將 Alexa 與 Google SecOps 整合

本文說明如何將 Alexa 與 Google Security Operations 整合。

用途

Alexa 整合功能會使用 Google SecOps 功能，支援下列用途：

• 網址熱門程度擴充：在案件中為網址新增全球網站流量排名，區分知名網站和不熟悉的網域。
• 可疑網域分類：在網路釣魚或惡意軟體調查期間，自動將低流量網域標記為可疑網域。
• 自動警告升級：當網域低於熱門程度門檻時，自動轉送應對手冊，讓分析人員優先處理可疑網址。

事前準備

在 Google SecOps 設定 Alexa 整合前，請先完成下列必要步驟：

1. 為 Google SecOps 執行個體建立 AWS 存取金鑰憑證。
2. 在 AWS Identity and Access Management 中設定最低權限存取權限。
3. 確認 Google SecOps 和 Alexa Web Information Service 之間的網路連線。

建立 AWS 存取金鑰憑證

如要連線至 Alexa Web Information Service，請在 AWS 中建立專屬 IAM 使用者，而非使用根帳戶憑證，並為整合參數產生存取金鑰組：

• Access key id：專用 AWS IAM 使用者的存取金鑰 ID。
• Secret access key：與存取金鑰 ID 配對的私密存取金鑰。建立金鑰時請務必儲存，因為 AWS 不允許日後再次查看現有 Secret Key。

如需建立 IAM 使用者存取金鑰的操作說明，請參閱 AWS Identity and Access Management 說明文件。

設定最小權限存取權

僅授予專屬 IAM 使用者查詢 Alexa Web Information Service 所需的權限，而非完整的管理員權限。如要進一步瞭解如何附加政策，請參閱 AWS Identity and Access Management 說明文件。

下表列出各項動作所需的最低 AWS 權限：

驗證網路連線

確認 Google SecOps 執行個體或遠端代理程式允許傳出 HTTPS 流量，前往下表列出的 Alexa Web Information Service 端點：

整合參數

Alexa 整合需要下列參數：

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

取得網址排名

使用「Get URL Rank」動作，檢查網址的全球流量排名，找出可能可疑的不熟悉或低流量網站。

這項動作會對 URL Google SecOps 實體執行。

動作輸入內容

「Get URL Rank」動作需要下列參數：

動作輸出內容

「Get URL Rank」動作會提供下列輸出內容：

實體擴充

「Get URL Rank」動作支援下列實體擴充：

JSON 結果

以下範例顯示使用「Get URL Rank」動作時，收到的 JSON 結果輸出內容：

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]

輸出訊息

「Get URL Rank」動作會提供下列輸出訊息：

指令碼執行結果

下表列出使用「Get URL Rank」動作時，指令碼結果輸出的值：

乒乓

使用「Ping」動作測試與 Alexa 的連線，並確認 AWS 憑證是否有效。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

輸出訊息

Ping 動作會提供下列輸出訊息：

指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。