Obtenir des recommandations sur les alertes

Compatible avec :

Google SecOps

Remarque : Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives au service d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en version bêta ou contactez votre administrateur système.

Ce document explique comment utiliser le pilote Alert Response Recommender, une expérience dans les Google Security Operations Labs. Le pilote réduit considérablement le temps que les analystes consacrent aux investigations. Il analyse les données historiques d'alertes similaires précédemment clôturées à l'aide d'un grand modèle de langage (LLM). En fournissant des recommandations exploitables, Alert Response Recommender permet de rationaliser le processus de triage et d'accélérer la résolution des demandes.

Pour en savoir plus sur les Google SecOps Labs, consultez Utiliser Gemini et les expériences Google SecOps.

Localiser l'ID d'alerte ou de demande

1. Accédez à la page Demandes, puis sélectionnez la demande que vous souhaitez examiner dans la file d'attente.

2. Accédez à la présentation de la demande.

3. Accédez au widget Alertes , puis cliquez sur Afficher les détails pour l'alerte spécifique dont vous avez besoin.

4. Dans le tiroir latéral qui s'affiche, accédez à la section Demande , puis copiez l' ID de demande ou l'ID d'alerte.

Exécuter l'expérience

1. Sur la page Google SecOps, cliquez sur l'expérience Labs.

2. Dans la fiche Alert Response Recommender, cliquez sur Essayer.

3. Dans le champ ID d'alerte ouverte, saisissez l'ID de demande ou l'ID d'alerte que vous avez copié.

4. Cliquez sur Envoyer.

Examiner le résultat

Une fois que le pilote a analysé les données, il génère une recommandation basée sur une analyse des alertes historiques similaires. Le résultat inclut les sections clés suivantes :

• Actions de l'analyste : étapes manuelles recommandées.

• Actions du hub de contenu : actions suggérées dans le hub de contenu.

• Recommandation de clôture : motif suggéré pour clôturer l'alerte.

Le résultat inclut également une analyse détaillée, avec une liste des alertes historiques similaires, leurs motifs de clôture et l'utilisation du playbook.

• Exemple de résultat :

    Recommendations
  
    Step 1: Recommendation for Analyst Actions
  
    No specific manual analyst actions are recommended based on the provided data.
  
    Step 2: Recommendation for Content Hub Actions
  
    No Content Hub actions are recommended based on the provided data.
  
    Step 3: Closure Recommendation
  
    Close the alert as "Maintenance".
  
    Recommendations Are Based on the Following Similar Historical Closed Alerts
  
    Step 4: Identify Similar Alerts
  
    The following characteristics are shared between the current alert and the similar alerts:
  
    * AlertRuleGenerator: "Data Exfiltration"
    * AlertProduct: "DLP_Product"
    * AlertDisplayName: "DATA EXFILTRATION"
    * AlertVendor: "DLP"
    * AlertSourceSystemName: "Arcsight"
    * AlertIsManual: false
    * AlertOriginalName: "DATA EXFILTRATION"
    * AlertSourceIdentifier: "Simulation"
    * AlertUsefulness: "None"
    * AlertPriority: "High"
    * All EntityIdentifiers are identical.
  
    The similar alerts are:
  
    * DATA EXFILTRATION_96C92028-70E5-4947-87DF-CC64133B2583
    * DATA EXFILTRATION_79D74832-4C9D-4315-AD0C-77F640A1766A
    * DATA EXFILTRATION_6C6713D6-8A50-48AB-B168-FE23791EC86C
    * DATA EXFILTRATION_C6493390-3544-46A6-A219-0DDC64FE8547
    * DATA EXFILTRATION_B44A1099-2DBD-4F02-9173-5931C538AE9D
  
    Step 5: Analyze Playbook Usage in Similar Alerts
  
    No playbooks were used in the identified similar alerts.
  
    Step 6: Analyze Case Closure Information
  
    All similar alerts, except DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194, 
    have the closure reason as "Maintenance", with a root cause of "Lab Test". The alert 
    DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194 has the closure reason "NotMalicious". 
    Comments in most cases contain the word "test" along with the Case closed by Siemplify API 
    information.
  

Limites

Pour vous assurer d'interpréter correctement les recommandations, tenez compte des limites suivantes :

• Dépendance aux données historiques : la qualité et la pertinence des recommandations sont directement liées aux données historiques disponibles. Si les données similaires sont insuffisantes, les conseils peuvent être limités ou moins précis.

• Types d'alertes limités : les recommandations peuvent être moins efficaces pour certains types d'alertes, en particulier si elles sont nouvelles ou ont peu de précédents.

• Nombre minimal d'alertes requis : Alert Response Recommender doit trouver au moins une alerte historique similaire pour fournir une recommandation. Si aucune alerte similaire n'est trouvée, il ne peut pas fournir d'analyse utile. L'application vous en informe en affichant un onglet Identifier les alertes similaires vide.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.