Rispondere ad avvisi e casi

Supportato in:

Questa guida aiuta gli analisti della sicurezza a identificare e dare la priorità in modo efficiente ai casi e agli avvisi di sicurezza che richiedono attenzione immediata. Spiega come utilizzare le funzionalità di Google Security Operations, tra cui visualizzazioni personalizzate, automazione, triage basato sull'AI e playbook. Seguendo questo metodo, gli analisti possono ridurre il rumore, accelerare i tempi di risposta e concentrare i propri sforzi sui veri positivi che rappresentano il rischio maggiore. Il completamento riuscito garantisce la mitigazione tempestiva delle minacce critiche.

Caso d'uso comune

  • Obiettivo: identificare in modo efficiente avvisi e casi ad alto rischio in un grande volume di dati di sicurezza utilizzando l'automazione e l'AI.
  • Valore: garantisce una risposta rapida alle minacce critiche, riducendo al minimo il potenziale impatto.

Prima di iniziare

Determinare quali casi e avvisi richiedono un'attenzione immediata

Questa sezione descrive i passaggi sequenziali per determinare l'urgenza.

Monitorare le code personalizzate e applicare filtri rigorosi

Il seguente approccio ti consente di visualizzare sia gli elementi che richiedono la tua attenzione specifica sia il pool complessivo di incidenti ad alto rischio, fornendo visibilità immediata sugli eventi di maggiore impatto.

  1. Nella piattaforma Google SecOps, seleziona La tua scrivania > I miei casi. Questa visualizzazione mostra i casi assegnati direttamente a te o al tuo ruolo di analista.
  2. Apri la pagina principale Richieste e fai clic su Filtro richieste.
  3. Filtra i risultati con livelli di priorità Critica e Alta. Assicurati di salvare questi filtri per poterli riutilizzare facilmente.

Sfruttare l'AI e l'automazione per il triage

Per qualsiasi avviso, utilizza l'automazione agentica, che combina playbook deterministici e predefiniti con agenti AI dinamici, come l'agente di triage e indagine Gemini. Questo agente automatizza l'analisi approfondita iniziale, spesso condensando 15-20 minuti di lavoro manuale in un periodo di tempo molto più breve.

Funzionalità principali:

  • Sequenza di automazione: configura i playbook in modo che un playbook di correzione (ad esempio l'isolamento dell'host o la sospensione dell'account) venga avviato automaticamente in base all'output dell'agente di triage e indagine di Gemini e possa intervenire immediatamente sui casi importanti.
  • Risposte adattive: utilizza gli output generati dall'AI (come i punteggi di rischio o i verdetti come True Positive) come condizioni all'interno dei playbook per attivare diversi percorsi di risposta automatizzati. Ad esempio, isola automaticamente un host se il verdetto è Malicious, ma segnalalo solo per la revisione se Suspicious. Puoi utilizzare il verdetto o il punteggio di rischio per aumentare la priorità o riassegnare la richiesta. Ad esempio, riassegnare la richiesta a un livello superiore o inviare un messaggio all'assegnatario.
  • Ricostruzione dell'albero dei processi: l'agente di triage può generare una cronologia visiva dell'attività del sistema, aiutando gli analisti a comprendere immediatamente la catena di attacco, le relazioni tra processi padre-figlio e il movimento laterale.

Utilizza i playbook per una rapida gestione e un'azione coerente

Nella pagina Casi, utilizza i playbook predefiniti e personalizzati. I playbook codificano le procedure operative standard (SOP) in flussi di lavoro automatizzati, riducendo al minimo l'impegno manuale e garantendo la coerenza.

Funzionalità principali della guida pratica:

  • Arricchimento automatico: molti playbook arricchiscono automaticamente gli avvisi con l'intelligence delle minacce da fonti come VirusTotal, CrowdStrike e feed interni delle minacce, fornendo un contesto immediato sugli indicatori di compromissione (IoC) come hash, indirizzi IP e domini.
  • Punti decisionali guidati: i playbook possono essere messi in pausa e presentare agli analisti domande con risposte sì/no, domande a scelta multipla o prompt condizionali, ad esempio "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring".
  • Intervento manuale controllato: per le azioni sensibili, i playbook possono includere passaggi di approvazione manuale. In questo modo, gli analisti possono esaminare le azioni proposte (ad esempio, isolare l'host, eseguire il file in sandbox o bloccare l'indirizzo IP) prima dell'esecuzione.
  • Gestione automatizzata dei casi: i playbook possono automatizzare l'instradamento dei casi a team specializzati in base ai risultati e chiudere automaticamente gli avvisi confermati come benigni o informativi, mantenendo la coda attiva concentrata sulle minacce attuabili.

In che modo gli analisti utilizzano i playbook per questo percorso:

  • Risposta standardizzata: garantisce che tutti gli avvisi di un tipo specifico (ad esempio phishing o ransomware) vengano gestiti in base alle procedure operative standard dell'organizzazione.
  • Riduzione del rumore: filtra o risolve automaticamente gli avvisi a bassa fedeltà in base a una logica predefinita.
  • Riduzione del lavoro manuale: automatizza attività che richiedono molto tempo, come la raccolta dei dati, la correlazione dei log e l'arricchimento delle entità.
  • Automazione agentica in azione: combina la velocità analitica degli agenti AI con l'affidabilità dei playbook deterministici.
  • Passaggio agentico: i playbook possono sfruttare l'integrazione di Vertex AI per creare un flusso di lavoro curato basato su Gemini per facilitare l'indagine.

Vantaggio: semplifica il processo di classificazione iniziale, impone risposte coerenti, riduce le attività ripetitive e consente agli analisti di gestire in modo efficace minacce più complesse.

Esempi di scenari che richiedono attenzione immediata

Questa sezione contiene esempi di scenari che richiedono attenzione immediata.

Avvio della correzione automatica

Nella pagina Richieste viene visualizzato un avviso con priorità Critica per Suspicious PowerShell Execution.

Il playbook collegato mostra che l'agente di triage Gemini è stato eseguito, ha restituito un verdetto True Positive con un'alta confidenza e, di conseguenza, il playbook ha attivato automaticamente un'azione Isola host, che ora è in attesa di approvazione o è stata completata.

Ciò richiede un'analisi immediata dei risultati dell'agente e dello stato di isolamento.

Decisione manuale assistita dall'AI

Filtri la coda Richieste per Priorità: critica.

Quando apri una richiesta, scopri che un playbook è in pausa in corrispondenza di una domanda con risposta sì/no, che chiede se riassegnare la richiesta o chiuderla.

Esamini il riepilogo dell'agente di triage e indagine di Gemini, che indica Vero positivo molto probabile con una motivazione dettagliata che cita indicatori dannosi specifici.

Selezioni con sicurezza Riassegna al Livello 2.

Risoluzione dei problemi

Latenza, quota di servizio e limiti

  • Quota dell'agente di triage: l'agente di triage e indagine Gemini è soggetto a una quota, in genere circa 10 indagini all'ora per tenant (ad esempio, 5 trigger manuali, 5 trigger automatici). Gli avvisi che superano questo limite richiedono un'analisi manuale.

Correzione degli errori

Codice di errore Descrizione del problema Correggi
N/D Gli elementi urgenti previsti non sono presenti in I miei casi o nella coda delle richieste. Assicurati che la regola Alerting sia attivata per i rilevamenti pertinenti. Verifica che le richieste siano assegnate correttamente al tuo utente o ruolo e controlla che alla coda non siano stati applicati inavvertitamente filtri restrittivi.
N/D Manca il riepilogo di Gemini. Controlla lo stato Gemini Investigations nella bacheca richieste. Se la quota è stata raggiunta, vedrai un messaggio che indica che l'agente non è stato attivato.

Convalida e test

Per verificare che la procedura funzioni, controlla che:

  • Gli avvisi con gravità elevata e critica vengono visualizzati come previsto in base ai filtri.
  • I playbook vengono attivati in base ai nuovi avvisi.
  • I riepiloghi dell'agente di triage e indagine di Gemini sono presenti dove previsto.
  • Le richieste vengono riassegnate o chiuse in base alla logica del playbook e alle decisioni dell'analista.
Sintomo Risoluzione
Gli elementi urgenti previsti non sono presenti in I miei casi o nella coda delle richieste. Assicurati che la regola Alerting sia attivata per i rilevamenti pertinenti. Verifica che le richieste siano assegnate correttamente al tuo utente o ruolo e controlla che alla coda non siano stati applicati inavvertitamente filtri restrittivi.
Manca il riepilogo di Gemini. Controlla lo stato Gemini Investigations nella bacheca richieste. Se la quota è stata raggiunta, vedrai un messaggio che indica che l'agente non è stato attivato.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.