使用 SecOps Chat

支持：

本指南介绍了如何浏览和使用 SecOps Chat，即 Google Security Operations 中的 Gemini 对话助理。继续阅读，了解如何使用 SecOps Chat 解答有关产品文档的问题、生成 YARA-L 搜索查询和检测规则、研究威胁情报、调查案例和提醒以及执行其他操作任务。

在任意 Google SecOps 页面中，点击顶部导航栏中的 Gemini 徽标，即可打开 SecOps Chat 窗格。

根据您所在的 Google SecOps 界面，SecOps Chat 窗格会提供建议提示的上下文列表，以帮助您开始使用。

SecOps Chat 界面

点击 SecOps Chat 窗格顶部的 ，即可开始和删除对话，以及查看对话记录。对话支持多轮互动。助理会在对话轮次中保留参数和上下文，因此您可以优化问题，而无需重复问题。

在此菜单中，您还可以切换：

  • 智能体对话：启用此选项后，SecOps Chat 即可代表您调用 Google SecOps 工具来回答运营问题。如需了解 SecOps Chat 在您的环境中的功能，请输入 What can you help me with? 等提示。
  • 显示智能体思考过程：开启此选项可显示思考指示器，其中会显示模型在后台调用以回答您问题的步骤和工具。

生成 YARA-L 搜索查询

使用自然语言生成 YARA-L 2.0 搜索查询，您可以使用该查询在 Google SecOps SIEM 中搜索特定事件。

在 SecOps Chat 窗格中尝试以下搜索提示示例和后续问题：

  • Show me all failed logins for the last 3 days
    • Generate a rule to help detect that behavior in the future
  • Show me events associated with the principal user random.user
    • Who is this user?
  • Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
    • List all of the domains in the results set
    • What types of events were returned?
  • Show me events from my firewall in the last 24 hours
    • What were the 16 unique hostnames in the results set?
    • What were the 9 unique IPs associated with the results set?

查看生成的搜索查询。搜索查询使用 YARA-L 2.0 语法。如果生成的搜索查询符合您的要求，请点击运行搜索。Gemini 会生成结果摘要以及建议的操作。

生成 YARA-L 规则

您可以使用自然语言提示生成 YARA-L 2.0 检测规则，然后在规则编辑器中打开、修改和启用该规则。请注意，您只能使用此功能创建单事件规则。

例如，如需生成一条规则来检测被截断的 DNS 响应，请在 SecOps Chat 窗格中输入以下提示： Create a rule to count how many DNS responses were truncated per principal asset host. 然后按 Enter 键。Gemini 会生成一条规则来检测您搜索的行为。

点击在规则编辑器中打开，在规则编辑器中查看和修改新规则。

例如，使用之前的规则提示，Gemini 可以生成以下规则：

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

如需激活规则，请点击保存新规则。该规则会显示在左侧的规则列表中。将指针悬停在规则上，点击菜单图标，然后将实时规则选项切换到右侧（绿色）。 如需了解详情，请参阅使用规则编辑器管理规则。

询问威胁情报问题

Gemini 可以回答与威胁情报相关的问题，涉及威胁行为者、他们之间的关联以及行为模式等主题，包括关于 MITRE TTP 的问题。

威胁情报问题仅限于您的 Google SecOps 产品版本中提供的信息。问题的答案可能会因产品版本而异。具体而言，除企业 Plus 版之外，其他产品版本中的威胁情报数据较为有限，因为这些版本不包含对 Mandiant 和 VirusTotal 的完整访问权限。

在 SecOps Chat 窗格中尝试以下威胁情报提示示例：

  • Help me hunt for APT 44
  • Are there any known attacker tools that use RDP to brute force logins?
  • Is 103.224.80.44 suspicious?
  • What types of attacks may be associated with CVE-2020-14145?
  • Can you provide details around buffer overflow and how it can affect the target machine?
  • What is UNC3782?

查看结果，然后问问 Gemini 创建查询，查找威胁情报报告中提及的特定失陷指标 (IOC)，从而进一步调查。威胁情报信息取决于您的 Google SecOps 许可中的可用权利。

Gemini 还可以提供指向任何规则集的链接，这些规则集可能可用于监控您询问的安全问题类型。

在 SecOps Chat 窗格底部，点击来源和相关内容。Gemini 会提供用于生成摘要的部分文章的链接。

Gemini 和 MITRE

MITRE ATT&CK® 矩阵是一个知识库，其中记录了现实世界中的网络攻击者使用的 TTP。MITRE 矩阵可帮助您了解组织可能如何成为攻击目标，并提供用于讨论攻击的标准化语法。

您可以向 Gemini 询问有关 MITRE 战术、技术和程序 (TTP) 的问题，并获得包含以下 MITRE 详细信息的上下文相关回答：

  • 策略
  • 技术
  • 子技术
  • 检测建议
  • 过程
  • 缓解措施

Gemini 会返回一个链接，其中包含 Google SecOps 为每个 TTP 提供的精选检测。您还可以向 Gemini 提出后续问题，以进一步了解 MITRE TTP 及其对企业可能产生的影响。

调查案例和提醒

您可以直接在案例管理页面中问问 Gemini 有关案例、提醒和 playbook 的问题。您的问题具有情境感知能力，会根据您正在查看的特定页面或标签页（例如案例页面、提醒标签页或 Playbook 标签页）进行调整。

在其中一个案例页面中，打开 SecOps Chat 窗格。输入与案例相关的提示。问题可以与当前标签页相关：

  • 案例概览或案例墙：询问案例级信息。例如：Give me the names of everyone who left comments on the Case Wall.
  • 提醒：询问与该提醒相关的具体问题。例如：Can you summarize this alert?
  • 提醒 Playbook：询问附加 Playbook 的行为。例如：Is the first attached playbook using Virus Total?

查看 Gemini 返回的结果，并根据需要优化提示。

您还可以使用 Gemini 案例摘要 widget 总结案例。

回答有关 Google SecOps 文档的问题

在 SecOps Chat 窗格中输入提示，以请求有关如何使用 Google SecOps 的任何方面的信息。

SecOps Chat 使用多阶段推理流程，该流程基于 Google SecOps 文档中的信息，可回答复杂问题，并提供指向相关文档页面的链接。

尝试在 SecOps Chat 窗格中输入以下示例提示：

  • How do I configure the forwarder?
  • How do I create a rule?
  • How do I investigate user logins?

SecOps Chat 还会使用 Google 搜索接地和引用，针对您的提示提供细致、高质量的回答。接地功能可将模型回答与在互联网上找到的信息相关联，从而为安全调查提供更多最新背景信息。引用会显示 Gemini 用于制定回答的具体数据源，这可以提高可解释性并帮助您验证信息。

当 Gemini 使用 Google 搜索来接地回答时，网页界面会显示以下元素：

  • Google“G”图标：表示 Gemini 已连接到互联网，正在为你的提示拉取更多背景信息。
  • 搜索查询条状标签：显示 Gemini 用于检索额外上下文的确切搜索查询。
  • 引用：提供对用于生成回答的特定接地数据的引用。

查看这些搜索查询和引用有助于您了解 Gemini 为研究提示而采取的步骤，并确保其检索的数据具有透明度。

其他任务

作为您的核心安全助理，SecOps Chat 使用后端工具在整个 Google SecOps 平台上执行运维任务。

案例和提醒管理

  • 搜索和过滤案例：列出 Google SecOps 实例中的所有案例，或检索单个案例的完整详细信息。
  • 调查案例证据：列出案例评论、检索特定案例提醒、查看原始连接器事件，以及列出提醒中涉及的实体，例如 IP 地址和主机名。

实体和提醒丰富

  • 总结实体活动：在 Google SecOps SIEM 中查找并总结实体的历史活动，以便快速丰富信息。
  • 识别 IoC：直接从 Google SecOps SIEM 日志中检索失陷指标 (IoC) 匹配项。
  • 提取提醒配置文件：检索 SIEM 提醒的配置文件，该配置文件汇总了来自多个来源的数据。
  • 发现丰富化操作：检索可用于丰富给定 SIEM 提醒的 SOAR 集成操作的精选列表。

SIEM 内容和数据管理

  • 管理日志数据：列出 Google SecOps SIEM 中可用的数据表和日志类型。
  • 查看解析器：列出日志类型的解析器，或提取特定解析器的配置详细信息。
  • 监控检测规则：查看已配置的检测规则，并列出特定规则的执行错误，以帮助您排查问题。
  • 访问参考列表：按名称检索特定参考列表的详细信息和内容。

编排和自动化

  • 监控集成：列出已配置的 SOAR 集成并查看其已配置的实例。
  • 查看集成操作：查看 SOAR 集成有哪些可用的自动化操作。
  • 查看 playbook：列出在您的环境中配置的自动化 playbook。

自动化调查

  • 查看分类输出：检索针对某个提醒 ID 的最新自动分类调查。
  • 提取完整报告：通过 ID 检索由智能体生成的完整调查报告。
  • 检查配置：查看调查代理的配置设置。

支持的 MCP 工具和示例提示

下表列出了 SecOps Chat 可以调用的 MCP 工具，并提供了每个工具的示例提示。

工具 提示示例
list_cases List all open critical cases
get_case Show case details for ID 12345
get_case_alert Show details for alert ID 67890 in case ID 12345
list_case_comments Get comments for case ID 12345
list_case_alerts Retrieve all alerts associated with case ID 12345
list_connector_events Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity Summarize the history of host workstation-9
get_ioc_match Show IoC matches in my environment from the last 24 hours
fetch_alert_data Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions What SOAR integration actions are available for alert ID 67890?
list_data_tables List all SIEM data tables
list_log_types List available log types
list_parsers Show parsers configured for log type GCP_CLOUDAUDIT
get_parser Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules List all security detection rules
list_rule_errors Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list Get details for the admin_ips reference list
list_integrations List all configured SOAR integrations
list_integration_instances Show configured instances for VirusTotal
list_integration_actions List available actions for VirusTotal
list_playbooks List all automated SOAR playbooks
get_alert_latest_investigation Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id Get investigation report for ID rpt_98765
get_agent_settings Show current settings for the investigation agent
ask_cloud_assist How do I configure Cloud NAT logging in Google Cloud?

访问 SecOps Chat 和 GCA Q&A 所需的 RBAC 和 IAM 权限

SecOps Chat 会连接到两个受管理的 MCP 服务器： 1. SecOps MCP 服务器 (chronicle.googleapis.com/mcp)，用于实时 SIEM/SOAR 操作，以及 2. Gemini Cloud Assist (GCA) MCP 服务器 (geminicloudassist.googleapis.com/mcp — ask_cloud_assist)，用于增强型“操作方法”问答和平台文档查询。

为确保用户和租户的 P4SA 可以访问 SecOps Chat 和所有 MCP 工具，而不会出现 403 Permission Denied 错误，请确保在租户的绑定 Google Cloud (BYOP) 项目中配置了以下 IAM 角色和 API。

功能 / 能力 所需的预定义 IAM 角色 用途和备注
GCA HowTo 问答工具 (ask_cloud_assist) roles/geminicloudassist.user（GCA 用户） 启用 P4SA 集成后，无需最终用户 GCA IAM 角色，Chat 会使用租户的 Chronicle P4SA (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com) 向 GCA 进行身份验证。只有 P4SA（或 P4SA 之前环境中的用户主账号）需要 roles/geminicloudassist.user。
MCP 网关调用（所有工具） roles/mcp.toolUser (MCP Tool User) 授予在 SecOps 和 GCA 端点上执行远程 MCP 工具所需的 mcp.tools.call。
SIEM 工具和 YARA-L 查询生成 roles/chronicle.viewer（或 roles/chronicle.editor / roles/chronicle.admin） SIEM 工具所需：UDM/YARA-L 生成、规则、规则错误、解析器、日志类型、数据表、参考列表、实体摘要和 IoC。
SOAR 案例、提醒和 Playbook roles/chronicle.soarAdmin（以及 SOAR 案例/Playbook RBAC） SOAR 工具（案例、案例提醒、案例评论、连接器事件、playbook 和集成）需要此权限。
Google Cloud 资源上下文（可选） roles/cloudasset.viewer (Cloud Asset Viewer) 建议为 GCA 分配的配套角色，以便助理在问题排查期间解析项目/资产元数据。

GCA (ask_cloud_assist) 的 P4SA / 自定义 IAM 角色权限

通过 P4SA 集成，最终用户无需任何 GCA IAM 权限（即使使用第三方 IdP / SAML / Okta 登录也是如此）。而是由租户的 Chronicle P4SA (service-\<PROJECT\_NUMBER\>@gcp-sa-chronicle.iam.gserviceaccount.com) 或自定义角色（在 P4SA 之前的环境中）对绑定的 Google Cloud 项目使用以下权限：

  • geminicloudassist.agents.invoke - ask_cloud_assist 工具调用 GCA 代理时需要。
  • mcp.tools.call - Google Cloud MCP 网关需要此角色才能通过 geminicloudassist.googleapis.com/mcp 和 chronicle.googleapis.com/mcp 执行工具调用。
  • serviceusage.services.use - 必需，因为 Agentic Chat 会在 X-Goog-User-Project 结算或配额标头中传递租户的项目 ID。
  • cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat, & cloudaicompanion.instances.completeTask - 初始化和继续多轮 GCA 对话主题时需要。
  • resourcemanager.projects.get, geminicloudassist.locations.get, & geminicloudassist.locations.list - 必须用于解析租户项目编号和全局代理端点。

必需的 Google Cloud 项目 API

确保在租户绑定的Google Cloud 项目中启用了以下 Google Cloud API：

  • chronicle.googleapis.com (Chronicle API)
  • geminicloudassist.googleapis.com (GCA API)
  • cloudaicompanion.googleapis.com (Gemini for Google Cloud API)
  • cloudasset.googleapis.com (Cloud Asset API)

防护措施和安全性

为帮助确保环境安全，SecOps Chat 在运行时遵循以下防护措施：

  • 只读操作：代理支持基本的只读操作，例如生成搜索查询、检索案例、提醒和实体摘要。
  • 针对写入操作的人机协同授权：不支持写入操作。当写入操作可用时，代理会要求您明确确认或取消每项操作，以防发生意外中断。

管理对话和提供反馈

您可以随时删除对话，也可以对 Gemini 生成的回答进行评分。

删除对话

您可以删除聊天对话会话或删除所有聊天会话。 Gemini 会私下维护所有用户对话记录，并遵循 Google Cloud的负责任 AI 实践。用户历史记录绝不会用于训练模型。

  1. 在 Gemini 窗格中，从右上角的菜单中选择删除对话。
  2. 点击右下角的删除对话，删除当前对话会话。
  3. 可选：如需删除所有对话，请选择删除所有对话，然后点击删除所有对话。

提供反馈

您可以针对 Gemini AI 调查协助生成的回答提供反馈。您的反馈有助于 Google 改进该功能以及 Gemini 生成的输出。

  1. 在 Gemini 窗格中，点击 thumb_up 我喜欢或 thumb_down 不喜欢。
  2. 可选：点击 thumb_down 不喜欢，然后提供反馈。
  3. 点击发送反馈。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。