Übersicht über benutzerdefinierte Module für Event Threat Detection

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "ips": [
    "IP_ADDRESS_1",
    "IP_ADDRESS_2"
  ]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• IP_ADDRESS_1: Eine öffentlich routingfähige IPv4- oder IPv6-Adresse oder ein CIDR-Block, der überwacht werden soll, z. B. 192.0.2.1 oder 192.0.2.0/24.
• IP_ADDRESS_2: Optional. Eine öffentlich routingfähige IPv4- oder IPv6-Adresse oder ein CIDR-Block, nach dem gesucht werden soll, z. B. 192.0.2.1 oder 192.0.2.0/24.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "domains": [
    "DOMAIN_1","DOMAIN_2"
  ]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• DOMAIN_1: Ein Domainname, nach dem gesucht werden soll, z. B. example.com. Der Wert localhost ist nicht zulässig. Unicode- und Punycode-Domainnamen werden normalisiert. Beispiel: 例子.example und xn--fsqu00a.example sind gleichwertig.
• DOMAIN_2: Optional. Ein Domainname, der beobachtet werden soll, z. B. example.com. Der Wert localhost ist nicht zulässig. Unicode- und Punycode-Domainnamen werden normalisiert. Beispiel: 例子.example und xn--fsqu00a.example sind äquivalent.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "instances": [
    {
      "series": "SERIES",
      "cpus": {
        "minimum": MINIMUM_NUMBER_OF_CPUS,
        "maximum": MAXIMUM_NUMBER_OF_CPUS
      },
      "ram_mb": {
        "minimum": MINIMUM_RAM_SIZE,
        "maximum": MAXIMUM_RAM_SIZE
      },
      "gpus": {
        "minimum": MINIMUM_NUMBER_OF_GPUS,
        "maximum": MAXIMUM_NUMBER_OF_GPUS
      },
      "projects": [
        "PROJECT_ID_1",
        "PROJECT_ID_2"
      ],
      "regions": [
        "REGION_1",
        "REGION_2"
      ]
    },
    {
      "series": " ... ",
      ...
      "regions": [ ... ]
    }
  ]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• SERIES: Optional. Die Compute Engine-Maschinenserie, z. B. C2. Wenn das Feld leer ist, sind alle Serien zulässig. Weitere Informationen finden Sie im Leitfaden zu Ressourcen und Vergleichen für Maschinenfamilien.
• MINIMUM_NUMBER_OF_CPUS: Optional. Die Mindestanzahl der zulässigen CPUs. Wenn nicht vorhanden, gibt es keine Mindestanzahl. Darf nicht negativ sein.
• MAXIMUM_NUMBER_OF_CPUS: Optional. Die maximale Anzahl an zulässigen CPUs. Wenn nicht vorhanden, gibt es kein Maximum. Muss größer oder gleich minimum und kleiner oder gleich 1.000 sein.
• MINIMUM_RAM_SIZE: Optional. Die Mindestgröße des RAM in Megabyte, die zulässig ist. Wenn nicht vorhanden, gibt es keine Mindestanzahl.
• MAXIMUM_RAM_SIZE: Optional. Die maximal zulässige RAM-Größe in Megabyte. Falls nicht angegeben, gibt es keine maximale Anzahl. Muss größer oder gleich minimum und kleiner oder gleich 10.000.000 sein.
• MINIMUM_NUMBER_OF_GPUS: Optional. Die Mindestanzahl der zulässigen GPUs. Wenn nicht vorhanden, gibt es keine Mindestanzahl. Darf nicht negativ sein.
• MAXIMUM_NUMBER_OF_GPUS: Optional. Die maximale Anzahl von zulässigen GPUs. Wenn nicht vorhanden, gibt es kein Maximum. Muss größer oder gleich minimum und kleiner oder gleich 100 sein.
• PROJECT_ID_1: Optional. Die ID eines Projekts, auf das Sie dieses Modul anwenden möchten, z. B. projects/example-project. Wenn das Feld leer ist oder nicht festgelegt wurde, wird das Modul auf Instanzen angewendet, die in allen Projekten im aktuellen Bereich erstellt wurden.
• PROJECT_ID_2: Optional. Die ID eines Projekts, auf das Sie dieses Modul anwenden möchten, z. B. projects/example-project.
• REGION_1: Optional. Eine Region, in der Sie dieses Modul anwenden möchten, z. B. us-central1. Wenn das Feld leer oder nicht festgelegt ist, wird das Modul auf Instanzen angewendet, die in allen Regionen erstellt wurden.
• REGION_2: Optional. Eine Region, in der Sie dieses Modul anwenden möchten, z. B. us-central1.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "patterns": [
    {

      "pattern": "PATTERN_1",
      "name": "NAME_1"
    },
    {
      "pattern": "PATTERN_2",
      "name": "NAME_2"
    }
  ]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• PATTERN_1: Ein RE2-regulärer Ausdruck, mit dem Bilder verglichen werden, z. B. debian-image-1. Wenn ein Bild zum Erstellen einer Compute Engine-Instanz verwendet wird und der Name dieses Bildes mit keinem der angegebenen regulären Ausdrücke übereinstimmt, wird ein Ergebnis generiert.
• NAME_1: Ein aussagekräftiger Name für dieses Muster, z. B. first-image.
• PATTERN_2: Optional. Ein weiterer regulärer RE2-Ausdruck, mit dem Bilder verglichen werden sollen, z. B. debian-image-2.
• NAME_2: Optional. Ein aussagekräftiger Name für das zweite Muster, z. B. second-image.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "regions": [
    {
      "region": "REGION_1"
    },
    {
      "region": "REGION_2"
    }
  ]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• REGION_1: Der Name einer Region, die zugelassen werden soll, z. B. us-west1. Wenn eine Compute Engine-Instanz in einer Region erstellt wird, die nicht in der Liste angegeben ist, generiert Event Threat Detection einen Befund.
• REGION_2: Optional. Der Name einer Region, die zugelassen werden soll, z. B. us-central1. Wenn eine Compute Engine-Instanz in einer Region erstellt wird, die nicht in der Liste angegeben ist, wird von Event Threat Detection ein Ergebnis generiert.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "accounts": [
    "BREAKGLASS_ACCOUNT_1", "BREAKGLASS_ACCOUNT_2"
  ]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• BREAKGLASS_ACCOUNT_1: Ein Break-Glass-Konto, das überwacht werden soll, z. B. test@example.com. Ein Ergebnis wird generiert, wenn dieses Konto für eine Aktion verwendet wird, die in einem Cloud-Audit-Logs-Eintrag aufgezeichnet wird.
• BREAKGLASS_ACCOUNT_2: Optional. Ein Break-Glass-Konto, das Sie im Blick behalten sollten, z. B. test@example.com. Eine Erkenntnis wird generiert, wenn dieses Konto für eine Aktion verwendet wird, die in einem Cloud-Audit-Logeintrag aufgezeichnet wird.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "roles": ["ROLE_1", "ROLE_2"]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• ROLE_1: Eine IAM-Rolle, die überwacht werden soll, z. B. roles/owner. Wenn diese Rolle gewährt wird, wird ein Ergebnis generiert.
• ROLE_2: Optional. Eine IAM-Rolle, die überwacht werden soll, z. B. roles/editor. Wenn diese Rolle gewährt wird, wird ein Ergebnis generiert.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "permissions": [
    "PERMISSION_1",
    "PERMISSION_2"
  ]
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• PERMISSION_1: Eine IAM-Berechtigung, die überwacht werden soll, z. B. storage.buckets.list. Event Threat Detection generiert ein Ergebnis, wenn einem Hauptkonto eine benutzerdefinierte IAM-Rolle mit dieser Berechtigung zugewiesen wird.
• PERMISSION_2: Optional. Eine IAM-Berechtigung, die überwacht werden soll, z. B. storage.buckets.get. Event Threat Detection generiert ein Ergebnis, wenn einem Hauptkonto eine benutzerdefinierte IAM-Rolle mit dieser Berechtigung zugewiesen wird.

{
  "metadata": {
    "severity": "SEVERITY",
    "description": "DESCRIPTION",
    "recommendation": "RECOMMENDATION"
  },
  "caller_pattern": "CALLER_PATTERN",
  "method_pattern": "METHOD_PATTERN",
  "resource_pattern": "RESOURCE_PATTERN"
}

Ersetzen Sie Folgendes:

• SEVERITY: Die Schwere der Ergebnisse, die von diesem Modul generiert werden sollen. Gültige Werte sind LOW, MEDIUM, HIGH und CRITICAL.
• DESCRIPTION: Eine Beschreibung der Bedrohung, die vom benutzerdefinierten Modul erkannt wird. Diese Beschreibung wird verwendet, um die explanation-Property jedes von diesem Modul generierten Ergebnisses zu füllen.
• RECOMMENDATION: Eine Erläuterung der empfohlenen Schritte, die Sicherheitsteams unternehmen können, um das erkannte Problem zu beheben. Diese Erklärung wird verwendet, um die Property nextSteps jedes von diesem Modul generierten Ergebnisses zu füllen.

• CALLER_PATTERN: Ein RE2-regulärer Ausdruck, mit dem Principals verglichen werden. Beispiel: .* entspricht einem beliebigen Prinzipal.
• METHOD_PATTERN: Ein regulärer RE2-Ausdruck, mit dem Methoden verglichen werden sollen, z. B. ^cloudsql\\.instances\\.export$.
• RESOURCE_PATTERN: Ein regulärer RE2-Ausdruck, mit dem Ressourcen geprüft werden sollen, z. B. example-project.