將 Google 快訊中心與 Google SecOps 整合

本文說明如何將 Google Workspace Alert Center 與 Google Security Operations 整合。

用途

Google 快訊中心整合功能會使用 Google SecOps 功能，支援下列用途：

  • 網路釣魚活動應變：擷取快訊中心通知，瞭解貴組織可能面臨的網路釣魚攻擊。觸發自動化工作流程，調查電子郵件、封鎖惡意網址，以及隔離受影響的帳戶。

  • 遏止資料竊取：偵測到可疑的資料移動時，觸發自動事件應變。隔離受影響的系統，並啟動鑑識分析。

  • 自動修復惡意軟體：隔離 Google Workspace 快訊識別出的受感染裝置，並啟動強制惡意軟體掃描或修補程式部署。

  • 安全漏洞管理：自動處理新發現的安全漏洞警示，這些漏洞會影響 Google Workspace 環境，因此需要優先修補並通知相關團隊。

事前準備

在 Google SecOps 中設定 Google 快訊中心整合功能前，請先完成下列必要步驟：

  1. 啟用 Google Workspace Alert Center API。

  2. 建立服務帳戶。

  3. 設定 JSON 金鑰。

  4. 委派全網域授權。

  5. 將快訊中心存取權授予模擬使用者。

啟用 Google Workspace Alert Center API

啟用 API 後，Google SecOps 就能與 Google Workspace 安全性資料通訊。

  1. 前往 Google Cloud 控制台的「Library」(程式庫) 頁面。

    前往「媒體庫」

  2. 按一下「啟用」。

建立服務帳戶

服務帳戶可做為整合的安全身分，用於存取 Google Workspace 資料。

  1. 在 Google Cloud 控制台，依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。

    前往「Service Accounts」(服務帳戶)

  2. 按一下「add」「Create service account」(建立服務帳戶)。

  3. 提供名稱 (例如「SecOps Alert Center Integration」) 和說明。

  4. 按一下「建立並繼續」。

  5. 略過選用的 IAM 角色指派步驟，然後按一下「Done」(完成)。快訊中心權限會授予網域 Google 管理控制台中模擬的 Google Workspace 使用者，而非 Google Cloud IAM 中的服務帳戶。

  6. 在清單中找出服務帳戶，然後複製其「Client ID」(用戶端 ID) (專屬 ID) 和「Email address」(電子郵件地址)。

設定 JSON 金鑰

這項整合功能會使用靜態 JSON 金鑰檔案進行驗證。

  1. 在 Google Cloud 控制台中選取服務帳戶，然後前往「Keys」(金鑰) 分頁。

  2. 依序點選「新增金鑰」>「建立新的金鑰」。

  3. 選取「JSON」，然後點選「建立」。金鑰檔案會自動下載到電腦。

  4. 複製這個檔案的完整內容，並在整合設定期間貼到 Service Account JSON Secret。

委派全網域授權

授予全網域授權後，服務帳戶就能模擬管理員，存取使用者的快訊。

  1. 在網域的 Google 管理控制台中，依序前往「主選單」>「安全性」>「存取權與資料控管」>「API 控制項」。

  2. 在「Domain wide delegation」(全網域委派) 窗格中，選取「Manage Domain Wide Delegation」(管理全網域委派設定)。

  3. 按一下「新增」。

  4. 在「Client ID」(用戶端 ID) 欄位中，輸入從服務帳戶複製的「Unique ID」(專屬 ID) (用戶端 ID)。

  5. 在「OAuth 範圍」欄位中，輸入下列範圍：

    https://www.googleapis.com/auth/apps.alerts

  6. 按一下 [授權]。

將快訊中心存取權授予模擬使用者

您在 Impersonation Email Address 參數中指定的 Google Workspace 使用者，必須在網域的 Google 管理控制台中具備快訊中心管理員權限。

如要在 Google 管理控制台中授予快訊中心存取權，請將下列任一角色指派給模擬使用者：

  • 預先建立的管理員角色：指派「超級管理員」或「服務管理員」角色，這些角色預設具備快訊中心的完整存取權。

  • 自訂管理員角色：在 「帳戶」>「管理員角色」中建立自訂管理員角色，並授予「快訊中心」 >「完整存取權」權限 (執行 「刪除快訊」動作時需要) 或「快訊中心」>「檢視權限」 權限 (足以擷取唯讀快訊)，然後將該角色 指派給模擬使用者。

如要進一步瞭解如何設定快訊中心管理員權限和自訂角色，請參閱「授予快訊中心存取權」。

整合參數

Google 快訊中心整合功能需要下列參數：

參數 說明
Service Account JSON Secret

這是必填欄位。

您下載的服務帳戶金鑰 JSON 檔案完整內容。
Impersonation Email Address

這是必填欄位。

Google Workspace 網域中具備快訊中心管理員權限 (例如超級管理員或服務管理員角色，或具備快訊中心權限的自訂管理員角色) 的 Google Workspace 使用者電子郵件地址。

這項整合功能會使用全網域委派功能，模擬這位使用者並擷取或管理快訊。
Verify SSL

選填。

如果選取，整合功能會在連線至 Google 快訊中心伺服器時驗證 SSL 憑證。

(預設為啟用)。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

刪除快訊

使用「刪除快訊」動作，刪除快訊中心的快訊。

刪除快訊後，你可以在 30 天內復原。無法復原刪除超過 30 天的快訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Delete Alert」動作需要下列參數：

參數 說明
Alert ID 必要

要刪除的快訊 ID。

動作輸出內容

「刪除快訊」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

刪除快訊動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted alert with ID RECORD_ID in the alert center.

Alert with ID RECORD_ID doesn't exist in the alert center.

 動作成功。
Error executing action "Delete Alert". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「刪除快訊」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用 Ping 動作測試與快訊中心的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Ping 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the alert center server with the provided connection parameters! 動作成功。
Failed to connect to the alert center server! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Google 快訊中心 - 快訊連接器

使用 Google 快訊中心 - 快訊連接器，從快訊中心擷取快訊相關資訊。

動態清單篩選器可與 type 參數搭配使用。

連接器輸入

Google 快訊中心 - 快訊連接器需要下列參數：

參數 說明
Product Field Name 必要

儲存產品名稱的欄位名稱。

預設值為 source。
Event Field Name 必要

用於判斷事件名稱 (子類型) 的欄位名稱。

預設值為 type。
Environment Field Name 選用

儲存環境名稱的欄位名稱。

如果找不到環境欄位，系統會將環境設為預設環境。

預設值為 ""。
Environment Regex Pattern 選用

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
PythonProcessTimeout 必要

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 180。
Service Account JSON Secret 必要

您用於向快訊中心驗證的服務帳戶檔案完整 JSON 內容。
Impersonation Email Address 必要

具備快訊中心管理員權限的 Google Workspace 使用者電子郵件地址 (例如超級管理員或服務管理員角色，或具備快訊中心權限的自訂管理員角色)。
Verify SSL 選用

如果選取，整合作業會驗證用於連線至快訊中心的 SSL 憑證是否有效。

預設為選取。
Max Hours Backwards 選用

第一次連接器疊代前，要擷取回應的小時數。這項參數適用於首次啟用連接器後的初始連接器疊代，或過期連接器時間戳記的備用值。

預設值為 1 小時。
Max Alerts To Fetch 選用

每次連接器疊代作業要擷取的快訊數量上限。

上限為 100。
Lowest Severity To Fetch 選用

要擷取的最低快訊嚴重性。
Use whitelist as a blacklist 選用

如果選取，連接器會將動態清單做為封鎖清單。

預設為未選取。
Proxy Server Address 選用

要使用的 Proxy 伺服器位址。
Proxy Username 選用

用於驗證的 Proxy 使用者名稱。
Proxy Password 選用

用於驗證的 Proxy 密碼。

連接器規則

下列規則定義了連接器的作業邏輯、資料處理行為和安全機制。

  • Proxy：連接器支援 Proxy。

  • 建立事件：如果快訊包含 data/messages 鍵 (JSON 物件清單)，連接器會為清單中的每個物件建立個別事件。

  • 安全逾時：如果連接器達到執行逾時時間的 90% (根據 PythonProcessTimeout)，就會停止，且不會為該疊代建立新快訊，以免擷取部分資料。

  • 浮水印管理：連接器會使用 alertId 追蹤已處理的快訊。ids.json 最多可儲存 1,000 個 ID。超過上限時，系統會移除最舊的 100 個 ID。

事件 JSON 範例

下列 JSON 範例代表 Google 快訊 Center API 的一般回應結構，說明可擷取的特定資料欄位。

{
    "customerId": "038judqw",
    "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
    "createTime": "2020-07-22T11:50:08.353Z",
    "startTime": "2020-07-22T10:54:54.059475Z",
    "endTime": "2020-07-22T11:46:51.020063Z",
    "type": "User reported phishing",
    "source": "Gmail phishing",
    "data": {
        "@type": "[type.googleapis.com/google.apps.alertcenter.type.MailPhishing](https://type.googleapis.com/google.apps.alertcenter.type.MailPhishing)",
        "domainId": {
            "customerPrimaryDomain": "smplylab.com"
        },
        "maliciousEntity": {
            "fromHeader": "crazywiz7@abv.bg"
        },
        "messages": [
            {
                "messageId": "1753474999.350456.1595412914645@nm22.abv.bg",
                "messageBodySnippet": " eicar com http malware wicar org data ms14_064_ole_not_xp html",
                "md5HashSubject": "c93d4454877e844fdfcb4401472204f2",
                "subjectText": "Re: App Store - Support.      17/07/2020 12:50:36",
                "attachmentsSha256Hash": [
                    "77c2aed70c3b20c50dbf071f8688580e02463c213e7a65ccab1acc2f8a9769a3",
                    "f5e1b1bf12b71c54f68a719e0c45df5806a8b8d57bf3967d9bd4a071cfc5abbe"
                ],
                "recipient": "lab3@smplylab.com",
                "date": "2020-07-22T10:54:54.059475Z"
            }
        ]
    },
    "securityInvestigationToolLink": "[admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE](https://admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE)",
    "metadata": {
        "customerId": "038judqw",
        "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
        "status": "NOT_STARTED",
        "updateTime": "2020-07-22T11:50:08.353Z",
        "severity": "HIGH",
        "etag": "rrXycg7VpUA="
    },
    "updateTime": "2020-07-22T11:50:08.353Z",
    "etag": "rrXycg7VpUA="
}

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。