使用分類代理分類警告
分類與調查代理 (TIN) 是 Google Security Operations 內建的 AI 輔助調查助理，判斷警告是誤判還是實際事件，並提供評估結果摘要。
TIN 會運用 Mandiant 原則和業界最佳做法，分析 Google SecOps 中的警示。它會評估傳入的警示、執行調查計畫，並提供結構化分析，包括發現事項和推論。
如需使用代理所需的 IAM 權限清單，請參閱「Triage and Investigation Agent (TIN)」。
調查工具
代理會使用下列內建工具完成分析：
動態搜尋查詢：在 SecOps 中執行及調整搜尋，收集快訊的其他背景資訊。
GTI 擴充：使用 Google Threat Intelligence (GTI) 資料擴充 IoC，包括網域、網址和雜湊。
指令列分析：分析指令列，以自然語言說明動作。
程序樹狀結構重建：分析快訊中的程序，顯示相關系統活動的完整序列。
觸發 TIN
您可以自動或手動觸發 TIN。每項調查平均會在 60 秒內完成，最多執行 20 分鐘。沒有調查佇列。代理不會自動分析超過上限的警告。
自動調查設定
如果您具備必要的管理員權限，且已啟用代理程式，系統預設會啟用自動調查功能。如要驗證或修改 這項設定，請依序前往「設定」>「調查」>「Gemini 調查」。
啟用後，代理會使用預設設定，調查所有預設支援的記錄類型。您可以自訂調查時間和篩選條件，控管要調查哪些警示。
調查時間
您可以設定快訊生成後開始調查的時間。根據預設，調查會在警示產生五分鐘後開始，以便考量任何仍在抵達且需要關聯的事件。
您可以在設定面板的清單中，將這項延遲時間變更為最多 20 分鐘。
調查條件
您可以自訂條件，只針對特定快訊觸發自動調查。 如果未定義自訂條件，代理程式會調查所有符合「預設支援的記錄類型」所列支援記錄類型的快訊。
如要建立自訂自動調查設定，請按照下列步驟操作：
- 按一下 [add] (新增)。
- 從清單中選取 UDM 欄位。支援的欄位包括：
detection.rule_iddetection.rule_nameudm.metadata.event_typeudm.metadata.log_typeudm.metadata.product_event_typeudm.metadata.product_nameudm.metadata.vendor_nameudm.about.entity_metadata.product_nameudm.principal.user.userid
- 選取運算子來評估欄位 (
=或!=)。 - 輸入或選取欄位的值。清單中的值是根據環境中觀察到的值而定。
- 使用邏輯運算子 (
AND或OR) 結合多個條件。 - 按一下「儲存」套用設定。
預設支援的記錄類型
如果快訊包含的事件具有下列 metadata.log_type 值，代理可自動調查：
| 來源 | metadata.log_type values |
|---|---|
| Amazon |
|
| Cisco |
|
| CrowdStrike |
|
| Fortinet |
|
|
|
| Microsoft |
|
| Okta |
|
| 其他 |
|
| SentinelOne |
|
手動調查
如何手動執行調查：
在 Google SecOps 中，前往「Alerts and IOCs」(警告和入侵指標) 頁面。
選取快訊，然後按一下「執行調查」。
您也可以直接在案件中查看調查結果。如果租戶已啟用 TIN，調查完成後，結果會整合至「Case Summary」(案件摘要) 內容。
調查執行期間，橫幅會顯示進度。完成後，橫幅會顯示判定摘要。按一下橫幅中的「查看調查」，即可查看分析結果。
前往調查
您可以在 Google SecOps 的任何位置，存取過去或進行中的調查。
在 Google SecOps 介面中，按一下
。按一下導覽面板中的
。按一下調查清單旁的 keyboard_arrow_down，展開面板。
在清單中選取項目，即可開啟調查結果。
每個調查項目都包含快訊名稱、完成時間和 Gemini 調查摘要。如果同一快訊經過多次調查，每次調查都會在調查清單中顯示為獨立項目。
查看調查結果
每項調查都會在詳細檢視畫面中開啟，其中會總結 Gemini 的分析、推論和使用的支援資料。
這個檢視畫面包含下列元件：
摘要
面板頂端的「Gemini 摘要」部分會簡短說明快訊和調查結果。
摘要會提供下列資訊：
- 處置：指出 Gemini 判定警告為真陽性或偽陽性。
- 信賴水準：Gemini 對評估結果的信心程度。這項評估是根據警示和可用的調查資料得出。
- 摘要說明：說明快訊內容，以及 Gemini 如何得出結論。
調查時間軸
TIN 調查遵循結構化、多級式時間表，旨在將原始警示轉換為可採取行動的情報。雖然這些中繼步驟主要用於建立情境和修正分析，但也會顯示在網頁介面的「調查時間軸」中，讓資安分析師清楚掌握代理的調查進度。
初步評估和風險優先順序
調查一開始會立即評估警示，建立基準情境。在這個階段，代理會自動分析警示詳細資料和中繼資料，找出可信度高的良性活動。如果警告歸類為低風險，代理就會結束調查。
情境擴充和證據收集
代理會執行多個平行分析步驟，運用內部和外部情報，全面掌握可疑活動：
Google Threat Intelligence (GTI) 擴充：根據 Google Threat Intelligence 和 VirusTotal，識別及評估入侵指標 (IoC)，例如檔案雜湊、IP 位址和網域，找出已知的惡意實體。
實體情境圖 (ECG) 分析：擷取普及度資料 (例如實體首次或最後出現的時間)，提供更深入的環境情境，並分析實體之間的關係。
收集網路情境：執行指定搜尋，找出可疑模式，擷取與網路流量相關的其他情境。
案件中繼資料整合：從快訊所屬的案件中擷取更廣泛的背景資訊，並將標記和優先順序等中繼資料納入調查。
建構程序樹狀結構：建構系統程序的執行階層，協助分析師瞭解可疑動作的啟動方式，以及後續採取的動作。
Adaptive Investigation
代理會根據先前調查步驟的結果，動態決定下一步行動：
評估發現：評估先前步驟收集到的資訊，找出潛在落差或新的調查方向。
執行深入研究：反覆生成新計畫並執行專門工具，例如 GTI 擴充、ECG 分析、進階指令列分析或指定搜尋，找出隱藏的威脅。
查看快訊或重新調查
您可以在調查面板中執行下列操作：
- 查看快訊：在 Google SecOps SIEM 檢視畫面中開啟快訊詳細資料。
- 重新執行調查：重新分析同一則警告。
建議的後續步驟
Gemini 會為所有調查提供進一步調查步驟。這些步驟會建議分析師採取其他行動或探索資料來源。
隨著代理更新，這些建議可能會擴充，納入修復指南。
意見回饋
每項調查都包含 thumb_up「喜歡」和 thumb_down「不喜歡」圖示，用於收集意見回饋。請著重於嚴重程度判定，協助 Gemini 提升威脅分類準確度。
資訊主頁中的 TIN 指標
Google SecOps 會將 TIN 作業資料整合至資訊主頁。方便您監控調查數量、服務專員成效和使用者意見回饋。您可以透過這些指標，清楚監控安全權杖用量，以便計費及評估代理提供的價值。
詳情請參閱「使用資訊主頁監控 Triage and Investigation Agent (TIN) 效能」。
Cloud 稽核記錄
如要啟用 TIN 稽核記錄功能，請按照下列步驟操作：
- 在 Google Google Cloud 控制台中，依序前往「IAM」>「稽核記錄」。
- 搜尋 Chronicle API。
- 在「Chronicle API」面板的「Permission Types」(權限類型) 分頁中，勾選「Admin Read」(管理員讀取) 核取方塊。
查看稽核記錄
如何查看稽核記錄：
在 Google Google Cloud 控制台中，依序前往「Monitoring」>「Logs Explorer」。
搜尋要查看的記錄。
如要查看所有 Google SecOps 稽核記錄，請搜尋
protoPayload.serviceName: "chronicle.googleapis.com"。如要只查看 TIN 記錄，請搜尋相關方法。
- 如要搜尋特定方法，請使用
protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation"。 - 如要搜尋所有 TIN 方法，請使用
protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService"。需要其他協助嗎？向社群成員和 Google SecOps 專業人員尋求解答。
- 如要搜尋特定方法，請使用