将 Web Risk 与 Google SecOps 集成

本文档介绍了如何将 Web Risk 与 Google Security Operations (Google SecOps) 集成。

集成版本：1.0

集成参数

Web Risk 集成需要以下参数：

参数	说明
Workload Identity Email	可选。 您的服务账号的客户端电子邮件地址。 您可以配置此参数或 Service Account JSON File Content 参数。 如果您设置了此参数，请配置 Quota Project ID 参数。 如需使用工作负载身份联合模拟服务账号，请向您的服务账号授予 Service Account Token Creator 角色。如需详细了解工作负载身份以及如何使用它们，请参阅工作负载的身份。
Service Account JSON File Content	可选。 服务账号密钥 JSON 文件的内容。 您可以配置此参数或 Workload Identity Email 参数。 如需配置此参数，请输入您在创建服务账号时下载的服务账号密钥 JSON 文件的完整内容。
Quota Project ID	可选。 您用于 Google Cloud API 和结算的 Google Cloud 项目 ID。此参数要求您向服务账号授予 Service Usage Consumer 角色。 如果您未为此参数设置值，集成会从您的 Google Cloud 服务账号中检索项目 ID。
Project ID	可选。 集成中要使用的项目 ID。 如果您未为此参数设置值，集成会从您的 Google Cloud 服务账号中检索项目 ID。
Verify SSL	必填。 如果选择此项，集成会在连接到 Web Risk 服务器时验证 SSL 证书。 此选项将会默认选中。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在剧本中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作台页面中处理待处理的操作和执行手动操作。

丰富实体

使用丰富实体操作从 Web 风险中返回有关 Google SecOps 实体的信息。

此操作在 Google SecOps URL 实体上运行。

操作输入

无。

操作输出

丰富实体操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
实体丰富化表	可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

实体丰富化表

丰富实体操作可以丰富 URL 实体，并提供以下丰富结果：

扩充项字段名称	来源（JSON 键）	适用性
threatTypes	威胁类型的 CSV 文件。	当 JSON 结果中提供相应信息时。

JSON 结果

以下示例展示了使用丰富实体操作时收到的 JSON 结果输出：

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}

输出消息

丰富实体操作可以返回以下输出消息：

输出消息	消息说明
Successfully enriched the following entities in Web Risk: ENTITY_ID. The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID. No information was found for the provided entities.	操作成功。
Error executing action "Enrich Entities". Reason: ERROR_REASON	操作失败。 检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Enrich Entities 操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

Ping

使用 Ping 操作测试与 Web Risk 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

Ping 操作可以返回以下输出消息：

输出消息	消息说明
Successfully connected to the Web Risk server with the provided connection parameters!	操作成功。
Failed to connect to the Web Risk server! Error is ERROR_REASON	操作失败。 检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
is_success	True 或 False

提交实体

使用 Submit Entities 操作向 Web Risk 提交实体以供分析。

此操作是异步的。根据需要，在 Google SecOps 集成式开发环境 (IDE) 中调整操作的脚本超时值。

此操作在 Google SecOps URL 实体上运行。

操作输入

提交实体操作需要以下参数：

参数	说明
Abuse Type	可选。 与提交内容关联的滥用行为类型。 如需详细了解滥用类型，请参阅 AbuseType。 可能的值如下： Select One Malware Social Engineering Unwanted Software 默认值为 Select One。
Confidence Level	可选。 提交内容的置信度。 如需详细了解置信度，请参阅置信度和 ConfidenceLevel。 可能的值如下： Select One Low Medium High 默认值为 Select One。
Justification	可选。 提交内容的理由。 如需详细了解对齐方式选项，请参阅 JustificationLabel。 可能的值如下： Manual Verification User Report Automated Report 默认值为 User Report。
Comment	可选。 用于说明提交原因的评论。
Region Code	可选。 与提交内容关联的国家/地区（以通用语言区域数据代码库 [CLDR] 代码表示）的英文逗号分隔列表。如需详细了解提交，请参阅提交。
Platform	可选。 检测到提交内容的平台类型。 可能的值如下： Select One Android iOS MacOS Windows 默认值为 Select One。
Skip Waiting	可选。 如果选择此项，操作会初始化提交，但不会等待提交完成。 默认值为 True。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。