서드 파티 컨텍스트 에이전트로 알림 조사

다음에서 지원:

이 가이드는 보안 경보를 효율적으로 조사하려는 보안 분석가를 대상으로 합니다. 이 가이드에서는 Google SecOps 내에서 AI 기반 Google SecOps 서드 파티 컨텍스트 에이전트를 활용하여 다음 작업을 수행하는 방법을 설명합니다.

  • 조직 환경에서 파생된 중요한 외부 컨텍스트 데이터로 알림과 항목을 자동으로 보강합니다.
  • 추가 컨텍스트 조사 데이터를 추가하여 분류 및 조사 에이전트 (TIN)의 결과를 보강합니다.

서드 파티 컨텍스트 에이전트를 사용하면 수동 데이터 수집을 줄이고 트리아지 프로세스를 가속화할 수 있습니다. 맞춤 보강 워크플로를 개발하고 유지관리하는 데 드는 시간을 절약할 수 있습니다. 3P 컨텍스트 에이전트를 성공적으로 사용하면 평균 응답 시간 (MTTR)이 단축되고 조사 중에 정보에 입각한 결정을 내릴 수 있어 보안 상황과 운영 효율성을 개선하여 상당한 비즈니스 가치를 제공합니다.

주요 용어

  • 서드 파티 컨텍스트 에이전트: 환경에 배포된 서드 파티 도구의 컨텍스트 데이터로 알림을 자동으로 보강하는 AI 기반 어시스턴트입니다.
  • 분류 및 조사 에이전트 (TIN): 초기 알림 분석을 수행하고 결과 판정을 생성하는 에이전트입니다. 서드 파티 컨텍스트 에이전트는 TIN의 하위 에이전트 역할을 합니다.
  • 보강: 알림에 추가 컨텍스트를 추가하는 프로세스입니다. 서드 파티 컨텍스트 에이전트를 사용하는 경우 상업용 또는 맞춤형 등 다양한 통합을 사용하여 직접 또는 자동으로 보강을 추가할 수 있습니다. 여기에는 보안 도구, 티켓팅 시스템, 기타 데이터 소스가 포함될 수 있습니다.

비공개 프리뷰 기간의 할당량 사용량

  • 서드 파티 컨텍스트 에이전트: 비공개 미리보기 단계에서는 서드 파티 컨텍스트 에이전트를 사용하여 서드 파티 도구의 데이터를 보강해도 AI 할당량이 소진되지 않습니다.
  • TIN: 서드 파티 컨텍스트 에이전트를 트리거하면 TIN 에이전트가 평균 5% 의 추가 AI 할당량을 사용할 수 있습니다.
  • 통합 사용: 서드 파티 컨텍스트 에이전트 내에서 통합을 사용하여 정보를 보강하는 경우, 통합을 수동으로 실행하거나 플레이북을 사용하는 경우와 마찬가지로 이러한 통합에서 추가 요금이 발생할 수 있습니다.

시작하기 전에

다음 항목이 있거나 다음을 수행해야 합니다.

  • 권한: 서드 파티 컨텍스트 에이전트 구성에 대한 액세스는 SIEM 설정을 사용하여 관리됩니다. SIEM 설정 > Gemini 조사 > 서드 파티 컨텍스트 에이전트로 이동합니다. 이러한 설정을 수정하려면 특정 Identity and Access Management (IAM) 역할이 필요할 수 있습니다.
  • 환경 확인: Google SecOps 환경에 EDR, IAM, 위협 인텔리전스 도구와 같은 관련 서드 파티 통합이 설치되어 있고 활성화되어 있는지 확인합니다. 서드 파티 컨텍스트 에이전트는 이미 배포되고 구성된 통합만 활용할 수 있습니다.

서드 파티 컨텍스트 에이전트 작동 방식

가이드라인 및 제한사항

서드 파티 컨텍스트 에이전트는 엄격한 가드레일로 작동합니다. 상업용 통합에서 읽기 전용 풍부한 정보 작업에만 액세스할 수 있습니다. 이 도구는 이러한 서드 파티 시스템 내에서 데이터나 상태를 수정하는 작업을 실행할 수 없습니다.

1단계: 서드 파티 컨텍스트 에이전트 트리거

서드 파티 컨텍스트 에이전트는 TIN이 실행될 때 주로 하위 에이전트로 트리거됩니다. Gemini 조사 설정을 사용하여 선택한 경우 이 기능이 자동으로 실행됩니다.

2단계: 도구 및 데이터 소스

  1. 동적 도구 선택: 3P 컨텍스트 에이전트는 설치된 서드 파티 통합에서 알림 유형 및 관련 항목에 따라 가장 적절한 도구를 지능적으로 선택합니다.
  2. Google SecOps 퍼스트 파티 도구: 다음 퍼스트 파티 도구는 서드 파티 컨텍스트 에이전트가 아닌 TIN에서 직접 실행합니다.
    • GoogleChronicle
    • Google Threat Intelligence (GTI)
    • Mandiant
    • Mandiant Threat Intelligence
    • VirusTotal
    • VirusTotal V3

3단계: 결과 보기

  1. 알림 항목: 알림 세부정보 페이지로 이동합니다. 알림과 연결된 항목이 서드 파티 컨텍스트 에이전트의 발견 사항으로 보강됩니다. 이 데이터는 플레이북에서도 사용할 수 있습니다.
  2. 결과 보강: 제3자 컨텍스트 에이전트에서 생성된 결과는 TIN 결과와 신뢰 수준을 보강하는 데도 사용됩니다.
  3. Gemini 조사 타임라인: 조사 타임라인을 검토합니다. 서드 파티 컨텍스트 에이전트의 각 도구 실행은 여기에 기록되며, 발견사항 요약과 원시 결과를 볼 수 있는 옵션이 포함됩니다.
  4. 서드 파티 컨텍스트 에이전트가 실행한 모든 보강 도구는 결과와 함께 케이스 월에 표시되고 감사됩니다.

서드 파티 컨텍스트 에이전트 구성

  1. 액세스 설정: SIEM 설정 > Gemini 조사 > 서드 파티 컨텍스트 에이전트로 이동합니다.
  2. 사용 설정 또는 사용 중지: 전환 버튼을 변경하여 서드 파티 컨텍스트 에이전트를 사용 설정하거나 사용 중지합니다.
  3. 관리 도구:
    • 기본적으로 새로 설치된 모든 통합이 자동으로 포함됩니다. 제외할 도구를 선택할 수 있습니다.
    • 설치된 통합에서 사용 가능한 읽기 전용 풍부한 정보 도구 목록을 검토합니다.
    • 통합 전체 또는 통합 내의 특정 작업을 비활성화하여 서드 파티 컨텍스트 에이전트가 액세스할 수 있는 데이터를 관리합니다.
  4. 인스턴스 관리 (통합 구성):
    • 기본적으로 서드 파티 컨텍스트 에이전트는 실행된 환경에서 구성된 인스턴스를 먼저 선택합니다. 환경에 구성된 기존 인스턴스가 없으면 서드 파티 컨텍스트 에이전트가 사용 가능한 공유 인스턴스가 있는 경우 이를 자동으로 사용합니다.
    • 각 환경에서 자동 선택을 사용 중지하고 환경 또는 공유 인스턴스에서 인스턴스를 수동으로 선택할 수 있습니다. 이는 환경에 대해 여러 인스턴스가 구성되어 있고 서드 파티 컨텍스트 에이전트가 특정 인스턴스를 사용하도록 하려는 경우에 유용합니다.
    • 특정 환경에 대한 서드 파티 컨텍스트 에이전트 액세스를 완전히 사용 중지하여 에이전트가 해당 환경에서 도구를 사용하지 못하도록 할 수 있습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.