Menyaring pemberitahuan dengan Agen Triase

Didukung di:

SecOps Google

Triage and Investigation Agent (TIN) adalah asisten investigasi berteknologi AI yang disematkan di Google Security Operations. Gemini menentukan apakah pemberitahuan tersebut positif benar atau positif palsu, lalu memberikan penjelasan ringkas untuk penilaiannya.

TIN menganalisis pemberitahuan di Google SecOps menggunakan prinsip Mandiant dan praktik terbaik industri. Agen ini mengevaluasi pemberitahuan yang masuk, menjalankan rencana investigasi, dan memberikan analisis terstruktur yang mencakup temuan dan alasannya.

Catatan: TIN hanya mendukung konfigurasi Google SecOps tenant tunggal. Konfigurasi multi-tenant yang mencakup tenant Google SecOps atau Google SecOps SOAR utama (induk) dengan sub-tenant turunan tidak didukung.

Untuk mengetahui daftar izin IAM yang diperlukan untuk menggunakan agen, lihat Agen Penyelidikan dan Triase (TIN).

Fitur investigasi

Agen menggunakan alat bawaan berikut untuk menyelesaikan analisisnya:

• Kueri penelusuran dinamis: Menjalankan dan menyaring penelusuran di SecOps untuk mengumpulkan konteks tambahan untuk pemberitahuan.

• Pengayaan GTI: Memperkaya IoC dengan data Google Threat Intelligence (GTI), termasuk domain, URL, dan hash.

• Analisis command line: Menganalisis command line untuk menjelaskan tindakan dalam bahasa alami.

• Rekonstruksi hierarki proses: Menganalisis proses dalam pemberitahuan untuk menampilkan urutan lengkap aktivitas sistem terkait.

TIN Pemicu

Anda dapat memicu TIN secara otomatis atau manual. Setiap penyelidikan biasanya selesai dalam rata-rata 60 detik dan berjalan maksimal selama 20 menit. Tidak ada antrean investigasi. Agen tidak otomatis menganalisis pemberitahuan yang dibuat di luar batas.

Catatan: TIN hanya berjalan pada data yang di-ingest menggunakan Google SecOps SIEM dan tidak memproses pemberitahuan dari konektor Google SecOps SOAR.

Batas penggunaan uji coba

Semua pelanggan Google SecOps Enterprise, Enterprise Plus, dan Google Unified Security memenuhi syarat untuk uji coba gratis TIN mulai 1 April 2026 hingga 30 Agustus 2026.

Penggunaan organisasi Anda selama periode uji coba tunduk pada batas berikut:

Tingkat pelanggan	Total batas per jam	Perincian batas
Enterprise	10 penyelidikan	Hingga 5 investigasi otomatis dan 5 investigasi manual per jam. Jika investigasi otomatis dinonaktifkan, hingga 5 investigasi manual dapat dijalankan per jam.
Enterprise Plus atau Keamanan Terpadu Google	10 penyelidikan	Hingga 5 investigasi otomatis dan 5 investigasi manual per jam. Jika investigasi otomatis dinonaktifkan, hingga 10 investigasi manual dapat dijalankan per jam.

Kapasitas investigasi otomatis yang tidak digunakan tidak dapat dialihkan ke investigasi manual. Jika organisasi Anda mencapai batas per jam, Anda harus menunggu hingga jam berikutnya agar kuota direset.

Sebagian besar penyelidikan selesai dalam waktu sekitar 60 detik dan dapat berjalan maksimal selama 20 menit. TIN tidak mengantrekan investigasi. Setelah Anda mencapai kuota per jam, agen tidak akan memulai penyelidikan.

Untuk mengetahui detail selengkapnya tentang uji coba gratis, lihat Detail uji coba SOC Agentik.

Jika Anda memerlukan kapasitas yang lebih besar daripada batas, hubungi customer engineer Google SecOps Anda untuk membahas penambahan kuota.

Setelan investigasi otomatis

Investigasi otomatis diaktifkan secara default jika Anda memiliki izin administrator yang diperlukan dan telah mengaktifkan agen. Untuk memverifikasi atau mengubah setelan ini, buka Setelan > Setelan SIEM > Investigasi Gemini.

Jika diaktifkan, agen akan menggunakan setelan default untuk menyelidiki semua jenis log yang didukung secara default. Anda dapat menyesuaikan waktu penyelidikan dan kriteria filter untuk mengontrol pemberitahuan mana yang diselidiki.

Waktu investigasi

Anda dapat mengonfigurasi waktu dimulainya investigasi setelah pemberitahuan dibuat. Secara default, investigasi dimulai lima menit setelah pemberitahuan dibuat untuk mempertimbangkan peristiwa yang masih masuk dan memerlukan korelasi.

Anda dapat mengubah penundaan ini hingga maksimum 20 menit dari daftar di panel setelan.

Kriteria investigasi

Anda dapat menentukan kriteria kustom untuk memicu penyelidikan otomatis hanya untuk pemberitahuan tertentu. Jika tidak ada kriteria kustom yang ditentukan, agen akan menyelidiki semua pemberitahuan yang cocok dengan jenis log yang didukung yang tercantum dalam Jenis log yang didukung secara default.

Untuk membuat setelan penyelidikan otomatis kustom:

1. Klik add.
2. Pilih kolom UDM dari daftar. Kolom yang didukung mencakup:
   • detection.rule_id
   • detection.rule_name
   • udm.metadata.event_type
   • udm.metadata.log_type
   • udm.metadata.product_event_type
   • udm.metadata.product_name
   • udm.metadata.vendor_name
   • udm.about.entity_metadata.product_name
   • udm.principal.user.userid
3. Pilih operator untuk mengevaluasi kolom (= atau !=).
4. Masukkan atau pilih nilai untuk kolom. Nilai dalam daftar didasarkan pada nilai yang diamati di lingkungan Anda.
5. Gunakan operator logika (AND atau OR) untuk menggabungkan beberapa kriteria.
6. Klik Simpan untuk menerapkan setelan Anda.

Jenis Log yang Didukung Default

Agen mendukung investigasi otomatis untuk pemberitahuan yang berisi peristiwa dengan nilai metadata.log_type berikut:

Sumber	metadata.log_type nilai
Amazon	AWS_CLOUDTRAIL, AWS_IAM, AWS_NETWORK_FIREWALL, AWS_VPC_FLOW
Cisco	CISCO_ASA_FIREWALL, CISCO_FIREPOWER_FIREWALL, CISCO_ISE, CISCO_MERAKI
CrowdStrike	CROWDSTRIKE_IOC, CS_ALERTS, CS_CEF_EDR, CS_DETECTS, CS_EDR, CS_IDP
Fortinet	FORTINET_FIREWALL, FORTINET_FORTIEDR, FORTINET_WEBPROXY
Google	GCP_CLOUDAUDIT, GCP_CLOUDIDENTITY_DEVICES, GCP_CLOUDIDENTITY_DEVICEUSERS, GCP_DNS, GCP_NGFW_ENTERPRISE, GCP_VPC_FLOW, WORKSPACE_ACTIVITY, WORKSPACE_ALERTS, WORKSPACE_USERS
Microsoft	ADFS, AZURE_AD, AZURE_AD_AUDIT, AZURE_AD_CONTEXT, AZURE_AD_SIGNIN, AZURE_FIREWALL, AZURE_NSG_FLOW, GITHUB, MICROSOFT_DEFENDER_ATP, MICROSOFT_DEFENDER_ENDPOINT, MICROSOFT_DEFENDER_ENDPOINT_IOS, MICROSOFT_DEFENDER_IDENTITY, MICROSOFT_GRAPH_ALERT, OFFICE_365, WINDOWS_AD, WINDOWS_DEFENDER_ATP, WINDOWS_DEFENDER_AV, WINDOWS_DHCP, WINDOWS_DNS, WINDOWS_FIREWALL, WINDOWS_SYSMON, WINEVTLOG
Okta	OKTA, OKTA_ACCESS_GATEWAY, OKTA_USER_CONTEXT
Lainnya	BARRACUDA_FIREWALL, BOX, BRO_DNS, CB_APP_CONTROL, CB_DEFENSE, CB_EDR, CHECKPOINT_EDR, CHECKPOINT_FIREWALL, CLOUDFLARE_WAF, CYBERARK_EPM, CYBEREASON_EDR, DUO_AUTH, DUO_USER_CONTEXT, ELASTIC_EDR, F5_AFM, F5_ASM, F5_BIGIP_LTM, FIREEYE_HX, FIREEYE_NX, FORCEPOINT_FIREWALL, INFOBLOX_DNS, JUNIPER_FIREWALL, KEYCLOAK, LIMACHARLIE_EDR, MALWAREBYTES_EDR, MCAFEE_EDR, NETFILTER_IPTABLES, ONELOGIN_SSO, ONE_IDENTITY_IDENTITY_MANAGER, OPENSSH, PAN_FIREWALL, PING, SALESFORCE, SEP, SOPHOS_EDR, SOPHOS_FIREWALL, SQUID_WEBPROXY, SURICATA_EVE, SURICATA_IDS, SYMANTEC_EDR, TANIUM_EDR, TANIUM_THREAT_RESPONSE, TRENDMICRO_EDR, UMBRELLA_DNS, UMBRELLA_FIREWALL, UMBRELLA_WEBPROXY, ZEEK, ZSCALER_FIREWALL, ZSCALER_WEBPROXY.
SentinelOne	SENTINELONE_ACTIVITY, SENTINELONE_ALERT, SENTINELONE_CF, SENTINEL_DV, SENTINEL_EDR

Investigasi manual

Untuk menjalankan investigasi secara manual:

1. Di Google SecOps, buka halaman Alerts and IOCs.

2. Pilih pemberitahuan, lalu klik Jalankan Investigasi.

   Anda juga dapat melihat hasil investigasi langsung dalam kasus. Jika TIN diaktifkan untuk tenant Anda, hasil akan diintegrasikan ke dalam konten Ringkasan Kasus setelah investigasi selesai.

3. Saat penyelidikan sedang berjalan, banner akan menunjukkan progres. Setelah selesai, banner akan menampilkan ringkasan putusan. Klik Lihat Investigasi di banner untuk meninjau analisis.

Catatan: Integrasi TIN di Ringkasan Kasus tersedia untuk pelanggan dengan tingkat lisensi Enterprise atau Enterprise+. TIN tidak mematuhi FedRAMP atau CMEK.

Membuka investigasi

Anda dapat mengakses investigasi yang lalu atau yang sedang berlangsung dari mana saja di Google SecOps.

1. Klik di antarmuka Google SecOps.

2. Klik di panel navigasi.

3. Klik keyboard_arrow_down di samping daftar penyelidikan untuk meluaskan panel.

4. Dalam daftar, pilih item untuk membuka hasil investigasi.

Setiap entri investigasi mencakup nama pemberitahuan, waktu penyelesaian, dan ringkasan investigasi Gemini. Jika peringatan yang sama diselidiki beberapa kali, setiap penyelidikan akan muncul sebagai entri terpisah dalam daftar penyelidikan.

Meninjau investigasi

Setiap penyelidikan terbuka dalam tampilan mendetail yang merangkum analisis Gemini, alasannya, dan data pendukung yang digunakannya.

Tampilan ini memiliki komponen berikut:

• Ringkasan
• Linimasa investigasi
• Melihat pemberitahuan atau menjalankan ulang investigasi
• Langkah selanjutnya yang disarankan
• Masukan

Ringkasan

Di bagian atas panel, bagian Ringkasan oleh Gemini memberikan deskripsi singkat tentang pemberitahuan dan temuan investigasi.

Ringkasan ini memberikan informasi berikut:

• Disposisi: Menunjukkan apakah Gemini menentukan bahwa pemberitahuan tersebut adalah positif asli atau positif palsu.
• Tingkat keyakinan: Menjelaskan keyakinan Gemini dalam penilaiannya. Penilaian ini didasarkan pada data investigasi yang tersedia dan pemberitahuan.
• Penjelasan ringkasan: Menjelaskan notifikasi dan cara Gemini mencapai kesimpulannya.

Linimasa investigasi

Investigasi TIN mengikuti linimasa multi-tahap yang terstruktur yang dirancang untuk mengubah peringatan mentah menjadi intelijen yang dapat ditindaklanjuti. Meskipun langkah-langkah perantara ini terutama digunakan oleh agen untuk membangun konteks dan menyempurnakan analisisnya, langkah-langkah ini juga terlihat dalam Linimasa investigasi di antarmuka web, sehingga memberikan visibilitas yang jelas kepada analis keamanan terkait progres investigasi agen.

Penilaian awal dan penentuan prioritas risiko

Investigasi dimulai dengan evaluasi langsung terhadap notifikasi untuk menetapkan konteks dasar. Selama tahap ini, agen akan otomatis menganalisis detail dan metadata pemberitahuan untuk mengidentifikasi aktivitas tidak berbahaya dengan tingkat keyakinan tinggi. Jika notifikasi diklasifikasikan sebagai risiko rendah, agen akan mengakhiri penyelidikan.

Pengumpulan bukti dan pelengkapan kontekstual

Agen menjalankan beberapa langkah analisis paralel untuk membangun gambaran komprehensif tentang aktivitas mencurigakan dengan memanfaatkan intelijen internal dan eksternal:

• Pengayaan Google Threat Intelligence (GTI): Mengidentifikasi dan mengevaluasi indikator kompromi (IoC), seperti hash file, alamat IP, dan domain terhadap Google Threat Intelligence dan VirusTotal untuk mengidentifikasi entitas berbahaya yang diketahui.

• Analisis Grafik Konteks Entitas (ECG): Mengambil data prevalensi, seperti kapan suatu entitas pertama atau terakhir kali terlihat, untuk memberikan konteks lingkungan yang lebih mendalam dan menganalisis hubungan antar-entitas.

• Pengumpulan konteks jaringan: Mengekstrak konteks tambahan yang terkait dengan traffic jaringan dengan melakukan penelusuran bertarget untuk mengidentifikasi pola mencurigakan.

• Integrasi metadata kasus: Mengambil konteks yang lebih luas dari kasus tempat pemberitahuan berada, dengan menggabungkan metadata seperti tag dan prioritas ke dalam penyelidikan.

• Konstruksi pohon proses: Membangun hierarki eksekusi proses sistem untuk membantu analis memahami secara persis bagaimana tindakan mencurigakan dimulai dan tindakan selanjutnya yang diambil.

Investigasi Adaptif

Berdasarkan temuan dari langkah-langkah penyelidikan sebelumnya, agen akan menentukan tindakan selanjutnya secara dinamis:

• Mengevaluasi temuan: Menilai informasi yang dikumpulkan pada langkah-langkah sebelumnya untuk mengidentifikasi potensi kesenjangan atau jalur penyelidikan baru.

• Melakukan riset mendalam: Secara iteratif membuat rencana baru dan menjalankan alat khusus, seperti pengayaan GTI, analisis EKG, analisis command line lanjutan, atau penelusuran yang ditargetkan untuk mengungkap ancaman tersembunyi.

Melihat pemberitahuan atau menjalankan ulang penyelidikan

Panel investigasi memungkinkan Anda melakukan tindakan berikut:

• Lihat pemberitahuan: Membuka detail pemberitahuan di tampilan Google SecOps SIEM.
• Jalankan kembali penyelidikan: Menjalankan kembali analisis untuk pemberitahuan yang sama.

Langkah berikutnya yang disarankan

Untuk semua investigasi, Gemini memberikan langkah-langkah investigasi lebih lanjut. Langkah-langkah ini merekomendasikan tindakan atau sumber data tambahan untuk dieksplorasi oleh analis.

Saat agen diperbarui, saran ini dapat diperluas untuk menyertakan panduan perbaikan.

Masukan

Setiap penyelidikan mencakup ikon thumb_up Suka dan thumb_down Tidak Suka untuk mengumpulkan masukan. Fokuskan masukan Anda pada putusan tingkat keparahan karena hal ini membantu menyempurnakan klasifikasi ancaman Gemini.

Metrik TIN di dasbor

Google SecOps mengintegrasikan data operasional TIN ke dalam dasbor. Dengan begitu, Anda dapat memantau volume penyelidikan, performa agen, dan masukan pengguna. Anda dapat menggunakan metrik ini sebagai cara yang jelas untuk memantau penggunaan token keamanan untuk tujuan penagihan dan mengevaluasi nilai yang diberikan oleh agen.

Untuk mengetahui informasi selengkapnya, lihat Memantau performa Agen Triase dan Investigasi (TIN) dengan dasbor.

Logging audit Cloud

Untuk mengaktifkan logging audit untuk TIN:

1. Di konsol Google Google Cloud , buka IAM > Audit Logging.
2. Telusuri Chronicle API.
3. Di tab Permission Types pada panel Chronicle API, centang kotak Admin Read.

Lihat log audit

Untuk melihat log audit:

1. Di konsol Google Cloud Google, buka Monitoring > Logs Explorer.

2. Telusuri log yang ingin Anda lihat.

   • Untuk melihat semua log audit Google SecOps, telusuri protoPayload.serviceName: "chronicle.googleapis.com".

   • Untuk melihat hanya log TIN, telusuri metode terkait.

     • Untuk menelusuri metode tertentu, gunakan protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation".
     • Untuk menelusuri semua metode TIN, gunakan protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService". Perlu bantuan lebih lanjut? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.