创建和管理 Event Threat Detection 的自定义模块

控制台

1. 查看 Event Threat Detection 服务的模块。预定义模块和自定义模块会显示在列表中。
2. 点击创建模块。
3. 点击要使用的模块模板。
4. 点击选择。
5. 对于模块名称，输入新模板的显示名称。名称不得超过 128 个字符，并且只能包含字母数字字符和下划线，例如 example_custom_module。
6. 选择或添加所需的参数值。每个模块的参数都不同。例如，如果您选择了 Configurable allowed Compute Engine region 模块模板，则需要选择一个或多个区域。或者，您也可以以 JSON 格式提供列表。
7. 点击下一步。
8. 对于严重级别，输入要为新自定义模块生成的发现结果分配的严重级别。
9. 在说明中，输入新自定义模块的说明。
10. 对于后续步骤，请以纯文本格式输入建议的操作。 您添加的所有段落分隔符号都会被忽略。
11. 点击创建。

gcloud

1. 创建一个包含自定义模块定义的 JSON 文件。以自定义模块和模板中的模板为指导。

2. 通过在 gcloud 命令中发送 JSON 文件来创建自定义模块：

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

替换以下内容：

• RESOURCE_FLAG：将要创建自定义模块的父级资源的范围；可以是 organization、folder 或 project 之一。
• RESOURCE_ID：父级资源的资源 ID；即组织 ID、文件夹 ID 或项目 ID。
• DISPLAY_NAME：新模板的显示名称。名称不得超过 128 个字符，并且只能包含字母数字字符和下划线。
• MODULE_TYPE：您要创建的自定义模块类型，例如 CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION。
• PATH_TO_JSON_FILE：基于模块模板的 JSON 文件，其中包含自定义模块的 JSON 定义。

控制台

1. 在 Google Cloud 控制台中，前往 Security Command Center 的发现结果页面。

   前往“发现结果”页面

2. 选择您的 Google Cloud 项目或组织。
3. 在快速过滤条件部分的来源显示名称子部分中，选择 Event Threat Detection 自定义模块。发现结果的查询结果会更新为仅显示此来源的发现结果。
4. 如需查看特定发现结果的详细信息，请点击类别列中的发现结果名称。 系统会打开发现结果的详细信息面板，并显示摘要标签页。
5. 在摘要标签页上，查看发现结果的详细信息，包括有关检测到的内容、受影响的资源的信息，以及您可以采取的发现结果修复步骤（如果有）。
6. 可选：如需查看发现结果的完整 JSON 定义，请点击 JSON 标签页。

gcloud

如需使用 gcloud CLI 查看发现结果，请执行以下操作：

1. 打开一个终端窗口。

2. 获取 Event Threat Detection 自定义模块的来源 ID。具体命令取决于您是在组织级层还是项目级层激活 Security Command Center：

   gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
       --source-display-name='Event Threat Detection Custom Modules'
   

   替换以下内容：

   • RESOURCE_LEVEL：Security Command Center 实例的激活级别；organizations 或 projects 之一。
   • RESOURCE_ID：您的组织或项目的资源 ID。

   输出类似以下内容。SOURCE_ID 是服务器为安全来源分配的 ID。

   canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   description: Provider used by Event Threat Detection Custom Modules
   displayName: Event Threat Detection Custom Modules
   name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID

3. 如需列出 Event Threat Detection 自定义模块的所有发现结果，请使用上一步中的来源 ID 运行以下命令：

   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
   

   替换以下内容：

   • RESOURCE_LEVEL：您要列出发现的资源级别；可以是 organizations、folders 或 projects。
   • RESOURCE_ID：资源的 ID，即组织 ID、文件夹 ID 或项目 ID。
   • SOURCE_ID：Event Threat Detection 自定义模块的来源 ID。

4. 如需列出某个特定自定义模块的发现结果，请运行以下命令：

   MODULE="CUSTOM_MODULE_CATEGORY_NAME"
   FILTER="category=\"$MODULE\""
   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
   

   替换以下内容：

   • CUSTOM_MODULE_CATEGORY_NAME：自定义模块的类别名称。此名称由模块类型的发现结果类别（如自定义模块和模板中所列）和模块显示名称（使用下划线而非空格）组成。例如，自定义模块的类别名称可以是 Unexpected Compute Engine region: example_custom_module。
   • RESOURCE_LEVEL：您要列出发现的资源级别；可以是 organizations、folders 或 projects。
   • RESOURCE_ID：资源的 ID，即组织 ID、文件夹 ID 或项目 ID。
   • SOURCE_ID：Event Threat Detection 自定义模块的来源 ID。

控制台

1. 查看 Event Threat Detection 服务的模块。预定义模块和自定义模块会显示在列表中。
2. 可选：如需仅查看自定义模块，请在过滤条件字段中输入 Type:Custom。

结果包括：

• 所有住宅版 Event Threat Detection 自定义模块。
• 所有继承的 Event Threat Detection 自定义模块。例如，如果您使用的是项目视图，则结果中会包含在该项目的父级文件夹和组织中创建的自定义模块。
• 在子资源中创建的所有 Event Threat Detection 后代自定义模块。例如，如果您目前位于组织视图中，则结果中会包含在该组织下的文件夹和项目中创建的自定义模块。

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

替换以下内容：

• RESOURCE_FLAG：您要列出自定义模块的范围；可以是 organization、folder 或 project 之一。
• RESOURCE_ID：资源的 ID，即组织 ID、文件夹 ID 或项目 ID。

结果包括：

• 所有住宅版 Event Threat Detection 自定义模块。
• 所有继承的 Event Threat Detection 自定义模块。例如，当您在项目级列出自定义模块时，系统会在结果中包含在该项目的父级文件夹和组织中创建的自定义模块。

结果中的每个项都包含模块的名称、状态和属性。每个模块的属性各不相同。

每个模块的名称都包含其自定义模块 ID。本页上的许多 gcloud 操作都需要自定义模块 ID。

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

控制台

请参阅启用或停用模块。

停用继承的自定义模块后，所做的更改只会应用于当前的资源级别。位于父级级别的原始自定义模块不会受到影响。例如，如果您在项目级别，并且停用了从父级文件夹继承的自定义模块，则自定义模块只会在项目级别停用。

您无法停用派生自定义模块。例如，如果您在组织视图中，则无法停用在项目级别创建的自定义模块。

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

替换以下内容：

• CUSTOM_MODULE_ID：事件威胁检测自定义模块的数字 ID，例如 1234567890。在查看自定义模块列表时，您可以从相关自定义模块的 name 字段中获取数字 ID。
• RESOURCE_FLAG：自定义模块所在的父级资源的范围；可以是 organization、folder 或 project 之一。
• RESOURCE_ID：父级资源的 ID；即组织 ID、文件夹 ID 或项目 ID。

控制台

请参阅启用或停用模块。

启用继承的自定义模块后，所做更改仅应用于当前资源级别。位于父级级别的原始自定义模块不会受到影响。例如，如果您位于项目级别，并且启用了从父级文件夹继承的自定义模块，则该自定义模块仅在项目级别启用。

您无法启用派生自定义模块。例如，如果您在组织视图中，则无法启用在项目级别创建的自定义模块。

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

请替换以下内容：

• CUSTOM_MODULE_ID：事件威胁检测自定义模块的数字 ID，例如 1234567890。在查看自定义模块列表时，您可以从相关自定义模块的 name 字段获取数字 ID。
• RESOURCE_FLAG：自定义模块所在的父级资源的范围；可以是 organization、folder 或 project 之一。
• RESOURCE_ID：父级资源的 ID；即组织 ID、文件夹 ID 或项目 ID。

控制台

您只能修改住宅自定义模块。例如，如果您在组织视图中，则只能修改在组织级别创建的自定义模块。

1. 查看 Event Threat Detection 服务的模块。预定义模块和自定义模块会显示在列表中。
2. 找到您要修改的自定义模块。
3. 对于该自定义模块，点击 more_vert 操作 > 修改。
4. 根据需要修改自定义模块。
5. 点击保存。

gcloud

如需更新模块，请运行以下命令并添加更新后的模块模板 JSON：

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

请替换以下内容：

• CUSTOM_MODULE_ID：事件威胁检测自定义模块的数字 ID，例如 1234567890。在查看自定义模块列表时，您可以从相关自定义模块的 name 字段获取数字 ID。
• RESOURCE_FLAG：自定义模块所在的父级资源的范围；可以是 organization、folder 或 project 之一。
• RESOURCE_ID：父级资源的 ID；即组织 ID、文件夹 ID 或项目 ID。
• PATH_TO_JSON_FILE：包含自定义模块的 JSON 定义的 JSON 文件。

控制台

1. 查看 Event Threat Detection 服务的模块。预定义模块和自定义模块会显示在列表中。
2. 从列表中找到自定义模块。

自定义模块的状态显示在状态列中。

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

替换以下内容：

• CUSTOM_MODULE_ID：事件威胁检测自定义模块的数字 ID，例如 1234567890。在查看自定义模块列表时，您可以从相关自定义模块的 name 字段中获取数字 ID。
• RESOURCE_FLAG：自定义模块所在的父级资源的范围；可以是 organization、folder 或 project 之一。
• RESOURCE_ID：父级资源的 ID；即组织 ID、文件夹 ID 或项目 ID。

输出类似于以下内容，其中包含模块的状态和属性。每个模块的属性各不相同。

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

控制台

您无法删除继承的自定义模块。例如，如果您在项目视图中，则无法删除在文件夹级或组织级创建的自定义模块。

如需通过 Google Cloud 控制台删除自定义模块，请执行以下操作：

1. 查看 Event Threat Detection 服务的模块。预定义模块和自定义模块会显示在列表中。
2. 找到要删除的自定义模块。
3. 对于该自定义模块，点击 more_vert 操作 > 删除。系统会显示一条消息，提示您确认删除。
4. 点击删除。

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

替换以下内容：

• CUSTOM_MODULE_ID：事件威胁检测自定义模块的数字 ID，例如 1234567890。在查看自定义模块列表时，您可以从相关自定义模块的 name 字段中获取数字 ID。
• RESOURCE_FLAG：自定义模块所在的父级资源的范围；可以是 organization、folder 或 project 之一。
• RESOURCE_ID：父级资源的 ID；即组织 ID、文件夹 ID 或项目 ID。