Utilizzare la simulazione degli eventi per la valutazione della copertura del rilevamento

Questa guida è destinata ai team di progettazione del rilevamento e SOC che vogliono fornire in modo programmatico sequenze di minacce realistiche nella pipeline di importazione in tempo reale utilizzando la simulazione degli eventi. La simulazione degli eventi è un framework di simulazione delle minacce e di valutazione della copertura del rilevamento incorporato direttamente in Google Security Operations. In quanto funzionalità fondamentale dell'architettura dell'agente di progettazione del rilevamento (DEA), la simulazione degli eventi verifica il ciclo di vita del rilevamento, dall'importazione e dalla normalizzazione della telemetria alla correlazione e agli avvisi di più eventi, mantenendo al contempo i workflow operativi del SOC.

Collegando gli strumenti MCP di Google SecOps con l'assistenza AI (ad esempio Gemini o Claude Code), la simulazione degli eventi automatizza il ciclo di vita della progettazione del rilevamento: importazione di report sulle minacce non elaborati, strutturazione delle tattiche di minaccia in opportunità di rilevamento delle minacce (TDO) utilizzabili, sintesi della telemetria del modello di dati unificato (UDM) realistico, valutazione della copertura delle regole YARA-L 2.0 esistenti per regole a evento singolo, multi-evento e composite e stesura di nuove regole di rilevamento per colmare le lacune di sicurezza identificate.

Casi d'uso principali

La simulazione degli eventi e l'agente di progettazione del rilevamento (DEA) supportano i seguenti workflow principali:

  • Test di importazione e normalizzazione della pipeline in tempo reale: trasmetti in streaming in modo programmatico la telemetria del modello di dati unificato (UDM) sintetico direttamente tramite pipeline di importazione in tempo reale, moduli di arricchimento del contesto e grafici delle entità per ottenere una preparazione completa del rilevamento end-to-end.
  • Copertura continua delle minacce e convalida della regressione: valuta le regole YARA-L 2.0 gestite e personalizzate in base a tattiche, tecniche e procedure (TTP) specifiche degli avversari, stabilendo test unitari automatizzati e test di regressione continui nei set di regole prima del deployment in produzione.
  • Generazione di telemetria sintetica: genera eventi UDM validi per lo schema che simulano catene di attacchi complesse (ad esempio, sfruttamento di applicazioni web, accesso alle credenziali o movimento laterale) per testare le regole in ambienti di produzione reali.

Vantaggi principali e proposta di valore

  • Postura proattiva e convalida delle minacce: testa le regole YARA-L 2.0 in base a vulnerabilità e comportamenti degli attori delle minacce appena divulgati prima che si verifichino incidenti nel mondo reale.
  • Sintesi diretta e garanzia di importazione: sintetizza gli eventi UDM validi per lo schema direttamente dal testo di threat intelligence che scorre nella pipeline di importazione in tempo reale di Google SecOps (ImportEvents) per eseguire la normalizzazione completa, l'allineamento dei campi e l'arricchimento del contesto.
  • Telemetria isolata e sicurezza della produzione: gli eventi sintetici generati dalla simulazione degli eventi vengono taggati con metadati di simulazione (SIMULATION etichette di importazione) e generano rilevamenti taggati come INCLUDES_SIMULATION_DATA. I rilevamenti dai dati simulati vengono esclusi automaticamente da richieste di assistenza, playbook, flussi di analisi del rischio (RBA) e dashboard di triage degli avvisi di produzione.

Informazioni sui concetti e sull'architettura della simulazione degli eventi

I seguenti componenti principali della simulazione degli eventi e del framework dell'agente di progettazione del rilevamento (DEA) sono essenziali per il deployment:

  • Opportunità di rilevamento delle minacce (TDO): un modello dei dati formalizzato che funge da test unitario che identifica, assegna la priorità e classifica TTP specifiche degli avversari estratte da report di threat intelligence o descrizioni in linguaggio naturale. Gli identificatori TDO seguono requisiti di formattazione rigorosi (ad esempio, t01, t02, che corrispondono all'espressione regolare ^[a-zA-Z]\d{2}$).
  • Eventi UDM sintetici: eventi di log generati automaticamente formattati rigorosamente in base allo schema del modello di dati unificato (UDM) di Google SecOps. Questi eventi simulano azioni specifiche dell'attaccante necessarie per testare la logica delle regole di rilevamento utilizzando ImportEvents.
  • Etichettatura della simulazione e tagging degli avvisi: gli eventi sintetici hanno un'etichetta di importazione (metadata.ingestion_labels["SIMULATION"]). Nel proto Collection, i rilevamenti risultanti dai dati simulati sono contrassegnati con INCLUDES_SIMULATION_DATA in tags. I campi proto dei metadati di rilevamento includono simulated_event_count (numero totale di eventi simulati che contribuiscono al rilevamento) e simulated_event_names (l'insieme dei valori dell'etichetta SIMULATION degli eventi che contribuiscono).
  • Visibilità dei dati e soppressione della ricerca: per impostazione predefinita, le ricerche UDM standard di Google SecOps sopprimono gli eventi con etichetta di simulazione. Le query di ricerca e le visualizzazioni dell'UI possono includere esplicitamente i dati simulati utilizzando il parametro di configurazione simulated_data_visibility o l'opzione di attivazione/disattivazione delle preferenze utente.
  • Operazioni a lunga esecuzione (LRO): un meccanismo di esecuzione asincrona del backend (evaluate_rule_coverage_long_running) che orchestra i batch di esecuzione delle regole on demand senza riscontrare timeout HTTP dell'API.

Prima di iniziare

La simulazione degli eventi condivide i prerequisiti dell'ambiente sottostante, le autorizzazioni IAM e la configurazione del server con il toolkit dell'agente di progettazione del rilevamento. Prima di iniziare, verifica che siano soddisfatti i seguenti prerequisiti:

Come vengono inseriti i dati di telemetria sintetici

I dati di telemetria sintetici vengono inseriti in Google SecOps utilizzando il toolkit dell'agente MCP o le chiamate dirette all'API Chronicle:

  1. Richiamo del sottoagente MCP: chiama lo strumento generate_synthetic_events con gli ID TDO (Threat Detection Opportunity) di destinazione e le specifiche del comportamento.
  2. Endpoint API Chronicle: trasmetti in streaming in modo programmatico gli eventi UDM sintetici utilizzando l'endpoint API REST ImportEvents (POST /v1alpha/projects/{project}/locations/{location}/instances/{instance}/events:import).
  3. Etichettatura della simulazione: quando chiamano direttamente l'API ImportEvents, i chiamanti devono includere manualmente metadata.ingestion_labels contenente la chiave "SIMULATION" e un identificatore univoco di simulazione o di esecuzione del test come valore nel payload della richiesta (ad esempio, "key": "SIMULATION", "value": "TEST123" o "t01"). L'API non compila automaticamente le etichette di simulazione.

Esempio di chiamata di importazione UDM

Richiesta HTTP:

POST https://chronicle.googleapis.com/v1alpha/projects/PROJECT_ID/locations/LOCATION/instances/INSTANCE_ID/events:import

Corpo della richiesta:

{
  "events": [
    {
      "metadata": {
        "event_type": "PROCESS_LAUNCH",
        "event_timestamp": "2026-08-05T20:00:00Z",
        "ingestion_labels": [
          {
            "key": "SIMULATION",
            "value": "TEST123"
          }
        ]
      },
      "principal": {
        "user": {
          "userid": "victim_user"
        }
      },
      "target": {
        "process": {
          "command_line": "powershell.exe -ExecutionPolicy Bypass -File dump.ps1"
        }
      }
    }
  ]
}

La simulazione degli eventi inserisce gli eventi UDM sintetizzati direttamente utilizzando ImportEvents, valutando la normalizzazione UDM, l'arricchimento del contesto e il rilevamento delle regole; l'analisi dei log non elaborati viene testata durante la generazione di eventi sintetici all'interno dello strumento dell'agente di progettazione del rilevamento (DEA).

Configurare le preferenze utente per i dati di test sintetici

Per visualizzare gli eventi di test sintetici e gli avvisi simulati in Google SecOps nell'UI, nell'API o negli strumenti MCP, configura la visibilità in base all'interfaccia:

Console Google SecOps

Per visualizzare gli eventi sintetici nella pagina Ricerca SIEM o nelle console dell'UI:

  1. Nella console Google SecOps, fai clic sull'avatar del tuo profilo nella barra di navigazione e seleziona Preferenze utente.
  2. Vai a Visibilità dei dati.
  3. Imposta Mostra dati di test sintetici su ON.
  4. Fai clic su Salva.

API Chronicle

Per le query API programmatiche, fornisci simulated_data_visibility = "SIMULATED_DATA_INCLUDED" quando esegui query sugli endpoint di ricerca UDM, regole o rilevamento utilizzando l'API Chronicle:

{
  "query": "metadata.event_type = \"USER_LOGIN\"",
  "simulated_data_visibility": "SIMULATED_DATA_INCLUDED"
}

Valori enum del parametro simulated_data_visibility supportati:

  • SIMULATED_DATA_EXCLUDED (impostazione predefinita): sopprime gli eventi e gli avvisi con etichetta di simulazione.
  • SIMULATED_DATA_INCLUDED: restituisce sia i dati di produzione sia i dati di test sintetici nei risultati della query.

Server MCP di Google SecOps

Quando interagisci con Google SecOps utilizzando un client MCP (ad esempio, Gemini CLI o AntiGravity), configura la visibilità della simulazione a livello di tenant nel file di contesto dello spazio di lavoro (Gemini.md o settings.json):

Quando utilizzi il server MCP di GoogleSecOps, imposta simulated_data_visibility = "SIMULATED_DATA_INCLUDED" per tutte le ricerche UDM, la valutazione delle regole e gli strumenti di query di rilevamento.

Informazioni sull'isolamento del sistema downstream

Per garantire che i dati di test vengano gestiti correttamente in Google SecOps, la simulazione degli eventi applica limiti di isolamento puliti per i componenti downstream:

Sistema o funzionalità Trattamento dei dati sintetici Meccanismo di isolamento
Rilevamenti e archivio degli avvisi Isolati e taggati Nel proto Collection, i rilevamenti risultanti dalla telemetria simulata sono contrassegnati con INCLUDES_SIMULATION_DATA in tags e includono i campi proto dei metadati di rilevamento simulated_event_count e simulated_event_names. Soppressi dalle API di lettura e elenco dei rilevamenti standard, a meno che non venga richiesta simulated_data_visibility = "SIMULATED_DATA_INCLUDED".
Ricerca UDM e dashboard Nascosti per impostazione predefinita Filtrati a meno che non sia specificato simulated_data_visibility = "SIMULATED_DATA_INCLUDED".
Richieste di assistenza e triage degli incidenti Esclusi I rilevamenti con tag di simulazione vengono ignorati dalla creazione automatica di richieste di assistenza.
Playbook e automazione SOAR Esclusi I playbook SOAR automatizzati non vengono attivati per gli avvisi simulati.
Analisi del rischio (RBA) Esclusi Le pipeline aggregate dei punteggi di rischio in streaming eliminano gli eventi con etichetta di simulazione.
Agente di ricerca delle minacce (THA) Esclusi Le query dei set di dati di ricerca delle minacce sopprimono automaticamente la telemetria con etichetta di simulazione.

Funzionalità della suite e degli strumenti dell'agente

La simulazione degli eventi sfrutta le funzionalità degli strumenti dei sottoagenti esposte dal server MCP di Google SecOps. Per informazioni dettagliate sugli strumenti dei sottoagenti disponibili (inclusi generate_threat_detection_opportunity, generate_synthetic_events, evaluate_rule_coverage_long_running, get_operation, generate_rules e create_rule), sugli input chiave e sugli schemi di output, consulta Utilizzare l'agente di progettazione del rilevamento per valutare la copertura delle minacce.

Informazioni sul ciclo di vita e sul workflow della progettazione del rilevamento

Il workflow di progettazione del rilevamento della simulazione degli eventi end-to-end segue un ciclo di vita strutturato in più fasi:

  1. Elaborazione dell'intelligence e importazione della telemetria: passa il testo di threat intelligence non elaborato a generate_threat_detection_opportunity per estrarre TDO strutturati (ad esempio, t01, t02), applica lo spostamento del timestamp preflight e richiama generate_synthetic_events per trasmettere in streaming i log UDM con etichetta SIMULATION tramite la pipeline di importazione in tempo reale di Google SecOps (ImportEvents).
  2. Valutazione asincrona della copertura: esegui evaluate_rule_coverage_long_running per valutare la copertura delle regole YARA-L 2.0 nella telemetria sintetica, eseguendo il polling di get_operation fino al completamento per recuperare la matrice di corrispondenza delle regole.
  3. Correzione delle lacune e gestione del ciclo di vita delle regole: chiama generate_rules per tutti i TDO non coperti per generare bozze di regole YARA-L 2.0 convalidate ed esegui il deployment delle regole esaminate in produzione utilizzando create_rule.

Per i payload di chiamata degli strumenti dettagliati e gli esempi di codice completi in ogni fase del ciclo di vita del rilevamento, consulta Utilizzare l'agente di progettazione del rilevamento per valutare la copertura delle minacce.

Risoluzione dei problemi

Questa sezione contiene alcune domande frequenti sulla risoluzione dei problemi e le relative risposte.

Per impostazione predefinita, le ricerche UDM standard di Google SecOps sopprimono gli eventi con l'etichetta di importazione SIMULATION per mantenere l'igiene operativa del SOC. Per visualizzare gli eventi sintetici nella ricerca UDM o nelle console dell'UI, assicurati che l'opzione Mostra dati di test sintetici sia attivata nelle preferenze utente oppure imposta simulated_data_visibility = "SIMULATED_DATA_INCLUDED" nella richiesta di query.

D: In che modo si impedisce che i rilevamenti dai dati simulati generino avvisi per gli analisti SOC?

Quando una regola viene attivata per eventi sintetici, il compilatore di backend tagga il rilevamento risultante con INCLUDES_SIMULATION_DATA. Per impostazione predefinita, i rilevamenti con questo tag vengono esclusi da richieste di assistenza, playbook, analisi del rischio (RBA) e dashboard di triage degli avvisi di produzione.

D: Perché evaluate_rule_coverage_long_running ha restituito 0 corrispondenze per i miei eventi sintetici?

Verifica che i timestamp degli eventi sintetici rientrino nella finestra di esecuzione di 1 ora ([StartTime - 1 hour, StartTime]). Assicurati che gli ID TDO siano conformi all'espressione regolare richiesta (^[a-zA-Z]\d{2}$, ad es. t01).

D: Come devono essere gestiti gli indicatori atomici (indirizzi IP, nomi di dominio, hash di file) rispetto alle regole comportamentali?

Gestisci gli indicatori atomici utilizzando la corrispondenza IOC di Google SecOps o le tabelle di dati anziché codificare i valori statici di indirizzo IP o hash direttamente nelle regole di rilevamento YARA-L 2.0. Riserva YARA-L 2.0 per i pattern comportamentali e la correlazione TTP.

D: Qual è la dimensione massima del batch per le chiamate di valutazione della copertura TDO?

Per ottimizzare le prestazioni e rispettare i parametri di API Gateway, le richieste di valutazione della copertura in batch sono limitate a un massimo di tre TDO o 40 eventi sintetici per chiamata evaluate_rule_coverage_long_running.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.