Responder a alertas e casos

Compatível com:

Este guia ajuda os analistas de segurança a identificar e priorizar com eficiência casos e alertas de segurança que exigem atenção imediata. Ele explica como usar os recursos do Google Security Operations, incluindo visualizações personalizadas, automação, triagem com tecnologia de IA e playbooks. Ao seguir esse método, os analistas podem reduzir o ruído, acelerar os tempos de resposta e concentrar os esforços nos verdadeiros positivos que representam o maior risco. A conclusão bem-sucedida garante a mitigação oportuna de ameaças críticas.

Caso de uso comum

  • Objetivo: identificar com eficiência alertas e casos de alto risco em um grande volume de dados de segurança usando automação e IA.
  • Valor: garante uma resposta rápida a ameaças críticas, minimizando o impacto potencial.

Antes de começar

Determine quais casos e alertas precisam de atenção imediata

Nesta seção, descrevemos as etapas sequenciais para determinar a urgência.

Monitorar filas personalizadas e aplicar filtros restritos

A abordagem a seguir garante que você veja os itens que precisam de atenção específica e o conjunto geral de incidentes de alto risco, oferecendo visibilidade imediata dos eventos mais impactantes.

  1. Na plataforma Google SecOps, selecione Sua mesa de trabalho > Meus casos. Essa visualização mostra os casos atribuídos diretamente a você ou à sua função de analista.
  2. Abra a página principal Casos e clique em Filtro de casos.
  3. Filtre as descobertas com níveis de prioridade Crítico e Alto. Salve esses filtros para poder voltar a eles com facilidade.

Usar IA e automação para triagem

Para qualquer alerta, use a automação agêntica, que combina playbooks determinísticos e predefinidos com agentes de IA dinâmicos, como o agente de triagem e investigação do Gemini. Esse agente automatiza a análise detalhada inicial, muitas vezes condensando 15 a 20 minutos de trabalho manual em um período muito mais curto.

Principais recursos:

  • Sequência de automação: configure playbooks para que um playbook de correção (por exemplo, isolamento de host ou suspensão de conta) seja iniciado automaticamente com base na saída do agente de triagem e investigação do Gemini e possa agir imediatamente em casos importantes.
  • Respostas adaptativas: use saídas geradas por IA (como pontuações de risco ou veredictos como True Positive) como condições em playbooks para acionar diferentes caminhos de resposta automatizados. Por exemplo, isole automaticamente um host se o veredicto for Malicious, mas sinalize para revisão apenas se for Suspicious. Você pode usar o veredicto ou a pontuação de risco para aumentar a prioridade ou encaminhar o caso. Por exemplo, encaminhe para um nível mais alto ou envie uma mensagem ao responsável.
  • Reconstrução da árvore de processos: o agente de triagem pode gerar uma linha do tempo visual da atividade do sistema, ajudando os analistas a entender instantaneamente a cadeia de ataque, as relações de processo pai-filho e a movimentação lateral.

Use playbooks para triagem rápida e ação consistente

Na página Casos, use Playbooks predefinidos e personalizados. Os roteiros codificam procedimentos operacionais padrão (POPs) em fluxos de trabalho automatizados, minimizando o esforço manual e garantindo a consistência.

Principais recursos do playbook:

  • Enriquecimento automatizado: muitos playbooks enriquecem automaticamente os alertas com inteligência contra ameaças de fontes como VirusTotal, CrowdStrike e feeds de ameaças internos, fornecendo contexto imediato sobre indicadores de comprometimento (IoCs), como hashes, endereços IP e domínios.
  • Pontos de decisão guiada: os playbooks podem pausar e apresentar aos analistas perguntas de sim ou não, de múltipla escolha ou comandos condicionais, por exemplo, "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring".
  • Intervenção manual controlada: para ações sensíveis, os playbooks podem incluir etapas de aprovação manual. Isso permite que os analistas revisem as ações propostas (por exemplo, isolar o host, detonar o arquivo em sandbox ou bloquear o endereço IP) antes da execução.
  • Gerenciamento de casos automatizado: os roteiros podem automatizar o encaminhamento de casos para equipes especializadas com base em descobertas e fechar automaticamente alertas confirmados como benignos ou informativos, mantendo a fila ativa focada em ameaças acionáveis.

Como os analistas usam os playbooks nessa jornada:

  • Resposta padronizada: garante que todos os alertas de um tipo específico (por exemplo, phishing ou ransomware) sejam tratados de acordo com os POPs organizacionais estabelecidos.
  • Redução de ruído: filtra ou resolve automaticamente alertas de baixa fidelidade com base em uma lógica predefinida.
  • Redução de tarefas repetitivas: automatiza tarefas demoradas, como coleta de dados, correlação de registros e enriquecimento de entidades.
  • Automação agêntica em ação: combina a velocidade analítica dos agentes de IA com a confiabilidade dos playbooks determinísticos.
  • Etapa de agente: os playbooks podem aproveitar a integração da Vertex AI para criar um fluxo de trabalho selecionado com tecnologia do Gemini e ajudar na investigação.

Benefício: simplifica o processo de triagem, impõe respostas consistentes, reduz tarefas repetitivas e permite que os analistas lidem com ameaças mais complexas de maneira eficaz.

Exemplos de cenários que exigem atenção imediata

Esta seção contém exemplos de cenários que exigem atenção imediata.

Início da correção automatizada

Um alerta de prioridade Crítica aparece na página Casos para Suspicious PowerShell Execution.

O playbook vinculado mostra que o agente de triagem do Gemini foi executado, retornou um veredito True Positive com alta confiança e, consequentemente, o playbook acionou automaticamente uma ação de Isolar host, que agora está pendente de aprovação ou concluída.

Isso exige uma análise imediata das descobertas do agente e do estado de isolamento.

Decisão manual assistida por IA

Filtre a fila Casos por Prioridade: crítica.

Ao abrir um caso, você encontra um playbook pausado em uma pergunta de sim ou não, perguntando se o caso deve ser encaminhado ou encerrado.

Você revisa o resumo do agente de triagem e investigação do Gemini, que afirma Verdadeiro positivo altamente provável com uma justificativa detalhada citando indicadores maliciosos específicos.

Você seleciona Encaminhar para o nível 2.

Solução de problemas

Latência, cota de serviço e limites

  • Cota do agente de triagem: o agente de triagem e investigação do Gemini está sujeito a uma cota, geralmente de cerca de 10 investigações por hora por locatário (por exemplo, 5 acionadores manuais e 5 automáticos). Alertas que excedem esse limite exigem triagem manual.

Correção de erros

Código do erro Descrição do problema Correção
N/A Os itens urgentes esperados não aparecem em "Meus casos" ou na fila de casos. Verifique se a regra Alerting está ativada para as detecções relevantes. Verifique se os casos estão atribuídos corretamente ao seu usuário ou função e se nenhum filtro restritivo foi aplicado inadvertidamente à fila.
N/A O resumo Gemini está faltando. Verifique o status do Gemini Investigations no Painel de casos. Se a cota foi atingida, você vai receber uma mensagem indicando que não foi possível acionar o agente.

Validação e teste

Para validar se o processo está funcionando, confirme se:

  • Os alertas de gravidade alta e crítica aparecem conforme esperado com base nos filtros.
  • Os playbooks são acionados em novos alertas.
  • Os resumos do Agente de triagem e investigação do Gemini estão presentes quando esperado.
  • Os casos são encaminhados ou encerrados com base na lógica do playbook e nas decisões do analista.
Sintoma Resolução
Os itens urgentes esperados não aparecem em "Meus casos" ou na fila de casos. Verifique se a regra Alerting está ativada para as detecções relevantes. Verifique se os casos estão atribuídos corretamente ao seu usuário ou função e se nenhum filtro restritivo foi aplicado por engano à fila.
O resumo Gemini está faltando. Verifique o status do Gemini Investigations no Painel de casos. Se a cota foi atingida, você vai receber uma mensagem indicando que não foi possível acionar o agente.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.