Benachrichtigungen mit dem Triage-Agent priorisieren
Der Triage- und Prüfungs-Agent (Triage and Investigation Agent, TIN) ist ein KI-gestützter Prüfungsassistent, der in Google Security Operations eingebettet ist. Er ermittelt, ob es sich bei den Benachrichtigungen um echte Bedrohungen oder Fehlalarme handelt, und liefert dann eine zusammenfassende Erklärung für seine Bewertung.
Der TIN analysiert Benachrichtigungen in Google SecOps anhand der Mandiant- Prinzipien und der Best Practices der Branche. Er bewertet eingehende Benachrichtigungen, führt einen Prüfungsplan aus und liefert eine strukturierte Analyse, die sowohl seine Ergebnisse als auch seine Schlussfolgerungen enthält.
Eine Liste der IAM-Berechtigungen, die für die Verwendung des Agenten erforderlich sind, finden Sie unter Triage- und Prüfungs-Agent (TIN).
Prüftools
Der Agent verwendet die folgenden integrierten Tools, um seine Analyse durchzuführen:
Dynamische Suchanfragen: Führt Suchanfragen in SecOps aus und verfeinert sie, um zusätzlichen Kontext für die Benachrichtigung zu erhalten.
GTI-Anreicherung: Reichert IoCs mit Daten von Google Threat Intelligence (GTI) an, einschließlich Domains, URLs und Hashes.
Befehlszeilenanalyse: Analysiert Befehlszeilen, um Aktionen in natürlicher Sprache zu erklären.
Rekonstruktion des Prozessbaums: Analysiert die Prozesse in der Benachrichtigung, um die vollständige Abfolge der zugehörigen Systemaktivitäten zu zeigen.
TIN auslösen
Sie können den TIN automatisch oder manuell auslösen. Jede Prüfung dauert in der Regel durchschnittlich 60 Sekunden und maximal 20 Minuten. Es gibt keine Prüfungs-Warteschlange. Der Agent analysiert Benachrichtigungen, die über das Limit hinaus generiert werden, nicht automatisch.
Nutzungslimits für den Testzeitraum
Alle Google SecOps Enterprise-, Enterprise Plus- und Google Unified Security-Kunden können vom 1. April 2026 bis zum 30. August 2026 einen kostenlosen Testzeitraum für den TIN nutzen.
Die Nutzung Ihrer Organisation während des Testzeitraums unterliegt den folgenden Limits:
| Kundenkategorie | Gesamtlimit pro Stunde | Aufschlüsselung des Limits |
|---|---|---|
| Unternehmen | 10 Prüfungen | Bis zu 5 automatische und 5 manuelle Prüfungen pro Stunde. Wenn automatische Prüfungen deaktiviert sind, können pro Stunde bis zu 5 manuelle Prüfungen ausgeführt werden. |
| Enterprise Plus oder Google Unified Security | 10 Prüfungen | Bis zu 5 automatische und 5 manuelle Prüfungen pro Stunde. Wenn automatische Prüfungen deaktiviert sind, können pro Stunde bis zu 10 manuelle Prüfungen ausgeführt werden. |
Nicht genutzte Kapazität für automatische Prüfungen wird nicht auf manuelle Prüfungen übertragen. Wenn Ihre Organisation das Stundenlimit erreicht, müssen Sie bis zur nächsten Stunde warten, bis das Kontingent zurückgesetzt wird.
Die meisten Prüfungen sind in etwa 60 Sekunden abgeschlossen und können maximal 20 Minuten dauern. Der TIN stellt keine Prüfungen in die Warteschlange. Sobald Sie Ihr Stundenkontingent erreicht haben, startet der Agent keine Prüfungen.
Weitere Informationen zum kostenlosen Testzeitraum, siehe die Details zum Testzeitraum für Agentic SOC.
Wenn Sie mehr Kapazität als die Limits benötigen, wenden Sie sich an Ihren Google SecOps-Kundenbetreuer, um eine Erhöhung des Kontingents zu besprechen.
Einstellungen für die automatische Prüfung
Automatische Prüfungen sind standardmäßig aktiviert, wenn Sie die erforderlichen Administratorberechtigungen haben und den Agenten aktiviert haben. Wenn Sie diese Einstellung prüfen oder ändern möchten, gehen Sie zu den Einstellungen > SIEM-Einstellungen > Gemini-Prüfungen.
Wenn diese Option aktiviert ist, verwendet der Agent die Standardeinstellungen, um alle standardmäßig unterstützten Logtypen zu prüfen. Sie können den Zeitpunkt der Prüfung und die Filterkriterien anpassen, um zu steuern, welche Benachrichtigungen geprüft werden.
Zeitpunkt der Prüfung
Sie können konfigurieren, wann die Prüfung nach dem Erstellen einer Benachrichtigung beginnen soll. Standardmäßig beginnt die Prüfung fünf Minuten nach dem Erstellen der Benachrichtigung, um alle Ereignisse zu berücksichtigen, die noch eingehen und korreliert werden müssen.
Sie können diese Verzögerung in der Liste im Einstellungsbereich auf maximal 20 Minuten ändern.
Prüfkriterien
Sie können benutzerdefinierte Kriterien definieren, um automatische Prüfungen nur für bestimmte Benachrichtigungen auszulösen. Wenn keine benutzerdefinierten Kriterien definiert sind, prüft der Agent alle Benachrichtigungen, die mit den unterstützten Logtypen übereinstimmen, die unter Standardmäßig unterstützte Logtypen aufgeführt sind.
So erstellen Sie benutzerdefinierte Einstellungen für die automatische Prüfung:
- Klicken Sie auf „Hinzufügen“.
- Wählen Sie in der Liste ein UDM-Feld aus. Unterstützte Felder sind:
detection.rule_iddetection.rule_nameudm.metadata.event_typeudm.metadata.log_typeudm.metadata.product_event_typeudm.metadata.product_nameudm.metadata.vendor_nameudm.about.entity_metadata.product_nameudm.principal.user.userid
- Wählen Sie einen Operator aus, um das Feld auszuwerten (
=oder!=). - Geben Sie den Wert für das Feld ein oder wählen Sie ihn aus. Die Werte in der Liste basieren auf Werten, die in Ihrer Umgebung beobachtet wurden.
- Verwenden Sie einen logischen Operator (
ANDoderOR), um mehrere Kriterien zu kombinieren. - Klicken Sie auf Speichern , um die Einstellungen anzuwenden.
Standardmäßig unterstützte Logtypen
Der Agent unterstützt die automatische Prüfung für Benachrichtigungen, die Ereignisse mit den folgenden metadata.log_type-Werten enthalten:
| Quelle | metadata.log_type -Werte |
|---|---|
| Amazon |
|
| Cisco |
|
| CrowdStrike |
|
| Fortinet |
|
|
|
| Microsoft |
|
| Okta |
|
| Sonstiges |
|
| SentinelOne |
|
Manuelle Prüfungen
So führen Sie eine Prüfung manuell aus:
Rufen Sie in Google SecOps die Seite Benachrichtigungen und IoCs auf.
Wählen Sie eine Benachrichtigung aus und klicken Sie auf Prüfung ausführen.
Sie können die Prüfungsergebnisse auch direkt in einem Fall ansehen. Wenn der TIN für Ihren Mandanten aktiviert ist, werden die Ergebnisse nach Abschluss einer Prüfung in den Inhalt der Fallzusammenfassung eingebunden.
Während eine Prüfung ausgeführt wird, wird der Fortschritt im Banner angezeigt. Nach Abschluss der Prüfung wird im Banner eine Zusammenfassung der Ergebnisse angezeigt. Klicken Sie im Banner auf Prüfung ansehen , um die Analyse zu prüfen.
Zu Prüfungen navigieren
Sie können von überall in Google SecOps auf abgeschlossene oder laufende Prüfungen zugreifen.
Klicken Sie in der Google SecOps-Benutzeroberfläche auf
.Klicken Sie im Navigationsbereich auf
.Klicken Sie neben der Prüfungsliste auf „keyboard_arrow_down“, um den Bereich zu maximieren.
Wählen Sie in der Liste ein Element aus, um die Prüfungsergebnisse zu öffnen.
Jeder Prüfungseintrag enthält den Namen der Benachrichtigung, die Abschlusszeit und die Zusammenfassung der Gemini-Prüfung. Wenn dieselbe Benachrichtigung mehrmals geprüft wird, wird jede Prüfung als separater Eintrag in der Prüfungsliste angezeigt.
Prüfung ansehen
Jede Prüfung wird in einer detaillierten Ansicht geöffnet, in der die Analyse von Gemini, die Schlussfolgerungen und die verwendeten unterstützenden Daten zusammengefasst sind.
Diese Ansicht besteht aus den folgenden Komponenten:
- Zusammenfassung
- Zeitachse der Prüfung
- Benachrichtigung ansehen oder Prüfung noch einmal ausführen
- Vorgeschlagene nächste Schritte
- Feedback
Zusammenfassung
Oben im Bereich bietet der Abschnitt Zusammenfassung von Gemini eine kurze Beschreibung der Benachrichtigung und der Ergebnisse der Prüfung.
Die Zusammenfassung enthält die folgenden Informationen:
- Disposition: Gibt an, ob Gemini die Benachrichtigung als echte Bedrohung oder Fehlalarm eingestuft hat.
- Konfidenzniveau: Beschreibt das Konfidenzniveau von Gemini bei der Bewertung. Diese Bewertung basiert auf der Benachrichtigung und den verfügbaren Prüfungsdaten.
- Zusammenfassungserklärung: Beschreibt die Benachrichtigung und wie Gemini zu seiner Schlussfolgerung gelangt ist.
Zeitachse der Prüfung
Die TIN-Prüfung folgt einer strukturierten, mehrstufigen Zeitachse, die darauf ausgelegt ist, Rohbenachrichtigungen in umsetzbare Informationen umzuwandeln. Diese Zwischenschritte werden hauptsächlich vom Agenten verwendet, um Kontext zu erstellen und die Analyse zu verfeinern. Sie sind aber auch in der Zeitachse der Prüfung in der Weboberfläche sichtbar, sodass Sicherheitsanalysten einen klaren Überblick über den Fortschritt der Prüfung durch den Agenten erhalten.
Erste Bewertung und Risikopriorisierung
Die Prüfung beginnt mit einer sofortigen Bewertung der Benachrichtigung, um einen grundlegenden Kontext zu erstellen. In dieser Phase analysiert der Agent automatisch Benachrichtigungsdetails und Metadaten, um gutartige Aktivitäten mit hoher Zuverlässigkeit zu identifizieren. Wenn eine Benachrichtigung als risikoarm eingestuft wird, beendet der Agent die Prüfung.
Kontextuelle Anreicherung und Beweissammlung
Der Agent führt mehrere parallele Analyseschritte aus, um ein umfassendes Bild der verdächtigen Aktivität zu erstellen. Dabei werden interne und externe Informationen genutzt:
Anreicherung mit Google Threat Intelligence (GTI): Indikatoren für Kompromittierung (Indicators of Compromise, IoCs) wie Dateihashes, IP-Adressen und Domains werden mit Google Threat Intelligence und VirusTotal verglichen, um bekannte schädliche Entitäten zu identifizieren.
Analyse des Entity Context Graph (ECG): Ruft Daten zur Häufigkeit ab, z. B. wann eine Entität zum ersten oder letzten Mal gesehen wurde, um einen tieferen Kontext zu liefern und Beziehungen zwischen Entitäten zu analysieren.
Erfassung des Netzwerkkontexts: Extrahiert zusätzlichen Kontext im Zusammenhang mit dem Netzwerk verkehr, indem gezielte Suchanfragen ausgeführt werden, um verdächtige Muster zu identifizieren.
Integration von Fallmetadaten: Ruft einen umfassenderen Kontext aus dem Fall ab, zu dem die Benachrichtigung gehört, und bezieht Metadaten wie Tags und Priorität in die Prüfung ein.
Erstellung des Prozessbaums: Erstellt die Ausführungshierarchie der System prozesse, damit Analysten genau nachvollziehen können, wie eine verdächtige Aktion initiiert wurde und welche nachfolgenden Aktionen ausgeführt wurden.
Adaptive Prüfung
Basierend auf den Ergebnissen der vorherigen Prüfungsschritte bestimmt der Agent dynamisch die nächsten Schritte:
Ergebnisse bewerten: Informationen aus den vorherigen Schritten werden bewertet, um potenzielle Lücken oder neue Möglichkeiten für weitere Untersuchungen zu identifizieren.
Detaillierte Recherche durchführen: Es werden iterativ neue Pläne erstellt und spezielle Tools ausgeführt, z. B. GTI-Anreicherung, ECG-Analyse, erweiterte Befehlszeilenanalyse oder gezielte Suchanfragen, um verborgene Bedrohungen aufzudecken.
Benachrichtigung ansehen oder Prüfung noch einmal ausführen
Im Prüfungsbereich haben Sie folgende Möglichkeiten:
- Benachrichtigung ansehen: Öffnet die Benachrichtigungsdetails in der Google SecOps SIEM-Ansicht.
- Prüfung noch einmal ausführen: Führt die Analyse für dieselbe Benachrichtigung noch einmal aus.
Vorgeschlagene nächste Schritte
Für alle Prüfungen schlägt Gemini weitere Prüfungsschritte vor. Diese Schritte empfehlen zusätzliche Aktionen oder Datenquellen, die Analysten untersuchen können.
Wenn der Agent aktualisiert wird, können diese Vorschläge um Anleitungen zur Behebung erweitert werden.
Feedback
Jede Prüfung enthält die Symbole „thumb_up Mag ich“ und „thumb_down Mag ich nicht“, um Feedback zu erhalten. Konzentrieren Sie sich bei Ihrem Feedback auf die Bewertung des Schweregrads, da dies dazu beiträgt, die Bedrohungsklassifizierung von Gemini zu verfeinern.
TIN-Messwerte in Dashboards
Google SecOps integriert die Betriebsdaten des TIN in Dashboards. So können Sie das Prüfungsvolumen, die Leistung des Agenten und das Nutzerfeedback im Blick behalten. Mit diesen Messwerten können Sie die Nutzung von Sicherheitstokens für Abrechnungszwecke nachvollziehen und den Wert des Agenten bewerten.
Weitere Informationen finden Sie unter Leistung des Triage- und Prüfungs-Agenten (TIN) mit Dashboards überwachen.
Cloud-Audit-Logging
So aktivieren Sie das Audit-Logging für den TIN:
- Rufen Sie in der Google Google Cloud console IAM > Audit-Logging auf.
- Suchen Sie nach Chronicle API.
- Aktivieren Sie auf dem Tab Berechtigungstypen des Bereichs Chronicle API das Kästchen Lesen durch Administrator.
Audit-Logs ansehen
So sehen Sie Audit-Logs ein:
Rufen Sie in der Google Google Cloud console Monitoring > Log-Explorer auf.
Suchen Sie nach den Logs, die Sie ansehen möchten.
Wenn Sie alle Google SecOps-Audit-Logs ansehen möchten, suchen Sie nach
protoPayload.serviceName: "chronicle.googleapis.com".Wenn Sie nur TIN-Logs sehen möchten, suchen Sie nach den zugehörigen Methoden.
- Wenn Sie nach bestimmten Methoden suchen möchten, verwenden Sie
protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation". - Wenn Sie nach allen TIN-Methoden suchen möchten, verwenden Sie
protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService". Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten.
- Wenn Sie nach bestimmten Methoden suchen möchten, verwenden Sie