‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

יצירה וניהול של מודולים מותאמים אישית ל-Event Threat Detection

מודולים בהתאמה אישית של Event Threat Detection מאפשרים לכם להגדיר פרמטרים של זיהוי שמותאמים לסביבה שלכם, כדי להרחיב את המעקב לצורכי אבטחה מעבר לגלאים המובנים. אתם יכולים ליצור ולנהל מודולים בהתאמה אישית, ולבדוק את הממצאים שהם יוצרים כדי לזהות איומים ספציפיים לארגון בנתוני היומן שלכם בארגונים, בתיקיות או בפרויקטים.

לפני שמתחילים

בקטע הזה מוסבר מה צריך כדי להשתמש במודולים בהתאמה אישית ב-Event Threat Detection.

‫Security Command Center Premium ו-Event Threat Detection

כדי להשתמש במודולים בהתאמה אישית של Event Threat Detection, צריך להפעיל את Event Threat Detection. במאמר הפעלה או השבתה של שירות מובנה מוסבר איך להפעיל את Event Threat Detection.

תפקידים והרשאות נדרשים ב-IAM

תפקידי IAM קובעים את הפעולות שאפשר לבצע באמצעות מודולים בהתאמה אישית של Event Threat Detection.

בטבלה הבאה מפורטות ההרשאות שנדרשות למודולים בהתאמה אישית של Event Threat Detection, וגם התפקידים המוגדרים מראש ב-IAM שכוללים את ההרשאות האלה.

אתם יכולים להשתמש במסוף Google Cloud או ב-Security Command Center API כדי להחיל את התפקידים האלה ברמת הארגון, התיקייה או הפרויקט.

ההרשאות הנדרשות	תפקיד
`securitycentermanagement.eventThreatDetectionCustomModules.create` `securitycentermanagement.eventThreatDetectionCustomModules.update` `securitycentermanagement.eventThreatDetectionCustomModules.delete`	`roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.settingsEditor` `roles/securitycenter.admin`
`securitycentermanagement.eventThreatDetectionCustomModules.list` `securitycentermanagement.eventThreatDetectionCustomModules.get` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.list` `securitycentermanagement.effectiveEventThreatDetectionCustomModules.get` `securitycentermanagement.eventThreatDetectionCustomModules.validate`	`roles/securitycentermanagement.etdCustomModulesViewer` `roles/securitycentermanagement.etdCustomModulesEditor` `roles/securitycenter.adminViewer` `roles/securitycenter.admin`

אם נתקלתם בשגיאות גישה ב-Security Command Center, בקשו עזרה מהאדמין. עיינו באחד מהדפים הבאים, בהתאם לרמה שבה הפעלתם את Security Command Center:

היומנים הנדרשים

חשוב לוודא שהיומנים הרלוונטיים מופעלים בארגון, בתיקיות ובפרויקטים. בטבלה שבמאמר מודולים ותבניות בהתאמה אישית מפורט אילו יומנים נדרשים לכל סוג של מודול בהתאמה אישית.

אין תמיכה ביומנים ממקורות מחוץ ל- Google Cloud .

רמות של מודולים בהתאמה אישית

במסמך הזה, המונחים הבאים מתארים את הרמה שבה נוצר המודול בהתאמה אישית:

מודול מגורים: המודול נוצר בתצוגה או בהיקף הנוכחיים. לדוגמה, אם אתם בתצוגת הארגון במסוף Google Cloud , המודולים המקומיים הם המודולים שנוצרו ברמת הארגון.
מודול שעבר בירושה: המודול נוצר בתצוגה להורה או בהיקף ברמת ההורה. לדוגמה, מודול שנוצר ברמת הארגון הוא מודול שעובר בירושה בכל רמה של תיקייה או פרויקט.
מודול צאצא: המודול נוצר בתצוגה לילדים או בהיקף. לדוגמה, מודול שנוצר ברמת התיקייה או הפרויקט הוא מודול צאצא ברמת הארגון.

יצירת מודולים בהתאמה אישית

אפשר ליצור מודולים בהתאמה אישית של Event Threat Detection באמצעות מסוףGoogle Cloud , או על ידי שינוי של תבנית JSON ושליחה שלה באמצעות ה-CLI של gcloud. אתם צריכים תבניות JSON רק אם אתם מתכננים להשתמש ב-CLI של gcloud כדי ליצור מודולים בהתאמה אישית.

מודולים ותבניות בהתאמה אישית, שמכיל רשימה של תבניות המודולים הנתמכות.

מבנה התבנית

התבניות מגדירות את הפרמטרים שבהם המודולים בהתאמה אישית משתמשים כדי לזהות איומים ביומנים. התבניות כתובות ב-JSON והמבנה שלהן דומה למבנה של הממצאים שנוצרים על ידי Security Command Center. צריך להגדיר תבנית JSON רק אם מתכננים להשתמש ב-CLI של gcloud כדי ליצור מודול בהתאמה אישית.

כל תבנית מכילה שדות שאפשר להתאים אישית:

‫severity: רמת החומרה או הסיכון שרוצים להקצות לממצאים מהסוג הזה, LOW, ‏MEDIUM, ‏HIGH או CRITICAL.
‫description: תיאור המודול בהתאמה אישית.
‫recommendation: פעולות מומלצות לטיפול בממצאים שנוצרו על ידי המודול בהתאמה אישית.
פרמטרים של זיהוי: המשתנים שמשמשים להערכת יומנים ולהפעלת ממצאים. פרמטרי הזיהוי שונים בכל מודול, אבל הם כוללים אחד או יותר מהפרמטרים הבאים:
- ‫domains: דומיינים שצריך לשים לב אליהם
- ips: כתובות IP שצריך לעקוב אחריהן
- ‫permissions: הרשאות שצריך לשים לב אליהן
- ‫regions: אזורים שבהם מותר ליצור מכונות חדשות של Compute Engine
- ‫roles: תפקידים שצריך לשים לב אליהם
- ‫accounts: חשבונות שצריך לשים לב אליהם
- פרמטרים שמגדירים את סוגי המכונות המותרים ב-Compute Engine, לדוגמה: series,‏ cpus ו-ram_mb.
- ביטויים רגולריים לבדיקת מאפיינים, לדוגמה caller_pattern ו-resource_pattern.

דוגמת הקוד הבאה היא תבנית JSON לדוגמה של Configurable Bad IP.

{
  "metadata": {
    "severity": "LOW",
    "description": "Flagged by Cymbal as malicious",
    "recommendation": "Contact the owner of the relevant project."
  },
  "ips": [
    "192.0.2.1",
    "192.0.2.0/24"
  ]
}

בדוגמה שלמעלה, המודול בהתאמה אישית יוצר ממצא בחומרה נמוכה אם ביומנים מצוין משאב שמחובר לכתובת ה-IP‏ 192.0.2.1 או 192.0.2.0/24.

שינוי תבנית של מודול

כדי ליצור מודולים, בוחרים תבנית של מודול ומשנים אותה.

אם אתם מתכוונים להשתמש ב-Google Cloud CLI כדי ליצור את המודול בהתאמה אישית, אתם צריכים לבצע את המשימה הזו.

אם אתם מתכננים להשתמש במסוף Google Cloud כדי ליצור את המודול בהתאמה אישית, דלגו על המשימה הזו. משתמשים באפשרויות שמוצגות במסך כדי לשנות את הפרמטרים של התבנית.

בוחרים תבנית מתוך מודולים ותבניות בהתאמה אישית.
מעתיקים את הקוד לקובץ מקומי.
מעדכנים את הפרמטרים שרוצים להשתמש בהם כדי להעריך את היומנים.
שומרים את הקובץ כקובץ JSON.
יוצרים מודול בהתאמה אישית באמצעות ה-CLI של gcloud באמצעות קובץ ה-JSON.

יצירת מודול בהתאמה אישית

בקטע הזה מוסבר איך ליצור מודול בהתאמה אישית באמצעות מסוףGoogle Cloud , ה-CLI של gcloud, ה-API בארכיטקטורת REST ו-Terraform. גודל הקובץ של כל מודול בהתאמה אישית של Event Threat Detection מוגבל ל-6MB.

כדי ליצור מודול בהתאמה אישית:

המסוף

צפייה במודולים של השירות Event Threat Detection. המודולים המוגדרים מראש והמודולים בהתאמה אישית מופיעים ברשימה.
לוחצים על יצירת מודול.
לוחצים על תבנית המודול שבה רוצים להשתמש.
לוחצים על בחירה.
בקטע שם המודול, מזינים שם לתצוגה של התבנית החדשה. השם יכול להכיל עד 128 תווים, ורק תווים אלפאנומריים וקווים תחתונים, לדוגמה example_custom_module.
בוחרים או מוסיפים את ערכי הפרמטרים המבוקשים. הפרמטרים משתנים בהתאם למודול. לדוגמה, אם בחרתם בתבנית המודול Configurable allowed Compute Engine region, אתם צריכים לבחור אזור אחד או יותר. אפשר גם לספק את הרשימה בפורמט JSON.
לוחצים על הבא.
בשדה Severity, מזינים את רמת החומרה שרוצים להקצות לממצאים שנוצרו על ידי המודול החדש בהתאמה אישית.
בשדה Description, מזינים תיאור למודול החדש בהתאמה אישית.
בקטע השלבים הבאים, מזינים את הפעולות המומלצות בפורמט של טקסט פשוט. המערכת מתעלמת ממעברי פסקה שמוסיפים.
לוחצים על יצירה.

gcloud

הפקודה gcloud scc manage custom-modules etd create יוצרת מודול בהתאמה אישית של Event Threat Detection לארגון, לתיקייה או לפרויקט.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שאליו שייכים המודולים בהתאמה אישית (organization,‏ folder או project)
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט של המודול בהתאמה אישית. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_CONFIG: הגדרות התצורה של המודול בהתאמה אישית. משתמשים בתבנית מודול בהתאמה אישית כנקודת התחלה.
‫MODULE_TYPE: סוג המודול בהתאמה אישית. כאן אפשר למצוא רשימה של סוגי המודולים והתבניות שנתמכים.
‫MODULE_DISPLAY_NAME: השם המוצג של המודול בהתאמה אישית, שקריא לאנשים. הוא יכול להכיל אותיות, מספרים וקווים תחתונים (_), באורך של עד 128 תווים.

שומרים את התוכן הבא בקובץ בשם request.json:

{
  MODULE_CONFIG
}

מריצים את הפקודה gcloud scc manage custom-modules etd create:

‫Linux,‏ macOS או Cloud Shell

gcloud scc manage custom-modules etd create \
    --RESOURCE_TYPE=RESOURCE_ID \
    --custom-config-file=request.json \
    --display-name=MODULE_DISPLAY_NAME \
    --module-type=MODULE_TYPE \
    --enablement-state=ENABLED

‏Windows (PowerShell)

gcloud scc manage custom-modules etd create `
    --RESOURCE_TYPE=RESOURCE_ID `
    --custom-config-file=request.json `
    --display-name=MODULE_DISPLAY_NAME `
    --module-type=MODULE_TYPE `
    --enablement-state=ENABLED

Windows‏ (cmd.exe)

gcloud scc manage custom-modules etd create ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --custom-config-file=request.json ^
    --display-name=MODULE_DISPLAY_NAME ^
    --module-type=MODULE_TYPE ^
    --enablement-state=ENABLED

REST

ה-method‏ RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.create של Security Command Center Management API יוצרת מודול בהתאמה אישית של Event Threat Detection לארגון, לתיקייה או לפרויקט.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שהמודול המותאם אישית שייך אליו (organizations,‏ folders או projects).
‫QUOTA_PROJECT: מזהה הפרויקט שמשמש למעקב אחרי חיובים ומכסות.
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט של המודול בהתאמה אישית. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_CONFIG: הגדרות התצורה של המודול בהתאמה אישית. משתמשים בתבנית מודול בהתאמה אישית כנקודת התחלה.
‫MODULE_TYPE: סוג המודול בהתאמה אישית. כאן אפשר למצוא רשימה של סוגי המודולים והתבניות שנתמכים.
‫MODULE_DISPLAY_NAME: השם המוצג של המודול בהתאמה אישית, שקריא לאנשים. הוא יכול להכיל אותיות, מספרים וקווים תחתונים (_), באורך של עד 128 תווים.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules

תוכן בקשת JSON:

{
  "config": MODULE_CONFIG,
  "enablementState": "ENABLED",
  "type": "MODULE_TYPE",
  "displayName": "MODULE_DISPLAY_NAME"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210",
  "config": {
    "metadata": {
      "severity": "MEDIUM",
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role."
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "enablementState": "ENABLED",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "displayName": "iam_custom_role_prohibited_permissions",
  "updateTime": "2026-03-16T19:44:58.588134Z"
}

Terraform

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform. למידע נוסף, ראו את מאמרי העזרה לספקים של Terraform.

resource "google_scc_management_organization_event_threat_detection_custom_module" "example" {
  organization = "123456789"
  location = "global"
  display_name = "basic_custom_module"
  enablement_state = "ENABLED"
  type = "CONFIGURABLE_BAD_IP"
  description = "My Event Threat Detection Custom Module"
  config = jsonencode({
    "metadata": {
      "severity": "LOW",
      "description": "Flagged by Forcepoint as malicious",
      "recommendation": "Contact the owner of the relevant project."
    },
    "ips": [
      "192.0.2.1",
      "192.0.2.0/24"
    ]
  })
}

המודול המותאם אישית נוצר ומתחיל לסרוק. איך מוחקים מודול בהתאמה אישית?

שם הקטגוריה של המודול בהתאמה אישית מכיל את קטגוריית הממצאים של סוג המודול ואת השם המוצג של המודול שהגדרתם. לדוגמה, שם הקטגוריה של מודול בהתאמה אישית יכול להיות Unexpected Compute Engine Region: example_custom_module. במסוף Google Cloud , קווים תחתונים מוצגים כרווחים. עם זאת, בשאילתות צריך לכלול את הקווים התחתונים.

המכסות קובעות את השימוש במודולים בהתאמה אישית ל-Event Threat Detection.

זמן האחזור של הזיהוי

במאמר זמן האחזור של הסריקה מתואר זמן האחזור של הגילוי ב-Event Threat Detection ובכל שאר השירותים המובְנים של Security Command Center.

ממצאי הבדיקה

אפשר לראות את הממצאים שנוצרו על ידי מודולים בהתאמה אישית במסוף Google Cloud , או באמצעות ה-CLI של gcloud או API בארכיטקטורת REST.

המסוף

במסוף Google Cloud , נכנסים לדף Findings של Security Command Center.

כניסה לדף Findings
בוחרים את הפרויקט או הארגון ב- Google Cloud .
בקטע Quick filters, בסעיף המשנה Source display name, בוחרים באפשרות Event Threat Detection Custom Modules. תוצאות השאילתה של הממצאים מתעדכנות ומוצגים רק הממצאים מהמקור הזה.
כדי לראות את הפרטים של ממצא ספציפי, לוחצים על שם הממצא בעמודה Category. חלונית הפרטים של הממצא נפתחת ומוצגת הכרטיסייה Summary.
בכרטיסייה Summary, בודקים את פרטי הממצא, כולל מידע על מה שזוהה, המשאב המושפע, ואם יש, השלבים שאפשר לבצע כדי לתקן את הממצא.
אופציונלי: כדי לראות את הגדרת ה-JSON המלאה של הממצא, לוחצים על הכרטיסייה JSON.

gcloud

איך מוצאים את מזהה המקור

הפקודה gcloud scc sources describe מציגה מידע על מקור הממצאים של Security Command Center.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שאליו שייך המקור (organizations,‏ folders או projects).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.

מריצים את הפקודה gcloud scc sources describe:

‫Linux,‏ macOS או Cloud Shell

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID \
    --source-display-name="Event Threat Detection Custom Modules"

‏Windows (PowerShell)

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID `
    --source-display-name="Event Threat Detection Custom Modules"

Windows‏ (cmd.exe)

gcloud scc sources describe RESOURCE_TYPE/RESOURCE_ID ^
    --source-display-name="Event Threat Detection Custom Modules"

אמורים לקבל תגובה שדומה לזו:

canonicalName: organizations/123456789012/sources/98765432109876543210
description: Provider used by Event Threat Detection Custom Modules
displayName: Event Threat Detection Custom Modules
name: organizations/123456789012/sources/98765432109876543210

מזהה המקור הוא הערך המספרי בסוף השדות canonicalName ו-name, לדוגמה 98765432109876543210.

הצגת רשימה של כל הממצאים של מודולים בהתאמה אישית של Event Threat Detection

הפקודה gcloud scc findings list מציגה רשימה של ממצאים ממקור במיקום ספציפי.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שרוצים לקבל (organizations,‏ folders או projects).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לקבל. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫LOCATION: המיקום של Security Command Center שבו רוצים להשתמש, למשל eu. אם מיקום אחסון הנתונים לא מופעל, צריך להשתמש ב-global.
‫SOURCE_ID: המזהה המספרי של מקור הממצאים.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID \
    --source=SOURCE_ID \
    --location=LOCATION

‏Windows (PowerShell)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID `
    --source=SOURCE_ID `
    --location=LOCATION

Windows‏ (cmd.exe)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID ^
    --source=SOURCE_ID ^
    --location=LOCATION

התשובה מכילה רשימה של ממצאים.

הצגת רשימת הממצאים של מודול ספציפי בהתאמה אישית

הפקודה gcloud scc findings list מציגה רשימה של ממצאים ממקור במיקום ספציפי.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שרוצים לקבל (organizations,‏ folders או projects).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לקבל. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫LOCATION: המיקום של Security Command Center שבו רוצים להשתמש, למשל eu. אם מיקום אחסון הנתונים לא מופעל, צריך להשתמש ב-global.
‫SOURCE_ID: המזהה המספרי של מקור הממצאים.
‫CUSTOM_MODULE_CATEGORY_NAME: שם הקטגוריה של המודול בהתאמה אישית, שמורכב מקטגוריית הממצאים של המודול (כפי שמופיעה במודולים ותבניות בהתאמה אישית), נקודתיים, רווח ושם התצוגה של המודול, כשהרווחים מוחלפים בקו תחתון. לדוגמה, Unexpected Compute Engine region: example_custom_module.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID \
    --source=SOURCE_ID \
    --location=LOCATION \
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

‏Windows (PowerShell)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID `
    --source=SOURCE_ID `
    --location=LOCATION `
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

Windows‏ (cmd.exe)

gcloud scc findings list RESOURCE_TYPE/RESOURCE_ID ^
    --source=SOURCE_ID ^
    --location=LOCATION ^
    --filter="category=\"CUSTOM_MODULE_CATEGORY_NAME\""

התשובה מכילה רשימה של ממצאים.

REST

איך מוצאים את מזהה המקור

ה-method‏ RESOURCE_TYPE.sources.list ב-Security Command Center API מציגה מידע על מקורות הממצאים של Security Command Center.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג משאב ההורה (organizations,‏ folders או projects).
‫QUOTA_PROJECT: מזהה הפרויקט שמשמש למעקב אחרי חיובים ומכסות.
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources"

‎PowerShell (Windows)

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources" | Select-Object -Expand Content

התשובה מכילה רשימה של ממצאים.

{
  "sources": [
    {
      "name": "organizations/123456789012/sources/9876543210987654321",
      "displayName": "Security Command Center",
      "description": "Detector for misconfigurations within the Security Command Center platform.",
      "canonicalName": "organizations/123456789012/sources/9876543210987654321"
    },
    {
      "name": "organizations/123456789012/sources/8765432109876543210",
      "displayName": "Application Design Center",
      "description": "Provides vulnerabilities on ADC resources.",
      "canonicalName": "organizations/123456789012/sources/8765432109876543210"
    },
    {
      "name": "organizations/123456789012/sources/7654321098765432109",
      "displayName": "Cloud Anomaly Detection",
      "description": "Provider used by Cloud Anomaly Detection",
      "canonicalName": "organizations/123456789012/sources/7654321098765432109"
    },
    {
      "name": "organizations/123456789012/sources/6543210987654321098",
      "displayName": "Vulnerability Assessment",
      "description": "Provider for Vulnerability Assessment.",
      "canonicalName": "organizations/123456789012/sources/6543210987654321098"
    },
    {
      "name": "organizations/123456789012/sources/5432109876543210987",
      "displayName": "Data Security Posture Management",
      "description": "Service to detect drift and post findings",
      "canonicalName": "organizations/123456789012/sources/5432109876543210987"
    },
    {
      "name": "organizations/123456789012/sources/4321098765432109876",
      "displayName": "Notebook Security Scanner",
      "description": "Provider for the Notebook Security Scanner",
      "canonicalName": "organizations/123456789012/sources/4321098765432109876"
    },
    {
      "name": "organizations/123456789012/sources/3210987654321098765",
      "displayName": "GKE Security Posture",
      "description": "Provides actionable security issues on GKE.",
      "canonicalName": "organizations/123456789012/sources/3210987654321098765"
    },
    {
      "name": "organizations/123456789012/sources/1098765432109876543",
      "displayName": "Event Threat Detection Custom Modules",
      "description": "Provider used by Event Threat Detection Custom Modules",
      "canonicalName": "organizations/123456789012/sources/1098765432109876543"
    }
  ]
}

מזהה המקור הוא הערך המספרי בסוף השדות canonicalName ו-name.

הצגת רשימה של ממצאים במודולים בהתאמה אישית של Event Threat Detection

באמצעות השיטה RESOURCE_TYPE.sources.locations.findings.list ב-Security Command Center API אפשר לראות את רשימת הממצאים של מקור במיקום ספציפי.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫QUOTA_PROJECT: מזהה הפרויקט שמשמש למעקב אחרי חיובים ומכסות.
‫RESOURCE_TYPE: סוג המשאב שרוצים לקבל (organizations,‏ folders או projects).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לקבל. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫LOCATION: המיקום של Security Command Center שבו רוצים להשתמש, למשל eu. אם מיקום אחסון הנתונים לא מופעל, צריך להשתמש ב-global.
‫SOURCE_ID: המזהה המספרי של מקור הממצאים.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings"

‎PowerShell (Windows)

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/RESOURCE_TYPE/RESOURCE_ID/sources/SOURCE_ID/locations/LOCATION/findings" | Select-Object -Expand Content

התשובה מכילה רשימה של ממצאים.

מידע נוסף על סינון ממצאים זמין במאמר הצגת ממצאי אבטחה.

אפשר לנהל את הממצאים שנוצרו על ידי מודולים בהתאמה אישית כמו כל הממצאים ב-Security Command Center. למידע נוסף, קראו את המאמרים הבאים:

ניהול מודולים בהתאמה אישית של Event Threat Detection

בקטע הזה מוסבר איך להציג, לעדכן ולמחוק מודולים בהתאמה אישית של Event Threat Detection, ואיך להציג רשימה שלהם.

הצגה או הצגה ברשימה של מודולים בהתאמה אישית

כברירת מחדל, כשמציגים את המודולים בהתאמה אישית של Event Threat Detection, רואים את כל הפרטים הבאים:

כל המודולים בהתאמה אישית של Event Threat Detection ששייכים לארגון, לתיקייה או לפרויקט.
כל המודולים המותאמים אישית של Event Threat Detection שעברו בירושה. לדוגמה, אם אתם צופים בפרויקט, המודולים בהתאמה אישית שנוצרו בארגון ובתיקיות ברמה שמעל לפרויקט נכללים בתוצאות.
כל המודולים בהתאמה אישית של Event Threat Detection שנוצרו במשאבי צאצא. לדוגמה, אם אתם בתצוגת הארגון, המודולים בהתאמה אישית בתיקיות ובפרויקטים של הארגון נכללים בתוצאות.

המסוף

לצפייה במודולים של השירות Event Threat Detection. המודולים המוגדרים מראש והמודולים בהתאמה אישית מופיעים ברשימה.
אופציונלי: כדי להציג רק את המודולים בהתאמה אישית, מזינים Type:Custom בתיבה Filter.

gcloud

הפקודה gcloud scc manage custom-modules etd list מציגה את כל המודולים בהתאמה אישית של Event Threat Detection בארגון, בתיקייה או בפרויקט.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שאליו שייכים המודולים בהתאמה אישית (organization,‏ folder או project).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לקבל. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.

מריצים את הפקודה gcloud scc manage custom-modules etd list:

‫Linux,‏ macOS או Cloud Shell

gcloud scc manage custom-modules etd list \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud scc manage custom-modules etd list `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud scc manage custom-modules etd list ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

- config:
    metadata:
      description: There is a Compute Engine instance in a region that's not allowed.
      recommendation: Delete the instance. If necessary, create a new instance in
        an allowed region.
      severity: MEDIUM
    regions:
    - region: northamerica-northeast1
  displayName: compute_instance_prohibited_region
  enablementState: ENABLED
  name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/9876543210987654321
  type: CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION
  updateTime: '2026-02-19T01:23:10.237946Z'
- config:
    metadata:
      description: An IAM custom role contains permissions that aren't allowed.
      recommendation: Remove the permissions from the custom role.
      severity: MEDIUM
    permissions:
    - accessapproval.requests.get
    - accessapproval.requests.invalidate
    - accessapproval.requests.list
    - accessapproval.settings.delete
  displayName: iam_custom_role_prohibited_permissions
  enablementState: ENABLED
  name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210
  type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
  updateTime: '2025-12-23T06:54:15.618430Z'

REST

ה-method‏ RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.list של Security Command Center Management API מציגה את כל המודולים בהתאמה אישית של Event Threat Detection בארגון, בתיקייה או בפרויקט.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שאליו שייכים המודולים בהתאמה אישית (organizations,‏ folders או projects).
‫QUOTA_PROJECT: מזהה הפרויקט שמשמש למעקב אחרי חיובים ומכסות.
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לקבל. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules"

‎PowerShell (Windows)

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

[
  {
    "config": {
      "metadata": {
        "description": "There is a Compute Engine instance in a region that's not allowed.",
        "recommendation": "Delete the instance. If necessary, create a new instance in an allowed region.",
        "severity": "MEDIUM"
      },
      "regions": [
        {
          "region": "northamerica-northeast1"
        }
      ]
    },
    "displayName": "compute_instance_prohibited_region",
    "enablementState": "ENABLED",
    "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/9876543210987654321",
    "type": "CONFIGURABLE_ALLOWED_COMPUTE_ENGINE_REGION",
    "updateTime": "2026-02-19T01:23:10.237946Z"
  },
  {
    "config": {
      "metadata": {
        "description": "An IAM custom role contains permissions that aren't allowed.",
        "recommendation": "Remove the permissions from the custom role.",
        "severity": "MEDIUM"
      },
      "permissions": [
        "accessapproval.requests.get",
        "accessapproval.requests.invalidate",
        "accessapproval.requests.list",
        "accessapproval.settings.delete"
      ]
    },
    "displayName": "iam_custom_role_prohibited_permissions",
    "enablementState": "ENABLED",
    "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210",
    "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
    "updateTime": "2025-12-23T06:54:15.618430Z"
  }
]

הפעלה או השבתה של מודול בהתאמה אישית

כשמפעילים או משביתים מודול בהתאמה אישית, השינוי חל על הארגון, התיקייה או הפרויקט שאליהם שייך המודול. המשאב הזה הוא ההורה של המודול בהתאמה אישית.

השינוי יכול לעבור בירושה גם לתיקיות או לפרויקטים שהם צאצאים של ההורה של המודול בהתאמה אישית. לדוגמה, אם יוצרים מודול בהתאמה אישית בתיקייה, הפרויקטים שבתיקייה יכולים לרשת את המצב של המודול בהתאמה אישית.

אם ההורה של המודול המותאם אישית הוא תיקייה או פרויקט, צריך להפעיל או להשבית את המודול המותאם אישית באותה רמה של היררכיית המשאבים, או ברמה נמוכה יותר. לדוגמה, אם ההורה של מודול בהתאמה אישית הוא פרויקט, אי אפשר להפעיל או להשבית את המודול בהתאמה אישית לארגון או לתיקייה. סוגי המשאבים האלה הם תמיד אבות קדמונים של פרויקטים.

המסוף

איך רואים ועורכים את המודולים של שירות

gcloud

הפקודה gcloud scc manage custom-modules etd update מעדכנת את המצב של מודול בהתאמה אישית ל-Event Threat Detection.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שרוצים לעדכן (organization,‏ folder או project).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט של המודול בהתאמה אישית. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_ID: המזהה המספרי של המודול
‫NEW_STATE: הערך ENABLED כדי להפעיל את המודול, הערך DISABLED כדי להשבית את המודול או הערך INHERITED כדי לרשת את סטטוס ההפעלה של משאב ההורה (תקף רק לפרויקטים ולתיקיות).

מריצים את הפקודה gcloud scc manage custom-modules etd update:

‫Linux,‏ macOS או Cloud Shell

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID \
    --enablement-state="NEW_STATE"

‏Windows (PowerShell)

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID `
    --enablement-state="NEW_STATE"

Windows‏ (cmd.exe)

gcloud scc manage custom-modules etd update event-threat-detection MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --enablement-state="NEW_STATE"

אמורים לקבל תגובה שדומה לזו:

config:
  metadata:
    description: An IAM custom role contains permissions that aren't allowed.
    recommendation: Remove the permissions from the custom role.
    severity: MEDIUM
  permissions:
  - accessapproval.requests.get
  - accessapproval.requests.invalidate
  - accessapproval.requests.list
  - accessapproval.settings.delete
displayName: iam_custom_role_prohibited_permissions
enablementState: DISABLED
name: projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210
type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
updateTime: '2026-03-20T16:52:27.046766Z'

REST

ה-method‏ RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.patch של Security Command Center Management API מעדכנת את המצב של מודול בהתאמה אישית ל-Event Threat Detection.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שרוצים לעדכן (organizations,‏ folders או projects).
‫QUOTA_PROJECT: מזהה הפרויקט שמשמש למעקב אחרי חיובים ומכסות.
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט של המודול בהתאמה אישית. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_ID: המזהה המספרי של המודול
‫NEW_STATE: הערך ENABLED כדי להפעיל את המודול, הערך DISABLED כדי להשבית את המודול או הערך INHERITED כדי לרשת את סטטוס ההפעלה של משאב ההורה (תקף רק לפרויקטים ולתיקיות).
‫FIELDS_TO_UPDATE: אופציונלי. רשימה מופרדת בפסיקים של שדות שרוצים לעדכן. אם משמיטים את הפרמטר, כל השדות מתעדכנים.

ה-method של ה-HTTP וכתובת ה-URL:

PATCH https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState

תוכן בקשת JSON:

{
  "enablementState": "NEW_STATE"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState"

‎PowerShell (Windows)

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID?updateMask=enablementState" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210",
  "config": {
    "metadata": {
      "severity": "MEDIUM",
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role."
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "enablementState": "DISABLED",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "displayName": "iam_custom_role_prohibited_permissions",
  "updateTime": "2026-03-20T16:52:27.046766Z"
}

עדכון ההגדרה של מודול בהתאמה אישית

בקטע הזה מוסבר איך לעדכן מודול בהתאמה אישית באמצעות מסוףGoogle Cloud ובאמצעות ה-CLI של gcloud. גודל הקובץ של כל מודול בהתאמה אישית של Event Threat Detection מוגבל ל-6MB.

אי אפשר לעדכן את סוג המודול של מודול בהתאמה אישית.

כדי לעדכן מודול בהתאמה אישית:

המסוף

אפשר לערוך רק מודולים מותאמים אישית למגורים. לדוגמה, אם אתם בתצוגה של הארגון, אתם יכולים לערוך רק את המודולים בהתאמה אישית שנוצרו ברמת הארגון.

לצפייה במודולים של השירות Event Threat Detection. המודולים המוגדרים מראש והמודולים בהתאמה אישית מופיעים ברשימה.
מוצאים את המודול בהתאמה אישית שרוצים לערוך.
במודול המותאם אישית, לוחצים על פעולות > עריכה.
עורכים את המודול בהתאמה אישית לפי הצורך.
לוחצים על Save.

gcloud

כדי לעדכן מודול, מריצים את הפקודה הבאה וכוללים את קובץ ה-JSON המעודכן של תבנית המודול:

 gcloud alpha scc custom-modules etd update CUSTOM_MODULE_ID \
     --RESOURCE_FLAG=RESOURCE_ID \
     --enablement-state="ENABLED" \
     --custom-config-from-file=PATH_TO_JSON_FILE

מחליפים את מה שכתוב בשדות הבאים:

‫CUSTOM_MODULE_ID: המזהה המספרי של המודול בהתאמה אישית של Event Threat Detection, לדוגמה 1234567890. אפשר לקבל את המזהה המספרי מהשדה name של המודול הרלוונטי בהתאמה אישית כשמציגים את רשימת המודולים בהתאמה אישית.
‫RESOURCE_FLAG: ההיקף של משאב ההורה שבו נמצא המודול בהתאמה אישית. אחד מהערכים הבאים: organization,‏ folder או project.
‫RESOURCE_ID: המזהה של משאב ההורה, כלומר מזהה הארגון, מזהה התיקייה או מזהה הפרויקט.
‫PATH_TO_JSON_FILE: קובץ ה-JSON שמכיל את הגדרת ה-JSON של המודול בהתאמה אישית.

בדיקת הסטטוס של מודול מותאם אישית אחד

המסוף

צפייה במודולים של השירות Event Threat Detection. המודולים המוגדרים מראש והמודולים בהתאמה אישית מופיעים ברשימה.
מוצאים את המודול בהתאמה אישית ברשימה.

הסטטוס של המודול בהתאמה אישית מוצג בעמודה סטטוס.

gcloud

הפקודה gcloud scc manage custom-modules etd describe מאחזרת מודול בהתאמה אישית של Event Threat Detection לארגון, לתיקייה או לפרויקט.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שהמודול המותאם אישית שייך אליו (organization,‏ folder או project).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לקבל. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_ID: המזהה המספרי של המודול בהתאמה אישית.

מריצים את הפקודה gcloud scc manage custom-modules etd describe:

‫Linux,‏ macOS או Cloud Shell

gcloud scc manage custom-modules etd describe MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud scc manage custom-modules etd describe MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud scc manage custom-modules etd describe MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

config:
  metadata:
    description: An IAM custom role contains permissions that aren't allowed.
    recommendation: Remove the permissions from the custom role.
    severity: MEDIUM
  permissions:
  - accessapproval.requests.get
  - accessapproval.requests.invalidate
  - accessapproval.requests.list
  - accessapproval.settings.delete
displayName: iam_custom_role_prohibited_permissions
enablementState: ENABLED
name: organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210
type: CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION
updateTime: '2025-12-23T06:54:15.618430Z'

REST

ה-method RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.get של Security Command Center Management API מקבלת מודול בהתאמה אישית של Event Threat Detection לארגון, לתיקייה או לפרויקט.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שהמודול המותאם אישית שייך אליו (organizations,‏ folders או projects).
‫QUOTA_PROJECT: מזהה הפרויקט שמשמש למעקב אחרי חיובים ומכסות.
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לקבל. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_ID: המזהה המספרי של המודול בהתאמה אישית.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID"

‎PowerShell (Windows)

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "config": {
    "metadata": {
      "description": "An IAM custom role contains permissions that aren't allowed.",
      "recommendation": "Remove the permissions from the custom role.",
      "severity": "MEDIUM"
    },
    "permissions": [
      "accessapproval.requests.get",
      "accessapproval.requests.invalidate",
      "accessapproval.requests.list",
      "accessapproval.settings.delete"
    ]
  },
  "displayName": "iam_custom_role_prohibited_permissions",
  "enablementState": "ENABLED",
  "name": "organizations/123456789012/locations/global/eventThreatDetectionCustomModules/8765432109876543210",
  "type": "CONFIGURABLE_CUSTOM_ROLE_WITH_PROHIBITED_PERMISSION",
  "updateTime": "2025-12-23T06:54:15.618430Z"
}

מחיקת מודול בהתאמה אישית

כשמוחקים מודול בהתאמה אישית של Event Threat Detection, הממצאים שהוא יצר לא משתנים ונשארים זמינים ב-Security Command Center. לעומת זאת, כשמוחקים מודול בהתאמה אישית של Security Health Analytics, הממצאים שנוצרו על ידו מסומנים כלא פעילים.

אי אפשר לשחזר מודול בהתאמה אישית שנמחק.

המסוף

אי אפשר למחוק מודולים מותאמים אישית שעברו בירושה. לדוגמה, אם אתם בתצוגת הפרויקט, אתם לא יכולים למחוק מודולים בהתאמה אישית שנוצרו ברמת התיקייה או הארגון.

כדי למחוק מודול בהתאמה אישית באמצעות מסוף Google Cloud :

צפייה במודולים של השירות Event Threat Detection. המודולים המוגדרים מראש והמודולים בהתאמה אישית מופיעים ברשימה.
מוצאים את המודול המותאם אישית שרוצים למחוק.
במודול המותאם אישית, לוחצים על פעולות > מחיקה. תופיע הודעה שבה תתבקשו לאשר את המחיקה.
לוחצים על Delete.

gcloud

הפקודה gcloud scc manage custom-modules etd delete יוצרת מודול בהתאמה אישית של Event Threat Detection לארגון, לתיקייה או לפרויקט.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שאליו שייכים המודולים בהתאמה אישית (organization,‏ folder או project).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט של המודול בהתאמה אישית. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_ID: המזהה המספרי של המודול בהתאמה אישית.

מריצים את הפקודה gcloud scc manage custom-modules etd delete:

‫Linux,‏ macOS או Cloud Shell

gcloud scc manage custom-modules etd delete MODULE_ID \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud scc manage custom-modules etd delete MODULE_ID `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud scc manage custom-modules etd delete MODULE_ID ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

Deleted [projects/1234567890123/locations/global/eventThreatDetectionCustomModules/98765432109876543210].

REST

ה-method‏ RESOURCE_TYPE.locations.eventThreatDetectionCustomModules.delete של Security Command Center Management API יוצרת מודול בהתאמה אישית של Event Threat Detection לארגון, לתיקייה או לפרויקט.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שהמודול המותאם אישית יהיה שייך אליו (organizations,‏ folders או projects)
‫QUOTA_PROJECT: מזהה הפרויקט שמשמש למעקב אחרי חיובים ומכסות.
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט של המודול בהתאמה אישית. בפרויקטים אפשר להשתמש גם במזהה הפרויקט שמכיל אותיות וספרות.
‫MODULE_ID: המזהה המספרי של המודול בהתאמה אישית.

ה-method של ה-HTTP וכתובת ה-URL:

DELETE https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

מריצים את הפקודה הבאה:

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID"

‎PowerShell (Windows)

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/eventThreatDetectionCustomModules/MODULE_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{}

שכפול מודול בהתאמה אישית

כשמשכפלים מודול בהתאמה אישית, המודול שנוצר הוא חלק מהמשאב שאתם צופים בו. לדוגמה, אם משכפלים מודול בהתאמה אישית שהפרויקט ירש מהארגון, המודול החדש בהתאמה אישית הוא מודול מקומי בפרויקט.

אי אפשר לשכפל מודול מותאם אישית צאצא.

כדי לשכפל מודול בהתאמה אישית באמצעות מסוף Google Cloud :

צפייה במודולים של השירות Event Threat Detection. המודולים המוגדרים מראש והמודולים בהתאמה אישית מופיעים ברשימה.
מוצאים את המודול המותאם אישית שרוצים לשכפל.
במודול המותאם אישית, לוחצים על פעולות > שכפול.
עורכים את המודול בהתאמה אישית לפי הצורך.
לוחצים על יצירה.

המאמרים הבאים

מידע נוסף על מודולים בהתאמה אישית ל-Event Threat Detection

יצירה וניהול של מודולים מותאמים אישית ל-Event Threat Detection קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

לפני שמתחילים

‫Security Command Center Premium ו-Event Threat Detection

תפקידים והרשאות נדרשים ב-IAM

היומנים הנדרשים

רמות של מודולים בהתאמה אישית

יצירת מודולים בהתאמה אישית

מבנה התבנית

שינוי תבנית של מודול

יצירת מודול בהתאמה אישית

המסוף

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

REST

‫Curl (Linux,‏ macOS או Cloud Shell)

‎PowerShell (Windows)

Terraform

זמן האחזור של הזיהוי

ממצאי הבדיקה

המסוף

gcloud

איך מוצאים את מזהה המקור

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

הצגת רשימה של כל הממצאים של מודולים בהתאמה אישית של Event Threat Detection

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

הצגת רשימת הממצאים של מודול ספציפי בהתאמה אישית

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

REST

איך מוצאים את מזהה המקור

‫Curl (Linux,‏ macOS או Cloud Shell)

‎PowerShell (Windows)

הצגת רשימה של ממצאים במודולים בהתאמה אישית של Event Threat Detection

‫Curl (Linux,‏ macOS או Cloud Shell)

‎PowerShell (Windows)

ניהול מודולים בהתאמה אישית של Event Threat Detection

הצגה או הצגה ברשימה של מודולים בהתאמה אישית

המסוף

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

REST

‫Curl (Linux,‏ macOS או Cloud Shell)

‎PowerShell (Windows)

הפעלה או השבתה של מודול בהתאמה אישית

המסוף

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

REST

‫Curl (Linux,‏ macOS או Cloud Shell)

‎PowerShell (Windows)

עדכון ההגדרה של מודול בהתאמה אישית

המסוף

gcloud

בדיקת הסטטוס של מודול מותאם אישית אחד

המסוף

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

REST

‫Curl (Linux,‏ macOS או Cloud Shell)

‎PowerShell (Windows)

מחיקת מודול בהתאמה אישית

המסוף

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

REST

יצירה וניהול של מודולים מותאמים אישית ל-Event Threat Detection