Vertex AI を Google SecOps と統合する

このドキュメントでは、Vertex AI を Google Security Operations（Google SecOps）と統合する方法について説明します。

統合バージョン: 1.0

始める前に

この統合を使用するには、 Google Cloud プロジェクト、 Google Cloud サービス アカウント、Identity and Access Management（IAM）ロールが必要です。

料金の詳細については、Vertex AI の料金をご覧ください。

Google Cloud プロジェクトを設定する

Vertex AI 統合用の Google Cloud プロジェクトを作成して構成するには、 Google Cloud プロジェクトを設定します。

サービス アカウントを作成して構成する

Vertex AI を Google SecOps と統合するには、既存のサービス アカウントを使用するか、新しいサービス アカウントを作成します。サービス アカウントの作成については、サービス アカウントを作成するをご覧ください。

Workload Identity のメールアドレスを使用して統合を構成しない場合は、サービス アカウントの作成後にJSON でサービス アカウント キーを作成します。統合パラメータを構成するときに、ダウンロードした JSON キーファイルの内容をすべて指定する必要があります。

セキュリティ上の理由から、サービス アカウントの JSON キーではなく、ワークロード ID のメールアドレスを使用することをおすすめします。ワークロード ID の詳細については、ワークロードの ID をご覧ください。

IAM ロールを構成する

Vertex AI と統合するには、統合の構成に使用するサービス アカウントに Vertex AI ユーザー（roles/aiplatform.user）IAM ロールを付与します。

Vertex AI の IAM ロールの詳細については、IAM による Vertex AI のアクセス制御をご覧ください。

統合のパラメータ

Vertex AI インテグレーションには、次のパラメータが必要です。

パラメータ 説明
API Root 必須

Vertex AI インテグレーションの API ルート。

デフォルト値は https://LOCATION-aiplatform.googleapis.com です。
Workload Identity Email Optional

Workload Identity 連携のクライアント メールアドレス。

このパラメータまたは Service Account Json File Content パラメータを構成できます。

この統合では、サービス アカウント キーの JSON ファイルを使用した認証が Workload Identity 連携よりも優先されます。

Workload Identity 連携を使用してサービス アカウントの権限を借用するには、サービス アカウントに Service Account Token Creator ロールを付与します。ワークロード ID とその操作方法の詳細については、ワークロードの ID をご覧ください。
Service Account Json File Content Optional

サービス アカウント キーの JSON ファイルの内容。

このパラメータまたは Workload Identity Email パラメータを構成できます。

このパラメータを構成するには、サービス アカウントの作成時にダウンロードしたサービス アカウント キーの JSON ファイルの内容全体を指定します。

認証方法としてサービス アカウントを使用する方法については、サービス アカウントの概要をご覧ください。
Project ID Optional

統合で使用するプロジェクト ID。

このパラメータの値を設定しない場合、統合は Google Cloud サービス アカウントからプロジェクト ID を取得します。
Default Model Optional

統合で使用するデフォルト モデルの名前。

デフォルト値は gemini-1.5-flash-002 です。
Location Optional

Vertex AI API のロケーション ID。

値を設定しない場合、統合は API ルートからロケーション ID を抽出します。

ロケーション、エンドポイント、リソースの詳細については、Vertex AI API をご覧ください。
Verify SSL 必須

選択すると、統合によって Vertex AI への接続用の SSL 証明書が有効かどうかが検証されます。

デフォルトで選択されています。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、Your Workdesk から保留中のアクションに対応すると手動アクションを実行するをご覧ください。

EML を分析する

EML の分析アクションを使用して、Vertex AI で EML ファイルを分析します。この操作では、すべてのファイルが個別に送信されます。

このアクションは Google SecOps エンティティに対しては実行されません。

アクション入力

[EML を分析] アクションには、次のパラメータが必要です。

パラメータ 説明
Model ID Optional

使用するモデルの ID（gemini-1.5-flash-002 など）。
Temperature Optional

トークン選択のランダム性の度合いを制御する値。このパラメータは float データ型の値を受け入れます。

温度値の詳細については、パラメータ値を試すをご覧ください。
Files To Analyze 必須

分析用に送信する EML ファイルのカンマ区切りのリスト。
Max Output Tokens Optional

各レスポンスで生成する出力トークンの最大数。

トークンは約 4 文字です。100 トークンは約 60 ～ 80 語に相当します。この上限は、個々のエンティティごとに適用されます。

詳細については、パラメータ値を試すをご覧ください。

デフォルト値は 100 です。

アクションの出力

[EML を分析] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[EML を分析] アクションを使用したときに受信した JSON 結果の出力です。

[{
   "Entity": "file",
   "EntityResult": {
       "raw": "{\"threat_level\": \"High\", \"threats_found\": [{\"threat\": \"Phishing Links\", \"explanation\": \"Multiple links point",
       "extracted_info": {
           "threat_level": "High",
           "threats_found": [
               {
                   "threat": "Phishing Links",
                   "explanation": "Multiple links point to example.com, a suspicious domain likely used for phishing campaigns.",
                   "example": "URL"
               },
               {
                   "threat": "Social Engineering",
                   "explanation": "The email uses urgency and scarcity tactics, pressuring the recipient to click links quickly.",
                   "example": "Register Now and Save $1,000 on all 2-Day Project Management (Fundamentals)"
               },
               {
                   "threat": "Suspicious Domain",
                   "explanation": "The email uses the domain example.com', which is not commonly associated with legitimate businesses or organizations and may be a newly registered domain for malicious purposes. This should be checked for validity and legitimacy. The email also uses the domain pdu-xl.com which may also be suspicious.",
                   "example": "example.com"
               }
           ],
           "verification_steps": [
               "Check the domain reputation of example.com using online tools like VirusTotal or URLVoid.",
               "Analyze email headers to identify the true sender's IP address and location using email analysis tools.",
               "Verify the legitimacy of mentioned products or services by independently contacting the companies mentioned."
           ],
           "protection_measures": [
               "Avoid clicking links in suspicious emails. Hover over links to check the actual URL in a separate tool.",
               "Enable email filtering and anti-phishing features in your email client.",
               "Regularly update your antivirus and anti-malware software.",
               "Educate users about social engineering tactics and phishing schemes."
           ]
       },
       "usageMetadata": {
           "promptTokenCount": 12,
           "candidatesTokenCount": 778,
           "totalTokenCount": 790
       }
   }
}]
出力メッセージ

[EML を分析] アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully analysed the following EML files using Vertex AI: FILE_PATHS アクションが成功しました。
Error executing action "Analyze EML". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[EML を分析] アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

エンティティの説明

エンティティの説明アクションを使用して、Vertex AI を使用してエンティティに関する情報を要約します。

このアクションはすべての Google SecOps エンティティに対して実行され、各エンティティが個別に送信されます。

アクション入力

エンティティの説明アクションには、次のパラメータが必要です。

パラメータ 説明
Model ID Optional

使用するモデルの ID（gemini-1.5-flash-002 など）。
Temperature Optional

トークン選択のランダム性の度合いを制御する値。このパラメータは float データ型の値を受け入れます。

温度値の詳細については、パラメータ値を試すをご覧ください。
Exclude Fields Optional

エンティティの概要の生成時に除外する Google SecOps エンティティ メタデータ フィールドのカンマ区切りのリスト。
Force Refresh Optional

選択すると、アクションは Refresh After (Days) パラメータとハッシュ検証を無視し、アクションが実行されるたびにエンティティの概要を再生成します。

デフォルトでは選択されていません。
Refresh After (Days) 必須

エンティティの概要を更新する前にアクションが待機する日数。

このアクションは、Fields To Ignore パラメータの値を除く、Vertex AI に送信されるすべての入力に基づいてハッシュ値を生成します。ハッシュ値が変更された場合、アクションは設定された日数の経過後に概要を更新します。ハッシュ値が変更されていない場合、Refresh After (Days) parameter value is earlier than the latest summary generation time. が変更されていても、アクションは概要を更新しません。

The action validates the hash value of the latest actual generated summary and ignores the cached hash value.

The default value is 30.
Max Output Tokens Optional

各レスポンスで生成する出力トークンの最大数。

トークンは約 4 文字です。100 トークンは約 60 ～ 80 語に相当します。この上限は、個々のエンティティごとに適用されます。

詳細については、パラメータ値を試すをご覧ください。

アクションの出力

[エンティティの説明を取得] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、エンティティの説明アクションを使用した場合に受信される JSON 結果の出力です。

[
    {
        "Entity": "1B16D64CE18772B8F77C74C3D4DC24AA066BB117",
        "EntityResult": {
            "summary": "This is a suspicious, enriched, internal file hash (SHA1: 1B16D64CE18772B8F77C74C3D4DC24AA066BB117) identified as a Microsoft Excel 2007+ file (\"FC090000\") located on a user's desktop.  VirusTotal analysis shows 3 malicious flags out of 65 total engines.  The file contains macros, is potentially obfuscated, and exhibits behaviors like writing to files, running DLLs, and downloading content.  It was last modified on 2024-11-13 and created on 2021-07-07.  The file is linked to a single case (\"potential_apt_doc_files\") which was closed.  The file is flagged as an artifact but not vulnerable or a pivot point.\n",
            "usageMetadata": {
                "promptTokenCount": 12,
                "candidatesTokenCount": 778,
                "totalTokenCount": 790
            }
        }
    }
]
出力メッセージ

エンティティの説明アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明
Successfully summarized the entity based on the available information using Vertex AI. アクションが成功しました。
Error executing action "Describe Entity". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、エンティティの説明アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

プロンプトを実行する

プロンプトの実行アクションを使用して、Vertex AI を使用して個々のテキスト プロンプトを実行します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクション入力

[プロンプトを実行] アクションには、次のパラメータが必要です。

パラメータ 説明
Model ID Optional

使用するモデルの ID（gemini-1.5-flash-002 など）。
Text Prompt 必須

プロンプトに含める指示のテキスト。
Temperature Optional

トークン選択のランダム性の度合いを制御する値。このパラメータは float データ型の値を受け入れます。

温度値の詳細については、パラメータ値を試すをご覧ください。
Candidate Count Optional

各アクション実行で返されるレスポンス バリエーションの数。

リクエストごとに、入力トークンと生成されたすべての候補の出力トークンに 1 回ずつ課金されます。
Response MIME Type Optional

生成された候補テキストの出力レスポンスのメディア（MIME）タイプ。

レスポンス メディア（MIME）タイプは、gemini-1.5-pro、gemini-1.5-flash のモデルで使用できます。

値は次のいずれかになります。

  • application/json
  • text/plain
  • text/x.enum
デフォルト値は text/plain です。
Response Schema Optional

生成された候補テキストのスキーマ。

このパラメータを使用するには、Response MIME Type パラメータを構成します。

レスポンス スキーマは、gemini-1.5-pro、gemini-1.5-flash のモデルで使用できます。
Max Input Tokens Optional

送信する入力トークンの最大数。

1 つのトークンは最大 4 文字で構成されます。100 トークンは 60 ～ 80 語に相当します。

値を設定しない場合、アクションはプロンプトを実行します。トークンの数が構成済みの最大数を超えると、アクションは失敗します。
Max Output Tokens Optional

各レスポンスで生成する出力トークンの最大数。

トークンは約 4 文字です。100 トークンは約 60 ～ 80 語に相当します。この上限は、個々のエンティティごとに適用されます。

詳細については、パラメータ値を試すをご覧ください。

アクションの出力

[プロンプトを実行] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[プロンプトを実行] アクションを使用したときに受信される JSON 結果の出力例を示しています。

{
  "candidates": [
    {
      "content": {
        "role": "model",
        "parts": [
          {
            "text": "Responding to a malicious email requires a layered approach.  Here's a breakdown of remediation steps, prioritizing actions based on urgency:\n\n**Immediate Actions (within minutes):**\n\n1. **Do NOT click any links or open any attachments.** This is paramount.  Malicious links can download malware, and attachments can contain viruses or exploits.\n\n2. **Disconnect from the internet (if possible).** This limits the damage the malware can do if it's already on your system.  Unplug your ethernet cable or turn off Wi-Fi.\n\n3. **Close the email immediately.** Don't even hover over links or attachments; the preview might be enough to trigger some malware.\n\n**Investigative Actions (within hours):**\n\n4. **Check your email account for unauthorized access.**  Look for unfamiliar sent emails, changed settings (like forwarding rules), or new accounts added.\n\n5. **Run a full system scan with your antivirus software.**  Ensure your antivirus definitions are up-to-date before running the scan.  Consider a second opinion scan with a different reputable antivirus program.\n\n6. **Review your computer's processes (Task Manager on Windows, Activity Monitor on macOS).** Look for unfamiliar processes consuming significant resources.  This could indicate malware activity.\n\n7. **Check your network connections.**  See if any unauthorized connections exist.\n\n8. **Change your email password immediately.** Use a strong, unique password.  Consider using a password manager.\n\n9. **If you clicked a link or opened an attachment, consider the potential impact.** Did you enter credentials?  Did you download a file?  The severity of action needed depends on this.\n\n**Remediation Actions (within days):**\n\n10. **Contact your IT department or security professional.**  They can provide expert guidance and assist with more advanced remediation steps.\n\n11. **Consider more advanced malware scanning tools.**  There are specialized tools that can detect malware missed by standard antivirus.\n\n12. **Review your operating system's security settings.**  Ensure firewalls are enabled and that other security features are adequately configured.\n\n13. **Report the malicious email to your email provider.** This helps them remove the email and prevent others from being affected. You can often do this by forwarding the email to an abuse reporting address provided by your provider.  Report it to the appropriate authorities if you suspect the email involves a crime.\n\n14. **Monitor your accounts and financial records for suspicious activity.**  Phishing emails often aim to steal credentials and financial information.\n\n**Preventive Actions (ongoing):**\n\n15. **Implement strong email filtering.** Use spam filters and configure your email provider's security settings to block suspicious emails.\n\n16. **Train yourself and others to identify phishing emails.**  Be wary of emails with unusual addresses, grammatical errors, urgent requests, or suspicious attachments.\n\n17. **Keep your software up to date.** Regularly update your operating system, applications, and antivirus software.\n\n18. **Use strong, unique passwords for all accounts.**  A password manager can assist with this.\n\n19. **Enable two-factor authentication (2FA) wherever possible.** This adds an extra layer of security to your accounts.\n\n\n**If you suspect your personal data or financial information has been compromised:**\n\n* **Contact your bank and credit card companies immediately.**  Report any suspicious transactions and consider placing a fraud alert on your accounts.\n* **Consider credit monitoring services.**  This can help you detect and respond to identity theft.\n\n\nThe severity of the remediation steps depends on the nature of the malicious email and what actions you took in response to it. If you're unsure about any step, err on the side of caution and seek professional help.\n"
          }
        ]
      },
      "finishReason": "STOP",
      "avgLogprobs": -0.4171245741660307
    }
  ],
  "usageMetadata": {
    "promptTokenCount": 12,
    "candidatesTokenCount": 778,
    "totalTokenCount": 790
  },
  "modelVersion": "gemini-1.5-flash-002",
"Text_context": ""
"extracted_info": ""
}
出力メッセージ

[プロンプトを実行] アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully executed a prompt. アクションが成功しました。
Error executing action "Execute Prompt". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Execute Prompt アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

Ping

Ping アクションを使用して、Vertex AI への接続をテストします。

このアクションは Google SecOps エンティティに対しては実行されません。

アクション入力

なし

アクションの出力

[Ping] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully connected to Vertex AI with the provided connection parameters! アクションが成功しました。

Failed to connect to Vertex AI. The API root that you provided doesn't match the following expected pattern: "https://((\w|-)+)-aiplatform.googleapis.com". Check the spelling.

Failed to connect to Vertex AI! The error is ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

データの変換

データの変換アクションを使用して、Vertex AI を使用してデータ変換を実行します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクション入力

[データの変換] アクションには、次のパラメータが必要です。

パラメータ 説明
Model ID Optional

使用するモデルの ID（gemini-1.5-flash-002 など）。
Text Prompt 必須

プロンプトに含める指示のテキスト。
Temperature Optional

トークン選択のランダム性の度合いを制御する値。このパラメータは float データ型の値を受け入れます。

温度値の詳細については、パラメータ値を試すをご覧ください。
JSON Object 必須

アクション入力として使用する JSON オブジェクト。
Max Output Tokens 必須

各レスポンスで生成する出力トークンの最大数。

トークンは約 4 文字です。100 トークンは約 60 ～ 80 語に相当します。この上限は、個々のエンティティごとに適用されます。

詳細については、パラメータ値を試すをご覧ください。

デフォルト値は 100 です。

アクションの出力

[データの変換] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[データの変換] アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
  "candidates": [
    {
      "content": {
        "role": "model",
        "parts": [
          {
            "text": "Respondo it. If you're unsure about any step, err on the side of caution and seek professional help.\n"
          }
        ]
      },
      "finishReason": "STOP",
      "avgLogprobs": -0.4171245741660307
    }
  ],
  "usageMetadata": {
    "promptTokenCount": 12,
    "candidatesTokenCount": 778,
    "totalTokenCount": 790
  },
  "modelVersion": "gemini-1.5-flash-002",
"Text_context": ""
"extracted_info": ""
}
出力メッセージ

[データの変換] アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully transformed provided data. アクションが成功しました。
Error executing action "Transform Data". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[データの変換] アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。