Menyelidiki pemberitahuan dengan 3P Context Agent

Didukung di:

Google SecOps

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Catatan: Fitur ini mungkin hanya tersedia untuk pelanggan tertentu di wilayah tertentu. Fitur pratinjau pribadi tidak dapat dikelola di halaman Pengelola Pratinjau Publik di platform Google SecOps.

Penting: Anda harus mengaktifkan Agen Konteks Pihak Ketiga (3P) di platform Google Security Operations sebelum dapat mulai menggunakan agen. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi Agen Konteks Pihak Ketiga.

Panduan ini ditujukan bagi analis keamanan yang ingin menyelidiki peringatan keamanan secara efisien. Dokumen ini menjelaskan cara memanfaatkan Agen Konteks Pihak Ketiga Google SecOps yang didukung AI dalam Google SecOps untuk:

• Secara otomatis memperkaya pemberitahuan dan entitas dengan data kontekstual eksternal penting yang berasal dari lingkungan organisasi Anda.
• Meningkatkan kualitas putusan agen Triase dan Investigasi (TIN) dengan menambahkan data investigasi kontekstual tambahan.

Saat menggunakan Agen Konteks Pihak Ketiga, Anda dapat mengurangi pengumpulan data manual dan mempercepat proses triase. Hal ini menghemat waktu Anda karena tidak perlu mengembangkan dan memelihara alur kerja pengayaan kustom. Penggunaan Agen Konteks Pihak Ketiga yang berhasil akan menghasilkan Waktu Rata-Rata untuk Merespons (MTTR) yang lebih cepat dan keputusan yang lebih tepat selama penyelidikan, sehingga memberikan nilai bisnis yang signifikan dengan meningkatkan postur keamanan dan efisiensi operasional.

Terminologi utama

• 3P Context Agent: Asisten yang didukung AI yang secara otomatis memperkaya pemberitahuan dengan data kontekstual dari alat pihak ketiga yang di-deploy di lingkungan Anda.
• Agen Penilaian Tingkat Prioritas dan Penyelidikan (TIN): Agen yang melakukan analisis pemberitahuan awal dan membuat putusan yang dihasilkan. 3P Context Agent bertindak sebagai sub-agen untuk TIN.
• Pengayaan: Proses menambahkan konteks tambahan ke pemberitahuan. Saat menggunakan Agen Konteks Pihak Ketiga, pengayaan dapat ditambahkan secara manual atau otomatis menggunakan berbagai integrasi, baik komersial maupun kustom. Data ini dapat mencakup alat keamanan, sistem tiket, dan sumber data lainnya.

Penggunaan kuota selama Pratinjau Pribadi

• 3P Context Agent: Selama fase Pratinjau Pribadi, penggunaan 3P Context Agent untuk memperkaya data dari alat pihak ketiga tidak akan menggunakan kuota AI Anda.
• TIN: Saat memicu Agen Konteks Pihak Ketiga, agen TIN dapat menggunakan rata-rata 5% kuota AI tambahan.
• Menggunakan integrasi: Saat Anda menggunakan integrasi dalam Agen Konteks Pihak Ketiga untuk tujuan pengayaan, Anda mungkin dikenai biaya tambahan dari integrasi ini, serupa dengan saat Anda menjalankannya secara manual atau menggunakan playbook.

Sebelum memulai

Pastikan Anda memiliki atau melakukan hal berikut:

• Izin: Akses untuk mengonfigurasi Agen Konteks Pihak Ketiga dikelola menggunakan setelan SIEM. Buka Setelan SIEM > Investigasi Gemini > Agen Konteks Pihak Ketiga. Peran Identity and Access Management (IAM) tertentu mungkin diperlukan untuk mengubah setelan ini.
• Pemeriksaan lingkungan: Pastikan integrasi pihak ketiga yang relevan, seperti alat EDR, IAM, dan Threat Intelligence, diinstal dan aktif di lingkungan Google SecOps Anda. Agen Konteks Pihak Ketiga hanya dapat menggunakan integrasi yang sudah di-deploy dan dikonfigurasi.

Cara kerja 3P Context Agent

Aturan dan batasan

3P Context Agent beroperasi dengan batasan yang ketat. Hal ini dibatasi hanya untuk mengakses tindakan pengayaan hanya baca dari integrasi komersial. Aplikasi ini tidak dapat melakukan tindakan apa pun yang mengubah data atau status dalam sistem pihak ketiga tersebut.

Tahap 1: Memicu 3P Context Agent

Agen Konteks Pihak Ketiga terutama dipicu sebagai sub-agen saat TIN berjalan. Hal ini terjadi secara otomatis jika Anda memilih untuk mengaktifkannya, menggunakan setelan Investigasi Gemini.

Tahap 2: Alat dan sumber data

1. Pemilihan alat dinamis: 3P Context Agent secara cerdas memilih alat yang paling sesuai dari integrasi pihak ketiga yang diinstal berdasarkan jenis pemberitahuan dan entitas yang terlibat.
2. Alat pihak pertama Google SecOps: Alat pihak pertama berikut dijalankan langsung oleh TIN, bukan oleh Agen Konteks pihak ketiga:
   • GoogleChronicle
   • Google Threat Intelligence (GTI)
   • Mandiant
   • Mandiant Threat Intelligence
   • VirusTotal
   • VirusTotal V3

Tahap 3: Melihat hasilnya

1. Entitas pemberitahuan: Buka halaman detail pemberitahuan. Entitas yang terkait dengan pemberitahuan akan dilengkapi dengan temuan dari 3P Context Agent. Data ini juga tersedia untuk digunakan dalam playbook.
2. Meningkatkan kualitas putusan: Hasil yang dihasilkan oleh Agen Konteks Pihak Ketiga juga digunakan untuk meningkatkan kualitas putusan TIN dan tingkat keyakinan.
3. Linimasa Investigasi Gemini: Tinjau linimasa investigasi. Setiap eksekusi alat oleh 3P Context Agent dicatat di sini, termasuk ringkasan temuan dan opsi untuk melihat hasil mentah.
4. Semua alat pengayaan yang dijalankan oleh 3P Context Agent akan terlihat dan diaudit di Dinding Kasus, termasuk hasilnya.

Mengonfigurasi 3P Context Agent

1. Akses Setelan: Buka Setelan SIEM > Investigasi Gemini > Agen Konteks Pihak Ketiga.
2. Mengaktifkan atau menonaktifkan: Aktifkan atau nonaktifkan 3P Context Agent dengan mengubah tombol.
3. Mengelola alat:
   • Secara default, semua integrasi yang baru diinstal akan otomatis disertakan. Anda dapat memilih alat yang ingin dikecualikan, jika ada.
   • Dari integrasi yang terinstal, tinjau daftar alat pengayaan hanya baca yang tersedia.
   • Nonaktifkan seluruh integrasi atau tindakan tertentu dalam integrasi untuk mengontrol data yang dapat diakses oleh 3P Context Agent.
4. Mengelola instance (konfigurasi integrasi):
   • Secara default, Agen Konteks 3P akan memilih instance yang dikonfigurasi terlebih dahulu dari lingkungan yang dieksekusi. Jika tidak ada instance yang dikonfigurasi di lingkungan, Agen Konteks 3P akan otomatis menggunakan instance bersama yang tersedia jika ada.
   • Untuk setiap lingkungan, Anda dapat menonaktifkan pemilihan otomatis dan memilih instance secara manual baik dari lingkungan maupun dari instance bersama. Hal ini berguna jika Anda memiliki beberapa instance yang dikonfigurasi untuk lingkungan dan Anda ingin Agen Konteks Pihak Ketiga menggunakan instance tertentu.
   • Anda dapat menonaktifkan akses 3P Context Agent untuk lingkungan tertentu sepenuhnya guna mencegah agen menggunakan alat di lingkungan tersebut.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.