Ringkasan Chat SecOps

Didukung di:

Google SecOps SIEM SOAR

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Panduan ini menjelaskan cara menggunakan SecOps Chat, asisten percakapan Gemini di Google Security Operations. Lanjutkan membaca untuk mempelajari cara menggunakan SecOps Chat untuk menjawab pertanyaan tentang dokumentasi produk, membuat kueri penelusuran dan aturan deteksi YARA-L, meneliti threat intelligence, menyelidiki kasus dan pemberitahuan, serta melakukan tugas operasional lainnya.

Menjelajahi antarmuka SecOps Chat

Buka panel SecOps Chat dari halaman Google SecOps mana pun dengan mengklik di menu navigasi atas.

Bergantung pada layar Google SecOps yang Anda buka, panel SecOps Chat menyediakan daftar perintah yang disarankan secara kontekstual untuk membantu Anda memulai.

Klik di bagian atas panel SecOps Chat untuk memulai dan menghapus sesi chat, serta untuk melihat histori chat Anda. Chat mendukung interaksi multi-giliran. Asisten mempertahankan parameter dan konteks di seluruh giliran percakapan, sehingga Anda dapat menyempurnakan pertanyaan, bukan mengulanginya.

Dari menu ini, Anda juga dapat mengaktifkan/menonaktifkan:

• Agentic Chat: Jika tersedia di instance Anda, aktifkan opsi ini untuk mengizinkan SecOps Chat memanggil alat Google SecOps atas nama Anda untuk menjawab pertanyaan operasional. Untuk melihat kemampuan SecOps Chat di lingkungan Anda, masukkan perintah seperti: What are the capabilities of SecOps Chat?.
• Tampilkan pemikiran agen: Aktifkan opsi ini untuk menampilkan indikator pemikiran yang menunjukkan langkah-langkah dan alat yang dipanggil model di latar belakang untuk menjawab pertanyaan Anda.

Membuat kueri penelusuran YARA-L

Gunakan bahasa alami untuk membuat kueri penelusuran YARA-L 2.0 yang dapat Anda gunakan untuk menelusuri peristiwa tertentu di Google SecOps SIEM.

Coba contoh perintah penelusuran dan pertanyaan lanjutan berikut di panel SecOps Chat:

• Show me all failed logins for the last 3 days
  • Generate a rule to help detect that behavior in the future
• Show me events associated with the principal user random.user
  • Who is this user?
• Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
  • List all of the domains in the results set
  • What types of events were returned?
• Show me events from my firewall in the last 24 hours
  • What were the 16 unique hostnames in the results set?
  • Narrow the query to only return results for failed attempts
  • Change the time range to the last 7 days

Tinjau kueri penelusuran yang dihasilkan. Kueri penelusuran menggunakan sintaksis YARA-L 2.0. Jika kueri penelusuran yang dihasilkan memenuhi persyaratan Anda, klik Run search. Jika tidak, klik Edit di Halaman Penelusuran untuk mengubah kueri.

Setelah menjalankan kueri penelusuran, Gemini akan menghasilkan ringkasan hasil beserta tindakan yang disarankan.

Membuat aturan YARA-L

Anda dapat menggunakan perintah bahasa alami untuk membuat aturan deteksi YARA-L 2.0, lalu membuka, mengedit, dan mengaktifkan aturan di Editor Aturan. Perhatikan bahwa Anda hanya dapat membuat aturan peristiwa tunggal menggunakan fitur ini.

Misalnya, untuk membuat aturan guna mendeteksi respons DNS yang terpotong, masukkan perintah berikut di panel SecOps Chat: Create a rule to count how many DNS responses were truncated per principal asset host. lalu tekan Enter. Gemini akan membuat aturan untuk mendeteksi perilaku yang Anda telusuri.

Klik Open in rule editor untuk melihat dan mengubah aturan baru di Editor Aturan.

Misalnya, dengan menggunakan perintah aturan sebelumnya, Gemini dapat membuat aturan berikut:

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

Untuk mengaktifkan aturan, klik Simpan Aturan Baru. Aturan akan muncul dalam daftar aturan di sebelah kiri. Tahan kursor di atas aturan, klik ikon menu, dan alihkan opsi Live Rule ke kanan (hijau). Untuk mengetahui informasi selengkapnya, lihat Mengelola aturan menggunakan Editor Aturan.

Mengajukan pertanyaan terkait threat intelligence

Gemini dapat menjawab pertanyaan terkait threat intelligence tentang topik seperti pelaku ancaman, asosiasi, dan pola perilakunya, termasuk pertanyaan tentang TTP MITRE.

Jawaban yang memanfaatkan threat intelligence di lingkungan Anda, seperti kecocokan Indikator Penyusupan (IoC) dari Applied Threat Intelligence, bergantung pada paket Google SecOps Anda. Data yang dapat diakses oleh SecOps Chat juga bergantung pada peran IAM dan cakupan akses data Anda.

Coba contoh perintah threat intelligence berikut di panel SecOps Chat:

• How does APT44 operate?
• Are there any known attacker tools that use RDP to brute force logins?
• Is 103.224.80.44 suspicious?
• What types of attacks may be associated with CVE-2020-14145?
• Which MITRE ATT&CK techniques involve exploiting buffer overflows?
• What is UNC3782?

Tinjau hasilnya, lalu selidiki lebih lanjut dengan meminta Gemini membuat kueri untuk mencari indikator penyusupan (IOC) tertentu yang dirujuk dalam laporan threat intelligence. Informasi threat intelligence tunduk pada hak yang tersedia dari lisensi Google SecOps Anda.

Di bagian bawah panel SecOps Chat, klik Sources and related content. Gemini menyediakan link ke beberapa artikel yang digunakan untuk membuat ringkasan.

Catatan: Jika Gemini merespons perintah dengan teks yang ditulis oleh orang lain, sumber aslinya akan dikutip di bagian Sumber yang Direferensikan di panel SecOps Chat. Untuk mengetahui informasi selengkapnya, lihat Cara dan waktu Gemini mencantumkan sumber kutipan.

Gemini dan MITRE

Matriks MITRE ATT&CK® adalah pusat informasi yang mendokumentasikan TTP yang digunakan oleh penyerang cyber di dunia nyata. MITRE Matrix memberikan pemahaman tentang bagaimana organisasi Anda mungkin menjadi target dan memberikan sintaksis standar untuk membahas serangan.

Anda dapat mengajukan pertanyaan kepada Gemini tentang taktik, teknik, dan prosedur (TTP) MITRE, serta menerima jawaban yang relevan secara kontekstual yang mencakup detail MITRE berikut:

• Taktik
• Teknik
• Sub-teknik
• Saran deteksi
• Prosedur
• Mitigasi

Gemini akan menampilkan link ke pendeteksian terseleksi yang disediakan Google SecOps untuk setiap TTP. Anda juga dapat mengajukan pertanyaan lanjutan kepada Gemini untuk mendapatkan insight tambahan tentang TTP MITRE dan pengaruhnya terhadap perusahaan Anda.

Menyelidiki kasus dan pemberitahuan

Anda dapat mengajukan pertanyaan kepada Gemini tentang kasus, pemberitahuan, dan playbook langsung dari halaman Cases Management. Pertanyaan Anda memperhatikan konteks, berdasarkan halaman atau tab tertentu yang Anda lihat, seperti halaman Kasus, tab Notifikasi, atau tab Playbook.

Dari salah satu halaman Kasus, buka panel Chat SecOps. Masukkan perintah terkait kasus. Pertanyaan dapat berkaitan dengan tab saat ini:

• Ringkasan Kasus atau Wall Kasus: Tanyakan tentang informasi tingkat kasus. Misalnya, Give me the names of everyone who left comments on the Case Wall.
• Notifikasi: Ajukan pertanyaan spesifik terkait notifikasi tersebut. Misalnya, Can you summarize this alert?
• Playbook Pemberitahuan: Tanyakan tentang perilaku playbook yang dilampirkan. Misalnya, Which playbooks are available for phishing alerts?

Tinjau hasil yang diberikan oleh Gemini dan perbaiki perintah Anda jika perlu.

Anda juga dapat meringkas kasus menggunakan widget ringkasan kasus Gemini.

Menjawab pertanyaan tentang dokumentasi Google SecOps

Masukkan perintah di panel SecOps Chat untuk meminta informasi tentang aspek apa pun terkait cara menggunakan Google SecOps.

SecOps Chat menggunakan proses penalaran multi-level yang didasarkan pada informasi dalam dokumentasi Google SecOps untuk menjawab pertanyaan kompleks dengan link ke halaman dokumentasi terkait.

Coba masukkan contoh perintah berikut di panel SecOps Chat:

• How do I configure the forwarder?
• How do I create a rule?
• How do I investigate user logins?

SecOps Chat juga menggunakan grounding dan kutipan Google Penelusuran untuk memberikan respons yang bernuansa dan berkualitas tinggi terhadap perintah Anda. Grounding menautkan respons model ke informasi yang ditemukan di internet untuk memberikan konteks tambahan yang terbaru untuk investigasi keamanan. Kutipan menunjukkan sumber data spesifik yang digunakan Gemini untuk merumuskan jawabannya, sehingga meningkatkan kemampuan penjelasan dan membantu Anda memverifikasi informasi.

Saat Gemini menggunakan Google Penelusuran untuk melakukan grounding pada respons, antarmuka web akan menampilkan elemen berikut:

• Ikon G Google: Menunjukkan bahwa Gemini terhubung ke internet untuk mengambil konteks tambahan untuk perintah Anda.
• Chip kueri penelusuran: Menampilkan kueri penelusuran persis yang digunakan Gemini untuk mengambil konteks tambahan.
• Kutipan: Memberikan referensi ke data grounding spesifik yang digunakan untuk menghasilkan jawaban.

Meninjau kueri penelusuran dan kutipan ini akan membantu Anda memahami langkah-langkah yang diambil Gemini untuk meriset perintah dan memastikan transparansi dalam data yang diambilnya.

Tugas lainnya

Sebagai asisten keamanan pusat, SecOps Chat menggunakan alat backend untuk melakukan tugas operasional di seluruh platform Google SecOps.

Pengelolaan kasus dan pemberitahuan

• Menelusuri dan memfilter kasus: Mencantumkan semua kasus di instance Google SecOps Anda, atau mengambil detail komprehensif untuk satu kasus.
• Menyelidiki bukti kasus: Mencantumkan komentar kasus, mengambil pemberitahuan kasus tertentu, melihat peristiwa konektor mentah, dan mencantumkan entitas yang terlibat dalam pemberitahuan, seperti alamat IP dan nama host.

Pengayaan entitas dan pemberitahuan

• Meringkas aktivitas entitas: Cari dan ringkas aktivitas historis entitas di Google SecOps SIEM untuk pengayaan cepat.
• Mengidentifikasi IoC: Ambil kecocokan indikator penyusupan (IoC) langsung dari log Google SecOps SIEM Anda.
• Mengambil profil pemberitahuan: Mengambil profil pemberitahuan SIEM yang menggabungkan data dari beberapa sumber.
• Menemukan tindakan pengayaan: Mengambil daftar tindakan integrasi SOAR yang diseleksi dan tersedia untuk memperkaya pemberitahuan SIEM tertentu.

Pengelolaan konten dan data SIEM

• Mengelola data log: Mencantumkan tabel data dan jenis log yang tersedia di Google SecOps SIEM.
• Meninjau parser: Mencantumkan parser untuk jenis log, atau mengambil detail konfigurasi parser tertentu.
• Memantau aturan deteksi: Melihat aturan deteksi yang dikonfigurasi, dan mencantumkan error eksekusi untuk aturan tertentu guna membantu Anda memecahkan masalah.
• Mengakses daftar referensi: Mengambil detail dan konten daftar referensi tertentu berdasarkan nama.

Orkestrasi dan otomatisasi

• Memantau integrasi: Mencantumkan integrasi SOAR yang dikonfigurasi dan melihat instance yang dikonfigurasi.
• Meninjau tindakan integrasi: Lihat tindakan otomatis yang tersedia untuk integrasi SOAR.
• Melihat playbook: Mencantumkan playbook otomatis yang dikonfigurasi di lingkungan Anda.

Investigasi otomatis

• Meninjau output triase: Ambil investigasi triase otomatis terbaru untuk ID pemberitahuan.
• Mengambil laporan lengkap: Mengambil laporan investigasi lengkap yang dibuat agen berdasarkan ID-nya.
• Periksa konfigurasi: Tinjau setelan konfigurasi agen investigasi Anda.

Alat MCP dan contoh perintah yang didukung

Tabel berikut mencantumkan alat MCP yang dapat dipanggil SecOps Chat, dengan contoh prompt untuk setiap alat.

Alat	Contoh perintah
list_cases	List all open critical cases
get_case	Show case details for ID 12345
get_case_alert	Show details for alert ID 67890 in case ID 12345
list_case_comments	Get comments for case ID 12345
list_case_alerts	Retrieve all alerts associated with case ID 12345
list_connector_events	Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities	Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity	Summarize the history of host workstation-9
get_ioc_match	Show IoC matches in my environment from the last 24 hours
fetch_alert_data	Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions	What SOAR integration actions are available for alert ID 67890?
list_data_tables	List all SIEM data tables
list_log_types	List available log types
list_parsers	Show parsers configured for log type GCP_CLOUDAUDIT
get_parser	Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules	List all security detection rules
list_rule_errors	Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list	Get details for the admin_ips reference list
list_integrations	List all configured SOAR integrations
list_integration_instances	Show configured instances for VirusTotal
list_integration_actions	List available actions for VirusTotal
list_playbooks	List all automated SOAR playbooks
get_alert_latest_investigation	Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id	Get investigation report for ID rpt_98765
get_agent_settings	Show current settings for the investigation agent
ask_cloud_assist	How do I configure Cloud NAT logging in Google Cloud?

Izin RBAC dan IAM yang diperlukan untuk mengakses SecOps Chat dan Tanya Jawab GCA

SecOps Chat terhubung ke dua server MCP terkelola:

1. Server MCP SecOps (chronicle.googleapis.com/mcp) untuk operasi SIEM/SOAR langsung, dan
2. Server MCP Gemini Cloud Assist (GCA) (geminicloudassist.googleapis.com/mcp — ask_cloud_assist) untuk kueri dokumentasi platform dan Tanya Jawab "Petunjuk" yang ditingkatkan.

Untuk memastikan pengguna dan P4SA tenant dapat mengakses SecOps Chat dan semua alat MCP tanpa error 403 Permission Denied, pastikan peran IAM dan API berikut dikonfigurasi pada project Google Cloud (BYOP) terikat tenant.

Peran IAM yang telah ditetapkan dan direkomendasikan (penyiapan cepat)

Fitur / kemampuan	Peran IAM yang telah ditetapkan dan diperlukan	Tujuan dan catatan
Alat Tanya Jawab "Cara" GCA (ask_cloud_assist)	roles/geminicloudassist.user (Pengguna GCA)	Dengan integrasi P4SA yang aktif, peran IAM GCA pengguna akhir tidak diperlukan — Chat melakukan autentikasi ke GCA menggunakan P4SA Chronicle tenant (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com). Hanya P4SA (atau akun utama pengguna di lingkungan pra-P4SA) yang memerlukan roles/geminicloudassist.user.
Mengelola Percakapan	roles/chronicle.editor (atau roles/chronicle.admin)	Diperlukan untuk membuat, mengganti nama, dan menghapus percakapan.
Pemanggilan Gateway MCP (Semua Alat)	roles/mcp.toolUser (Pengguna Alat MCP)	Memberikan mcp.tools.call yang diperlukan untuk menjalankan alat MCP jarak jauh di seluruh endpoint SecOps dan GCA.
Penagihan Penggunaan Alat	roles/serviceusage.serviceUsageConsumer (Service Usage Consumer)	Chat menagih panggilan alat SecOps dan GCA ke project Google Cloud yang terikat ke instance Google SecOps Anda. Wajib diisi bersama dengan roles/mcp.toolUser.
Alat SIEM & Pembuatan Kueri YARA-L	roles/chronicle.admin (atau roles/chronicle.editor)	Diperlukan untuk alat SIEM: Pembuatan UDM/YARA-L, Aturan, Error Aturan, Parser, Jenis Log, Tabel Data, Daftar Referensi, Ringkasan Entity, dan IoC. Perhatikan bahwa beberapa alat SIEM seperti Parser juga memerlukan roles/chronicle.admin
Kasus, Pemberitahuan & Playbook SOAR	roles/chronicle.admin (atau roles/chronicle.editor)	Diperlukan untuk alat SOAR: Kasus, Pemberitahuan Kasus, Komentar Kasus, Peristiwa Konektor, Playbook, dan Integrasi.
Google Cloud Konteks Resource (Opsional)	roles/cloudasset.viewer (Cloud Asset Viewer)	Peran pendamping yang direkomendasikan untuk GCA agar asisten dapat menyelesaikan metadata project/aset selama pemecahan masalah.

Izin peran IAM kustom / P4SA untuk GCA (ask_cloud_assist)

Dengan integrasi P4SA, pengguna akhir tidak memerlukan izin IAM GCA apa pun (bahkan saat login menggunakan IdP / SAML / Okta pihak ketiga). Sebagai gantinya, P4SA Chronicle tenant ([e-mail]) atau peran khusus (di lingkungan pra-P4SA) menggunakan izin berikut pada project Google Cloud terikat:

• geminicloudassist.agents.invoke — Diperlukan oleh alat ask_cloud_assist untuk memanggil agen GCA.
• mcp.tools.call — Diperlukan oleh gateway Google Cloud MCP untuk menjalankan panggilan alat melalui geminicloudassist.googleapis.com/mcp dan chronicle.googleapis.com/mcp.
• serviceusage.services.use — Diperlukan karena Agentic Chat meneruskan project ID tenant di header kuota atau penagihan X-Goog-User-Project.
• cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat, dan cloudaicompanion.instances.completeTask — Diperlukan untuk melakukan inisialisasi dan melanjutkan topik percakapan GCA multi-turn.
• resourcemanager.projects.get, geminicloudassist.locations.get, dan geminicloudassist.locations.list — Diperlukan untuk me-resolve nomor project tenant dan endpoint agen global.

Perhatikan bahwa meskipun tenant memiliki izin tambahan, penggantian ini hanya berlaku untuk GCA.

API Project Google Cloud yang Diperlukan

Pastikan API Google Cloud berikut diaktifkan di projectGoogle Cloud yang terikat dengan tenant:

• chronicle.googleapis.com (Chronicle API)
• geminicloudassist.googleapis.com (GCA API)
• cloudaicompanion.googleapis.com (Gemini untuk API Google Cloud )
• cloudasset.googleapis.com (Cloud Asset API)

Autentikasi untuk Workforce Identity Federation

Workforce Identity Federation (WIF) memungkinkan Anda menggunakan IdP eksternal untuk mengautentikasi workforce Anda — pengguna dan grup pengguna, seperti karyawan, partner, dan kontraktor. Pengguna kemudian dapat mengakses Google Cloud menggunakan single sign-on (SSO), melalui IdP Anda tanpa menyinkronkan akun mereka ke Cloud Identity, sehingga tidak memerlukan Akun Google.

Untuk menggunakan GCA, Anda harus mengonfigurasinya terlebih dahulu. Lihat panduan konfigurasi WIF untuk mengetahui detail selengkapnya.

Tambahkan izin ke principalSet. Misalnya, jika Anda menggunakan IdP pihak ketiga, Anda dapat menggunakan perintah berikut untuk memberikan izin ke principalSet di project tenant Anda:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

Pedoman pembatas dan keamanan

Untuk membantu menjaga keamanan lingkungan Anda, SecOps Chat beroperasi dengan batasan berikut:

• Tindakan hanya baca: Agen mendukung tindakan hanya baca dasar, seperti membuat kueri penelusuran, mengambil kasus, pemberitahuan, dan ringkasan entitas.

Mengelola sesi chat dan memberikan masukan

Anda dapat menghapus sesi percakapan Anda kapan saja, dan Anda dapat memberi rating pada respons yang dihasilkan Gemini.

Menghapus sesi chat

Anda dapat menghapus sesi percakapan chat atau menghapus semua sesi chat. Gemini menyimpan semua histori percakapan pengguna secara pribadi dan mematuhi praktik AI yang bertanggung jawab Google Cloud. Histori pengguna tidak pernah digunakan untuk melatih model.

1. Di panel Gemini, pilih Hapus percakapan dari menu di kanan atas.
2. Klik Hapus chat di kanan bawah untuk menghapus sesi chat saat ini.
3. Opsional: Untuk menghapus semua sesi chat, pilih Hapus semua sesi chat, lalu klik Hapus semua chat.

Berikan masukan

Anda dapat memberikan masukan untuk respons yang dihasilkan oleh bantuan investigasi AI Gemini. Masukan Anda membantu Google meningkatkan kualitas fitur dan output yang dihasilkan oleh Gemini.

1. Di panel Gemini, klik thumb_up Suka atau thumb_down Tidak Suka.
2. Opsional: Klik thumb_down Tidak Suka dan berikan masukan.
3. Klik Kirim masukan.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.