Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

使用检测工程智能体

本指南适用于希望使用 检测工程智能体评估和加强 Google Security Operations 安全状况以应对新威胁和现有威胁的安全工程师和 SOC 分析师。检测工程智能体是一款由 AI 赋能的工程助理，是 Google SecOps 的一部分。该智能体可通过由兼容的 AI 客户端（例如 Google Antigravity 或 Claude Code）运行的 Model Context Protocol (MCP) 工具进行访问。借助检测工程智能体，您可以提取威胁情报并自动起草 YARA-L 规则，从而缩短自定义安全自动化的价值实现时间并改进风险缓释。

这款由 AI 赋能的助理可帮助您提取威胁情报并自动起草 YARA-L 检测规则，缩短自定义安全自动化的价值实现时间，并加快风险缓释速度。

主要术语

检测工程智能体：嵌入在 Google SecOps 中的由 AI 赋能的工程助理，由 AI 客户端（例如 AntiGravity 或 Claude Code）使用 MCP 工具运行。
Model Context Protocol (MCP)：一种用于将 AI 应用连接到外部系统的开源标准，在 Google Cloud 服务中广泛使用，可将 AI 智能体和应用安全地连接到各种数据源和基础架构工具。
威胁检测机会 (TDO)：一种正式的数据模型，旨在识别、跟踪和确定潜在新检测规则或分析的优先级。
合成事件：为模拟输入 TDO 而生成的统一数据模型 (UDM) 日志。

准备工作

在开始之前，请确认满足以下前提条件：

环境检查 - AI 客户端
所需的角色和权限

环境检查 - AI 客户端

您必须运行能够与 MCP 工具交互的 AI 客户端（例如 Antigravity 或 Claude Code）。

所需的角色和权限

本部分列出了人类用户和服务账号所需的 Identity and Access Management (IAM) 权限和建议的预定义角色。

所有主账号用户所需的角色

调用检测工程智能体的每个主账号都必须具有以下角色：MCP 工具用户 和 Chronicle API 查看者 。确保系统管理员为所有主账号用户更新这些角色。

如需更多指导，请参阅 Google SecOps MCP 文档。

所需的核心权限

如需运行检测工程智能体，您需要具有以下权限：

chronicle.ade.generateThreatDetectionOpportunity
chronicle.ade.generateSyntheticEvents
chronicle.ade.evaluateRuleCoverage
chronicle.ade.generateRules
chronicle.operations.get

所需的规则管理和解析器权限

如需管理规则和解析器，您需要具有以下权限：

chronicle.rules.list
chronicle.rules.get
chronicle.rules.verify
chronicle.rules.create
chronicle.rules.update
chronicle.ruleDeployments.get
chronicle.ruleDeployments.update
chronicle.parsers.list
chronicle.parsers.get
chronicle.logTypes.list

所需的远程 MCP 服务器和项目服务使用权限

如需调用远程 MCP 服务器并使用 MCP 工具的项目服务，您需要具有以下权限：

mcp.tools.call（由 roles/mcp.toolUser 角色授予）
serviceusage.services.use（由 roles/serviceusage.serviceUsageConsumer 角色授予）

必需和建议的预定义角色

以下预定义角色为人类用户和服务账号提供了必要的权限：

roles/chronicle.admin（或 roles/chronicle.editor）
roles/mcp.toolUser
roles/serviceusage.serviceUsageConsumer

设置 MCP 服务器

请参阅 MCP 服务器配置指南，创建 settings.json。收集完所有内容后，请确保 settings.json 文件的内容如下所示：

{
  "name": "my_extension_name",
  "version": "1.0.0",
  "mcpServers": {
    "GoogleSecOps": {
      "httpUrl": "https://us-chronicle.googleapis.com/mcp",
      "authProviderType": "google_credentials",
      "oauth": {
        "scopes": [
          "https://www.googleapis.com/auth/cloud-platform",
          "https://www.googleapis.com/auth/chronicle"
        ]
      },
      "timeout": 300000,
      "headers": {
        "x-goog-user-project": "my-cloud-project-name"
      }
    }
  }
}

设置上下文文件

首先，您需要设置一个 上下文文件，以确保 Gemini 针对每个请求以正确的 Google SecOps 实例为目标。

为了保持一切轻量化，Google 建议您先在 Gemini.md 文件中使用以下内容，然后再以此为基础进行构建。请使用 Google SecOps 实例和环境的正确信息进行更新：

When using the Google SecOps MCP server, use these parameters for EVERY request: Customer ID: aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa Region: us Project ID: my-cloud-project-name

设置与工具交互的技能

Google 强烈建议您使用 detection-engineering-coverage-evaluation 技能与工具交互。此技能可防止 AI 总结或缩写关键工具输出。

此技能内置为 detection-engineering-coverage-evaluation，并公开托管在 Google Agent Skills GitHub 代码库中。

主要功能

本部分介绍了检测工程智能体提供的威胁分析和规则生成的主要功能。

生成威胁检测机会

generate_threat_detection_opportunity 工具会从来源（例如安全博客和内部发现）提取原始威胁情报并对其进行扩充，以创建用于分析的已确定优先级的 TDO。在此步骤中生成的 TDO 会告知后续检测工程智能体步骤，以评估现有规则覆盖范围或生成新规则。

如需使用 generate_threat_detection_opportunity 工具，请指示 Gemini 使用 curl 提取文本，或者您可以将威胁报告中的原始文本复制并粘贴到该工具中。

生成合成事件

检测工程智能体会生成模拟输入 TDO 的用户数据模型 (UDM) 日志。

评估覆盖范围

检查 Google SecOps 实例中的现有规则是否会触发通过事件模拟注入的模拟事件。如果有任何规则与模拟事件匹配，该工具会返回匹配的规则标识符和覆盖范围结果元数据。如果没有规则匹配，则返回空结果，表示存在覆盖范围差距。

生成草稿规则

检测工程智能体会通过根据用户输入或自然语言创建 YARA-L 草稿规则来编纂检测逻辑，以解决在覆盖范围评估期间发现的差距。当您使用 detection-engineering-coverage-evaluation技能, 该智能体仅针对没有现有规则匹配的 TDO 生成草稿规则，并且仅在完成所有 TDO 的覆盖范围评估后才会生成。这样可以防止为现有规则已涵盖的威胁生成重复规则。

generate_rules 工具不会自动将草稿规则添加到您的 Google SecOps 实例。审核草稿规则后，您可以通过以下任一方式添加这些规则：

使用 AI 客户端：detection-engineering-coverage-evaluation 技能会提示您批准或拒绝每个草稿规则。对于您批准的每个规则，AI 客户端都会在 Google SecOps MCP 服务器上调用 create_rule 工具，以在您的实例中创建该规则。
手动创建规则：从工具输出中复制规则文本，然后在规则编辑器中创建规则。

问题排查

本部分概述了性能预期，并提供了评估过程中常见问题的自助修复方法。

延迟时间和限制

确保您的系统具有与输入 TDO 关联的日志的可用解析器；否则，合成事件生成将失败。

错误修复

使用下表快速自行修复部署问题：

问题	说明	修复
工具运行失败	合成事件生成工具反复失败。	检查提供的 TDO，并确保您的环境至少有一个输入日志类型的解析器。否则，您的系统可能无法涵盖系统评估的此特定 TDO。继续使用第一个工具输出的其他 TDO。
摘要错误	AI 在执行期间缩写日志类型或走捷径。	确保 `detection-engineering-coverage-evaluation` 技能正被积极用于与系统交互。