使用 Triage Agent 对提醒进行分类
分类与调查智能体 (TIN) 是 Google Security Operations 中嵌入的 AI 赋能调查助理。它会确定提醒是真正例还是假正例，然后提供评估结果的摘要说明。
TIN 会根据 Mandiant 原则和行业最佳实践，分析 Google SecOps 中的提醒。它会评估传入的提醒，执行调查计划，并提供包含其发现结果和推理的结构化分析。
如需查看使用该智能体所需的 IAM 权限列表，请参阅分类和调查智能体 (TIN)。
调查工具
智能体使用以下内置工具来完成分析：
动态搜索查询：在 SecOps 中运行和优化搜索，以收集有关警报的更多背景信息。
GTI 丰富化：使用 Google Threat Intelligence (GTI) 数据（包括网域、网址和哈希）丰富 IoC。
命令行分析：分析命令行，以自然语言解释操作。
进程树重建：分析提醒中的进程，以显示相关系统活动的完整序列。
触发 TIN
您可以自动或手动触发 TIN。每项调查通常平均在 60 秒内完成，最长运行 20 分钟。没有调查队列。代理不会自动分析超出限制生成的提醒。
自动调查设置
如果您拥有必要的管理员权限并已选择启用代理，则系统会默认启用自动调查。如需验证或修改此设置，请依次前往设置 > 调查 > Gemini 调查。
启用后，代理会使用默认设置来调查所有默认支持的日志类型。您可以自定义调查时间和过滤条件，以控制要调查哪些提醒。
调查时间
您可以配置在生成提醒后何时开始调查。默认情况下，调查会在提醒生成 5 分钟后开始，以便将仍在到达且需要关联的所有事件纳入考虑范围。
您可以在设置面板的列表中将此延迟时间更改为最长 20 分钟。
调查标准
您可以定义自定义条件，以便仅针对特定提醒触发自动调查。 如果未定义自定义条件，代理会调查与默认支持的日志类型中列出的受支持日志类型匹配的所有提醒。
如需创建自定义自动调查设置，请执行以下操作：
- 点击 add（添加）。
- 从列表中选择一个 UDM 字段。支持的字段包括：
detection.rule_iddetection.rule_nameudm.metadata.event_typeudm.metadata.log_typeudm.metadata.product_event_typeudm.metadata.product_nameudm.metadata.vendor_nameudm.about.entity_metadata.product_nameudm.principal.user.userid
- 选择一个运算符来评估字段（
=或!=）。 - 输入或选择该字段的值。列表中的值基于在您的环境中观察到的值。
- 使用逻辑运算符（
AND或OR）组合多个条件。 - 点击保存以应用您的设置。
默认支持的日志类型
该代理支持对包含具有以下 metadata.log_type 值的事件的提醒进行自动调查：
| 来源 | metadata.log_type 个值 |
|---|---|
| Amazon |
|
| Cisco |
|
| CrowdStrike |
|
| Fortinet |
|
|
|
| Microsoft |
|
| Okta |
|
| 其他 |
|
| SentinelOne |
|
手动调查
如需手动运行调查，请执行以下操作：
在 Google SecOps 中，前往提醒和 IOC 页面。
选择一项提醒，然后点击运行调查。
您还可以直接在案例中查看调查结果。如果为您的租户启用了 TIN，则调查完成后，结果会集成到支持请求摘要内容中。
调查运行时，横幅会显示进度。完成后，横幅会显示判定摘要。点击横幅中的查看调查，查看分析结果。
前往调查
您可以从 Google SecOps 中的任意位置访问过去或正在进行的调查。
点击 Google SecOps 界面中的
。点击导航面板中的
。点击调查列表旁边的 keyboard_arrow_down，展开面板。
在列表中，选择一项内容以打开调查结果。
每个调查条目都包含提醒名称、完成时间和 Gemini 调查摘要。如果同一提醒被调查多次，则每次调查都会在调查列表中显示为单独的条目。
查看调查
每项调查都会在详细视图中打开，其中总结了 Gemini 的分析、推理以及所用的支持数据。
此视图包含以下组件：
摘要
在面板顶部，Gemini 摘要部分简要说明了提醒和调查结果。
摘要提供以下信息：
- 处置：指明 Gemini 是否确定提醒为真正例或假正例。
- 置信度：描述 Gemini 对其评估结果的置信度。 此评估结果基于提醒和可用的调查数据。
- 摘要说明：描述提醒以及 Gemini 如何得出结论。
调查时间轴
TIN 调查遵循结构化的多阶段时间表，旨在将原始提醒转化为可付诸行动的情报。虽然这些中间步骤主要由智能体用于构建上下文和优化分析，但它们也会显示在网页界面的调查时间轴中，让安全分析师能够清楚地了解智能体的调查进度。
初始评估和风险优先级划分
调查首先会立即评估提醒，以建立基准上下文。在此阶段，智能体会自动分析提醒详情和元数据，以识别高置信度的良性活动。如果提醒被归类为低风险，智能体就会结束调查。
情境丰富和证据收集
该智能体执行多个并行分析步骤，利用内部和外部情报全面了解可疑活动：
Google Threat Intelligence (GTI) 扩充：根据 Google Threat Intelligence 和 VirusTotal 识别和评估失陷指标 (IoC)，例如文件哈希、IP 地址和网域，以识别已知的恶意实体。
实体上下文图谱 (ECG) 分析：检索普及率数据（例如首次或最后一次看到实体的时间），以提供更深入的环境上下文并分析实体之间的关系。
网络上下文收集：通过执行有针对性的搜索来识别可疑模式，提取与网络流量相关的其他上下文。
案例元数据集成：从提醒所属的案例中检索更广泛的上下文，并将标签和优先级等元数据纳入调查。
进程树构建：构建系统进程的执行层次结构，帮助分析师准确了解可疑操作是如何发起的，以及它采取了哪些后续操作。
自适应调查
根据先前调查步骤中的发现，智能体动态确定下一步行动：
评估发现结果：评估在前面步骤中收集的信息，以找出潜在的差距或新的调查途径。
执行深入研究：迭代生成新计划并执行专用工具（例如 GTI 丰富、ECG 分析、高级命令行分析或有针对性的搜索），以发现隐藏的威胁。
查看提醒或重新运行调查
您可以在调查面板中执行以下操作：
- 查看提醒：在 Google SecOps SIEM 视图中打开提醒详情。
- 重新运行调查：针对同一提醒重新运行分析。
建议的后续步骤
对于所有调查，Gemini 都会提供进一步的调查步骤。 这些步骤会建议分析师采取其他行动或探索其他数据源。
随着代理的更新，这些建议可以扩展为包含修复指南。
反馈
每项调查都包含 thumb_up 我喜欢和 thumb_down 不喜欢图标，用于收集反馈。请重点针对严重程度判定提供反馈，因为这有助于优化 Gemini 的威胁分类。
信息中心内的 TIN 指标
Google SecOps 会将 TIN 运营数据集成到信息中心内。这样，您就可以监控调查量、客服人员表现和用户反馈。您可以使用这些指标来清晰地监控安全令牌消耗情况，以便进行结算，并评估代理提供的价值。
如需了解详情，请参阅使用信息中心监控 Triage and Investigation Agent (TIN) 的性能。
Cloud Audit Logging
如需为 TIN 启用审核日志记录，请执行以下操作：
- 在 Google Google Cloud 控制台中，前往 IAM > 审核日志记录。
- 搜索 Chronicle API。
- 在 Chronicle API 面板的权限类型标签页中，选中管理员读取复选框。
查看审核日志
如需查看审核日志，请执行以下操作：
在 Google Google Cloud 控制台中，依次前往监控 > 日志浏览器。
搜索要查看的日志。
如需查看所有 Google SecOps 审核日志，请搜索
protoPayload.serviceName: "chronicle.googleapis.com"。如需仅查看 TIN 日志，请搜索相关方法。
- 如需搜索特定方法，请使用
protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation"。 - 如需搜索所有 TIN 方法，请使用
protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService"。 需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。
- 如需搜索特定方法，请使用