Merespons pemberitahuan dan kasus

Didukung di:

Panduan ini membantu analis keamanan mengidentifikasi dan memprioritaskan kasus dan pemberitahuan keamanan yang memerlukan perhatian segera secara efisien. Panduan ini menjelaskan cara menggunakan fitur Google Security Operations, termasuk tampilan yang dipersonalisasi, otomatisasi, triase yang didukung AI, dan playbook. Dengan mengikuti metode ini, analis dapat mengurangi gangguan, mempercepat waktu respons, dan memfokuskan upaya analis pada hasil positif yang menimbulkan risiko terbesar. Penyelesaian yang berhasil memastikan mitigasi ancaman penting tepat waktu.

Kasus penggunaan umum

  • Tujuan: Mengidentifikasi kasus dan pemberitahuan berisiko tinggi secara efisien di tengah volume data keamanan yang besar menggunakan otomatisasi dan AI.
  • Nilai: Memastikan respons cepat terhadap ancaman penting, sehingga meminimalkan potensi dampak.

Sebelum memulai

Menentukan kasus dan pemberitahuan yang memerlukan perhatian segera

Bagian ini menjelaskan langkah-langkah berurutan untuk menentukan urgensi.

Memantau antrean yang dipersonalisasi dan menerapkan filter ketat

Pendekatan berikut memastikan Anda melihat item yang memerlukan perhatian khusus dan kumpulan keseluruhan insiden berisiko tinggi, sehingga memberikan visibilitas langsung ke peristiwa yang paling berdampak.

  1. Di platform Google SecOps, pilih Your Workdesk > My Cases. Tampilan ini menampilkan kasus yang langsung ditetapkan ke Anda atau peran analis Anda.
  2. Buka halaman Cases utama, lalu klik Cases Filter.
  3. Filter temuan dengan tingkat prioritas Critical dan High. Pastikan untuk menyimpan filter ini agar Anda dapat kembali ke filter tersebut dengan mudah.

Memanfaatkan AI dan otomatisasi untuk triase

Untuk pemberitahuan apa pun, gunakan otomatisasi agentic, yang menggabungkan playbook deterministik yang telah ditetapkan sebelumnya dengan agen AI dinamis, seperti Gemini Triage and Investigation Agent. Agen ini mengotomatiskan analisis mendalam awal, yang sering kali memadatkan pekerjaan manual selama 15-20 menit menjadi jangka waktu yang jauh lebih singkat.

Fitur utama:

  • Pengurutan otomatisasi: Konfigurasi playbook sehingga playbook perbaikan (misalnya, isolasi host atau penangguhan akun) otomatis dimulai berdasarkan output Gemini Triage and Investigation Agent dan dapat segera bertindak pada kasus penting.
  • Respons adaptif: Gunakan output yang dihasilkan AI (seperti skor risiko, atau putusan seperti True Positive) sebagai kondisi dalam playbook untuk memicu jalur respons otomatis yang berbeda. Misalnya, isolasi host secara otomatis jika putusannya adalah Malicious, tetapi hanya tandai untuk ditinjau jika Suspicious. Anda dapat menggunakan putusan atau skor risiko untuk meningkatkan prioritas atau mengeskalasi kasus. Misalnya, eskalasi ke tingkat yang lebih tinggi, atau kirim pesan ke penerima tugas.
  • Rekonstruksi pohon proses: Agen triase dapat membuat linimasa visual aktivitas sistem, sehingga membantu analis langsung memahami rantai serangan, hubungan proses induk-turunan, dan pergerakan lateral.

Menggunakan playbook untuk triase cepat dan tindakan yang konsisten

Di halaman Cases, gunakan Playbooks bawaan dan kustom. Playbook mengodifikasi prosedur operasi standar (SOP) ke dalam alur kerja otomatis, sehingga meminimalkan upaya manual dan memastikan konsistensi.

Kemampuan utama playbook:

  • Pengayaan otomatis: Banyak playbook otomatis memperkaya pemberitahuan dengan intelijen ancaman dari sumber seperti VirusTotal, CrowdStrike, dan feed ancaman internal, sehingga memberikan konteks langsung tentang indikator gangguan (IoC) seperti hash, alamat IP, dan domain.
  • Poin keputusan terpandu: Playbook dapat dijeda dan menyajikan pertanyaan ya-tidak, pertanyaan pilihan ganda, atau perintah bersyarat kepada analis—misalnya, "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring".
  • Intervensi manual terkontrol: Untuk tindakan sensitif, playbook dapat menyertakan langkah-langkah persetujuan manual. Hal ini memungkinkan analis meninjau tindakan yang diusulkan (misalnya, mengisolasi host, meledakkan file di sandbox, atau memblokir alamat IP) sebelum dieksekusi.
  • Pengelolaan kasus otomatis: Playbook dapat mengotomatiskan perutean kasus ke tim khusus berdasarkan temuan dan menutup pemberitahuan secara otomatis yang dikonfirmasi sebagai tidak berbahaya atau informatif, sehingga antrean aktif tetap berfokus pada ancaman yang dapat ditindaklanjuti.

Cara analis menggunakan playbook untuk perjalanan ini:

  • Respons standar: Memastikan semua pemberitahuan dari jenis tertentu (misalnya, phishing, atau ransomware) ditangani sesuai dengan SOP organisasi yang ditetapkan.
  • Pengurangan bising: Memfilter atau menyelesaikan pemberitahuan fidelitas rendah secara otomatis berdasarkan logika yang telah ditetapkan sebelumnya.
  • Pengurangan toil: Mengotomatiskan tugas yang memakan waktu seperti pengumpulan data, korelasi log, dan pengayaan entitas.
  • Otomatisasi agentic dalam tindakan: Menggabungkan kecepatan analitis agen AI dengan keandalan playbook deterministik.
  • Langkah Agentic: Playbook dapat memanfaatkan integrasi Vertex AI untuk membuat alur kerja pilihan yang didukung oleh Gemini untuk membantu penyelidikan.

Manfaat: Menyederhanakan proses triase, menerapkan respons yang konsisten, mengurangi tugas berulang, dan memungkinkan analis menangani ancaman yang lebih kompleks secara efektif.

Contoh skenario yang memerlukan perhatian segera

Bagian ini berisi contoh skenario yang memerlukan perhatian segera.

Peluncuran perbaikan otomatis

Anda melihat pemberitahuan prioritas Critical di halaman Cases untuk Suspicious PowerShell Execution.

Playbook tertaut menunjukkan bahwa Gemini Triage Agent berjalan, menampilkan putusan True Positive dengan tingkat keyakinan tinggi, dan akibatnya, playbook otomatis memicu tindakan Isolate Host, yang kini menunggu persetujuan atau telah selesai.

Hal ini memerlukan peninjauan segera terhadap temuan agen dan status isolasi.

Keputusan manual yang didukung AI

Anda memfilter antrean Cases untuk Priority: Critical.

Saat membuka kasus, Anda menemukan playbook telah dijeda pada pertanyaan ya-tidak, yang menanyakan apakah akan mengeskalasi kasus atau menutupnya.

Anda meninjau ringkasan Gemini Triage and Investigation Agent, yang menyatakan Highly Likely True Positive dengan alasan terperinci yang mengutip indikator berbahaya tertentu.

Anda dengan yakin memilih Escalate to Tier 2.

Pemecahan masalah

Latensi, kuota layanan, dan batas

  • Kuota agen triase: Gemini Triage and Investigation Agent tunduk pada kuota, biasanya sekitar 10 penyelidikan per jam per tenant (misalnya, 5 pemicu manual, 5 pemicu otomatis). Pemberitahuan yang melebihi batas ini memerlukan triase manual.

Perbaikan error

Kode error Deskripsi masalah Perbaikan
T/A Item mendesak yang diharapkan tidak ada di antrean My Cases atau Cases. Pastikan aturan Alerting diaktifkan untuk deteksi yang relevan. Pastikan kasus ditetapkan dengan benar ke pengguna atau peran Anda, dan periksa apakah ada filter pembatasan yang tidak sengaja diterapkan ke antrean.
T/A Ringkasan Gemini tidak ada. Periksa status Gemini Investigations di repositori kasus. Jika kuota tercapai, Anda akan melihat pesan yang menunjukkan bahwa agen tidak dapat dipicu.

Validasi dan pengujian

Untuk memvalidasi bahwa proses berfungsi, pastikan bahwa:

  • Pemberitahuan High dan Critical muncul seperti yang diharapkan berdasarkan filter.
  • Playbook dipicu pada pemberitahuan baru.
  • Ringkasan Gemini Triage and Investigation Agent ada di tempat yang diharapkan.
  • Kasus ditingkatkan atau ditutup berdasarkan logika playbook dan keputusan analis.
Gejala Resolusi
Item mendesak yang diharapkan tidak ada di antrean My Cases atau Cases. Pastikan aturan Alerting diaktifkan untuk deteksi yang relevan. Pastikan kasus ditetapkan dengan benar ke pengguna atau peran Anda, dan periksa apakah ada filter pembatasan yang tidak sengaja diterapkan ke antrean.
Ringkasan Gemini tidak ada. Periksa status Gemini Investigations di repositori kasus. Jika kuota tercapai, Anda akan melihat pesan yang menunjukkan bahwa agen tidak dapat dipicu.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.