Google Cloud API

In diesem Dokument finden Sie eine Anleitung zum Konfigurieren und Einbinden derGoogle Cloud API in Google Security Operations SOAR.

Integrationsversion: 4.0

Google Cloud API in Google SecOps SOAR einbinden

Für die Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Test URL Optional

Eine Test-URL zum Validieren der Authentifizierung für die Google Cloud API. Für diesen Parameter wird eine GET-Anfrage verwendet.
Service Account Json File Content Optional

Der Inhalt der JSON-Datei des Dienstkontoschlüssels.

Sie können entweder diesen Parameter oder den Parameter Workload Identity Email konfigurieren oder alle vorherigen Integrationsparameter festlegen.

Geben Sie zum Konfigurieren dieses Parameters den vollständigen Inhalt der JSON-Datei des Dienstkontoschlüssels an, die Sie beim Erstellen eines Dienstkontos heruntergeladen haben.

Weitere Informationen zur Verwendung von Dienstkonten als Authentifizierungsmethode finden Sie unter Dienstkonten – Übersicht und Identitätswechsel für Dienstkonten.

Bei dieser Integration hat die Authentifizierung mit der JSON-Datei des Dienstkontoschlüssels Vorrang vor der Workload Identity-E-Mail-Adresse.
Organization ID Optional

Die in der Integration zu verwendende Organisations-ID.

Wenn Sie den Wert dieses Parameters während der Ausführung der Aktion abrufen möchten, legen Sie den folgenden Platzhalter fest: {{org_id}}.

Project ID Optional

Die Projekt-ID, die in der Integration verwendet werden soll.

Um den Wert dieses Parameters während der Ausführung der Aktion abzurufen, legen Sie den folgenden Platzhalter fest: {{project_id}}.
Quota Project ID Optional

Die Google Cloud -Projekt-ID, die Sie für Google Cloud APIs und Abrechnung verwenden. Für diesen Parameter müssen Sie Ihrem Dienstkonto die Rolle Service Usage Consumer zuweisen.

Der Parameterwert wird von der Integration an alle API-Anfragen angehängt.

Wenn Sie keinen Wert für diesen Parameter festlegen, ruft die Integration die Projekt-ID aus Ihrem Google Cloud Dienstkonto ab.
Workload Identity Email Optional

Die Client-E‑Mail-Adresse Ihres Dienstkontos.

Sie können entweder diesen Parameter oder den Parameter Service Account Json File Content konfigurieren.

Bei dieser Integration hat die Authentifizierung mit der JSON-Datei des Dienstkontoschlüssels Vorrang vor der Workload Identity-E-Mail-Adresse.

Um die Identität von Dienstkonten mit Workload Identity zu übernehmen, weisen Sie Ihrem Dienstkonto die Rolle Service Account Token Creator zu. Weitere Informationen zu Workload Identitys und deren Verwendung finden Sie unter Identitäten für Arbeitslasten.
OAuth Scopes Optional

Eine durch Kommas getrennte Liste von OAuth-Bereichen, die zum Ausführen der Google Cloud API-Anfragen erforderlich sind.
Verify SSL Erforderlich

Wenn diese Option ausgewählt ist, wird überprüft, ob das SSL-Zertifikat für die Verbindung zum Google Cloud -Dienst gültig ist.

Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Die Google Cloud API-Integration umfasst die folgenden Aktionen:

HTTP-Anfrage ausführen

Mit der Aktion HTTP-Anfrage ausführen können Sie eine HTTP-Anfrage ausführen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Für die Aktion HTTP-Anfrage ausführen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Method Optional

Eine in der Anfrage zu verwendende Methode.

Der Standardwert ist GET.

Mögliche Werte:
  • GET
  • POST
  • PUT
  • PATCH
  • DELETE
  • HEAD
  • OPTIONS
URL Path Optional

Eine auszuführende URL.

Der Standardwert ist https://.
URL Params Optional

Die URL-Parameter.

Die Aktion verwendet alle Werte, die neben den Werten angegeben werden, die Sie direkt im Parameter URL-Pfad angegeben haben.

Für diesen Parameter ist das JSON-Objektformat als Eingabe erforderlich. Der Standardwert ist:

{
    "URL Field Name": "URL_FIELD_VALUE"
    }
Headers Optional

Header, die in der HTTP-Anfrage verwendet werden sollen.

Für diesen Parameter ist das JSON-Objektformat als Eingabe erforderlich. Der Standardwert ist:

{
    "Content-Type": "application/json; charset=utf-8",
    "Accept": "application/json",
    "User-Agent" : "GoogleSecOps"
    }
Cookie Optional

Die Parameter, die im Cookie-Header verwendet werden sollen.

Mit diesem Parameter werden Cookies überschrieben, die im Parameter Headers angegeben sind.

Für diesen Parameter ist das JSON-Objektformat als Eingabe erforderlich. Der Standardwert ist:

{
    "Cookie_1": "COOKIE_1_VALUE"
    }
Body Payload
 Optional

Ein Text für die HTTP-Anfrage. Die Aktion erstellt je nach Content-Type-Headerwert, der im Parameter Headers angegeben ist, unterschiedliche Nutzlasten.

Für diesen Parameter ist das JSON-Objektformat als Eingabe erforderlich, es sei denn, für ein Drittanbieterprodukt ist XML oder der multipart/form-data-Inhalt erforderlich. Wenn Sie eine Datei über die API-Anfrage senden oder hochladen, geben Sie die base64-codierte Version der Datei im Parameter Body Payload an und legen Sie den Header auf "Content-type": "multipart/form-data" fest.

Der Standardwert ist:

{
    "Body Field Name": "BODY_FIELD_VALUE"
    }
Expected Response Values Optional

Die erwarteten Antwortwerte.

Wenn Sie diesen Parameter konfigurieren, wird die Aktion im asynchronen Modus ausgeführt, bis die erwarteten Werte empfangen oder ein Zeitlimit erreicht wird.
Save To Case Wall Optional

Wenn diese Option ausgewählt ist, wird die Datei gespeichert und an das Fall-Repository angehängt. Die Datei wird mit der Erweiterung .zip archiviert. Die Datei .zip ist nicht passwortgeschützt.

Diese Option ist standardmäßig nicht ausgewählt.
Password Protect Zip Optional

Wenn diese Option ausgewählt ist, wird der .zip-Datei, die mit dem Parameter Save To Case Wall erstellt wurde, ein Passwort hinzugefügt. Das Passwort lautet: infected.

Verwenden Sie diesen Parameter, wenn Sie mit verdächtigen Dateien arbeiten.

Standardmäßig ausgewählt.
Follow Redirects Optional

Wenn diese Option ausgewählt ist, folgt die Aktion den Weiterleitungen.

Standardmäßig ausgewählt.
Fail on 4xx/5xx Optional

Wenn diese Option ausgewählt ist, schlägt die Aktion fehl, wenn der Statuscode der Antwort ein 4xx- oder 5xx-Fehler ist.

Standardmäßig ausgewählt.
Base64 Output Optional

Wenn diese Option ausgewählt ist, wird die Antwort in das Base64-Format konvertiert.

Verwenden Sie diesen Parameter beim Herunterladen von Dateien.

Das JSON-Ergebnis darf nicht größer als 15 MB sein.

Diese Option ist standardmäßig nicht ausgewählt.
Fields To Return Erforderlich

Die zurückzugebenden Felder. Folgende Werte sind möglich:

  • response_data
  • redirects
  • response_code
  • response_cookies
  • response_headers
  • apparent_encoding
Request Timeout Erforderlich

Ein Zeitraum, in dem auf das Senden von Daten durch den Server gewartet wird, bevor die Aktion fehlschlägt.

Der Standardwert beträgt 120 Sekunden.

Aktionsausgaben

Die Aktion HTTP-Anfrage ausführen bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion HTTP-Anfrage ausführen empfangen wird:

{
   "response_data": {
       "data": {
           "relationships": {
               "comment": [
                   {
                       "name": "item",
                       "description": "Object to which the comment belongs to."
                   },
                   {
                       "name": "author",
                       "description": "User who wrote the comment."
                   }
               ]
           }
       }
   },
   "redirects": [],
   "response_code": 200,
   "cookies": {},
   "response_headers": {
       "Content-Type": "application/json",
       "X-Cloud-Trace-Context": "VALUE",
       "Date": "Fri, 03 Nov 2023 16:14:13 GMT",
       "Server": "Google Frontend",
       "Content-Length": "36084"
   },
   "apparent_encoding": "ascii"
}
Ausgabemeldungen

Die Aktion HTTP-Anfrage ausführen gibt die folgenden Ausgabemeldungen zurück:

Ausgabemeldung Nachrichtenbeschreibung

Successfully executed API request.

Successfully executed API request, but the status code {4xx/5xx} was returned. Please check the request or try again later.

 Die Aktion wurde ausgeführt.
Failed to execute API request. Error: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion HTTP-Anfrage ausführen beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Google Cloudzu testen.

Diese Aktion wird nicht für Google SecOps-Elemente ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping bietet die folgenden Ausgaben:

Ausgabetyp der Aktion Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall‑Repository Nicht verfügbar
Tabelle „Fall-Repository“ Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabemeldungen Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion Ping empfangen wird:

{
"endpoint": "TEST_URL"
}
Ausgabemeldungen

Die Aktion Ping gibt die folgenden Ausgabenachrichten aus:

Ausgabemeldung Nachrichtenbeschreibung
Successfully tested connectivity. Die Aktion wurde ausgeführt.
Failed to test connectivity.

Die Aktion ist fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping beschrieben:

Name des Scriptergebnisses Wert
is_success True oder False

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten