Investigar alertas com o agente contextual de terceiros

Compatível com:

Google SecOps

Observação: esse recurso é coberto pelos Termos de produtos pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos de visualização ou entre em contato com o administrador do sistema.

Observação:esse recurso não está disponível para todos os clientes em todas as regiões. Os recursos da prévia particular não podem ser gerenciados na página do Gerenciador de acesso antecipado público na plataforma Google SecOps.

Importante: é necessário ativar o agente de contexto de terceiros na plataforma do Google Security Operations antes de começar a usar o agente. Para mais informações, consulte Configurar o agente de contexto de terceiros.

Este guia é destinado a analistas de segurança que querem investigar alertas de segurança com eficiência. Ele explica como usar o agente de contexto de terceiros do Google SecOps com tecnologia de IA no Google SecOps para:

• Enriqueça automaticamente alertas e entidades com dados contextuais externos cruciais derivados do seu ambiente organizacional.
• Aumente o veredito do agente de triagem e investigação (TIN) adicionando mais dados contextuais de investigação.

Ao usar o agente de contexto de terceiros, você pode reduzir a coleta manual de dados e acelerar o processo de triagem. Assim, você não precisa desenvolver e manter fluxos de trabalho de enriquecimento personalizados. O uso bem-sucedido do agente de contexto de terceiros leva a um tempo médio de resposta (MTTR) mais rápido e a decisões mais embasadas durante as investigações, oferecendo um valor comercial significativo ao melhorar a postura de segurança e a eficiência operacional.

Terminologia importante

• Agente de contexto de terceiros:o assistente com tecnologia de IA que enriquece automaticamente os alertas com dados contextuais de ferramentas de terceiros implantadas no seu ambiente.
• Agente de triagem e investigação (TIN): o agente que realiza a análise inicial de alertas e cria veredictos resultantes. O agente contextual de terceiros atua como um subagente do TIN.
• Aprimoramento:o processo de adicionar mais contexto ao alerta. Ao usar o agente de contexto de terceiros, o enriquecimento pode ser adicionado manualmente ou de forma automática usando uma grande variedade de integrações, sejam elas comerciais ou personalizadas. Isso pode incluir ferramentas de segurança, sistemas de tíquetes e outras fontes de dados.

Uso de cota durante a prévia particular

• Agente de contexto de terceiros:durante a fase de prévia privada, o uso do agente de contexto de terceiros para enriquecer dados de ferramentas de terceiros não consome sua cota de IA.
• TIN:ao acionar o agente de contexto de terceiros, o agente TIN pode consumir uma média de 5% a mais da cota de IA.
• Uso de integrações:ao usar integrações no agente de contexto de terceiros para fins de enriquecimento, você pode incorrer em taxas adicionais dessas integrações, assim como quando as executa manualmente ou usando um playbook.

Antes de começar

Verifique se você tem ou faz o seguinte:

• Permissões:o acesso para configurar o agente de contexto de terceiros é gerenciado usando as configurações do SIEM. Acesse Configurações do SIEM > Investigações do Gemini > Agente de contexto de terceiros. Alguns papéis específicos do Identity and Access Management (IAM) podem ser necessários para modificar essas configurações.
• Verificação do ambiente:confira se as integrações relevantes de terceiros, como ferramentas de EDR, IAM e Threat Intelligence, estão instaladas e ativas no seu ambiente do Google SecOps. O agente de contexto de terceiros só pode usar integrações que já foram implantadas e configuradas.

Como o agente contextual de terceiros funciona

Proteções e restrições

O agente contextual de terceiros opera com barreiras de proteção rígidas. Ele é restrito apenas ao acesso a ações de enriquecimento somente leitura de integrações comerciais. Ele não pode realizar ações que modifiquem dados ou estados nesses sistemas de terceiros.

Etapa 1: acionar o agente contextual de terceiros

O agente de contexto de terceiros é acionado principalmente como um subagente quando o TIN é executado. Isso acontece automaticamente se você ativou as configurações de Investigações do Gemini.

Etapa 2: ferramentas e fontes de dados

1. Seleção dinâmica de ferramentas:o 3P Context Agent escolhe de maneira inteligente as ferramentas mais adequadas das integrações de terceiros instaladas com base no tipo de alerta e nas entidades envolvidas.
2. Ferramentas nativas do Google SecOps:as seguintes ferramentas nativas são executadas diretamente pelo TIN, não pelo agente de contexto de terceiros:
   • GoogleChronicle
   • Google Threat Intelligence (GTI)
   • Mandiant
   • Inteligência contra ameaças da Mandiant
   • VirusTotal
   • VirusTotal V3

Etapa 3: ver o resultado

1. Entidades de alerta:acesse a página de detalhes do alerta. As entidades associadas ao alerta serão enriquecidas com descobertas do agente contextual de terceiros. Esses dados também podem ser usados em playbooks.
2. Aumentar veredictos:os resultados gerados pelo agente contextual de terceiros também são usados para aumentar o veredicto e o nível de confiança do TIN.
3. Linha do tempo das investigações do Gemini:revise a linha do tempo da investigação. Cada execução de ferramenta pelo agente contextual de terceiros é registrada aqui, incluindo um resumo das descobertas e uma opção para ver os resultados brutos.
4. Todas as ferramentas de enriquecimento executadas pelo agente contextual de terceiros serão visíveis e auditadas no mural de casos, incluindo os resultados.

Configurar o agente contextual de terceiros

1. Acessar configurações:acesse Configurações do SIEM > Investigações do Gemini > Agente de contexto de terceiros.
2. Ativar ou desativar:mude a chave para ativar ou desativar o 3P Context Agent.
3. Gerenciar ferramentas:
   • Por padrão, todas as integrações recém-instaladas são incluídas automaticamente. Você pode selecionar quais ferramentas quer excluir.
   • Na lista de integrações instaladas, confira as ferramentas de enriquecimento somente leitura disponíveis.
   • Desative integrações inteiras ou ações específicas dentro de uma integração para controlar quais dados o 3P Context Agent pode acessar.
4. Gerenciar instâncias (configuração de integração):
   • Por padrão, o agente de contexto de terceiros primeiro seleciona uma instância configurada no ambiente de execução. Se não houver instâncias configuradas no ambiente, o agente de contexto de terceiros usará automaticamente as instâncias compartilhadas disponíveis, se houver.
   • Em cada ambiente, é possível desativar a seleção automática e escolher manualmente as instâncias do ambiente ou das instâncias compartilhadas. Isso é útil quando você tem várias instâncias configuradas para o ambiente e quer que o agente de contexto de terceiros use uma específica.
   • É possível desativar completamente o acesso do 3P Context Agent a ambientes específicos para impedir que ele use a ferramenta nesses ambientes.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.