SecOps Chat 總覽

支援的服務：

本指南說明如何瀏覽及使用 SecOps Chat，這是 Google Security Operations 中的 Gemini 對話式助理。請繼續閱讀，瞭解如何使用 SecOps Chat 回答產品說明文件的問題、生成 YARA-L 搜尋查詢和偵測規則、研究威脅情報、調查案件和警示，以及執行其他作業工作。

在任何 Google SecOps 頁面，按一下頂端導覽列中的 Gemini 標誌，即可開啟 SecOps 對話窗格。

SecOps Chat 窗格會根據您所在的 Google SecOps 畫面，提供相關的建議提示詞清單，協助您快速上手。

SecOps Chat 介面

按一下 SecOps Chat 窗格頂端的 ，即可開始和刪除對話工作階段，以及查看對話記錄。對話支援多輪互動。助理會在對話過程中保留參數和情境，因此您可以修正問題，不必重新說明。

你也可以在這個選單中切換：

  • 代理式 Chat：如果您的執行個體支援這項功能，請啟用這個選項，允許 SecOps Chat 代表您呼叫 Google SecOps 工具，回答作業問題。如要瞭解 SecOps Chat 在您的環境中能發揮什麼作用，請輸入提示，例如：What are the capabilities of SecOps Chat?。
  • 顯示代理思考過程：開啟這個選項，即可顯示思考指標，瞭解模型在背景叫用哪些步驟和工具來回答問題。

生成 YARA-L 搜尋查詢

使用自然語言生成 YARA-L 2.0 搜尋查詢，在 Google SecOps SIEM 中搜尋特定事件。

在 SecOps Chat 窗格中，試用下列搜尋提示和後續問題範例：

  • Show me all failed logins for the last 3 days
    • Generate a rule to help detect that behavior in the future
  • Show me events associated with the principal user random.user
    • Who is this user?
  • Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
    • List all of the domains in the results set
    • What types of events were returned?
  • Show me events from my firewall in the last 24 hours
    • What were the 16 unique hostnames in the results set?
    • Narrow the query to only return results for failed attempts
    • Change the time range to the last 7 days

查看生成的搜尋查詢。搜尋查詢會使用 YARA-L 2.0 語法。如果生成的搜尋查詢符合需求，請按一下「Run search」(執行搜尋)。否則，請按一下「在搜尋網頁中編輯」來修改查詢。

執行搜尋查詢後，Gemini 會產生結果摘要和建議動作。

生成 YARA-L 規則

您可以使用自然語言提示生成 YARA-L 2.0 偵測規則，然後在規則編輯器中開啟、編輯及啟用規則。請注意，您只能使用這項功能建立單一事件規則。

舉例來說，如要生成規則來偵測遭到截斷的 DNS 回應，請在 SecOps Chat 窗格中輸入下列提示： Create a rule to count how many DNS responses were truncated per principal asset host. 然後按下 Enter 鍵。Gemini 會生成規則，偵測您搜尋的行為。

按一下「Open in rule editor」(在規則編輯器中開啟)，即可在規則編輯器中查看及修改新規則。

舉例來說，使用先前的規則提示，Gemini 可能會生成下列規則：

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

如要啟用規則，請按一下「儲存新規則」。規則會顯示在左側的規則清單中。將滑鼠游標懸停在規則上，按一下選單圖示，然後將「Live Rule」(即時規則) 選項切換至右側 (綠色)。詳情請參閱「使用規則編輯器管理規則」。

提出威脅情報問題

Gemini 可回答與威脅情報相關的問題，像是威脅發動者、攻擊的關聯性和行為模式等主題。此外，也能回答有關 MITRE 戰術、技術和程序的問題。

如果答案是根據環境中的威脅情報 (例如 Applied Threat Intelligence 的入侵指標 (IoC) 比對結果)，則取決於您的 Google SecOps 套件。SecOps Chat 可存取的資料，也取決於您的 IAM 角色和資料存取權範圍。

在 SecOps Chat 窗格中，試用下列威脅情報提示詞範例：

  • How does APT44 operate?
  • Are there any known attacker tools that use RDP to brute force logins?
  • Is 103.224.80.44 suspicious?
  • What types of attacks may be associated with CVE-2020-14145?
  • Which MITRE ATT&CK techniques involve exploiting buffer overflows?
  • What is UNC3782?

查看結果，然後要求 Gemini 建立查詢，尋找威脅情報報告中提及的特定入侵指標 (IOC)，進一步調查。威脅情報資訊取決於 Google SecOps 授權提供的權益。

在 SecOps Chat 窗格底部，按一下「Sources and related content」。Gemini 會提供部分文章的連結，這些文章是用來生成摘要。

Gemini 和 MITRE

MITRE ATT&CK® Matrix 是知識庫，記錄實際網路攻擊者使用的 TTP。MITRE 矩陣可協助您瞭解組織可能如何成為攻擊目標，並提供標準化語法來討論攻擊。

您可以向 Gemini 詢問 MITRE 戰術、技術和程序 (TTP) 相關問題，並取得與情境相關的答案，其中包含下列 MITRE 詳細資料：

  • 策略
  • 做法
  • 子技術
  • 偵測建議
  • 程序
  • 因應措施

Gemini 會傳回連結，指向 Google SecOps 為各項 TTP 提供的精選偵測規則。您也可以向 Gemini 提出後續問題，進一步瞭解 MITRE TTP 及其對企業的影響。

調查案件和警告

您可以直接在「案件管理」頁面，向 Gemini 詢問案件、警示和工作手冊相關問題。系統會根據您正在查看的特定頁面或分頁 (例如「案件」頁面、「快訊」分頁或「應對手冊」分頁)，提供相關問題。

在任一「案件」頁面，開啟 SecOps Chat 窗格。輸入與案件相關的提示。問題可以與目前的分頁有關：

  • 案件總覽或案件牆：詢問案件層級資訊。例如：Give me the names of everyone who left comments on the Case Wall.
  • 快訊：詢問與該快訊相關的特定問題。例如：Can you summarize this alert?
  • 警告應對手冊：詢問附加應對手冊的行為。例如：Which playbooks are available for phishing alerts?

查看 Gemini 傳回的結果，並視需要調整提示。

您也可以使用 Gemini 案件摘要小工具生成案件摘要。

回答 Google SecOps 說明文件的相關問題

在 SecOps Chat 窗格中輸入提示，即可要求 Google SecOps 使用方式的相關資訊。

SecOps Chat 會根據 Google SecOps 說明文件中的資訊，採用多階段推論程序回答複雜問題，並提供相關說明文件頁面的連結。

請嘗試在 SecOps Chat 窗格中輸入下列範例提示詞：

  • How do I configure the forwarder?
  • How do I create a rule?
  • How do I investigate user logins?

SecOps Chat 也會使用 Google 搜尋基準和引用資料，針對提示提供細緻的高品質回覆。建立基準會將模型回覆連結至網際網路上的資訊，為安全調查提供額外的最新背景資訊。引用資料會顯示 Gemini 用來制定答案的特定資料來源，提高可解釋性，並協助您驗證資訊。

Gemini 使用 Google 搜尋建立基準回覆時，網頁介面會顯示下列元素：

  • Google G 圖示：表示 Gemini 已連上網際網路，可為提示擷取更多背景資訊。
  • 搜尋查詢方塊：顯示 Gemini 用來擷取額外背景資訊的確切搜尋查詢。
  • 引用：提供用於生成答案的特定基準資料參考資料。

查看這些搜尋查詢和引用內容，有助於瞭解 Gemini 研究提示的步驟，並確保擷取的資料公開透明。

其他工作

SecOps Chat 是您的中央資安助理，會使用後端工具，在 Google SecOps 平台執行作業。

案件與警告管理

  • 搜尋及篩選案件：列出 Google SecOps 執行個體中的所有案件，或擷取單一案件的完整詳細資料。
  • 調查案件證據：列出案件註解、擷取特定案件快訊、查看原始連接器事件，以及列出快訊涉及的實體，例如 IP 位址和主機名稱。

實體和警示資訊擴充

  • 摘要實體活動：在 Google SecOps SIEM 中查詢並摘要實體的歷史活動，快速充實資訊。
  • 找出 IoC：直接從 Google SecOps SIEM 記錄擷取入侵指標 (IoC) 比對結果。
  • 擷取警告設定檔：擷取 SIEM 警告的設定檔，其中匯總了多個來源的資料。
  • 探索擴充動作：擷取精選的 SOAR 整合動作清單，可用於擴充特定 SIEM 警示。

SIEM 內容和資料管理

  • 管理記錄資料：列出 Google SecOps SIEM 中可用的資料表和記錄類型。
  • 查看剖析器：列出記錄類型的剖析器，或擷取特定剖析器的設定詳細資料。
  • 監控偵測規則：查看已設定的偵測規則，並列出特定規則的執行錯誤，協助您排解問題。
  • 存取參考清單：依名稱擷取特定參考清單的詳細資料和內容。

自動化調度管理與自動化

  • 監控整合：列出已設定的 SOAR 整合，並查看已設定的執行個體。
  • 查看整合動作：查看 SOAR 整合功能可用的自動化動作。
  • 查看應對手冊：列出環境中設定的自動化應對手冊。

自動調查

  • 查看分類輸出內容：擷取特定快訊 ID 的最新自動分類調查。
  • 擷取完整報告：依 ID 擷取代理生成的完整調查報告。
  • 檢查設定：查看調查代理的設定。

支援的 MCP 工具和提示範例

下表列出 SecOps Chat 可呼叫的 MCP 工具，並提供各項工具的提示範例。

工具 提示詞範例
list_cases List all open critical cases
get_case Show case details for ID 12345
get_case_alert Show details for alert ID 67890 in case ID 12345
list_case_comments Get comments for case ID 12345
list_case_alerts Retrieve all alerts associated with case ID 12345
list_connector_events Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity Summarize the history of host workstation-9
get_ioc_match Show IoC matches in my environment from the last 24 hours
fetch_alert_data Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions What SOAR integration actions are available for alert ID 67890?
list_data_tables List all SIEM data tables
list_log_types List available log types
list_parsers Show parsers configured for log type GCP_CLOUDAUDIT
get_parser Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules List all security detection rules
list_rule_errors Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list Get details for the admin_ips reference list
list_integrations List all configured SOAR integrations
list_integration_instances Show configured instances for VirusTotal
list_integration_actions List available actions for VirusTotal
list_playbooks List all automated SOAR playbooks
get_alert_latest_investigation Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id Get investigation report for ID rpt_98765
get_agent_settings Show current settings for the investigation agent
ask_cloud_assist How do I configure Cloud NAT logging in Google Cloud?

存取 SecOps Chat 和 GCA 問答所需的 RBAC 和 IAM 權限

SecOps Chat 會連線至兩個代管 MCP 伺服器：

  1. SecOps MCP 伺服器 (chronicle.googleapis.com/mcp)：用於即時 SIEM/SOAR 作業
  2. Gemini Cloud Assist (GCA) MCP 伺服器 (geminicloudassist.googleapis.com/mcp — ask_cloud_assist)：強化「操作說明」問答和平台說明文件查詢。

為確保使用者和租戶的 P4SA 可存取 SecOps Chat 和所有 MCP 工具，且不會發生 403 Permission Denied 錯誤，請確認租戶繫結的 Google Cloud (BYOP) 專案已設定下列 IAM 角色和 API。

特色 / 功能 必要的預先定義 IAM 角色 目的和注意事項
GCA How-to 問與答工具 (ask_cloud_assist) roles/geminicloudassist.user (GCA 使用者) 啟用 P4SA 整合功能後，就不需要使用者 GCA IAM 角色，Chat 會使用租戶的 Chronicle P4SA (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com) 向 GCA 驗證。只有 P4SA (或 P4SA 推出前環境中的使用者主體) 需要 roles/geminicloudassist.user。
管理對話 roles/chronicle.editor (或 roles/chronicle.admin) 建立、重新命名及刪除對話時，必須具備這項權限。
MCP Gateway 叫用 (所有工具) roles/mcp.toolUser (MCP 工具使用者) 授予 mcp.tools.call，以便在 SecOps 和 GCA 端點執行遠端 MCP 工具。
工具用量計費 roles/serviceusage.serviceUsageConsumer (服務使用情形消費者) Chat 會向繫結至 Google SecOps 執行個體的 Google Cloud 專案，收取 SecOps 和 GCA 工具呼叫費用。必須與 roles/mcp.toolUser 搭配使用。
SIEM 工具和 YARA-L 查詢生成 roles/chronicle.admin (或 roles/chronicle.editor) SIEM 工具必備：UDM/YARA-L 生成、規則、規則錯誤、剖析器、記錄類型、資料表、參照清單、實體摘要和 IoC。請注意，部分 SIEM 工具 (例如剖析器) 也需要 roles/chronicle.admin
SOAR 案件、警告和應對手冊 roles/chronicle.admin (或 roles/chronicle.editor) SOAR 工具的必要權限：案件、案件快訊、案件留言、連接器事件、應對手冊和整合。
Google Cloud 資源背景資訊 (選填) roles/cloudasset.viewer (雲端資產檢視者) 建議與 GCA 搭配使用的角色，可讓助理在疑難排解期間解析專案/資產中繼資料。

GCA (ask_cloud_assist) 的 P4SA / 自訂 IAM 角色權限

整合 P4SA 後，使用者不需要任何 GCA IAM 權限 (即使使用 3P IdP / SAML / Okta 登入也一樣)。而是由租戶的 Chronicle P4SA (service-PROJECT_NUMBER@gcp-sa-chronicle.iam.gserviceaccount.com) 或自訂角色 (在 P4SA 之前的環境中)，對繫結的 Google Cloud 專案使用下列權限：

  • geminicloudassist.agents.invoke：ask_cloud_assist 工具需要此權限，才能叫用 GCA 代理。
  • mcp.tools.call： Google Cloud MCP 閘道必須具備這個角色，才能透過 geminicloudassist.googleapis.com/mcp 和 chronicle.googleapis.com/mcp 執行工具呼叫。
  • serviceusage.services.use：必要，因為 Agentic Chat 會在 X-Goog-User-Project 計費或配額標頭中傳遞租戶的專案 ID。
  • cloudaicompanion.topics.create、cloudaicompanion.companions.generateChat 和 cloudaicompanion.instances.completeTask：必須提供，才能初始化及繼續多輪 GCA 對話主題。
  • resourcemanager.projects.get、geminicloudassist.locations.get 和 geminicloudassist.locations.list：必須具備這些權限，才能解析租戶專案編號和全域 Agent Endpoint。

請注意，即使租戶擁有額外權限，這個備用方案也僅適用於 GCA。

必要 Google Cloud 專案 API

確認租戶繫結的Google Cloud 專案已啟用下列 Google Cloud API：

  • chronicle.googleapis.com (Chronicle API)
  • geminicloudassist.googleapis.com (GCA API)
  • cloudaicompanion.googleapis.com (Gemini for Google Cloud API)
  • cloudasset.googleapis.com (Cloud Asset API)

員工身分聯盟的驗證

員工身分聯盟 (WIF) 可讓您使用外部 IdP 驗證員工 (使用者和使用者群組，例如員工、合作夥伴和承包商)。使用者可以透過 IdP 使用單一登入 (SSO) 存取 Google Cloud ，不必將帳戶同步至 Cloud Identity，也不需要 Google 帳戶。

如要使用 GCA，請先完成設定。詳情請參閱 WIF 設定指南。

將權限新增至 principalSet。舉例來說，如果您使用第三方 IdP，可以透過下列指令，將權限授予租戶專案中的 principalSet：

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

防護機制和安全

為確保環境安全，SecOps Chat 設有下列防護措施：

  • 唯讀動作：代理支援基本的唯讀動作，例如生成搜尋查詢、擷取案件、警示和實體摘要。

管理對話工作階段及提供意見

您隨時可以刪除對話工作階段，也可以對 Gemini 生成的回覆評分。

刪除對話工作階段

你可以刪除對話工作階段，也可以刪除所有對話工作階段。 Gemini 會私下保留所有使用者對話記錄，並遵循 Google Cloud的負責任 AI 做法。使用者記錄絕不會用於訓練模型。

  1. 在 Gemini 窗格中，選取右上角選單中的「Delete chat」(刪除對話)。
  2. 按一下右下方的「Delete chat」(刪除對話)，即可刪除目前的對話。
  3. 選用：如要刪除所有對話工作階段，請選取「刪除所有對話工作階段」，然後按一下「刪除所有對話」。

提供意見回饋

您可以對 Gemini AI 調查輔助功能生成的回覆提供意見回饋。你的意見有助於 Google 改良這項功能和 Gemini 生成的內容。

  1. 在 Gemini 窗格中，按一下「thumb_up 喜歡」或「thumb_down 不喜歡」。
  2. 選用：按一下「不喜歡」圖示 thumb_down，然後提供意見回饋。
  3. 按一下 [傳送意見]。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。