SecOps Chat – Übersicht

Unterstützt in:

In diesem Leitfaden wird beschrieben, wie Sie SecOps Chat, den Gemini-Konversationsassistenten in Google Security Operations, aufrufen und verwenden. Im Folgenden erfahren Sie, wie Sie mit SecOps Chat Fragen zur Produktdokumentation beantworten, YARA-L-Suchanfragen und Erkennungsregeln generieren, Threat Intelligence recherchieren, Fälle und Warnungen untersuchen und andere operative Aufgaben ausführen können.

Öffnen Sie den SecOps Chat-Bereich auf einer beliebigen Google SecOps-Seite, indem Sie in der oberen Navigationsleiste auf Gemini-Logo klicken.

Je nachdem, auf welchem Google SecOps-Bildschirm Sie sich befinden, wird im SecOps Chat-Bereich eine kontextbezogene Liste mit vorgeschlagenen Prompts angezeigt, die Ihnen den Einstieg erleichtern.

SecOps-Chatoberfläche

Klicken Sie oben im SecOps-Chatbereich auf , um Chatsitzungen zu starten und zu löschen und Ihren Chatverlauf aufzurufen. Der Chat unterstützt Multi-Turn-Interaktionen. Der Assistent behält Parameter und Kontext über mehrere Gesprächsrunden hinweg bei, sodass Sie eine Frage verfeinern können, anstatt sie neu zu formulieren.

In diesem Menü können Sie auch Folgendes aktivieren oder deaktivieren:

  • Agentischer Chat: Wenn diese Option in Ihrer Instanz verfügbar ist, aktivieren Sie sie, damit SecOps Chat in Ihrem Namen Google SecOps-Tools aufrufen kann, um operative Fragen zu beantworten. Wenn Sie wissen möchten, was SecOps Chat in Ihrer Umgebung tun kann, geben Sie einen Prompt wie den folgenden ein: What are the capabilities of SecOps Chat?.
  • Denkprozess des Agenten anzeigen: Aktivieren Sie diese Option, um eine Anzeige für den Denkprozess einzublenden. Diese zeigt die Schritte und Tools, die das Modell im Hintergrund aufruft, um Ihre Frage zu beantworten.

YARA-L-Suchanfragen generieren

Mit natürlicher Sprache können Sie eine YARA-L 2.0-Suchanfrage generieren, mit der Sie in Google SecOps SIEM nach bestimmten Ereignissen suchen können.

Probieren Sie die folgenden Such-Prompts und Folgefragen im SecOps Chat-Bereich aus:

  • Show me all failed logins for the last 3 days
    • Generate a rule to help detect that behavior in the future
  • Show me events associated with the principal user random.user
    • Who is this user?
  • Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
    • List all of the domains in the results set
    • What types of events were returned?
  • Show me events from my firewall in the last 24 hours
    • What were the 16 unique hostnames in the results set?
    • Narrow the query to only return results for failed attempts
    • Change the time range to the last 7 days

Sehen Sie sich die generierte Suchanfrage an. Die Suchanfrage verwendet die YARA-L 2.0-Syntax. Wenn die generierte Suchanfrage Ihren Anforderungen entspricht, klicken Sie auf Suche ausführen. Klicken Sie andernfalls auf Auf Suchseite bearbeiten, um die Abfrage zu ändern.

Nach dem Ausführen der Suchanfrage erstellt Gemini eine Zusammenfassung der Ergebnisse und schlägt Maßnahmen vor.

YARA-L-Regeln generieren

Sie können einen Prompt in natürlicher Sprache verwenden, um eine YARA-L 2.0-Erkennungsregel zu generieren, und die Regel dann im Regeleditor öffnen, bearbeiten und aktivieren. Beachten Sie, dass Sie mit dieser Funktion nur Einzelereignisregeln erstellen können.

Wenn Sie beispielsweise eine Regel zum Erkennen von abgeschnittenen DNS-Antworten generieren möchten, geben Sie den folgenden Prompt in den SecOps Chat-Bereich ein: Create a rule to count how many DNS responses were truncated per principal asset host. Drücken Sie dann die Eingabetaste. Gemini generiert eine Regel, um das von Ihnen gesuchte Verhalten zu erkennen.

Klicken Sie auf Im Regeleditor öffnen, um die neue Regel im Regeleditor aufzurufen und zu ändern.

Mit dem vorherigen Regel-Prompt könnte Gemini beispielsweise die folgende Regel generieren:

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

Klicken Sie auf Neue Regel speichern, um die Regel zu aktivieren. Die Regel wird links in der Liste der Regeln angezeigt. Halten Sie den Mauszeiger über die Regel, klicken Sie auf das Menüsymbol und schieben Sie die Option Live-Regel nach rechts (grün). Weitere Informationen finden Sie unter Regeln mit dem Regeleditor verwalten.

Fragen zu Threat Intelligence stellen

Gemini kann Fragen zu Threat Intelligence zu Themen wie Bedrohungsakteuren, ihren Verbindungen und ihren Verhaltensmustern beantworten, einschließlich Fragen zu MITRE-TTPs.

Antworten, die auf Threat Intelligence in Ihrer Umgebung basieren, z. B. Übereinstimmungen mit Kompromittierungsindikatoren (IoC) aus Applied Threat Intelligence, hängen von Ihrem Google SecOps-Paket ab. Auf welche Daten SecOps Chat zugreifen kann, hängt auch von Ihren IAM-Rollen und Datenzugriffsbereichen ab.

Probieren Sie die folgenden Beispiel-Prompts für Threat Intelligence im SecOps Chat-Bereich aus:

  • How does APT44 operate?
  • Are there any known attacker tools that use RDP to brute force logins?
  • Is 103.224.80.44 suspicious?
  • What types of attacks may be associated with CVE-2020-14145?
  • Which MITRE ATT&CK techniques involve exploiting buffer overflows?
  • What is UNC3782?

Sehen Sie sich die Ergebnisse an und untersuchen Sie sie weiter, indem Sie Gemini auffordern, Abfragen zu erstellen, um nach bestimmten Kompromittierungsindikatoren (Indicators of Compromise, IOCs) zu suchen, die in den Threat-Intelligence-Berichten erwähnt werden. Threat Intelligence-Informationen unterliegen den verfügbaren Berechtigungen Ihrer Google SecOps-Lizenz.

Klicken Sie unten im SecOps Chat-Bereich auf Quellen und zugehörige Inhalte. Gemini stellt Links zu einigen der Artikel bereit, die zum Generieren der Zusammenfassung verwendet wurden.

Gemini und MITRE

Die MITRE ATT&CK®-Matrix ist eine Wissensdatenbank, in der die TTPs dokumentiert sind, die von realen Cyberangreifern verwendet werden. Die MITRE-Matrix bietet einen Überblick darüber, wie Ihre Organisation angegriffen werden könnte, und stellt eine standardisierte Syntax für die Erörterung von Angriffen bereit.

Sie können Gemini Fragen zu MITRE-Taktiken, ‑Techniken und ‑Verfahren (TTPs) stellen und erhalten kontextrelevante Antworten, die die folgenden MITRE-Details enthalten:

  • Strategie
  • Technik
  • Untertechnik
  • Vorschläge für die Erkennung
  • Prozeduren
  • Aussetzung von Maßnahmen

Gemini gibt einen Link zu den ausgewählten Erkennungen zurück, die Google SecOps für jede TTP bereitstellt. Sie können Gemini auch weiterführende Fragen stellen, um zusätzliche Informationen zu einer MITRE-TTP und deren möglichen Auswirkungen auf Ihr Unternehmen zu erhalten.

Fälle und Benachrichtigungen untersuchen

Sie können Gemini direkt auf den Seiten zur Anfragenverwaltung Fragen zu Fällen, Benachrichtigungen und Playbooks stellen. Ihre Fragen sind kontextbezogen und basieren auf der jeweiligen Seite oder dem Tab, den Sie gerade ansehen, z. B. der Seite Fälle, dem Tab Benachrichtigungen oder dem Tab Playbooks.

Öffnen Sie auf einer der Fallseiten den SecOps-Chatbereich. Geben Sie einen fallbezogenen Prompt ein. Die Frage kann sich auf den aktuellen Tab beziehen:

  • Fallübersicht oder Fallpinnwand: Fragen zu Informationen auf Fallebene stellen. Beispiel: Give me the names of everyone who left comments on the Case Wall.
  • Benachrichtigungen: Stellen Sie eine Frage zu einer bestimmten Benachrichtigung. Beispiel: Can you summarize this alert?
  • Benachrichtigungs-Playbooks: Fragen Sie nach dem Verhalten angehängter Playbooks. Beispiel: Which playbooks are available for phishing alerts?

Sehen Sie sich die von Gemini zurückgegebenen Ergebnisse an und passen Sie Ihren Prompt bei Bedarf an.

Sie können Fälle auch mit dem Gemini-Widget für Fallzusammenfassungen zusammenfassen.

Fragen zur Google SecOps-Dokumentation beantworten

Geben Sie im SecOps Chat-Bereich einen Prompt ein, um Informationen zu einem beliebigen Aspekt der Verwendung von Google SecOps anzufordern.

SecOps Chat verwendet einen mehrstufigen Reasoning-Prozess, der auf Informationen in der Google SecOps-Dokumentation basiert, um komplexe Fragen mit Links zu relevanten Dokumentationsseiten zu beantworten.

Probieren Sie diese Beispiel-Prompts im SecOps-Chatbereich aus:

  • How do I configure the forwarder?
  • How do I create a rule?
  • How do I investigate user logins?

SecOps Chat verwendet außerdem die Fundierung mit der Google Suche und Zitate, um differenzierte, hochwertige Antworten auf Ihre Prompts zu liefern. Bei der Fundierung werden Modellantworten mit Informationen aus dem Internet verknüpft, um zusätzlichen, aktuellen Kontext für Sicherheitsprüfungen bereitzustellen. Anhand von Quellenangaben können Sie sehen, welche Datenquellen Gemini für seine Antworten verwendet hat. Das verbessert die Erklärbarkeit und hilft Ihnen, die Informationen zu überprüfen.

Wenn Gemini die Google Suche verwendet, um eine Antwort zu fundieren, werden in der Weboberfläche die folgenden Elemente angezeigt:

  • Google-G-Symbol: Zeigt an, dass Gemini eine Verbindung zum Internet hergestellt hat, um zusätzlichen Kontext für Ihren Prompt abzurufen.
  • Chips für Suchanfragen: Zeigt die genauen Suchanfragen an, die Gemini verwendet hat, um zusätzlichen Kontext abzurufen.
  • Zitate: Verweise auf die spezifischen Fundierungsdaten, die zum Generieren der Antwort verwendet wurden.

Wenn Sie sich diese Suchanfragen und Zitationen ansehen, können Sie die Schritte nachvollziehen, die Gemini zur Recherche eines Prompts unternimmt. Außerdem sorgt dies für Transparenz bei den abgerufenen Daten.

Andere Aufgaben

Als Ihr zentraler Sicherheitsassistent verwendet SecOps Chat Backend-Tools, um operative Aufgaben auf der Google SecOps-Plattform auszuführen.

Anfrage- und Benachrichtigungsverwaltung

  • Fälle suchen und filtern: Sie können alle Fälle in Ihrer Google SecOps-Instanz auflisten oder umfassende Details zu einem einzelnen Fall abrufen.
  • Fallbezogene Beweise untersuchen: Fallkommentare auflisten, bestimmte Fallbenachrichtigungen abrufen, Connector-Rohereignisse ansehen und die an einer Benachrichtigung beteiligten Entitäten wie IP-Adressen und Hostnamen auflisten.

Anreicherung von Entitäten und Benachrichtigungen

  • Entitätsaktivität zusammenfassen: Suchen Sie nach dem Aktivitätsverlauf einer Entität in Google SecOps SIEM und fassen Sie ihn zusammen, um schnell zusätzliche Informationen zu erhalten.
  • IoCs identifizieren: Rufen Sie Kompromittierungsindikatoren (IoCs) direkt aus Ihren Google SecOps SIEM-Logs ab.
  • Benachrichtigungsprofile abrufen: Rufen Sie ein Profil einer SIEM-Benachrichtigung ab, in dem Daten aus mehreren Quellen zusammengefasst sind.
  • Anreicherungsaktionen abrufen: Rufen Sie eine ausgewählte Liste von SOAR-Integrationsaktionen ab, die zum Anreichern einer bestimmten SIEM-Benachrichtigung verfügbar sind.

SIEM-Inhalts- und Datenverwaltung

  • Logdaten verwalten: Listet die Datentabellen und Logtypen auf, die in Google SecOps SIEM verfügbar sind.
  • Parser prüfen: Listen Sie die Parser für einen Logtyp auf oder rufen Sie die Konfigurationsdetails eines bestimmten Parsers ab.
  • Erkennungsregeln überwachen: Konfigurierte Erkennungsregeln ansehen und Ausführungsfehler für bestimmte Regeln auflisten, um die Fehlerbehebung zu erleichtern.
  • Auf Referenzlisten zugreifen: Rufen Sie die Details und Inhalte einer bestimmten Referenzliste anhand des Namens ab.

Orchestrierung und Automatisierung

  • Integrationen überwachen: Listet die konfigurierten SOAR-Integrationen auf und zeigt die konfigurierten Instanzen an.
  • Integrationsaktionen prüfen: Hier sehen Sie, welche automatisierten Aktionen für eine SOAR-Integration verfügbar sind.
  • Playbooks ansehen: Listet die automatisierten Playbooks auf, die in Ihrer Umgebung konfiguriert sind.

Automatisierte Prüfungen

  • Triage-Ausgabe prüfen: Rufen Sie die neueste automatisierte Triage-Prüfung für eine Benachrichtigungs-ID ab.
  • Vollständige Berichte abrufen: Rufen Sie einen vollständigen, vom Agenten generierten Prüfbericht anhand seiner ID ab.
  • Konfigurationen prüfen: Prüfen Sie die Konfigurationseinstellungen Ihres Prüfungs-KI-Agenten.

Unterstützte MCP-Tools und Beispiel-Prompts

In der folgenden Tabelle sind die MCP-Tools aufgeführt, die SecOps Chat aufrufen kann, sowie ein Beispielprompt für jedes Tool.

Tool Beispiel-Prompt
list_cases List all open critical cases
get_case Show case details for ID 12345
get_case_alert Show details for alert ID 67890 in case ID 12345
list_case_comments Get comments for case ID 12345
list_case_alerts Retrieve all alerts associated with case ID 12345
list_connector_events Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity Summarize the history of host workstation-9
get_ioc_match Show IoC matches in my environment from the last 24 hours
fetch_alert_data Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions What SOAR integration actions are available for alert ID 67890?
list_data_tables List all SIEM data tables
list_log_types List available log types
list_parsers Show parsers configured for log type GCP_CLOUDAUDIT
get_parser Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules List all security detection rules
list_rule_errors Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list Get details for the admin_ips reference list
list_integrations List all configured SOAR integrations
list_integration_instances Show configured instances for VirusTotal
list_integration_actions List available actions for VirusTotal
list_playbooks List all automated SOAR playbooks
get_alert_latest_investigation Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id Get investigation report for ID rpt_98765
get_agent_settings Show current settings for the investigation agent
ask_cloud_assist How do I configure Cloud NAT logging in Google Cloud?

Erforderliche RBAC- und IAM-Berechtigungen für den Zugriff auf SecOps Chat und GCA Q&A

SecOps Chat stellt eine Verbindung zu zwei verwalteten MCP-Servern her:

  1. Der SecOps-MCP-Server (chronicle.googleapis.com/mcp) für Live-SIEM/SOAR-Vorgänge und
  2. Der Gemini Cloud Assist (GCA) MCP-Server (geminicloudassist.googleapis.com/mcp — ask_cloud_assist) für erweiterte „Anleitungs“-Fragen und -Antworten sowie Abfragen zur Plattformdokumentation.

Damit Nutzer und das P4SA des Mandanten ohne 403 Permission Denied-Fehler auf SecOps Chat und alle MCP-Tools zugreifen können, müssen die folgenden IAM-Rollen und APIs im gebundenen Google Cloud -Projekt(BYOP) des Mandanten konfiguriert sein.

Funktion / Möglichkeit Erforderliche vordefinierte IAM-Rolle Zweck und Hinweise
GCA-Anleitung für Fragen und Antworten (ask_cloud_assist) roles/geminicloudassist.user (GCA-Nutzer) Wenn die P4SA-Integration aktiv ist, ist keine GCA-IAM-Rolle für Endnutzer erforderlich. Chat authentifiziert sich bei GCA über die Chronicle-P4SA des Mandanten (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com). Nur die P4SA (oder das Nutzer-Hauptkonto in Umgebungen vor P4SA) benötigt roles/geminicloudassist.user.
Unterhaltungen verwalten roles/chronicle.editor (oder roles/chronicle.admin) Erforderlich, um Unterhaltungen zu erstellen, umzubenennen und zu löschen.
MCP-Gateway-Aufruf (alle Tools) roles/mcp.toolUser (MCP Tool User) Gewährt mcp.tools.call, die zum Ausführen von Remote-MCP-Tools über SecOps- und GCA-Endpunkte erforderlich sind.
Abrechnung der Toolnutzung roles/serviceusage.serviceUsageConsumer (Service Usage Consumer) Chat rechnet SecOps- und GCA-Toolaufrufe über das Google Cloud -Projekt ab, das an Ihre Google SecOps-Instanz gebunden ist. Zusammen mit roles/mcp.toolUser erforderlich.
SIEM-Tools und YARA-L-Abfragegenerierung roles/chronicle.admin (oder roles/chronicle.editor) Erforderlich für SIEM-Tools: UDM-/YARA-L-Generierung, Regeln, Regelfehler, Parser, Logtypen, Datentabellen, Referenzlisten, Entitätszusammenfassungen und IoCs. Beachten Sie, dass für einige SIEM-Tools wie Parser auch roles/chronicle.admin erforderlich ist.
SOAR-Fälle, ‑Benachrichtigungen und ‑Playbooks roles/chronicle.admin (oder roles/chronicle.editor) Erforderlich für SOAR-Tools: Fälle, Fallbenachrichtigungen, Fallkommentare, Connector-Ereignisse, Playbooks und Integrationen.
Google Cloud Ressourcenkontext (optional) roles/cloudasset.viewer (Cloud Asset Viewer) Empfohlene Begleitrolle für GCA, damit der Assistent bei der Fehlerbehebung Projekt-/Asset-Metadaten auflösen kann.

P4SA-/benutzerdefinierte IAM-Rollenberechtigungen für GCA (ask_cloud_assist)

Bei der P4SA-Integration benötigen Endnutzer keine GCA-IAM-Berechtigungen (auch nicht bei der Anmeldung über einen Drittanbieter-IdP / SAML / Okta). Stattdessen verwendet das Chronicle-P4SA (service-PROJECT_NUMBER@gcp-sa-chronicle.iam.gserviceaccount.com) des Mandanten oder eine benutzerdefinierte Rolle (in Umgebungen vor P4SA) die folgenden Berechtigungen für das gebundene Google Cloud Projekt:

  • geminicloudassist.agents.invoke: Erforderlich, damit das ask_cloud_assist-Tool den GCA-Agenten aufrufen kann.
  • mcp.tools.call: Erforderlich, damit das MCP-Gateway von Google Cloud Toolaufrufe über geminicloudassist.googleapis.com/mcp und chronicle.googleapis.com/mcp ausführen kann.
  • serviceusage.services.use: Erforderlich, da Agentic Chat die Projekt-ID des Mandanten im Abrechnungs- oder Kontingentheader „X-Goog-User-Project“ übergibt.
  • cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat und cloudaicompanion.instances.completeTask: Erforderlich, um GCA-Unterhaltungsthemen mit mehreren Runden zu initialisieren und fortzusetzen.
  • resourcemanager.projects.get, geminicloudassist.locations.get und geminicloudassist.locations.list: Erforderlich, um die Mandantenprojektnummer und den globalen Agentenendpunkt aufzulösen.

Auch wenn der Mandant zusätzliche Berechtigungen hat, gilt dieser Fallback nur für GCA.

Erforderliche Google Cloud Projekt-APIs

Prüfen Sie, ob die folgenden Google Cloud APIs im gebundenenGoogle Cloud -Projekt des Mandanten aktiviert sind:

  • chronicle.googleapis.com (Chronicle API)
  • geminicloudassist.googleapis.com (GCA API)
  • cloudaicompanion.googleapis.com (Gemini for Google Cloud API)
  • cloudasset.googleapis.com (Cloud Asset API)

Authentifizierung für die Mitarbeiteridentitätsföderation

Mit der Workforce Identity-Föderation (WIF) können Sie Ihren externen IdP verwenden, um Ihre Mitarbeiter zu authentifizieren – Nutzer und Nutzergruppen wie Mitarbeiter, Partner und Auftragnehmer. Nutzer können dann über die Einmalanmeldung (SSO) über Ihren IdP auf Google Cloud zugreifen, ohne ihre Konten mit Cloud Identity zu synchronisieren. Google-Konten sind dann nicht mehr erforderlich.

Wenn Sie GCA verwenden möchten, müssen Sie es zuerst konfigurieren. Weitere Informationen finden Sie im Konfigurationsleitfaden für die Identitätsföderation von Arbeitslasten.

Fügen Sie dem principalSet Berechtigungen hinzu. Wenn Sie beispielsweise einen externen Identitätsanbieter verwenden, können Sie mit dem folgenden Befehl dem principalSet in Ihrem Mandantenprojekt Berechtigungen erteilen:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

Schutzmaßnahmen und Sicherheit

Damit Ihre Umgebung sicher bleibt, gelten für SecOps Chat die folgenden Schutzmaßnahmen:

  • Lesezugriff-Aktionen: Der Agent unterstützt grundlegende Lesezugriff-Aktionen wie das Generieren von Suchanfragen, das Abrufen von Fällen, Benachrichtigungen und Entitätszusammenfassungen.

Chatsitzungen verwalten und Feedback geben

Sie können Ihre Chatsitzungen jederzeit löschen und die von Gemini generierten Antworten bewerten.

Chatsitzung löschen

Sie können Ihre aktuelle Chatsitzung oder alle Chatsitzungen löschen. Gemini speichert alle Unterhaltungsverläufe von Nutzern privat und hält sich an die Best Practices für eine verantwortungsbewusste Anwendung von KI von Google Cloud. Der Nutzerverlauf wird niemals zum Trainieren von Modellen verwendet.

  1. Wählen Sie im Gemini-Bereich im Menü oben rechts Chat löschen aus.
  2. Klicken Sie rechts unten auf Chat löschen, um die aktuelle Chatsitzung zu löschen.
  3. Optional: Wenn Sie alle Chatsitzungen löschen möchten, wählen Sie Alle Chatsitzungen löschen aus und klicken Sie dann auf Alle Chats löschen.

Feedback geben

Sie können Feedback zu Antworten geben, die von der KI-Prüfunterstützung von Gemini generiert wurden. Ihr Feedback hilft Google, die Funktion und die von Gemini generierte Ausgabe zu verbessern.

  1. Klicken Sie im Gemini-Bereich auf thumb_up Mag ich oder thumb_down Mag ich nicht.
  2. Optional: Klicken Sie auf thumb_down Schlechte Antwort und geben Sie Feedback.
  3. Klicken Sie auf Feedback senden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten