Warnungen mit dem Triage-Agenten priorisieren

Unterstützt in:

Google SecOps

Der KI-Agent für Priorisierung und Untersuchung (Triage and Investigation Agent, TIN) ist ein KI-basierter Untersuchungsassistent, der in Google Security Operations eingebettet ist. Gemini stellt fest, ob es sich bei den Benachrichtigungen um echte Bedrohungen oder Fehlalarme handelt, und liefert dann eine zusammenfassende Erklärung für seine Bewertung.

TIN analysiert Benachrichtigungen in Google SecOps anhand von Mandiant-Grundsätzen und Branchen-Best Practices. Es wertet eingehende Benachrichtigungen aus, führt einen Untersuchungsplan aus und liefert eine strukturierte Analyse, die sowohl die Ergebnisse als auch die Begründung enthält.

Hinweis :TIN unterstützt Google SecOps-Konfigurationen mit einem einzelnen Mandanten und MSSP-Kunden (Managed Security Service Provider) mit einem einzelnen Google SecOps SOAR-Mandanten, der mit mehreren Google SecOps SIEM-Mandanten verbunden ist. Konfigurationen mit mehreren Mandanten, die dieser Struktur nicht entsprechen, werden nicht unterstützt.

Eine Liste der IAM-Berechtigungen, die für die Verwendung des Agents erforderlich sind, finden Sie unter Triage and Investigation Agent (TIN).

Prüftools

Der Agent verwendet die folgenden integrierten Tools, um seine Analyse durchzuführen:

• Dynamische Suchanfragen: Führt Suchanfragen in SecOps aus und verfeinert sie, um zusätzlichen Kontext für die Benachrichtigung zu erfassen.

• GTI-Anreicherung: Reichert IoCs mit Google Threat Intelligence-Daten (GTI) an, einschließlich Domains, URLs und Hashes.

• Befehlszeilenanalyse: Analysiert Befehlszeilen, um Aktionen in natürlicher Sprache zu erklären.

• Prozessbaum rekonstruieren: Analysiert die Prozesse im Alert, um die vollständige Sequenz der zugehörigen Systemaktivitäten zu zeigen.

Trigger-TIN

Sie können die TIN-Erstellung automatisch oder manuell auslösen. Jede Untersuchung dauert in der Regel durchschnittlich 60 Sekunden und maximal 20 Minuten. Es gibt keine Warteschlange für Prüfungen. Der Agent analysiert nicht automatisch Benachrichtigungen, die über das Limit hinaus generiert werden.

Hinweis :TIN wird nur für Daten ausgeführt, die mit Google SecOps SIEM aufgenommen wurden. Es werden keine Benachrichtigungen vom Google SecOps SOAR-Connector verarbeitet.

Einstellungen für die automatische Prüfung

Automatische Untersuchungen sind standardmäßig aktiviert, wenn Sie die erforderlichen Administratorberechtigungen haben und den Agenten aktiviert haben. Wenn Sie diese Einstellung überprüfen oder ändern möchten, rufen Sie die Einstellungen > SIEM-Einstellungen > Gemini Investigations auf.

Wenn diese Option aktiviert ist, verwendet der Agent Standardeinstellungen, um alle standardmäßig unterstützten Logtypen zu untersuchen. Sie können den Zeitpunkt der Untersuchung und die Filterkriterien anpassen, um zu steuern, welche Benachrichtigungen untersucht werden.

Zeitpunkt der Untersuchung

Sie können konfigurieren, wann die Untersuchung nach dem Erstellen einer Benachrichtigung beginnen soll. Standardmäßig beginnt die Untersuchung fünf Minuten nach dem Generieren der Benachrichtigung, um allen Ereignissen Rechnung zu tragen, die noch eintreffen und eine Korrelation erfordern.

Sie können diese Verzögerung in der Liste im Einstellungsfeld auf maximal 20 Minuten ändern.

Prüfkriterien

Sie können benutzerdefinierte Kriterien definieren, um automatische Untersuchungen nur für bestimmte Benachrichtigungen auszulösen. Wenn keine benutzerdefinierten Kriterien definiert sind, untersucht der Agent alle Benachrichtigungen, die den in Standardmäßig unterstützte Log-Typen aufgeführten unterstützten Log-Typen entsprechen.

So erstellen Sie benutzerdefinierte Einstellungen für die automatische Untersuchung:

1. Klicken Sie auf Add (Hinzufügen).
2. Wählen Sie ein UDM-Feld aus der Liste aus. Unterstützte Felder:
   • detection.rule_id
   • detection.rule_name
   • udm.metadata.event_type
   • udm.metadata.log_type
   • udm.metadata.product_event_type
   • udm.metadata.product_name
   • udm.metadata.vendor_name
   • udm.about.entity_metadata.product_name
   • udm.principal.user.userid
3. Wählen Sie einen Operator aus, um das Feld auszuwerten (= oder !=).
4. Geben Sie den Wert für das Feld ein oder wählen Sie ihn aus. Die Werte in der Liste basieren auf Werten, die in Ihrer Umgebung beobachtet wurden.
5. Verwenden Sie einen logischen Operator (AND oder OR), um mehrere Kriterien zu kombinieren.
6. Klicken Sie auf Speichern, um die Einstellungen zu übernehmen.

Standardmäßig unterstützte Logtypen

Der Agent unterstützt die automatische Untersuchung von Benachrichtigungen, die Ereignisse mit den folgenden metadata.log_type-Werten enthalten:

Quelle	metadata.log_type Werte
Amazon	AWS_CLOUDTRAIL, AWS_IAM, AWS_NETWORK_FIREWALL, AWS_VPC_FLOW
Cisco	CISCO_ASA_FIREWALL, CISCO_FIREPOWER_FIREWALL, CISCO_ISE, CISCO_MERAKI
CrowdStrike	CROWDSTRIKE_IOC, CS_ALERTS, CS_CEF_EDR, CS_DETECTS, CS_EDR, CS_IDP
Fortinet	FORTINET_FIREWALL, FORTINET_FORTIEDR, FORTINET_WEBPROXY
Google	GCP_CLOUDAUDIT, GCP_CLOUDIDENTITY_DEVICES, GCP_CLOUDIDENTITY_DEVICEUSERS, GCP_DNS, GCP_NGFW_ENTERPRISE, GCP_VPC_FLOW, WORKSPACE_ACTIVITY, WORKSPACE_ALERTS, WORKSPACE_USERS
Microsoft	ADFS, AZURE_AD, AZURE_AD_AUDIT, AZURE_AD_CONTEXT, AZURE_AD_SIGNIN, AZURE_FIREWALL, AZURE_NSG_FLOW, GITHUB, MICROSOFT_DEFENDER_ATP, MICROSOFT_DEFENDER_ENDPOINT, MICROSOFT_DEFENDER_ENDPOINT_IOS, MICROSOFT_DEFENDER_IDENTITY, MICROSOFT_GRAPH_ALERT, OFFICE_365, WINDOWS_AD, WINDOWS_DEFENDER_ATP, WINDOWS_DEFENDER_AV, WINDOWS_DHCP, WINDOWS_DNS, WINDOWS_FIREWALL, WINDOWS_SYSMON, WINEVTLOG
Okta	OKTA, OKTA_ACCESS_GATEWAY, OKTA_USER_CONTEXT
Sonstiges	BARRACUDA_FIREWALL, BOX, BRO_DNS, CB_APP_CONTROL, CB_DEFENSE, CB_EDR, CHECKPOINT_EDR, CHECKPOINT_FIREWALL, CLOUDFLARE_WAF, CYBERARK_EPM, CYBEREASON_EDR, DUO_AUTH, DUO_USER_CONTEXT, ELASTIC_EDR, F5_AFM, F5_ASM, F5_BIGIP_LTM, FIREEYE_HX, FIREEYE_NX, FORCEPOINT_FIREWALL, INFOBLOX_DNS, JUNIPER_FIREWALL, KEYCLOAK, LIMACHARLIE_EDR, MALWAREBYTES_EDR, MCAFEE_EDR, NETFILTER_IPTABLES, ONELOGIN_SSO, ONE_IDENTITY_IDENTITY_MANAGER, OPENSSH, PAN_FIREWALL, PING, SALESFORCE, SEP, SOPHOS_EDR, SOPHOS_FIREWALL, SQUID_WEBPROXY, SURICATA_EVE, SURICATA_IDS, SYMANTEC_EDR, TANIUM_EDR, TANIUM_THREAT_RESPONSE, TRENDMICRO_EDR, UMBRELLA_DNS, UMBRELLA_FIREWALL, UMBRELLA_WEBPROXY, ZEEK, ZSCALER_FIREWALL, ZSCALER_WEBPROXY.
SentinelOne	SENTINELONE_ACTIVITY, SENTINELONE_ALERT, SENTINELONE_CF, SENTINEL_DV, SENTINEL_EDR

Manuelle Untersuchungen

So führen Sie eine Untersuchung manuell durch:

1. Rufen Sie in Google SecOps die Seite Alerts and IOCs auf.

2. Wählen Sie eine Benachrichtigung aus und klicken Sie auf Untersuchung ausführen.

   Sie können die Untersuchungsergebnisse auch direkt in einem Fall aufrufen. Wenn die TIN für Ihren Mandanten aktiviert ist, werden die Ergebnisse nach Abschluss einer Untersuchung in die Inhalte der Fallzusammenfassung integriert.

3. Während einer Untersuchung wird im Banner der Fortschritt angezeigt. Nach Abschluss wird im Banner eine Zusammenfassung des Ergebnisses angezeigt. Klicken Sie im Banner auf Untersuchung ansehen, um die Analyse aufzurufen.

Hinweis :Die TIN-Integration in der Zusammenfassung von Supportanfragen ist für Kunden mit Enterprise- oder Enterprise+-Lizenzen verfügbar. Die TIN ist nicht FedRAMP-konform.

Zu Prüfungen navigieren

Sie können von überall in Google SecOps auf frühere oder laufende Untersuchungen zugreifen.

1. Klicken Sie in der Google SecOps-Benutzeroberfläche auf .

2. Klicken Sie im Navigationsbereich auf .

3. Klicken Sie neben der Liste der Untersuchungen auf keyboard_arrow_down, um den Bereich zu maximieren.

4. Wählen Sie in der Liste ein Element aus, um die Untersuchungsergebnisse zu öffnen.

Jeder Prüfeintrag enthält den Namen der Benachrichtigung, die Abschlusszeit und die Zusammenfassung der Gemini-Prüfung. Wenn derselbe Hinweis mehrmals untersucht wird, wird jede Untersuchung als separater Eintrag in der Untersuchungsliste angezeigt.

Prüfung ansehen

Jede Untersuchung wird in einer Detailansicht geöffnet, in der die Analyse von Gemini, die Begründung und die verwendeten unterstützenden Daten zusammengefasst werden.

Diese Ansicht hat die folgenden Komponenten:

• Zusammenfassung
• Zeitachse der Untersuchung
• Benachrichtigung ansehen oder Prüfung noch einmal ausführen
• Vorgeschlagene nächste Schritte
• Feedback

Zusammenfassung

Oben im Bereich finden Sie im Abschnitt Zusammenfassung von Gemini eine kurze Beschreibung der Benachrichtigung und der Ergebnisse der Untersuchung.

Die Zusammenfassung enthält die folgenden Informationen:

• Disposition: Gibt an, ob Gemini die Benachrichtigung als echtes oder falsch positives Ergebnis eingestuft hat.
• Konfidenzlevel: Beschreibt, wie sicher sich Gemini bei der Bewertung ist. Diese Bewertung basiert auf der Benachrichtigung und den verfügbaren Untersuchungsdaten.
• Zusammenfassung: Beschreibt die Benachrichtigung und wie Gemini zu seiner Schlussfolgerung gelangt ist.

Zeitachse der Prüfung

Die TIN-Untersuchung folgt einem strukturierten, mehrstufigen Zeitplan, der darauf ausgelegt ist, Rohbenachrichtigungen in umsetzbare Informationen umzuwandeln. Diese Zwischenschritte werden zwar hauptsächlich vom Agenten verwendet, um Kontext zu schaffen und seine Analyse zu verfeinern, sie sind aber auch in der Untersuchungszeitachse in der Weboberfläche sichtbar. So erhalten Sicherheitsanalysten einen klaren Überblick über den Fortschritt der Untersuchung des Agenten.

Erste Bewertung und Risikopriorisierung

Die Untersuchung beginnt mit einer sofortigen Bewertung der Benachrichtigung, um einen grundlegenden Kontext zu schaffen. In dieser Phase analysiert der Agent automatisch die Details und Metadaten von Benachrichtigungen, um Aktivitäten zu identifizieren, die mit hoher Wahrscheinlichkeit harmlos sind. Wenn eine Benachrichtigung als geringes Risiko eingestuft wird, schließt der Agent die Untersuchung ab.

Kontextbezogene Anreicherung und Sammlung von Beweismitteln

Der Agent führt mehrere parallele Analyseschritte aus, um ein umfassendes Bild der verdächtigen Aktivität zu erstellen. Dabei werden interne und externe Informationen genutzt:

• Google Threat Intelligence (GTI) Enrichment: Identifiziert und bewertet Kompromittierungsindikatoren (Indicators of Compromise, IoCs) wie Datei-Hashes, IP-Adressen und Domains anhand von Google Threat Intelligence und VirusTotal, um bekannte schädliche Entitäten zu identifizieren.

• Analyse des Entity Context Graph (ECG): Ruft Daten zur Häufigkeit ab, z. B. wann eine Entität zum ersten oder letzten Mal gesehen wurde, um einen tieferen Kontext zu liefern und Beziehungen zwischen Entitäten zu analysieren.

• Erfassung des Netzwerkkontexts: Zusätzlicher Kontext zum Netzwerkverkehr wird durch gezielte Suchvorgänge extrahiert, um verdächtige Muster zu erkennen.

• Integration von Fallmetadaten: Ruft einen umfassenderen Kontext aus dem Fall ab, zu dem die Benachrichtigung gehört, und bezieht Metadaten wie Tags und Priorität in die Untersuchung ein.

• Erstellung des Prozessbaums: Erstellt die Ausführungshierarchie von Systemprozessen, damit Analysten genau nachvollziehen können, wie eine verdächtige Aktion initiiert wurde und welche nachfolgenden Aktionen ausgeführt wurden.

Adaptive Untersuchung

Basierend auf den Ergebnissen der vorherigen Untersuchungsschritte bestimmt der Agent dynamisch die nächsten Schritte:

• Ergebnisse auswerten: Informationen aus vorherigen Schritten werden analysiert, um potenzielle Lücken oder neue Untersuchungsansätze zu ermitteln.

• Führt detaillierte Recherchen durch: Generiert iterativ neue Pläne und führt spezielle Tools wie GTI-Anreicherung, ECG-Analyse, erweiterte Befehlszeilenanalyse oder gezielte Suchen aus, um verborgene Bedrohungen aufzudecken.

Benachrichtigung ansehen oder Prüfung noch einmal ausführen

Im Untersuchungsbereich haben Sie folgende Möglichkeiten:

• Benachrichtigung ansehen: Öffnet die Benachrichtigungsdetails in der Google SecOps SIEM-Ansicht.
• Prüfung noch einmal ausführen: Die Analyse für dieselbe Benachrichtigung wird noch einmal ausgeführt.

Vorgeschlagene nächste Schritte

Für alle Untersuchungen schlägt Gemini weitere Untersuchungsschritte vor. In diesen Schritten werden zusätzliche Aktionen oder Datenquellen vorgeschlagen, die Analysten untersuchen können.

Wenn der Agent aktualisiert wird, können diese Vorschläge erweitert werden, um Anleitungen zur Fehlerbehebung zu enthalten.

Feedback

Jede Untersuchung enthält die Symbole thumb_up Mag ich und thumb_down Mag ich nicht, um Feedback zu sammeln. Konzentrieren Sie sich bei Ihrem Feedback auf das Schweregradurteil, da dies dazu beiträgt, die Bedrohungsklassifizierung von Gemini zu optimieren.

Messwerte für die Steuernummer in Dashboards

Google SecOps integriert die Betriebsdaten der TIN in Dashboards. So können Sie das Untersuchungsvolumen, die Leistung von Kundenservicemitarbeitern und das Nutzerfeedback im Blick behalten. Mit diesen Messwerten können Sie den Verbrauch von Sicherheitstokens für Abrechnungszwecke nachvollziehen und den Wert des Agents bewerten.

Weitere Informationen finden Sie unter Leistung des Triage and Investigation Agent (TIN) mit Dashboards überwachen.

Cloud-Audit-Logging

So aktivieren Sie das Audit-Logging für die Steuernummer:

1. Rufen Sie in der Google Google Cloud Console IAM > Audit-Logging auf.
2. Suchen Sie nach Chronicle API.
3. Wählen Sie im Bereich Chronicle API auf dem Tab Berechtigungstypen das Kästchen Lesen durch Administrator aus.

Audit-Logs ansehen

So rufen Sie Audit-Logs auf:

1. Rufen Sie in der Google Google Cloud Console Monitoring > Log-Explorer auf.

2. Suchen Sie nach den Logs, die Sie aufrufen möchten.

   • Wenn Sie alle Google SecOps-Audit-Logs aufrufen möchten, suchen Sie nach protoPayload.serviceName: "chronicle.googleapis.com".

   • Wenn Sie nur TIN-Logs sehen möchten, suchen Sie nach den entsprechenden Methoden.

     • Wenn Sie nach bestimmten Methoden suchen möchten, verwenden Sie protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation".
     • Wenn Sie nach allen TIN-Methoden suchen möchten, verwenden Sie protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService". Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten