整合 Google 快訊中心與 Google SecOps

本文說明如何將 Google 快訊中心與 Google Security Operations (Google SecOps) 整合。

在 Google SecOps 平台中，快訊中心的整合功能稱為「Google 快訊中心」。

用途

將快訊中心與 Google SecOps 整合，有助於解決下列應用實例：

• 偵測網路釣魚廣告活動：使用 Google SecOps 功能，擷取快訊中心通知，瞭解是否有針對貴機構的潛在網路釣魚電子郵件。Google SecOps 可觸發自動工作流程來調查電子郵件、封鎖惡意 網址，以及隔離受影響的使用者帳戶。

• 嘗試外洩資料：使用 Google SecOps 功能觸發自動事件應變、隔離受影響的系統、封鎖惡意行為者，並啟動鑑識分析。

• 偵測惡意軟體：使用 Google SecOps 功能隔離受感染的裝置、啟動惡意軟體掃描，以及部署修補程式。

• 安全漏洞識別：使用 Google SecOps 功能自動處理警報，瞭解影響貴機構系統的新發現安全漏洞、排定修補作業的優先順序、啟動安全漏洞掃描，以及通知相關團隊。

事前準備

設定 Google 快訊中心整合功能前，請先準備好下列項目：

1. 啟用必要的 API。
2. 建立服務帳戶和憑證。
3. 將全網域權限委派給服務帳戶。

啟用 Google Workspace Alert Center API

如要啟用 Google Workspace 快訊中心 API，請在Google Cloud 控制台的專案中啟用。

1. 依序前往「API 和服務」>「程式庫」。

2. 搜尋並選取「Google Workspace Alert Center API」。

3. 按一下「啟用」。

建立服務帳戶

如要讓整合服務安全地存取 Google 快訊中心資料，您必須在 Google Cloud 控制台中建立服務帳戶，做為整合服務的身分。

如需建立服務帳戶的指引，請參閱「建立服務帳戶」。

建立服務帳戶 JSON 金鑰

如要建立 JSON 金鑰，請完成下列步驟：

1. 選取您建立的服務帳戶，然後前往「金鑰」。

2. 依序點選「新增金鑰」>「建立新的金鑰」。

3. 選取「JSON」做為金鑰類型，然後按一下「建立」。私密金鑰會自動下載到電腦，並顯示確認對話方塊，提醒您妥善儲存金鑰。

4. 在 JSON 檔案中找出 client_id，並複製該檔案，以便稍後將全網域授權委派給服務帳戶。

將全網域授權委派給服務帳戶

如要允許服務帳戶存取使用者資料，您必須在 Google 管理控制台中授予網域範圍的授權。

1. 在網域的 Google 管理控制台中，依序前往「主選單」menu>「安全性」>「存取權與資料控管」>「API 控制項」。

2. 在「全網域委派」窗格中，選取「管理全網域委派設定」。

3. 按一下「新增」。

4. 在「用戶端 ID」欄位中，輸入您建立的 JSON 金鑰 (client_id) 中的用戶端 ID。

5. 在「OAuth Scopes」(OAuth 範圍) 欄位中，輸入下列範圍：

   https://www.googleapis.com/auth/apps.alerts
   

6. 按一下 [授權]。

在 Google SecOps 中設定快訊中心的整合功能

整合需要下列參數：

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您就可以在劇本中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 從工作台回覆待處理動作」和「執行手動動作」。

刪除快訊

使用「刪除快訊」動作，即可刪除快訊中心的快訊。

刪除快訊後，您可以在 30 天內復原該快訊。您無法復原在 30 天前刪除的快訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「刪除快訊」動作需要下列參數：

動作輸出內容

「Delete Alert」(刪除快訊) 動作會提供下列輸出內容：

輸出訊息

「Delete Alert」動作可能會傳回下列輸出訊息：

指令碼結果

下表列出使用「刪除快訊」動作時，指令碼結果輸出的值：

乒乓

使用「Ping」動作測試與快訊中心的連線。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

輸出訊息

「Ping」動作可能會傳回下列輸出訊息：

指令碼結果

下表列出使用「Ping」動作時，指令碼結果輸出的值：

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Google 快訊中心 - 快訊連接器

使用 Google 快訊中心 - 快訊連接器，從快訊中心擷取快訊相關資訊。

動態清單篩選器適用於 type 參數。

連接器輸入內容

「Google 快訊中心 - 快訊連接器」需要下列參數：

連接器規則

下列規則定義了連接器的運作邏輯、資料處理行為和安全機制。

• Proxy：連接器支援 Proxy。

• 建立事件：如果快訊包含 data/messages 鍵 (JSON 物件清單)，連接器會為清單中的每個物件建立個別事件。

• 安全逾時：如果連接器達到執行逾時的 90% (根據 PythonProcessTimeout)，就會停止執行，且不會為該疊代建立新快訊，以防部分資料擷取作業。

• 浮水印管理：連接器會使用 alertId 追蹤已處理的快訊。最多可將 1000 個 ID 儲存在 ids.json 中。超過上限時，系統會移除最舊的 100 個 ID。

事件 JSON 範例

下列 JSON 範例代表 Google 快訊中心 API 的一般回應結構，說明可擷取的特定資料欄位。

{
    "customerId": "038judqw",
    "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
    "createTime": "2020-07-22T11:50:08.353Z",
    "startTime": "2020-07-22T10:54:54.059475Z",
    "endTime": "2020-07-22T11:46:51.020063Z",
    "type": "User reported phishing",
    "source": "Gmail phishing",
    "data": {
        "@type": "[type.googleapis.com/google.apps.alertcenter.type.MailPhishing](https://type.googleapis.com/google.apps.alertcenter.type.MailPhishing)",
        "domainId": {
            "customerPrimaryDomain": "smplylab.com"
        },
        "maliciousEntity": {
            "fromHeader": "crazywiz7@abv.bg"
        },
        "messages": [
            {
                "messageId": "1753474999.350456.1595412914645@nm22.abv.bg",
                "messageBodySnippet": " eicar com http malware wicar org data ms14_064_ole_not_xp html",
                "md5HashSubject": "c93d4454877e844fdfcb4401472204f2",
                "subjectText": "Re: App Store - Support.      17/07/2020 12:50:36",
                "attachmentsSha256Hash": [
                    "77c2aed70c3b20c50dbf071f8688580e02463c213e7a65ccab1acc2f8a9769a3",
                    "f5e1b1bf12b71c54f68a719e0c45df5806a8b8d57bf3967d9bd4a071cfc5abbe"
                ],
                "recipient": "lab3@smplylab.com",
                "date": "2020-07-22T10:54:54.059475Z"
            }
        ]
    },
    "securityInvestigationToolLink": "[admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE](https://admin.google.com/ac/ac/investigate?alert=CiRlMzc0MTVmMS03YzM5LTQ0YTUtYjQzYy00ZjgxNTk2MzhhMmE)",
    "metadata": {
        "customerId": "038judqw",
        "alertId": "e37415f1-7c39-44a5-b43c-4f8159638a2a",
        "status": "NOT_STARTED",
        "updateTime": "2020-07-22T11:50:08.353Z",
        "severity": "HIGH",
        "etag": "rrXycg7VpUA="
    },
    "updateTime": "2020-07-22T11:50:08.353Z",
    "etag": "rrXycg7VpUA="
}

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。