Crear y gestionar módulos personalizados para Event Threat Detection

Niveles de servicio Premium y Enterprise

En esta página se explica cómo crear y gestionar módulos personalizados para Event Threat Detection.

Antes de empezar

En esta sección se describen los requisitos para usar módulos personalizados de Event Threat Detection.

Security Command Center Premium y Event Threat Detection

Para usar módulos personalizados de Event Threat Detection, esta función debe estar habilitada. Para habilitar Event Threat Detection, consulta el artículo Habilitar o inhabilitar un servicio integrado.

Roles y permisos de gestión de identidades y accesos necesarios

Los roles de IAM determinan las acciones que puedes realizar con los módulos personalizados de Event Threat Detection.

En la siguiente tabla se incluye una lista de los permisos de módulos personalizados de Event Threat Detection que son obligatorios, así como los roles de gestión de identidades y accesos predefinidos que los incluyen.

Puedes usar la Google Cloud consola o la API de Security Command Center para aplicar estos roles a nivel de organización, carpeta o proyecto.

Los permisos que requiere	Rol
securitycentermanagement.eventThreatDetectionCustomModules.create securitycentermanagement.eventThreatDetectionCustomModules.update securitycentermanagement.eventThreatDetectionCustomModules.delete	roles/securitycentermanagement.etdCustomModulesEditor roles/securitycenter.settingsEditor roles/securitycenter.admin
securitycentermanagement.eventThreatDetectionCustomModules.list securitycentermanagement.eventThreatDetectionCustomModules.get securitycentermanagement.effectiveEventThreatDetectionCustomModules.list securitycentermanagement.effectiveEventThreatDetectionCustomModules.get securitycentermanagement.eventThreatDetectionCustomModules.validate	roles/securitycentermanagement.etdCustomModulesViewer roles/securitycentermanagement.etdCustomModulesEditor roles/securitycenter.adminViewer roles/securitycenter.admin

Si tienes problemas de acceso en Security Command Center, pide ayuda a tu administrador. Consulta una de las páginas siguientes en función del nivel en el que hayas activado Security Command Center:

• Gestión de identidades y accesos para activaciones a nivel de organización de Security Command Center

• Gestión de identidades y accesos para activaciones a nivel de proyecto de Security Command Center

Registros obligatorios

Asegúrate de que los registros pertinentes estén activados en tu organización, carpetas y proyectos. Para obtener información sobre los registros que requiere cada tipo de módulo personalizado, consulte la tabla del artículo Módulos y plantillas personalizados.

No se admiten los registros de fuentes que no sean de Google Cloud .

Niveles de módulos personalizados

En este documento se usan los siguientes términos para describir el nivel en el que se ha creado un módulo personalizado:

Módulo Residencial

El módulo se ha creado en la vista o el ámbito actuales. Por ejemplo, si estás en la vista de organización de la consola Google Cloud , los módulos residenciales son los que se han creado a nivel de organización.

Módulo heredado

El módulo se ha creado en una vista o un ámbito superior. Por ejemplo, un módulo creado a nivel de organización es un módulo heredado a nivel de carpeta o proyecto.

Módulo descendiente

El módulo se creó en una vista o un ámbito secundario. Por ejemplo, un módulo creado a nivel de carpeta o de proyecto es un módulo descendiente a nivel de organización.

Crear módulos personalizados

Puedes crear módulos personalizados de Event Threat Detection a través de laGoogle Cloud consola o modificando una plantilla JSON y enviándola mediante la CLI de gcloud. Solo necesitas plantillas JSON si tienes previsto usar la CLI de gcloud para crear módulos personalizados.

Para ver una lista de las plantillas de módulos admitidas, consulte Módulos y plantillas personalizados.

Estructura de la plantilla

Las plantillas definen los parámetros que usan los módulos personalizados para identificar amenazas en sus registros. Las plantillas se escriben en JSON y tienen una estructura similar a las detecciones generadas por Security Command Center. Solo tienes que configurar una plantilla JSON si tienes previsto usar la CLI de gcloud para crear un módulo personalizado.

Cada plantilla contiene campos personalizables:

• severity: la gravedad o el nivel de riesgo que quieres asignar a las detecciones de este tipo: LOW, MEDIUM, HIGH o CRITICAL.
• description: la descripción del módulo personalizado.
• recommendation: acciones recomendadas para abordar las detecciones generadas por el módulo personalizado.
• Parámetros de detección: las variables que se usan para evaluar los registros y activar las detecciones. Los parámetros de detección varían en función de cada módulo, pero incluyen uno o varios de los siguientes:
  • domains: dominios web que se deben monitorizar
  • ips: direcciones IP que se deben monitorizar
  • permissions: permisos que se deben monitorizar
  • regions: regiones en las que se permiten nuevas instancias de Compute Engine
  • roles: roles a los que prestar atención
  • accounts: cuentas que debes tener en cuenta
  • Parámetros que definen los tipos de instancias de Compute Engine permitidos; por ejemplo, series, cpus y ram_mb.
  • Expresiones regulares con las que comparar las propiedades. Por ejemplo, caller_pattern y resource_pattern.

El siguiente ejemplo de código es una plantilla JSON de Configurable Bad IP.

{
  "metadata": {
    "severity": "LOW",
    "description": "Flagged by Cymbal as malicious",
    "recommendation": "Contact the owner of the relevant project."
  },
  "ips": [
    "192.0.2.1",
    "192.0.2.0/24"
  ]
}

En el ejemplo anterior, el módulo personalizado genera un hallazgo de gravedad baja si tus registros indican que un recurso está conectado a la dirección IP 192.0.2.1 o 192.0.2.0/24.

Modificar una plantilla de módulo

Para crear módulos, elige una plantilla de módulo y modifícala.

Si tienes previsto usar la CLI de Google Cloud para crear tu módulo personalizado, debes realizar esta tarea.

Si tienes previsto usar la Google Cloud consola para crear tu módulo personalizado, omite esta tarea. Usarás las opciones que aparecen en pantalla para modificar los parámetros de la plantilla.

1. Elige una plantilla en Módulos y plantillas personalizados.
2. Copia el código en un archivo local.
3. Actualiza los parámetros que quieras usar para evaluar tus registros.
4. Guarda el archivo como archivo JSON.
5. Crea un módulo personalizado mediante gcloud CLI con el archivo JSON.

Crear un módulo personalizado

En esta sección se describe cómo crear un módulo personalizado mediante la consola deGoogle Cloud , la gcloud CLI y Terraform. Cada módulo personalizado de Event Threat Detection tiene un límite de tamaño de 6 MB.

Para crear un módulo personalizado, sigue estos pasos:

Consola

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Haz clic en Crear módulo.
3. Haz clic en la plantilla de módulo que quieras usar.
4. Haz clic en Seleccionar.
5. En Nombre del módulo, introduzca un nombre visible para la nueva plantilla. El nombre no debe superar los 128 caracteres y solo puede contener caracteres alfanuméricos y guiones bajos (por ejemplo, example_custom_module).
6. Seleccione o añada los valores de los parámetros solicitados. Los parámetros varían en función de cada módulo. Por ejemplo, si has seleccionado la plantilla de módulo Configurable allowed Compute Engine region, debes seleccionar una o varias regiones. También puede proporcionar la lista en formato JSON.
7. Haz clic en Siguiente.
8. En Gravedad, introduce el nivel de gravedad que quieras asignar a las detecciones generadas por el nuevo módulo personalizado.
9. En Descripción, escriba una descripción del nuevo módulo personalizado.
10. En Pasos siguientes, introduce las acciones recomendadas en formato de texto sin formato. Se ignorarán los saltos de párrafo que añadas.
11. Haz clic en Crear.

gcloud

1. Crea un archivo JSON que contenga la definición del módulo personalizado. Usa las plantillas de Módulos y plantillas personalizados como guía.

2. Crea el módulo personalizado enviando el archivo JSON en un comando gcloud:

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Haz los cambios siguientes:

• RESOURCE_FLAG: el ámbito del recurso principal en el que se creará el módulo personalizado. Puede ser organization, folder o project.
• RESOURCE_ID: el ID de recurso del recurso principal, es decir, el ID de la organización, de la carpeta o del proyecto.
• DISPLAY_NAME: un nombre visible para la nueva plantilla. El nombre no debe superar los 128 caracteres y solo puede contener caracteres alfanuméricos y guiones bajos.
• MODULE_TYPE: el tipo de módulo personalizado que quieras crear. Por ejemplo, CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION.
• PATH_TO_JSON_FILE: el archivo JSON que contiene la definición JSON del módulo personalizado basada en la plantilla del módulo.

Terraform

resource "google_scc_management_organization_event_threat_detection_custom_module" "example" {
  organization = "123456789"
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  type = "CONFIGURABLE_BAD_IP"
  description = "My Event Threat Detection Custom Module"
  config = jsonencode({
    "metadata": {
      "severity": "LOW",
      "description": "Flagged by Forcepoint as malicious",
      "recommendation": "Contact the owner of the relevant project."
    },
    "ips": [
      "192.0.2.1",
      "192.0.2.0/24"
    ]
  })
}

Se crea el módulo personalizado y empieza a analizar. Para eliminar un módulo, consulta Eliminar un módulo personalizado.

El nombre de la categoría del módulo personalizado contiene la categoría de la detección del tipo de módulo y el nombre visible del módulo que hayas definido. Por ejemplo, el nombre de la categoría de un módulo personalizado puede ser Unexpected Compute Engine Region: example_custom_module. En la consola de Google Cloud , los guiones bajos se muestran como espacios. Sin embargo, en tus consultas debes incluir los guiones bajos.

Las cuotas rigen el uso de módulos personalizados para Event Threat Detection.

Latencia de detección

La latencia de detección de Event Threat Detection y de todos los demás servicios integrados de Security Command Center se describe en el artículo sobre la latencia de los análisis.

Revisar los resultados

Las detecciones generadas por módulos personalizados se pueden ver en la Google Cloud consola o mediante la gcloud CLI.

Consola

1. En la Google Cloud consola, ve a la página Resultados de Security Command Center.

   Ir a Resultados

2. Selecciona tu Google Cloud proyecto u organización.
3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, seleccione Módulos personalizados de detección de amenazas de eventos. Los resultados de la consulta de detecciones se actualizan para mostrar solo las detecciones de esta fuente.
4. Para ver los detalles de un resultado específico, haga clic en su nombre en la columna Categoría. Se abre el panel de detalles del resultado y se muestra la pestaña Resumen.
5. En la pestaña Resumen, consulta los detalles de la detección, incluida la información sobre lo que se ha detectado, el recurso afectado y, si está disponible, los pasos que puedes seguir para corregir la detección.
6. Opcional: Para ver la definición JSON completa de la detección, haga clic en la pestaña JSON.

gcloud

Para usar la CLI de gcloud y ver las detecciones, sigue estos pasos:

1. Abre una ventana de terminal.

2. Obtener el ID de origen de los módulos personalizados de Event Threat Detection. El comando depende de si has activado Security Command Center a nivel de organización o de proyecto:

   gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
       --source-display-name='Event Threat Detection Custom Modules'
   

   Haz los cambios siguientes:

   • RESOURCE_LEVEL: el nivel de activación de tu instancia de Security Command Center; puede ser organizations o projects.
   • RESOURCE_ID: el ID de recurso de tu organización o proyecto.

   La salida es similar a la siguiente. SOURCE_ID es un ID asignado por el servidor para las fuentes de seguridad.

   canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
   description: Provider used by Event Threat Detection Custom Modules
   displayName: Event Threat Detection Custom Modules
   name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID

3. Para enumerar todas las detecciones de amenazas de Event Threat Detection de módulos personalizados, ejecuta el siguiente comando con el ID de origen del paso anterior:

   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
   

   Haz los cambios siguientes:

   • RESOURCE_LEVEL: el nivel de recurso en el que quieres enumerar las detecciones. Puede ser organizations, folders o projects.
   • RESOURCE_ID: el ID del recurso, es decir, el ID de la organización, de la carpeta o del proyecto.
   • SOURCE_ID: el ID de origen de los módulos personalizados de Event Threat Detection.

4. Para enumerar las detecciones de un módulo personalizado específico, ejecuta el siguiente comando:

   MODULE="CUSTOM_MODULE_CATEGORY_NAME"
   FILTER="category=\"$MODULE\""
   gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
   

   Haz los cambios siguientes:

   • CUSTOM_MODULE_CATEGORY_NAME: el nombre de la categoría del módulo personalizado. Este nombre se compone de la categoría de la detección del tipo de módulo (como se indica en Módulos y plantillas personalizados) y del nombre visible del módulo con guiones bajos en lugar de espacios. Por ejemplo, el nombre de la categoría de un módulo personalizado puede ser Unexpected Compute Engine region: example_custom_module.
   • RESOURCE_LEVEL: el nivel de recurso en el que quieres enumerar las detecciones. Puede ser organizations, folders o projects.
   • RESOURCE_ID: el ID del recurso, es decir, el ID de la organización, de la carpeta o del proyecto.
   • SOURCE_ID: el ID de origen de tus módulos personalizados de Event Threat Detection.

Para obtener más información sobre cómo filtrar resultados, consulta Listar resultados de seguridad.

Los resultados generados por módulos personalizados se pueden gestionar como todos los resultados de Security Command Center. Para obtener más información, consulta las siguientes secciones:

• Usar marcas de seguridad
• Configurar notificaciones de resultados
• Exportar datos de Security Command Center

Gestionar módulos personalizados de Event Threat Detection

En esta sección se describe cómo ver, enumerar, actualizar y eliminar módulos personalizados de Event Threat Detection.

Ver o enumerar módulos personalizados

Consola

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Opcional: Para ver solo los módulos personalizados, en el campo Filtro, introduzca Tipo:Personalizado.

Los resultados incluyen lo siguiente:

• Todos los módulos personalizados de Event Threat Detection para particulares.
• Todos los módulos personalizados de Event Threat Detection heredados. Por ejemplo, si estás en la vista de proyecto, los módulos personalizados creados en las carpetas superiores y en la organización de ese proyecto se incluyen en los resultados.
• Todos los módulos personalizados de Event Threat Detection descendientes creados en recursos secundarios. Por ejemplo, si estás en la vista de organización, los módulos personalizados que se hayan creado en carpetas y proyectos de esa organización se incluirán en los resultados.

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

Haz los cambios siguientes:

• RESOURCE_FLAG: el ámbito en el que quieres listar los módulos personalizados. Puede ser organization, folder o project.
• RESOURCE_ID: el ID del recurso, es decir, el ID de la organización, de la carpeta o del proyecto.

Los resultados incluyen lo siguiente:

• Todos los módulos personalizados de Event Threat Detection para particulares.
• Todos los módulos personalizados de Event Threat Detection heredados. Por ejemplo, si enumeras los módulos personalizados a nivel de proyecto, los módulos personalizados creados en las carpetas principales y en la organización de ese proyecto se incluirán en los resultados.

Cada elemento de los resultados incluye el nombre, el estado y las propiedades del módulo. Las propiedades varían en función del módulo.

El nombre de cada módulo contiene su ID de módulo personalizado. Muchas gcloud operaciones de esta página requieren el ID del módulo personalizado.

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

Inhabilitar un módulo personalizado

Consola

Consulta Habilitar o inhabilitar un módulo.

Si inhabilitas un módulo personalizado heredado, los cambios solo se aplicarán al nivel de recurso actual. El módulo personalizado original que se encuentra en el nivel superior no se ve afectado. Por ejemplo, si está en el nivel de proyecto y deshabilita un módulo personalizado que se ha heredado de la carpeta superior, el módulo personalizado solo se deshabilitará en el nivel de proyecto.

No puedes inhabilitar un módulo personalizado descendiente. Por ejemplo, si estás en la vista de organización, no puedes inhabilitar un módulo personalizado que se haya creado a nivel de proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

Haz los cambios siguientes:

• CUSTOM_MODULE_ID: el ID numérico del módulo personalizado Event Threat Detection. Por ejemplo, 1234567890. Puede obtener el ID numérico del campo name del módulo personalizado correspondiente cuando consulte la lista de módulos personalizados.
• RESOURCE_FLAG: el ámbito del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: el ID del recurso principal, es decir, el ID de la organización, de la carpeta o del proyecto.

Habilitar un módulo personalizado

Consola

Consulta Habilitar o inhabilitar un módulo.

Cuando habilitas un módulo personalizado heredado, los cambios solo se aplican al nivel de recurso actual. El módulo personalizado original que se encuentra en el nivel superior no se ve afectado. Por ejemplo, si estás en el nivel de proyecto y habilitas un módulo personalizado que se ha heredado de la carpeta superior, el módulo personalizado solo se habilitará en el nivel de proyecto.

No puedes habilitar un módulo personalizado descendiente. Por ejemplo, si estás en la vista de organización, no puedes habilitar un módulo personalizado que se haya creado a nivel de proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

Haz los cambios siguientes:

• CUSTOM_MODULE_ID: el ID numérico del módulo personalizado de Event Threat Detection. Por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado correspondiente cuando consultes la lista de módulos personalizados.
• RESOURCE_FLAG: el ámbito del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: el ID del recurso principal, es decir, el ID de la organización, de la carpeta o del proyecto.

Actualizar la definición de un módulo personalizado

En esta sección se describe cómo actualizar un módulo personalizado a través de la consola deGoogle Cloud y de la CLI de gcloud. Cada módulo personalizado de Event Threat Detection tiene un límite de tamaño de 6 MB.

No puedes actualizar el tipo de módulo de un módulo personalizado.

Para actualizar un módulo personalizado, sigue estos pasos:

Consola

Solo puedes editar los módulos personalizados residenciales. Por ejemplo, si estás en la vista de organización, solo puedes editar los módulos personalizados que se hayan creado a nivel de organización.

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado que quieras editar.
3. En ese módulo personalizado, haga clic en Acciones > Editar.
4. Edita el módulo personalizado según sea necesario.
5. Haz clic en Guardar.

gcloud

Para actualizar un módulo, ejecuta el siguiente comando e incluye el JSON de la plantilla del módulo actualizado:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Haz los cambios siguientes:

• CUSTOM_MODULE_ID: el ID numérico del módulo personalizado de Event Threat Detection. Por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado correspondiente cuando consultes la lista de módulos personalizados.
• RESOURCE_FLAG: el ámbito del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: el ID del recurso principal, es decir, el ID de la organización, de la carpeta o del proyecto.
• PATH_TO_JSON_FILE: el archivo JSON que contiene la definición JSON del módulo personalizado.

Consultar el estado de un solo módulo personalizado

Consola

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado en la lista.

El estado del módulo personalizado se muestra en la columna Estado.

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Haz los cambios siguientes:

• CUSTOM_MODULE_ID: el ID numérico del módulo personalizado Event Threat Detection. Por ejemplo, 1234567890. Puede obtener el ID numérico del campo name del módulo personalizado correspondiente cuando consulte la lista de módulos personalizados.
• RESOURCE_FLAG: el ámbito del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: el ID del recurso principal, es decir, el ID de la organización, de la carpeta o del proyecto.

La salida es similar a la siguiente e incluye el estado y las propiedades del módulo. Las propiedades varían en función del módulo.

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

Eliminar un módulo personalizado

Cuando eliminas un módulo personalizado de Event Threat Detection, los resultados que ha generado no se modifican y siguen estando disponibles en Security Command Center. Por el contrario, cuando eliminas un módulo personalizado de Security Health Analytics, los resultados que haya generado se marcan como inactivos.

No se pueden recuperar los módulos personalizados eliminados.

Consola

No puedes eliminar módulos personalizados heredados. Por ejemplo, si estás en la vista de proyecto, no puedes eliminar módulos personalizados que se hayan creado a nivel de carpeta o de organización.

Para eliminar un módulo personalizado a través de la consola Google Cloud , sigue estos pasos:

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado que quieras eliminar.
3. En ese módulo personalizado, haga clic en Acciones > Eliminar. Aparecerá un mensaje pidiéndote que confirmes la eliminación.
4. Haz clic en Eliminar.

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Haz los cambios siguientes:

• CUSTOM_MODULE_ID: el ID numérico del módulo personalizado Event Threat Detection. Por ejemplo, 1234567890. Puede obtener el ID numérico del campo name del módulo personalizado correspondiente cuando consulte la lista de módulos personalizados.
• RESOURCE_FLAG: el ámbito del recurso principal en el que reside el módulo personalizado; puede ser organization, folder o project.
• RESOURCE_ID: el ID del recurso principal, es decir, el ID de la organización, de la carpeta o del proyecto.

Clonar un módulo personalizado

Cuando clonas un módulo personalizado, el módulo personalizado resultante se crea como residente del recurso que estás viendo. Por ejemplo, si clonas un módulo personalizado que tu proyecto ha heredado de la organización, el nuevo módulo personalizado será un módulo residencial en el proyecto.

No puedes clonar un módulo personalizado descendiente.

Nota: No hay ningún comando gcloud para clonar un módulo personalizado. Para emular el proceso de clonación, puedes ejecutar un comando get para obtener la configuración de un módulo personalizado y, a continuación, ejecutar un comando create para crear un módulo con la misma configuración.

Para clonar un módulo personalizado mediante la consola Google Cloud , siga estos pasos:

1. Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
2. Busca el módulo personalizado que quieras clonar.
3. En ese módulo personalizado, haga clic en Acciones > Clonar.
4. Edita el módulo personalizado según sea necesario.
5. Haz clic en Crear.

Siguientes pasos

• Consulte más información sobre los módulos personalizados de Event Threat Detection.