Clasifica alertas con el agente de clasificación

Compatible con:

Google SecOps

El agente de clasificación e investigación (TIN) es un asistente de investigación potenciado por IA incorporado en Google Security Operations. Determina si las alertas son verdaderos o falsos positivos y, luego, proporciona una explicación resumida de su evaluación.

TIN analiza las alertas en Google SecOps con los principios de Mandiant y las prácticas recomendadas de la industria. Evalúa las alertas entrantes, ejecuta un plan de investigación y proporciona un análisis estructurado que incluye tanto sus hallazgos como su razonamiento.

Nota: TIN admite configuraciones de Google SecOps de usuario único y clientes de proveedores de servicios de seguridad administrados (MSSP) con un solo usuario de Google SecOps SOAR conectado a varios usuarios de Google SecOps SIEM. No se admiten las configuraciones de varios usuarios que no sigan esta estructura.

Para obtener una lista de los permisos de IAM necesarios para usar el agente, consulta Agente de clasificación y de investigación (TIN).

Herramientas de investigación

El agente usa las siguientes herramientas integradas para completar su análisis:

• Consultas de búsqueda dinámicas: Ejecuta y define mejor las búsquedas en SecOps para recopilar contexto adicional para la alerta.

• Enriquecimiento de GTI: Enriquece los IoC con datos de Google Threat Intelligence (GTI), incluidos dominios, URLs y hashes.

• Análisis de línea de comandos: Analiza las líneas de comandos para explicar las acciones en lenguaje natural.

• Reconstrucción del árbol de procesos: Analiza los procesos de la alerta para mostrar la secuencia completa de la actividad del sistema relacionada.

Activar TIN

Puedes activar la TIN de forma automática o manual. Cada investigación suele completarse en un promedio de 60 segundos y se ejecuta durante un máximo de 20 minutos. No hay ninguna fila de investigación. El agente no analiza automáticamente las alertas generadas más allá del límite.

Nota: TIN solo se ejecuta en los datos transferidos con Google SecOps SIEM y no procesa alertas del conector de Google SecOps SOAR.

Configuración de la investigación automática

Las investigaciones automáticas están habilitadas de forma predeterminada si tienes los permisos de administrador necesarios y estás habilitado en el agente. Para verificar o modificar este parámetro de configuración, navega a Configuración > Investigación > Investigaciones de Gemini.

Cuando está habilitado, el agente usa la configuración predeterminada para investigar todos los tipos de registros admitidos de forma predeterminada. Puedes personalizar el tiempo de investigación y los criterios de filtro para controlar qué alertas se investigan.

Cronograma de la investigación

Puedes configurar cuándo debe comenzar la investigación después de que se genere una alerta. De forma predeterminada, la investigación comienza cinco minutos después de que se genera la alerta para tener en cuenta los eventos que aún están llegando y requieren correlación.

Puedes cambiar este retraso a un máximo de 20 minutos desde la lista en el panel de configuración.

Criterios de investigación

Puedes definir criterios personalizados para activar investigaciones automáticas solo para alertas específicas. Si no se definen criterios personalizados, el agente investiga todas las alertas que coinciden con los tipos de registros admitidos que se indican en Tipos de registros admitidos de forma predeterminada.

Para crear parámetros de configuración de investigación automática personalizados, sigue estos pasos:

1. Haz clic en Agregar.
2. Selecciona un campo de UDM de la lista. Entre los campos admitidos, se incluyen los siguientes:
   • detection.rule_id
   • detection.rule_name
   • udm.metadata.event_type
   • udm.metadata.log_type
   • udm.metadata.product_event_type
   • udm.metadata.product_name
   • udm.metadata.vendor_name
   • udm.about.entity_metadata.product_name
   • udm.principal.user.userid
3. Selecciona un operador para evaluar el campo (= o !=).
4. Ingresa o selecciona el valor para el campo. Los valores de la lista se basan en los valores observados en tu entorno.
5. Usa un operador lógico (AND o OR) para combinar varios criterios.
6. Haz clic en Guardar para aplicar la configuración.

Tipos de registros admitidos de forma predeterminada

El agente admite la investigación automática de alertas que contienen eventos con los siguientes valores de metadata.log_type:

Fuente	Valores de metadata.log_type
Amazon	AWS_CLOUDTRAIL, AWS_IAM, AWS_NETWORK_FIREWALL, AWS_VPC_FLOW
Cisco	CISCO_ASA_FIREWALL, CISCO_FIREPOWER_FIREWALL, CISCO_ISE, CISCO_MERAKI
CrowdStrike	CROWDSTRIKE_IOC, CS_ALERTS, CS_CEF_EDR, CS_DETECTS, CS_EDR, CS_IDP
Fortinet	FORTINET_FIREWALL, FORTINET_FORTIEDR, FORTINET_WEBPROXY
Google	GCP_CLOUDAUDIT, GCP_CLOUDIDENTITY_DEVICES, GCP_CLOUDIDENTITY_DEVICEUSERS, GCP_DNS, GCP_NGFW_ENTERPRISE, GCP_VPC_FLOW, WORKSPACE_ACTIVITY, WORKSPACE_ALERTS, WORKSPACE_USERS
Microsoft	ADFS, AZURE_AD, AZURE_AD_AUDIT, AZURE_AD_CONTEXT, AZURE_AD_SIGNIN, AZURE_FIREWALL, AZURE_NSG_FLOW, GITHUB, MICROSOFT_DEFENDER_ATP, MICROSOFT_DEFENDER_ENDPOINT, MICROSOFT_DEFENDER_ENDPOINT_IOS, MICROSOFT_DEFENDER_IDENTITY, MICROSOFT_GRAPH_ALERT, OFFICE_365, WINDOWS_AD, WINDOWS_DEFENDER_ATP, WINDOWS_DEFENDER_AV, WINDOWS_DHCP, WINDOWS_DNS, WINDOWS_FIREWALL, WINDOWS_SYSMON, WINEVTLOG
Okta	OKTA, OKTA_ACCESS_GATEWAY, OKTA_USER_CONTEXT
Otro	BARRACUDA_FIREWALL, BOX, BRO_DNS, CB_APP_CONTROL, CB_DEFENSE, CB_EDR, CHECKPOINT_EDR, CHECKPOINT_FIREWALL, CLOUDFLARE_WAF, CYBERARK_EPM, CYBEREASON_EDR, DUO_AUTH, DUO_USER_CONTEXT, ELASTIC_EDR, F5_AFM, F5_ASM, F5_BIGIP_LTM, FIREEYE_HX, FIREEYE_NX, FORCEPOINT_FIREWALL, INFOBLOX_DNS, JUNIPER_FIREWALL, KEYCLOAK, LIMACHARLIE_EDR, MALWAREBYTES_EDR, MCAFEE_EDR, NETFILTER_IPTABLES, ONELOGIN_SSO, ONE_IDENTITY_IDENTITY_MANAGER, OPENSSH, PAN_FIREWALL, PING, SALESFORCE, SEP, SOPHOS_EDR, SOPHOS_FIREWALL, SQUID_WEBPROXY, SURICATA_EVE, SURICATA_IDS, SYMANTEC_EDR, TANIUM_EDR, TANIUM_THREAT_RESPONSE, TRENDMICRO_EDR, UMBRELLA_DNS, UMBRELLA_FIREWALL, UMBRELLA_WEBPROXY, ZEEK, ZSCALER_FIREWALL, ZSCALER_WEBPROXY.
SentinelOne	SENTINELONE_ACTIVITY, SENTINELONE_ALERT, SENTINELONE_CF, SENTINEL_DV, SENTINEL_EDR

Investigaciones manuales

Para ejecutar una investigación de forma manual, sigue estos pasos:

1. En Google SecOps, ve a la página Alertas e IOC.

2. Selecciona una alerta y haz clic en Ejecutar investigación.

   También puedes ver los resultados de la investigación directamente en un caso. Si la TIN está habilitada para tu usuario, los resultados se integran en el contenido del resumen del caso una vez que se completa la investigación.

3. Mientras se ejecuta una investigación, el banner indica el progreso. Una vez que se completa, el banner muestra un resumen del veredicto. Haz clic en Ver investigación en el banner para revisar el análisis.

Nota: La integración de TIN en el Resumen del caso está disponible para los clientes con niveles de licencia Enterprise o Enterprise+. TIN no cumple con FedRAMP.

Navega a las investigaciones

Puedes acceder a las investigaciones anteriores o en curso desde cualquier lugar de Google SecOps.

1. Haz clic en en la interfaz de Google SecOps.

2. Haz clic en en el panel de navegación.

3. Haz clic en keyboard_arrow_down junto a la lista de investigaciones para expandir el panel.

4. En la lista, selecciona un elemento para abrir los resultados de la investigación.

Cada entrada de investigación incluye el nombre de la alerta, la hora de finalización y el resumen de la investigación de Gemini. Si la misma alerta se investiga varias veces, cada investigación aparece como una entrada independiente en la lista de investigaciones.

Revisa una investigación

Cada investigación se abre en una vista detallada que resume el análisis de Gemini, su razonamiento y los datos de respaldo que usó.

Esta vista tiene los siguientes componentes:

• Resumen
• Cronograma de investigación
• Cómo ver una alerta o volver a ejecutar una investigación
• Próximos pasos sugeridos
• Comentarios

Resumen

En la parte superior del panel, la sección Resumen de Gemini proporciona una breve descripción de la alerta y los hallazgos de la investigación.

En el resumen, se proporciona la siguiente información:

• Disposición: Indica si Gemini determinó que la alerta es un falso positivo o un verdadero positivo.
• Nivel de confianza: Describe la confianza de Gemini en su evaluación. Esta evaluación se basa en la alerta y los datos de investigación disponibles.
• Explicación resumida: Describe la alerta y cómo Gemini llegó a su conclusión.

Cronograma de investigación

La investigación de TIN sigue un cronograma estructurado de varias etapas diseñado para transformar las alertas sin procesar en inteligencia práctica. Si bien el agente usa principalmente estos pasos intermedios para crear contexto y definir mejor su análisis, también se pueden ver en el cronograma de investigación de la interfaz web, lo que proporciona a los analistas de seguridad una visibilidad clara del progreso de la investigación del agente.

Evaluación inicial y priorización de riesgos

La investigación comienza con una evaluación inmediata de la alerta para establecer el contexto de referencia. Durante esta etapa, el agente analiza automáticamente los detalles de las alertas y los metadatos para identificar la actividad benigna de alta confianza. Si una alerta se clasifica como de bajo riesgo, el agente concluye la investigación.

Enriquecimiento contextual y recopilación de evidencia

El agente ejecuta varios pasos de análisis paralelos para crear un panorama completo de la actividad sospechosa aprovechando la inteligencia interna y externa:

• Enriquecimiento de Google Threat Intelligence (GTI): Identifica y evalúa los indicadores de compromiso (IoC), como los hashes de archivos, las direcciones IP y los dominios, en comparación con Google Threat Intelligence y VirusTotal para identificar entidades maliciosas conocidas.

• Análisis del gráfico de contexto de entidades (ECG): Recupera datos de prevalencia, como cuándo se vio una entidad por primera o última vez, para proporcionar un contexto ambiental más profundo y analizar las relaciones entre las entidades.

• Recopilación de contexto de red: Extrae contexto adicional relacionado con el tráfico de red realizando búsquedas específicas para identificar patrones sospechosos.

• Integración de metadatos de casos: Recupera un contexto más amplio del caso al que pertenece la alerta, incorporando metadatos como etiquetas y prioridad en la investigación.

• Construcción del árbol de procesos: Construye la jerarquía de ejecución de los procesos del sistema para ayudar a los analistas a comprender exactamente cómo se inició una acción sospechosa y qué acciones posteriores se realizaron.

Investigación adaptable

Según los hallazgos de los pasos de investigación anteriores, el agente determina de forma dinámica el siguiente curso de acción:

• Evalúa los hallazgos: Evalúa la información recopilada en los pasos anteriores para identificar posibles brechas o nuevas vías de investigación.

• Realiza investigaciones exhaustivas: Genera de forma iterativa planes nuevos y ejecuta herramientas especializadas, como el enriquecimiento de GTI, el análisis de ECG, el análisis avanzado de línea de comandos o las búsquedas orientadas para descubrir amenazas ocultas.

Cómo ver una alerta o volver a ejecutar una investigación

El panel de investigación te permite realizar las siguientes acciones:

• Ver alerta: Abre los detalles de la alerta en la vista de Google SecOps SIEM.
• Volver a ejecutar la investigación: Vuelve a ejecutar el análisis para la misma alerta.

Próximos pasos sugeridos

Para todas las investigaciones, Gemini proporciona pasos de investigación adicionales. En estos pasos, se recomiendan acciones o fuentes de datos adicionales para que los analistas las exploren.

A medida que se actualiza el agente, estas sugerencias se pueden expandir para incluir orientación sobre la solución.

Comentarios

Cada investigación incluye los íconos thumb_up Me gusta y thumb_down No me gusta para recopilar comentarios. Enfoca tus comentarios en el veredicto de gravedad, ya que esto ayuda a definir mejor la clasificación de amenazas de Gemini.

Métricas de TIN en los paneles

Google SecOps integra los datos operativos de TIN en los paneles. Esto te permite supervisar el volumen de investigaciones, el rendimiento de los agentes y los comentarios de los usuarios. Puedes usar estas métricas como una forma clara de supervisar el consumo de tokens de seguridad con fines de facturación y evaluar el valor que proporciona el agente.

Para obtener más información, consulta Supervisa el rendimiento del agente de clasificación e investigación (TIN) con paneles.

Registros de auditoría de Cloud

Para habilitar el registro de auditoría de TIN, sigue estos pasos:

1. En la consola de Google Google Cloud , navega a IAM > Registros de auditoría.
2. Busca la API de Chronicle.
3. En la pestaña Tipos de permisos del panel API de Chronicle, selecciona la casilla de verificación Lectura de administración.

Ver registros de auditoría

Para ver los registros de auditoría, sigue estos pasos:

1. En la consola de Google Google Cloud , ve a Monitoring > Explorador de registros.

2. Busca los registros que quieres ver.

   • Para ver todos los registros de auditoría de Google SecOps, busca protoPayload.serviceName: "chronicle.googleapis.com".

   • Para ver solo los registros de TIN, busca los métodos relacionados.

     • Para buscar métodos específicos, usa protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation".
     • Para buscar todos los métodos de TIN, usa protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService". ¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.