Utilizzare l'agente di detection engineering per valutare la copertura delle minacce
L'agente di detection engineering è un assistente di progettazione basato sull'AI integrato in Google Security Operations. Valuta e aggiorna lo stato della sicurezza di Google SecOps in base alle minacce nuove ed esistenti. Questo agente è accessibile prima utilizzando gli strumenti MCP, gestiti dai client AI (ad esempio AntiGravity o Claude Code).
Concetti
Una Threat Detection Opportunity (TDO) è un modello dei dati formalizzato progettato per identificare, monitorare e dare la priorità a potenziali nuove regole o analisi di rilevamento.
Ruoli utente
Ogni entità che chiama l'agente di detection engineering deve avere i seguenti ruoli: Utente dello strumento MCP e Visualizzatore API Chronicle. Assicurati che un amministratore di sistema aggiorni questi ruoli per tutti gli utenti principali dell'agente di detection engineering. Suggerimento: per ulteriori indicazioni, consulta la documentazione di Google SecOps MCP.
Configurare il server MCP
Consulta le
indicazioni per la configurazione del server MCP
per creare il file settings.json. Una volta raccolto tutto, assicurati che i contenuti del file settings.json siano simili ai seguenti:
{
"name": "my_extension_name",
"version": "1.0.0",
"mcpServers": {
"GoogleSecOps": {
"httpUrl": "https://chronicle.us.rep.googleapis.com/mcp",
"authProviderType": "google_credentials",
"oauth": {
"scopes": [
"https://www.googleapis.com/auth/cloud-platform",
"https://www.googleapis.com/auth/chronicle"
]
},
"timeout": 300000,
"headers": {
"x-goog-user-project": "my-cloud-project-name"
}
}
}
}
Configurare il contesto
Per iniziare, devi configurare un contesto. Per mantenere tutto leggero, ti consigliamo di iniziare con i seguenti contenuti nel file Gemini.md e poi di creare da lì. Aggiorna con le informazioni corrette per l'istanza e l'ambiente Google SecOps:
When using the GoogleSecOps MCP Server, use these parameters for EVERY request: Customer ID: aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa Region: us Project ID: my-cloud-project-name
Configurare il corso
Ti consigliamo vivamente di utilizzare il corso detection-engineering-coverage-evaluation per interagire con gli strumenti. A Gemini piace prendere scorciatoie (ad esempio, riassumere l'output dello strumento) che hanno conseguenze negative per l'esecuzione iterativa.
Questo corso è ora integrato come detection-engineering-coverage-evaluation e è ospitato pubblicamente nel repository GitHub di Google Agent Skills.
Funzionalità principali
L'agente di detection engineering fornisce diverse funzionalità chiave per l'analisi delle minacce e la generazione di regole.
Generare opportunità di rilevamento delle minacce
Lo strumento generate_threat_detection_opportunity estrae e arricchisce le informazioni sulle minacce non elaborate da fonti (ad esempio, blog sulla sicurezza e risultati interni) per creare opportunità di rilevamento delle minacce con priorità per l'analisi. Le TDO prodotte in questo passaggio informano i passaggi successivi dell'agente di detection engineering per valutare la copertura delle regole esistenti o generare nuove regole.
Per utilizzare questo strumento, chiedi a Gemini di utilizzare Curl per estrarre il testo oppure puoi copiare e incollare il testo non elaborato da un report sulle minacce nello strumento.
Generare eventi sintetici
Genera log UDM (User Data Model) che simulano una TDO di input. Ti consigliamo vivamente di utilizzare il corso detection-engineering-coverage-evaluation per interfacciarti con il sistema per il seguente motivo: Gemini potrebbe tentare di compattare eccessivamente la TDO prima di inviarla come input a questo strumento. Ciò potrebbe comportare un elenco abbreviato di tipi di log associati alla TDO e potrebbe scegliere tipi di log per cui la tua istanza Google SecOps non dispone di parser. Inoltre, se questo strumento non funziona ripetutamente, controlla la TDO che hai fornito e assicurati che il tuo ambiente abbia un parser per almeno una delle TDO di input. In caso contrario, il sistema potrebbe non avere copertura per questa TDO specifica come valutata dal sistema. Continua il flusso con le altre TDO generate dal primo strumento.
Valutare la copertura
Verifica se le regole esistenti nella tua istanza Google SecOps avrebbero rilevato gli eventi UDM sintetici generati. Se le regole avessero corrisposto all'UDM di input, i nomi delle regole vengono restituiti come output dello strumento.
Generare regole
Codifica la logica di rilevamento creando regole YARA-L in bozza dall'input utente o dal linguaggio naturale per colmare le lacune identificate durante la valutazione della copertura. Questo strumento non carica automaticamente la regola nel sistema Google SecOps. Per aggiungere una regola, esamina il testo e poi crea manualmente nuove regole dall'output dello strumento.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.