使用第三方上下文智能体调查提醒

支持的平台：

Google SecOps

注意： 此功能受 Google Security Operations 服务专用条款的正式发布前产品条款的约束。我们对正式发布前功能的支持可能有限，并且对正式发布前功能的更改与其他正式发布前版本可能不兼容。如需了解详情，请参阅 Google SecOps 技术支持服务准则和 Google SecOps 服务专用条款。
如果您的环境中未显示此功能，请参阅管理预览版功能或与您的系统管理员联系。

注意：此功能可能仅面向部分区域的部分客户提供。在 Google SecOps 平台的公开预览版管理器页面中，无法管理非公开预览版功能。

重要提示： 您需要在 Google Security Operations 平台中选择启用第三方 (3P) 上下文代理，然后才能开始使用该代理。如需了解详情，请参阅配置第三方上下文代理。

本指南适用于希望高效调查安全提醒的安全分析师。本文介绍了如何在 Google SecOps 中利用 AI 赋能的 Google SecOps 第三方上下文感知代理来执行以下操作：

• 自动利用从组织环境中提取的关键外部情境数据来丰富提醒和实体。
• 通过添加其他上下文调查数据来增强分类和调查智能体 (TIN) 的判定结果。

使用第三方情境代理后，您可以减少手动数据收集工作，并加快分类流程。这样一来，您就无需再开发和维护自定义扩充工作流，从而节省时间。成功使用第三方上下文代理可缩短平均响应时间 (MTTR)，并在调查期间做出更明智的决策，从而通过改善安全状况和运营效率来提供显著的业务价值。

主要术语

• 第三方上下文智能体：这款 AI 赋能的助理可自动利用环境中部署的第三方工具中的上下文数据来丰富提醒。
• Triage and Investigation agent (TIN)：执行初始提醒分析并创建相应结论的代理。第三方上下文智能体充当 TIN 的子智能体。
• 丰富化：向提醒添加更多上下文信息的过程。使用第三方情境代理时，可以通过各种集成（无论是商业集成还是自定义集成）手动或自动添加丰富信息。这些数据源可能包括安全工具、工单系统和其他数据源。

非公开预览版期间的配额用量

• 第三方上下文智能体：在私密预览阶段，使用第三方上下文智能体来丰富第三方工具的数据不会消耗您的 AI 配额。
• TIN：触发第三方上下文代理时，TIN 代理可能会额外消耗平均 5% 的 AI 配额。
• 使用集成：当您在第三方上下文代理中出于丰富数据的目的使用集成时，可能会产生额外的集成费用，这与您手动运行集成或使用剧本时的情况类似。

准备工作

请确保您已满足或将满足以下条件：

• 权限：对第三方情境代理的配置访问权限通过 SIEM 设置进行管理。依次前往 SIEM 设置 > Gemini 调查 > 第三方上下文代理。您可能需要具有特定的 Identity and Access Management (IAM) 角色才能修改这些设置。
• 环境检查：确保相关第三方集成（例如 EDR、IAM 和威胁情报工具）已在您的 Google SecOps 环境中安装并处于活跃状态。第三方上下文代理只能利用已部署和配置的集成。

第三方上下文智能体的工作方式

安全措施和限制

第三方上下文智能体在严格的保护措施约束下运行。它仅限于从商业集成中访问只读扩充操作。它无法执行任何会修改这些第三方系统内的数据或状态的操作。

第 1 阶段：触发第三方上下文智能体

3P Context Agent 主要在 TIN 运行时作为子代理触发。如果您已选择启用 Gemini 调查设置，系统会自动执行此操作。

第 2 阶段：工具和数据源

1. 动态选择工具：第三方上下文智能体可根据所涉及的提醒类型和实体，从已安装的第三方集成中智能选择最合适的工具。
2. Google SecOps 第一方工具：以下第一方工具由 TIN 直接执行，而不是由第三方上下文代理执行：
   • GoogleChronicle
   • Google Threat Intelligence (GTI)
   • Mandiant
   • Mandiant Threat Intelligence
   • VirusTotal
   • VirusTotal V3

第 3 阶段：查看结果

1. 提醒实体：前往提醒详情页面。与提醒关联的实体将通过第三方上下文智能体的发现结果进行丰富。这些数据也可用于 playbook。
2. 扩充判定结果：第三方上下文智能体生成的输出结果还可用于扩充 TIN 判定结果和置信度。
3. Gemini 调查时间轴：查看调查时间轴。第三方上下文智能体执行的每项工具都会记录在此处，包括发现摘要和用于查看原始结果的选项。
4. 由第三方上下文智能体执行的所有富集工具（包括其结果）都将在支持请求墙中显示并接受审核。

配置第三方上下文智能体

1. 访问设置：依次前往 SIEM 设置 > Gemini 调查 > 第三方上下文代理。
2. 启用或停用：通过更改切换开关来启用或停用第三方上下文智能体。
3. 管理工具：
   • 默认情况下，所有新安装的集成都会自动纳入。您可以选择要排除哪些工具（如果有）。
   • 在已安装的集成中，查看可用的只读丰富化工具列表。
   • 停用整个集成或集成中的特定操作，以控制第三方上下文智能体可以访问哪些数据。
4. 管理实例（集成配置）：
   • 默认情况下，3P Context Agent 会先从执行环境中选择一个已配置的实例。如果环境中没有已配置的现有实例，3P Context Agent 会自动使用可用的共享实例（如果存在）。
   • 对于每个环境，您可以停用自动选择功能，并手动从环境或共享实例中选择实例。如果您为环境配置了多个实例，并且希望 3P Context Agent 使用特定实例，则此功能非常有用。
   • 您可以完全停用特定环境的第三方上下文智能体访问权限，以防止该智能体在这些环境中使用工具。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。