サードパーティのコンテキスト エージェントを使用してアラートを調査する

以下でサポートされています。

このガイドは、セキュリティ アラートを効率的に調査するセキュリティ アナリストを対象としています。このドキュメントでは、Google SecOps 内で AI を活用した Google SecOps 3P コンテキスト エージェントを活用して、次のことを行う方法について説明します。

  • 組織環境から取得した重要な外部コンテキスト データを使用して、アラートとエンティティを自動的に拡充します。
  • 追加のコンテキスト調査データを追加して、トリアージと調査のエージェント（TIN）の判定を補強します。

サードパーティ コンテキスト エージェントを使用すると、手動でのデータ収集を減らし、トリアージ プロセスを迅速化できます。カスタムの拡充ワークフローを開発して維持する手間を省くことができます。3P Context Agent を効果的に使用すると、平均応答時間（MTTR）が短縮され、調査中に十分な情報に基づいた意思決定が可能になります。これにより、セキュリティ ポスチャーと運用効率が向上し、大きなビジネス価値がもたらされます。

主な用語

  • 3P Context Agent: 環境にデプロイされたサードパーティ ツールからコンテキスト データを取得し、アラートを自動的に拡充する AI を活用したアシスタント。
  • トリアージと調査エージェント（TIN）: アラートの初期分析を行い、結果として判定結果を作成するエージェント。3P Context Agent は TIN のサブエージェントとして機能します。
  • 拡充: アラートにコンテキストを追加するプロセス。サードパーティのコンテキスト エージェントを使用する場合、商用またはカスタムのさまざまな統合を使用して、エンリッチメントを手動または自動で追加できます。これには、セキュリティ ツール、チケット発行システム、その他のデータソースが含まれます。

限定公開プレビュー中の割り当て使用量

  • 3P Context Agent: プライベート プレビュー フェーズでは、3P Context Agent を使用してサードパーティ ツールからデータを拡充しても、AI 割り当ては消費されません。
  • TIN: サードパーティ コンテキスト エージェントをトリガーすると、TIN エージェントは平均で 5% の AI 割り当てを追加で消費する可能性があります。
  • インテグレーションの使用: 3P Context Agent 内でインテグレーションを拡充目的で使用する場合、手動またはプレイブックを使用して実行する場合と同様に、これらのインテグレーションから追加料金が発生する可能性があります。

始める前に

次のことを確認してください。

  • 権限: サードパーティのコンテキスト エージェントを構成するためのアクセス権は、SIEM 設定を使用して管理されます。[SIEM 設定] > [Gemini Investigations] > [3P Context Agent] に移動します。これらの設定を変更するには、特定の Identity and Access Management（IAM）ロールが必要になる場合があります。
  • 環境チェック: EDR、IAM、脅威インテリジェンス ツールなどの関連するサードパーティ統合が Google SecOps 環境にインストールされ、有効になっていることを確認します。サードパーティ コンテキスト エージェントは、すでにデプロイされ、構成されている統合のみを利用できます。

サードパーティのコンテキスト エージェントの仕組み

ガードレールと制限事項

サードパーティのコンテキスト エージェントは、厳格なガードレールで動作します。商用インテグレーションから読み取り専用の拡充アクションにのみアクセスできます。これらのサードパーティ システム内のデータや状態を変更するアクションは実行できません。

ステージ 1: サードパーティのコンテキスト エージェントをトリガーする

サードパーティ コンテキスト エージェントは、主に TIN の実行時にサブエージェントとしてトリガーされます。この処理は、Gemini の調査の設定でオプトインしている場合は自動的に行われます。

ステージ 2: ツールとデータソース

  1. 動的なツール選択: 3P Context Agent は、アラートの種類と関連するエンティティに基づいて、インストールされているサードパーティ統合から最も適切なツールをインテリジェントに選択します。
  2. Google SecOps ファーストパーティ ツール: 次のファーストパーティ ツールは、サードパーティのコンテキスト エージェントではなく、TIN によって直接実行されます。
    • GoogleChronicle
    • Google Threat Intelligence（GTI）
    • Mandiant
    • Mandiant Threat Intelligence
    • VirusTotal
    • VirusTotal V3

ステージ 3: 結果を表示する

  1. アラート エンティティ: アラートの詳細ページに移動します。アラートに関連付けられているエンティティは、サードパーティのコンテキスト エージェントからの検出結果で拡充されます。このデータは、ハンドブックでも使用できます。
  2. 判定を補強する: 3P コンテキスト エージェントによって生成された結果は、TIN の判定と信頼度を補強するためにも使用されます。
  3. Gemini Investigations のタイムライン: 調査のタイムラインを確認します。サードパーティのコンテキスト エージェントによる各ツールの実行がここに記録されます。調査結果の概要と、未加工の結果を表示するオプションが含まれます。
  4. サードパーティのコンテキスト エージェントによって実行されたすべてのエンリッチメント ツールは、結果を含めてケースウォールに表示され、監査されます。

サードパーティのコンテキスト エージェントを構成する

  1. アクセス設定: SIEM 設定 > Gemini による調査 > サードパーティ コンテキスト エージェント に移動します。
  2. 有効または無効にする: 切り替えを切り替えて、3P Context Agent を有効または無効にします。
  3. 管理ツール:
    • デフォルトでは、新しくインストールされたすべての統合が自動的に含まれます。除外するツールを選択できます。
    • インストールされているインテグレーションから、使用可能な読み取り専用のエンリッチメント ツールのリストを確認します。
    • 統合全体または統合内の特定のアクションを無効にして、3P Context Agent がアクセスできるデータを制御します。
  4. インスタンスを管理する（統合構成）:
    • デフォルトでは、3P コンテキスト エージェントは、実行された環境から構成済みのインスタンスを最初に選択します。環境に構成済みの既存のインスタンスがない場合、3P コンテキスト エージェントは、使用可能な共有インスタンスが存在すれば、それを自動的に使用します。
    • 環境ごとに、自動選択を無効にして、環境または共有インスタンスからインスタンスを手動で選択できます。これは、環境用に複数のインスタンスが構成されていて、サードパーティ コンテキスト エージェントに特定のインスタンスを使用させたい場合に便利です。
    • 特定の環境に対する 3P Context Agent のアクセスを完全に無効にすると、エージェントがその環境でツールを使用できなくなります。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。