アラートに関する推奨事項を取得する

以下でサポートされています。

このドキュメントでは、Google Security Operations Labs の テストである アラート対応レコメンダーのパイロット版の使用方法について説明します。このパイロット版を使用すると、アナリストが調査に費やす時間を大幅に削減できます。大規模言語モデル（LLM）を使用して、以前にクローズされた同様のアラートの過去のデータを分析します。アラート対応 Recommender は、実用的な推奨事項を提供することで、トリアージ プロセスを効率化し、ケースの解決を迅速化します。

Google SecOps Labs の詳細については、 Gemini と Google SecOps のテストを使用するをご覧ください。

アラート ID またはチケット ID を確認する

  1. [ケース] ページに移動し、 キューから調査するケースを選択します。

  2. [ケースの概要] に移動します。

  3. [**アラート ウィジェット**] に移動し、必要な特定のアラート の [**詳細を表示**] をクリックします。

  4. 表示されたサイド ドロワーで、[ケース] セクションに移動し、 [チケット ID] または[アラート ID]をコピーします。

テストを実施する

  1. Google SecOps ページで、 テスト [Labs] をクリックします。

  2. [アラート対応レコメンダー] カードで [試す] をクリックします。

  3. [アラート ID を開く] フィールドに、コピーしたチケット ID またはアラート ID を入力します。

  4. [送信] をクリックします。

出力を確認する

パイロット版がデータを分析すると、同様の過去のアラートの 分析に基づいて推奨事項が生成されます。出力には、次の主要なセクションが含まれます。

  • アナリストのアクション: 推奨される手動の手順。

  • コンテンツ ハブのアクション: コンテンツ ハブ内での推奨アクション。

  • クローズの推奨事項: アラートをクローズする理由の候補。

出力には、 同様の過去のアラートのリスト、クローズの理由、プレイブックの使用状況など、分析の詳細な内訳も含まれます。

  • 出力例:

      Recommendations

  Step 1: Recommendation for Analyst Actions

  No specific manual analyst actions are recommended based on the provided data.

  Step 2: Recommendation for Content Hub Actions

  No Content Hub actions are recommended based on the provided data.

  Step 3: Closure Recommendation

  Close the alert as "Maintenance".

  Recommendations Are Based on the Following Similar Historical Closed Alerts

  Step 4: Identify Similar Alerts

  The following characteristics are shared between the current alert and the similar alerts:

  * AlertRuleGenerator: "Data Exfiltration"
  * AlertProduct: "DLP_Product"
  * AlertDisplayName: "DATA EXFILTRATION"
  * AlertVendor: "DLP"
  * AlertSourceSystemName: "Arcsight"
  * AlertIsManual: false
  * AlertOriginalName: "DATA EXFILTRATION"
  * AlertSourceIdentifier: "Simulation"
  * AlertUsefulness: "None"
  * AlertPriority: "High"
  * All EntityIdentifiers are identical.

  The similar alerts are:

  * DATA EXFILTRATION_96C92028-70E5-4947-87DF-CC64133B2583
  * DATA EXFILTRATION_79D74832-4C9D-4315-AD0C-77F640A1766A
  * DATA EXFILTRATION_6C6713D6-8A50-48AB-B168-FE23791EC86C
  * DATA EXFILTRATION_C6493390-3544-46A6-A219-0DDC64FE8547
  * DATA EXFILTRATION_B44A1099-2DBD-4F02-9173-5931C538AE9D

  Step 5: Analyze Playbook Usage in Similar Alerts

  No playbooks were used in the identified similar alerts.

  Step 6: Analyze Case Closure Information

  All similar alerts, except DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194, 
  have the closure reason as "Maintenance", with a root cause of "Lab Test". The alert 
  DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194 has the closure reason "NotMalicious". 
  Comments in most cases contain the word "test" along with the Case closed by Siemplify API 
  information.

制限事項

推奨事項を正しく解釈するには、次の制限事項に注意してください。

  • 過去のデータへの依存: 推奨事項の品質と関連性は、利用可能な過去のデータに直接関連しています。同様のデータが十分にない場合、アドバイスが制限されるか、精度が低下する可能性があります。

  • アラートタイプが限定的: 一部のアラートタイプでは、特に新しいアラートや前例が少ないアラートでは、推奨事項の効果が低い場合があります。

  • 必要なアラートの最小数: アラート対応レコメンダーは、推奨事項を提供するために、 少なくとも 1 つの同様の過去のアラートを見つける必要があります。同様の アラートが見つからない場合、有用な分析を提供できません。このことは、[類似アラートを特定] タブが空で表示されることで 通知されます。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。