Creare e gestire moduli personalizzati per Event Threat Detection

Console

1. Visualizza i moduli del servizio Event Threat Detection. I moduli predefiniti e personalizzati vengono visualizzati in un elenco.
2. Fai clic su Crea modulo.
3. Fai clic sul modello di modulo che vuoi utilizzare.
4. Fai clic su Seleziona.
5. In Nome modulo, inserisci un nome visualizzato per il nuovo modello. Il nome non deve superare i 128 caratteri e deve contenere solo caratteri alfanumerici e trattini bassi, ad esempio example_custom_module.
6. Seleziona o aggiungi i valori dei parametri richiesti. I parametri sono diversi per ogni modulo. Ad esempio, se hai selezionato il modello di modulo Configurable allowed Compute Engine region, seleziona una o più regioni. In alternativa, fornisci l'elenco in formato JSON.
7. Fai clic su Avanti.
8. In Gravità, inserisci il livello di gravità da assegnare ai risultati generati dal nuovo modulo personalizzato.
9. In Descrizione, inserisci una descrizione per il nuovo modulo personalizzato.
10. In Passaggi successivi, inserisci le azioni consigliate in formato di testo normale. Eventuali interruzioni di paragrafo aggiunte vengono ignorate.
11. Fai clic su Crea.

gcloud

1. Crea un file JSON contenente la definizione del modulo personalizzato. Utilizza i modelli in Modelli e moduli personalizzati come guida.

2. Crea il modulo personalizzato inviando il file JSON in un comando gcloud:

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Sostituisci quanto segue:

• RESOURCE_FLAG: l'ambito della risorsa principale in cui verrà creato il modulo personalizzato; uno tra organization, folder o project.
• RESOURCE_ID: l'ID della risorsa principale, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.
• DISPLAY_NAME: un nome visualizzato per il nuovo modello. Il nome non deve superare i 128 caratteri e deve contenere solo caratteri alfanumerici e trattini bassi.
• MODULE_TYPE: il tipo di modulo personalizzato che vuoi creare, ad esempio CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION.
• PATH_TO_JSON_FILE: il file JSON contenente la definizione JSON del modulo personalizzato in base al modello del modulo.

Console

1. Nella console Google Cloud, vai alla pagina Risultati di Security Command Center.

   Vai a Risultati

2. Seleziona il tuo progetto o la tua organizzazione Google Cloud.
3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato dell'origine, seleziona Moduli personalizzati per il rilevamento delle minacce basate sugli eventi. I risultati della query sui risultati vengono aggiornati in modo da mostrare solo i risultati di questa origine.
4. Per visualizzare i dettagli di un determinato riscontro, fai clic sul nome del riscontro nella colonna Categoria. Viene visualizzato il riquadro dei dettagli del risultato e la scheda Riepilogo.
5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi svolgere per risolvere il problema.
6. (Facoltativo) Per visualizzare la definizione JSON completa del rilevamento, fai clic sulla scheda JSON.

gcloud

Per utilizzare gcloud CLI per visualizzare i risultati, segui questi passaggi:

1. Apri una finestra del terminale.

2. Recupera l'ID origine per i moduli personalizzati di Event Threat Detection. Il comando dipende dal fatto che tu abbia attivato Security Command Center a livello di organizzazione o di progetto:

   gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
       --source-display-name='Event Threat Detection Custom Modules'
   

   Sostituisci quanto segue:

   • RESOURCE_LEVEL: il livello di attivazione dell'istanza Security Command Center; uno dei valori organizations o projects.
   • RESOURCE_ID: l'ID risorsa della tua organizzazione o del tuo progetto.

   L'output è simile al seguente. SOURCE_ID è un ID assegnato dal server per le origini di sicurezza.

   canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   description: Provider used by Event Threat Detection Custom Modules
   displayName: Event Threat Detection Custom Modules
   name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID

3. Per elencare tutti i risultati per i moduli personalizzati di Event Threat Detection, esegui il seguente comando con l'ID origine del passaggio precedente:

   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
   

   Sostituisci quanto segue:

   • RESOURCE_LEVEL: il livello della risorsa in cui vuoi elencare i risultati; uno dei valori organizations, folders o projects.
   • RESOURCE_ID: l'ID della risorsa, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.
   • SOURCE_ID: l'ID origine per i moduli personalizzati di Event Threat Detection.

4. Per elencare i risultati per un modulo personalizzato specifico, esegui il seguente comando:

   MODULE="CUSTOM_MODULE_CATEGORY_NAME"
   FILTER="category=\"$MODULE\""
   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
   

   Sostituisci quanto segue:

   • CUSTOM_MODULE_CATEGORY_NAME: il nome della categoria del modulo personalizzato. Questo nome è composto dalla categoria di risultati del tipo di modulo (come elencato in Modelli e moduli personalizzati) e dal nome visualizzato del modulo con i trattini bassi al posto degli spazi. Ad esempio, il nome della categoria di un modulo personalizzato può essere Unexpected Compute Engine region: example_custom_module.
   • RESOURCE_LEVEL: il livello della risorsa in cui vuoi elencare i risultati; uno dei valori organizations, folders o projects.
   • RESOURCE_ID: l'ID della risorsa, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.
   • SOURCE_ID: l'ID origine dei moduli personalizzati di Event Threat Detection.

Console

1. Visualizza i moduli del servizio Event Threat Detection. I moduli predefiniti e personalizzati vengono visualizzati in un elenco.
2. (Facoltativo) Per visualizzare solo i moduli personalizzati, inserisci Tipo:Personalizzato nel campo Filtro.

I risultati includono:

• Tutti i moduli personalizzati di Event Threat Detection per le case.
• Tutti i moduli personalizzati di Event Threat Detection ereditati. Ad esempio, se sei nella visualizzazione del progetto, i moduli personalizzati creati nelle cartelle e nell'organizzazione principali del progetto sono inclusi nei risultati.
• Tutti i moduli personalizzati di Event Threat Detection discendenti creati nelle risorse secondarie. Ad esempio, se sei nella visualizzazione dell'organizzazione, i moduli personalizzati che sono stati creati nelle cartelle e nei progetti di quell'organizzazione sono inclusi nei risultati.

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

Sostituisci quanto segue:

• RESOURCE_FLAG: l'ambito in cui vuoi elencare i moduli personalizzati; uno dei valori organization, folder o project.
• RESOURCE_ID: l'ID della risorsa, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.

I risultati includono:

• Tutti i moduli personalizzati di Event Threat Detection per le case.
• Tutti i moduli personalizzati di Event Threat Detection ereditati. Ad esempio, quando elenchi i moduli personalizzati a livello di progetto, i moduli personalizzati creati nelle cartelle principali e nell'organizzazione del progetto sono inclusi nei risultati.

Ogni elemento nei risultati include il nome, lo stato e le proprietà del modulo. Le proprietà sono diverse per ogni modulo.

Il nome di ogni modulo contiene il relativo ID modulo personalizzato. Molte operazioni gcloud in questa pagina richiedono l'ID modulo personalizzato.

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

Console

Consulta Attivare o disattivare un modulo.

Quando disattivi un modulo personalizzato ereditato, le modifiche vengono applicate solo al livello di risorsa corrente. Il modulo personalizzato originale al livello di genitore non è interessato. Ad esempio, se sei a livello di progetto e disattivi un modulo personalizzato ereditato dalla cartella principale, il modulo personalizzato viene disattivato solo a livello di progetto.

Non puoi disattivare un modulo personalizzato secondario. Ad esempio, se sei nella visualizzazione dell'organizzazione, non puoi disattivare un modulo personalizzato creato a livello di progetto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

Sostituisci quanto segue:

• CUSTOM_MODULE_ID: l'ID numerico del modulo personalizzato Event Threat Detection, ad esempio 1234567890. Puoi recuperare l'ID numerico dal campo name del modulo personalizzato pertinente quando visualizzi l'elenco dei moduli personalizzati.
• RESOURCE_FLAG: l'ambito della risorsa principale dove risiede il modulo personalizzato; uno dei valori organization, folder o project.
• RESOURCE_ID: l'ID della risorsa principale, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.

Console

Consulta Attivare o disattivare un modulo.

Quando attivi un modulo personalizzato ereditato, le modifiche vengono applicate solo al livello di risorsa corrente. Il modulo personalizzato originale al livello di genitore non è interessato. Ad esempio, se sei a livello di progetto e attivi un modulo personalizzato ereditato dalla cartella principale, il modulo personalizzato viene attivato solo a livello di progetto.

Non puoi attivare un modulo personalizzato secondario. Ad esempio, se ti trovi nella visualizzazione dell'organizzazione, non puoi attivare un modulo personalizzato creato a livello di progetto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

Sostituisci quanto segue:

• CUSTOM_MODULE_ID: l'ID numerico del modulo personalizzato Event Threat Detection, ad esempio 1234567890. Puoi ottenere l'ID numerico dal campo name del modulo personalizzato pertinente quando visualizzi l'elenco dei moduli personalizzati.
• RESOURCE_FLAG: l'ambito della risorsa principale dove risiede il modulo personalizzato; uno dei valori organization, folder o project.
• RESOURCE_ID: l'ID della risorsa principale, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.

Console

Puoi modificare solo i moduli personalizzati residenziali. Ad esempio, se sei nella vista dell'organizzazione, puoi modificare solo i moduli personalizzati creati a livello di organizzazione.

1. Visualizza i moduli del servizio Event Threat Detection. I moduli predefiniti e personalizzati vengono visualizzati in un elenco.
2. Trova il modulo personalizzato che vuoi modificare.
3. Per il modulo personalizzato, fai clic su more_vert Azioni > Modifica.
4. Modifica il modulo personalizzato in base alle esigenze.
5. Fai clic su Salva.

gcloud

Per aggiornare un modulo, esegui il seguente comando e includi il modello JSON del modulo aggiornato:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Sostituisci quanto segue:

• CUSTOM_MODULE_ID: l'ID numerico del modulo personalizzato Event Threat Detection, ad esempio 1234567890. Puoi ottenere l'ID numerico dal campo name del modulo personalizzato pertinente quando visualizzi l'elenco dei moduli personalizzati.
• RESOURCE_FLAG: l'ambito della risorsa principale dove risiede il modulo personalizzato; uno dei valori organization, folder o project.
• RESOURCE_ID: l'ID della risorsa principale, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.
• PATH_TO_JSON_FILE: il file JSON contenente la definizione JSON del modulo personalizzato.

Console

1. Visualizza i moduli del servizio Event Threat Detection. I moduli predefiniti e personalizzati vengono visualizzati in un elenco.
2. Individua il modulo personalizzato nell'elenco.

Lo stato del modulo personalizzato è visualizzato nella colonna Stato.

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Sostituisci quanto segue:

• CUSTOM_MODULE_ID: l'ID numerico del modulo personalizzato Event Threat Detection, ad esempio 1234567890. Puoi recuperare l'ID numerico dal campo name del modulo personalizzato pertinente quando visualizzi l'elenco dei moduli personalizzati.
• RESOURCE_FLAG: l'ambito della risorsa principale dove risiede il modulo personalizzato; uno dei valori organization, folder o project.
• RESOURCE_ID: l'ID della risorsa principale, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.

L'output è simile al seguente e include lo stato e le proprietà del modulo. Le proprietà sono diverse per ogni modulo.

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

Console

Non puoi eliminare i moduli personalizzati ereditati. Ad esempio, se sei nella visualizzazione del progetto, non puoi eliminare i moduli personalizzati creati a livello di cartella o organizzazione.

Per eliminare un modulo personalizzato tramite la console Google Cloud, segui questi passaggi:

1. Visualizza i moduli del servizio Event Threat Detection. I moduli predefiniti e personalizzati vengono visualizzati in un elenco.
2. Trova il modulo personalizzato che vuoi eliminare.
3. Per il modulo personalizzato, fai clic su more_vert Azioni > Elimina. Viene visualizzato un messaggio che ti chiede di confermare l'eliminazione.
4. Fai clic su Elimina.

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Sostituisci quanto segue:

• CUSTOM_MODULE_ID: l'ID numerico del modulo personalizzato Event Threat Detection, ad esempio 1234567890. Puoi recuperare l'ID numerico dal campo name del modulo personalizzato pertinente quando visualizzi l'elenco dei moduli personalizzati.
• RESOURCE_FLAG: l'ambito della risorsa principale dove risiede il modulo personalizzato; uno dei valori organization, folder o project.
• RESOURCE_ID: l'ID della risorsa principale, ovvero l'ID organizzazione, l'ID cartella o l'ID progetto.