Membuat dan mengelola modul kustom untuk Event Threat Detection

Halaman ini menjelaskan cara membuat dan mengelola modul kustom untuk Event Threat Detection.

Sebelum memulai

Bagian ini menjelaskan persyaratan untuk menggunakan modul kustom untuk Event Threat Detection.

Security Command Center Premium dan Event Threat Detection

Untuk menggunakan modul kustom Event Threat Detection, Event Threat Detection harus diaktifkan. Untuk mengaktifkan Event Threat Detection, lihat Mengaktifkan atau menonaktifkan layanan bawaan.

Peran dan izin IAM yang diperlukan

Peran IAM menentukan tindakan yang dapat Anda lakukan dengan modul kustom Event Threat Detection.

Tabel berikut berisi daftar izin modul kustom Event Threat Detection yang diperlukan serta peran IAM bawaan yang menyertakannya.

Anda dapat menggunakan konsol Google Cloud atau Security Command Center API untuk menerapkan peran ini di tingkat organisasi, folder, atau project.

Jika Anda mengalami error akses di Security Command Center, minta bantuan administrator Anda. Lihat salah satu halaman berikut, bergantung pada level tempat Anda mengaktifkan Security Command Center:

• IAM untuk aktivasi Security Command Center di tingkat organisasi

• IAM untuk aktivasi Security Command Center di tingkat project

Log yang diperlukan

Pastikan log yang relevan diaktifkan untuk organisasi, folder, dan project Anda. Untuk mengetahui informasi tentang log yang diperlukan oleh setiap jenis modul kustom, lihat tabel di Modul dan template kustom.

Log dari sumber di luar Google Cloud tidak didukung.

Tingkat modul kustom

Dokumen ini menggunakan istilah berikut untuk menjelaskan tingkat pembuatan modul kustom:

Modul perumahan

Modul dibuat pada tampilan atau cakupan saat ini. Misalnya, jika Anda berada di tampilan organisasi konsol Google Cloud , modul residensial adalah modul yang dibuat di tingkat organisasi.

Modul turunan

Modul dibuat di tampilan atau cakupan induk. Misalnya, modul yang dibuat di tingkat organisasi adalah modul yang diwarisi di tingkat folder atau project mana pun.

Modul turunan

Modul dibuat di tampilan atau cakupan turunan. Misalnya, modul yang dibuat di tingkat folder atau project adalah modul turunan di tingkat organisasi.

Membuat modul kustom

Anda dapat membuat modul kustom Event Threat Detection melalui KonsolGoogle Cloud atau dengan mengubah template JSON dan mengirimkannya melalui gcloud CLI. Anda hanya memerlukan template JSON jika berencana menggunakan gcloud CLI untuk membuat modul kustom.

Untuk mengetahui daftar template modul yang didukung, lihat Modul dan template kustom.

Struktur template

Template menentukan parameter yang digunakan modul kustom untuk mengidentifikasi ancaman dalam log Anda. Template ditulis dalam JSON dan memiliki struktur yang serupa dengan temuan yang dihasilkan oleh Security Command Center. Anda hanya perlu mengonfigurasi template JSON jika berencana menggunakan gcloud CLI untuk membuat modul kustom.

Setiap template berisi kolom yang dapat disesuaikan:

• severity: tingkat keparahan atau risiko yang ingin Anda tetapkan ke temuan jenis ini, LOW, MEDIUM, HIGH, atau CRITICAL.
• description: deskripsi modul kustom.
• recommendation: tindakan yang direkomendasikan untuk mengatasi temuan yang dihasilkan oleh modul kustom.
• Parameter deteksi: variabel yang digunakan untuk mengevaluasi log dan memicu temuan. Parameter deteksi berbeda untuk setiap modul, tetapi mencakup satu atau beberapa hal berikut:
  • domains: domain web yang akan dipantau
  • ips: Alamat IP yang akan dipantau
  • permissions: izin yang harus diperhatikan
  • regions: region tempat instance Compute Engine baru diizinkan
  • roles: peran yang akan dipantau
  • accounts: akun yang akan dipantau
  • Parameter yang menentukan jenis instance Compute Engine yang diizinkan—misalnya, series, cpus, dan ram_mb.
  • Ekspresi reguler untuk memeriksa properti—misalnya, caller_pattern dan resource_pattern.

Contoh kode berikut adalah contoh template JSON untuk Configurable Bad IP.

{
  "metadata": {
    "severity": "LOW",
    "description": "Flagged by Cymbal as malicious",
    "recommendation": "Contact the owner of the relevant project."
  },
  "ips": [
    "192.0.2.1",
    "192.0.2.0/24"
  ]
}

Pada contoh sebelumnya, modul kustom menghasilkan temuan tingkat rendah jika log Anda menunjukkan resource yang terhubung ke alamat IP 192.0.2.1 atau 192.0.2.0/24.

Mengubah template modul

Untuk membuat modul, Anda memilih template modul dan mengubahnya.

Jika Anda berencana menggunakan Google Cloud CLI untuk membuat modul kustom, Anda harus melakukan tugas ini.

Jika Anda berencana menggunakan konsol Google Cloud untuk membuat modul kustom, lewati tugas ini. Anda akan menggunakan opsi yang ditampilkan di layar untuk mengubah parameter template.

1. Pilih template dari Modul dan template kustom.
2. Salin kode ke file lokal.
3. Perbarui parameter yang ingin Anda gunakan untuk mengevaluasi log.
4. Simpan file sebagai file JSON.
5. Buat modul kustom melalui gcloud CLI menggunakan file JSON.

Membuat modul kustom

Bagian ini menjelaskan cara membuat modul kustom melalui konsolGoogle Cloud , gcloud CLI, REST API, dan Terraform. Setiap modul kustom Event Threat Detection memiliki batas ukuran 6 MB.

Untuk membuat modul kustom, ikuti langkah-langkah berikut:

{
  MODULE_CONFIG
}

gcloud scc manage custom-modules etd create \
    --RESOURCE_TYPE=RESOURCE_ID \
    --custom-config-file=request.json \
    --display-name=MODULE_DISPLAY_NAME \
    --module-type=MODULE_TYPE \
    --enablement-state=ENABLED

gcloud scc manage custom-modules etd create `
    --RESOURCE_TYPE=RESOURCE_ID `
    --custom-config-file=request.json `
    --display-name=MODULE_DISPLAY_NAME `
    --module-type=MODULE_TYPE `
    --enablement-state=ENABLED

gcloud scc manage