Menggunakan simulasi peristiwa untuk evaluasi cakupan deteksi

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem.

Panduan ini ditujukan untuk tim rekayasa deteksi dan SOC yang ingin mengirimkan urutan ancaman realistis secara terprogram ke dalam pipeline penyerapan live menggunakan simulasi peristiwa. Simulasi peristiwa adalah framework evaluasi cakupan deteksi dan simulasi ancaman yang disematkan langsung dalam Google Security Operations. Sebagai kemampuan dasar arsitektur Agen Rekayasa Deteksi (DEA), simulasi peristiwa memverifikasi siklus proses deteksi dari penyerapan dan normalisasi telemetri hingga korelasi dan pemberitahuan multi-peristiwa sambil mempertahankan alur kerja SOC operasional.

Dengan menghubungkan alat MCP Google SecOps dengan bantuan AI (seperti Gemini atau Claude Code), simulasi peristiwa mengotomatiskan siklus proses rekayasa deteksi: menyerap laporan ancaman mentah, menyusun taktik ancaman menjadi Peluang Deteksi Ancaman (TDO) yang dapat ditindaklanjuti, melakukan sintesis telemetri Model Data Terpadu (UDM) yang realistis, mengevaluasi cakupan aturan YARA-L 2.0 yang ada di seluruh aturan peristiwa tunggal, multi-peristiwa, dan gabungan, serta menyusun aturan deteksi baru untuk menutup celah keamanan yang teridentifikasi.

Kasus penggunaan utama

Simulasi peristiwa dan Agen Rekayasa Deteksi (DEA) mendukung alur kerja inti berikut:

• Pengujian penyerapan dan normalisasi pipeline live: Streaming telemetri Model Data Terpadu (UDM) sintetis secara terprogram langsung melalui pipeline penyerapan live, modul pelengkapan konteks, dan grafik entity untuk mencapai kesiapan deteksi end-to-end yang lengkap.
• Cakupan ancaman berkelanjutan dan validasi regresi: Mengevaluasi aturan YARA-L 2.0 yang dikelola dan kustom terhadap taktik, teknik, dan prosedur (TTP) musuh tertentu, menetapkan pengujian unit otomatis dan pengujian regresi berkelanjutan di seluruh kumpulan aturan sebelum deployment produksi.
• Pembuatan telemetri sintetis: Membuat peristiwa UDM yang valid secara skema yang menyimulasikan rantai serangan kompleks (seperti eksploitasi aplikasi web, akses kredensial, atau pergerakan lateral) untuk menguji aturan di lingkungan produksi yang sebenarnya.

Manfaat dan proposisi nilai utama

• Validasi ancaman dan postur proaktif: Menguji aturan YARA-L 2.0 terhadap perilaku aktor ancaman dan kerentanan yang baru diungkapkan sebelum insiden di dunia nyata terjadi.
• Jaminan penyerapan dan sintesis langsung: Melakukan sintesis peristiwa UDM yang valid secara skema langsung dari teks intelijen ancaman yang mengalir melalui pipeline penyerapan Google SecOps live (ImportEvents) untuk menjalani normalisasi lengkap, penyesuaian kolom, dan pelengkapan konteks.
• Telemetri terisolasi dan keamanan produksi: Peristiwa sintetis yang dihasilkan oleh simulasi peristiwa diberi tag dengan metadata simulasi (SIMULATION label penyerapan) dan menghasilkan deteksi yang diberi tag sebagai INCLUDES_SIMULATION_DATA. Deteksi dari data simulasi otomatis dikecualikan dari kasus produksi, playbook, streaming analisis risiko (RBA), dan dasbor triase pemberitahuan.

Memahami konsep dan arsitektur simulasi peristiwa

Komponen inti simulasi peristiwa dan framework Agen Rekayasa Deteksi (DEA) berikut penting untuk deployment:

• Peluang Deteksi Ancaman (TDO): Model data formal yang bertindak sebagai pengujian unit yang mengidentifikasi, memprioritaskan, dan mengategorikan TTP musuh tertentu yang diekstrak dari laporan intelijen ancaman atau deskripsi bahasa alami. ID TDO mengikuti persyaratan pemformatan yang ketat (misalnya, t01, t02, yang cocok dengan ekspresi reguler ^[a-zA-Z]\d{2}$).
• Peristiwa UDM sintetis: Peristiwa log yang dihasilkan oleh mesin yang diformat secara ketat di bawah skema Model Data Terpadu (UDM) Google SecOps. Peristiwa ini menyimulasikan tindakan penyerang tertentu yang diperlukan untuk menguji logika aturan deteksi menggunakan ImportEvents.
• Pemberian label simulasi dan pemberian tag pemberitahuan: Peristiwa sintetis membawa label penyerapan (metadata.ingestion_labels["SIMULATION"]). Dalam proto Collection, deteksi yang dihasilkan dari data simulasi ditandai di bagian tags dengan INCLUDES_SIMULATION_DATA. Kolom proto metadata deteksi mencakup simulated_event_count (jumlah total peristiwa simulasi yang berkontribusi pada deteksi) dan simulated_event_names (kumpulan nilai label SIMULATION dari peristiwa yang berkontribusi).
• Visibilitas data dan penekanan penelusuran: Penelusuran UDM Google SecOps standar menekan peristiwa berlabel simulasi secara default. Kueri penelusuran dan tampilan UI dapat secara eksplisit menyertakan data simulasi menggunakan parameter konfigurasi simulated_data_visibility atau tombol preferensi pengguna.
• Operasi yang Berjalan Lama (LRO): Mekanisme eksekusi backend asinkron (evaluate_rule_coverage_long_running) yang mengatur batch eksekusi aturan sesuai permintaan tanpa mengalami waktu tunggu HTTP API.

Sebelum memulai

Simulasi peristiwa berbagi prasyarat lingkungan yang mendasarinya, izin IAM, dan penyiapan server dengan toolkit Agen Rekayasa Deteksi. Sebelum memulai, pastikan prasyarat berikut terpenuhi:

• Peran IAM: Memerlukan peran Chronicle API Viewer, Chronicle API Editor, dan MCP Tool User.
• Penyiapan server dan keterampilan MCP: Untuk panduan langkah demi langkah tentang cara mengonfigurasi payload server MCP settings.json, menyiapkan konteks ruang kerja (Gemini.md), dan mengaktifkan keterampilan rekayasa deteksi, lihat Menggunakan Agen Rekayasa Deteksi untuk mengevaluasi cakupan ancaman dan Menggunakan server MCP Google SecOps.

Cara telemetri sintetis disuntikkan

Telemetri sintetis disuntikkan ke Google SecOps menggunakan toolkit agen MCP atau panggilan Chronicle API langsung:

1. Pemanggilan subagen MCP: Panggil alat generate_synthetic_events dengan ID Peluang Deteksi Ancaman (TDO) target dan spesifikasi perilaku.
2. Endpoint Chronicle API: Streaming peristiwa UDM sintetis secara terprogram menggunakan endpoint REST API ImportEvents (POST /v1alpha/projects/{project}/locations/{location}/instances/{instance}/events:import).
3. Pemberian label simulasi: Saat memanggil ImportEvents API secara langsung, pemanggil harus menyertakan metadata.ingestion_labels secara manual yang berisi kunci "SIMULATION" dan ID simulasi atau pengujian yang unik sebagai nilai dalam payload permintaan mereka (misalnya, "key": "SIMULATION", "value": "TEST123" atau "t01"). API tidak otomatis mengisi label simulasi.

Contoh panggilan penyerapan UDM

Permintaan HTTP:

POST https://chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID/events:import

Isi permintaan:

{
  "events": [
    {
      "metadata": {
        "event_type": "PROCESS_LAUNCH",
        "event_timestamp": "2026-08-05T20:00:00Z",
        "ingestion_labels": [
          {
            "key": "SIMULATION",
            "value": "TEST123"
          }
        ]
      },
      "principal": {
        "user": {
          "userid": "victim_user"
        }
      },
      "target": {
        "process": {
          "command_line": "powershell.exe -ExecutionPolicy Bypass -File dump.ps1"
        }
      }
    }
  ]
}

Simulasi peristiwa menyuntikkan peristiwa UDM yang disintesis secara langsung menggunakan ImportEvents, mengevaluasi normalisasi UDM, pelengkapan konteks, dan deteksi aturan; penguraian log mentah diuji selama pembuatan peristiwa sintetis di dalam alat Agen Rekayasa Deteksi (DEA).

Catatan: Peristiwa UDM sintetis yang diserap melalui simulasi peristiwa dihitung terhadap kuota penyerapan Google SecOps dan kuota deteksi Anda. Untuk mengetahui informasi tentang batas frekuensi, lihat batas burst.

Mengonfigurasi preferensi pengguna untuk data pengujian sintetis

Untuk melihat peristiwa pengujian sintetis dan pemberitahuan simulasi di Google SecOps di seluruh UI, API, atau alat MCP, konfigurasikan visibilitas sesuai dengan antarmuka Anda:

Konsol Google SecOps

Untuk melihat peristiwa sintetis di halaman Penelusuran SIEM atau konsol UI:

1. Di konsol Google SecOps, klik avatar profil Anda di panel navigasi, lalu pilih Preferensi pengguna.
2. Buka Visibilitas Data.
3. Tetapkan Tampilkan data pengujian sintetis ke AKTIF.
4. Klik Simpan.

Chronicle API

Untuk kueri API terprogram, berikan simulated_data_visibility = "SIMULATED_DATA_INCLUDED" saat membuat kueri Penelusuran UDM, aturan, atau endpoint deteksi menggunakan Chronicle API:

{
  "query": "metadata.event_type = \"USER_LOGIN\"",
  "simulated_data_visibility": "SIMULATED_DATA_INCLUDED"
}

Nilai enum parameter simulated_data_visibility yang didukung:

• SIMULATED_DATA_EXCLUDED (Default): Menekan peristiwa dan pemberitahuan berlabel simulasi.
• SIMULATED_DATA_INCLUDED: Menampilkan data produksi dan data pengujian sintetis dalam hasil kueri.

Server MCP Google SecOps

Saat berinteraksi dengan Google SecOps menggunakan klien MCP (misalnya, Gemini CLI atau AntiGravity), konfigurasikan visibilitas simulasi di seluruh tenant dalam file konteks ruang kerja Anda (Gemini.md atau settings.json):

Saat menggunakan Server MCP GoogleSecOps, tetapkan simulated_data_visibility = "SIMULATED_DATA_INCLUDED" untuk semua penelusuran UDM, evaluasi aturan, dan alat kueri deteksi.

Catatan: Penelusuran Google SecOps standar menekan peristiwa berlabel simulasi secara default untuk mempertahankan alur kerja SOC operasional dan mencegah positif palsu dalam antrean insiden produksi.

Memahami isolasi sistem hilir

Untuk memastikan data pengujian ditangani dengan benar di seluruh Google SecOps, simulasi peristiwa menerapkan batas isolasi yang bersih untuk komponen hilir:

Sistem atau fitur	Perlakuan data sintetis	Mekanisme isolasi
Deteksi dan penyimpanan pemberitahuan	Terisolasi dan diberi tag	Dalam proto Collection, deteksi yang dihasilkan dari telemetri simulasi ditandai di bagian tags dengan INCLUDES_SIMULATION_DATA dan menyertakan kolom proto metadata deteksi simulated_event_count dan simulated_event_names. Ditekan dari API baca dan daftar deteksi standar kecuali jika simulated_data_visibility = "SIMULATED_DATA_INCLUDED" diminta.
Penelusuran dan dasbor UDM	Disembunyikan secara default	Difilter kecuali jika simulated_data_visibility = "SIMULATED_DATA_INCLUDED" ditentukan.
Kasus dan triase insiden	Dikecualikan	Deteksi dengan tag simulasi dilewati dari pembuatan kasus otomatis.
Playbook dan otomatisasi SOAR	Dikecualikan	Playbook SOAR otomatis tidak dipicu pada pemberitahuan simulasi.
Analisis risiko (RBA)	Dikecualikan	Pipeline agregat skor risiko streaming menghilangkan peristiwa berlabel simulasi.
Agen Perburuan Ancaman (THA)	Dikecualikan	Kueri set data perburuan ancaman otomatis menekan telemetri berlabel simulasi.

Kemampuan alat dan rangkaian agentic

Simulasi peristiwa memanfaatkan kemampuan alat subagen yang diekspos oleh server MCP Google SecOps. Untuk mengetahui informasi mendetail tentang alat subagen yang tersedia (termasuk generate_threat_detection_opportunity, generate_synthetic_events, evaluate_rule_coverage_long_running, get_operation, generate_rules, dan create_rule), input utama, dan skema output, lihat Menggunakan Agen Rekayasa Deteksi untuk mengevaluasi cakupan ancaman.

Memahami siklus proses dan alur kerja rekayasa deteksi

Alur kerja rekayasa deteksi simulasi peristiwa end-to-end mengikuti siklus proses multi-tahap yang terstruktur:

1. Pemrosesan intelijen dan penyerapan telemetri: Meneruskan teks intelijen ancaman mentah ke generate_threat_detection_opportunity untuk mengekstrak TDO terstruktur (misalnya, t01, t02), menerapkan pengalihan stempel waktu preflight, dan memanggil generate_synthetic_events untuk melakukan streaming log UDM berlabel SIMULATION melalui pipeline penyerapan Google SecOps live (ImportEvents).
2. Evaluasi cakupan asinkron: Menjalankan evaluate_rule_coverage_long_running untuk mengevaluasi cakupan aturan YARA-L 2.0 di seluruh telemetri sintetis, melakukan polling get_operation hingga selesai untuk mengambil matriks kecocokan aturan.
3. Remediasi celah dan pengelolaan siklus proses aturan: Memanggil generate_rules untuk TDO yang tidak tercakup untuk menghasilkan draf aturan YARA-L 2.0 yang divalidasi, dan men-deploy aturan yang ditinjau ke produksi menggunakan create_rule.

Untuk mengetahui payload pemanggilan alat yang mendetail dan contoh kode lengkap di setiap tahap siklus proses deteksi, lihat Menggunakan Agen Rekayasa Deteksi untuk mengevaluasi cakupan ancaman.

Pemecahan masalah

Bagian ini berisi beberapa pertanyaan pemecahan masalah yang sering diajukan dan jawabannya.

T: Mengapa peristiwa UDM sintetis tidak muncul dalam penelusuran UDM standar?

Menurut desainnya, penelusuran UDM Google SecOps standar menekan peristiwa yang membawa label penyerapan SIMULATION untuk mempertahankan kebersihan operasional SOC. Untuk melihat peristiwa sintetis di Penelusuran UDM atau konsol UI, pastikan Tampilkan data pengujian sintetis diaktifkan di Preferensi Pengguna Anda, atau tetapkan simulated_data_visibility = "SIMULATED_DATA_INCLUDED" dalam permintaan kueri Anda.

T: Bagaimana cara mencegah deteksi dari data simulasi agar tidak memberi tahu analis SOC?

Saat aturan dipicu atas peristiwa sintetis, compiler backend akan memberi tag deteksi yang dihasilkan dengan INCLUDES_SIMULATION_DATA. Deteksi dengan tag ini dikecualikan dari Kasus, Playbook, Analisis Risiko (RBA), dan dasbor triase pemberitahuan produksi secara default.

T: Mengapa evaluate_rule_coverage_long_running menampilkan 0 kecocokan untuk peristiwa sintetis saya?

Pastikan stempel waktu peristiwa sintetis Anda berada dalam periode eksekusi 1 jam bergulir ([StartTime - 1 hour, StartTime]). Pastikan ID TDO Anda sesuai dengan ekspresi reguler yang diperlukan (^[a-zA-Z]\d{2}$, misalnya, t01).

T: Bagaimana cara menangani indikator atomik (alamat IP, nama domain, hash file) dibandingkan dengan aturan perilaku?

Kelola indikator atomik menggunakan Google SecOps IOC Matching atau Tabel Data, bukan dengan hardcode alamat IP statis atau nilai hash langsung ke dalam aturan deteksi YARA-L 2.0. Simpan YARA-L 2.0 untuk pola perilaku dan korelasi TTP.

T: Berapa ukuran batch maksimum untuk panggilan evaluasi cakupan TDO?

Untuk mengoptimalkan performa dan mematuhi parameter API Gateway, permintaan evaluasi cakupan batch dibatasi hingga maksimum tiga TDO atau 40 peristiwa sintetis per panggilan evaluate_rule_coverage_long_running.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.