SecOps Chat の概要

以下でサポートされています。

このガイドでは、Google Security Operations の Gemini 会話型アシスタントである SecOps Chat の操作方法と使用方法について説明します。SecOps Chat を使用して、プロダクト ドキュメントに関する質問に回答する、YARA-L の検索クエリと検出ルールを生成する、脅威インテリジェンスを調査する、ケースとアラートを調査する、その他の運用タスクを実行する方法について、以下で説明します。

Google SecOps ページで、上部のナビゲーション バーにある Gemini ロゴ をクリックして、SecOps Chat ペインを開きます。

表示されている Google SecOps 画面に応じて、SecOps Chat ペインには、開始に役立つプロンプトの候補がコンテキストに応じて表示されます。

SecOps チャット インターフェース

SecOps チャットペインの上部にある をクリックして、チャット セッションを開始、削除し、チャット履歴を表示します。チャットはマルチターンのやり取りをサポートしています。アシスタントは、会話のターン間でパラメータとコンテキストを保持するため、質問を言い直すのではなく、質問を絞り込むことができます。

このメニューでは、次の設定を切り替えることもできます。

  • エージェント型チャット: インスタンスで利用可能な場合は、このオプションをオンにすると、SecOps Chat がユーザーに代わって Google SecOps ツールを呼び出し、運用上の質問に回答できるようになります。SecOps Chat が環境で何ができるかを確認するには、What are the capabilities of SecOps Chat? などのプロンプトを入力します。
  • エージェントの思考を表示する: このオプションをオンにすると、モデルが質問に回答するためにバックグラウンドで呼び出すステップとツールを示す思考インジケーターが表示されます。

YARA-L 検索クエリを生成する

自然言語を使用して、Google SecOps SIEM で特定のイベントを検索するために使用できる YARA-L 2.0 検索クエリを生成します。

SecOps Chat ペインで、次の検索プロンプトとフォローアップの質問の例を試してみてください。

  • Show me all failed logins for the last 3 days
    • Generate a rule to help detect that behavior in the future
  • Show me events associated with the principal user random.user
    • Who is this user?
  • Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
    • List all of the domains in the results set
    • What types of events were returned?
  • Show me events from my firewall in the last 24 hours
    • What were the 16 unique hostnames in the results set?
    • Narrow the query to only return results for failed attempts
    • Change the time range to the last 7 days

生成された検索クエリを確認します。検索クエリでは YARA-L 2.0 構文が使用されます。生成された検索クエリが要件を満たしている場合は、[検索を実行] をクリックします。それ以外の場合は、[検索ページで編集] をクリックしてクエリを変更します。

検索クエリを実行すると、Gemini は結果の要約と推奨されるアクションを生成します。

YARA-L ルールを生成する

自然言語プロンプトを使用して YARA-L 2.0 検出ルールを生成し、ルールエディタでルールを開いて編集し、有効にできます。この機能を使用して作成できるのは、単一イベントルールのみです。

たとえば、切り捨てられた DNS レスポンスを検出するルールを生成するには、SecOps Chat ペインに次のプロンプトを入力し、Enter キーを押します。 Create a rule to count how many DNS responses were truncated per principal asset host.Gemini は、検索した動作を検出するルールを生成します。

[ルールエディタで開く] をクリックして、ルールエディタで新しいルールを表示して変更します。

たとえば、前のルールプロンプトを使用すると、Gemini は次のルールを生成できます。

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

ルールを有効にするには、[Save New Rule] をクリックします。ルールが左側のルールリストに表示されます。ルールにポインタを合わせ、メニュー アイコンをクリックし、[Live Rule] オプションを右（緑）に切り替えます。詳細については、ルールエディタを使用してルールを管理するをご覧ください。

脅威インテリジェンスに関する質問をする

Gemini は、脅威アクター、その関係性、行動パターンなどのトピックに関する脅威インテリジェンスについての関連質問に回答できます。MITRE TTP に関する質問も対象です。

環境内の脅威インテリジェンス（Applied Threat Intelligence のセキュリティ侵害インジケーター（IoC）の一致など）に基づく回答は、Google SecOps パッケージによって異なります。SecOps Chat がアクセスできるデータは、IAM ロールとデータアクセス スコープによっても異なります。

SecOps チャットペインで、次の脅威インテリジェンス プロンプトの例を試します。

  • How does APT44 operate?
  • Are there any known attacker tools that use RDP to brute force logins?
  • Is 103.224.80.44 suspicious?
  • What types of attacks may be associated with CVE-2020-14145?
  • Which MITRE ATT&CK techniques involve exploiting buffer overflows?
  • What is UNC3782?

結果を確認し、脅威インテリジェンス レポートで参照される特定のセキュリティ侵害インジケーター（IOC）を検索するクエリを作成するよう Gemini に相談して、調査を続行します。脅威インテリジェンスの情報は、Google SecOps ライセンスによって提供される利用資格に依存します。

SecOps Chat ペインの下部にある [ソースと関連コンテンツ] をクリックします。Gemini は、要約の生成に使用された記事の一部へのリンクを提供します。

Gemini と MITRE

MITRE ATT&CK® マトリックスは、実際のサイバー攻撃者が使用する TTP を文書化したナレッジベースです。MITRE マトリックスは、組織がどのように標的にされるかを理解し、攻撃について議論するための標準化された構文を提供します。

MITRE の戦術、手法、手順（TTP）について Gemini に質問すると、次の MITRE の詳細を含む、コンテキストに沿った回答が得られます。

  • 戦術
  • 技術
  • サブ技術
  • 検出の候補
  • 手順
  • 緩和策

Gemini から、Google SecOps が各 TTP で利用できるようにするキュレーテッド検出へのリンクが返されます。また、Gemini にフォローアップの質問をして、MITRE TTP と、それが企業に与える影響に関する追加の分析情報を得ることもできます。

ケースとアラートを調査する

[ケース管理] ページから直接、ケース、アラート、ハンドブックについて Gemini に相談できます。質問は、[ケース] ページ、[アラート] タブ、[ハンドブック] タブなど、表示している特定のページまたはタブに基づいてコンテキストを認識します。

[ケース] ページのいずれかから、SecOps Chat ペインを開きます。ケースに関連するプロンプトを入力します。質問は現在のタブに関連するものでも構いません。

  • ケースの概要またはケースウォール: ケースレベルの情報について質問します。例: Give me the names of everyone who left comments on the Case Wall.
  • アラート: そのアラートに関連する特定の質問をします。例: Can you summarize this alert?
  • アラート ハンドブック: アタッチされたハンドブックの動作について質問します。例: Which playbooks are available for phishing alerts?

Gemini から返された結果を確認し、必要に応じてプロンプトを調整します。

Gemini ケース概要ウィジェットを使用してケースを要約することもできます。

Google SecOps のドキュメントに関する質問に答える

SecOps チャットペインにプロンプトを入力して、Google SecOps の使用方法に関する情報をリクエストします。

SecOps Chat は、Google SecOps ドキュメントの情報に基づく多段階の推論プロセスを使用して、関連するドキュメント ページへのリンクを含む複雑な質問に回答します。

SecOps Chat ペインに次のプロンプト例を入力してみてください。

  • How do I configure the forwarder?
  • How do I create a rule?
  • How do I investigate user logins?

SecOps Chat は、Google 検索のグラウンディングと引用を使用して、プロンプトに対してニュアンスのある高品質な回答を提供します。グラウンディングは、モデルの回答をインターネットで見つかった情報にリンクして、セキュリティ調査に関する最新のコンテキストを追加します。引用には、Gemini が回答の作成に使用した特定のデータソースが表示されます。これにより、説明可能性が向上し、情報の検証に役立ちます。

Gemini が Google 検索を使用して回答をグラウンディングすると、ウェブ インターフェースに次の要素が表示されます。

  • Google G アイコン: Gemini がインターネットに接続して、プロンプトの追加コンテキストを取得したことを示します。
  • 検索クエリチップ: Gemini が追加のコンテキストを取得するために使用した正確な検索クエリが表示されます。
  • 引用: 回答の生成に使用された特定のグラウンディング データへの参照を提供します。

これらの検索クエリと引用を確認することで、Gemini がプロンプトを調査する手順を理解し、取得するデータの透明性を確保できます。

その他のタスク

SecOps Chat は、一元的なセキュリティ アシスタントとして、バックエンド ツールを使用して Google SecOps プラットフォーム全体で運用タスクを実行します。

ケースとアラートの管理

  • ケースの検索とフィルタ: Google SecOps インスタンス内のすべてのケースを一覧表示するか、1 つのケースの詳細を取得します。
  • ケースの証拠を調査する: ケースのコメントを一覧表示する、特定のケースアラートを取得する、未加工のコネクタ イベントを表示する、アラートに関連するエンティティ（IP アドレスやホスト名など）を一覧表示する。

エンティティとアラートの拡充

  • エンティティ アクティビティを要約する: Google SecOps SIEM でエンティティの過去のアクティビティを検索して要約し、迅速に拡充します。
  • IoC を特定する: Google SecOps SIEM ログからセキュリティ侵害インジケーター（IoC）の一致を直接取得します。
  • アラート プロファイルを取得する: 複数のソースからデータを集約する SIEM アラートのプロファイルを取得します。
  • 拡充アクションを検出する: 特定の SIEM アラートの拡充に使用できる SOAR 統合アクションのキュレートされたリストを取得します。

SIEM のコンテンツとデータ マネジメント

  • ログデータを管理する: Google SecOps SIEM で使用可能なデータテーブルとログタイプを一覧表示します。
  • パーサーを確認する: ログタイプのパーサーを一覧表示するか、特定のパーサーの構成の詳細を取得します。
  • 検出ルールをモニタリングする: 構成済みの検出ルールを表示し、特定のルールの実行エラーを一覧表示して、トラブルシューティングに役立てます。
  • 参照リストにアクセスする: 特定の参照リストの詳細と内容を名前で取得します。

オーケストレーションと自動化

  • 統合をモニタリングする: 構成済みの SOAR 統合を一覧表示し、構成済みのインスタンスを表示します。
  • 統合アクションを確認する: SOAR 統合で使用できる自動アクションを確認します。
  • ハンドブックを表示する: 環境で構成されている自動ハンドブックを一覧表示します。

自動調査

  • トリアージ出力を確認する: アラート ID の最新の自動トリアージ調査を取得します。
  • 完全なレポートを取得する: エージェントが生成した完全な調査レポートを ID で取得します。
  • 構成を確認する: 調査エージェントの構成設定を確認します。

サポートされている MCP ツールとサンプル プロンプト

次の表に、SecOps Chat が呼び出すことができる MCP ツールと、各ツールのサンプル プロンプトを示します。

ツール プロンプトの例
list_cases List all open critical cases
get_case Show case details for ID 12345
get_case_alert Show details for alert ID 67890 in case ID 12345
list_case_comments Get comments for case ID 12345
list_case_alerts Retrieve all alerts associated with case ID 12345
list_connector_events Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity Summarize the history of host workstation-9
get_ioc_match Show IoC matches in my environment from the last 24 hours
fetch_alert_data Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions What SOAR integration actions are available for alert ID 67890?
list_data_tables List all SIEM data tables
list_log_types List available log types
list_parsers Show parsers configured for log type GCP_CLOUDAUDIT
get_parser Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules List all security detection rules
list_rule_errors Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list Get details for the admin_ips reference list
list_integrations List all configured SOAR integrations
list_integration_instances Show configured instances for VirusTotal
list_integration_actions List available actions for VirusTotal
list_playbooks List all automated SOAR playbooks
get_alert_latest_investigation Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id Get investigation report for ID rpt_98765
get_agent_settings Show current settings for the investigation agent
ask_cloud_assist How do I configure Cloud NAT logging in Google Cloud?

SecOps Chat と GCA Q&A にアクセスするために必要な RBAC 権限と IAM 権限

SecOps Chat は、次の 2 つのマネージド MCP サーバーに接続します。

  1. ライブ SIEM / SOAR オペレーション用の SecOps MCP サーバー（chronicle.googleapis.com/mcp）。
  2. Gemini Cloud Assist（GCA）MCP サーバー（geminicloudassist.googleapis.com/mcp - ask_cloud_assist）。強化された How-to Q&A とプラットフォーム ドキュメントのクエリに使用されます。

ユーザーとテナントの P4SA が 403 Permission Denied エラーなしで SecOps Chat とすべての MCP ツールにアクセスできるようにするには、テナントのバインドされた Google Cloud （BYOP）プロジェクトで次の IAM ロールと API が構成されていることを確認します。

機能 必要な IAM 事前定義ロール 目的と注意事項
GCA「How-to」Q＆A ツール（ask_cloud_assist） roles/geminicloudassist.user（GCA ユーザー） P4SA 統合が有効になっている場合、エンドユーザーの GCA IAM ロールは必要ありません。Chat は、テナントの Chronicle P4SA（service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com）を使用して GCA に対する認証を行います。P4SA（または P4SA 以前の環境のユーザー プリンシパル）のみに roles/geminicloudassist.user が必要です。
会話の管理 roles/chronicle.editor（または roles/chronicle.admin） 会話の作成、名前変更、削除に必要です。
MCP Gateway の呼び出し（すべてのツール） roles/mcp.toolUser（MCP ツールユーザー） SecOps エンドポイントと GCA エンドポイントでリモート MCP ツールを実行するために必要な mcp.tools.call を付与します。
ツールの使用量に基づく請求 roles/serviceusage.serviceUsageConsumer（Service Usage コンシューマー） Chat は、Google SecOps インスタンスにバインドされている Google Cloud プロジェクトに SecOps と GCA ツールの呼び出しを請求します。roles/mcp.toolUser とともに必須。
SIEM ツールと YARA-L クエリの生成 roles/chronicle.admin（または roles/chronicle.editor） SIEM ツールに必要: UDM/YARA-L 生成、ルール、ルールエラー、パーサー、ログタイプ、データテーブル、参照リスト、エンティティの概要、IoC。パーサーなどの一部の SIEM ツールでは、roles/chronicle.admin も必要です。
SOAR のケース、アラート、ハンドブック roles/chronicle.admin（または roles/chronicle.editor） SOAR ツール（ケース、ケースアラート、ケースコメント、コネクタ イベント、ハンドブック、統合）に必要です。
Google Cloud リソース コンテキスト（省略可） roles/cloudasset.viewer（Cloud Asset 閲覧者） トラブルシューティング中にアシスタントがプロジェクト/アセットのメタデータを解決できるように、GCA に推奨されるコンパニオン ロール。

GCA の P4SA / カスタム IAM ロール権限（ask_cloud_assist）

P4SA の統合により、エンドユーザーは GCA IAM 権限を必要としません（3P IdP / SAML / Okta を使用してログインする場合でも同様です）。代わりに、テナントの Chronicle P4SA（service-PROJECT_NUMBER@gcp-sa-chronicle.iam.gserviceaccount.com）またはカスタムロール（P4SA 以前の環境）は、バインドされた Google Cloud プロジェクトで次の権限を使用します。

  • geminicloudassist.agents.invoke - ask_cloud_assist ツールが GCA エージェントを呼び出すために必要です。
  • mcp.tools.call - Google Cloud MCP ゲートウェイが geminicloudassist.googleapis.com/mcp と chronicle.googleapis.com/mcp を介してツール呼び出しを実行するために必要です。
  • serviceusage.services.use - Agentic Chat が X-Goog-User-Project の課金ヘッダーまたは割り当てヘッダーでテナントのプロジェクト ID を渡すために必要です。
  • cloudaicompanion.topics.create、cloudaicompanion.companions.generateChat、cloudaicompanion.instances.completeTask - マルチターンの GCA 会話トピックを初期化して続行するために必要です。
  • resourcemanager.projects.get、geminicloudassist.locations.get、geminicloudassist.locations.list - テナント プロジェクト番号とグローバル Agent Endpoint を解決するために必要です。

テナントに追加の権限がある場合でも、このフォールバックは GCA にのみ適用されます。

必要な Google Cloud プロジェクト API

テナントのバインドされたGoogle Cloud プロジェクトで、次の Google Cloud API が有効になっていることを確認します。

  • chronicle.googleapis.com（Chronicle API）
  • geminicloudassist.googleapis.com（GCA API）
  • cloudaicompanion.googleapis.com（Gemini for Google Cloud API）
  • cloudasset.googleapis.com（Cloud Asset API）

Workforce Identity 連携の認証

Workforce Identity 連携（WIF）を使用すると、外部 IdP を使用して、従業員、パートナー、請負業者などのユーザーとユーザー グループを認証できます。これにより、ユーザーはアカウントを Cloud Identity に同期することなく、シングル サインオン（SSO）を使用して IdP 経由で Google Cloud にアクセスできます。Google アカウントは必要ありません。

GCA を使用するには、まず GCA を構成する必要があります。詳細については、WIF 構成ガイドをご覧ください。

principalSet に権限を追加します。たとえば、サードパーティの IdP を使用している場合は、次のコマンドを使用して、テナント プロジェクトの principalSet に権限を付与できます。

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

ガードレールと安全性

環境の安全性を維持するため、SecOps Chat は次のガードレールに沿って動作します。

  • 読み取り専用アクション: エージェントは、検索クエリの生成、ケース、アラート、エンティティの概要の取得など、基本的な読み取り専用アクションをサポートしています。

チャット セッションを管理してフィードバックを提供する

チャット セッションはいつでも削除できます。また、Gemini が生成した回答を評価することもできます。

チャット セッションを削除する

チャットの会話セッションを削除することも、すべてのチャット セッションを削除することもできます。Gemini は、ユーザーのすべての会話履歴を非公開で保持し、 Google Cloudの責任ある AI への取り組みを遵守します。ユーザー履歴がモデルのトレーニングに使用されることはありません。

  1. Gemini ペインで、右上のメニューから [チャットを削除] を選択します。
  2. 右下にある [チャットを削除] をクリックして、現在のチャット セッションを削除します。
  3. （省略可）すべてのチャット セッションを削除するには、[チャット セッションをすべて削除] を選択してから、[チャットをすべて削除] をクリックします。

フィードバックを送信

Gemini AI Investigation 支援で生成された回答に対して、フィードバックを提供できます。皆様のフィードバックは、Google の機能と Gemini が生成する出力の改善に役立ちます。

  1. Gemini ペインで、thumb_up 高評価または thumb_down 低評価をクリックします。
  2. 省略可: thumb_down [低く評価] をクリックして、フィードバックを送信します。
  3. [フィードバックを送信] をクリックします。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。