Panoramica di SecOps Chat

Supportata in:

Questa guida spiega come navigare e utilizzare SecOps Chat, l'assistente conversazionale di Gemini in Google Security Operations. Continua a leggere per scoprire come utilizzare SecOps Chat per rispondere alle domande sulla documentazione del prodotto, generare query di ricerca YARA-L e regole di rilevamento, eseguire ricerche di threat intelligence, esaminare casi e avvisi ed eseguire altre attività operative.

Apri il riquadro Chat di SecOps da qualsiasi pagina di Google SecOps facendo clic su Logo di Gemini nella barra di navigazione in alto.

A seconda della schermata di Google SecOps in cui ti trovi, il riquadro SecOps Chat fornisce un elenco contestuale di prompt suggeriti per aiutarti a iniziare.

Interfaccia di SecOps Chat

Fai clic su nella parte superiore del riquadro della chat di SecOps per avviare ed eliminare le sessioni di chat e per visualizzare la cronologia chat. La chat supporta interazioni a più turni. L'assistente conserva i parametri e il contesto nei vari turni di conversazione, in modo che tu possa perfezionare una domanda anziché ripeterla.

Da questo menu puoi anche attivare/disattivare:

  • Chat agentica: se disponibile nella tua istanza, attiva questa opzione per consentire a SecOps Chat di chiamare gli strumenti di Google SecOps per tuo conto per rispondere alle domande operative. Per vedere cosa può fare SecOps Chat nel tuo ambiente, inserisci un prompt come: What are the capabilities of SecOps Chat?.
  • Mostra il ragionamento dell'agente: attiva questa opzione per visualizzare un indicatore di ragionamento che mostra i passaggi e gli strumenti che il modello richiama in background per rispondere alla tua domanda.

Genera query di ricerca YARA-L

Utilizza il linguaggio naturale per generare una query di ricerca YARA-L 2.0 che puoi utilizzare per cercare eventi specifici in Google SecOps SIEM.

Prova i seguenti prompt di ricerca di esempio e le domande aggiuntive nel riquadro della chat di SecOps:

  • Show me all failed logins for the last 3 days
    • Generate a rule to help detect that behavior in the future
  • Show me events associated with the principal user random.user
    • Who is this user?
  • Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
    • List all of the domains in the results set
    • What types of events were returned?
  • Show me events from my firewall in the last 24 hours
    • What were the 16 unique hostnames in the results set?
    • Narrow the query to only return results for failed attempts
    • Change the time range to the last 7 days

Rivedi la query di ricerca generata. La query di ricerca utilizza la sintassi YARA-L 2.0. Se la query di ricerca generata soddisfa i tuoi requisiti, fai clic su Esegui ricerca. In caso contrario, fai clic su Modifica nella pagina di ricerca per modificare la query.

Dopo aver eseguito la query di ricerca, Gemini genera un riepilogo dei risultati insieme alle azioni suggerite.

Genera regole YARA-L

Puoi utilizzare un prompt in linguaggio naturale per generare una regola di rilevamento YARA-L 2.0, quindi aprire, modificare e attivare la regola nell'editor delle regole. Tieni presente che con questa funzionalità puoi creare solo regole per eventi singoli.

Ad esempio, per generare una regola per rilevare le risposte DNS troncate, inserisci il seguente prompt nel riquadro della chat di SecOps: Create a rule to count how many DNS responses were truncated per principal asset host. e poi premi Invio. Gemini genera una regola per rilevare il comportamento che hai cercato.

Fai clic su Apri nell'editor delle regole per visualizzare e modificare la nuova regola nell'editor delle regole.

Ad esempio, utilizzando il prompt delle regole precedente, Gemini potrebbe generare la seguente regola:

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

Per attivare la regola, fai clic su Salva nuova regola. La regola viene visualizzata nell'elenco delle regole a sinistra. Passa il puntatore del mouse sulla regola, fai clic sull'icona del menu e attiva l'opzione Regola attiva a destra (verde). Per saperne di più, consulta Gestisci le regole utilizzando l'editor delle regole.

Fai domande sulla threat intelligence

Gemini può rispondere a domande relative alla threat intelligence su argomenti come gli autori delle minacce, le loro associazioni e i loro pattern di comportamento, incluse domande sulle TTP MITRE.

Le risposte che si basano sulla threat intelligence nel tuo ambiente, come le corrispondenze degli indicatori di compromissione (IoC) di Applied Threat Intelligence, dipendono dal tuo pacchetto Google SecOps. I dati a cui SecOps Chat può accedere dipendono anche dai tuoi ruoli IAM e dagli ambiti di accesso ai dati.

Prova i seguenti prompt di esempio di threat intelligence nel riquadro della chat di SecOps:

  • How does APT44 operate?
  • Are there any known attacker tools that use RDP to brute force logins?
  • Is 103.224.80.44 suspicious?
  • What types of attacks may be associated with CVE-2020-14145?
  • Which MITRE ATT&CK techniques involve exploiting buffer overflows?
  • What is UNC3782?

Esamina i risultati e poi approfondisci chiedendo a Gemini di creare query per cercare indicatori di compromissione (IoC) specifici a cui si fa riferimento nei report di threat intelligence. Le informazioni di threat intelligence sono soggette ai diritti disponibili della tua licenza Google SecOps.

Nella parte inferiore del riquadro SecOps Chat, fai clic su Fonti e contenuti correlati. Gemini fornisce i link ad alcuni degli articoli utilizzati per generare il riepilogo.

Gemini e MITRE

La matrice MITRE ATT&CK® è una knowledge base che documenta le TTP utilizzate dai cyber aggressori nel mondo reale. La matrice MITRE fornisce una comprensione di come la tua organizzazione potrebbe essere presa di mira e fornisce una sintassi standardizzata per discutere degli attacchi.

Puoi chiedere a Gemini informazioni su tattiche, tecniche e procedure (TTP) MITRE e ricevere risposte contestualmente pertinenti che includono i seguenti dettagli MITRE:

  • Tattica
  • Tecnica
  • Sottotecnica
  • Suggerimenti di rilevamento
  • Procedure
  • Mitigazioni

Gemini restituisce un link ai rilevamenti predefiniti che Google SecOps mette a disposizione per ogni TTP. Puoi anche chiedere a Gemini domande aggiuntive per ottenere ulteriori insight su una TTP MITRE e su come potrebbe influire sulla tua azienda.

Esamina casi e avvisi

Puoi chiedere a Gemini informazioni su casi, avvisi e playbook direttamente dalle pagine di Gestione casi. Le domande sono sensibili al contesto, in base alla pagina o alla scheda specifica che stai visualizzando, ad esempio la pagina Case, la scheda Avvisi o la scheda Playbook.

Da una delle pagine Case (Richiesta), apri il riquadro SecOps Chat (Chat SecOps). Inserisci un prompt relativo al caso. La domanda può riguardare la scheda corrente:

  • Panoramica del caso o Bacheca del caso: chiedi informazioni a livello di caso. Ad esempio, Give me the names of everyone who left comments on the Case Wall..
  • Avvisi: fai una domanda specifica relativa all'avviso. Ad esempio, Can you summarize this alert?.
  • Playbook degli avvisi: chiedi informazioni sul comportamento dei playbook collegati. Ad esempio, Which playbooks are available for phishing alerts?.

Esamina i risultati restituiti da Gemini e perfeziona il prompt, se necessario.

Puoi anche riassumere le richieste utilizzando il widget di riepilogo delle richieste di Gemini.

Rispondi alle domande sulla documentazione di Google SecOps

Inserisci un prompt nel riquadro SecOps Chat per richiedere informazioni su qualsiasi aspetto dell'utilizzo di Google SecOps.

SecOps Chat utilizza un processo di ragionamento multifase basato sulle informazioni contenute nella documentazione di Google SecOps per rispondere a domande complesse con link alle pagine della documentazione correlata.

Prova a inserire questi prompt di esempio nel riquadro della chat di SecOps:

  • How do I configure the forwarder?
  • How do I create a rule?
  • How do I investigate user logins?

SecOps Chat utilizza anche il grounding e le citazioni della Ricerca Google per fornire risposte dettagliate e di alta qualità ai tuoi prompt. Il grounding collega le risposte del modello alle informazioni trovate su internet per fornire un contesto aggiuntivo e aggiornato per le indagini sulla sicurezza. Le citazioni mostrano le origini dati specifiche utilizzate da Gemini per formulare le sue risposte, il che migliora la spiegabilità e ti aiuta a verificare le informazioni.

Quando Gemini utilizza la Ricerca Google per basare una risposta, l'interfaccia web visualizza i seguenti elementi:

  • Icona G di Google: indica che Gemini si è connesso a internet per recuperare ulteriore contesto per il tuo prompt.
  • Chip delle query di ricerca: mostra le query di ricerca esatte utilizzate da Gemini per recuperare contesto aggiuntivo.
  • Citazioni: fornisce riferimenti ai dati di grounding specifici utilizzati per generare la risposta.

L'esame di queste query di ricerca e citazioni ti aiuta a comprendere i passaggi che Gemini compie per ricercare un prompt e garantisce la trasparenza dei dati che recupera.

Altre attività

In qualità di assistente di sicurezza centrale, SecOps Chat utilizza strumenti di backend per eseguire attività operative sulla piattaforma Google SecOps.

Gestione di richieste e avvisi

  • Cerca e filtra le richieste: elenca tutte le richieste nella tua istanza di Google SecOps o recupera i dettagli completi di una singola richiesta.
  • Esamina le prove della richiesta: elenca i commenti della richiesta, recupera avvisi specifici della richiesta, visualizza gli eventi del connettore non elaborati ed elenca le entità coinvolte in un avviso, come indirizzi IP e nomi host.

Arricchimento di entità e avvisi

  • Riassumi l'attività dell'entità: cerca e riassumi l'attività storica di un'entità in Google SecOps SIEM per un arricchimento rapido.
  • Identifica gli IoC: recupera le corrispondenze degli indicatori di compromissione (IoC) direttamente dai log di Google SecOps SIEM.
  • Recupera i profili degli avvisi: recupera un profilo di un avviso SIEM che aggrega i dati provenienti da più fonti.
  • Scopri le azioni di arricchimento: recupera un elenco selezionato di azioni di integrazione SOAR disponibili per arricchire un determinato avviso SIEM.

Contenuti SIEM e gestione dei dati

  • Gestisci i dati di log: elenca le tabelle di dati e i tipi di log disponibili in Google SecOps SIEM.
  • Esamina i parser: elenca i parser per un tipo di log o recupera i dettagli di configurazione di un parser specifico.
  • Monitora le regole di rilevamento: visualizza le regole di rilevamento configurate ed elenca gli errori di esecuzione per regole specifiche per aiutarti a risolvere i problemi.
  • Accedere agli elenchi di riferimento: recupera i dettagli e i contenuti di un elenco di riferimento specifico in base al nome.

Orchestrazione e automazione

  • Monitora le integrazioni: elenca le integrazioni SOAR configurate e visualizza le relative istanze configurate.
  • Esamina le azioni di integrazione: scopri quali azioni automatiche sono disponibili per un'integrazione SOAR.
  • Visualizza playbook: elenca i playbook automatici configurati nel tuo ambiente.

Indagini automatiche

  • Esamina l'output del triage: recupera l'indagine di triage automatizzata più recente per un ID avviso.
  • Recupera report completi: recupera un report di indagine completo generato dall'agente in base al suo ID.
  • Controlla le configurazioni: esamina le impostazioni di configurazione dell'agente di indagine.

Strumenti MCP supportati e prompt di esempio

La tabella seguente elenca gli strumenti MCP che SecOps Chat può chiamare, con un prompt di esempio per ogni strumento.

Strumento Prompt di esempio
list_cases List all open critical cases
get_case Show case details for ID 12345
get_case_alert Show details for alert ID 67890 in case ID 12345
list_case_comments Get comments for case ID 12345
list_case_alerts Retrieve all alerts associated with case ID 12345
list_connector_events Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity Summarize the history of host workstation-9
get_ioc_match Show IoC matches in my environment from the last 24 hours
fetch_alert_data Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions What SOAR integration actions are available for alert ID 67890?
list_data_tables List all SIEM data tables
list_log_types List available log types
list_parsers Show parsers configured for log type GCP_CLOUDAUDIT
get_parser Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules List all security detection rules
list_rule_errors Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list Get details for the admin_ips reference list
list_integrations List all configured SOAR integrations
list_integration_instances Show configured instances for VirusTotal
list_integration_actions List available actions for VirusTotal
list_playbooks List all automated SOAR playbooks
get_alert_latest_investigation Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id Get investigation report for ID rpt_98765
get_agent_settings Show current settings for the investigation agent
ask_cloud_assist How do I configure Cloud NAT logging in Google Cloud?

Autorizzazioni RBAC e IAM necessarie per accedere a SecOps Chat e GCA Q&A

SecOps Chat si connette a due server MCP gestiti:

  1. Il server MCP di SecOps (chronicle.googleapis.com/mcp) per le operazioni SIEM/SOAR in tempo reale.
  2. Il server MCP di Gemini Cloud Assist (GCA) (geminicloudassist.googleapis.com/mcp — ask_cloud_assist) per query avanzate di domande e risposte "Istruzioni" e documentazione della piattaforma.

Per garantire che gli utenti e il P4SA del tenant possano accedere a SecOps Chat e a tutti gli strumenti MCP senza errori 403 Permission Denied, assicurati che i seguenti ruoli IAM e le seguenti API siano configurati nel progetto Google Cloud (BYOP) associato del tenant.

Funzionalità o capacità Ruolo IAM predefinito richiesto Scopo e note
Strumento di domande e risposte "Istruzioni" di GCA (ask_cloud_assist) roles/geminicloudassist.user (utente GCA) Con l'integrazione P4SA attiva, non è richiesto alcun ruolo IAM GCA per l'utente finale: Chat si autentica in GCA utilizzando il P4SA Chronicle del tenant (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com). Solo il P4SA (o l'entità utente negli ambienti pre-P4SA) richiede roles/geminicloudassist.user.
Gestisci le conversazioni roles/chronicle.editor (o roles/chronicle.admin) Obbligatorio per creare, rinominare ed eliminare le conversazioni.
Chiamata del gateway MCP (tutti gli strumenti) roles/mcp.toolUser (MCP Tool User) Concede mcp.tools.call necessario per eseguire gli strumenti MCP remoti negli endpoint SecOps e GCA.
Fatturazione per l'utilizzo dello strumento roles/serviceusage.serviceUsageConsumer (Service Usage Consumer) Chat fattura le chiamate degli strumenti SecOps e GCA al progetto Google Cloud associato alla tua istanza Google SecOps. Obbligatorio insieme a roles/mcp.toolUser.
Strumenti SIEM e generazione di query YARA-L roles/chronicle.admin (o roles/chronicle.editor) Obbligatorio per gli strumenti SIEM: generazione UDM/YARA-L, regole, errori delle regole, parser, tipi di log, tabelle di dati, elenchi di riferimento, riepiloghi delle entità e IoC. Tieni presente che alcuni strumenti SIEM, come i parser, richiedono anche roles/chronicle.admin
Case, avvisi e playbook SOAR roles/chronicle.admin (o roles/chronicle.editor) Obbligatorio per gli strumenti SOAR: richieste, avvisi relativi alle richieste, commenti alle richieste, eventi del connettore, playbook e integrazioni.
Google Cloud Contesto della risorsa (facoltativo) roles/cloudasset.viewer (Cloud Asset Viewer) Ruolo complementare consigliato per GCA in modo che l'assistente possa risolvere i metadati dell'asset/progetto durante la risoluzione dei problemi.

Autorizzazioni del ruolo IAM personalizzato / P4SA per GCA (ask_cloud_assist)

Con l'integrazione di P4SA, gli utenti finali non hanno bisogno di autorizzazioni IAM GCA (anche quando sono connessi utilizzando un IdP di terze parti / SAML / Okta). Invece, il Chronicle P4SA del tenant (service-PROJECT_NUMBER@gcp-sa-chronicle.iam.gserviceaccount.com) o un ruolo personalizzato (negli ambienti pre-P4SA) utilizza le seguenti autorizzazioni nel progetto Google Cloud associato:

  • geminicloudassist.agents.invoke: richiesto dallo strumento ask_cloud_assist per richiamare l'agente GCA.
  • mcp.tools.call: richiesto dal gateway Google Cloud MCP per eseguire le chiamate allo strumento su geminicloudassist.googleapis.com/mcp e chronicle.googleapis.com/mcp.
  • serviceusage.services.use: obbligatorio perché Agentic Chat passa l'ID progetto del tenant nell'intestazione di fatturazione o quota X-Goog-User-Project.
  • cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat e cloudaicompanion.instances.completeTask: obbligatori per inizializzare e continuare gli argomenti di conversazione GCA a più turni.
  • resourcemanager.projects.get, geminicloudassist.locations.get e geminicloudassist.locations.list: necessarie per risolvere il numero di progetto tenant e l'Agent Endpoint globale.

Tieni presente che, anche se il tenant dispone di autorizzazioni aggiuntive, questo fallback si applica solo a GCA.

API di progetto Google Cloud obbligatorie

Assicurati che le seguenti API Google Cloud siano abilitate nel progettoGoogle Cloud associato del tenant:

  • chronicle.googleapis.com (API Chronicle)
  • geminicloudassist.googleapis.com (API GCA)
  • cloudaicompanion.googleapis.com (API Gemini per Google Cloud )
  • cloudasset.googleapis.com (API Cloud Asset)

Autenticazione per la federazione delle identità per la forza lavoro

La federazione delle identità per la forza lavoro (WIF) ti consente di utilizzare il tuo IdP esterno per autenticare la tua forza lavoro, ovvero utenti e gruppi di utenti, come dipendenti, partner e collaboratori. Gli utenti possono quindi accedere a Google Cloud utilizzando il Single Sign-On (SSO) tramite il tuo IdP senza sincronizzare i propri account con Cloud Identity, evitando così la necessità di Account Google.

Per utilizzare GCA, devi prima configurarlo. Per ulteriori dettagli, consulta la guida alla configurazione di WIF.

Aggiungi le autorizzazioni a principalSet. Ad esempio, se utilizzi un IdP di terze parti, puoi utilizzare il seguente comando per concedere le autorizzazioni a principalSet nel progetto tenant:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

Sistemi di protezione e sicurezza

Per contribuire a mantenere sicuro il tuo ambiente, SecOps Chat opera con i seguenti guardrail:

  • Azioni di sola lettura: l'agente supporta azioni di sola lettura di base, come la generazione di query di ricerca, il recupero di richieste, avvisi e riepiloghi delle entità.

Gestisci le sessioni di chat e fornisci feedback

Puoi eliminare le tue sessioni di chat in qualsiasi momento e valutare le risposte generate da Gemini.

Elimina una sessione di chat

Puoi eliminare la sessione di conversazione in chat o tutte le sessioni di chat. Gemini mantiene private tutte le cronologie delle conversazioni degli utenti e rispetta le pratiche di AI responsabile di Google Cloud. La cronologia utente non viene mai utilizzata per addestrare i modelli.

  1. Nel riquadro Gemini, seleziona Elimina chat dal menu in alto a destra.
  2. Fai clic su Elimina chat in basso a destra per eliminare la sessione di chat corrente.
  3. (Facoltativo) Per eliminare tutte le sessioni di chat, seleziona Elimina tutte le sessioni di chat e poi fai clic su Elimina tutte le chat.

Invia il tuo feedback

Puoi fornire feedback sulle risposte generate dall'assistenza per le indagini di Gemini AI. Il tuo feedback aiuta Google a migliorare la funzionalità e l'output generato da Gemini.

  1. Nel riquadro di Gemini, fai clic su thumb_up Mi piace o thumb_down Non mi piace.
  2. (Facoltativo) Fai clic su thumb_down Non mi piace e fornisci un feedback.
  3. Fai clic su Invia feedback.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.