Utiliser l'agent de tri pour examiner les alertes
L'agent de tri est un assistant d'investigation optimisé par l'IA intégré à Google Security Operations. Il détermine si les alertes sont de vrais ou de faux positifs, puis fournit une explication résumée de son évaluation.
L'agent de triage analyse les alertes dans Google SecOps en appliquant les principes Mandiant et les bonnes pratiques du secteur. Il évalue les alertes entrantes, exécute un plan d'investigation et fournit une analyse structurée qui inclut ses conclusions et son raisonnement.
Pour obtenir la liste des autorisations IAM requises pour utiliser l'agent de triage, consultez Agent de triage.
Outils d'investigation
L'agent utilise les outils intégrés suivants pour effectuer son analyse :
Requêtes de recherche dynamiques : exécute et affine des recherches dans SecOps pour collecter du contexte supplémentaire pour l'alerte.
Enrichissement GTI : enrichit les IoC avec les données Google Threat Intelligence (GTI), y compris les domaines, les URL et les hachages.
Analyse de ligne de commande : analyse les lignes de commande pour expliquer les actions en langage naturel.
Reconstruction de l'arborescence des processus : analyse les processus de l'alerte pour afficher la séquence complète de l'activité système associée.
Déclencher l'agent de triage
Vous pouvez déclencher l'agent de triage automatiquement ou manuellement. Chaque locataire peut exécuter jusqu'à 10 investigations par heure (5 manuelles et 5 automatiques). Chaque investigation se termine généralement en trois à cinq minutes et s'exécute pendant 20 minutes maximum. Il n'y a pas de file d'attente pour les enquêtes. L'agent de tri n'analyse pas automatiquement les alertes générées au-delà de la limite.
Investigations automatiques
L'agent examine automatiquement les alertes contenant des événements avec les valeurs metadata.log_type appropriées.
Le tableau suivant répertorie les valeurs metadata.log_type acceptées et leurs sources :
| Source | metadata.log_type valeurs |
|---|---|
| Amazon |
|
| Cisco |
|
| CrowdStrike |
|
| Fortinet |
|
|
|
| Microsoft |
|
| Okta |
|
| Autre |
|
Enquêtes manuelles
Pour exécuter manuellement une investigation :
Dans Google SecOps, accédez à la page Alertes et IoC.
Sélectionnez une alerte, puis cliquez sur Exécuter l'investigation.
Vous pouvez également accéder à une alerte dans une demande et lancer une investigation. Une fois le processus terminé, la bannière devient Afficher l'enquête. Vous pouvez cliquer sur cette bannière pour afficher les détails d'une investigation.
Accéder aux investigations
Vous pouvez accéder aux investigations passées ou en cours depuis n'importe quel endroit de Google SecOps.
Cliquez sur
dans l'interface Google SecOps.Cliquez sur
dans le panneau de navigation.Cliquez sur keyboard_arrow_down à côté de la liste des investigations pour développer le panneau.
Dans la liste, sélectionnez un élément pour ouvrir les résultats de l'investigation.
Chaque entrée d'investigation inclut le nom de l'alerte, l'heure d'exécution et le résumé de l'investigation Gemini. Si la même alerte fait l'objet de plusieurs investigations, chacune d'elles apparaît sous la forme d'une entrée distincte dans la liste des investigations.
Examiner une investigation
Chaque investigation s'ouvre dans une vue détaillée qui résume l'analyse de Gemini, son raisonnement et les données justificatives qu'il a utilisées.
Cette vue comporte les composants suivants :
- Résumé
- Chronologie de l'investigation
- Afficher une alerte ou réexécuter une investigation
- Étapes suivantes suggérées
- Votre avis
Résumé
En haut du panneau, la section Résumé de Gemini fournit une brève description de l'alerte et des résultats de l'enquête.
Le résumé fournit les informations suivantes :
- État : indique si Gemini a déterminé que l'alerte était un vrai ou un faux positif.
- Niveau de confiance : décrit le niveau de confiance de Gemini dans son évaluation. Cette évaluation est basée sur l'alerte et les données d'investigation disponibles.
- Explication récapitulative : décrit l'alerte et la façon dont Gemini est parvenu à sa conclusion.
Chronologie de l'enquête
Après le récapitulatif, la chronologie de l'investigation affiche des fiches, chacune représentant une étape d'analyse effectuée par l'agent.
Chaque fiche comprend les éléments suivants :
- Titre décrivant l'activité d'analyse
- Corps de texte résumant les résultats de recherche et l'analyse de Gemini
- Lien vers la source des données utilisées par Gemini pour l'étape (par exemple, les résultats GTI ou les requêtes de recherche)
Afficher une alerte ou réexécuter une investigation
Le panneau "Examiner" vous permet d'effectuer les actions suivantes :
- Afficher l'alerte : ouvre les détails de l'alerte dans la vue Google SecOps SIEM.
- Réexécuter l'investigation : réexécute l'analyse pour la même alerte.
Étapes suivantes suggérées
Pour toutes les investigations, Gemini fournit des étapes d'investigation supplémentaires. Ces étapes recommandent aux analystes d'explorer des actions ou des sources de données supplémentaires.
À mesure que l'agent est mis à jour, ces suggestions peuvent s'étendre pour inclure des conseils de correction.
Commentaires
Chaque investigation inclut les icônes thumb_up J'aime et thumb_down Je n'aime pas pour recueillir des commentaires. Concentrez vos commentaires sur le verdict de gravité, car cela nous aide à affiner la classification des menaces de Gemini.
Cloud Audit Logging
Pour activer la journalisation d'audit pour l'agent de triage :
- Dans la console Google Google Cloud , accédez à IAM > Journalisation d'audit.
- Recherchez API Chronicle.
- Dans l'onglet Types d'autorisations du panneau API Chronicle, cochez la case Lecture administrateur.
Consulter les journaux d'audit
Pour afficher les journaux d'audit :
Dans la console Google Google Cloud , accédez à Surveillance > Explorateur de journaux.
Recherchez les journaux que vous souhaitez afficher.
Pour afficher tous les journaux d'audit Google SecOps, recherchez
protoPayload.serviceName: "chronicle.googleapis.com".Pour n'afficher que les journaux de l'agent de triage, recherchez les méthodes associées.
Par exemple,
protoPayload.method: "google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation"etprotoPayload.method: "google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation".
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.