikut:

   MODULE="CUSTOM_MODULE_CATEGORY_NAME"
   FILTER="category=\"$MODULE\""
   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
   

   Ganti kode berikut:

   • CUSTOM_MODULE_CATEGORY_NAME: nama kategori modul kustom. Nama ini terdiri dari kategori temuan jenis modul (seperti yang tercantum dalam Modul dan template kustom) dan nama tampilan modul dengan garis bawah, bukan spasi. Misalnya, nama kategori modul kustom dapat berupa Unexpected Compute Engine region: example_custom_module.
   • RESOURCE_LEVEL: tingkat resource tempat Anda ingin mencantumkan temuan; salah satu dari organizations, folders, atau projects.
   • RESOURCE_ID: ID resource; yaitu, ID organisasi, ID folder, atau ID project.
   • SOURCE_ID: ID sumber modul kustom Event Threat Detection Anda.

Konsol

1. Melihat modul layanan Event Threat Detection. Modul standar dan kustom akan muncul dalam daftar.
2. Opsional: Untuk hanya melihat modul kustom, di kolom Filter, masukkan Type:Custom.

Hasilnya mencakup:

• Semua modul kustom Event Threat Detection untuk pengguna rumahan.
• Semua modul kustom Event Threat Detection yang diwarisi. Misalnya, jika Anda berada di tampilan project, modul kustom yang dibuat di folder induk dan organisasi project tersebut disertakan dalam hasil.
• Semua modul kustom Event Threat Detection turunan yang dibuat di resource turunan. Misalnya, jika Anda berada di tampilan organisasi, modul kustom yang dibuat di folder dan project dalam organisasi tersebut akan disertakan dalam hasil.

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

Ganti kode berikut:

• RESOURCE_FLAG: cakupan tempat Anda ingin mencantumkan modul kustom; salah satu dari organization, folder, atau project.
• RESOURCE_ID: ID resource; yaitu, ID organisasi, ID folder, atau ID project.

Hasilnya mencakup:

• Semua modul kustom Event Threat Detection untuk pengguna rumahan.
• Semua modul kustom Event Threat Detection yang diwarisi. Misalnya, saat Anda mencantumkan modul kustom di level project, modul kustom yang dibuat di folder induk dan organisasi project tersebut akan disertakan dalam hasilnya.

Setiap item dalam hasil mencakup nama, status, dan properti modul. Properti berbeda untuk setiap modul.

Nama setiap modul berisi ID modul kustomnya. Banyak operasi gcloud di halaman ini memerlukan ID modul kustom.

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

Konsol

Lihat Mengaktifkan atau menonaktifkan modul.

Saat Anda menonaktifkan modul kustom yang diwarisi, perubahan hanya diterapkan ke tingkat resource saat ini. Modul kustom asli yang berada di tingkat induk tidak terpengaruh. Misalnya, jika Anda berada di tingkat project, dan Anda menonaktifkan modul kustom yang diwarisi dari folder induk, modul kustom hanya dinonaktifkan di tingkat project.

Anda tidak dapat menonaktifkan modul kustom turunan. Misalnya, jika Anda berada di tampilan organisasi, Anda tidak dapat menonaktifkan modul kustom yang dibuat di level project.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

Ganti kode berikut:

• CUSTOM_MODULE_ID: ID numerik modul kustom Deteksi Ancaman Peristiwa—misalnya, 1234567890. Anda dapat mendapatkan ID numerik dari kolom name modul kustom yang relevan saat Anda melihat daftar modul kustom.
• RESOURCE_FLAG: cakupan resource induk tempat modul kustom berada; salah satu dari organization, folder, atau project.
• RESOURCE_ID: ID resource induk; yaitu, ID organisasi, ID folder, atau ID project.

Konsol

Lihat Mengaktifkan atau menonaktifkan modul.

Saat Anda mengaktifkan modul kustom yang diwariskan, perubahan Anda hanya diterapkan ke tingkat resource saat ini. Modul kustom asli yang berada di tingkat induk tidak terpengaruh. Misalnya, jika Anda berada di level project, dan Anda mengaktifkan modul kustom yang diwarisi dari folder induk, modul kustom hanya diaktifkan di level project.

Anda tidak dapat mengaktifkan modul kustom turunan. Misalnya, jika Anda berada di tampilan organisasi, Anda tidak dapat mengaktifkan modul kustom yang dibuat di level project.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

Ganti kode berikut:

• CUSTOM_MODULE_ID: ID numerik modul kustom Event Threat Detection—misalnya, 1234567890. Anda bisa mendapatkan ID numerik dari kolom name pada modul kustom yang relevan saat Anda melihat daftar modul kustom.
• RESOURCE_FLAG: cakupan resource induk tempat modul kustom berada; salah satu dari organization, folder, atau project.
• RESOURCE_ID: ID resource induk; yaitu, ID organisasi, ID folder, atau ID project.

Konsol

Anda hanya dapat mengedit modul kustom residensial. Misalnya, jika Anda berada di tampilan organisasi, Anda hanya dapat mengedit modul kustom yang dibuat di tingkat organisasi.

1. Melihat modul layanan Event Threat Detection. Modul standar dan kustom akan muncul dalam daftar.
2. Temukan modul kustom yang ingin Anda edit.
3. Untuk modul kustom tersebut, klik more_vert Tindakan > Edit.
4. Edit modul kustom sesuai kebutuhan.
5. Klik Simpan.

gcloud

Untuk mengupdate modul, jalankan perintah berikut dan sertakan JSON template modul yang diupdate:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Ganti kode berikut:

• CUSTOM_MODULE_ID: ID numerik modul kustom Event Threat Detection—misalnya, 1234567890. Anda bisa mendapatkan ID numerik dari kolom name pada modul kustom yang relevan saat Anda melihat daftar modul kustom.
• RESOURCE_FLAG: cakupan resource induk tempat modul kustom berada; salah satu dari organization, folder, atau project.
• RESOURCE_ID: ID resource induk; yaitu, ID organisasi, ID folder, atau ID project.
• PATH_TO_JSON_FILE: file JSON yang berisi definisi JSON modul kustom.

Konsol

1. Melihat modul layanan Event Threat Detection. Modul standar dan kustom akan muncul dalam daftar.
2. Temukan modul kustom dari daftar.

Status modul kustom ditampilkan di kolom Status.

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Ganti kode berikut:

• CUSTOM_MODULE_ID: ID numerik modul kustom Deteksi Ancaman Peristiwa—misalnya, 1234567890. Anda dapat mendapatkan ID numerik dari kolom name modul kustom yang relevan saat Anda melihat daftar modul kustom.
• RESOURCE_FLAG: cakupan resource induk tempat modul kustom berada; salah satu dari organization, folder, atau project.
• RESOURCE_ID: ID resource induk; yaitu, ID organisasi, ID folder, atau ID project.

Outputnya akan terlihat seperti berikut dan mencakup status serta properti modul. Properti berbeda untuk setiap modul.

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

Konsol

Anda tidak dapat menghapus modul kustom yang diwariskan. Misalnya, jika Anda berada di tampilan project, Anda tidak dapat menghapus modul kustom yang dibuat di tingkat folder atau organisasi.

Untuk menghapus modul kustom melalui Google Cloud konsol, lakukan hal berikut:

1. Melihat modul layanan Event Threat Detection. Modul standar dan kustom akan muncul dalam daftar.
2. Temukan modul kustom yang ingin Anda hapus.
3. Untuk modul kustom tersebut, klik more_vert Tindakan > Hapus. Pesan akan muncul yang meminta Anda mengonfirmasi penghapusan.
4. Klik Hapus.

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Ganti kode berikut:

• CUSTOM_MODULE_ID: ID numerik modul kustom Deteksi Ancaman Peristiwa—misalnya, 1234567890. Anda dapat mendapatkan ID numerik dari kolom name modul kustom yang relevan saat Anda melihat daftar modul kustom.
• RESOURCE_FLAG: cakupan resource induk tempat modul kustom berada; salah satu dari organization, folder, atau project.
• RESOURCE_ID: ID resource induk; yaitu, ID organisasi, ID folder, atau ID project.