Valider les contrôles et les configurations de sécurité

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Remarque : Cette fonctionnalité est en version Preview privée et n'est pas disponible pour tous les clients dans toutes les régions. Les fonctionnalités en preview privée ne sont pas gérables sur la page des fonctionnalités de la version Preview publique de la plate-forme Google SecOps.

Ce guide s'adresse aux ingénieurs en sécurité qui souhaitent tester de manière proactive leur sécurité en simulant des attaques dans leur environnement Google Cloud . Il explique comment mettre en œuvre un parcours de validation continue de la sécurité.

Security Validation utilise des actions et des scripts qui imitent les techniques des pirates informatiques pour déclencher des alertes de détection dans vos projets Google Cloud . L'exploitation continue identifie les failles, et les équipes de sécurité peuvent réduire les risques en s'assurant que les configurations et les contrôles répondent aux dernières menaces comme prévu.

La réussite de ce parcours fournit une preuve mesurable de l'amélioration de la stratégie de sécurité et garantit que les règles de détection ou les intégrations nouvellement implémentées fonctionnent correctement sans intervention manuelle.

Cas d'utilisation courants

Cette section liste les cas d'utilisation courants de la validation de sécurité.

Détecter une régression de la stratégie de sécurité

Objectif : identifier quand un comportement d'attaquant précédemment bloqué est exécuté avec succès dans l'environnement.

Valeur : Alerte les équipes de sécurité et d'exploitation en cas de dérive de configuration involontaire, ce qui leur permet de corriger les failles avant qu'elles ne soient exploitées.

Valider l'ajustement des contrôles de sécurité

Objectif : vérifier que les règles de détection ou les intégrations de produits récemment implémentées fonctionnent comme prévu.

Valeur : fournit une preuve mesurable que les mises à jour des règles ou les modifications de l'environnement ont bien amélioré la stratégie de sécurité, ce qui permet aux équipes d'établir une nouvelle référence en toute confiance.

Terminologie clé

• Contexte de validation de sécurité : un contexte de validation de sécurité configure l'environnement de vos tests de sécurité. Il spécifie le projet à utiliser, le compte avec lequel exécuter le test et tout autre détail dont vos actions ont besoin.

• Action de validation de la sécurité : script conçu pour imiter les techniques d'un pirate informatique réel, utilisé pour déclencher des règles de détection afin de vérifier votre stratégie de sécurité.

• Exécution de référence : exécution spécifique et terminée de Security Validation, utilisée comme référence standard pour comparer les exécutions futures.

• Surveillance : tâche planifiée (SecurityValidationJob dans l'API) qui exécute une action de validation de sécurité et évalue les résultats par rapport à une référence définie.

• État de dérive : indicateur d'état d'un moniteur selon que les exécutions récentes correspondent à la référence (état d'intégrité) ou présentent un écart (dérive détectée).

• Fenêtre de corrélation : période de 12 heures après une exécution pendant laquelle le système recherche et associe les événements et détections associés, en fonction du modèle de filtre d'événements dans les métadonnées de l'action exécutée.

• Délai avant expiration de la surveillance : durée maximale pendant laquelle le système attend après une exécution que les événements et les détections soient corrélés avant d'évaluer l'état de dérive final. Ce délai avant expiration s'applique dans la fenêtre de corrélation plus large de 12 heures. Les résultats attendus doivent être observés avant que ce délai avant expiration ne soit atteint pour que la surveillance soit considérée comme réussie. Si les vérifications ne réussissent pas avant ce délai, le système marque la surveillance comme failed. Cette durée est de huit heures par défaut, mais peut être configurée entre 15 minutes et 10 heures.

Avant de commencer

Assurez-vous que la configuration et les autorisations suivantes sont en place.

Configuration requise

Assurez-vous de disposer de la configuration suivante :

• Security Validation doit être activé pour votre locataire.

• La validation de la sécurité ne fonctionne qu'avec les projets autogérés.

• Vous avez besoin d'un ou deux projets Google Cloud . Bien que vous puissiez utiliser le même projet pour l'exécution et le ciblage, nous vous recommandons d'utiliser des projets distincts pour améliorer la sécurité, garder vos tests propres et faciliter la gestion de votre configuration.

  • Projet d'exécution : Security Validation exécute vos tests de sécurité dans le projet d'exécution. Pour ce faire, il utilise Cloud Run et Cloud Storage. Ces jobs et buckets ne sont destinés qu'au service de validation. Les autres utilisateurs ne doivent pas y avoir accès.

    Les API Cloud Run, Resource Manager et IAM doivent être activées dans ce projet, et vous devez disposer des autorisations resourcemanager.projects.SetIamPolicy, storage.buckets.SetIamPolicy, storage.buckets.create et storage.buckets.delete pour créer un contexte de validation de sécurité pour ce projet. Consultez la documentation de référence sur les autorisations IAM pour obtenir la liste des rôles qui fournissent cette autorisation.

  • Projet cible : projet dans lequel les appels d'API effectués par le script d'action de validation de la sécurité sont exécutés. La réussite des actions dépend de l'activation des API requises utilisées par les actions dans ce projet et de l'attribution des autorisations nécessaires aux comptes de service dans le contexte de validation de la sécurité.

• Comptes de service : nécessite un ou plusieurs comptes de service dans le projet d'exécution. Ces comptes exécutent les scripts d'action. Tout utilisateur devant exécuter une action avec un contexte spécifique doit disposer de l'autorisation iam.serviceAccounts.actAs sur les comptes de service de ce contexte.

Autorisations requises

Attribuez l'un des rôles prédéfinis suivants dans le projet de votre instance SecOps.

• chronicle.viewer : accès en lecture seule aux actions, contextes, jobs et ressources d'exécution de Security Validation.

• chronicle.editor : inclut toutes les autorisations viewer, ainsi que la possibilité de créer, de mettre à jour, d'exécuter et de supprimer des contextes et des jobs de validation de sécurité.

• chronicle.admin : inclut toutes les autorisations editor, ainsi que la possibilité de créer, de mettre à jour et de supprimer des actions de validation de sécurité personnalisées (API uniquement).

Si vous n'utilisez pas les rôles prédéfinis listés ci-dessus, vous pouvez accorder des autorisations équivalentes à l'aide d'un rôle personnalisé ou en attribuant le rôle chronicle.securityValidationAdmin, qui inclut les mêmes autorisations que chronicle.admin.

Remarque : Le rôle chronicle.securityValidationAdmin doit être attribué à l'aide de la CLI gcloud.

Pour en savoir plus, consultez la section Rôles requis.

Implémenter la validation de sécurité continue

La validation de votre stratégie de sécurité implique une progression structurée :

• Définir votre environnement

• Exécuter des simulations pour établir une référence

• Automatiser les simulations pour détecter les dérives.

Ce workflow garantit que vos contrôles de sécurité restent efficaces à mesure que votre environnement évolue.

Créer un contexte de validation de sécurité

Un contexte de validation de la sécurité configure l'environnement pour vos tests de sécurité. Il spécifie le projet à utiliser, le compte avec lequel exécuter le test et tout autre détail dont vos actions ont besoin. Vous pouvez réutiliser le même contexte pour différentes actions.

Pour créer un contexte de validation de sécurité, procédez comme suit :

1. Connectez-vous à Google SecOps.

2. Accédez à Security Validation, puis à l'onglet Contextes d'exécution.

3. Cliquez sur Ajouter du contexte d'exécution.

4. Dans la boîte de dialogue Ajouter un contexte d'exécution, procédez comme suit :

   1. Dans Propriétés de base, saisissez le nom et la description du contexte, puis cliquez sur Suivant.

   2. Dans Paramètres de l'environnement, saisissez l'ID du projet Google Cloud , le compte de service d'exécution et le compte de service de nettoyage. Cliquez sur Next (Suivant).

      Nous vous recommandons d'utiliser des comptes de service distincts pour action profile (pour exécuter des scripts d'action) et pour setup/cleanup profile (pour exécuter les scripts de configuration et de nettoyage qui font partie de certaines actions). Ces comptes de service peuvent se voir attribuer différentes autorisations dans le projet cible.

   3. Dans Variables d'exécution, ajoutez une ou plusieurs variables pour remplacer de manière dynamique les paramètres par défaut. Ajoutez des paires clé/valeur où key est le nom du paramètre et value est sa valeur de remplacement.

      Conseil : Toutes les actions nécessitent la variable TARGET_PROJECT_ID pour spécifier le projet Google Cloud que vous souhaitez cibler.

   4. Cliquez sur Créer.

Remarque : La création d'un contexte permet à Google SecOps de créer des jobs Cloud Run et des buckets Cloud Storage dans le projet spécifié. Les frais de ressources et de services associés à ces charges de travail sont facturés en fonction des paramètres de facturation du projet.

Exécuter l'action de validation de la sécurité

Pour exécuter une action de validation de la sécurité pour un contexte de validation de la sécurité, procédez comme suit :

1. Connectez-vous à Google SecOps.

2. Accédez à Validation de la sécurité, puis à l'onglet Bibliothèque de contenu.

3. Sélectionnez une action, puis cliquez sur Exécuter.

4. Dans la boîte de dialogue, sélectionnez le contexte d'exécution que vous avez créé, puis cliquez sur Exécuter maintenant.

Une exécution est créée et s'affiche dans l'onglet Historique des exécutions.

Gérer les moniteurs Security Validation

Vous pouvez réexécuter automatiquement les actions réussies de manière récurrente à l'aide de la fonctionnalité de surveillance. Il permet de surveiller en continu la stratégie de sécurité sans intervention manuelle.

Créer une surveillance

Vous ne pouvez créer un moniteur qu'à partir d'une exécution réussie. Pour créer un moniteur à partir d'une exécution, procédez comme suit :

1. Connectez-vous à Google SecOps.

2. Accédez à Validation de la sécurité, puis à l'onglet Historique d'exécution.

3. Cliquez sur l'ID d'exécution d'une exécution, puis sur Créer un moniteur.

4. Facultatif : Dans la fenêtre Créer un moniteur, donnez un nom au moniteur.

   Si vous ne saisissez pas de nom de surveillance, la surveillance est référencée par un ID de surveillance.

   Examinez les détails d'exécution de référence affichés dans cette fenêtre.

5. Cliquez sur Suivant.

6. Configurez les paramètres de surveillance.

   Vous pouvez exécuter un moniteur à des heures spécifiques ou toutes les heures.

   Pour exécuter le moniteur à des moments spécifiques, procédez comme suit :

   1. Dans le menu déroulant Heure, sélectionnez Exécuter à une heure spécifique.

   2. Spécifiez l'heure dans la zone de texte adjacente.

   3. Dans l'option Jours, sélectionnez l'une des options suivantes :

      • Tous les jours : s'exécute tous les jours à l'heure spécifiée.

      • Jours de la semaine : s'exécute uniquement les jours sélectionnés (par exemple, lundi, mercredi, vendredi) à l'heure spécifiée.

      • Jour du mois : s'exécute une fois par mois le jour spécifié (par exemple, le 15) à l'heure spécifiée.

   4. Dans le menu déroulant Mois, sélectionnez Tous les mois (pour exécuter la surveillance tous les mois) ou Mois spécifiques pour spécifier les mois exacts pendant lesquels la surveillance doit être exécutée (par exemple, janvier, avril, juillet).

   5. Dans le menu déroulant Fuseau horaire, sélectionnez le fuseau horaire requis. Par défaut, ce champ est défini sur le fuseau horaire défini dans vos préférences utilisateur (qui peut différer des paramètres de votre navigateur). Pour trouver ou modifier ce paramètre par défaut, accédez à Profil > Préférences utilisateur > Localisation > Fuseau horaire.

   6. Cliquez sur Suivant.

   Pour exécuter le moniteur toutes les heures, procédez comme suit :

   1. Dans le menu déroulant Heure, sélectionnez Répéter toutes les heures.

   2. Définissez la fréquence de répétition du cycle de surveillance dans le champ Heure(s) et la minute spécifique dans le champ Minute(s). Par exemple, si vous définissez une heure et 30 minutes, le moniteur s'exécute toutes les heures à la 30e minute (il ne s'exécute PAS toutes les 90 minutes).

   3. Dans l'option Heures, sélectionnez l'une des options suivantes :

      • Toutes les heures de la journée : le moniteur s'exécute 24 heures sur 24, toutes les heures de la journée, en fonction de la fréquence spécifiée.

      • Heure de début et de fin : le moniteur ne s'exécute que dans la plage d'heures de début et de fin spécifiée (par exemple, entre 8h00 et 17h00).

   4. Dans l'option Jours, sélectionnez l'une des options suivantes :

      • Tous les jours : s'exécute tous les jours à l'heure spécifiée.

      • Jours de la semaine : s'exécute uniquement les jours sélectionnés (par exemple, lundi, mercredi, vendredi) à l'heure spécifiée.

      • Jour du mois : s'exécute une fois par mois le jour spécifié (par exemple, le 15) à l'heure spécifiée.

   5. Dans le menu déroulant Mois, sélectionnez Tous les mois (pour exécuter la surveillance tous les mois) ou Mois spécifiques pour spécifier les mois exacts pendant lesquels la surveillance doit être exécutée (par exemple, janvier, avril, juillet).

   6. Dans le menu déroulant Fuseau horaire, sélectionnez le fuseau horaire requis. Par défaut, ce champ est défini sur le fuseau horaire défini dans vos préférences utilisateur (qui peut différer des paramètres de votre navigateur). Pour trouver ou modifier ce paramètre par défaut, accédez à Profil > Préférences utilisateur > Localisation > Fuseau horaire.

   7. Cliquez sur Suivant.

7. Dans Résultats attendus, cochez ou décochez les conditions selon vos besoins. Vous devez sélectionner au moins une condition.

   • Le résultat de l'action correspond à la référence : évalue si l'état d'exécution, le résultat et le motif du résultat correspondent à la référence. Les trois paramètres doivent correspondre pour que la vérification soit évaluée comme vraie.

   • Les produits d'événements corrélés correspondent à la référence :

     • Regroupe les événements corrélés par produit.

     • Vérifie que l'exécution actuelle comporte au moins un événement pour chaque produit listé dans la référence.

     • La vérification ignore les événements des produits qui n'ont aucun événement dans la référence.

     • Elle renvoie false si les événements correspondant à la référence n'arrivent pas avant l'expiration du délai.

   • Règles de détection corrélée alertant sur la correspondance de base :

     • Regroupe les détections par règle et par état d'alerte.

     • Vérifie que l'exécution actuelle comporte au moins une détection d'une règle qui comporte des détections dans l'exécution de référence.

     • Ignore les détections des règles qui n'ont pas de détections dans l'exécution de référence.

     • Renvoie false si les détections correspondant à la référence n'arrivent pas avant l'expiration du délai.

8. Cliquez sur Créer pour créer le moniteur.

Afficher et exécuter un moniteur

Pour afficher un moniteur créé, procédez comme suit :

1. Accédez à Security Validation, puis à l'onglet Monitors (Moniteurs). Certaines colonnes sont masquées par défaut. Cliquez sur Gestionnaire de colonnes pour gérer la visibilité des colonnes.

2. Recherchez votre moniteur spécifique dans la liste.

3. Cliquez sur le lien du moniteur pour ouvrir sa page d'informations.

4. Cliquez sur Exécuter maintenant pour exécuter le moniteur.

La page d'informations du moniteur fournit une vue d'ensemble centralisée de haut niveau du moniteur. Il vous aide à évaluer l'état général et l'intégrité d'un moniteur en un coup d'œil. Il fournit les informations importantes suivantes sur le moniteur :

Résumé de l'état

Les fiches de métriques suivantes fournissent une vue d'ensemble de la stabilité du moniteur :

• État de la surveillance : affiche l'état actuel en fonction de la dernière exécution avec un résultat de surveillance finalisé (par exemple, Healthy) et la durée pendant laquelle cet état a été maintenu.

• Dernier résultat opérationnel ou non opérationnel : fournit un pointeur vers l'exécution la plus récente qui s'est écartée de la référence.

• Fraîcheur des résultats : affiche le temps écoulé depuis la dernière exécution avec un état de surveillance finalisé.

Résultats attendus

Cette section définit les critères de réussite dérivés de l'exécution de référence.

• Résultat et motif de l'action : résultat et motif de l'action qui correspondent à l'exécution de référence (par exemple, NOT_BLOCKED avec un motif associé).

• Produits ayant généré des événements : liste des produits pour les événements corrélés qui correspondent à l'exécution de référence.

• Règles de détection des alertes : liste des règles de détection corrélées qui correspondent à l'exécution de référence.

La table Résultats de la surveillance affiche toutes les exécutions de la surveillance. Le tableau accepte la recherche de texte, le filtrage et la configuration des colonnes.

Activer ou désactiver un moniteur

Pour activer ou désactiver un moniteur, procédez comme suit :

1. Accédez à Security Validation, puis à l'onglet Monitors (Moniteurs).

2. Cliquez sur le bouton État pour activer ou désactiver un moniteur. Vous pouvez également cliquer sur Suspendre le moniteur ou Redémarrer le moniteur sur la page Détails du moniteur pour modifier son état.

Modifier ou supprimer un moniteur

Pour modifier ou supprimer un moniteur, procédez comme suit :

1. Accédez à Security Validation, puis à l'onglet Monitors (Moniteurs).

2. Cliquez sur le menu de la surveillance que vous souhaitez modifier.

3. Cliquez sur Modifier le moniteur pour modifier le moniteur ou sur Supprimer le moniteur pour le supprimer. Vous pouvez également cliquer sur Modifier la surveillance sur la page Détails de la surveillance pour la modifier.

4. Cliquez sur Mettre à jour ou Confirmer pour appliquer les modifications.

Examiner les résultats de la surveillance

Pour afficher toutes les exécutions d'un moniteur, procédez comme suit :

1. Accédez à Security Validation, puis à l'onglet Monitors (Moniteurs).

2. Cliquez sur le menu dans Monitor.

3. Cliquez sur Afficher tous les résultats. La page Historique d'exécution s'affiche.

Les exécutions sont filtrées pour afficher toutes les exécutions associées à ce moniteur spécifique.

Afficher les résultats de la dernière exécution

Pour afficher les résultats de la dernière exécution d'un outil de surveillance, procédez comme suit :

1. Accédez à Security Validation, puis à l'onglet Monitors (Moniteurs).

2. Cliquez sur le menu dans Monitor.

3. Cliquez sur Afficher les résultats de la dernière exécution pour ouvrir les Détails de l'exécution.

Le système affiche les détails de l'exécution la plus récente de ce moniteur.

Examiner les résultats d'exécution

Vous pouvez afficher l'action de validation de sécurité que vous exécutez dans l'onglet Historique d'exécution. Pour examiner les résultats de l'exécution, procédez comme suit :

1. Connectez-vous à Google SecOps.

2. Accédez à Validation de la sécurité, puis à l'onglet Historique d'exécution pour surveiller l'état de l'exécution.

   La colonne État de l'exécution indique si l'exécution a réussi ou si elle a rencontré une erreur. Si l'opération réussit, vous pouvez afficher les événements générés et les détections déclenchées par l'action de validation de la sécurité dans Google SecOps.

3. Cliquez sur l'ID d'exécution pour afficher les détails de l'exécution.

La page Détails de l'exécution de l'action fournit l'état, le résultat et une analyse approfondie d'une action de validation. Utilisez cette page pour valider votre stratégie de sécurité en identifiant les règles de détection déclenchées par l'activité de l'action.

Progression de la corrélation affiche la progression du workflow de corrélation en temps réel pour une exécution. Pendant l'exécution de la corrélation, le nombre total d'événements peut augmenter jusqu'à la fin de la tâche.

Remarque : Cliquez sur refresh Actualiser pour actualiser les données de la table ou actualisez la page pour mettre à jour le nombre total d'événements.

Analyser la table des règles corrélées

Le tableau Règles corrélées liste les règles de détection déclenchées lors de l'exécution de l'action, y compris les règles personnalisées et sélectionnées.

Le tableau affiche à la fois les règles personnalisées et les règles sélectionnées. Il comprend deux groupes : * Règles explicitement définies dans les métadonnées de l'action * Règles supplémentaires déclenchées par des événements corrélés

Cela vous aide à identifier les règles qui ont fonctionné comme prévu et celles qui nécessitent un examen plus approfondi.

Le tableau contient les colonnes suivantes :

• Nom de la règle : nom de la règle de détection. Cliquez sur le nom de la règle pour afficher sa définition et son historique de détection.

• Nombre de détections : nombre de détections déclenchées par la règle. La valeur 0 indique qu'aucun événement correspondant n'a été trouvé.

• Détections : lien vers la page Détections qui affiche les détections déclenchées lors de cette exécution.

• Associé à l'action : indique si la règle faisait partie des métadonnées de l'action :

  • Oui : les métadonnées de l'action incluent la règle. Le système s'attend à ce qu'elle se déclenche lorsque l'action est exécutée.

  • Non : les métadonnées de cette action n'incluent pas la règle, mais sa logique correspond aux événements générés et l'a déclenchée.

Ce tableau vous aide à identifier les résultats :

Colonne "Associée à l'action"	Colonne du nombre de détections	Signification
YES	1 ou plus	Réussite : une règle attendue a bien déclenché une ou plusieurs détections.
NO	1 ou plus	Une règle inattendue a été déclenchée par l'activité.
YES	0	Une règle attendue n'a déclenché aucune détection.

Analyser les événements corrélés

Après avoir exécuté une action de validation de la sécurité, utilisez les événements corrélés pour évaluer la façon dont votre environnement et vos contrôles de sécurité ont réagi à la menace simulée.

Votre analyse comprend deux composants : l'état en temps réel du workflow de corrélation et un tableau détaillé de tous les événements générés.

L'état de corrélation des événements indique l'état actuel du workflow, qui peut être l'un des suivants :

• En cours d'exécution : le système recherche activement des événements corrélés.

• Terminée : toutes les activités de corrélation d'événements ont bien été effectuées.

• Erreur : le workflow de corrélation a rencontré une erreur et n'a pas pu se terminer.

Le champ Workflow de corrélation terminé à indique une estimation de l'heure à laquelle la corrélation devrait se terminer ou s'est terminée.

Le tableau des événements liste tous les événements générés par l'action. Utilisez ces données pour analyser les réponses individuelles dans votre environnement et vos contrôles de sécurité.

Le tableau contient les colonnes suivantes :

• Événement : ID de l'événement. Cliquez pour afficher les détails de l'événement dans la recherche UDM.

• Horodatage de l'événement : heure à laquelle l'événement s'est produit sur le système source (par exemple, le serveur ou le pare-feu).

• Code temporel observé : heure à laquelle le service Security Validation a trouvé l'événement et l'a mis en corrélation avec l'exécution.

• Produit : produit ayant généré l'événement.

• Action de résultat de sécurité : résultat de l'événement (Blocked ou Not blocked), basé sur le champ security_result.action de l'événement UDM.

Les actions peuvent cibler des régions en dehors de l'instance Google SecOps dans laquelle elles sont exécutées. Les résultats d'exécution affichent les journaux récupérés à partir du projet d'exécution.

Accéder aux assets et références avancés

Consultez les ressources suivantes pour obtenir des exemples de configuration et un mappage des données de référence.

Exemple d'implémentation : générer un jeton d'accès à l'aide de signJWT

Prenons l'exemple de l'action "Générer un jeton d'accès à l'aide de l'autorisation signJWT". Cet exemple suppose que vous avez déjà configuré un contexte de validation de la sécurité et que vous exécutez l'action dans ce contexte. L'action doit générer des journaux Cloud Audit Logs et déclencher la règle de détection des menaces "Génération de jeton d'accès avec signJWT".

La configuration suivante est requise :

• API activées : l'API d'identifiants de compte de service IAM (Identity and Access Management) doit être activée dans les projets cible et d'exécution.

• Autorisations du compte de service : le compte de service spécifié dans le champ profile du contexte de validation de sécurité doit disposer de l'autorisation iam.serviceAccounts.signJwt dans le projet cible. Cette autorisation peut être accordée via le rôle Créateur de jetons du compte de service (roles/iam.serviceAccountTokenCreator). Ce rôle peut être accordé sur le projet ou sur le compte de service cible (qui, pour cette action, est le compte de service Compute Engine par défaut du projet cible).

• Journaux d'audit IAM : les journaux d'audit IAM (ADMIN_READ) doivent être activés dans le projet cible pour capturer les événements générés par cette action.

• Filtre d'exportation personnalisé : pour ingérer les événements générés par cette action via l'ingestion SecOps Google Cloud , un filtre d'exportation personnalisé doit être défini et inclure log_id("cloudaudit.googleapis.com/data_access").

• Ensemble de règles : l'ensemble de règles Cloud Threats -> [Google Cloud] IAM Abuse doit être activé et configuré pour envoyer des alertes afin que les détections s'affichent dans la vue de recherche et d'investigation.

Exemples de planification de surveillance

Utilisez ces exemples comme référence lorsque vous configurez des planifications récurrentes pour la surveillance continue.

Configuration	Programmation
Heure : exécution à une heure spécifique (22h) Jours : jours de la semaine (lundi) Mois : mensuel Fuseau horaire : EST	Exécution tous les lundis à 22h00, heure normale de l'Est.
Heure : exécution à une heure spécifique (01:00) Jours : jour du mois (1) Mois : spécifier (janvier, avril, juillet, octobre) Fuseau horaire : PST	S'exécute à 1h00 (heure normale du Pacifique) le premier jour de janvier, avril, juillet et octobre.
Heure : exécution à une heure spécifique (14:00) Jours : tous les jours Mois : tous les mois Fuseau horaire : UTC	Exécution tous les jours à 14h00 (temps universel coordonné).
Heure : exécution à une heure spécifique (09:30) Jours : jour du mois (15) Mois : spécifier (fév, avr, juin, août, oct, déc) Fuseau horaire : EST	Exécution à 9h30 (heure normale de l'Est) le 15 de chaque mois pair (février, avril, juin, août, octobre, décembre).
Heure : Répéter toutes les heures Intervalle : Toutes les heures Heures : Toutes les heures	Fonctionne sans interruption. S'exécute précisément au début de chaque heure, 24 heures sur 24 (par exemple, à 1h00, 2h00, 3h00, etc.).
Heure : répéter toutes les heures Intervalle : toutes les 4 heures Heures : heure de début et de fin (de 22h à 6h)	S'exécute uniquement la nuit. S'exécute à 22h, 2h et 6h pour capturer l'état du serveur pendant les périodes de faible trafic.

Dépannage

Latence et limites

Les résultats des exécutions de surveillance nouvellement déclenchées ne sont pas immédiatement renseignés avec les données de détection et d'événement en raison de la fenêtre de corrélation.

Correction des erreurs

Erreur	Description du problème	Corriger
Erreur d'autorisation IAM	Autorisation iam.serviceaccounts.actAs refusée sur le compte de service.	Si vous avez créé ou mis à jour le contexte juste avant d'exécuter l'action, patientez quelques minutes, puis réessayez. Les modifications IAM sont cohérentes, mais la propagation des attributions de rôles dans le système peut prendre du temps. Vérifiez que l'identité qui exécute l'action dispose de l'autorisation "iam.serviceaccounts.actAs" sur le compte de service spécifié.

Validation et test

Pour vérifier que votre surveillance est correctement configurée sans attendre le prochain intervalle planifié, utilisez le bouton Exécuter maintenant sur la page d'informations de la surveillance. Actualisez la page une fois la fenêtre de corrélation écoulée pour vérifier l'état d'exécution.