获取有关提醒的建议

支持的服务：

本文档介绍了如何使用 Alert Response Recommender 试点版，这是 Google Security Operations 实验室中的一项 实验。该试点版可显著减少分析师在调查上花费的时间。它使用大语言模型 (LLM) 分析类似且之前已关闭的提醒的历史数据。Alert Response Recommender 通过提供可据以采取行动的建议，帮助简化分类流程并加快问题解决速度。

如需详细了解 Google SecOps 实验室，请参阅 使用 Gemini 和 Google SecOps 实验。

找到提醒 ID 或工单 ID

  1. 前往支持请求 页面，从 队列中选择要调查的支持请求。

  2. 前往支持请求概览 。

  3. 前往提醒小部件 ，然后点击所需特定提醒 的查看详情 。

  4. 在随即显示的侧边抽屉式导航栏中，前往支持请求 部分，然后复制 工单 ID 或提醒 ID。

运行实验

  1. 在 Google SecOps 页面上，点击 实验 实验室。

  2. 在 Alert Response Recommender 卡片中，点击试用 。

  3. 在打开提醒 ID 字段中，输入您复制的工单 ID 或提醒 ID。

  4. 点击提交 。

查看输出

试点版分析数据后，会根据对类似历史提醒的 分析生成建议。输出包括以下关键部分：

  • 分析师操作 ：建议的手动步骤。

  • 内容中心操作 ：内容中心内的建议操作。

  • 关闭建议 ：建议关闭提醒的原因。

输出还包括分析的详细细分，其中列出了 类似的历史提醒、关闭原因和剧本使用情况。

  • 输出示例：

      Recommendations

  Step 1: Recommendation for Analyst Actions

  No specific manual analyst actions are recommended based on the provided data.

  Step 2: Recommendation for Content Hub Actions

  No Content Hub actions are recommended based on the provided data.

  Step 3: Closure Recommendation

  Close the alert as "Maintenance".

  Recommendations Are Based on the Following Similar Historical Closed Alerts

  Step 4: Identify Similar Alerts

  The following characteristics are shared between the current alert and the similar alerts:

  * AlertRuleGenerator: "Data Exfiltration"
  * AlertProduct: "DLP_Product"
  * AlertDisplayName: "DATA EXFILTRATION"
  * AlertVendor: "DLP"
  * AlertSourceSystemName: "Arcsight"
  * AlertIsManual: false
  * AlertOriginalName: "DATA EXFILTRATION"
  * AlertSourceIdentifier: "Simulation"
  * AlertUsefulness: "None"
  * AlertPriority: "High"
  * All EntityIdentifiers are identical.

  The similar alerts are:

  * DATA EXFILTRATION_96C92028-70E5-4947-87DF-CC64133B2583
  * DATA EXFILTRATION_79D74832-4C9D-4315-AD0C-77F640A1766A
  * DATA EXFILTRATION_6C6713D6-8A50-48AB-B168-FE23791EC86C
  * DATA EXFILTRATION_C6493390-3544-46A6-A219-0DDC64FE8547
  * DATA EXFILTRATION_B44A1099-2DBD-4F02-9173-5931C538AE9D

  Step 5: Analyze Playbook Usage in Similar Alerts

  No playbooks were used in the identified similar alerts.

  Step 6: Analyze Case Closure Information

  All similar alerts, except DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194, 
  have the closure reason as "Maintenance", with a root cause of "Lab Test". The alert 
  DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194 has the closure reason "NotMalicious". 
  Comments in most cases contain the word "test" along with the Case closed by Siemplify API 
  information.

限制

为确保您正确解读建议，请注意以下限制：

  • 依赖于历史数据：建议的质量和相关性与可用的历史数据直接相关。如果没有足够的类似数据，建议可能会受到限制或不太准确。

  • 提醒类型有限：对于某些 提醒类型，建议的效果可能不太理想，尤其是当提醒类型较新或没有太多先例时。

  • 需要最少数量的提醒：Alert Response Recommender 必须找到至少一个类似的历史提醒才能提供建议。如果找不到类似的 提醒，它就无法提供有用的分析。应用会 显示一个空的识别类似提醒 标签页，以通知您这一点。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。