使用第三方脈絡代理調查警告

支援的服務：

Google SecOps

注意： 這項功能適用 Google Security Operations 服務專屬條款的《正式發布前產品條款》。正式發布前的功能只提供部分支援，對正式發布前的功能所做的變更可能與其他正式發布前的版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。
如果您的環境中未顯示這項功能，請參閱「管理預先發布版功能」或與系統管理員聯絡。

注意：這項功能目前為不公開預先發布版，僅開放部分地區的客戶使用。您無法在 Google SecOps 平台的「公開預先發布版管理工具」頁面，管理不公開預先發布版功能。

重要事項： 您必須先在 Google Security Operations 平台選擇加入第三方 (3P) 情境代理，才能開始使用。詳情請參閱「設定 3P Context Agent」。

本指南適用於想有效調查安全性警示的資安分析師。說明如何運用 Google SecOps 中採用 AI 技術的 Google SecOps 3P Context Agent，執行下列操作：

• 自動運用從組織環境取得的重要外部比對內容資料，充實警告和實體。
• 新增額外的調查背景資料，讓分類與調查代理 (TIN) 的判定結果更完善。

使用 3P Context Agent，可以減少手動收集資料，並加快分類程序。您不必開發及維護自訂擴充工作流程，可節省時間。成功使用 3P Context Agent 可縮短平均應變時間 (MTTR)，並在調查期間做出更明智的決策，進而提升資安態勢和作業效率，創造重大業務價值。

重要術語

• 3P Context Agent：AI 輔助助理，可自動從環境中部署的第三方工具，擷取比對內容資料來補充警告資訊。
• 分類與調查代理 (TIN)：執行初步警告分析並產生判定結果的代理。3P Context Agent 是 TIN 的子代理。
• 擴充：在警告中加入額外背景資訊。使用第三方情境代理時，您可以手動新增擴充資料，也可以透過各種商業或自訂整合功能自動新增。包括安全性工具、票證系統和其他資料來源。

不公開預先發布版期間的配額用量

• 3P Context Agent：在不公開預先發布版階段，使用 3P Context Agent 擴充第三方工具的資料，不會消耗 AI 配額。
• TIN：觸發 3P Context Agent 時，TIN 代理平均會額外消耗 5% 的 AI 配額。
• 使用整合功能：在 3P Context Agent 中使用整合功能來擴充資料時，可能會產生額外費用，就像手動執行或使用 Playbook 一樣。

事前準備

請確認您已具備或完成下列事項：

• 權限：設定第三方情境代理的權限，是透過 SIEM 設定管理。依序前往「SIEM 設定」>「Gemini Investigations」>「第三方情境代理」。您可能需要具備特定 Identity and Access Management (IAM) 角色，才能修改這些設定。
• 環境檢查：確認 Google SecOps 環境已安裝並啟用相關第三方整合服務，例如 EDR、IAM 和威脅情報工具。第三方情境代理只能使用已部署及設定的整合項目。

第三方脈絡代理的運作方式

防護機制和限制

3P Context Agent 運作時會受到嚴格限制。只能存取商業整合中的唯讀擴充動作。無法執行任何會修改第三方系統資料或狀態的操作。

階段 1：觸發 3P Context Agent

TIN 執行時，第三方情境代理主要會做為子代理觸發。如果您已透過 Gemini Investigations 設定選擇加入，系統會自動執行這項操作。

階段 2：工具和資料來源

1. 動態選取工具：3P Context Agent 會根據警告類型和涉及的實體，從已安裝的第三方整合服務中，智慧選取最合適的工具。
2. Google SecOps 第一方工具：下列第一方工具由 TIN 直接執行，而非由第三方 Context Agent 執行：
   • GoogleChronicle
   • Google Threat Intelligence (GTI)
   • Mandiant
   • Mandiant Threat Intelligence
   • VirusTotal
   • VirusTotal V3

階段 3：查看結果

1. 快訊實體：前往快訊詳細資料頁面。與警告相關聯的實體會加入第三方脈絡代理的發現項目，這項資料也可在自動回覆中使用。
2. 強化判定結果：第三方脈絡代理生成的結果，也會用於強化 TIN 判定結果和信賴水準。
3. Gemini 調查時間軸：查看調查時間軸。第三方脈絡代理執行的每項工具都會記錄在這裡，包括發現結果摘要，以及查看原始結果的選項。
4. 案件牆會顯示及稽核 3P Context Agent 執行的所有補充資料工具，包括結果。

設定 3P Context Agent

1. 存取設定：依序前往「SIEM 設定」>「Gemini Investigations」>「第三方情境代理」。
2. 啟用或停用：切換按鈕，啟用或停用 3P Context Agent。
3. 管理工具：
   • 根據預設，所有新安裝的整合項目都會自動納入。您可以選取要排除的工具 (如果有的話)。
   • 在已安裝的整合項目中，查看可用的唯讀擴充工具清單。
   • 停用整個整合項目或其中的特定動作，控管 3P Context Agent 可存取的資料。
4. 管理執行個體 (整合設定)：
   • 根據預設，第三方情境代理會先從執行環境中選取已設定的執行個體。如果環境中沒有已設定的執行個體，第三方內容代理程式會自動使用可用的共用執行個體 (如有)。
   • 您可以停用每個環境的自動選取功能，並手動從環境或共用執行個體中選取執行個體。如果環境中設定了多個執行個體，且您希望第三方內容代理使用特定執行個體，這項功能就非常實用。
   • 您可以完全停用特定環境的 3P Context Agent 存取權，防止代理在這些環境使用工具。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。