Présentation de SecOps Chat

Compatible avec :

Ce guide explique comment naviguer dans SecOps Chat, l'assistant conversationnel Gemini dans Google Security Operations, et comment l'utiliser. Poursuivez votre lecture pour découvrir comment utiliser SecOps Chat pour répondre à des questions sur la documentation du produit, générer des requêtes de recherche et des règles de détection YARA-L, rechercher des renseignements sur les menaces, examiner des cas et des alertes et effectuer d'autres tâches opérationnelles.

Ouvrez le volet SecOps Chat depuis n'importe quelle page Google SecOps en cliquant sur Logo Gemini dans la barre de navigation supérieure.

Selon l'écran Google SecOps sur lequel vous vous trouvez, le volet SecOps Chat fournit une liste contextuelle de prompts suggérés pour vous aider à démarrer.

Interface de chat SecOps

Cliquez sur en haut du volet de discussion SecOps pour démarrer et supprimer des sessions de discussion, et pour afficher l'historique de vos discussions. Le chat accepte les interactions multitours. L'assistant conserve les paramètres et le contexte d'un tour de conversation à l'autre. Vous pouvez ainsi affiner une question au lieu de la reformuler.

Dans ce menu, vous pouvez également activer ou désactiver les options suivantes :

  • Chat agentique : si cette option est disponible dans votre instance, activez-la pour autoriser SecOps Chat à appeler les outils Google SecOps en votre nom afin de répondre aux questions opérationnelles. Pour voir ce que SecOps Chat peut faire dans votre environnement, saisissez un prompt tel que : What are the capabilities of SecOps Chat?.
  • Afficher la réflexion de l'agent : activez cette option pour afficher un indicateur de réflexion qui montre les étapes et les outils que le modèle appelle en arrière-plan pour répondre à votre question.

Générer des requêtes de recherche YARA-L

Utilisez le langage naturel pour générer une requête de recherche YARA-L 2.0 que vous pouvez utiliser pour rechercher des événements spécifiques dans Google SecOps SIEM.

Essayez les exemples de requêtes de recherche et de questions complémentaires suivants dans le volet de chat SecOps :

  • Show me all failed logins for the last 3 days
    • Generate a rule to help detect that behavior in the future
  • Show me events associated with the principal user random.user
    • Who is this user?
  • Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
    • List all of the domains in the results set
    • What types of events were returned?
  • Show me events from my firewall in the last 24 hours
    • What were the 16 unique hostnames in the results set?
    • Narrow the query to only return results for failed attempts
    • Change the time range to the last 7 days

Examinez la requête de recherche générée. La requête de recherche utilise la syntaxe YARA-L 2.0. Si la requête de recherche générée répond à vos exigences, cliquez sur Exécuter la recherche. Sinon, cliquez sur Modifier sur la page de recherche pour modifier la requête.

Après avoir exécuté la requête de recherche, Gemini génère un résumé des résultats ainsi que des suggestions d'actions.

Générer des règles YARA-L

Vous pouvez utiliser un prompt en langage naturel pour générer une règle de détection YARA-L 2.0, puis l'ouvrir, la modifier et l'activer dans l'éditeur de règles. Notez que vous ne pouvez créer que des règles à événement unique à l'aide de cette fonctionnalité.

Par exemple, pour générer une règle permettant de détecter les réponses DNS tronquées, saisissez le prompt suivant dans le volet de chat SecOps : Create a rule to count how many DNS responses were truncated per principal asset host. puis appuyez sur Entrée. Gemini génère une règle pour détecter le comportement que vous avez recherché.

Cliquez sur Ouvrir dans l'éditeur de règles pour afficher et modifier la nouvelle règle dans l'éditeur de règles.

Par exemple, à l'aide de la requête de règle précédente, Gemini pourrait générer la règle suivante :

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

Pour activer la règle, cliquez sur Enregistrer la nouvelle règle. La règle apparaît dans la liste des règles à gauche. Passez le pointeur sur la règle, cliquez sur l'icône de menu, puis activez l'option Règle active (le bouton devient vert). Pour en savoir plus, consultez Gérer les règles à l'aide de l'éditeur de règles.

Poser des questions sur les renseignements sur les menaces

Gemini peut répondre à des questions liées aux renseignements sur les menaces concernant des sujets tels que les acteurs malveillants, leurs associations et leurs schémas de comportement, y compris des questions sur les TTP MITRE.

Les réponses qui s'appuient sur les renseignements sur les menaces dans votre environnement, telles que les correspondances d'indicateurs de compromission (IoC) d'Applied Threat Intelligence, dépendent de votre package Google SecOps. Les données auxquelles SecOps Chat peut accéder dépendent également de vos rôles IAM et de vos niveaux d'accès aux données.

Essayez les exemples de prompts de renseignement sur les menaces suivants dans le volet de discussion SecOps :

  • How does APT44 operate?
  • Are there any known attacker tools that use RDP to brute force logins?
  • Is 103.224.80.44 suspicious?
  • What types of attacks may be associated with CVE-2020-14145?
  • Which MITRE ATT&CK techniques involve exploiting buffer overflows?
  • What is UNC3782?

Examinez les résultats, puis approfondissez vos recherches en demandant à Gemini de créer des requêtes pour rechercher des indicateurs de compromission (IOC) spécifiques référencés dans les rapports de renseignement sur les menaces. Les informations de renseignement sur les menaces sont soumises aux droits disponibles de votre licence Google SecOps.

En bas du volet SecOps Chat, cliquez sur Sources et ressources associées. Gemini fournit des liens vers certains des articles utilisés pour générer le résumé.

Gemini et MITRE

La matrice MITRE ATT&CK® est une base de connaissances qui documente les TTP utilisés par les cyberadversaires dans le monde réel. La matrice MITRE permet de comprendre comment votre organisation peut être ciblée et fournit une syntaxe standardisée pour discuter des attaques.

Vous pouvez poser des questions à Gemini sur les tactiques, techniques et procédures (TTP) MITRE, et recevoir des réponses adaptées au contexte qui incluent les détails MITRE suivants :

  • Stratégie
  • Technique
  • Sous-technique
  • Suggestions de détection
  • Procédures
  • Stratégies d'atténuation

Gemini renvoie un lien vers les détections optimisées que Google SecOps met à disposition pour chaque TTP. Vous pouvez également demander à Gemini des questions complémentaires pour obtenir des renseignements supplémentaires sur un TTP MITRE et son impact potentiel sur votre entreprise.

Examiner les cas et les alertes

Vous pouvez demander à Gemini de vous renseigner sur les demandes, les alertes et les playbooks directement depuis les pages Gestion des demandes. Vos questions sont contextuelles, en fonction de la page ou de l'onglet que vous consultez, comme la page Demandes, l'onglet Alertes ou l'onglet Playbooks.

Sur l'une des pages Demande, ouvrez le volet de chat SecOps. Saisissez une requête liée à l'affaire. La question peut porter sur l'onglet actuel :

  • Aperçu de la demande ou Mur de la demande : posez des questions sur les informations au niveau de la demande. Par exemple, Give me the names of everyone who left comments on the Case Wall..
  • Alertes : posez une question spécifique liée à cette alerte. Par exemple, Can you summarize this alert?.
  • Playbooks d'alertes : posez des questions sur le comportement des playbooks associés. Par exemple, Which playbooks are available for phishing alerts?.

Examinez les résultats renvoyés par Gemini et affinez votre requête si nécessaire.

Vous pouvez également résumer les demandes à l'aide du widget de résumé des demandes Gemini.

Répondre à des questions sur la documentation Google SecOps

Saisissez une requête dans le volet SecOps Chat pour demander des informations sur n'importe quel aspect de l'utilisation de Google SecOps.

SecOps Chat utilise un processus de raisonnement en plusieurs étapes basé sur les informations de la documentation Google SecOps pour répondre à des questions complexes en fournissant des liens vers les pages de documentation associées.

Essayez de saisir ces exemples de prompts dans le volet de chat SecOps :

  • How do I configure the forwarder?
  • How do I create a rule?
  • How do I investigate user logins?

SecOps Chat utilise également l'ancrage et les citations de la recherche Google pour fournir des réponses nuancées et de haute qualité à vos requêtes. L'ancrage associe les réponses du modèle aux informations trouvées sur Internet pour fournir un contexte supplémentaire et à jour pour les enquêtes de sécurité. Les citations vous indiquent les sources de données spécifiques utilisées par Gemini pour formuler ses réponses, ce qui améliore l'explicabilité et vous aide à vérifier les informations.

Lorsque Gemini utilise la recherche Google pour ancrer une réponse, l'interface Web affiche les éléments suivants :

  • Icône Google G : indique que Gemini s'est connecté à Internet pour obtenir du contexte supplémentaire pour votre requête.
  • Chips de requête de recherche : affiche les requêtes de recherche exactes utilisées par Gemini pour récupérer du contexte supplémentaire.
  • Citations : fournit des références aux données d'ancrage spécifiques utilisées pour générer la réponse.

L'examen de ces requêtes de recherche et citations vous aide à comprendre les étapes suivies par Gemini pour rechercher un prompt et garantit la transparence des données qu'il récupère.

Autres tâches

En tant qu'assistant de sécurité central, SecOps Chat utilise des outils de backend pour effectuer des tâches opérationnelles sur la plate-forme Google SecOps.

Gestion des cas et des alertes

  • Rechercher et filtrer des demandes : listez toutes les demandes de votre instance Google SecOps ou récupérez des informations détaillées sur une seule demande.
  • Examiner les preuves d'une demande : lister les commentaires d'une demande, récupérer des alertes spécifiques, afficher les événements bruts du connecteur et lister les entités impliquées dans une alerte, telles que les adresses IP et les noms d'hôte.

Enrichissement des entités et des alertes

  • Résumer l'activité d'une entité : recherchez et résumez l'historique d'activité d'une entité dans Google SecOps SIEM pour un enrichissement rapide.
  • Identifier les IoC : récupérez les correspondances d'indicateurs de compromission (IoC) directement à partir de vos journaux Google SecOps SIEM.
  • Récupérer les profils d'alerte : récupérez le profil d'une alerte SIEM qui regroupe des données provenant de plusieurs sources.
  • Découvrir les actions d'enrichissement : récupérez une liste d'actions d'intégration SOAR disponibles pour enrichir une alerte SIEM donnée.

Gestion des contenus et des données SIEM

  • Gérer les données de journaux : listez les tables de données et les types de journaux disponibles dans Google SecOps SIEM.
  • Examiner les analyseurs : listez les analyseurs d'un type de journal ou récupérez les détails de configuration d'un analyseur spécifique.
  • Surveiller les règles de détection : affichez les règles de détection configurées et listez les erreurs d'exécution pour des règles spécifiques afin de vous aider à résoudre les problèmes.
  • Accéder aux listes de référence : récupérez les détails et le contenu d'une liste de référence spécifique par son nom.

Orchestration et automatisation

  • Surveiller les intégrations : listez les intégrations SOAR configurées et affichez leurs instances configurées.
  • Examiner les actions d'intégration : découvrez les actions automatisées disponibles pour une intégration SOAR.
  • Afficher les playbooks : listez les playbooks automatisés configurés dans votre environnement.

Investigations automatisées

  • Examiner le résultat du tri : récupérez l'investigation de tri automatisée la plus récente pour un ID d'alerte.
  • Récupérer des rapports complets : récupérez un rapport d'investigation complet généré par un agent à l'aide de son ID.
  • Vérifier les configurations : examinez les paramètres de configuration de votre agent d'investigation.

Outils MCP compatibles et exemples de prompts

Le tableau suivant liste les outils MCP que SecOps Chat peut appeler, avec un exemple de prompt pour chaque outil.

Outil Exemple de prompt
list_cases List all open critical cases
get_case Show case details for ID 12345
get_case_alert Show details for alert ID 67890 in case ID 12345
list_case_comments Get comments for case ID 12345
list_case_alerts Retrieve all alerts associated with case ID 12345
list_connector_events Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity Summarize the history of host workstation-9
get_ioc_match Show IoC matches in my environment from the last 24 hours
fetch_alert_data Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions What SOAR integration actions are available for alert ID 67890?
list_data_tables List all SIEM data tables
list_log_types List available log types
list_parsers Show parsers configured for log type GCP_CLOUDAUDIT
get_parser Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules List all security detection rules
list_rule_errors Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list Get details for the admin_ips reference list
list_integrations List all configured SOAR integrations
list_integration_instances Show configured instances for VirusTotal
list_integration_actions List available actions for VirusTotal
list_playbooks List all automated SOAR playbooks
get_alert_latest_investigation Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id Get investigation report for ID rpt_98765
get_agent_settings Show current settings for the investigation agent
ask_cloud_assist How do I configure Cloud NAT logging in Google Cloud?

Autorisations RBAC et IAM requises pour accéder à SecOps Chat et aux questions/réponses de GCA

SecOps Chat se connecte à deux serveurs MCP gérés :

  1. Le serveur MCP SecOps (chronicle.googleapis.com/mcp) pour les opérations SIEM/SOAR en direct, et
  2. Le serveur MCP Gemini Cloud Assist (GCA) (geminicloudassist.googleapis.com/mcp — ask_cloud_assist) pour des questions-réponses améliorées sur les procédures et des requêtes de documentation sur la plate-forme.

Pour vous assurer que les utilisateurs et le P4SA du locataire peuvent accéder à SecOps Chat et à tous les outils MCP sans erreurs 403 Permission Denied, vérifiez que les rôles IAM et les API suivants sont configurés sur le projet Google Cloud (BYOP) lié du locataire.

Fonctionnalité Rôle IAM prédéfini requis Objectif et remarques
Outil de questions/réponses sur les procédures GCA (ask_cloud_assist) roles/geminicloudassist.user (utilisateur GCA) Lorsque l'intégration P4SA est active, aucun rôle IAM GCA n'est requis pour l'utilisateur final. Chat s'authentifie auprès de GCA à l'aide du P4SA Chronicle du locataire (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com). Seul le P4SA (ou le compte principal de l'utilisateur dans les environnements pré-P4SA) a besoin de roles/geminicloudassist.user.
Gérer les conversations roles/chronicle.editor (ou roles/chronicle.admin) Obligatoire pour créer, renommer et supprimer des conversations.
Appel de la passerelle MCP (tous les outils) roles/mcp.toolUser (Utilisateur de l'outil MCP) Accorde l'autorisation mcp.tools.call requise pour exécuter des outils MCP distants sur les points de terminaison SecOps et GCA.
Facturation de l'utilisation des outils roles/serviceusage.serviceUsageConsumer (Consommateur Service Usage) Chat facture les appels d'outils SecOps et GCA au projet Google Cloud associé à votre instance Google SecOps. Obligatoire avec roles/mcp.toolUser.
Outils SIEM et génération de requêtes YARA-L roles/chronicle.admin (ou roles/chronicle.editor) Obligatoire pour les outils SIEM : génération UDM/YARA-L, règles, erreurs de règles, analyseurs, types de journaux, tables de données, listes de référence, résumés d'entités et IoC. Notez que certains outils SIEM, comme les analyseurs syntaxiques, nécessitent également roles/chronicle.admin.
Cas, alertes et playbooks SOAR roles/chronicle.admin (ou roles/chronicle.editor) Obligatoire pour les outils SOAR : cas, alertes de cas, commentaires de cas, événements de connecteur, playbooks et intégrations.
Google Cloud Contexte de la ressource (facultatif) roles/cloudasset.viewer (Lecteur d'éléments Cloud) Rôle complémentaire recommandé pour GCA afin que l'assistant puisse résoudre les métadonnées du projet/de l'élément lors du dépannage.

Autorisations de rôle IAM personnalisé / P4SA pour GCA (ask_cloud_assist)

Avec l'intégration P4SA, les utilisateurs finaux n'ont besoin d'aucune autorisation IAM GCA (même lorsqu'ils se connectent à l'aide d'un IdP tiers / SAML / Okta). À la place, le P4SA Chronicle du locataire (service-PROJECT_NUMBER@gcp-sa-chronicle.iam.gserviceaccount.com) ou un rôle personnalisé (dans les environnements pré-P4SA) utilise les autorisations suivantes sur le projet Google Cloud lié :

  • geminicloudassist.agents.invoke : requis par l'outil ask_cloud_assist pour appeler l'agent GCA.
  • mcp.tools.call : requis par la passerelle MCP Google Cloud pour exécuter les appels d'outils sur geminicloudassist.googleapis.com/mcp et chronicle.googleapis.com/mcp.
  • serviceusage.services.use : obligatoire, car Agentic Chat transmet l'ID du projet du locataire dans l'en-tête de facturation ou de quota X-Goog-User-Project.
  • cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat et cloudaicompanion.instances.completeTask : requis pour initialiser et poursuivre les sujets de conversation GCA multitours.
  • resourcemanager.projects.get, geminicloudassist.locations.get et geminicloudassist.locations.list : requis pour résoudre le numéro de projet locataire et le point de terminaison de l'agent global.

Notez que même si le locataire dispose d'autorisations supplémentaires, ce remplacement ne s'applique qu'à GCA.

API de projet Google Cloud requises

Assurez-vous que les API Google Cloud suivantes sont activées sur le projetGoogle Cloud associé au locataire :

  • chronicle.googleapis.com (API Chronicle)
  • geminicloudassist.googleapis.com (API GCA)
  • cloudaicompanion.googleapis.com (API Gemini for Google Cloud )
  • cloudasset.googleapis.com (API Cloud Asset)

Authentification pour la fédération des identités des employés

La fédération des identités des employés (WIF) vous permet d'utiliser votre IdP externe pour authentifier votre personnel (utilisateurs et groupes d'utilisateurs, tels que des employés, des partenaires et des sous-traitants). Les utilisateurs peuvent ensuite accéder à Google Cloud à l'aide de l'authentification unique (SSO), via votre IdP, sans synchroniser leurs comptes avec Cloud Identity, ce qui évite d'avoir à utiliser des comptes Google.

Pour utiliser GCA, vous devez d'abord le configurer. Pour en savoir plus, consultez le guide de configuration de la fédération d'identité de charge de travail.

Ajoutez des autorisations à principalSet. Par exemple, si vous utilisez un IdP tiers, vous pouvez utiliser la commande suivante pour accorder des autorisations au principalSet dans votre projet locataire :

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

Garde-fous et sécurité

Pour vous aider à sécuriser votre environnement, SecOps Chat fonctionne avec les garde-fous suivants :

  • Actions en lecture seule : l'agent accepte les actions de base en lecture seule, telles que la génération de requêtes de recherche, la récupération de demandes, d'alertes et de résumés d'entités.

Gérer les sessions de chat et envoyer des commentaires

Vous pouvez supprimer vos sessions de chat à tout moment et évaluer les réponses générées par Gemini.

Supprimer une session de chat

Vous pouvez supprimer votre session de chat ou toutes les sessions de chat. Gemini conserve l'historique des conversations de tous les utilisateurs de manière privée et respecte les pratiques pour une IA responsable de Google Cloud. L'historique des utilisateurs n'est jamais utilisé pour entraîner des modèles.

  1. Dans le volet Gemini, sélectionnez Supprimer la discussion dans le menu en haut à droite.
  2. Cliquez sur Supprimer le chat en bas à droite pour supprimer la session de chat actuelle.
  3. Facultatif : Pour supprimer toutes les sessions de chat, sélectionnez Supprimer toutes les sessions de chat, puis cliquez sur Supprimer tous les chats.

Fournir des commentaires

Vous pouvez envoyer des commentaires sur les réponses générées par l'assistance à l'investigation de l'IA Gemini. Vos commentaires aident Google à améliorer la fonctionnalité et les résultats générés par Gemini.

  1. Dans le volet Gemini, cliquez sur thumb_up J'aime ou thumb_down Je n'aime pas.
  2. Facultatif : Cliquez sur thumb_down Je n'aime pas et donnez votre avis.
  3. Cliquez sur Envoyer des commentaires.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.