En esta página se ofrece una descripción general de los módulos personalizados de Event Threat Detection.
Puedes configurar módulos, también conocidos como detectores, para que procesen tu flujo de Cloud Logging y detecten amenazas en función de los parámetros que especifiques. Esta función amplía las funciones de monitorización de Event Threat Detection y te permite añadir módulos con tus propios parámetros de detección, guías de corrección y designaciones de gravedad para configuraciones que los detectores integrados no admiten.
Los módulos personalizados son útiles si necesitas módulos con reglas de detección que se adapten a las necesidades específicas de tu organización. Por ejemplo, puedes añadir un módulo personalizado que cree resultados si las entradas de registro muestran que un recurso está conectado a direcciones IP específicas o se ha creado en una región restringida.
Cómo funcionan los módulos personalizados de Event Threat Detection
Los módulos personalizados son un grupo selecto de detectores de Event Threat Detection que puede configurar con sus propios parámetros de detección. Puedes crear un módulo personalizado de Event Threat Detection a través de la Google Cloud consola. También puedes crear una actualizando una plantilla de módulo personalizado y enviando el módulo personalizado a Security Command Center a través de la CLI de Google Cloud. Para obtener información sobre las plantillas disponibles, consulte Módulos y plantillas personalizados.
Las plantillas de módulos personalizados se escriben en JSON y te permiten definir parámetros de detección que controlan qué eventos de las entradas de registro deben activar resultados. Por ejemplo, el detector Malware: Bad IP integrado comprueba los registros de flujo de Virtual Private Cloud para detectar pruebas de conexiones a direcciones IP sospechosas conocidas. Sin embargo, puede habilitar y modificar el Configurable Bad IP módulo personalizado
con una lista de direcciones IP sospechosas que usted mantenga. Si tus registros indican una conexión a alguna de las direcciones IP que has proporcionado, se genera un resultado y se escribe en Security Command Center.
Las plantillas de módulos también te permiten definir la gravedad de las amenazas y proporcionar pasos de corrección personalizados para ayudar a tus equipos de seguridad a solucionar los problemas.
Con los módulos personalizados, tiene más control sobre cómo detecta amenazas Event Threat Detection y cómo informa de los resultados. Los módulos personalizados incluyen los parámetros que has proporcionado, pero siguen utilizando la lógica de detección y la información sobre amenazas exclusivas de Event Threat Detection, incluida la coincidencia de indicadores de alarma. Puedes implementar un amplio conjunto de modelos de amenazas adaptados a los requisitos específicos de tu organización.
Los módulos personalizados de Event Threat Detection se ejecutan junto con los detectores integrados. Los módulos habilitados se ejecutan en modo en tiempo real, lo que activa análisis cada vez que se crean nuevos registros.
Módulos y plantillas personalizados
En la siguiente tabla se incluye una lista de los tipos de módulos personalizados admitidos, sus descripciones, los registros obligatorios y las plantillas de módulos JSON.
Necesitas estas plantillas de módulos JSON si quieres usar la CLI de gcloud para crear o actualizar módulos personalizados. Para ver una plantilla, haz clic en el icono de desplegar situado junto a su nombre. Para obtener información sobre cómo usar módulos personalizados, consulte Configurar y gestionar módulos personalizados.
| Categorías de resultado | Module type | Tipos de fuentes de registro | Descripción |
|---|---|---|---|
| IP incorrecta configurable | CONFIGURABLE_BAD_IP |
Registros de flujo de las VPCs Registros de reglas de cortafuegos |
Detecta una conexión a una dirección IP especificada. |
|
Plantilla: IP incorrecta configurable
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"ips": [
"IP_ADDRESS_1",
"IP_ADDRESS_2"
]
}Haz los cambios siguientes:
|
|||
| Dominio incorrecto configurable | CONFIGURABLE_BAD_DOMAIN
|
Registros de Cloud DNS | Detecta una conexión a un nombre de dominio especificado. |
|
Plantilla: dominio incorrecto configurable
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"domains": [
"DOMAIN_1","DOMAIN_2"
]
}Haz los cambios siguientes:
|
|||
| Tipo de instancia de Compute Engine inesperado | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_INSTANCE_TYPE
|
Registros de auditoría de Cloud: Registros de actividad del administrador |
Detecta la creación de instancias de Compute Engine que no coinciden con un tipo o una configuración de instancia especificados. |
|
Plantilla: tipo de instancia de Compute Engine inesperado
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"instances": [
{
"series": "SERIES",
"cpus": {
"minimum": MINIMUM_NUMBER_OF_CPUS,
"maximum": MAXIMUM_NUMBER_OF_CPUS
},
"ram_mb": {
"minimum": MINIMUM_RAM_SIZE,
"maximum": MAXIMUM_RAM_SIZE
},
"gpus": {
"minimum": MINIMUM_NUMBER_OF_GPUS,
"maximum": MAXIMUM_NUMBER_OF_GPUS
},
"projects": [
"PROJECT_ID_1",
"PROJECT_ID_2"
],
"regions": [
"REGION_1",
"REGION_2"
]
},
{
"series": " ... ",
...
"regions": [ ... ]
}
]
}
Haz los cambios siguientes:
|
|||
| Imagen de origen de Compute Engine inesperada | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_SOURCE_IMAGE |
Registros de auditoría de Cloud: Registros de actividad del administrador |
Detecta la creación de una instancia de Compute Engine con una imagen o una familia de imágenes que no coincide con una lista especificada |
|
Template: Unexpected Compute Engine source image
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"patterns": [
{
"pattern": "PATTERN_1",
"name": "NAME_1"
},
{
"pattern": "PATTERN_2",
"name": "NAME_2"
}
]
}Haz los cambios siguientes:
|
|||
| Región de Compute Engine inesperada | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION |
Registros de auditoría de Cloud: Registros de actividad del administrador |
Detecta la creación de una instancia de Compute Engine en una región que no está en una lista especificada. |
|
Plantilla: región de Compute Engine inesperada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"regions": [
{
"region": "REGION_1"
},
{
"region": "REGION_2"
}
]
}Haz los cambios siguientes:
|
|||
| Se ha usado una cuenta de acceso de emergencia | CONFIGURABLE_BREAKGLASS_ACCOUNT_USED |
Registros de auditoría de Cloud: Registros de actividad de administrador Registros de acceso a datos (opcional) |
Detecta el uso de una cuenta de acceso de emergencia (breakglass). |
|
Plantilla: cuenta de acceso de emergencia utilizada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"accounts": [
"BREAKGLASS_ACCOUNT_1", "BREAKGLASS_ACCOUNT_2"
]
}Haz los cambios siguientes:
|
|||
| Concesión de rol inesperada | CONFIGURABLE_UNEXPECTED_ROLE_GRANT |
Registros de auditoría de Cloud: Registros de actividad del administrador |
Detecta cuándo se concede un rol específico a un usuario |
|
Plantilla: concesión de rol inesperada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"roles": ["ROLE_1", "ROLE_2"]
}Haz los cambios siguientes:
|
|||
| Rol personalizado con permiso prohibido | CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION |
Registros de auditoría de Cloud: Registros de actividad del administrador |
Detecta cuándo se crea o actualiza un rol personalizado con alguno de los permisos de gestión de identidades y accesos especificados. |
|
Plantilla: rol personalizado con permiso prohibido
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"permissions": [
"PERMISSION_1",
"PERMISSION_2"
]
}Haz los cambios siguientes:
|
|||
| Llamada inesperada a la API de Cloud | CONFIGURABLE_UNEXPECTED_CLOUD_API_CALL
|
Registros de auditoría de Cloud: Registros de actividad de administrador Registros de acceso a datos (opcional) |
Detecta cuándo una entidad de seguridad especificada llama a un método especificado en un recurso especificado. Una detección solo se genera si todas las expresiones regulares coinciden en una sola entrada de registro. |
|
Plantilla: Llamada inesperada a la API de Cloud
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"caller_pattern": "CALLER_PATTERN",
"method_pattern": "METHOD_PATTERN",
"resource_pattern": "RESOURCE_PATTERN"
}Haz los cambios siguientes:
|
|||
Precios y cuotas
Esta función es gratuita para los clientes de Security Command Center Premium.
Los módulos personalizados de Event Threat Detection están sujetos a límites de cuota.
El límite de cuota predeterminado para la creación de módulos personalizados es de 200.
Las llamadas a la API de los métodos de módulos personalizados también están sujetas a límites de cuota. En la siguiente tabla se muestran los límites de cuota predeterminados para las llamadas a la API de módulos personalizados.
| Tipo de llamada a la API | Límite |
|---|---|
| Get, List | 1000 llamadas a la API por minuto y organización |
| Crear, actualizar y eliminar | 60 llamadas a la API por minuto y organización |
Límites de tamaño de los módulos
Cada módulo personalizado de Event Threat Detection tiene un límite de tamaño de 6 MB.
Límites de frecuencia
Se aplican los siguientes límites de frecuencia:
- 30 resultados por módulo personalizado por hora.
- 200 resultados de módulos personalizados por recurso superior (organización o proyecto) por hora. Cada resultado se contabiliza en una organización o en un proyecto, en función del nivel en el que se haya creado el módulo personalizado de origen.
Estos límites no se pueden aumentar.
Siguientes pasos
- Consulta cómo crear y gestionar módulos personalizados.