Fazer a triagem de alertas com o agente de triagem

Compatível com:

Google SecOps

O Agente de Triagem e Investigação (TIN, na sigla em inglês) é um assistente de investigação com tecnologia de IA integrado ao Google Security Operations. Ele determina se os alertas são verdadeiros ou falsos positivos e fornece uma explicação resumida da avaliação.

A TIN analisa alertas no Google SecOps usando os princípios da Mandiant e as práticas recomendadas do setor. Ele avalia os alertas recebidos, executa um plano de investigação e fornece uma análise estruturada que inclui as descobertas e o raciocínio.

Observação: o TIN é compatível com configurações de locatário único do Google SecOps e clientes de FSSG (provedores de serviços de segurança gerenciados) com um único locatário do Google SecOps SOAR conectado a vários locatários do Google SecOps SIEM. As configurações de multilocatário que não seguem essa estrutura não são compatíveis.

Para uma lista de permissões do IAM necessárias para usar o agente, consulte Agente de triagem e investigação (TIN).

Ferramentas de investigação

O agente usa as seguintes ferramentas integradas para concluir a análise:

• Consultas de pesquisa dinâmicas: executa e refina pesquisas no SecOps para coletar mais contexto para o alerta.

• Enriquecimento do GTI: enriquece os IoCs com dados do Google Threat Intelligence (GTI), incluindo domínios, URLs e hashes.

• Análise de linha de comando: analisa linhas de comando para explicar ações em linguagem natural.

• Reconstrução da árvore de processos: analisa os processos no alerta para mostrar a sequência completa de atividades do sistema relacionadas.

Acionar TIN

É possível acionar o TIN de forma automática ou manual. Cada investigação geralmente é concluída em uma média de 60 segundos e é executada por no máximo 20 minutos. Não há fila de investigação. O agente não analisa automaticamente os alertas gerados além do limite.

Observação: o TIN é executado apenas em dados ingeridos usando o SIEM do Google SecOps e não processa alertas do conector SOAR do Google SecOps.

Configurações de investigação automática

As investigações automáticas são ativadas por padrão se você tiver as permissões de administrador necessárias e tiver optado pelo agente. Para verificar ou modificar essa configuração, acesse Configurações > Investigação > Investigações do Gemini.

Quando ativado, o agente usa as configurações padrão para investigar todos os tipos de registro compatíveis. É possível personalizar o tempo de investigação e os critérios de filtro para controlar quais alertas são investigados.

Tempo de investigação

É possível configurar quando a investigação começa depois que um alerta é gerado. Por padrão, a investigação começa cinco minutos após a geração do alerta para considerar todos os eventos que ainda estão chegando e exigem correlação.

É possível alterar esse atraso para no máximo 20 minutos na lista do painel de configurações.

Critérios de investigação

É possível definir critérios personalizados para acionar investigações automáticas apenas para alertas específicos. Se nenhum critério personalizado for definido, o agente vai investigar todos os alertas que correspondem aos tipos de registro compatíveis listados em Tipos de registro compatíveis por padrão.

Para criar configurações personalizadas de investigação automática:

1. Clique em Add.
2. Selecione um campo de UDM na lista. Os campos compatíveis incluem:
   • detection.rule_id
   • detection.rule_name
   • udm.metadata.event_type
   • udm.metadata.log_type
   • udm.metadata.product_event_type
   • udm.metadata.product_name
   • udm.metadata.vendor_name
   • udm.about.entity_metadata.product_name
   • udm.principal.user.userid
3. Selecione um operador para avaliar o campo (= ou !=).
4. Insira ou selecione o valor do campo. Os valores na lista são baseados nos valores observados no seu ambiente.
5. Use um operador lógico (AND ou OR) para combinar vários critérios.
6. Clique em Salvar para aplicar as configurações.

Tipos de registro compatíveis por padrão

O agente oferece suporte à investigação automática de alertas que contêm eventos com os seguintes valores de metadata.log_type:

Origem	metadata.log_type valores
Amazon	AWS_CLOUDTRAIL, AWS_IAM, AWS_NETWORK_FIREWALL, AWS_VPC_FLOW
Cisco	CISCO_ASA_FIREWALL, CISCO_FIREPOWER_FIREWALL, CISCO_ISE, CISCO_MERAKI
CrowdStrike	CROWDSTRIKE_IOC, CS_ALERTS, CS_CEF_EDR, CS_DETECTS, CS_EDR, CS_IDP
Fortinet	FORTINET_FIREWALL, FORTINET_FORTIEDR, FORTINET_WEBPROXY
Google	GCP_CLOUDAUDIT, GCP_CLOUDIDENTITY_DEVICES, GCP_CLOUDIDENTITY_DEVICEUSERS, GCP_DNS, GCP_NGFW_ENTERPRISE, GCP_VPC_FLOW, WORKSPACE_ACTIVITY, WORKSPACE_ALERTS, WORKSPACE_USERS
Microsoft	ADFS, AZURE_AD, AZURE_AD_AUDIT, AZURE_AD_CONTEXT, AZURE_AD_SIGNIN, AZURE_FIREWALL, AZURE_NSG_FLOW, GITHUB, MICROSOFT_DEFENDER_ATP, MICROSOFT_DEFENDER_ENDPOINT, MICROSOFT_DEFENDER_ENDPOINT_IOS, MICROSOFT_DEFENDER_IDENTITY, MICROSOFT_GRAPH_ALERT, OFFICE_365, WINDOWS_AD, WINDOWS_DEFENDER_ATP, WINDOWS_DEFENDER_AV, WINDOWS_DHCP, WINDOWS_DNS, WINDOWS_FIREWALL, WINDOWS_SYSMON, WINEVTLOG
Okta	OKTA, OKTA_ACCESS_GATEWAY, OKTA_USER_CONTEXT
Outro	BARRACUDA_FIREWALL, BOX, BRO_DNS, CB_APP_CONTROL, CB_DEFENSE, CB_EDR, CHECKPOINT_EDR, CHECKPOINT_FIREWALL, CLOUDFLARE_WAF, CYBERARK_EPM, CYBEREASON_EDR, DUO_AUTH, DUO_USER_CONTEXT, ELASTIC_EDR, F5_AFM, F5_ASM, F5_BIGIP_LTM, FIREEYE_HX, FIREEYE_NX, FORCEPOINT_FIREWALL, INFOBLOX_DNS, JUNIPER_FIREWALL, KEYCLOAK, LIMACHARLIE_EDR, MALWAREBYTES_EDR, MCAFEE_EDR, NETFILTER_IPTABLES, ONELOGIN_SSO, ONE_IDENTITY_IDENTITY_MANAGER, OPENSSH, PAN_FIREWALL, PING, SALESFORCE, SEP, SOPHOS_EDR, SOPHOS_FIREWALL, SQUID_WEBPROXY, SURICATA_EVE, SURICATA_IDS, SYMANTEC_EDR, TANIUM_EDR, TANIUM_THREAT_RESPONSE, TRENDMICRO_EDR, UMBRELLA_DNS, UMBRELLA_FIREWALL, UMBRELLA_WEBPROXY, ZEEK, ZSCALER_FIREWALL, ZSCALER_WEBPROXY.
SentinelOne	SENTINELONE_ACTIVITY, SENTINELONE_ALERT, SENTINELONE_CF, SENTINEL_DV, SENTINEL_EDR

Investigações manuais

Para executar uma investigação manualmente:

1. No Google SecOps, acesse a página Alertas e IOCs.

2. Selecione um alerta e clique em Iniciar investigação.

   Também é possível ver os resultados da investigação diretamente em um caso. Se o TIN estiver ativado para seu locatário, os resultados serão integrados ao conteúdo do Resumo do caso quando uma investigação for concluída.

3. Enquanto uma investigação está em andamento, o banner indica o progresso. Quando concluído, o banner mostra um resumo do veredito. Clique em Ver investigação no banner para analisar a análise.

Observação: a integração do TIN no Resumo do caso está disponível para clientes com níveis de licença Enterprise ou Enterprise+. O TIN não está em conformidade com o FedRAMP.

Acessar investigações

É possível acessar investigações anteriores ou em andamento de qualquer lugar no Google SecOps.

1. Clique em na interface do Google SecOps.

2. Clique em no painel de navegação.

3. Clique em keyboard_arrow_down ao lado da lista de investigações para abrir o painel.

4. Na lista, selecione um item para abrir os resultados da investigação.

Cada entrada de investigação inclui o nome do alerta, o horário de conclusão e o resumo da investigação do Gemini. Se o mesmo alerta for investigado várias vezes, cada investigação vai aparecer como uma entrada separada na lista de investigações.

Analisar uma investigação

Cada investigação é aberta em uma visualização detalhada que resume a análise do Gemini, o raciocínio dele e os dados de suporte usados.

Essa visualização tem os seguintes componentes:

• Resumo
• Linha do tempo da investigação
• Ver um alerta ou executar uma investigação novamente
• Próximas etapas sugeridas
• Feedback

Resumo

Na parte de cima do painel, a seção Resumo do Gemini fornece uma breve descrição do alerta e das descobertas da investigação.

O resumo fornece as seguintes informações:

• Disposição: indica se o Gemini determinou que o alerta é um verdadeiro ou falso positivo.
• Nível de confiança: descreve a confiança do Gemini na avaliação. Essa avaliação é baseada no alerta e nos dados de investigação disponíveis.
• Explicação do resumo: descreve o alerta e como o Gemini chegou à conclusão.

Linha do tempo da investigação

A investigação de TIN segue um cronograma estruturado de vários estágios, projetado para transformar alertas brutos em inteligência útil. Embora essas etapas intermediárias sejam usadas principalmente pelo agente para criar contexto e refinar a análise, elas também ficam visíveis na Linha do tempo da investigação na interface da Web, oferecendo aos analistas de segurança uma visibilidade clara do progresso da investigação do agente.

Avaliação inicial e priorização de riscos

A investigação começa com uma avaliação imediata do alerta para estabelecer o contexto de referência. Nessa etapa, o agente analisa automaticamente os detalhes e metadados do alerta para identificar atividades benignas com alta confiança. Se um alerta for classificado como de baixo risco, o agente conclui a investigação.

Enriquecimento contextual e coleta de evidências

O agente executa várias etapas de análise em paralelo para criar um panorama abrangente da atividade suspeita, aproveitando a inteligência interna e externa:

• Enriquecimento do Google Threat Intelligence (GTI): identifica e avalia indicadores de comprometimento (IoCs), como hashes de arquivos, endereços IP e domínios, em relação ao Google Threat Intelligence e ao VirusTotal para identificar entidades maliciosas conhecidas.

• Análise do gráfico de contexto de entidade (ECG, na sigla em inglês): recupera dados de prevalência, como quando uma entidade foi vista pela primeira ou última vez, para fornecer um contexto ambiental mais profundo e analisar as relações entre as entidades.

• Coleta de contexto de rede: extrai mais contexto relacionado ao tráfego de rede realizando pesquisas direcionadas para identificar padrões suspeitos.

• Integração de metadados de casos: recupera um contexto mais amplo do caso ao qual o alerta pertence, incorporando metadados como tags e prioridade à investigação.

• Construção de árvore de processos: constrói a hierarquia de execução dos processos do sistema para ajudar os analistas a entender exatamente como uma ação suspeita foi iniciada e quais ações subsequentes ela realizou.

Investigação adaptativa

Com base nas descobertas das etapas de investigação anteriores, o agente determina dinamicamente o próximo curso de ação:

• Avalia as descobertas: avalia as informações coletadas nas etapas anteriores para identificar possíveis lacunas ou novas formas de investigação.

• Realiza pesquisas detalhadas: gera novos planos de forma iterativa e executa ferramentas especializadas, como enriquecimento de GTI, análise de ECG, análise avançada de linha de comando ou pesquisas direcionadas para descobrir ameaças ocultas.

Ver um alerta ou executar uma investigação novamente

No painel de investigação, você pode fazer o seguinte:

• Ver alerta: abre os detalhes do alerta na visualização do Google SecOps SIEM.
• Executar investigação novamente: repete a análise para o mesmo alerta.

Próximas etapas sugeridas

Para todas as investigações, o Gemini fornece as próximas etapas. Essas etapas recomendam outras ações ou fontes de dados para os analistas explorarem.

À medida que o agente é atualizado, essas sugestões podem ser expandidas para incluir orientações de correção.

Feedback

Cada investigação inclui os ícones thumb_up Gostei e thumb_down Não gostei para coletar feedback. Concentre seu feedback no veredicto de gravidade, porque isso ajuda a refinar a classificação de ameaças do Gemini.

Métricas de TIN em painéis

O Google SecOps integra os dados operacionais da TIN aos painéis. Isso permite monitorar o volume de investigações, o desempenho do agente e o feedback do usuário. É possível usar essas métricas como uma forma clara de monitorar o consumo de tokens de segurança para fins de faturamento e avaliar o valor fornecido pelo agente.

Para mais informações, consulte Monitorar o desempenho do Agente de Triagem e Investigação (TIN) com painéis.

Cloud Audit Logging

Para ativar a geração de registros de auditoria para o TIN:

1. No console do Google Google Cloud , acesse IAM > Registro de auditoria.
2. Pesquise API Chronicle.
3. Na guia Tipos de permissão do painel API Chronicle, marque a caixa de seleção Leitura do administrador.

Acessar registros de auditoria

Para ver os registros de auditoria:

1. No console do Google Google Cloud , acesse Monitoring > Análise de registros.

2. Pesquise os registros que você quer acessar.

   • Para ver todos os registros de auditoria do Google SecOps, pesquise protoPayload.serviceName: "chronicle.googleapis.com".

   • Para ver apenas os registros de TIN, pesquise os métodos relacionados.

     • Para pesquisar métodos específicos, use protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation".
     • Para pesquisar todos os métodos de TIN, use protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService". Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.