Cómo migrar de reglas de silencio estáticas a dinámicas

En esta página, se explica cómo migrar tus reglas de silenciamiento estáticas existentes a reglas de silenciamiento dinámico.

Te recomendamos que uses reglas de silencio dinámicas exclusivamente en tus configuraciones de reglas de silencio, ya que son más flexibles que las reglas de silencio estáticas. Comparado a las reglas de silencio estáticas, las reglas de silencio dinámicas tienen tres beneficios clave:

  • Las reglas de silencio dinámicas se aplican a los resultados nuevos y existentes. Reglas de silencio dinámicas silenciar automáticamente los resultados existentes y nuevos o actualizados que coincidan con tus criterios de filtro.
  • Las reglas de silenciamiento dinámico ofrecen una opción de vencimiento. Las reglas de silencio dinámicas también te permiten establecer un período de vencimiento personalizado para que coincida temporalmente con de los resultados de búsqueda. Si no se establece un período de vencimiento, las reglas de silencio dinámicas silencian los resultados. indefinidamente hasta que dejen de coincidir con la regla.

  • Las reglas dinámicas de silencio activan el sonido de los resultados automáticamente. Cuando ocurre cualquiera de los siguientes eventos, Security Command Center desbloquea automáticamente el hallazgo:

    • La regla de silencio dinámico vence.
    • Las propiedades de un hallazgo cambian para que ya no coincidan con tus criterios de filtro.
    • Los criterios del filtro cambian para dejar de coincidir con el resultado.

No recomendamos usar reglas de silenciamiento estáticas y dinámicas de forma simultánea. Estáticas Las reglas de silencio anulan las reglas de silencio dinámicas cuando se aplican al mismo hallazgo. Como resultado, las reglas de silenciamiento dinámico no funcionarán según lo previsto, lo que puede generar confusión cuando administras tus resultados.

Si deseas usar exclusivamente reglas de silenciamiento dinámicas, en las siguientes secciones se describen los permisos y los pasos necesarios para migrar tus reglas de silenciamiento estáticas.

Permisos

A fin de obtener los permisos que necesita para realizar el proceso de migración de silencio dinámico, solicita a tu administrador que te otorgue el siguientes roles de IAM en tu organización, carpeta o proyecto de Google Cloud:

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Cómo migrar a reglas de silenciamiento dinámico

Para usar exclusivamente las reglas de silenciamiento dinámico, completa los siguientes pasos para crearlas y asegurarte de que los resultados silenciados existentes permanezcan silenciados después de la migración.

  1. Crea nuevas reglas de silencio dinámicas. No puedes modificar el tipo de una regla de silenciamiento después de crearla. Por lo tanto, debe crear una regla de silencio dinámica para para cada regla estática de silencio que quieras conservar. Cada nueva regla de silencio dinámica debe ser único de las reglas de silencio existentes. Security Command Center podría tardar algunas horas para aplicar las reglas de silencio dinámicas a los resultados correspondientes. Para instrucciones para crear una regla de silencio dinámico, consulta Crea una regla de silenciamiento dinámico. estándar.

  2. Valida el estado de silenciamiento de los hallazgos aplicables. Para validar que el se aplicaron correctamente las reglas de silencio dinámicas, puedes usar el atributo muteInfo de la API de Security Command Center para enumerar e inspeccionar sus campos de silencio. Esto te ayuda a determinar los resultados aplicables usan reglas de silencio dinámicas o estáticas.

    Por ejemplo, usa muteInfo.dynamicMuteRecords en una consulta para enumerar las resultados aplicables que se silencian con la nueva regla de silencio dinámico:

      contains(muteInfo.dynamicMuteRecords, muteConfig =
  "organizations/123/muteConfigs/my-dynamic-rule")

    Para obtener más información sobre cómo enumerar los resultados, consulta Enumera los resultados de seguridad con la API de Security Command Center.

  3. Borra todas las reglas de silenciamiento estáticas. Las conclusiones futuras aplicables están cubiertas por las nuevas reglas dinámicas que creaste. Borra todas tus reglas de silenciamiento estáticas existentes para asegurarte de que no anulen las nuevas reglas de silenciamiento dinámico para los hallazgos nuevos. Para obtener instrucciones sobre cómo borrar una regla de silenciamiento, consulta Borra reglas de silenciamiento. Si borras las reglas de silenciamiento estáticas, no se cambiará el estado de silenciamiento estático de los resultados existentes.

  4. Restablece el estado de silencio estático en todos los resultados. Para restablecer el estado de silencio estático de los resultados existentes de forma masiva, realiza una de las siguientes acciones acciones:

    • Usa el comando gcloud scc findings bulk-mute o el método de la API de bulkMute con el atributo muteState configurado como UNDEFINED. Hazlo para cada regla de silenciamiento estático que borraste. Para obtener instrucciones sobre cómo realizar operaciones de silencio masivas, consulta Cómo silenciar o restablecer varios de análisis de datos.

    • Si se agota el tiempo de espera de la operación de silencio masiva, puedes borrar la configuración actual de todos los resultados actualizando tu filtro de silencio masivo para usar menos filtros detallados que cubren todos los resultados relevantes que necesitas actualizar.

      Considera el siguiente ejemplo de un filtro en una regla de silencio estática:

      filter: "category = \"OPEN_SSH_PORT\" AND
(resource.parentDisplayName = \"organizations/123\"
OR resource.parentDisplayName = \"folder/456")"

      Para borrar el estado de silenciamiento de todos los resultados que coincidan con los criterios de este filtro de reglas de silenciamiento estáticas, puedes modificar el filtro quitando las condiciones adicionales que siguen a la categoría del resultado. En este ejemplo, el resultado sería el siguiente:

      filter: "category = \"OPEN_SSH_PORT""

      Si configuraste manualmente el estado de silenciamiento de algún hallazgo, es posible que este método también restablezca el estado de silenciamiento de esos hallazgos.

      Si deseas obtener más información para actualizar una regla de silenciamiento, consulta Actualiza las reglas de silenciamiento.

Si necesitas ayuda para migrar tus reglas de silenciamiento estáticas a reglas de silenciamiento dinámicas, comunícate con el equipo de asistencia.

¿Qué sigue?

Obtén más información sobre cómo crear y administrar reglas de silenciamiento.