Nesta página, você encontra uma visão geral dos módulos personalizados do Event Threat Detection.
É possível configurar módulos, também conhecidos como detectores, para processar o fluxo do Cloud Logging e detectar ameaças com base nos parâmetros especificados. Esse recurso amplia as capacidades de monitoramento do Event Threat Detection e permite adicionar módulos com seus próprios parâmetros de detecção, orientações de correção e designações de gravidade para configurações incompatíveis com os detectores integrados.
Os módulos personalizados são úteis quando você precisa de módulos com regras de detecção que atendam às necessidades exclusivas da sua organização. Por exemplo, é possível adicionar um módulo personalizado que cria descobertas se as entradas de registro mostrarem que um recurso está conectado a endereços IP específicos ou foi criado em uma região restrita.
Como os módulos personalizados do Event Threat Detection funcionam
Os módulos personalizados são um grupo seleto de detectores do Event Threat Detection que podem ser configurados com seus próprios parâmetros. É possível criar um módulo personalizado do Event Threat Detection pelo console do Google Cloud. Outra possibilidade de criação é atualizar um modelo de módulo personalizado e enviá-lo ao Security Command Center via Google Cloud CLI. Para informações sobre modelos disponíveis, consulte Módulos personalizados e modelos.
Os modelos de módulo personalizado são escritos em JSON e permitem definir parâmetros de detecção que controlam quais eventos nas entradas de registro acionarão descobertas. Por
exemplo, o detector Malware: Bad IP integrado verifica
os registros de fluxo da nuvem privada virtual em busca de evidências de conexões com endereços IP
suspeitos conhecidos. No entanto, é possível ativar e modificar o módulo personalizado Configurable Bad IP com uma lista de endereços IP suspeitos que você mantém. Se os registros indicarem uma conexão com qualquer um dos endereços IP fornecidos, uma descoberta será gerada e gravada no Security Command Center.
Os modelos de módulo também permitem definir a gravidade das ameaças e fornecem etapas de correção personalizadas para ajudar as equipes de segurança a resolver problemas.
Com os módulos personalizados, você tem mais controle sobre como o Event Threat Detection detecta ameaças e reporta descobertas. Os módulos personalizados contêm os parâmetros que você forneceu, mas ainda utilizam a lógica de detecção e a inteligência contra ameaças exclusivas do Event Threat Detection, incluindo a correspondência de indicadores tripwire. É possível implementar um amplo conjunto de modelos de ameaças personalizados de acordo com os requisitos exclusivos da sua organização.
Os módulos personalizados do Event Threat Detection são executados com os detectores integrados. Os módulos ativados são executados no modo em tempo real, que aciona as verificações sempre que novos registros são criados.
Módulos personalizados e modelos
A tabela a seguir contém uma lista de tipos de módulos personalizados, descrições, registros obrigatórios e modelos de módulo JSON compatíveis.
Você precisará desses modelos de módulo JSON se quiser usar a gcloud CLI para criar ou atualizar módulos personalizados. Para ver um modelo, clique no ícone de expansão ao lado do nome dele. Para informações sobre o uso de módulos personalizados, consulte Configurar e gerenciar módulos personalizados.
| Categoria da descoberta | Tipo de módulo | Tipos de origem do registro | Descrição |
|---|---|---|---|
| IP inválido configurável | CONFIGURABLE_BAD_IP |
Registros de fluxo da VPC Registros de regras de firewall |
Detecta uma conexão com um endereço IP especificado |
|
Modelo: IP inválido configurável
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"ips": [
"IP_ADDRESS_1",
"IP_ADDRESS_2"
]
}Substitua:
|
|||
| Domínio inválido configurável | CONFIGURABLE_BAD_DOMAIN
|
Registros do Cloud DNS | Detecta uma conexão com um nome de domínio especificado |
|
Modelo: domínio inválido configurável
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"domains": [
"DOMAIN_1","DOMAIN_2"
]
}Substitua:
|
|||
| Tipo inesperado de instância do Compute Engine | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_INSTANCE_TYPE
|
Registros de auditoria do Cloud: Registros de atividade do administrador |
Detecta a criação de instâncias do Compute Engine que não correspondem a um tipo especificado de instância ou configuração. |
|
Modelo: tipo inesperado de instância do Compute Engine
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"instances": [
{
"series": "SERIES",
"cpus": {
"minimum": MINIMUM_NUMBER_OF_CPUS,
"maximum": MAXIMUM_NUMBER_OF_CPUS
},
"ram_mb": {
"minimum": MINIMUM_RAM_SIZE,
"maximum": MAXIMUM_RAM_SIZE
},
"gpus": {
"minimum": MINIMUM_NUMBER_OF_GPUS,
"maximum": MAXIMUM_NUMBER_OF_GPUS
},
"projects": [
"PROJECT_ID_1",
"PROJECT_ID_2"
],
"regions": [
"REGION_1",
"REGION_2"
]
},
{
"series": " ... ",
...
"regions": [ ... ]
}
]
}
Substitua:
|
|||
| Imagem de origem inesperada do Compute Engine | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_SOURCE_IMAGE |
Registros de auditoria do Cloud: Registros de atividade do administrador |
Detecta a criação de uma instância do Compute Engine com uma imagem ou família de imagens que não corresponde a uma lista especificada. |
|
Modelo: imagem de origem inesperada do Compute Engine
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"patterns": [
{
"pattern": "PATTERN_1",
"name": "NAME_1"
},
{
"pattern": "PATTERN_2",
"name": "NAME_2"
}
]
}Substitua:
|
|||
| Região inesperada do Compute Engine | CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION |
Registros de auditoria do Cloud: Registros de atividade do administrador |
Detecta a criação de uma instância do Compute Engine em uma região que não está em uma lista especificada |
|
Modelo: região inesperada do Compute Engine
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"regions": [
{
"region": "REGION_1"
},
{
"region": "REGION_2"
}
]
}Substitua:
|
|||
| Conta de implantação forçada usada | CONFIGURABLE_BREAKGLASS_ACCOUNT_USED |
Registros de auditoria do Cloud: Registros de atividade do administrador Registros de acesso a dados (opcional) |
Detecta o uso de uma conta de acesso emergencial (implantação forçada) |
|
Modelo: conta de implantação forçada usada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"accounts": [
"BREAKGLASS_ACCOUNT_1", "BREAKGLASS_ACCOUNT_2"
]
}Substitua:
|
|||
| Concessão de papel inesperada | CONFIGURABLE_UNEXPECTED_ROLE_GRANT |
Registros de auditoria do Cloud: Registros de atividade do administrador |
Detecta quando um papel especificado é concedido a um usuário |
|
Modelo: concessão de papel inesperada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"roles": ["ROLE_1", "ROLE_2"]
}Substitua:
|
|||
| Papel personalizado com permissão proibida | CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION |
Registros de auditoria do Cloud: Registros de atividade do administrador |
Detecta quando um papel personalizado com qualquer uma das permissões do IAM especificadas é criado ou atualizado. |
|
Modelo: papel personalizado com permissão proibida
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"permissions": [
"PERMISSION_1",
"PERMISSION_2"
]
}Substitua:
|
|||
| Chamada de API do Cloud inesperada | CONFIGURABLE_UNEXPECTED_CLOUD_API_CALL
|
Registros de auditoria do Cloud: Registros de atividade do administrador Registros de acesso a dados (opcional) |
Detecta quando um principal especificado chama um método especificado em um recurso especificado. Uma descoberta só é gerada se todas as expressões regulares forem correspondidas em uma única entrada de registro. |
|
Modelo: Chamada de API do Cloud inesperada
{
"metadata": {
"severity": "SEVERITY",
"description": "DESCRIPTION",
"recommendation": "RECOMMENDATION"
},
"caller_pattern": "CALLER_PATTERN",
"method_pattern": "METHOD_PATTERN",
"resource_pattern": "RESOURCE_PATTERN"
}Substitua:
|
|||
Preços e cotas
Esse recurso é sem custo financeiro para clientes do Security Command Center Premium.
Os módulos personalizados do Event Threat Detection estão sujeitos a limites de cota.
O limite de cota padrão para a criação de módulos personalizados é 200.
As chamadas de API para métodos de módulo personalizados também estão sujeitas a limites de cota. A tabela a seguir mostra os limites de cota padrão para chamadas de API do módulo personalizado.
| Tipo de chamada de API | Limite |
|---|---|
| Get, List | 1.000 chamadas de API por minuto e organização. |
| Criar, Atualizar, Excluir | 60 chamadas de API por minuto e organização. |
Limites de tamanho do módulo
Cada módulo personalizado de detecção de ameaças a eventos tem um limite de tamanho de 6 MB.
Limites de taxas
Os seguintes limites de taxa se aplicam:
- 30 descobertas por módulo personalizado por hora.
- 200 descobertas de módulo personalizado por recurso pai (organização ou projeto) por hora. Cada descoberta conta para uma organização ou projeto, dependendo do nível em que o módulo personalizado de origem foi criado.
Não é possível aumentar esses limites.
A seguir
- Saiba como criar e gerenciar módulos personalizados.