Descripción general de SecOps Chat

Compatible con:

Google SecOps SIEM SOAR

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.
Si esta función no está visible en tu entorno, consulta Administra las funciones de versión preliminar o comunícate con el administrador del sistema.

En esta guía, se explica cómo navegar y usar SecOps Chat, el asistente conversacional de Gemini en Google Security Operations. Sigue leyendo para aprender a usar SecOps Chat para responder preguntas sobre la documentación del producto, generar búsquedas y reglas de detección de YARA-L, investigar la inteligencia contra amenazas, investigar casos y alertas y realizar otras tareas operativas.

Navega por la interfaz de SecOps Chat

Abre el panel de SecOps Chat desde cualquier página de Google SecOps haciendo clic en en la barra de navegación superior.

Según la pantalla de Google SecOps en la que te encuentres, el panel de SecOps Chat proporciona una lista contextual de instrucciones sugeridas para ayudarte a comenzar.

Haz clic en en la parte superior del panel de SecOps Chat para iniciar y borrar sesiones de chat, y para ver tu historial de chat. El chat admite interacciones de varios turnos. El asistente conserva los parámetros y el contexto en los turnos de conversación, por lo que puedes definir mejor una pregunta en lugar de volver a formularla.

En este menú, también puedes activar o desactivar las siguientes opciones:

• Agentic Chat: Si está disponible en tu instancia, activa esta opción para permitir que SecOps Chat llame a las herramientas de Google SecOps en tu nombre y responda preguntas operativas. Para ver lo que puede hacer el chat de SecOps en tu entorno, ingresa una instrucción como la siguiente: What are the capabilities of SecOps Chat?.
• Mostrar el pensamiento del agente: Activa esta opción para mostrar un indicador de pensamiento que muestra los pasos y las herramientas que el modelo invoca en segundo plano para responder tu pregunta.

Genera búsquedas de YARA-L

Usa lenguaje natural para generar una consulta de búsqueda de YARA-L 2.0 que puedas usar para buscar eventos específicos en Google SecOps SIEM.

Prueba las siguientes instrucciones de búsqueda de ejemplo y las preguntas de seguimiento en el panel de SecOps Chat:

• Show me all failed logins for the last 3 days
  • Generate a rule to help detect that behavior in the future
• Show me events associated with the principal user random.user
  • Who is this user?
• Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
  • List all of the domains in the results set
  • What types of events were returned?
• Show me events from my firewall in the last 24 hours
  • What were the 16 unique hostnames in the results set?
  • Narrow the query to only return results for failed attempts
  • Change the time range to the last 7 days

Revisa la búsqueda generada. La consulta de búsqueda usa la sintaxis de YARA-L 2.0. Si la búsqueda generada cumple con tus requisitos, haz clic en Ejecutar búsqueda. De lo contrario, haz clic en Editar en la página de búsqueda para modificar la consulta.

Después de ejecutar la búsqueda, Gemini produce un resumen de los resultados junto con acciones sugeridas.

Genera reglas de YARA-L

Puedes usar una instrucción en lenguaje natural para generar una regla de detección de YARA-L 2.0 y, luego, abrir, editar y activar la regla en el editor de reglas. Ten en cuenta que solo puedes crear reglas de evento único con esta función.

Por ejemplo, para generar una regla que detecte las respuestas de DNS que se truncaron, ingresa la siguiente instrucción en el panel de SecOps Chat: Create a rule to count how many DNS responses were truncated per principal asset host. y, luego, presiona Intro. Gemini genera una regla para detectar el comportamiento que buscaste.

Haz clic en Abrir en el editor de reglas para ver y modificar la regla nueva en el editor de reglas.

Por ejemplo, con la instrucción de regla anterior, Gemini podría generar la siguiente regla:

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

Para activar la regla, haz clic en Guardar regla nueva. La regla aparece en la lista de reglas de la izquierda. Mantén el puntero sobre la regla, haz clic en el ícono de menú y activa la opción Regla activa hacia la derecha (verde). Para obtener más información, consulta Administra reglas con el editor de reglas.

Haz preguntas sobre inteligencia contra amenazas

Gemini puede responder preguntas relacionadas con la inteligencia contra amenazas sobre temas como los agentes de amenazas, sus asociaciones y sus patrones de comportamiento, incluidas preguntas sobre las TTP de MITRE.

Las respuestas que se basan en la inteligencia contra amenazas de tu entorno, como las coincidencias de indicadores de compromiso (IoC) de Applied Threat Intelligence, dependen de tu paquete de Google SecOps. Los datos a los que puede acceder SecOps Chat también dependen de tus roles de IAM y de los permisos de acceso a los datos.

Prueba las siguientes instrucciones de ejemplo de inteligencia contra amenazas en el panel de SecOps Chat:

• How does APT44 operate?
• Are there any known attacker tools that use RDP to brute force logins?
• Is 103.224.80.44 suspicious?
• What types of attacks may be associated with CVE-2020-14145?
• Which MITRE ATT&CK techniques involve exploiting buffer overflows?
• What is UNC3782?

Revisa los resultados y, luego, investiga más pidiéndole a Gemini que cree consultas para buscar indicadores de compromiso (IoC) específicos a los que se hace referencia en los informes de inteligencia contra amenazas. La información de inteligencia contra amenazas está sujeta a los derechos disponibles de tu licencia de Google SecOps.

En la parte inferior del panel de SecOps Chat, haz clic en Fuentes y contenido relacionado. Gemini proporciona vínculos a algunos de los artículos que se usaron para generar el resumen.

Nota: Si Gemini responde a una instrucción con texto escrito por otra persona, la fuente original se cita en la sección Fuentes de referencia del panel de SecOps Chat. Para obtener más información, consulta Cómo y cuándo Gemini cita fuentes.

Gemini y MITRE

La matriz de MITRE ATT&CK® es una base de conocimiento que documenta las TTP que usan los ciberadversarios del mundo real. La matriz de MITRE proporciona una comprensión de cómo tu organización podría ser un objetivo y proporciona una sintaxis estandarizada para analizar los ataques.

Puedes hacerle preguntas a Gemini sobre las tácticas, técnicas y procedimientos (TTP) de MITRE, y recibir respuestas contextualmente pertinentes que incluyan los siguientes detalles de MITRE:

• Táctica
• Técnica
• Subtécnica
• Sugerencias de detección
• Procedimientos
• Mitigaciones

Gemini devuelve un vínculo a las detecciones seleccionadas que Google SecOps pone a disposición para cada TTP. También puedes hacerle preguntas de seguimiento a Gemini para obtener más información sobre una TTP de MITRE y cómo podría afectar a tu empresa.

Investiga casos y alertas

Puedes hacerle preguntas a Gemini sobre casos, alertas y guías directamente desde las páginas de Administración de casos. Tus preguntas tienen en cuenta el contexto, según la página o pestaña específica que estés viendo, como la página Casos, la pestaña Alertas o la pestaña Guías.

En una de las páginas de Caso, abre el panel de SecOps Chat. Ingresa una instrucción relacionada con el caso. La pregunta puede relacionarse con la pestaña actual:

• Descripción general del caso o Muro del caso: Pregunta sobre la información a nivel del caso. Por ejemplo, Give me the names of everyone who left comments on the Case Wall.
• Alertas: Haz una pregunta específica relacionada con esa alerta. Por ejemplo: Can you summarize this alert?
• Guías de alertas: Pregunta sobre el comportamiento de las guías adjuntas. Por ejemplo: Which playbooks are available for phishing alerts?

Revisa los resultados que devuelve Gemini y, si es necesario, define mejor tu instrucción.

También puedes resumir casos con el widget de resumen de casos de Gemini.

Responder preguntas sobre la documentación de Google SecOps

Ingresa una instrucción en el panel de SecOps Chat para solicitar información sobre cualquier aspecto de cómo usar Google SecOps.

SecOps Chat usa un proceso de razonamiento de varias etapas que se basa en la información de la documentación de Google SecOps para responder preguntas complejas con vínculos a páginas de documentación relacionadas.

Prueba ingresar estas instrucciones de ejemplo en el panel de SecOps Chat:

• How do I configure the forwarder?
• How do I create a rule?
• How do I investigate user logins?

SecOps Chat también usa la fundamentación y las citas de la Búsqueda de Google para proporcionar respuestas detalladas y de alta calidad a tus instrucciones. La fundamentación vincula las respuestas del modelo con la información que se encuentra en Internet para proporcionar contexto adicional y actualizado para las investigaciones de seguridad. Las citas te muestran las fuentes de datos específicas que usó Gemini para formular sus respuestas, lo que mejora la explicabilidad y te ayuda a verificar la información.

Cuando Gemini usa la Búsqueda de Google para fundamentar una respuesta, la interfaz web muestra los siguientes elementos:

• Ícono de la G de Google: Indica que Gemini se conectó a Internet para obtener contexto adicional para tu instrucción.
• Chips de búsqueda: Muestra las búsquedas exactas que usó Gemini para recuperar contexto adicional.
• Citas: Proporciona referencias a los datos de fundamentación específicos que se usaron para generar la respuesta.

Revisar estas búsquedas y citas te ayuda a comprender los pasos que sigue Gemini para investigar una instrucción y garantiza la transparencia en los datos que recupera.

Otras tareas

Como tu asistente de seguridad central, SecOps Chat usa herramientas de backend para realizar tareas operativas en la plataforma de Google SecOps.

Administración de casos y alertas

• Busca y filtra casos: Enumera todos los casos en tu instancia de Google SecOps o recupera detalles completos de un solo caso.
• Investiga la evidencia del caso: Enumera los comentarios del caso, recupera alertas específicas del caso, visualiza los eventos sin procesar del conector y enumera las entidades que participan en una alerta, como las direcciones IP y los nombres de host.

Enriquecimiento de entidades y alertas

• Resumir la actividad de la entidad: Busca y resume la actividad histórica de una entidad en Google SecOps SIEM para un enriquecimiento rápido.
• Identifica IoC: Recupera coincidencias de indicadores de compromiso (IoC) directamente desde tus registros de Google SecOps SIEM.
• Recuperar perfiles de alertas: Recupera un perfil de una alerta de SIEM que agrega datos de varias fuentes.
• Descubre acciones de enriquecimiento: Recupera una lista seleccionada de acciones de integración de SOAR que están disponibles para enriquecer una alerta de SIEM determinada.

Administración de datos y contenido de SIEM

• Administra los datos de registro: Enumera las tablas de datos y los tipos de registros que están disponibles en Google SecOps SIEM.
• Revisa los analizadores: Enumera los analizadores de un tipo de registro o recupera los detalles de configuración de un analizador específico.
• Supervisar las reglas de detección: Consulta las reglas de detección configuradas y enumera los errores de ejecución de reglas específicas para ayudarte a solucionar problemas.
• Accede a las listas de referencia: Recupera los detalles y el contenido de una lista de referencia específica por nombre.

Orquestación y automatización

• Supervisa integraciones: Enumera las integraciones de SOAR configuradas y consulta sus instancias configuradas.
• Revisa las acciones de integración: Consulta qué acciones automatizadas están disponibles para una integración de SOAR.
• Ver guías: Enumera las guías automatizadas que están configuradas en tu entorno.

Investigaciones automáticas

• Revisa el resultado de la clasificación: Recupera la investigación de clasificación automatizada más reciente para un ID de alerta.
• Recuperar informes completos: Recupera un informe de investigación completo generado por un agente por su ID.
• Verifica la configuración: Revisa los parámetros de configuración de tu agente de investigación.

Herramientas de MCP compatibles y ejemplos de instrucciones

En la siguiente tabla, se enumeran las herramientas de MCP a las que puede llamar SecOps Chat, con una instrucción de ejemplo para cada herramienta.

Herramienta	Instrucción de ejemplo
list_cases	List all open critical cases
get_case	Show case details for ID 12345
get_case_alert	Show details for alert ID 67890 in case ID 12345
list_case_comments	Get comments for case ID 12345
list_case_alerts	Retrieve all alerts associated with case ID 12345
list_connector_events	Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities	Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity	Summarize the history of host workstation-9
get_ioc_match	Show IoC matches in my environment from the last 24 hours
fetch_alert_data	Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions	What SOAR integration actions are available for alert ID 67890?
list_data_tables	List all SIEM data tables
list_log_types	List available log types
list_parsers	Show parsers configured for log type GCP_CLOUDAUDIT
get_parser	Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules	List all security detection rules
list_rule_errors	Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list	Get details for the admin_ips reference list
list_integrations	List all configured SOAR integrations
list_integration_instances	Show configured instances for VirusTotal
list_integration_actions	List available actions for VirusTotal
list_playbooks	List all automated SOAR playbooks
get_alert_latest_investigation	Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id	Get investigation report for ID rpt_98765
get_agent_settings	Show current settings for the investigation agent
ask_cloud_assist	How do I configure Cloud NAT logging in Google Cloud?

Permisos de RBAC y de IAM necesarios para acceder a SecOps Chat y a GCA Q&A

SecOps Chat se conecta a dos servidores de MCP administrados:

1. El servidor de MCP de SecOps (chronicle.googleapis.com/mcp) para operaciones de SIEM/SOAR en vivo
2. El servidor de MCP de Gemini Cloud Assist (GCA) (geminicloudassist.googleapis.com/mcp — ask_cloud_assist) para mejorar las preguntas y respuestas de tipo "instructivo" y las consultas de documentación de la plataforma.

Para garantizar que los usuarios y la P4SA del usuario puedan acceder a SecOps Chat y a todas las herramientas de MCP sin errores de 403 Permission Denied, asegúrate de que las siguientes APIs y roles de IAM estén configurados en el proyecto vinculado Google Cloud (BYOP) del usuario.

Roles de IAM predefinidos recomendados (configuración rápida)

Función o capacidad	Rol de IAM predefinido obligatorio	Propósito y notas
Herramienta de preguntas y respuestas "Instructivo" de GCA (ask_cloud_assist)	roles/geminicloudassist.user (usuario de GCA)	Con la integración de P4SA activa, no se requiere ningún rol de IAM de GCA para el usuario final. Chat se autentica en GCA con la P4SA de Chronicle del inquilino (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com). Solo la P4SA (o la principal de usuario en entornos anteriores a P4SA) necesita roles/geminicloudassist.user.
Administración de conversaciones	roles/chronicle.editor (o roles/chronicle.admin)	Es obligatorio para crear, cambiar el nombre y borrar conversaciones.
Invocación de la puerta de enlace de MCP (todas las herramientas)	roles/mcp.toolUser (Usuario de la herramienta de MCP)	Otorga los permisos mcp.tools.call necesarios para ejecutar herramientas de MCP remotas en los extremos de SecOps y GCA.
Facturación por uso de herramientas	roles/serviceusage.serviceUsageConsumer (Consumidor de Service Usage)	Chat factura las llamadas a herramientas de SecOps y GCA al proyecto de Google Cloud vinculado a tu instancia de Google SecOps. Es obligatorio junto con roles/mcp.toolUser.
Herramientas de SIEM y generación de consultas de YARA-L	roles/chronicle.admin (o roles/chronicle.editor)	Obligatorio para las herramientas de SIEM: generación de UDM/YARA-L, reglas, errores de reglas, analizadores, tipos de registros, tablas de datos, listas de referencia, resúmenes de entidades e IoC. Ten en cuenta que algunas herramientas de SIEM, como los analizadores, también requieren roles/chronicle.admin.
Casos, alertas y guías de SOAR	roles/chronicle.admin (o roles/chronicle.editor)	Es obligatorio para las herramientas de SOAR: casos, alertas de casos, comentarios de casos, eventos de conectores, guías y, además, integraciones.
Google Cloud Contexto del recurso (opcional)	roles/cloudasset.viewer (Visualizador de recursos de Cloud)	Es el rol complementario recomendado para GCA, de modo que el asistente pueda resolver los metadatos del proyecto o del recurso durante la solución de problemas.

Permisos de rol de IAM personalizado / P4SA para GCA (ask_cloud_assist)

Con la integración de P4SA, los usuarios finales no necesitan ningún permiso de IAM de GCA (incluso cuando acceden con un IdP de terceros, SAML u Okta). En su lugar, la P4SA de Chronicle del usuario ([e-mail]) o un rol personalizado (en entornos anteriores a la P4SA) usa los siguientes permisos en el proyecto Google Cloud vinculado:

• geminicloudassist.agents.invoke: Es obligatorio para que la herramienta ask_cloud_assist invoque al agente de GCA.
• mcp.tools.call: Es obligatorio para que la puerta de enlace de MCP de Google Cloud ejecute llamadas a herramientas a través de geminicloudassist.googleapis.com/mcp y chronicle.googleapis.com/mcp.
• serviceusage.services.use: Es obligatorio porque Agentic Chat pasa el ID del proyecto del usuario en el encabezado de facturación o cuota X-Goog-User-Project.
• cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat y cloudaicompanion.instances.completeTask: Son obligatorios para inicializar y continuar los temas de conversación de GCA de varios turnos.
• resourcemanager.projects.get, geminicloudassist.locations.get y geminicloudassist.locations.list: Son necesarios para resolver el número de proyecto de usuario y el extremo del agente global.

Ten en cuenta que, aunque el usuario tenga permisos adicionales, este resguardo solo se aplica a GCA.

APIs del proyecto Google Cloud obligatorias

Asegúrate de que las siguientes APIs de Google Cloud estén habilitadas en el proyecto deGoogle Cloud vinculado al usuario:

• chronicle.googleapis.com (API de Chronicle)
• geminicloudassist.googleapis.com (API de GCA)
• cloudaicompanion.googleapis.com (API de Gemini para Google Cloud )
• cloudasset.googleapis.com (API de Cloud Asset)

Autenticación para la federación de identidades de personal

La federación de identidades de personal (WIF) te permite usar tu IdP externo para autenticar a tu personal: usuarios y grupos de usuarios, como empleados, socios y contratistas. Luego, los usuarios pueden acceder a Google Cloud con el inicio de sesión único (SSO) a través de tu IdP sin sincronizar sus cuentas con Cloud Identity, lo que evita la necesidad de tener Cuentas de Google.

Para usar GCA, primero debes configurarlo. Consulta la guía de configuración de WIF para obtener más detalles.

Agrega permisos a principalSet. Por ejemplo, si usas un IdP de terceros, puedes usar el siguiente comando para otorgar permisos a la principalSet en tu proyecto de usuario:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

Protecciones y seguridad

Para ayudar a mantener seguro tu entorno, SecOps Chat opera con las siguientes barreras de protección:

• Acciones de solo lectura: El agente admite acciones de solo lectura fundamentales, como generar consultas de búsqueda, recuperar casos, alertas y resúmenes de entidades.

Administra sesiones de chat y proporciona comentarios

Puedes borrar tus sesiones de chat en cualquier momento y calificar las respuestas que genera Gemini.

Cómo borrar una sesión de chat

Puedes borrar tu sesión de conversación de chat o todas las sesiones de chat. Gemini mantiene todos los historiales de conversaciones de los usuarios de forma privada y se adhiere a las prácticas de IA responsable de Google Cloud. El historial del usuario nunca se usa para entrenar modelos.

1. En el panel de Gemini, selecciona Borrar chat en el menú de la parte superior derecha.
2. Haz clic en Borrar chat en la parte inferior derecha para borrar la sesión de chat actual.
3. Opcional: Para borrar todas las sesiones de chat, selecciona Borrar todas las sesiones de chat y, luego, haz clic en Borrar todos los chats.

Proporcionar comentarios

Puedes proporcionar comentarios sobre las respuestas que genera la asistencia de investigación de la IA de Gemini. Tus comentarios ayudan a Google a mejorar la función y el resultado que genera Gemini.

1. En el panel de Gemini, haz clic en thumb_up Me gusta o thumb_down No me gusta.
2. Opcional: Haz clic en thumb_down No me gusta y proporciona comentarios.
3. Haz clic en Enviar comentarios.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.