获取有关提醒的建议

支持的平台：

Google SecOps

本文档介绍了如何使用 Alert Response Recommender 试点版，这是 Google Security Operations Labs 中的一项实验。该试点计划可显著减少分析师在调查上花费的时间。它利用大语言模型 (LLM) 分析类似、先前已关闭警报的历史数据。通过提供可据以采取行动的建议，提醒响应推荐器有助于简化分类流程并加快问题解决速度。

有关 Google SecOps Labs 的更多信息，请参阅使用 Gemini 和 Google SecOps 实验。

找到警报 ID 或工单 ID

转到案例页面，从队列中选择您要调查的案例。
前往案例概览。
前往“提醒”微件，然后点击所需特定提醒的查看详情。
在随即显示的侧边抽屉式导航栏中，前往支持请求部分，然后复制工单 ID 或提醒 ID。

运行实验

在 Google SecOps 页面上，点击实验 实验室。
在提醒响应 Recommender卡片中，点击试用。
在未解决的提醒 ID 字段中，输入您复制的工单 ID 或提醒 ID。
点击提交。

查看输出

在试行版分析完数据后，它会根据对类似历史提醒的分析结果生成建议。输出结果包含以下几个关键部分：

分析师操作：建议的手动步骤。
内容中心操作：内容中心内的建议操作。
关闭建议: 关闭警报的建议原因。

输出还包括详细的分析细分，其中列出了类似的历史提醒、关闭原因和剧本使用情况。

输出示例：

  Recommendations

  Step 1: Recommendation for Analyst Actions

  No specific manual analyst actions are recommended based on the provided data.

  Step 2: Recommendation for Content Hub Actions

  No Content Hub actions are recommended based on the provided data.

  Step 3: Closure Recommendation

  Close the alert as "Maintenance".

  Recommendations Are Based on the Following Similar Historical Closed Alerts

  Step 4: Identify Similar Alerts

  The following characteristics are shared between the current alert and the similar alerts:

  * AlertRuleGenerator: "Data Exfiltration"
  * AlertProduct: "DLP_Product"
  * AlertDisplayName: "DATA EXFILTRATION"
  * AlertVendor: "DLP"
  * AlertSourceSystemName: "Arcsight"
  * AlertIsManual: false
  * AlertOriginalName: "DATA EXFILTRATION"
  * AlertSourceIdentifier: "Simulation"
  * AlertUsefulness: "None"
  * AlertPriority: "High"
  * All EntityIdentifiers are identical.

  The similar alerts are:

  * DATA EXFILTRATION_96C92028-70E5-4947-87DF-CC64133B2583
  * DATA EXFILTRATION_79D74832-4C9D-4315-AD0C-77F640A1766A
  * DATA EXFILTRATION_6C6713D6-8A50-48AB-B168-FE23791EC86C
  * DATA EXFILTRATION_C6493390-3544-46A6-A219-0DDC64FE8547
  * DATA EXFILTRATION_B44A1099-2DBD-4F02-9173-5931C538AE9D

  Step 5: Analyze Playbook Usage in Similar Alerts

  No playbooks were used in the identified similar alerts.

  Step 6: Analyze Case Closure Information

  All similar alerts, except DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194, 
  have the closure reason as "Maintenance", with a root cause of "Lab Test". The alert 
  DATA EXFILTRATION_8D4E6467-F503-447A-8B38-BC521296E194 has the closure reason "NotMalicious". 
  Comments in most cases contain the word "test" along with the Case closed by Siemplify API 
  information.

限制

为确保您正确解读建议，请注意以下限制：

对历史数据的依赖性：建议的质量和相关性与可用的历史数据直接相关。如果没有足够的类似数据，建议可能会受到限制或不太准确。
警报类型有限：对于某些警报类型，特别是对于新出现的或很少有先例的警报类型，建议可能效果较差。
所需的最少提醒数：提醒响应推荐器必须找到至少一个类似的历史提醒，才能提供建议。如果未找到任何类似提醒，则无法提供有用的分析。应用会通过显示空的识别类似提醒标签页来通知您这一点。