将 Alexa 与 Google SecOps 集成

本文档介绍了如何将 Alexa 与 Google Security Operations 集成。

使用场景

Alexa 集成使用 Google SecOps 功能来支持以下用例：

  • 网址热门程度丰富：在案例中向网址添加全球网站流量排名，以区分知名网站和不熟悉的网域。
  • 可疑网域分类：在钓鱼式攻击或恶意软件调查期间，自动将低流量网域标记为可疑网域。
  • 自动提醒上报：当网域低于您的热门程度阈值时，路由 Playbook，以便分析师可以优先处理可疑网址。

准备工作

在 Google SecOps 中配置 Alexa 集成之前，请完成以下前提步骤：

  1. 为 Google SecOps 实例创建 AWS 访问密钥凭据。
  2. 在 AWS Identity and Access Management 中配置最小权限访问权限。
  3. 验证 Google SecOps 与 Alexa Web Information Service 之间的网络连接。

创建 AWS 访问密钥凭证

如需连接到 Alexa Web Information Service，请在 AWS 中创建专用 IAM 用户，而不是使用根账号凭证，并为集成参数生成访问密钥对：

  • Access key id：专用 AWS IAM 用户的访问密钥 ID。
  • Secret access key：与访问密钥 ID 配对的私有访问密钥。 请在创建此密钥时将其保存，因为 AWS 不允许您日后再次查看现有密钥。

如需了解如何创建 IAM 用户访问密钥，请参阅 AWS Identity and Access Management 文档。

配置最小权限访问权限

仅向专用 IAM 用户授予查询 Alexa Web Information Service 所需的权限，而不是授予完整的管理员权限。如需详细了解如何附加政策，请参阅 AWS Identity and Access Management 文档。

下表列出了每项操作所需的最低 AWS 权限：

操作 AWS 服务 所需权限 说明
获取网址排名 awis awis:UrlInfo 检索网址的网站流量排名。
Ping awis awis:UrlInfo 测试连接并验证您的 AWS 凭证。

验证网络连接

验证您的 Google SecOps 实例或远程代理是否允许出站 HTTPS 流量流向以下表格中列出的 Alexa Web Information Service 端点：

目标主机 默认端口 方向 协议
awis.us-west-1.amazonaws.com 443 出站 HTTPS

集成参数

Alexa 集成需要以下参数：

参数 说明
Access key id

必填。

用于连接到 Alexa Web Information Service 的 AWS 访问密钥 ID。
Secret access key

必填。

与 Access key id 关联的 AWS 私有访问密钥。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

获取网址排名

使用获取网址排名操作可查看网址的全球流量排名，并识别可能存在可疑情况的不熟悉或低流量网站。

此操作在 URL Google SecOps 实体上运行。

操作输入

获取网址排名操作需要以下参数：

参数 说明
Threshold

必填。

用于标记不熟悉网站的排名限制，例如 100000。排名高于此值的网站流量较少，会被标记为可疑网站。

操作输出

获取网址排名操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
实体丰富化表 可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
实体丰富化

获取网址排名操作支持以下实体丰富：

扩充项字段名称 说明
Alexa_Rank 网站在 Alexa 中的全球流量排名。
JSON 结果

以下示例展示了使用获取网址排名操作时收到的 JSON 结果输出：

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]
输出消息

获取网址排名操作会提供以下输出消息：

输出消息 消息说明

Following domains were enriched by Alexa.

ENTITY_ID: Rank: RANK

 操作成功。
No entities were enriched.

操作失败。

请确保支持请求中至少包含一个有效网址。
Request Error: (ERROR_CODE)

操作失败。

请检查您的 AWS 凭证是否正确、您的 IAM 用户是否有权查询 Alexa Web Information Service，以及您的网络是否可以访问该服务。
脚本结果

下表列出了使用获取网址排名操作时脚本结果输出的值：

脚本结果名称 值
is_risky true 或 false

Ping

使用 Ping 操作测试与 Alexa 的连接，并验证您的 AWS 凭证是否有效。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
实体丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作会提供以下输出消息：

输出消息 消息说明
Connected Successfully 操作成功。
test_connectivity Error: (ERROR_REASON)

操作失败。

请检查您的 AWS 凭证是否正确、您的 IAM 用户是否有权查询 Alexa Web Information Service，以及您的网络是否可以访问该服务。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_succeed true 或 false

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。