回應警示和案件

支援的國家/地區：

本指南可協助資安分析師有效找出並優先處理需要立即處理的案件和安全警示。並說明如何使用 Google Security Operations 功能，包括個人化檢視畫面、自動化、AI 輔助分類和應對手冊。分析師只要採用這種方法，就能減少干擾訊息、縮短回應時間，並將精力集中在風險最高的真正陽性結果上。成功完成後，就能及時緩解重大威脅。

常見用途

  • 目標：運用自動化和 AI 技術，從大量安全資料中有效找出高風險快訊和案件。
  • 價值：確保能快速回應重大威脅，盡量減少潛在影響。

事前準備

判斷哪些案件和警示需要立即處理

本節將說明判斷緊急程度的步驟。

監控個人化佇列並套用嚴格的篩選條件

採用下列方法可確保您能看到需要特別注意的項目，以及整體高風險事件集區，立即掌握影響最大的事件。

  1. 在 Google SecOps 平台中，依序選取「Your Workdesk」>「My Cases」。這個檢視畫面會顯示直接指派給您或分析師角色的案件。
  2. 開啟主要的「案件」頁面，然後按一下「案件篩選器」。
  3. 篩選出優先等級為「重大」和「高」的發現項目。請務必儲存這些篩選器，方便日後使用。

運用 AI 和自動化功能進行分類

針對任何快訊，使用代理式自動化，結合確定性預先定義的應對手冊與動態 AI 代理，例如 Gemini 分類和調查代理。這個代理程式會自動執行初步的深入分析，通常能將 15 到 20 分鐘的手動工作縮短為更短的時間。

主要功能：

  • 自動化排序：設定應對手冊，讓系統根據 Gemini 分類和調查代理程式的輸出內容，自動啟動修復應對手冊 (例如主機隔離或帳戶停權)，並立即處理重要案件。
  • 適應性回應：在應對手冊中使用 AI 生成的輸出內容 (例如風險評分或判決，如 True Positive) 做為條件，觸發不同的自動回應路徑。舉例來說，如果結果為 Malicious，則自動隔離主機，但如果結果為 Suspicious，則只標記以供審查。您可以根據判決結果或風險分數，提高案件優先順序或提報案件。例如提報給更高層級，或傳送訊息給指派對象。
  • 程序樹狀結構重建：分流代理程式可以產生系統活動的視覺化時間軸，協助分析師立即瞭解攻擊鏈、父子程序關係和橫向移動。

使用應對手冊快速分類，並採取一致的行動

在「案件」頁面中，使用預建和自訂的「劇本」。教戰手冊會將標準作業程序 (SOP) 編寫進自動化工作流程，盡量減少人工作業並確保一致性。

主要劇本功能：

  • 自動擴充：許多應對手冊會自動從 VirusTotal、CrowdStrike 和內部威脅動態饋給等來源，擴充警示的威脅情報，即時提供入侵指標 (IoC) 的背景資訊，例如雜湊、IP 位址和網域。
  • 引導式決策點：應對手冊可以暫停，並向分析師顯示是非題、選擇題或條件式提示，例如 "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring"。
  • 受控的手動介入：對於敏感動作，應對手冊可以包含手動核准步驟。分析師可先審查建議的動作 (例如隔離主機、在沙箱中引爆檔案，或封鎖 IP 位址)，再執行這些動作。
  • 自動化案件管理：應對手冊可根據調查結果，自動將案件轉送給專責團隊，並自動關閉確認為良性或資訊警示的快訊，讓待處理佇列專注於可採取行動的威脅。

分析師如何使用這項歷程的應對手冊：

  • 標準化回應：確保系統會根據組織既有的標準作業程序，處理特定類型的所有快訊 (例如網路釣魚或勒索軟體)。
  • 雜訊抑制：根據預先定義的邏輯，自動篩除或解決低精確度快訊。
  • 減少手動作業：自動執行耗時的工作，例如收集資料、關聯記錄和擴充實體。
  • 代理式自動化技術的實際運作：結合 AI 代理程式的分析速度與確定性應對手冊的可靠性。
  • 代理步驟：劇本可運用 Vertex AI 整合功能，建構由 Gemini 輔助的精選工作流程，協助進行調查。

優點：簡化分類程序、確保回覆內容一致、減少重複性工作，並讓分析師有效處理更複雜的威脅。

需要立即處理的情境範例

本節提供需要立即處理的情境範例。

自動啟動修復程序

您會在「案件」頁面看到 Suspicious PowerShell Execution 的「重大」優先順序快訊。

連結的應對手冊顯示 Gemini 診斷代理程式已執行，並傳回 True Positive 判斷結果 (信心指數高)，因此應對手冊自動觸發「隔離主機」動作，目前正在等待核准或已完成。

因此必須立即審查代理程式的發現項目和隔離狀態。

AI 輔助人工決策

您篩選「案件」佇列，找出「優先順序：極度重要」的案件。

開啟案件時，您會發現劇本已暫停，並顯示是/否問題，詢問是否要將案件轉交給上級或結案。

您查看 Gemini Triage and Investigation Agent 的摘要，其中指出「極有可能是實際事件」，並詳細說明理由，列出具體的惡意指標。

您充滿信心地選取「呈報給第 2 層服務專員」。

疑難排解

延遲時間、服務配額和限制

  • 分類代理配額：Gemini 分類與調查代理設有配額，通常每個租戶每小時可進行約 10 次調查 (例如 5 次手動觸發、5 次自動觸發)。超過這項限制的快訊需要手動分類。

錯誤修正

錯誤代碼 問題說明 修正
不適用 「我的案件」或「案件」佇列中缺少預期會出現的緊急案件。 確認相關偵測的規則 Alerting 已切換為開啟。確認案件已正確指派給使用者或角色，並檢查佇列是否不慎套用限制性篩選條件。
不適用 缺少「Gemini」摘要。 在案件總覽頁面中查看 Gemini Investigations 狀態。如果達到配額上限，系統會顯示訊息，指出無法觸發代理程式。

驗證和測試

如要驗證程序是否正常運作，請確認：

  • 系統會根據篩選條件，如常顯示「高」和「重大」警報。
  • 系統會在出現新快訊時觸發應對手冊。
  • Gemini 分類與調查代理摘要會顯示在預期位置。
  • 系統會根據應變手冊邏輯和分析師的決策，提報或結案。
症狀 解決方法
「我的案件」或「案件」佇列中缺少預期會出現的緊急案件。 確認相關偵測的規則 Alerting 已切換為開啟。確認案件已正確指派給使用者或角色，並檢查佇列是否不慎套用限制性篩選條件。
缺少「Gemini」摘要。 在案件總覽頁面中查看 Gemini Investigations 狀態。如果達到配額上限，系統會顯示訊息，指出無法觸發代理程式。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。