Merespons pemberitahuan dan kasus

Didukung di:

Panduan ini membantu analis keamanan mengidentifikasi dan memprioritaskan kasus serta pemberitahuan keamanan yang memerlukan perhatian segera secara efisien. Modul ini menjelaskan cara menggunakan fitur Google Security Operations, termasuk tampilan yang dipersonalisasi, otomatisasi, triase yang didukung AI, dan playbook. Dengan mengikuti metode ini, analis dapat mengurangi derau, mempercepat waktu respons, dan memfokuskan upaya analis pada positif sebenarnya yang menimbulkan risiko terbesar. Penyelesaian yang berhasil memastikan mitigasi ancaman penting tepat waktu.

Kasus penggunaan umum

  • Tujuan: Mengidentifikasi kasus dan pemberitahuan berisiko tinggi secara efisien di tengah volume data keamanan yang besar menggunakan otomatisasi dan AI.
  • Nilai: Memastikan respons cepat terhadap ancaman kritis, sehingga meminimalkan potensi dampak.

Sebelum memulai

Menentukan kasus dan pemberitahuan mana yang memerlukan perhatian segera

Bagian ini menjelaskan langkah-langkah berurutan untuk menentukan urgensi.

Memantau antrean yang dipersonalisasi dan menerapkan filter ketat

Pendekatan berikut memastikan bahwa Anda melihat item yang memerlukan perhatian khusus dan kumpulan keseluruhan insiden berisiko tinggi, sehingga memberikan visibilitas langsung ke peristiwa yang paling berdampak.

  1. Di platform Google SecOps, pilih Workdesk Anda > Kasus Saya. Tampilan ini menampilkan kasus yang ditetapkan langsung kepada Anda atau peran analis Anda.
  2. Buka halaman Kasus utama, lalu klik Filter Kasus.
  3. Filter temuan dengan tingkat prioritas Kritis dan Tinggi. Pastikan untuk menyimpan filter ini agar Anda dapat kembali ke filter tersebut dengan mudah.

Memanfaatkan AI dan otomatisasi untuk triase

Untuk setiap pemberitahuan, gunakan otomatisasi agentik, yang menggabungkan playbook deterministik yang telah ditentukan sebelumnya dengan agen AI dinamis, seperti Agen Triase dan Investigasi Gemini. Agen ini mengotomatiskan analisis mendalam awal, yang sering kali memadatkan pekerjaan manual selama 15-20 menit menjadi jangka waktu yang jauh lebih singkat.

Fitur utama:

  • Pengurutan otomatisasi: Konfigurasi playbook sehingga playbook perbaikan (misalnya, isolasi host atau penangguhan akun) otomatis dimulai berdasarkan output Agen Triase dan Investigasi Gemini dan dapat segera bertindak pada kasus penting.
  • Respons adaptif: Menggunakan output yang dihasilkan AI (seperti skor risiko, atau putusan seperti True Positive) sebagai kondisi dalam playbook untuk memicu jalur respons otomatis yang berbeda. Misalnya, mengisolasi host secara otomatis jika hasilnya adalah Malicious, tetapi hanya menandai untuk ditinjau jika Suspicious. Anda dapat menggunakan putusan atau skor risiko untuk menaikkan prioritas atau mengeskalasikan kasus. Misalnya, eskalasikan ke tingkat yang lebih tinggi, atau kirim pesan ke penerima tugas.
  • Rekonstruksi pohon proses: Agen triase dapat membuat linimasa visual aktivitas sistem, sehingga membantu analis memahami rantai serangan, hubungan proses induk-turunan, dan pergerakan lateral secara instan.

Menggunakan playbook untuk triase cepat dan tindakan yang konsisten

Di halaman Kasus, gunakan Playbook bawaan dan kustom. Playbook mengodifikasi prosedur operasi standar (SOP) ke dalam alur kerja otomatis, sehingga meminimalkan upaya manual dan memastikan konsistensi.

Kemampuan utama playbook:

  • Pengayaan otomatis: Banyak playbook otomatis memperkaya notifikasi dengan informasi intelijen ancaman dari sumber seperti VirusTotal, CrowdStrike, dan feed ancaman internal, sehingga memberikan konteks langsung tentang indikator gangguan (IoC) seperti hash, alamat IP, dan domain.
  • Titik keputusan terpandu: Playbook dapat dijeda dan menyajikan pertanyaan ya-tidak, pertanyaan pilihan ganda, atau perintah bersyarat kepada analis—misalnya, "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring".
  • Intervensi manual yang terkontrol: Untuk tindakan sensitif, playbook dapat menyertakan langkah-langkah persetujuan manual. Dengan demikian, analis dapat meninjau tindakan yang diusulkan (misalnya, mengisolasi host, meledakkan file di sandbox, atau memblokir alamat IP) sebelum dieksekusi.
  • Pengelolaan kasus otomatis: Playbook dapat mengotomatiskan perutean kasus ke tim khusus berdasarkan temuan dan menutup otomatis pemberitahuan yang dikonfirmasi sebagai tidak berbahaya atau informatif, sehingga antrean aktif tetap berfokus pada ancaman yang dapat ditindaklanjuti.

Cara analis menggunakan playbook untuk perjalanan ini:

  • Respons standar: Memastikan semua pemberitahuan dari jenis tertentu (misalnya, phishing, atau ransomware) ditangani sesuai dengan SOP organisasi yang telah ditetapkan.
  • Pengurangan bising: Secara otomatis memfilter atau menyelesaikan pemberitahuan fidelitas rendah berdasarkan logika yang telah ditentukan sebelumnya.
  • Mengurangi toil: Mengotomatiskan tugas yang memakan waktu seperti pengumpulan data, korelasi log, dan pengayaan entitas.
  • Otomatisasi agentic dalam tindakan: Menggabungkan kecepatan analisis agen AI dengan keandalan playbook deterministik.
  • Langkah Agentic: playbook dapat memanfaatkan integrasi Vertex AI untuk membangun aliran kerja yang dikurasi dan didukung oleh Gemini untuk membantu penyelidikan.

Manfaat: Menyederhanakan proses triase, menerapkan respons yang konsisten, mengurangi tugas berulang, dan memungkinkan analis menangani ancaman yang lebih kompleks secara efektif.

Contoh skenario yang memerlukan perhatian segera

Bagian ini berisi contoh skenario yang memerlukan perhatian segera.

Memulai perbaikan otomatis

Anda melihat pemberitahuan prioritas Kritis di halaman Kasus untuk Suspicious PowerShell Execution.

Playbook yang ditautkan menunjukkan bahwa Agen Triase Gemini berjalan, menampilkan putusan True Positive dengan tingkat keyakinan yang tinggi, dan akibatnya, playbook secara otomatis memicu tindakan Isolate Host, yang kini menunggu persetujuan atau telah selesai.

Hal ini memerlukan peninjauan segera terhadap temuan agen dan status isolasi.

Keputusan manual yang didukung AI

Anda memfilter antrean Kasus untuk Prioritas: Penting.

Saat membuka kasus, Anda akan melihat bahwa playbook dijeda pada pertanyaan ya-tidak, yang menanyakan apakah kasus harus ditingkatkan atau ditutup.

Anda meninjau ringkasan Agen Triase dan Investigasi Gemini, yang menyatakan Kemungkinan Besar Positif Benar dengan alasan mendetail yang mengutip indikator berbahaya tertentu.

Anda dengan yakin memilih Eskalasi ke Tingkat 2.

Pemecahan masalah

Latensi, kuota layanan, dan batas

  • Kuota agen penilai tingkat prioritas: Agen Penilai Tingkat Prioritas dan Penyelidikan Gemini tunduk pada kuota, biasanya sekitar 10 penyelidikan per jam per tenant (misalnya, 5 pemicu manual, 5 pemicu otomatis). Peringatan yang melebihi batas ini memerlukan triase manual.

Perbaikan error

Kode error Deskripsi masalah Perbaiki
T/A Item mendesak yang diharapkan tidak ada di antrean Kasus Saya atau Kasus. Pastikan aturan Alerting diaktifkan untuk deteksi yang relevan. Pastikan kasus ditetapkan dengan benar kepada pengguna atau peran Anda, dan periksa apakah ada filter pembatasan yang tidak sengaja diterapkan ke antrean.
T/A Ringkasan Gemini tidak ada. Periksa status Gemini Investigations di repositori kasus. Jika kuota tercapai, Anda akan melihat pesan yang menunjukkan bahwa agen tidak dapat dipicu.

Validasi dan pengujian

Untuk memvalidasi bahwa proses berfungsi, konfirmasi bahwa:

  • Pemberitahuan Tinggi dan Kritis muncul seperti yang diharapkan berdasarkan filter.
  • Playbook dipicu saat ada pemberitahuan baru.
  • Ringkasan Gemini Triage and Investigation Agent ada di tempat yang diharapkan.
  • Kasus akan dieskalasikan atau ditutup berdasarkan logika playbook dan keputusan analis.
Gejala Resolusi
Item mendesak yang diharapkan tidak ada di antrean Kasus Saya atau Kasus. Pastikan aturan Alerting diaktifkan untuk deteksi yang relevan. Verifikasi bahwa kasus ditetapkan dengan benar kepada pengguna atau peran Anda, dan periksa apakah ada filter pembatasan yang tidak sengaja diterapkan ke antrean.
Ringkasan Gemini tidak ada. Periksa status Gemini Investigations di repositori kasus. Jika kuota tercapai, Anda akan melihat pesan yang menunjukkan bahwa agen tidak dapat dipicu.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.