Investiga alertas con el agente de contexto de terceros

Se admite en los siguientes sistemas operativos:

Esta guía está dirigida a los analistas de seguridad que desean investigar las alertas de seguridad de manera eficiente. En este documento, se explica cómo aprovechar el agente de contexto externo de Google SecOps potenciado por IA dentro de Google SecOps para hacer lo siguiente:

  • Enriquece automáticamente las alertas y las entidades con datos contextuales externos cruciales derivados de tu entorno organizacional.
  • Aumentar el veredicto del agente de investigación y clasificación (TIN) agregando datos contextuales adicionales de la investigación

Cuando usas el agente de contexto de terceros, puedes reducir la recopilación manual de datos y acelerar el proceso de clasificación. Te ahorra el tiempo de tener que desarrollar y mantener flujos de trabajo de enriquecimiento personalizados. El uso exitoso del agente de contexto externo permite un tiempo medio de respuesta (MTTR) más rápido y decisiones más fundamentadas durante las investigaciones, lo que proporciona un valor comercial significativo al mejorar la postura de seguridad y la eficiencia operativa.

Terminología clave

  • Agente de contexto de terceros: Es el asistente potenciado por IA que enriquece automáticamente las alertas con datos contextuales de herramientas de terceros implementadas en tu entorno.
  • Agente de clasificación y de investigación (TIN): Es el agente que realiza el análisis inicial de las alertas y crea los veredictos resultantes. El agente de contexto de terceros actúa como un subagente del TIN.
  • Enriquecimiento: Es el proceso de agregar contexto adicional a la alerta. Cuando se usa el agente de contexto externo, el enriquecimiento se puede agregar de forma manual o automática con una amplia variedad de integraciones, ya sean comerciales o personalizadas. Estos pueden incluir herramientas de seguridad, sistemas de tickets y otras fuentes de datos.

Uso de cuota durante la versión preliminar privada

  • Agente de contexto de terceros: Durante la fase de vista previa privada, usar el agente de contexto de terceros para enriquecer los datos de herramientas de terceros no consumirá tu cuota de IA.
  • TIN: Cuando se activa el agente de contexto de terceros, el agente de TIN puede consumir un promedio del 5% adicional de la cuota de IA.
  • Uso de integraciones: Cuando usas integraciones dentro del agente de contexto de terceros con fines de enriquecimiento, es posible que incurras en cargos adicionales por estas integraciones, de manera similar a cuando las ejecutas manualmente o con un manual.

Antes de comenzar

Asegúrate de tener o hacer lo siguiente:

  • Permisos: El acceso para configurar el agente de contexto externo se administra con la configuración del SIEM. Ve a Configuración de SIEM > Gemini Investigations > 3P Context Agent. Es posible que se requieran roles específicos de Identity and Access Management (IAM) para modificar estos parámetros de configuración.
  • Verificación del entorno: Asegúrate de que las integraciones de terceros pertinentes, como las herramientas de EDR, IAM y Threat Intelligence, estén instaladas y activas en tu entorno de Google SecOps. El agente de contexto de terceros solo puede utilizar las integraciones que ya se implementaron y configuraron.

Cómo funciona el agente de contexto de terceros

Mecanismos de protección y restricciones

El agente de contexto de terceros opera con estrictas barreras de seguridad. Se restringe solo al acceso a acciones de enriquecimiento de solo lectura desde integraciones comerciales. No puede realizar ninguna acción que modifique datos o estados dentro de esos sistemas de terceros.

Etapa 1: Activación del agente de contexto de terceros

El agente de contexto externo se activa principalmente como un subagente cuando se ejecuta TIN. Esto ocurre automáticamente si habilitaste la opción con la configuración de Gemini Investigations.

Etapa 2: Herramientas y fuentes de datos

  1. Selección dinámica de herramientas: El agente de contexto de terceros elige de forma inteligente las herramientas más adecuadas de las integraciones de terceros instaladas según el tipo de alerta y las entidades involucradas.
  2. Herramientas propias de Google SecOps: Las siguientes herramientas propias se ejecutan directamente a través del TIN, no a través del agente de contexto de terceros:
    • GoogleChronicle
    • Google Threat Intelligence (GTI)
    • Mandiant
    • Mandiant Threat Intelligence
    • VirusTotal
    • VirusTotal V3

Etapa 3: Visualiza el resultado

  1. Entidades de alerta: Ve a la página de detalles de la alerta. Las entidades asociadas con la alerta se enriquecerán con los hallazgos del agente de contexto externo. Estos datos también están disponibles para usarse en las guías de implementación.
  2. Aumentar los veredictos: Los resultados que genera el agente de contexto externo también se usan para aumentar el veredicto y el nivel de confianza del TIN.
  3. Cronograma de las investigaciones de Gemini: Revisa el cronograma de la investigación. Aquí se registra cada ejecución de herramientas por parte del agente de contexto externo, incluido un resumen de los hallazgos y una opción para ver los resultados sin procesar.
  4. Todas las herramientas de enriquecimiento que ejecutó el agente de contexto externo serán visibles y se auditarán en el muro de casos, incluidos sus resultados.

Configura el agente de contexto de terceros

  1. Configuración de acceso: Ve a Configuración de SIEM > Gemini Investigations > Agente de contexto de terceros.
  2. Habilitar o inhabilitar: Cambia el botón de activación para habilitar o inhabilitar el agente de contexto de terceros.
  3. Administrar herramientas:
    • De forma predeterminada, todas las integraciones recién instaladas se incluyen automáticamente. Puedes seleccionar qué herramientas quieres excluir, si es que quieres excluir alguna.
    • En las integraciones instaladas, revisa la lista de herramientas de enriquecimiento de solo lectura disponibles.
    • Desactiva integraciones completas o acciones específicas dentro de una integración para controlar a qué datos puede acceder el agente de contexto de terceros.
  4. Administra instancias (configuración de integración):
    • De forma predeterminada, el agente de contexto de terceros primero seleccionará una instancia configurada del entorno ejecutado. Si no hay instancias configuradas existentes en el entorno, el agente de contexto de terceros usará automáticamente las instancias compartidas disponibles, si existen.
    • Para cada entorno, puedes inhabilitar la selección automática y seleccionar instancias de forma manual, ya sea desde el entorno o desde las instancias compartidas. Esto es útil cuando tienes varias instancias configuradas para el entorno y quieres que el agente de contexto externo use una específica.
    • Puedes inhabilitar por completo el acceso del agente de contexto de terceros a entornos específicos para evitar que el agente use la herramienta en esos entornos.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.