Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Créer et gérer des modules personnalisés pour Event Threat Detection

Les modules personnalisés pour Event Threat Detection vous permettent de configurer des paramètres de détection adaptés à votre environnement afin d'étendre la surveillance de la sécurité au-delà des détecteurs intégrés. Vous pouvez créer et gérer des modules personnalisés, et examiner les résultats qu'ils génèrent pour identifier les menaces spécifiques à l'organisation dans vos données de journaux pour l'ensemble des organisations, dossiers ou projets.

Avant de commencer

Cette section décrit les exigences liées à l'utilisation de modules personnalisés pour Event Threat Detection.

Security Command Center Premium et Event Threat Detection

Pour utiliser les modules personnalisés Event Threat Detection, Event Threat Detection doit être activé. Pour activer Event Threat Detection, consultez Activer ou désactiver un service intégré.

Rôles et autorisations IAM requis

Les rôles IAM déterminent les actions que vous pouvez effectuer avec les modules personnalisés Event Threat Detection.

Le tableau suivant contient la liste des autorisations requises pour les modules personnalisés Event Threat Detection, ainsi que les rôles IAM prédéfinis qui les incluent.

Vous pouvez utiliser la console Google Cloud ou l'API Security Command Center pour appliquer ces rôles au niveau de l'organisation, du dossier ou du projet.

les autorisations requises pour l'extension ;	Rôle
`securitycentermanagement.eventThreatDetectionCustomModules.create` `securitycentermanagement.eventThreatDetectionCustomModules.update` `securitycentermanagement.eventThreatDetectionCustomModules.delete`	`roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.settingsEditor` `roles/securitycenter.admin`
`securitycentermanagement.eventThreatDetectionCustomModules.list` `securitycentermanagement.eventThreatDetectionCustomModules.get` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.list` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.get` `securitycentermanagement.eventThreatDetectionCustomModules.validate`	`roles/securitycentermanagement.etdCustomModulesViewer` `roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.adminViewer` `roles/securitycenter.admin`

Si vous rencontrez des erreurs d'accès dans Security Command Center, demandez de l'aide à votre administrateur. Consultez l'une des pages suivantes en fonction du niveau auquel vous avez activé Security Command Center :

Journaux requis

Assurez-vous que les journaux appropriés sont activés pour votre organisation, vos dossiers et vos projets. Pour en savoir plus sur les journaux requis par chaque type de module personnalisé, consultez le tableau de la section Modules et modèles personnalisés.

Les journaux provenant de sources extérieures à Google Cloud ne sont pas acceptés.

Niveaux de module personnalisés

Ce document utilise les termes suivants pour décrire le niveau auquel un module personnalisé a été créé :

Module résidentiel: Le module a été créé dans la vue ou le champ d'application actuels. Par exemple, si vous êtes dans la vue de l'organisation de la console Google Cloud , les modules résidentiels sont ceux qui ont été créés au niveau de l'organisation.
Module hérité: Le module a été créé au niveau d'une vue parent ou d'un champ d'application parent. Par exemple, un module créé au niveau de l'organisation est un module hérité au niveau d'un dossier ou d'un projet.
Module descendant: Le module a été créé au niveau d'une vue enfant ou d'un champ d'application. Par exemple, un module créé au niveau d'un dossier ou d'un projet est un module descendant au niveau de l'organisation.

Créer des modules personnalisés

Vous pouvez créer des modules personnalisés Event Threat Detection via la consoleGoogle Cloud ou en modifiant un modèle JSON et en l'envoyant via la gcloud CLI. Vous n'avez besoin de modèles JSON que si vous prévoyez d'utiliser la gcloud CLI pour créer des modules personnalisés.

Pour obtenir la liste des modèles de modules compatibles, consultez Modules et modèles personnalisés.

Structure du modèle

Les modèles définissent les paramètres que les modules personnalisés utilisent pour identifier les menaces dans vos journaux. Les modèles sont écrits en JSON et ont une structure similaire à celle des résultats générés par Security Command Center. Vous ne devez configurer un modèle JSON que si vous prévoyez d'utiliser la gcloud CLI pour créer un module personnalisé.

Chaque modèle contient des champs personnalisables :

severity : niveau de gravité ou de risque que vous souhaitez attribuer aux résultats de ce type, LOW, MEDIUM, HIGH ou CRITICAL.
description : description du module personnalisé.
recommendation : actions recommandées pour résoudre les résultats générés par le module personnalisé.
Paramètres de détection : variables utilisées pour évaluer les journaux et déclencher des résultats. Les paramètres de détection diffèrent pour chaque module, mais ils incluent un ou plusieurs des éléments suivants :
- domains : domaines Web à surveiller
- ips : adresses IP à surveiller
- permissions : autorisations à surveiller
- regions : régions dans lesquelles les nouvelles instances Compute Engine sont autorisées
- roles : rôles à surveiller
- accounts : comptes à surveiller
- Paramètres qui définissent les types d'instances Compute Engine autorisés, par exemple series, cpus et ram_mb.
- Expressions régulières permettant de vérifier les propriétés, par exemple caller_pattern et resource_pattern.

L'exemple de code suivant est un exemple de modèle JSON pour Configurable Bad IP.

{
  "metadata": {
    "severity": "LOW",
    "description": "Flagged by Cymbal as malicious",
    "recommendation": "Contact the owner of the relevant project."
  },
  "ips": [
    "192.0.2.1",
    "192.0.2.0/24"
  ]
}

Dans l'exemple précédent, le module personnalisé génère un résultat de faible gravité si vos journaux indiquent une ressource connectée à l'adresse IP 192.0.2.1 ou 192.0.2.0/24.

Modifier un modèle de module

Pour créer des modules, vous devez choisir un modèle de module et le modifier.

Si vous prévoyez d'utiliser la Google Cloud CLI pour créer votre module personnalisé, vous devez effectuer cette tâche.

Si vous prévoyez d'utiliser la console Google Cloud pour créer votre module personnalisé, ignorez cette tâche. Vous utiliserez les options présentées à l'écran pour modifier les paramètres du modèle.

Choisissez un modèle dans Modules et modèles personnalisés.
Copiez le code dans un fichier local.
Mettez à jour les paramètres que vous souhaitez utiliser pour évaluer vos journaux.
Enregistrez le fichier au format JSON.
Créez un module personnalisé via la gcloud CLI à l'aide du fichier JSON.

Créer un module personnalisé

Cette section explique comment créer un module personnalisé à l'aide de la consoleGoogle Cloud , de la gcloud CLI, de l'API REST et de Terraform. Chaque module personnalisé Event Threat Detection est limité à 6 Mo.

Pour créer un module personnalisé, procédez comme suit :

Console

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Cliquez sur Créer un module.
Cliquez sur le modèle de module que vous souhaitez utiliser.
Cliquez sur Sélectionner.
Dans le champ Module name (Nom du module), saisissez un nom à afficher pour le nouveau modèle. Le nom ne doit pas dépasser 128 caractères et ne doit contenir que des caractères alphanumériques et des traits de soulignement (par exemple, example_custom_module).
Sélectionnez ou ajoutez les valeurs de paramètre demandées. Les paramètres diffèrent pour chaque module. Par exemple, si vous avez sélectionné le modèle de module Configurable allowed Compute Engine region, vous devez sélectionner une ou plusieurs régions. Vous pouvez également fournir la liste au format JSON.
Cliquez sur Suivant.
Dans le champ Gravité, saisissez le niveau de gravité que vous souhaitez attribuer aux résultats générés par le nouveau module personnalisé.
Dans le champ Description, saisissez une description pour le nouveau module personnalisé.
Dans le champ Étapes suivantes, saisissez les actions recommandées au format texte brut. Les sauts de paragraphe que vous ajoutez sont ignorés.
Cliquez sur Créer.

gcloud

La commande gcloud scc manage custom-modules etd create crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organization, folder ou project)
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_CONFIG : paramètres de configuration du module personnalisé. Utilisez un modèle de module personnalisé comme point de départ.
MODULE_TYPE : type de module personnalisé. Pour obtenir la liste des types compatibles, consultez Modules et modèles personnalisés.
MODULE_DISPLAY_NAME : nom à afficher lisible par l'humain pour le module personnalisé. Il peut contenir des lettres, des chiffres et des traits de soulignement (_). Il peut comporter jusqu'à 128 caractères.

Enregistrez le code suivant dans un fichier nommé request.json :

{
  MODULE_CONFIG
}

Exécutez la commande gcloud scc manage custom-modules etd create :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd create \
    --RESOURCE_TYPE=RESOURCE_ID \
    --custom-config-file=request.json \
    --display-name=MODULE_DISPLAY_NAME \
    --module-type=MODULE_TYPE \
    --enablement-state=ENABLED

Windows (PowerShell)

gcloud scc manage custom-modules etd create `
    --RESOURCE_TYPE=RESOURCE_ID `
    --custom-config-file=request.json `
    --display-name=MODULE_DISPLAY_NAME `
    --module-type=MODULE_TYPE `
    --enablement-state=ENABLED

Windows (cmd.exe)

gcloud scc manage custom-modules etd create ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --custom-config-file=request.json ^
    --display-name=MODULE_DISPLAY_NAME ^
    --module-type=MODULE_TYPE ^
    --enablement-state=ENABLED

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.create de l'API Security Command Center Management crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartient le module personnalisé (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour le suivi de la facturation et des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_CONFIG : paramètres de configuration du module personnalisé. Utilisez un modèle de module personnalisé comme point de départ.
MODULE_TYPE : type de module personnalisé. Pour obtenir la liste des types compatibles, consultez Modules et modèles personnalisés.
MODULE_DISPLAY_NAME : nom à afficher lisible par l'humain pour le module personnalisé. Il peut contenir des lettres, des chiffres et des traits de soulignement (_). Il peut comporter jusqu'à 128 caractères.

Méthode HTTP et URL :

POST https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules

Corps JSON de la requête :

{
  "config": MODULE_CONFIG,
  "enablementState": "ENABLED",
  "type": "MODULE_TYPE",
  "displayName": "MODULE_DISPLAY_NAME"
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "name": "projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210",
  "config": {
    "metadata": {
      "severity": "MEDIUM",
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role."
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "enablementState": "ENABLED",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "displayName": "iam_custom_role_prohibited_permissions",
  "updateTime": "2026-03-16T19:44:58.588134Z"
}

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez Commandes Terraform de base. Pour en savoir plus, lisez la documentation de référence du fournisseur Terraform.

resource "google_scc_management_organization_event_threat_detection_custom_module" "example" {
  organization = "123456789"
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  type = "CONFIGURABLE_BAD_IP"
  description = "My Event Threat Detection Custom Module"
  config = jsonencode({
    "metadata": {
      "severity": "LOW",
      "description": "Flagged by Forcepoint as malicious",
      "recommendation": "Contact the owner of the relevant project."
    },
    "ips": [
      "192.0.2.1",
      "192.0.2.0/24"
    ]
  })
}

Votre module personnalisé est créé et commence à analyser. Pour supprimer un module, consultez Supprimer un module personnalisé.

Le nom de catégorie du module personnalisé contient la catégorie de résultat du type de module et le nom à afficher du module que vous avez défini. Par exemple, le nom de catégorie d'un module personnalisé peut être Unexpected Compute Engine Region: example_custom_module. Dans la console Google Cloud , les traits de soulignement sont affichés sous forme d'espaces. Toutefois, dans vos requêtes, vous devez inclure les traits de soulignement.

Les quotas régissent votre utilisation des modules personnalisés pour Event Threat Detection.

Latence de détection

La latence de détection pour Event Threat Detection et tous les autres services Security Command Center intégrés est décrite dans la section Latence d'analyse.

Examiner les résultats

Les résultats générés par les modules personnalisés peuvent être consultés dans la console Google Cloud , ou à l'aide de la gcloud CLI ou de l'API REST.

Console

Dans la console Google Cloud , accédez à la page Résultats de Security Command Center.

Accéder aux résultats
Sélectionnez votre projet ou votre organisation Google Cloud .
Dans la sous-section Nom à afficher pour la source de la section Filtres rapides, sélectionnez Modules personnalisés Event Threat Detection. Les résultats de la requête sont mis à jour pour n'afficher que les résultats de cette source.
Pour afficher les détails d'un résultat spécifique, cliquez sur le nom du résultat dans la colonne Catégorie. Le panneau de détails du résultat s'ouvre et affiche l'onglet Résumé.
Dans l'onglet Résumé, examinez les détails du résultat, y compris les informations sur ce qui a été détecté, la ressource concernée et, le cas échéant, les étapes à suivre pour corriger le résultat.
Facultatif : Pour afficher la définition JSON complète du résultat, cliquez sur l'onglet JSON.

gcloud

Rechercher l'ID de la source

La commande gcloud scc sources describe affiche des informations sur une source de résultats pour Security Command Center.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartient la source (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.

Exécutez la commande gcloud scc sources describe :

Linux, macOS ou Cloud Shell

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID \
    --source-display-name="Event Threat Detection Custom Modules"

Windows (PowerShell)

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID `
    --source-display-name="Event Threat Detection Custom Modules"

Windows (cmd.exe)

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID ^
    --source-display-name="Event Threat Detection Custom Modules"

Vous devriez obtenir un résultat semblable à celui-ci :

canonicalName: organizations/123456789012/sources/98765432109876543210
description: Provider used by Event Threat Detection Custom Modules
displayName: Event Threat Detection Custom Modules
name: organizations/123456789012/sources/98765432109876543210

L'ID de la source correspond à la valeur numérique située à la fin des champs canonicalName et name (par exemple, 98765432109876543210).

Lister tous les résultats des modules personnalisés Event Threat Detection

La commande gcloud scc findings list liste les résultats d'une source dans un emplacement spécifique.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à obtenir (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
LOCATION : emplacement Security Command Center à utiliser, par exemple eu. Si la résidence des données n'est pas activée, utilisez global.
SOURCE_ID : identifiant numérique de la source des résultats.

Exécutez la commande suivante :

Linux, macOS ou Cloud Shell

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID \
    --source=SOURCE_ID \
    --location=LOCATION

Windows (PowerShell)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID `
    --source=SOURCE_ID `
    --location=LOCATION

Windows (cmd.exe)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID ^
    --source=SOURCE_ID ^
    --location=LOCATION

La réponse contient une liste de résultats.

Lister les résultats d'un module personnalisé spécifique

La commande gcloud scc findings list liste les résultats d'une source dans un emplacement spécifique.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à obtenir (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
LOCATION : emplacement Security Command Center à utiliser, par exemple eu. Si la résidence des données n'est pas activée, utilisez global.
SOURCE_ID : identifiant numérique de la source des résultats.
CUSTOM_MODULE_CATEGORY_NAME : nom de la catégorie du module personnalisé, composé de la catégorie de résultat du module (comme indiqué dans Modules et modèles personnalisés), d'un signe deux-points, d'un espace et du nom à afficher du module, les espaces étant remplacés par des traits de soulignement. Par exemple, Unexpected Compute Engine region: example_custom_module.

Exécutez la commande suivante :

Linux, macOS ou Cloud Shell

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID \
    --source=SOURCE_ID \
    --location=LOCATION \
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

Windows (PowerShell)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID `
    --source=SOURCE_ID `
    --location=LOCATION `
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

Windows (cmd.exe)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID ^
    --source=SOURCE_ID ^
    --location=LOCATION ^
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

La réponse contient une liste de résultats.

REST

Rechercher l'ID de la source

La méthode RESOURCE_TYPE.sources.list de l'API Security Command Center liste les informations sur les sources de résultats de Security Command Center.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource parente (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour le suivi de la facturation et des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.

Méthode HTTP et URL :

GET https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources" | Select-Object -Expand Content

La réponse contient une liste de résultats.

{
  "sources": [
    {
      "name": "organizations/123456789012/sources/9876543210987654321",
      "displayName": "Security Command Center",
      "description": "Detector for misconfigurations within the Security Command Center platform.",
      "canonicalName": "organizations/123456789012/sources/9876543210987654321"
    },
    {
      "name": "organizations/123456789012/sources/8765432109876543210",
      "displayName": "Application Design Center",
      "description": "Provides vulnerabilities on ADC resources.",
      "canonicalName": "organizations/123456789012/sources/8765432109876543210"
    },
    {
      "name": "organizations/123456789012/sources/7654321098765432109",
      "displayName": "Cloud Anomaly Detection",
      "description": "Provider used by Cloud Anomaly Detection",
      "canonicalName": "organizations/123456789012/sources/7654321098765432109"
    },
    {
      "name": "organizations/123456789012/sources/6543210987654321098",
      "displayName": "Vulnerability Assessment",
      "description": "Provider for Vulnerability Assessment.",
      "canonicalName": "organizations/123456789012/sources/6543210987654321098"
    },
    {
      "name": "organizations/123456789012/sources/5432109876543210987",
      "displayName": "Data Security Posture Management",
      "description": "Service to detect drift and post findings",
      "canonicalName": "organizations/123456789012/sources/5432109876543210987"
    },
    {
      "name": "organizations/123456789012/sources/4321098765432109876",
      "displayName": "Notebook Security Scanner",
      "description": "Provider for the Notebook Security Scanner",
      "canonicalName": "organizations/123456789012/sources/4321098765432109876"
    },
    {
      "name": "organizations/123456789012/sources/3210987654321098765",
      "displayName": "GKE Security Posture",
      "description": "Provides actionable security issues on GKE.",
      "canonicalName": "organizations/123456789012/sources/3210987654321098765"
    },
    {
      "name": "organizations/123456789012/sources/1098765432109876543",
      "displayName": "Event Threat Detection Custom Modules",
      "description": "Provider used by Event Threat Detection Custom Modules",
      "canonicalName": "organizations/123456789012/sources/1098765432109876543"
    }
  ]
}

L'ID de la source est la valeur numérique à la fin des champs canonicalName et name.

Répertorier les résultats des modules personnalisés Event Threat Detection

La méthode RESOURCE_TYPE.sources.locations.findings.list de l'API Security Command Center liste les résultats d'une source dans un emplacement spécifique.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

QUOTA_PROJECT : ID du projet à utiliser pour le suivi de la facturation et des quotas.
RESOURCE_TYPE : type de ressource à obtenir (organizations, folders ou projects).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
LOCATION : emplacement Security Command Center à utiliser, par exemple eu. Si la résidence des données n'est pas activée, utilisez global.
SOURCE_ID : identifiant numérique de la source des résultats.

Méthode HTTP et URL :

GET https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings" | Select-Object -Expand Content

La réponse contient une liste de résultats.

Pour en savoir plus sur le filtrage des résultats, consultez la page Lister les résultats de sécurité.

Les résultats générés par les modules personnalisés peuvent être gérés comme tous les résultats dans Security Command Center. Pour en savoir plus, consultez les ressources suivantes :

Gérer les modules personnalisés Event Threat Detection

Cette section explique comment afficher, lister, mettre à jour et supprimer des modules personnalisés Event Threat Detection.

Afficher ou lister des modules personnalisés

Par défaut, lorsque vous listez les modules personnalisés pour Event Threat Detection, vous voyez tous les éléments suivants :

Tous les modules personnalisés Event Threat Detection appartenant à l'organisation, au dossier ou au projet.
Tous les modules personnalisés Event Threat Detection hérités. Par exemple, si vous affichez un projet, les modules personnalisés créés dans l'organisation parente et les dossiers de ce projet sont inclus dans les résultats.
Tous les modules personnalisés Event Threat Detection créés dans les ressources enfants. Par exemple, si vous êtes dans la vue de l'organisation, les modules personnalisés des dossiers et des projets de l'organisation sont inclus dans les résultats.

Console

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Facultatif : Pour n'afficher que les modules personnalisés, saisissez Type:Custom dans le champ Filtre.

gcloud

La commande gcloud scc manage custom-modules etd list répertorie tous les modules personnalisés Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.

Exécutez la commande gcloud scc manage custom-modules etd list :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd list \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud scc manage custom-modules etd list `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud scc manage custom-modules etd list ^
    --RESOURCE_TYPE=RESOURCE_ID

Vous devriez obtenir un résultat semblable à celui-ci :

- config:
    metadata:
      description: There is a Compute Engine instance in a region that's not allowed.
      recommendation: Delete the instance. If necessary, create a new instance in
        an allowed region.
      severity: MEDIUM
    regions:
    - region: northamerica-northeast1
  displayName: compute_instance_prohibited_region
  enablementState: ENABLED
  name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/9876543210987654321
  type: CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION
  updateTime: '2026-02-19T01:23:10.237946Z'
- config:
    metadata:
      description: An IAM custom role contains permissions that aren't allowed.
      recommendation: Remove the permissions from the custom role.
      severity: MEDIUM
    permissions:
    - accessapproval.requests.get
    - accessapproval.requests.invalidate
    - accessapproval.requests.list
    - accessapproval.settings.delete
  displayName: iam_custom_role_prohibited_permissions
  enablementState: ENABLED
  name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210
  type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
  updateTime: '2025-12-23T06:54:15.618430Z'

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.list de l'API Security Command Center Management liste tous les modules personnalisés Event Threat Detection d'une organisation, d'un dossier ou d'un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour le suivi de la facturation et des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.

Méthode HTTP et URL :

GET https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

[
  {
    "config": {
      "metadata": {
        "description": "There is a Compute Engine instance in a region that's not allowed.",
        "recommendation": "Delete the instance. If necessary, create a new instance in an allowed region.",
        "severity": "MEDIUM"
      },
      "regions": [
        {
          "region": "northamerica-northeast1"
        }
      ]
    },
    "displayName": "compute_instance_prohibited_region",
    "enablementState": "ENABLED",
    "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/9876543210987654321",
    "type": "CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION",
    "updateTime": "2026-02-19T01:23:10.237946Z"
  },
  {
    "config": {
      "metadata": {
        "description": "An IAM custom role contains permissions that aren't allowed.",
        "recommendation": "Remove the permissions from the custom role.",
        "severity": "MEDIUM"
      },
      "permissions": [
        "accessapproval.requests.get",
        "accessapproval.requests.invalidate",
        "accessapproval.requests.list",
        "accessapproval.settings.delete"
      ]
    },
    "displayName": "iam_custom_role_prohibited_permissions",
    "enablementState": "ENABLED",
    "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210",
    "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
    "updateTime": "2025-12-23T06:54:15.618430Z"
  }
]

Activer ou désactiver un module personnalisé

Lorsque vous activez ou désactivez un module personnalisé, cette modification s'applique à l'organisation, au dossier ou au projet auquel le module personnalisé appartient. Cette ressource est le parent du module personnalisé.

La modification peut également être héritée par tous les dossiers ou projets descendants du parent du module personnalisé. Par exemple, si vous créez un module personnalisé dans un dossier, les projets de ce dossier peuvent hériter de l'état du module personnalisé.

Si le parent d'un module personnalisé est un dossier ou un projet, vous devez activer ou désactiver le module personnalisé au même niveau de la hiérarchie des ressources ou à un niveau inférieur. Par exemple, si le parent d'un module personnalisé est un projet, vous ne pouvez pas activer ni désactiver le module personnalisé pour une organisation ou un dossier. Ces types de ressources sont toujours des ancêtres des projets.

Console

Consultez Afficher et modifier les modules d'un service.

gcloud

La commande gcloud scc manage custom-modules etd update met à jour l'état d'un module personnalisé pour Event Threat Detection.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à mettre à jour (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_ID : identifiant numérique du module.
NEW_STATE : ENABLED pour activer le module, DISABLED pour le désactiver ou INHERITED pour hériter de l'état d'activation de la ressource parente (valide uniquement pour les projets et les dossiers).

Exécutez la commande gcloud scc manage custom-modules etd update :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID \
    --enablement-state="NEW_STATE"

Windows (PowerShell)

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID `
    --enablement-state="NEW_STATE"

Windows (cmd.exe)

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --enablement-state="NEW_STATE"

Vous devriez obtenir un résultat semblable à celui-ci :

config:
  metadata:
    description: An IAM custom role contains permissions that aren't allowed.
    recommendation: Remove the permissions from the custom role.
    severity: MEDIUM
  permissions:
  - accessapproval.requests.get
  - accessapproval.requests.invalidate
  - accessapproval.requests.list
  - accessapproval.settings.delete
displayName: iam_custom_role_prohibited_permissions
enablementState: DISABLED
name: projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210
type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
updateTime: '2026-03-20T16:52:27.046766Z'

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.patch de l'API Security Command Center Management met à jour l'état d'un module personnalisé pour Event Threat Detection.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource à mettre à jour (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour le suivi de la facturation et des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_ID : identifiant numérique du module.
NEW_STATE : ENABLED pour activer le module, DISABLED pour le désactiver ou INHERITED pour hériter de l'état d'activation de la ressource parente (valide uniquement pour les projets et les dossiers).
FIELDS_TO_UPDATE (facultatif) : Liste de champs à mettre à jour, séparés par une virgule. Si cette option est omise, tous les champs sont mis à jour.

Méthode HTTP et URL :

PATCH https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState

Corps JSON de la requête :

{
  "enablementState": "NEW_STATE"
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState"

PowerShell (Windows)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "name": "projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210",
  "config": {
    "metadata": {
      "severity": "MEDIUM",
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role."
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "enablementState": "DISABLED",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "displayName": "iam_custom_role_prohibited_permissions",
  "updateTime": "2026-03-20T16:52:27.046766Z"
}

Mettre à jour la définition d'un module personnalisé

Cette section explique comment mettre à jour un module personnalisé via la consoleGoogle Cloud et via la gcloud CLI. Chaque module personnalisé Event Threat Detection est limité à 6 Mo.

Vous ne pouvez pas modifier le type d'un module personnalisé.

Pour mettre à jour un module personnalisé, procédez comme suit :

Console

Vous ne pouvez modifier que les modules personnalisés résidentiels. Par exemple, si vous êtes dans la vue de l'organisation, vous ne pouvez modifier que les modules personnalisés créés au niveau de l'organisation.

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé que vous souhaitez modifier.
Pour ce module personnalisé, cliquez sur Actions > Modifier.
Modifiez le module personnalisé si nécessaire.
Cliquez sur Enregistrer.

gcloud

Pour mettre à jour un module, exécutez la commande suivante et incluez le modèle JSON du module mis à jour :

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

Remplacez les éléments suivants :

CUSTOM_MODULE_ID : ID numérique du module personnalisé Event Threat Detection, par exemple 1234567890. Vous pouvez obtenir l'ID numérique à partir du champ name du module personnalisé concerné lorsque vous affichez la liste des modules personnalisés.
RESOURCE_FLAG : champ d'application de la ressource parente où réside le module personnalisé (organization, folder ou project).
RESOURCE_ID : ID de la ressource parente, c'est-à-dire l'ID d'organisation, l'ID du dossier ou l'ID du projet.
PATH_TO_JSON_FILE : fichier JSON contenant la définition JSON du module personnalisé.

Vérifier l'état d'un seul module personnalisé

Console

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé dans la liste.

L'état du module personnalisé est indiqué dans la colonne État.

gcloud

La commande gcloud scc manage custom-modules etd describe récupère un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartient le module personnalisé (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Exécutez la commande gcloud scc manage custom-modules etd describe :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd describe MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud scc manage custom-modules etd describe MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud scc manage custom-modules etd describe MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID

Vous devriez obtenir un résultat semblable à celui-ci :

config:
  metadata:
    description: An IAM custom role contains permissions that aren't allowed.
    recommendation: Remove the permissions from the custom role.
    severity: MEDIUM
  permissions:
  - accessapproval.requests.get
  - accessapproval.requests.invalidate
  - accessapproval.requests.list
  - accessapproval.settings.delete
displayName: iam_custom_role_prohibited_permissions
enablementState: ENABLED
name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210
type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
updateTime: '2025-12-23T06:54:15.618430Z'

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.get de l'API Security Command Center Management permet d'obtenir un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartient le module personnalisé (organizations, folders ou projects).
QUOTA_PROJECT : ID du projet à utiliser pour le suivi de la facturation et des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet à obtenir. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Méthode HTTP et URL :

GET https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "config": {
    "metadata": {
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role.",
      "severity": "MEDIUM"
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "displayName": "iam_custom_role_prohibited_permissions",
  "enablementState": "ENABLED",
  "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "updateTime": "2025-12-23T06:54:15.618430Z"
}

Supprimer un module personnalisé

Lorsque vous supprimez un module personnalisé Event Threat Detection, les résultats qu'il a générés ne sont pas modifiés et restent disponibles dans Security Command Center. En revanche, lorsque vous supprimez un module personnalisé Security Health Analytics, les résultats qu'il a générés sont marqués comme inactifs.

Vous ne pouvez pas récupérer un module personnalisé supprimé.

Console

Vous ne pouvez pas supprimer les modules personnalisés hérités. Par exemple, si vous êtes dans la vue du projet, vous ne pouvez pas supprimer les modules personnalisés créés au niveau du dossier ou de l'organisation.

Pour supprimer un module personnalisé via la console Google Cloud , procédez comme suit :

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé que vous souhaitez supprimer.
Pour ce module personnalisé, cliquez sur Actions > Supprimer. Un message s'affiche pour vous demander de confirmer la suppression.
Cliquez sur Supprimer.

gcloud

La commande gcloud scc manage custom-modules etd delete crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel appartiennent les modules personnalisés (organization, folder ou project).
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Exécutez la commande gcloud scc manage custom-modules etd delete :

Linux, macOS ou Cloud Shell

gcloud scc manage custom-modules etd delete MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud scc manage custom-modules etd delete MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud scc manage custom-modules etd delete MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID

Vous devriez obtenir un résultat semblable à celui-ci :

Deleted [projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210].

REST

La méthode RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.delete de l'API Security Command Center Management crée un module personnalisé Event Threat Detection pour une organisation, un dossier ou un projet.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

RESOURCE_TYPE : type de ressource auquel le module personnalisé appartiendra (organizations, folders ou projects)
QUOTA_PROJECT : ID du projet à utiliser pour le suivi de la facturation et des quotas.
RESOURCE_ID : identifiant numérique de l'organisation, du dossier ou du projet pour le module personnalisé. Pour les projets, vous pouvez également utiliser l'ID du projet alphanumérique.
MODULE_ID : identifiant numérique du module personnalisé.

Méthode HTTP et URL :

DELETE https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Exécutez la commande suivante :

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID"

PowerShell (Windows)

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{}

Cloner un module personnalisé

Lorsque vous clonez un module personnalisé, le module personnalisé obtenu est créé en tant que résident de la ressource que vous consultez. Par exemple, si vous clonez un module personnalisé dont votre projet a hérité de l'organisation, le nouveau module personnalisé est un module résidentiel dans le projet.

Vous ne pouvez pas cloner un module personnalisé descendant.

Pour cloner un module personnalisé via la console Google Cloud , procédez comme suit :

Affichez les modules du service Event Threat Detection. Les modules prédéfinis et personnalisés s'affichent dans une liste.
Recherchez le module personnalisé que vous souhaitez cloner.
Pour ce module personnalisé, cliquez sur Actions > Cloner.
Modifiez le module personnalisé si nécessaire.
Cliquez sur Créer.

Étapes suivantes

En savoir plus sur les modules personnalisés pour Event Threat Detection

Créer et gérer des modules personnalisés pour Event Threat Detection Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.

Avant de commencer

Security Command Center Premium et Event Threat Detection

Rôles et autorisations IAM requis

Journaux requis

Niveaux de module personnalisés

Créer des modules personnalisés

Structure du modèle

Modifier un modèle de module

Créer un module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Terraform

Latence de détection

Examiner les résultats

Console

gcloud

Rechercher l'ID de la source

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Lister tous les résultats des modules personnalisés Event Threat Detection

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Lister les résultats d'un module personnalisé spécifique

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

Rechercher l'ID de la source

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Répertorier les résultats des modules personnalisés Event Threat Detection

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Gérer les modules personnalisés Event Threat Detection

Afficher ou lister des modules personnalisés

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Activer ou désactiver un module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Mettre à jour la définition d'un module personnalisé

Console

gcloud

Vérifier l'état d'un seul module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Supprimer un module personnalisé

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

Créer et gérer des modules personnalisés pour Event Threat Detection