Examiner les alertes avec l'agent de contexte tiers

Compatible avec :

Google SecOps

Remarque : Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Consignes relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques aux services Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en avant-première ou contactez votre administrateur système.

Remarque : Il est possible que cette fonctionnalité ne soit pas disponible pour tous les clients ni dans toutes les régions. Les fonctionnalités en version preview privée ne sont pas gérables sur la page "Gestionnaire de la version preview publique" de la plate-forme Google SecOps.

Important : Vous devez activer l'agent de contexte tiers sur la plate-forme Google Security Operations avant de pouvoir l'utiliser. Pour en savoir plus, consultez Configurer l'agent de contexte tiers.

Ce guide s'adresse aux analystes de sécurité qui souhaitent examiner efficacement les alertes de sécurité. Il explique comment utiliser l'agent de contexte tiers Google SecOps optimisé par l'IA dans Google SecOps pour :

• Enrichissez automatiquement les alertes et les entités avec des données contextuelles externes essentielles issues de votre environnement organisationnel.
• Complétez le verdict de l'agent de tri et d'investigation (TIN) en ajoutant des données contextuelles supplémentaires.

Lorsque vous utilisez l'agent de contexte tiers, vous pouvez réduire la collecte manuelle de données et accélérer le processus de triage. Vous n'avez ainsi pas besoin de développer ni de gérer des workflows d'enrichissement personnalisés. L'utilisation efficace de l'agent de contexte 3P permet de réduire le délai moyen de réponse (MTTR, Mean Time To Respond) et de prendre des décisions plus éclairées lors des investigations. Cela apporte une valeur commerciale significative en améliorant la stratégie de sécurité et l'efficacité opérationnelle.

Terminologie clé

• Agent de contexte tiers : assistant optimisé par l'IA qui enrichit automatiquement les alertes avec des données contextuelles provenant d'outils tiers déployés dans votre environnement.
• Agent de tri et d'investigation (TIN) : agent qui effectue l'analyse initiale des alertes et crée les verdicts qui en résultent. L'agent de contexte tiers agit en tant que sous-agent du TIN.
• Enrichissement : processus consistant à ajouter du contexte à l'alerte. Lorsque vous utilisez l'agent de contexte tiers, vous pouvez ajouter manuellement ou automatiquement des informations enrichies à l'aide d'un large éventail d'intégrations, qu'elles soient commerciales ou personnalisées. Il peut s'agir d'outils de sécurité, de systèmes de gestion des tickets et d'autres sources de données.

Utilisation du quota pendant la version Preview privée

• Agent de contexte tiers : pendant la phase d'aperçu privé, l'utilisation de l'agent de contexte tiers pour enrichir les données provenant d'outils tiers ne consomme pas votre quota d'IA.
• TIN : lorsque l'agent de contexte tiers est déclenché, l'agent TIN peut consommer en moyenne 5% de quota d'IA supplémentaire.
• Utilisation des intégrations : lorsque vous utilisez des intégrations dans l'agent de contexte tiers à des fins d'enrichissement, vous pouvez encourir des frais supplémentaires de ces intégrations, comme lorsque vous les exécutez manuellement ou à l'aide d'un playbook.

Avant de commencer

Assurez-vous de disposer des éléments suivants :

• Autorisations : l'accès à la configuration de l'agent de contexte tiers est géré à l'aide des paramètres SIEM. Accédez à Paramètres SIEM> Investigations Gemini> Agent de contexte tiers. Des rôles Identity and Access Management (IAM) spécifiques peuvent être requis pour modifier ces paramètres.
• Vérification de l'environnement : assurez-vous que les intégrations tierces pertinentes, telles que les outils EDR, IAM et Threat Intelligence, sont installées et actives dans votre environnement Google SecOps. L'agent de contexte tiers ne peut utiliser que les intégrations déjà déployées et configurées.

Fonctionnement de l'agent de contexte tiers

Garde-fous et restrictions

L'agent de contexte tiers fonctionne avec des garde-fous stricts. Il est limité à l'accès aux actions d'enrichissement en lecture seule à partir d'intégrations commerciales. Il ne peut effectuer aucune action qui modifie les données ou les états dans ces systèmes tiers.

Étape 1 : Déclencher l'agent de contexte tiers

L'agent de contexte tiers est principalement déclenché en tant que sous-agent lorsque le TIN est exécuté. Cela se produit automatiquement si vous avez activé les paramètres Enquêtes Gemini.

Étape 2 : Outils et sources de données

1. Sélection dynamique des outils : l'agent de contexte tiers choisit intelligemment les outils les plus appropriés parmi les intégrations tierces installées en fonction du type d'alerte et des entités concernées.
2. Outils propriétaires Google SecOps : les outils propriétaires suivants sont exécutés directement par le TIN, et non par l'agent de contexte tiers :
   • GoogleChronicle
   • Google Threat Intelligence (GTI)
   • Mandiant
   • Mandiant Threat Intelligence
   • VirusTotal
   • VirusTotal V3

Étape 3 : Afficher le résultat

1. Entités d'alerte : accédez à la page d'informations de l'alerte. Les entités associées à l'alerte seront enrichies avec les résultats de l'agent de contexte tiers. Ces données peuvent également être utilisées dans les playbooks.
2. Augmenter les verdicts : les résultats générés par l'agent de contexte tiers sont également utilisés pour augmenter le verdict et le niveau de confiance du TIN.
3. Chronologie des investigations Gemini : consultez la chronologie de l'investigation. Chaque exécution d'outil par l'agent de contexte tiers est consignée ici, y compris un résumé des résultats et une option permettant d'afficher les résultats bruts.
4. Tous les outils d'enrichissement exécutés par l'agent de contexte tiers seront visibles et audités dans le mur de fiches, y compris leurs résultats.

Configurer l'agent de contexte tiers

1. Accéder aux paramètres : accédez à Paramètres du SIEM > Enquêtes Gemini > Agent de contexte tiers.
2. Activer ou désactiver : activez ou désactivez l'agent de contexte tiers à l'aide du bouton bascule.
3. Gérer les outils :
   • Par défaut, toutes les intégrations nouvellement installées sont automatiquement incluses. Vous pouvez sélectionner les outils que vous souhaitez exclure, le cas échéant.
   • Dans vos intégrations installées, consultez la liste des outils d'enrichissement en lecture seule disponibles.
   • Désactivez des intégrations entières ou des actions spécifiques au sein d'une intégration pour contrôler les données auxquelles l'agent de contexte tiers peut accéder.
4. Gérer les instances (configuration de l'intégration) :
   • Par défaut, l'agent de contexte tiers sélectionne d'abord une instance configurée à partir de l'environnement exécuté. S'il n'existe aucune instance configurée dans l'environnement, l'agent de contexte tiers utilise automatiquement les instances partagées disponibles, le cas échéant.
   • Pour chaque environnement, vous pouvez désactiver la sélection automatique et sélectionner manuellement des instances à partir de l'environnement ou des instances partagées. Cela est utile lorsque plusieurs instances sont configurées pour l'environnement et que vous souhaitez que l'agent de contexte tiers en utilise une spécifique.
   • Vous pouvez désactiver complètement l'accès de l'agent de contexte tiers à des environnements spécifiques pour l'empêcher d'utiliser l'outil dans ces environnements.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.