סקירה כללית על SecOps Chat

נתמך ב:

במדריך הזה מוסבר איך לנווט ב-SecOps Chat, העוזר הדיגיטלי של Gemini ב-Google Security Operations, ואיך להשתמש בו. בהמשך המאמר מוסבר איך משתמשים ב-SecOps Chat כדי לענות על שאלות לגבי מסמכי התיעוד של המוצר, ליצור שאילתות חיפוש וכללי זיהוי ב-YARA-L, לחקור מודיעין איומי סייבר, לחקור אירועים והתראות ולבצע משימות תפעוליות אחרות.

כדי לפתוח את חלונית הצ'אט של SecOps מכל דף ב-Google SecOps, לוחצים על הלוגו של Gemini בסרגל הניווט העליון.

בהתאם למסך של Google SecOps שבו אתם נמצאים, בחלונית של SecOps Chat תופיע רשימה של הצעות להנחיות לפי ההקשר, שיעזרו לכם להתחיל.

ממשק הצ'אט של SecOps

לוחצים על בחלק העליון של חלונית הצ'אט של SecOps כדי להתחיל ולמחוק שיחות בצ'אט, ולראות את היסטוריית הצ'אט. הצ'אט תומך באינטראקציות רב-שלביות. ה-Assistant שומרת את הפרמטרים וההקשר לאורך השיחה, כך שאתם יכולים לחדד את השאלה במקום לחזור עליה.

בתפריט הזה אפשר גם להפעיל או להשבית את האפשרויות הבאות:

  • ‫Agentic Chat: אם האפשרות הזו זמינה במכונה שלכם, אתם יכולים להפעיל אותה כדי לאפשר ל-SecOps Chat להפעיל את הכלים של Google SecOps בשמכם כדי לענות על שאלות תפעוליות. כדי לראות מה אפשר לעשות עם SecOps Chat בסביבה שלכם, הזינו הנחיה כמו: What are the capabilities of SecOps Chat?.
  • הצגת תהליך החשיבה של הסוכן: הפעילו את האפשרות הזו כדי להציג אינדיקטור לתהליך החשיבה, שמראה את השלבים והכלים שהמודל מפעיל ברקע כדי לענות על השאלה שלכם.

יצירת שאילתות חיפוש ב-YARA-L

אתם יכולים להשתמש בשפה טבעית כדי ליצור שאילתת חיפוש ב-YARA-L 2.0, שבעזרתה תוכלו לחפש אירועים ספציפיים ב-Google SecOps SIEM.

נסו את ההנחיות לדוגמה הבאות לחיפוש ואת שאלות ההמשך בחלונית SecOps Chat:

  • Show me all failed logins for the last 3 days
    • Generate a rule to help detect that behavior in the future
  • Show me events associated with the principal user random.user
    • Who is this user?
  • Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
    • List all of the domains in the results set
    • What types of events were returned?
  • Show me events from my firewall in the last 24 hours
    • What were the 16 unique hostnames in the results set?
    • Narrow the query to only return results for failed attempts
    • Change the time range to the last 7 days

בודקים את שאילתת החיפוש שנוצרה. שאילתת החיפוש משתמשת בתחביר של YARA-L 2.0. אם שאילתת החיפוש שנוצרה עונה על הדרישות שלכם, לוחצים על הפעלת החיפוש. אם לא, לוחצים על עריכה בדף החיפוש כדי לשנות את השאילתה.

אחרי הרצת שאילתת החיפוש, Gemini יוצר סיכום של התוצאות ומציע פעולות.

יצירת כללי YARA-L

אתם יכולים להשתמש בהנחיה בשפה טבעית כדי ליצור כלל זיהוי ב-YARA-L 2.0, ואז לפתוח, לערוך ולהפעיל את הכלל בכלי לעריכת כללים. שימו לב שאתם יכולים ליצור רק כללים של אירוע יחיד באמצעות התכונה הזו.

לדוגמה, כדי ליצור כלל לזיהוי תגובות DNS שנחתכו, מזינים את ההנחיה הבאה בחלונית SecOps Chat: Create a rule to count how many DNS responses were truncated per principal asset host. ואז מקישים על Enter. ‫Gemini יוצר כלל לזיהוי ההתנהגות שחיפשתם.

לוחצים על פתיחה בעורך הכללים כדי לראות ולשנות את הכלל החדש בעורך הכללים.

לדוגמה, אם משתמשים בהנחיה הקודמת, Gemini יכול ליצור את הכלל הבא:

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

כדי להפעיל את הכלל, לוחצים על שמירת כלל חדש. הכלל מופיע ברשימת הכללים שמימין. מציבים את הסמן מעל הכלל, לוחצים על סמל התפריט ומעבירים את האפשרות כלל פעיל ימינה (ירוק). מידע נוסף זמין במאמר ניהול כללים באמצעות עורך הכללים.

שאלות בנושא מודיעין איומי סייבר

‫Gemini יכול לענות על שאלות שקשורות למודיעין איומי סייבר בנושאים כמו גורמים זדוניים, השיוכים שלהם ודפוסי ההתנהגות שלהם, כולל שאלות לגבי MITRE TTPs.

התשובות שמבוססות על מודיעין איומי סייבר בסביבה שלכם, כמו התאמות של סימנים מחשידים (IoC) מ-Applied Threat Intelligence, תלויות בחבילת Google SecOps שלכם. הנתונים ש-SecOps Chat יכול לגשת אליהם תלויים גם בתפקידים שלכם ב-IAM ובהיקפי הגישה לנתונים.

נסו את ההנחיות לדוגמה הבאות בנושא מודיעין איומי סייבר בחלונית SecOps Chat:

  • How does APT44 operate?
  • Are there any known attacker tools that use RDP to brute force logins?
  • Is 103.224.80.44 suspicious?
  • What types of attacks may be associated with CVE-2020-14145?
  • Which MITRE ATT&CK techniques involve exploiting buffer overflows?
  • What is UNC3782?

בודקים את התוצאות וממשיכים לחקור: מבקשים מ-Gemini ליצור שאילתות כדי לחפש סימנים מחשידים (IOC) ספציפיים שמוזכרים בדוחות של מודיעין איומי הסייבר. המידע על מודיעין איומי סייבר כפוף להרשאות שזמינות ברישיון שלכם ל-Google SecOps.

בתחתית החלונית של SecOps Chat, לוחצים על Sources and related content. ‫Gemini מספק קישורים לחלק מהמאמרים ששימשו ליצירת הסיכום.

‫Gemini ו-MITRE

MITRE ATT&CK® Matrix הוא מאגר ידע שמתעד את ה-TTPs שבהם משתמשים יריבי סייבר בעולם האמיתי. מטריצת MITRE עוזרת להבין איך הארגון שלכם עלול להיות יעד למתקפה, ומספקת תחביר סטנדרטי לדיון במתקפות.

אתם יכולים לשאול את Gemini שאלות על שיטות, טכניקות ופעולות (TTPs) של MITRE, ולקבל תשובות רלוונטיות בהקשר שכוללות את הפרטים הבאים של MITRE:

  • שיטה
  • תכונה
  • טכניקת משנה
  • הצעות לזיהוי
  • הליכים רפואיים
  • השבתה זמנית של אותות אכיפה

‫Gemini מחזיר קישור לגלאים המוכנים מראש ש-Google SecOps מספק לכל TTP. אתם יכולים גם לשאול את Gemini שאלות המשך כדי לקבל תובנות נוספות לגבי MITRE TTP ואיך הוא עשוי להשפיע על הארגון שלכם.

חקירת מקרים והתראות

אתם יכולים לשאול את Gemini שאלות על פניות, התראות ופלייבוקים ישירות מהדפים של ניהול פניות. השאלות שלכם מותאמות להקשר, על סמך הדף או הכרטיסייה הספציפיים שאתם צופים בהם, כמו הדף Cases, הכרטיסייה Alerts או הכרטיסייה Playbooks.

באחד מהדפים של Case, פותחים את חלונית הצ'אט של SecOps. מזינים הנחיה שקשורה לבקשת התמיכה. השאלה יכולה להיות קשורה לכרטיסייה הנוכחית:

  • סקירה כללית של בקשת התמיכה או קיר בקשת התמיכה: אפשר לשאול על מידע ברמת בקשת התמיכה. לדוגמה, Give me the names of everyone who left comments on the Case Wall.
  • התראות: לשאול שאלה ספציפית שקשורה להתראה. לדוגמה, Can you summarize this alert?
  • פלייבוקים של התראות: שאלות על ההתנהגות של פלייבוקים מצורפים. לדוגמה, Which playbooks are available for phishing alerts?

בודקים את התוצאות ש-Gemini מחזיר ומשפרים את ההנחיה לפי הצורך.

אפשר גם לסכם בקשות תמיכה באמצעות הווידג'ט של Gemini לסיכום בקשות תמיכה.

מענה על שאלות לגבי מאמרי העזרה של Google SecOps

מזינים הנחיה בחלונית SecOps Chat כדי לבקש מידע על כל היבט של השימוש ב-Google SecOps.

כדי לענות על שאלות מורכבות, SecOps Chat משתמש בתהליך הסקה מרובה שלבים שמבוסס על מידע מהמסמכים של Google SecOps, ומספק קישורים לדפי מסמכים קשורים.

נסו להזין את ההנחיות לדוגמה הבאות בחלונית SecOps Chat:

  • How do I configure the forwarder?
  • How do I create a rule?
  • How do I investigate user logins?

‫SecOps Chat גם משתמש בעיגון ובציטוטים מחיפוש Google כדי לתת תשובות מפורטות ואיכותיות להנחיות שלכם. התשובות של המודל מבוססות על מידע שנמצא באינטרנט, כדי לספק הקשר נוסף ועדכני לחקירות אבטחה. הציטוטים מציגים את מקורות הנתונים הספציפיים ש-Gemini השתמש בהם כדי לנסח את התשובות שלו, מה שמשפר את יכולת ההסברה ועוזר לכם לאמת את המידע.

כש-Gemini משתמש בחיפוש Google כדי לבסס תשובה, בממשק האינטרנט מופיעים הרכיבים הבאים:

  • סמל G של Google: מציין ש-Gemini התחבר לאינטרנט כדי לאחזר הקשר נוסף להנחיה.
  • צ'יפים של שאילתות חיפוש: מציגים את שאילתות החיפוש המדויקות ש-Gemini השתמש בהן כדי לאחזר הקשר נוסף.
  • ציטוטים: הפניות לנתוני העיגון הספציפיים ששימשו ליצירת התשובה.

כדאי לעיין בשאילתות החיפוש ובציטוטים האלה כדי להבין את השלבים ש-Gemini מבצע כדי לחקור הנחיה, ולוודא שהנתונים שהוא מאחזר שקופים.

משימות אחרות

כעוזר דיגיטלי מרכזי לאבטחה, SecOps Chat משתמש בכלים לקצה העורפי כדי לבצע משימות תפעוליות בפלטפורמת Google SecOps.

ניהול בקשות תמיכה והתראות

  • חיפוש וסינון של בקשות תמיכה: הצגת רשימה של כל בקשות התמיכה במכונה של Google SecOps, או אחזור של פרטים מקיפים על בקשת תמיכה אחת.
  • חקירת הראיות בבקשה: הצגת רשימה של הערות בבקשה, אחזור התראות ספציפיות בבקשה, הצגת אירועים גולמיים של מחברים והצגת רשימה של הישויות שמעורבות בהתראה, כמו כתובות IP ושמות מארחים.

העשרת ישויות והתראות

  • סיכום הפעילות של ישות: חיפוש וסיכום של היסטוריית הפעילות של ישות ב-Google SecOps SIEM לצורך העשרה מהירה.
  • זיהוי סימנים מחשידים (IoC): אחזור התאמות של סימנים מחשידים (IoC) ישירות מיומני Google SecOps SIEM.
  • אחזור פרופילים של התראות: אחזור פרופיל של התראת SIEM שצוברת נתונים ממקורות מרובים.
  • גילוי פעולות העשרה: אחזור רשימה של פעולות שילוב של SOAR שזמינות להעשרת התראה נתונה של SIEM.

ניהול תוכן ונתונים ב-SIEM

  • ניהול נתוני יומנים: הצגת טבלאות הנתונים וסוגי היומנים שזמינים ב-Google SecOps SIEM.
  • בדיקת מנתחי נתונים: הצגת רשימה של מנתחי נתונים לפי סוג יומן, או אחזור פרטי ההגדרות של מנתח נתונים ספציפי.
  • מעקב אחרי כללי זיהוי: הצגת כללי הזיהוי שהוגדרו, ורשימה של שגיאות בביצוע של כללים ספציפיים כדי לעזור לכם לפתור בעיות.
  • גישה לרשימות עזר: אחזור הפרטים והתוכן של רשימת עזר ספציפית לפי שם.

תזמור ואוטומציה

  • מעקב אחרי שילובים: הצגת רשימה של שילובי ה-SOAR שהוגדרו והצגת המופעים שהוגדרו.
  • בדיקת פעולות השילוב: אילו פעולות אוטומטיות זמינות לשילוב עם SOAR.
  • הצגת פלייבוקים: הצגת רשימה של הפלייבוקים האוטומטיים שמוגדרים בסביבה שלכם.

חקירות אוטומטיות

  • בדיקת הפלט של המיון: אחזור של חקירת המיון האוטומטי האחרונה של מזהה התראה.
  • אחזור דוחות מלאים: אחזור של דוח חקירה מלא שנוצר על ידי הנציג, לפי המזהה שלו.
  • בדיקת ההגדרות: בודקים את ההגדרות של סוכן החקירה.

כלי MCP נתמכים והנחיות לדוגמה

בטבלה הבאה מפורטים כלי ה-MCP ש-SecOps Chat יכול להפעיל, עם הנחיה לדוגמה לכל כלי.

כלי פרומפט לדוגמה
list_cases List all open critical cases
get_case Show case details for ID 12345
get_case_alert Show details for alert ID 67890 in case ID 12345
list_case_comments Get comments for case ID 12345
list_case_alerts Retrieve all alerts associated with case ID 12345
list_connector_events Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity Summarize the history of host workstation-9
get_ioc_match Show IoC matches in my environment from the last 24 hours
fetch_alert_data Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions What SOAR integration actions are available for alert ID 67890?
list_data_tables List all SIEM data tables
list_log_types List available log types
list_parsers Show parsers configured for log type GCP_CLOUDAUDIT
get_parser Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules List all security detection rules
list_rule_errors Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list Get details for the admin_ips reference list
list_integrations List all configured SOAR integrations
list_integration_instances Show configured instances for VirusTotal
list_integration_actions List available actions for VirusTotal
list_playbooks List all automated SOAR playbooks
get_alert_latest_investigation Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id Get investigation report for ID rpt_98765
get_agent_settings Show current settings for the investigation agent
ask_cloud_assist How do I configure Cloud NAT logging in Google Cloud?

הרשאות RBAC ו-IAM שנדרשות כדי לגשת ל-SecOps Chat ול-GCA Q&A

‫SecOps Chat מתחבר לשני שרתי MCP מנוהלים:

  1. שרת SecOps MCP‏ (chronicle.googleapis.com/mcp) לפעולות SIEM/SOAR בזמן אמת, וגם
  2. ‫שרת ה-MCP של Gemini Cloud Assist (GCA) ‏ (geminicloudassist.googleapis.com/mcp — ask_cloud_assist), שמאפשר לשאול שאלות מורכבות יותר ולקבל תשובות מפורטות יותר, וגם לשאול שאלות על המסמכים של הפלטפורמה.

כדי לוודא שהמשתמשים וחשבון ה-P4SA של הדייר יכולים לגשת ל-SecOps Chat ולכל הכלים של MCP בלי שגיאות 403 Permission Denied, צריך לוודא שתפקידי ה-IAM וממשקי ה-API הבאים מוגדרים בפרויקט Google Cloud (BYOP) שמקושר לדייר.

תכונה או יכולת תפקיד IAM מוגדר מראש שנדרש מטרה והערות
כלי השאלות והתשובות 'הדרכה' של GCA‏ (ask_cloud_assist) ‫roles/geminicloudassist.user (משתמש GCA) כשהשילוב של P4SA פעיל, לא נדרש תפקיד IAM של GCA למשתמש קצה – Chat מאמת את GCA באמצעות Chronicle P4SA של הדייר (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com). רק ל-P4SA (או למשתמש הראשי בסביבות שלפני P4SA) נדרש roles/geminicloudassist.user.
ניהול השיחות roles/chronicle.editor (או roles/chronicle.admin) נדרשת כדי ליצור, לשנות את השם ולמחוק שיחות.
הפעלת שער MCP (כל הכלים) ‫roles/mcp.toolUser (משתמש בכלי MCP) ההרשאה mcp.tools.call נדרשת כדי להפעיל כלי MCP מרוחקים בנקודות קצה של SecOps ו-GCA.
חיוב על שימוש בכלים roles/serviceusage.serviceUsageConsumer (צרכן של שימוש בשירות) החיוב על קריאות לפונקציות של GCA ו-SecOps ב-Chat מתבצע בפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps. חובה יחד עם roles/mcp.toolUser.
כלי SIEM ויצירת שאילתות YARA-L roles/chronicle.admin (או roles/chronicle.editor) נדרש לכלי SIEM: יצירת UDM/YARA-L, כללים, שגיאות בכללים, מנתחי נתונים, סוגי יומנים, טבלאות נתונים, רשימות עזר, סיכומי ישויות ו-IoC. שימו לב שחלק מכלי ה-SIEM, כמו מנתחים, דורשים גם roles/chronicle.admin
SOAR Cases, Alerts & Playbooks roles/chronicle.admin (או roles/chronicle.editor) נדרש לכלי SOAR: בקשות תמיכה, התראות לגבי בקשות תמיכה, תגובות לבקשות תמיכה, אירועי מחברים, פלייבוקים ושילובים.
Google Cloud הקשר של המשאב (אופציונלי) roles/cloudasset.viewer (צפייה בנכסים ב-Cloud) תפקיד נלווה מומלץ ל-GCA, כדי שהעוזר יוכל לפתור בעיות במטא-נתונים של פרויקטים או נכסים.

הרשאות של תפקיד IAM בהתאמה אישית או של P4SA ל-GCA‏ (ask_cloud_assist)

עם שילוב P4SA, משתמשי הקצה לא צריכים הרשאות GCA IAM (גם כשהם מתחברים באמצעות 3P IdP / SAML / Okta). במקום זאת, חשבון השירות P4SA של Chronicle בדייר (service-PROJECT_NUMBER@gcp-sa-chronicle.iam.gserviceaccount.com) או תפקיד בהתאמה אישית (בסביבות שלפני P4SA) משתמש בהרשאות הבאות בפרויקט Google Cloud המקושר:

  • ‫geminicloudassist.agents.invoke – נדרש על ידי הכלי ask_cloud_assist כדי להפעיל את הסוכן של GCA.
  • ‫mcp.tools.call – נדרש על ידי שער ה- Google Cloud MCP כדי להפעיל קריאות לכלים דרך geminicloudassist.googleapis.com/mcp ו-chronicle.googleapis.com/mcp.
  • ‫serviceusage.services.use – נדרש כי Agentic Chat מעביר את מזהה הפרויקט של הדייר בכותרת החיוב או המכסה X-Goog-User-Project.
  • ‫cloudaicompanion.topics.create,‏ cloudaicompanion.companions.generateChat ו-cloudaicompanion.instances.completeTask – נדרשים כדי להתחיל ולהמשיך נושאי שיחה עם מספר פניות ב-GCA.
  • ‫resourcemanager.projects.get,‏ geminicloudassist.locations.get ו-geminicloudassist.locations.list – נדרשות כדי לפתור את מספר הפרויקט של הדייר ו-Agent Endpoint הגלובלית.

שימו לב שלמרות שלדייר יש הרשאות נוספות, ברירת המחדל הזו חלה רק על GCA.

ממשקי ה-API הנדרשים Google Cloud לפרויקט

מוודאים שממשקי ה-API הבאים של Google Cloud מופעלים בפרויקטGoogle Cloud שמקושר לדייר:

  • chronicle.googleapis.com (Chronicle API)
  • geminicloudassist.googleapis.com (GCA API)
  • ‫cloudaicompanion.googleapis.com (Gemini for Google Cloud API)
  • cloudasset.googleapis.com (Cloud Asset API)

אימות לאיחוד שירותי אימות הזהות של כוח העבודה

איחוד שירותי אימות הזהות של כוח עבודה (WIF) מאפשר להשתמש ב-IdP החיצוני כדי לאמת את כוח העבודה – משתמשים וקבוצות של משתמשים, כמו עובדים, שותפים וקבלנים. המשתמשים יכולים לגשת אל Google Cloud באמצעות כניסה יחידה (SSO) דרך ספק הזהויות, בלי לסנכרן את החשבונות שלהם עם Cloud Identity, וכך לעקוף את הצורך בחשבונות Google.

כדי להשתמש ב-GCA, צריך קודם להגדיר אותו. פרטים נוספים זמינים במדריך להגדרת WIF.

מוסיפים הרשאות ל-principalSet. לדוגמה, אם אתם משתמשים ב-IdP של צד שלישי, אתם יכולים להשתמש בפקודה הבאה כדי לתת הרשאות ל-principalSet בפרויקט של הדייר (tenant):

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

אמצעי הגנה ובטיחות

כדי לשמור על אבטחת הסביבה, SecOps Chat פועל עם אמצעי ההגנה הבאים:

  • פעולות לקריאה בלבד: הנציג תומך בפעולות בסיסיות לקריאה בלבד, כמו יצירת שאילתות חיפוש, אחזור של בקשות תמיכה, התראות וסיכומי ישויות.

ניהול שיחות בצ'אט ושליחת משוב

אתם יכולים למחוק את השיחות בכל שלב, ולדרג את התשובות ש-Gemini יוצר.

מחיקת שיחה

אתם יכולים למחוק את השיחה הנוכחית או את כל השיחות. ‫Gemini שומר את כל היסטוריית השיחות של המשתמשים באופן פרטי ופועל בהתאם לשיטות לפיתוח אחראי של AI של Google Cloud. היסטוריית המשתמש אף פעם לא משמשת לאימון מודלים.

  1. בחלונית Gemini, בוחרים באפשרות מחיקת השיחה בתפריט שבפינה השמאלית העליונה.
  2. כדי למחוק את השיחה הנוכחית, לוחצים על מחיקת השיחה בפינה השמאלית התחתונה.
  3. אופציונלי: כדי למחוק את כל השיחות, בוחרים באפשרות מחיקת כל השיחות ואז לוחצים על מחיקת כל השיחות.

שליחת משוב

אתם יכולים לשלוח משוב על התשובות שנוצרו על ידי Gemini AI investigation assistance. המשוב שלכם עוזר ל-Google לשפר את התכונה ואת הפלט שנוצר על ידי Gemini.

  1. בחלונית של Gemini, לוחצים על thumb_up לייק או על thumb_down דיסלייק.
  2. אופציונלי: לוחצים על thumb_down דיסלייק ומוסיפים משוב.
  3. לוחצים על שליחת משוב.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.