Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

使用检测工程智能体

本指南面向希望使用检测工程智能体评估和强化 Google Security Operations 安全状况以应对新威胁和现有威胁的安全工程师和 SOC 分析师。检测工程智能体是一款 AI 赋能的工程助理，属于 Google SecOps 的一部分。您可以使用由兼容的 AI 客户端（例如 Google Antigravity 或 Claude Code）操作的 Model Context Protocol (MCP) 工具来访问该智能体。借助检测工程智能体，您可以提取威胁情报并自动起草 YARA-L 规则，从而缩短自定义安全自动化功能的价值实现时间，并提高风险缓释能力。

这款 AI 赋能的助理可帮助您提取威胁情报并自动起草 YARA-L 检测规则，缩短自定义安全自动化实现价值的时间，并加快风险缓释速度。

主要术语

检测工程智能体：嵌入在 Google SecOps 中的 AI 赋能工程助理，由 AI 客户端（例如 AntiGravity 或 Claude Code）使用 MCP 工具进行操作。
Model Context Protocol (MCP)：一种开源标准，用于将 AI 应用连接到外部系统，在各种 Google Cloud 服务中用于将 AI 智能体和应用安全地连接到各种数据源和基础设施工具。
威胁检测机会 (TDO)：一种正式的数据模型，旨在识别、跟踪潜在的新检测规则或分析，并确定其优先级。
合成事件：为模拟输入 TDO 而生成的统一数据模型 (UDM) 日志。

准备工作

在开始之前，请确认满足以下前提条件：

环境检查 - AI 客户端
所需的角色和权限

环境检查 - AI 客户端

您必须运行能够与 MCP 工具对接的 AI 客户端（例如 Antigravity 或 Claude Code）。

所需的角色和权限

本部分列出了人类用户和服务账号所需的 Identity and Access Management (IAM) 权限以及推荐的预定义角色。

所有主账号用户所需的角色

调用检测工程智能体的每个主账号都必须具有以下角色：MCP 工具用户和 Chronicle API Viewer。请确保系统管理员为所有主要用户更新这些角色。

如需更多指导，请参阅 Google SecOps MCP 文档。

所需的核心权限

如需运行检测工程代理，您需要具备以下权限：

chronicle.ade.generateThreatDetectionOpportunity
chronicle.ade.generateSyntheticEvents
chronicle.ade.evaluateRuleCoverage
chronicle.ade.generateRules
chronicle.operations.get

所需的规则管理和解析器权限

您需要具备以下权限才能管理规则和解析器：

chronicle.rules.list
chronicle.rules.get
chronicle.rules.verify
chronicle.rules.create
chronicle.rules.update
chronicle.ruleDeployments.get
chronicle.ruleDeployments.update
chronicle.parsers.list
chronicle.parsers.get
chronicle.logTypes.list

所需的远程 MCP 服务器和项目服务使用权限

如需调用远程 MCP 服务器并使用 MCP 工具的项目服务，您需要具有以下权限：

mcp.tools.call（由 roles/mcp.toolUser 角色授予）
serviceusage.services.use（由 roles/serviceusage.serviceUsageConsumer 角色授予）

必需和建议的预定义角色

以下预定义角色可为人类用户和服务账号提供必要的权限：

roles/chronicle.admin（或 roles/chronicle.editor）
roles/mcp.toolUser
roles/serviceusage.serviceUsageConsumer

设置 MCP 服务器

请参阅 MCP 服务器配置指南，创建 settings.json。收集完所有内容后，请确保 settings.json 文件的内容如下所示：

{
  "name": "my_extension_name",
  "version": "1.0.0",
  "mcpServers": {
    "GoogleSecOps": {
      "httpUrl": "https://us-chronicle.googleapis.com/mcp",
      "authProviderType": "google_credentials",
      "oauth": {
        "scopes": [
          "https://www.googleapis.com/auth/cloud-platform",
          "https://www.googleapis.com/auth/chronicle"
        ]
      },
      "timeout": 300000,
      "headers": {
        "x-goog-user-project": "my-cloud-project-name"
      }
    }
  }
}

设置上下文文件

首先，您需要设置上下文文件，以确保 Gemini 针对每个请求定位到正确的 Google SecOps 实例。

为了保持轻量，Google 建议您先在 Gemini.md 文件中添加以下内容，然后在此基础上进行构建。使用 Google SecOps 实例和环境的正确信息进行更新：

When using the Google SecOps MCP server, use these parameters for EVERY request: Customer ID: aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa Region: us Project ID: my-cloud-project-name

设置技能以与工具互动

Google 强烈建议您使用 detection-engineering-coverage-evaluation 技能与工具进行交互。此技能可防止 AI 总结或缩写关键工具输出。

此技能内置为 detection-engineering-coverage-evaluation，并公开托管在 Google Agent Skills GitHub 代码库中。

主要功能

本部分介绍了 Detection Engineering Agent 提供的威胁分析和规则生成关键功能。

生成威胁检测切入点

generate_threat_detection_opportunity 工具会从各种来源（例如安全博客和内部发现结果）提取并丰富原始威胁情报，以创建优先 TDO 进行分析。此步骤中生成的 TDO 会告知后续检测工程智能体步骤，以评估现有规则覆盖范围或生成新规则。

如需使用 generate_threat_detection_opportunity 工具，请指示 Gemini 使用 curl 提取文本，或者您可以将威胁报告中的原始文本复制并粘贴到该工具中。

生成合成事件

如需为 TDO 生成合成事件，您的 Google SecOps 实例必须已注入原始日志，并且该 TDO 中至少有一种受支持的日志类型具有活跃解析器。

支持的日志类型

合成事件生成支持以下八种日志类型：

类别	供应商或产品	日志类型
端点检测和响应 (EDR)	CrowdStrike Falcon	`CS_EDR`
端点检测和响应 (EDR)	Microsoft Defender for Endpoint	`MICROSOFT_DEFENDER_ENDPOINT`
端点检测和响应 (EDR)	SentinelOne EDR	`SENTINEL_EDR`
杀毒软件和端点	Windows Defender ATP	`WINDOWS_DEFENDER_ATP`
DNS	Zscaler DNS	`ZSCALER_DNS`
Google Cloud	Google Workspace 活动	`WORKSPACE_ACTIVITY`
身份和访问权限管理	Okta	`OKTA`
SaaS 应用	Microsoft 365 (Office 365)	`OFFICE_365`

评估覆盖率

检查 Google SecOps 实例中的现有规则是否会针对通过事件模拟注入的模拟事件触发。如果有任何规则与模拟事件匹配，该工具会返回匹配的规则标识符和覆盖率结果元数据。如果没有匹配的规则，则会返回空结果，表示存在覆盖范围缺口。

生成草稿规则

检测工程智能体通过根据用户输入或自然语言创建 YARA-L 规则草稿，将检测逻辑编入代码，以解决覆盖率评估期间发现的差距。当您使用 detection-engineering-coverage-evaluation 技能时，智能体仅会为没有匹配的现有规则的 TDO 生成草稿规则，并且仅在所有 TDO 的覆盖率评估完成后才会生成。这样可以防止针对现有规则已涵盖的威胁创建重复规则。

generate_rules 工具不会自动将草稿规则添加到 Google SecOps 实例。查看草稿规则后，您可以通过以下任一方式添加这些规则：

使用 AI 客户端：detection-engineering-coverage-evaluation 技能会提示您批准或拒绝每个草稿规则。对于您批准的每条规则，AI 客户端都会调用 Google SecOps MCP 服务器上的 create_rule 工具，在您的实例中创建该规则。
手动创建规则：从工具输出中复制规则文本，然后在规则编辑器中创建规则。

问题排查

请参阅下表，在评估过程中自行解决常见问题：

问题	说明	修复
工具运行失败	`generate_synthetic_events` 工具反复失败。	验证 TDO 是否包含至少一种受支持的日志类型，以及您的 Google SecOps 实例是否已注入原始日志和该日志类型的有效解析器。否则，请跳过该 TDO 的合成事件生成，并继续处理其余 TDO。
摘要错误	AI 在执行过程中会缩写日志类型或采取快捷方式。	确保正在使用 `detection-engineering-coverage-evaluation` 技能与系统进行交互。