Répondre aux alertes et aux demandes

Compatible avec :

Ce guide aide les analystes en sécurité à identifier et à hiérarchiser efficacement les problèmes et les alertes de sécurité qui nécessitent une attention immédiate. Il explique comment utiliser les fonctionnalités de Google Security Operations, y compris les vues personnalisées, l'automatisation, le triage optimisé par l'IA et les playbooks. En suivant cette méthode, les analystes peuvent réduire le bruit, accélérer les temps de réponse et concentrer leurs efforts sur les vrais positifs qui présentent le plus grand risque. Une fois l'opération terminée, les menaces critiques sont atténuées rapidement.

Cas d'utilisation courant

  • Objectif : identifier efficacement les alertes et les cas à haut risque parmi un grand volume de données de sécurité à l'aide de l'automatisation et de l'IA.
  • Valeur : assure une réponse rapide aux menaces critiques, ce qui minimise l'impact potentiel.

Avant de commencer

Déterminer quels cas et alertes nécessitent une attention immédiate

Cette section décrit les étapes séquentielles permettant de déterminer l'urgence.

Surveiller les files d'attente personnalisées et appliquer des filtres stricts

L'approche suivante vous permet de voir à la fois les éléments qui nécessitent votre attention spécifique et l'ensemble des incidents à haut risque, ce qui vous donne une visibilité immédiate sur les événements les plus importants.

  1. Sur la plate-forme Google SecOps, sélectionnez Votre bureau > Mes demandes. Cette vue affiche les demandes directement attribuées à vous ou à votre rôle d'analyste.
  2. Ouvrez la page principale Demandes, puis cliquez sur Filtre des demandes.
  3. Filtrez les résultats selon les niveaux de priorité Critique et Élevé. N'oubliez pas d'enregistrer ces filtres pour pouvoir les retrouver facilement.

Exploiter l'IA et l'automatisation pour le tri

Pour toute alerte, utilisez l'automatisation agentique, qui combine des playbooks déterministes prédéfinis avec des agents d'IA dynamiques, tels que l'agent Gemini de tri et d'investigation. Cet agent automatise l'analyse approfondie initiale, ce qui permet de réduire considérablement le temps nécessaire pour effectuer manuellement cette tâche (15 à 20 minutes).

Caractéristiques principales :

  • Séquence d'automatisation : configurez des playbooks pour qu'un playbook de correction (par exemple, l'isolement d'un hôte ou la suspension d'un compte) se lance automatiquement en fonction du résultat de l'agent Gemini de triage et d'investigation, et puisse agir immédiatement sur les cas importants.
  • Réponses adaptatives : utilisez des résultats générés par l'IA (tels que des scores de risque ou des verdicts comme True Positive) comme conditions dans les playbooks pour déclencher différents chemins de réponse automatisés. Par exemple, isolez automatiquement un hôte si le verdict est Malicious, mais signalez-le uniquement pour examen si le verdict est Suspicious. Vous pouvez utiliser le verdict ou le score de risque pour augmenter la priorité ou escalader la demande. Par exemple, vous pouvez escalader la demande à un niveau supérieur ou envoyer un message à l'utilisateur assigné.
  • Reconstruction de l'arborescence des processus : l'agent de tri peut générer une chronologie visuelle de l'activité du système, ce qui aide les analystes à comprendre instantanément la chaîne d'attaque, les relations entre les processus parent et enfant, et les mouvements latéraux.

Utiliser des playbooks pour un tri rapide et une action cohérente

Sur la page Demandes, utilisez des playbooks prédéfinis et personnalisés. Les playbooks codifient les procédures opérationnelles standards (POS) en workflows automatisés, ce qui minimise l'effort manuel et assure la cohérence.

Principales fonctionnalités du guide :

  • Enrichissement automatisé : de nombreux playbooks enrichissent automatiquement les alertes avec des renseignements sur les menaces provenant de sources telles que VirusTotal, CrowdStrike et les flux de menaces internes. Ils fournissent ainsi un contexte immédiat sur les indicateurs de compromission (IoC, Indicators of Compromise) tels que les hachages, les adresses IP et les domaines.
  • Points de décision guidés : les playbooks peuvent être mis en pause et présenter aux analystes des questions fermées, des questions à choix multiples ou des invites conditionnelles (par exemple, "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring").
  • Intervention manuelle contrôlée : pour les actions sensibles, les playbooks peuvent inclure des étapes d'approbation manuelle. Cela permet aux analystes d'examiner les actions proposées (par exemple, isoler l'hôte, exécuter le fichier dans un bac à sable ou bloquer l'adresse IP) avant leur exécution.
  • Gestion automatisée des demandes : les playbooks peuvent automatiser l'acheminement des demandes vers des équipes spécialisées en fonction des résultats et fermer automatiquement les alertes confirmées comme bénignes ou informatives, ce qui permet de concentrer la file d'attente active sur les menaces exploitables.

Comment les analystes utilisent-ils les playbooks pour ce parcours ?

  • Réponse standardisée : garantit que toutes les alertes d'un type spécifique (par exemple, hameçonnage ou ransomware) sont traitées conformément aux procédures opérationnelles standards établies par l'organisation.
  • Réduction du bruit : filtre ou résout automatiquement les alertes de faible fidélité en fonction d'une logique prédéfinie.
  • Réduction des tâches répétitives : automatise les tâches chronophages comme la collecte de données, la corrélation des journaux et l'enrichissement des entités.
  • L'automatisation agentique en action : elle combine la vitesse analytique des agents d'IA à la fiabilité des playbooks déterministes.
  • Étape d'agent : les playbooks peuvent exploiter l'intégration de Vertex AI pour créer un flux de travail organisé optimisé par Gemini afin de faciliter l'investigation.

Avantage : rationalise le processus de tri, applique des réponses cohérentes, réduit les tâches répétitives et permet aux analystes de gérer efficacement les menaces plus complexes.

Exemples de scénarios nécessitant une attention immédiate

Cette section contient des exemples de scénarios qui nécessitent une attention immédiate.

Lancement de la correction automatisée

Une alerte de priorité Critique s'affiche sur la page Demandes pour Suspicious PowerShell Execution.

Le playbook associé indique que l'agent de triage Gemini s'est exécuté, a renvoyé un verdict True Positive avec un degré de confiance élevé et, par conséquent, le playbook a automatiquement déclenché une action Isoler l'hôte, qui est maintenant en attente d'approbation ou terminée.

Cela nécessite un examen immédiat des résultats de l'agent et de l'état d'isolation.

Décision manuelle assistée par l'IA

Vous filtrez la file d'attente Demandes sur Priorité : critique.

Lorsque vous ouvrez une demande, vous constatez qu'un playbook a été mis en pause au niveau d'une question à laquelle vous devez répondre par "oui" ou "non", vous demandant si vous souhaitez escalader la demande ou la clôturer.

Vous examinez le résumé de l'agent Gemini de tri et d'investigation, qui indique Vrai positif très probable avec une explication détaillée citant des indicateurs malveillants spécifiques.

Vous sélectionnez Escalader au niveau 2 en toute confiance.

Dépannage

Latence, quota de service et limites

  • Quota de l'agent de tri : l'agent Gemini de tri et d'investigation est soumis à un quota, généralement d'environ 10 investigations par heure et par locataire (par exemple, 5 déclencheurs manuels et 5 déclencheurs automatiques). Les alertes qui dépassent cette limite nécessitent un tri manuel.

Correction des erreurs

Code d'erreur Description du problème Corriger
ND Les éléments urgents attendus ne figurent pas dans "Mes demandes" ni dans la file d'attente des demandes. Assurez-vous que la règle Alerting est activée pour les détections concernées. Vérifiez que les demandes sont correctement attribuées à votre utilisateur ou rôle, et assurez-vous qu'aucun filtre restrictif n'est appliqué par inadvertance à la file d'attente.
ND Le résumé Gemini est manquant. Vérifiez l'état de Gemini Investigations dans le mur des cas. Si le quota a été atteint, un message s'affiche pour vous indiquer que l'agent n'a pas pu être déclenché.

Validation et test

Pour vérifier que le processus fonctionne, assurez-vous que :

  • Les alertes de gravité élevée et critique s'affichent comme prévu en fonction des filtres.
  • Les playbooks sont déclenchés par de nouvelles alertes.
  • Les résumés de l'agent Gemini de tri et d'investigation sont présents là où ils sont attendus.
  • Les demandes sont escaladées ou clôturées en fonction de la logique du playbook et des décisions des analystes.
Problème constaté Solution
Les éléments urgents attendus ne figurent pas dans "Mes demandes" ni dans la file d'attente des demandes. Assurez-vous que la règle Alerting est activée pour les détections concernées. Vérifiez que les demandes sont correctement attribuées à votre utilisateur ou rôle, et assurez-vous qu'aucun filtre restrictif n'est appliqué par inadvertance à la file d'attente.
Le résumé Gemini est manquant. Vérifiez l'état de Gemini Investigations dans le mur des cas. Si le quota a été atteint, un message s'affiche pour vous indiquer que l'agent n'a pas pu être déclenché.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.