Crea y administra módulos personalizados para Event Threat Detection

En esta página, se explica cómo crear y administrar módulos personalizados para Event Threat Detection.

Antes de comenzar

En esta sección, se describen los requisitos para usar módulos personalizados para Event Threat Detection.

Detección de eventos de amenazas y Security Command Center Premium

Para usar los módulos personalizados de Event Threat Detection, se debe habilitar Event Threat Detection. Para habilitar Event Threat Detection, consulta Habilita o inhabilita un servicio integrado.

Roles de IAM

Las funciones de IAM determinan las acciones que puedes realizar con los módulos personalizados de Event Threat Detection.

Importante: A partir del 22 de enero de 2024, se migrará la funcionalidad del módulo personalizado de la consola de Google Cloud a una nueva API subyacente.

Si tu empresa usa roles personalizados de IAM para tener un control estricto del acceso a los recursos de Google Cloud y seguir trabajando con módulos personalizados en la consola de Google Cloud después de esa fecha, debes pedirle a tu administrador de seguridad que agregue los siguientes permisos a tu rol personalizado antes de la fecha de migración, según corresponda a tus responsabilidades:

Para ver o probar los módulos de detección personalizada de Event Threat Detection, necesitas los siguientes permisos, que se encuentran en el rol de IAM Visualizador de módulos personalizados de ETD de la administración de un centro de seguridad (securitycentermanagement.etdCustomModulesViewer):
- securitycentermanagement.eventThreatDetectionCustomModules.list
- securitycentermanagement.eventThreatDetectionCustomModules.get
- securitycentermanagement.effectiveEventThreatDetectionCustomModules.list
- securitycentermanagement.effectiveEventThreatDetectionCustomModules.get
- securitycentermanagement.eventThreatDetectionCustomModules.validate
Para editar los módulos de detección personalizados de Event Threat Detection, además de los permisos anteriores, también necesitas los siguientes permisos, que se encuentran en el rol de IAM Editor de módulos de ETD personalizados de administración del centro de seguridad (securitycentermanagement.etdCustomModulesEditor):
- securitycentermanagement.eventThreatDetectionCustomModules.create
- securitycentermanagement.eventThreatDetectionCustomModules.update
- securitycentermanagement.eventThreatDetectionCustomModules.delete

Si tu empresa utiliza roles predefinidos de IAM, no es necesario que realices ninguna acción. Los permisos nuevos ya están incluidos en los roles predefinidos.

En la siguiente tabla, se muestra una lista de los permisos personalizados de los módulos personalizados de Event Threat Detection y las funciones de IAM predefinidas que los incluyen. Estos permisos son válidos hasta el 22 de enero de 2024 como mínimo. Después de esa fecha, se requerirán los permisos que se enumeran en la segunda tabla siguiente.

Puedes usar la consola de Google Cloud o la API de Security Command Center para aplicar estos roles a nivel de organización, carpeta o proyecto.

Los permisos se requieren antes del 22 de enero de 2024	Rol
`securitycenter.eventthreatdetectioncustommodules.create` `securitycenter.eventthreatdetectioncustommodules.update` `securitycenter.eventthreatdetectioncustommodules.delete`	`roles/securitycenter.settingsEditor` `roles/securitycenter.admin`
`securitycenter.eventthreatdetectioncustommodules.get` `securitycenter.eventthreatdetectioncustommodules.list`	`roles/securitycenter.settingsViewer` `roles/securitycenter.adminViewer` `roles/securitycenter.admin`

En la siguiente tabla, se incluye una lista de los permisos de los módulos personalizados de Event Threat Detection que se requerirán a partir del 22 de enero de 2024, así como los roles de IAM predefinidos que los incluyen.

Puedes usar la consola de Google Cloud o la API de Security Command Center para aplicar estos roles a nivel de organización, carpeta o proyecto.

Permisos necesarios después del 22 de enero de 2024	Rol
`securitycentermanagement.eventThreatDetectionCustomModules.create` `securitycentermanagement.eventThreatDetectionCustomModules.update` `securitycentermanagement.eventThreatDetectionCustomModules.delete`	`roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.settingsEditor` `roles/securitycenter.admin`
`securitycentermanagement.eventThreatDetectionCustomModules.list` `securitycentermanagement.eventThreatDetectionCustomModules.get` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.list` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.get` `securitycentermanagement.eventThreatDetectionCustomModules.validate`	`roles/securitycentermanagement.etdCustomModulesViewer` `roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.adminViewer` `roles/securitycenter.admin`

Si te encuentras con errores de acceso en Security Command Center, pídele asistencia al administrador. Consulta una de las siguientes páginas según el nivel en el que activaste Security Command Center:

Registros obligatorios

Asegúrate de que los registros relevantes estén activados para tu organización, tus carpetas y tus proyectos. Para obtener información sobre qué registros requiere cada tipo de módulo personalizado, consulta la tabla de Módulos y plantillas personalizados.

No se admiten los registros de fuentes externas a Google Cloud.

Niveles de módulo personalizados

En este documento, se usan los siguientes términos para describir el nivel en el que se creó un módulo personalizado:

Módulo residencial: El módulo se creó en la vista o el alcance actuales. Por ejemplo, si estás en la vista de organización de la consola de Google Cloud, los módulos residenciales son los que se crearon a nivel de la organización.
Módulo heredado: El módulo se creó en una vista o alcance superior. Por ejemplo, un módulo creado a nivel de la organización es un módulo heredado a nivel de cualquier carpeta o proyecto.
Módulo subordinado: El módulo se creó en una vista o un alcance secundarios. Por ejemplo, un módulo creado a nivel de carpeta o proyecto es un módulo descendiente a nivel de la organización.

Cómo crear módulos personalizados

Puedes crear módulos personalizados para Event Threat Detection a través de la consola de Google Cloud o si modificas una plantilla JSON y la envías a través de gcloud CLI. Solo necesitas plantillas JSON si planeas usar gcloud CLI para crear módulos personalizados.

Para obtener una lista de plantillas de módulos compatibles, consulta Plantillas y módulos personalizados.

Estructura de la plantilla

Las plantillas definen los parámetros que usan los módulos personalizados para identificar amenazas en tus registros. Las plantillas se escriben en JSON y su estructura es similar a los resultados que genera Security Command Center. Solo debes configurar una plantilla JSON si planeas usar gcloud CLI para crear un módulo personalizado.

Cada plantilla contiene campos personalizables:

severity: La gravedad o el nivel de riesgo que deseas asignar a los resultados de este tipo, LOW, MEDIUM, HIGH o CRITICAL.
description: Es la descripción del módulo personalizado.
recommendation: Acciones recomendadas para abordar los resultados que genera el módulo personalizado.
Parámetros de detección: las variables que se usan para evaluar los registros y activar los resultados Los parámetros de detección difieren para cada módulo, pero incluyen uno o más de los siguientes elementos:
- domains: Dominios web que se deben observar
- ips: Direcciones IP que se deben observar
- permissions: Permisos que se deben observar
- regions: Regiones en las que se permiten nuevas instancias de Compute Engine
- roles: roles que se deben tener en cuenta
- accounts: cuentas para tener en cuenta
- Los parámetros que definen los tipos de instancias permitidos de Compute Engine, por ejemplo, series, cpus y ram_mb.
- Expresiones regulares con las que se deben comparar las propiedades, por ejemplo, caller_pattern y resource_pattern.

La siguiente muestra de código es una plantilla JSON de ejemplo para Configurable Bad IP.

{
  "metadata": {
    "severity": "LOW",
    "description": "Flagged by Cymbal as malicious",
    "recommendation": "Contact the owner of the relevant project."
  },
  "ips": [
    "192.0.2.1",
    "192.0.2.0/24"
  ]
}

En el ejemplo anterior, el módulo personalizado genera un resultado de gravedad baja si tus registros indican un recurso conectado a la dirección IP 192.0.2.1 o 192.0.2.0/24.

Cómo modificar una plantilla de módulo

Para crear módulos, debes elegir una plantilla de módulo y modificarla.

Si planeas usar Google Cloud CLI para crear tu módulo personalizado, debes realizar esta tarea.

Si planeas usar la consola de Google Cloud para crear tu módulo personalizado, omite esta tarea. Usarás las opciones que se presentan en la pantalla para modificar los parámetros de la plantilla.

Elige una plantilla en Módulos y plantillas personalizados.
Copia el código en un archivo local.
Actualiza los parámetros que quieres usar para evaluar tus registros.
Guarda el archivo como archivo JSON.
Crea un módulo personalizado a través de gcloud CLI con el archivo JSON.

Cómo crear un módulo personalizado

En esta sección, se describe cómo crear un módulo personalizado a través de la consola de Google Cloud y gcloud CLId. Cada módulo personalizado de Event Threat Detection tiene un límite de tamaño de 6 MB.

Para crear un módulo personalizado, sigue estos pasos:

Console

Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
Haz clic en Create module.
Haz clic en la plantilla de módulo que quieres usar.
Haz clic en Seleccionar.
En Nombre del módulo, ingresa un nombre visible para la plantilla nueva. El nombre no debe superar los 128 caracteres y solo debe contener caracteres alfanuméricos y guiones bajos, por ejemplo, example_custom_module.
Selecciona o agrega los valores de parámetros solicitados. Los parámetros difieren para cada módulo. Por ejemplo, si seleccionaste la plantilla de módulo Configurable allowed Compute Engine region, debes seleccionar una o más regiones. También puedes proporcionar la lista en formato JSON.
Haz clic en Siguiente.
En Gravedad, ingresa el nivel de gravedad que deseas asignar a los resultados generados por el nuevo módulo personalizado.
En Description, ingresa una descripción para el nuevo módulo personalizado.
Para Próximos pasos, ingresa las acciones recomendadas en formato de texto sin formato. Se ignorarán los saltos de párrafo que agregues.
Haz clic en Crear.

gcloud

Crea un archivo JSON que contenga la definición del módulo personalizado. Usa las plantillas incluidas en Módulos y plantillas personalizados como guía.
Para crear el módulo personalizado, envía el archivo JSON en un comando gcloud:

 gcloud alpha scc custom-modules etd create \
     --RESOURCE_FLAG=RESOURCE_ID \
     --display-name="DISPLAY_NAME" \
     --module-type="MODULE_TYPE" \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

RESOURCE_FLAG: Es el alcance del recurso superior en el que se creará el módulo personalizado; uno de organization, folder o project.
RESOURCE_ID: Es el ID del recurso superior; es decir, el ID de la organización, de la carpeta o del ID del proyecto.
DISPLAY_NAME: Es un nombre visible para la plantilla nueva. El nombre no debe superar los 128 caracteres y solo debe contener caracteres alfanuméricos y guiones bajos.
MODULE_TYPE: Es el tipo de módulo personalizado que deseas crear, por ejemplo, CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION.
PATH_TO_JSON_FILE: Es el archivo JSON que contiene la definición JSON del módulo personalizado según la plantilla del módulo.

Se creará tu módulo personalizado y comenzará el análisis. Para borrar un módulo, consulta Cómo borrar un módulo personalizado.

El nombre de la categoría del módulo personalizado contiene la categoría de búsqueda del tipo de módulo y el nombre visible del módulo que estableciste. Por ejemplo, el nombre de la categoría de un módulo personalizado puede ser Unexpected Compute Engine Region: example_custom_module. En la consola de Google Cloud, los guiones bajos se muestran como espacios. Sin embargo, en tus consultas, debes incluir los guiones bajos.

Las cuotas rigen el uso de los módulos personalizados para Event Threat Detection.

Latencia de detección

La latencia de detección para Event Threat Detection y todos los demás servicios integrados de Security Command Center se describen en Latencia del análisis.

Revisa los resultados

Los resultados generados por módulos personalizados se pueden ver en la consola de Google Cloud o con gcloud CLId.

Console

Para ver los resultados en la consola de Google Cloud, sigue estos pasos:

Ve a la pestaña Resultados de Security Command Center en la consola de Google Cloud.

Ir a hallazgos
Selecciona tu organización, carpeta o proyecto.
En el panel Filtros rápidos, desplázate hacia abajo hasta Nombre visible de la fuente y selecciona Event Threat Detection Custom Modules.

Nota: Si no ves la opción Módulos personalizados de Event Threat Detection, es posible que aún no se generen hallazgos.

El panel Resultados de la consulta de resultados se propaga con los resultados para el tipo de fuente que seleccionaste.
Para ver los detalles de un resultado específico en la tabla, haz clic en el nombre del resultado en Categoría.

gcloud

Si deseas usar gcloud CLI para ver los resultados, haz lo siguiente:

Abre una ventana de la terminal.
Obtén el ID de origen de los módulos personalizados de Event Threat Detection. El comando depende de si activaste Security Command Center a nivel de la organización o a nivel del proyecto:
```
gcloud scc sources describe RESOURCE_LEVEL/RESOURCE_ID \
    --source-display-name='Event Threat Detection Custom Modules'
```
Reemplaza lo siguiente:
- RESOURCE_LEVEL: Es el nivel de activación de la instancia de Security Command Center; uno de organizations o projects.
- RESOURCE_ID: Es el ID de recurso de tu organización o proyecto.
La salida se ve de la siguiente manera: SOURCE_ID es un ID que asigna el servidor para las fuentes de seguridad.
```
canonicalName: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
description: Provider used by Event Threat Detection Custom Modules
displayName: Event Threat Detection Custom Modules
name: RESOURCE_LEVEL/RESOURCE_ID/sources/SOURCE_ID
```
Para enumerar todos los resultados de los módulos personalizados de Event Threat Detection, ejecuta el siguiente comando con el ID de la fuente del paso anterior:
```
gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID
```
Reemplaza lo siguiente:
- RESOURCE_LEVEL: Es el nivel de recurso en el que deseas enumerar los resultados; es organizations, folders o projects.
- RESOURCE_ID: El ID del recurso; es decir, el ID de la organización, de la carpeta o del ID del proyecto.
- SOURCE_ID: Es el ID de origen de los módulos personalizados de Event Threat Detection.
Para enumerar los resultados de un módulo personalizado específico, ejecuta el siguiente comando:
```
MODULE="CUSTOM_MODULE_CATEGORY_NAME"
FILTER="category=\"$MODULE\""
gcloud scc findings list RESOURCE_LEVEL/RESOURCE_ID --source=SOURCE_ID --filter="$FILTER"
```
Reemplaza lo siguiente:
- CUSTOM_MODULE_CATEGORY_NAME: Es el nombre de la categoría del módulo personalizado. Este nombre se compone de la categoría del resultado del tipo de módulo (como se indica en Módulos y plantillas personalizados) y el nombre visible del módulo con guiones bajos en lugar de espacios. Por ejemplo, el nombre de categoría de un módulo personalizado puede ser Unexpected Compute Engine region: example_custom_module.
- RESOURCE_LEVEL: Es el nivel de recurso en el que deseas enumerar los resultados; es organizations, folders o projects.
- RESOURCE_ID: El ID del recurso; es decir, el ID de la organización, de la carpeta o del ID del proyecto.
- SOURCE_ID: Es el ID de origen de los módulos personalizados de Event Threat Detection.

Si deseas obtener más información para filtrar los resultados, consulta Mostrar una lista de hallazgos de seguridad.

Los resultados que generan los módulos personalizados se pueden administrar como todos los resultados de Security Command Center. Para obtener más información, consulta lo siguiente:

Administrar módulos personalizados de Event Threat Detection

En esta sección, se describe cómo ver, enumerar, actualizar y borrar los módulos personalizados de Event Threat Detection.

Cómo ver o enumerar módulos personalizados

Console

Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
Opcional: Para ver solo los módulos personalizados, ingresa Type:Custom en el campo Filter.

Los resultados incluyen lo siguiente:

Todos los módulos personalizados de Event Threat Detection residenciales.
Todos los módulos personalizados heredados de Event Threat Detection. Por ejemplo, si estás en la vista de proyectos, los módulos personalizados creados en las carpetas superiores y la organización de ese proyecto se incluyen en los resultados.
Todos los módulos personalizados descendientes de Event Threat Detection creados en recursos secundarios. Por ejemplo, si estás en la vista de organización, los módulos personalizados que se crearon en carpetas y proyectos dentro de esa organización se incluyen en los resultados.

gcloud

gcloud alpha scc custom-modules etd list \
    --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

RESOURCE_FLAG: Es el alcance en el que deseas enumerar los módulos personalizados; uno de organization, folder o project.
RESOURCE_ID: El ID del recurso; es decir, el ID de la organización, de la carpeta o del ID del proyecto.

Los resultados incluyen lo siguiente:

Todos los módulos personalizados de Event Threat Detection residenciales.
Todos los módulos personalizados heredados de Event Threat Detection. Por ejemplo, cuando enumeras módulos personalizados a nivel de proyecto, los módulos personalizados creados en las carpetas superiores y la organización de ese proyecto se incluyen en los resultados.

Cada elemento de los resultados incluye el nombre, el estado y las propiedades del módulo. Las propiedades son diferentes para cada módulo.

El nombre de cada módulo contiene su ID de módulo personalizado. Muchas operaciones de gcloud de esta página requieren el ID de módulo personalizado.

name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID

Cómo inhabilitar un módulo personalizado

Console

Consulta Cómo habilitar o inhabilitar un módulo.

Cuando inhabilitas un módulo personalizado heredado, los cambios solo se aplican a tu nivel de recursos actual. El módulo personalizado original que reside en el nivel superior no se ve afectado. Por ejemplo, si estás en el nivel de proyecto y, luego, inhabilitas un módulo personalizado que se heredó de la carpeta superior, el módulo personalizado solo se inhabilitará a nivel del proyecto.

No puedes inhabilitar un módulo personalizado subordinado. Por ejemplo, si estás en la vista de organización, no puedes inhabilitar un módulo personalizado que se creó a nivel de proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="DISABLED"

Reemplaza lo siguiente:

CUSTOM_MODULE_ID: El ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890 Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando ves la lista de módulos personalizados.
RESOURCE_FLAG: Es el alcance del recurso superior en el que reside el módulo personalizado; uno de organization, folder o project.
RESOURCE_ID: Es el ID del recurso superior; es decir, el ID de la organización, de la carpeta o del ID del proyecto.

Cómo habilitar un módulo personalizado

Console

Consulta Cómo habilitar o inhabilitar un módulo.

Cuando habilitas un módulo personalizado heredado, los cambios solo se aplican a tu nivel de recursos actual. El módulo personalizado original que reside en el nivel superior no se ve afectado. Por ejemplo, si estás en el nivel de proyecto y habilitas un módulo personalizado que se heredó de la carpeta superior, el módulo personalizado solo se habilitará a nivel de proyecto.

No puedes habilitar un módulo personalizado subordinado. Por ejemplo, si estás en la vista de organización, no puedes habilitar un módulo personalizado que se creó a nivel de proyecto.

gcloud

gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
    --RESOURCE_FLAG=RESOURCE_ID \
    --enablement-state="ENABLED"

Reemplaza lo siguiente:

CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando ves la lista de módulos personalizados.
RESOURCE_FLAG: Es el alcance del recurso superior en el que reside el módulo personalizado; uno de organization, folder o project.
RESOURCE_ID: Es el ID del recurso superior; es decir, el ID de la organización, de la carpeta o del ID del proyecto.

Cómo actualizar la definición de un módulo personalizado

En esta sección, se describe cómo actualizar un módulo personalizado a través de la consola de Google Cloud y gcloud CLId. Cada módulo personalizado de Event Threat Detection tiene un límite de tamaño de 6 MB.

No puedes actualizar el tipo de módulo de un módulo personalizado.

Para actualizar un módulo personalizado, sigue estos pasos:

Console

Solo puedes editar módulos personalizados residenciales. Por ejemplo, si estás en la vista de organización, solo puedes editar los módulos personalizados que se crearon a nivel de la organización.

Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
Busca el módulo personalizado que deseas editar.
Para ese módulo personalizado, haz clic en Actions > Edit.
Edita el módulo personalizado según sea necesario.
Haz clic en Guardar.

gcloud

Para actualizar un módulo, ejecuta el siguiente comando y, luego, incluye el JSON de plantilla de módulo actualizado:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Reemplaza lo siguiente:

CUSTOM_MODULE_ID: Es el ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890. Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando ves la lista de módulos personalizados.
RESOURCE_FLAG: Es el alcance del recurso superior en el que reside el módulo personalizado; uno de organization, folder o project.
RESOURCE_ID: Es el ID del recurso superior; es decir, el ID de la organización, de la carpeta o del ID del proyecto.
PATH_TO_JSON_FILE: El archivo JSON que contiene la definición JSON del módulo personalizado

Cómo verificar el estado de un solo módulo personalizado

Console

Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
Busca el módulo personalizado en la lista.

El estado del módulo personalizado se muestra en la columna Status.

gcloud

 gcloud alpha scc custom-modules etd get CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

CUSTOM_MODULE_ID: El ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890 Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando ves la lista de módulos personalizados.
RESOURCE_FLAG: Es el alcance del recurso superior en el que reside el módulo personalizado; uno de organization, folder o project.
RESOURCE_ID: Es el ID del recurso superior; es decir, el ID de la organización, de la carpeta o del ID del proyecto.

El resultado se parece al siguiente y, además, incluye el estado y las propiedades del módulo. Las propiedades son diferentes para cada módulo.

config:
metadata:
  description: DESCRIPTION
  recommendation: RECOMMENDATION
  severity: SEVERITY
regions:
- region: REGION
displayName: USER_SPECIFIED_DISPLAY_NAME
enablementState: STATUS
lastEditor: LAST_EDITOR
name: RESOURCE_LEVEL/RESOURCE_ID/eventThreatDetectionSettings/customModules/CUSTOM_MODULE_ID
type: MODULE_TYPE
updateTime: 'UPDATE_TIME'

Cómo borrar un módulo personalizado

Cuando borras un módulo personalizado de Event Threat Detection, los resultados que se generan no se modifican y permanecen disponibles en Security Command Center. Por el contrario, cuando borras un módulo personalizado de Security Health Analytics, los resultados que se generan se marcan como inactivos.

No puedes recuperar un módulo personalizado que se borró.

Console

No puedes borrar módulos personalizados heredados. Por ejemplo, si estás en la vista de proyecto, no puedes borrar los módulos personalizados que se crearon a nivel de organización o carpeta.

Para borrar un módulo personalizado a través de la consola de Google Cloud, haz lo siguiente:

Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
Busca el módulo personalizado que deseas borrar.
Para ese módulo personalizado, haz clic en Acciones > Borrar. Aparecerá un mensaje en el que se te solicitará que confirmes la eliminación.
Haz clic en Borrar.

gcloud

 gcloud alpha scc custom-modules etd delete CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID

Reemplaza lo siguiente:

CUSTOM_MODULE_ID: El ID numérico del módulo personalizado de Event Threat Detection, por ejemplo, 1234567890 Puedes obtener el ID numérico del campo name del módulo personalizado relevante cuando ves la lista de módulos personalizados.
RESOURCE_FLAG: Es el alcance del recurso superior en el que reside el módulo personalizado; uno de organization, folder o project.
RESOURCE_ID: Es el ID del recurso superior; es decir, el ID de la organización, de la carpeta o del ID del proyecto.

Clona un módulo personalizado

Cuando clonas un módulo personalizado, el módulo personalizado resultante se crea como residente del recurso que estás viendo. Por ejemplo, si clonas un módulo personalizado que tu proyecto heredó de la organización, el módulo personalizado nuevo es un módulo residencial del proyecto.

No puedes clonar un módulo personalizado subordinado.

Para clonar un módulo personalizado a través de la consola de Google Cloud, haz lo siguiente:

Consulta los módulos del servicio Event Threat Detection. Los módulos predefinidos y personalizados aparecen en una lista.
Busca el módulo personalizado que deseas clonar.
Para ese módulo personalizado, haz clic en Actions > Clone.
Edita el módulo personalizado según sea necesario.
Haz clic en Crear.

¿Qué sigue?

Obtén más información sobre los módulos personalizados para Event Threat Detection.