Gérer les demandes d'assistance

Compatible avec :

Google SecOps SOAR

Ce document décrit les différentes actions que vous pouvez effectuer sur une demande, y compris modifier son état ou sa priorité, gérer les alertes associées, générer des rapports et effectuer des actions individuelles ou groupées pour simplifier le traitement des demandes.

Marquer une demande comme importante

Lorsque vous souhaitez mettre en avant une demande, vous pouvez la marquer comme importante. Vous pouvez également supprimer le tag Important dans le même menu.

Pour marquer une demande comme importante, procédez comme suit :

• Cliquez sur format_list_bulleted Actions sur les demandes, sélectionnez une demande à taguer, puis sélectionnez Marquer comme important. Une arrow_drop_up jaune s'affiche à côté de la demande.

Marquer une demande comme incident

Si une demande qui vous est attribuée est urgente et nécessite une action immédiate, marquez-la comme Incident. Cette action effectue automatiquement les opérations suivantes :

• Définit la priorité de la demande sur Critique.
• Fait passer l'étape de traitement du cas à Incident
• Attribue la demande au responsable SOC
• Envoie une notification à tous les analystes

Pour marquer une demande comme incident, procédez comme suit :

1. Sur la page Demandes, accédez à la demande concernée.
2. Cliquez sur format_list_bulleted Actions sur la demande, puis sélectionnez Incident.
3. Dans la boîte de dialogue Confirmation, cliquez sur Oui. La page s'actualise et le nouvel incident apparaît dans la liste des demandes avec l'icône d'incident et une barre latérale rouge indiquant un niveau critique. La demande est automatiquement attribuée à un utilisateur disposant du rôle de gestionnaire SOC.

Modifier l'étape de traitement du cas

Si une demande vous est attribuée, vous pouvez modifier son étape en fonction du workflow de votre équipe.

Pour modifier l'étape d'un cas, procédez comme suit :

1. Sélectionnez une demande dans la file d'attente.
2. Cliquez sur format_list_bulleted Actions sur la demande, puis sélectionnez Étape.
3. Sélectionnez l'une des étapes suivantes :
   • Triage : phase initiale lors de la création de la demande. Il s'agit de l'option par défaut.
   • Évaluation : la demande est transmise au niveau supérieur pour évaluation.
   • Investigation : une investigation active des alertes et des entités est attribuée à la demande.
   • Amélioration : la demande est signalée pour affiner les règles de détection du SOC ou pour un examen de suivi.
   • Recherche : le cas est attribué à une enquête plus approfondie sur l'accès externe ou le comportement des menaces pour votre organisation.
   • Incident : étape finale de la demande pour les événements critiques. Une fois que vous avez sélectionné Incident, vous ne pouvez plus modifier ce choix.
4. Cliquez sur Enregistrer.

Modifier la priorité de la demande

Pour modifier la priorité d'une demande, procédez comme suit :

1. Sélectionnez une demande dans la file d'attente.
2. Cliquez sur format_list_bulleted Actions sur la demande, puis sélectionnez Priorité.
3. Choisissez l'un des niveaux suivants, chacun ayant un indicateur de couleur de demande correspondant :
   • Informatif (gris)
   • Faible (bleu)
   • Moyen (jaune)
   • Élevé (orange)
   • Critique (rouge)
4. Cliquez sur OK. La priorité de la demande est modifiée.
5. Facultatif : Cliquez sur l'échantillon de couleur pour modifier la couleur de la barre de cas.

Télécharger un rapport de demande d'assistance

Vous pouvez télécharger un rapport de demande au format DOC, XLSX ou CSV. Les rapports incluent les informations suivantes :

• Détails de la demande
• Alertes, entités et insights
• Activités des utilisateurs et du système
• Actions du playbook et activité de la demande d'assistance
• Toutes les entrées incluses dans le mur de cas

Pour télécharger un rapport, procédez comme suit :

1. Sélectionnez une demande dans la file d'attente.
2. Cliquez sur format_list_bulleted Actions sur les demandes, puis sélectionnez Signaler.
3. Dans la boîte de dialogue Sélectionner le type de rapport, sélectionnez le type de fichier, puis cliquez sur Sélectionner.
4. Ouvrez le fichier téléchargé pour afficher le rapport.

Gérer les alertes dans une demande

Pour gérer des alertes spécifiques dans une demande, procédez comme suit :

1. Dans le menu Options d'alerte (situé dans l'onglet Alertes de l'ancienne interface ou dans le panneau/canevas des détails de l'alerte de l'interface améliorée), cliquez sur more_vert Options d'alerte.
2. Sélectionnez l'une des options disponibles :
• Explorer l'alerte : pour en savoir plus sur la page Résultats des alertes, cliquez sur Examiner une alerte.
• Ingérer l'alerte en tant que scénario de test : cliquez sur Ingérer l'alerte en tant que scénario de test pour ajouter un nouveau scénario de test au système. Le système le marque comme scénario de test pour l'identifier. Les alertes ingérées sont exclues des tableaux de bord et des rapports, et ne sont pas regroupées avec d'autres alertes.
• Modifier la priorité : nous vous recommandons de modifier la priorité de l'alerte plutôt que celle de la demande. La modification de la priorité de l'alerte n'affecte pas la priorité du cas. Pour en savoir plus, consultez Modifier la priorité de l'alerte au lieu de la priorité de la demande.
• Déplacer l'alerte : si un cas comportant plusieurs alertes vous est attribué, vous pouvez déplacer l'alerte vers un nouveau cas ou déplacer l'alerte vers un cas existant. Si vous sélectionnez Déplacer l'alerte vers un cas existant, choisissez le cas de destination dans le menu, puis cliquez sur Déplacer.
• Gérer la règle de détection de l'alerte : disponible uniquement pour les utilisateurs de Google Security Operations.
• S'il s'agit d'une règle Google SecOps prédéfinie, le système vous redirige vers la page Détection des règles. Pour en savoir plus, consultez Filtrer les données dans la vue "Détections de règles".
• S'il s'agit d'une règle client, le système vous redirige vers la page Éditeur de règles. Pour en savoir plus, consultez Gérer les règles à l'aide de l'éditeur de règles.
• Fermer l'alerte: Ferme l'alerte dans le dossier. Sélectionnez une valeur dans le champ Motif, Cause principale ou Utilité.
• Le champ Utilité n'apparaît que pour les utilisateurs de Google SecOps. Il aide les analystes de règles à obtenir des commentaires plus précis sur les règles d'alerte à partir des commentaires des clients.
• Les alertes fermées dans une demande apparaissent comme indisponibles et affichent un tag Fermée. Vous ne pouvez fermer une alerte que si d'autres alertes sont présentes dans le cas et qu'il vous est attribué.
• Ajouter une entité : ajoutez manuellement une entité existante ou nouvelle à une alerte.

Exécuter une action manuelle dans une demande d'assistance

Les actions manuelles et les actions de playbook deviennent disponibles après l'installation de l'intégration correspondante depuis le Content Hub.

Pour exécuter une action manuelle dans une demande, procédez comme suit :

1. Dans la demande sélectionnée, cliquez sur Action manuelle.
2. Dans la boîte de dialogue Action manuelle, sélectionnez l'action requise. Par exemple, sélectionnez VirusTotalV3 > Enrich URL (Enrichir l'URL). Saisissez les informations demandées.
3. Sélectionnez les alertes et les entités auxquelles l'action doit s'appliquer.
4. Cliquez sur Exécuter pour afficher les détails de l'action sur le mur des cas.

Simuler des cas dans Google SecOps

Vous pouvez simuler une demande contenant des alertes par défaut générées par le système. Les cas simulés sont utiles dans les environnements de préproduction ou pour les démonstrations.

Vous pouvez également créer des cas personnalisés ou importer des cas existants au format JSON à l'aide de fichiers portant le suffixe ".CASE".

Pour simuler un cas, procédez comme suit :

1. Dans l'en-tête File d'attente des demandes, cliquez sur Ajouter une demande, puis sélectionnez Simuler des demandes.
   
2. Dans la boîte de dialogue Simuler des cas, sélectionnez un cas dans la liste.
3. Cliquez sur Créer.

Créer une demande

Pour créer une demande simulée, procédez comme suit :

1. Dans la boîte de dialogue Simuler des cas, cliquez sur  Ajouter ou importer un cas, puis sur Ajouter un cas.
2. Dans la boîte de dialogue Ajouter une demande, saisissez le nom de la source/du SIEM, le nom de la règle (générateur de règles), le produit de l'alerte, le nom de l'alerte et le nom de l'événement.
3. Vous pouvez également fournir les éléments suivants :
   • Champs d'alerte supplémentaires
   • Champs d'événement supplémentaires
4. Cliquez sur Enregistrer. Le cas apparaît dans la liste Simuler des cas.
5. Sélectionnez le cas que vous venez de créer, puis cliquez sur Créer.
6. Sélectionnez l'environnement cible, puis cliquez sur Simuler. La nouvelle demande apparaît dans la file d'attente.

Importer une demande dans un fichier JSON

Pour importer une demande dans un fichier JSON, procédez comme suit :

1. Dans la boîte de dialogue Simuler des cas, cliquez sur  Ajouter ou importer un cas, puis sur Importer un cas.
2. Sélectionnez la demande requise, puis cliquez sur Ouvrir. La demande est importée au format JSON.

Effectuer des actions par lot sur plusieurs demandes

Vous pouvez effectuer des actions groupées sur plusieurs demandes à partir de la file d'attente des demandes ou de la page Rechercher.

Les actions groupées disponibles sont les suivantes :

• Exporter au format CSV : télécharge une liste des demandes sélectionnées et de leurs métadonnées au format CSV pour un examen ou un reporting hors connexion.
• Fermer la demande : vous pouvez fermer des demandes à l'aide de différentes options d'interface, y compris la page d'informations de la demande, la file d'attente des demandes (vues côte à côte et sous forme de liste) et la page de recherche. Vous pouvez clôturer une demande une fois qu'elle est résolue.
• Rouvrir la demande : rouvre les demandes précédemment clôturées pour reprendre l'investigation ou les actions de suivi.
• Modifier la priorité : met à jour le niveau de priorité (Faible, Moyenne, Élevée ou Critique) des demandes sélectionnées pour refléter l'urgence ou la gravité.
• Attribuer la demande : attribue une demande à un utilisateur ou à un groupe spécifique pour une enquête plus approfondie.
• Ajouter un tag : applique un ou plusieurs tags aux demandes sélectionnées pour faciliter le filtrage, la catégorisation ou les règles d'automatisation.
• Fusionner des demandes : combine plusieurs demandes associées en une seule pour réduire les doublons et centraliser l'investigation.
• Modifier l'étape : met à jour l'étape des demandes sélectionnées pour refléter leur progression ou leur état.

Pour effectuer une action groupée, procédez comme suit :

1. Accédez à Investigation (Investigation), puis cliquez sur SOAR Search (Recherche SOAR) ou accédez à la file d'attente des demandes sur la page Cases (Demandes).
2. Sélectionnez la période correspondant aux demandes concernées.
3. Sélectionnez les demandes à l'aide du filtre requis.
4. Cochez les cases pour appliquer les filtres pertinents > Appliquer.
5. Dans la liste Résultats, cochez les cases correspondant aux demandes que vous souhaitez modifier.
6. Sélectionnez une action dans le menu Résultats de recherche.

Actions rapides

Le widget Actions rapides vous permet de définir des actions réutilisables que vous pouvez exécuter directement à partir des demandes et des alertes. Vous pouvez ajouter ce widget à la vue des demandes, à la vue des alertes et aux vues d'alertes personnalisées dans les playbooks, que ce soit dans l'ancienne ou la nouvelle expérience.

La définition de paramètres pour les actions rapides est facultative. Si elles sont fournies, vous pouvez les examiner et les modifier avant l'exécution. Si vous ne renseignez pas ce champ, les paramètres doivent être renseignés au moment de l'exécution.

Si une intégration est supprimée après la configuration d'une action rapide, le bouton Action rapide correspondant est masqué, et le widget est signalé dans la vue de configuration pour indiquer une intégration manquante.

Pour obtenir des instructions de configuration, consultez les sections suivantes :

• Définir la vue par défaut des demandes
• Définir la vue d'alerte par défaut
• Définir des vues d'alerte personnalisées à partir du Créateur de playbook

Cas d'utilisation : configurer une action rapide pour l'investigation sur les fichiers malveillants

Ce cas d'utilisation montre comment créer une action rapide qui permet d'examiner des fichiers potentiellement malveillants dans une demande.

Ajouter le widget Actions rapides

1. Accédez à Paramètres > Investigation > Vues.
2. Sélectionnez Vue des demandes par défaut.
3. Sélectionnez l'onglet Général.
4. Faites glisser le widget Actions rapides dans la vue par défaut des demandes.

Configurer le widget

1. Cliquez sur Paramètres Configuration.
2. Dans le panneau latéral Actions rapides, saisissez File Investigation comme titre du widget.
3. Pour la description du widget, saisissez Quickly scan file hashes..
4. Facultatif : choisissez une largeur de widget.
5. Cliquez sur Paramètres avancés.
6. Dans la section Conditions, définissez les critères d'affichage du widget. Pour n'afficher le widget que lorsqu'une demande est taguée avec malicious-file, utilisez la condition Case.Tags contient malicious-file.
   Remarque : Le widget Actions rapides s'affiche par défaut. Toutefois, si des conditions sont définies dans la section Conditions, le widget n'apparaîtra que lorsque ces conditions seront remplies. Cela vous permet de contrôler la visibilité du widget et de vous assurer qu'il ne s'affiche que pour les demandes ou les alertes pertinentes.

Ajouter un bouton "Analyser le hachage"

1. Dans Texte, vous pouvez fournir des instructions ou du contexte directement dans le widget. Pour ce cas d'utilisation, ajoutez le texte suivant : Use the 'Scan Hash' button to check suspicious files.
2. Dans Boutons, cliquez sur + Ajouter un bouton pour créer une action rapide. Vous pouvez ajouter jusqu'à six boutons, chacun correspondant à une action rapide différente.
3. Dans la boîte de dialogue Ajouter un bouton qui s'affiche, configurez l'action rapide (Scanner le hachage) :
   • Nom : Scan Hash
   • Couleur du bouton : choisissez une couleur.
   • Action : sélectionnez Analyser le hachage dans la section "VirusTotal" de la liste Action.
     Remarque : Seules les intégrations installées et configurées seront disponibles dans la liste.
   • Facultatif : choisissez l'instance appropriée pour VirusTotal.
   • Facultatif : dans Paramètres, définissez le paramètre Hachage :
     Hachage : [Case.FileHash]
4. Dans la boîte de dialogue Ajouter un bouton, cliquez sur Fermer.
5. Dans le panneau latéral Actions rapides, cliquez sur Enregistrer.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.