SecOps Chat 개요

다음에서 지원:

Google SecOps SIEM SOAR

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 제품 또는 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google SecOps 기술 지원 서비스 가이드라인 및 Google SecOps 서비스 특정 약관을 참고하세요.
사용 중인 환경에 이 기능이 표시되지 않으면 프리뷰 기능 관리를 참고하거나 시스템 관리자에게 문의하세요.

이 가이드에서는 Google Security Operations의 Gemini 대화형 어시스턴트인 SecOps Chat을 탐색하고 사용하는 방법을 설명합니다. SecOps Chat을 사용하여 제품 문서에 관한 질문에 답변하고, YARA-L 검색어 및 감지 규칙을 생성하고, 위협 인텔리전스를 조사하고, 케이스 및 알림을 조사하고, 기타 운영 작업을 수행하는 방법을 알아보려면 계속 읽어보세요.

SecOps Chat 인터페이스 탐색

상단 탐색 메뉴에서 를 클릭하여 Google SecOps 페이지에서 SecOps 채팅 창을 엽니다.

사용 중인 Google SecOps 화면에 따라 SecOps Chat 창에는 시작하는 데 도움이 되는 추천 프롬프트의 상황별 목록이 표시됩니다.

SecOps 채팅 창 상단에 있는 을 클릭하여 채팅 세션을 시작 및 삭제하고 채팅 기록을 확인합니다. 채팅은 멀티턴 상호작용을 지원합니다. 어시스턴트는 대화 차례 전반에서 매개변수와 컨텍스트를 유지하므로 질문을 다시 말하는 대신 질문을 세분화할 수 있습니다.

이 메뉴에서 다음을 전환할 수도 있습니다.

• 에이전트형 채팅: 인스턴스에서 사용할 수 있는 경우 이 옵션을 사용 설정하면 SecOps Chat이 사용자를 대신하여 Google SecOps 도구를 호출하여 운영 관련 질문에 답변할 수 있습니다. SecOps Chat이 환경에서 수행할 수 있는 작업을 확인하려면 What are the capabilities of SecOps Chat?와 같은 프롬프트를 입력합니다.
• 에이전트 사고 과정 표시: 이 옵션을 사용 설정하면 모델이 질문에 답변하기 위해 백그라운드에서 호출하는 단계와 도구를 보여주는 사고 과정 표시기가 표시됩니다.

YARA-L 검색어 생성

자연어를 사용하여 Google SecOps SIEM에서 특정 이벤트를 검색하는 데 사용할 수 있는 YARA-L 2.0 검색어를 생성합니다.

SecOps Chat 창에서 다음 검색 프롬프트 및 후속 질문 예시를 사용해 보세요.

• Show me all failed logins for the last 3 days
  • Generate a rule to help detect that behavior in the future
• Show me events associated with the principal user random.user
  • Who is this user?
• Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
  • List all of the domains in the results set
  • What types of events were returned?
• Show me events from my firewall in the last 24 hours
  • What were the 16 unique hostnames in the results set?
  • Narrow the query to only return results for failed attempts
  • Change the time range to the last 7 days

생성된 검색어를 검토합니다. 검색어는 YARA-L 2.0 문법을 사용합니다. 생성된 검색어가 요구사항을 충족하면 검색 실행을 클릭합니다. 그렇지 않으면 검색 페이지에서 수정을 클릭하여 쿼리를 수정합니다.

검색어를 실행하면 Gemini에서 추천 작업과 함께 결과 요약을 생성합니다.

YARA-L 규칙 생성

자연어 프롬프트를 사용하여 YARA-L 2.0 감지 규칙을 생성한 후 규칙 편집기에서 규칙을 열고 수정하고 활성화할 수 있습니다. 이 기능을 사용하여 단일 이벤트 규칙만 만들 수 있습니다.

예를 들어 잘린 DNS 응답을 감지하는 규칙을 생성하려면 SecOps Chat 창에 다음 프롬프트를 입력합니다. Create a rule to count how many DNS responses were truncated per principal asset host. 그런 다음 Enter를 누릅니다. Gemini는 검색한 동작을 감지하는 규칙을 생성합니다.

규칙 편집기에서 열기를 클릭하여 규칙 편집기에서 새 규칙을 보고 수정합니다.

예를 들어 이전 규칙 프롬프트를 사용하면 Gemini에서 다음 규칙을 생성할 수 있습니다.

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

규칙을 활성화하려면 새 규칙 저장을 클릭합니다. 규칙이 왼쪽의 규칙 목록에 표시됩니다. 규칙 위에 마우스 포인터를 올려놓고 메뉴 아이콘을 클릭한 다음 실시간 규칙 옵션을 오른쪽 (녹색)으로 전환합니다. 자세한 내용은 규칙 편집기를 사용하여 규칙 관리를 참조하세요.

위협 인텔리전스 질문하기

Gemini는 MITRE TTP에 대한 질문을 포함하여 공격자, 연관 관계, 행동 패턴과 같은 주제에 대한 위협 인텔리전스와 관련된 질문에 답할 수 있습니다.

Applied Threat Intelligence의 침해 지표 (IoC) 일치와 같이 환경의 위협 인텔리전스를 활용하는 답변은 Google SecOps 패키지에 따라 다릅니다. SecOps Chat에서 액세스할 수 있는 데이터는 IAM 역할 및 데이터 액세스 범위에 따라 달라집니다.

SecOps Chat 창에서 다음 위협 인텔리전스 프롬프트 예시를 사용해 보세요.

• How does APT44 operate?
• Are there any known attacker tools that use RDP to brute force logins?
• Is 103.224.80.44 suspicious?
• What types of attacks may be associated with CVE-2020-14145?
• Which MITRE ATT&CK techniques involve exploiting buffer overflows?
• What is UNC3782?

결과를 검토한 후 Gemini에 위협 인텔리전스 보고서에서 참조된 특정 침해 지표 (IOC)를 찾는 쿼리를 만들도록 요청하여 추가로 조사합니다. 위협 인텔리전스 정보는 Google SecOps 라이선스에서 사용 가능한 사용 권한에 따라 달라집니다.

SecOps Chat 창 하단에서 소스 및 관련 콘텐츠를 클릭합니다. Gemini는 요약을 생성하는 데 사용된 일부 도움말에 대한 링크를 제공합니다.

참고: Gemini가 다른 사람이 작성한 텍스트로 프롬프트에 응답하는 경우 SecOps Chat 창의 참조된 소스 섹션에 원본 소스가 인용됩니다. 자세한 내용은 Gemini의 소스 인용 방법과 시기를 참조하세요.

Gemini 및 MITRE

MITRE ATT&CK® 매트릭스는 실제 사이버 공격자가 사용하는 TTP를 문서화한 기술 자료입니다. MITRE 매트릭스는 조직이 타겟팅되는 방식을 이해하고 공격을 논의하기 위한 표준화된 문법을 제공합니다.

Gemini에 MITRE 전략, 기법, 절차 (TTP)에 대해 질문하고 다음 MITRE 세부정보가 포함된 문맥상 관련성이 높은 답변을 받을 수 있습니다.

• 전술
• 기법
• 하위 기법
• 감지 제안
• 절차
• 완화 조치

Gemini는 Google SecOps에서 각 TTP에 사용할 수 있도록 선별한 감지 항목에 대한 링크를 반환합니다. Gemini에게 후속 질문을 하여 MITRE TTP 및 MITRE TTP가 조직에 미칠 수 있는 영향에 대한 추가 인사이트를 얻을 수도 있습니다.

케이스 및 알림 조사

케이스 관리 페이지에서 바로 Gemini에게 케이스, 알림, 플레이북에 대해 질문할 수 있습니다. 질문은 케이스 페이지, 알림 탭, 플레이북 탭과 같이 보고 있는 특정 페이지 또는 탭을 기반으로 컨텍스트를 인식합니다.

케이스 페이지 중 하나에서 SecOps Chat 창을 엽니다. 케이스 관련 프롬프트를 입력합니다. 현재 탭과 관련된 질문을 할 수 있습니다.

• 케이스 개요 또는 케이스 월: 케이스 수준 정보에 관해 질문합니다. 예를 들면 Give me the names of everyone who left comments on the Case Wall.입니다.
• 알림: 해당 알림과 관련된 구체적인 질문을 합니다. 예를 들면 Can you summarize this alert?입니다.
• 알림 플레이북: 연결된 플레이북의 동작에 대해 질문합니다. 예를 들면 Which playbooks are available for phishing alerts?입니다.

Gemini가 반환한 결과를 검토하고 필요한 경우 프롬프트를 수정합니다.

Gemini 케이스 요약 위젯을 사용하여 케이스를 요약할 수도 있습니다.

Google SecOps 문서에 관한 질문에 답변하기

SecOps Chat 창에 프롬프트를 입력하여 Google SecOps 사용 방법의 모든 측면에 대한 정보를 요청합니다.

SecOps Chat은 Google SecOps 문서의 정보를 기반으로 하는 다단계 추론 프로세스를 사용하여 관련 문서 페이지 링크와 함께 복잡한 질문에 답변합니다.

SecOps Chat 창에 다음 프롬프트 예시를 입력해 보세요.

• How do I configure the forwarder?
• How do I create a rule?
• How do I investigate user logins?

SecOps Chat은 또한 Google 검색 그라운딩 및 인용을 사용하여 프롬프트에 대한 미묘하고 고품질의 대답을 제공합니다. 그라운딩은 모델 응답을 인터넷에서 찾은 정보에 연결하여 보안 조사에 대한 추가적인 최신 컨텍스트를 제공합니다. 인용은 Gemini가 대답을 작성하는 데 사용한 특정 데이터 소스를 보여주므로 설명 가능성이 향상되고 정보를 확인하는 데 도움이 됩니다.

Gemini가 Google 검색을 사용하여 대답을 그라운딩하면 웹 인터페이스에 다음 요소가 표시됩니다.

• Google G 아이콘: Gemini가 인터넷에 연결되어 프롬프트에 대한 추가 컨텍스트를 가져왔음을 나타냅니다.
• 검색어 칩: Gemini가 추가 컨텍스트를 검색하는 데 사용한 정확한 검색어를 표시합니다.
• 인용: 대답을 생성하는 데 사용된 특정 그라운딩 데이터에 대한 참조를 제공합니다.

이러한 검색어와 인용을 검토하면 Gemini가 프롬프트를 조사하는 단계를 이해하고 검색하는 데이터의 투명성을 보장할 수 있습니다.

다른 작업

SecOps Chat은 중앙 보안 어시스턴트로서 백엔드 도구를 사용하여 Google SecOps 플랫폼 전반에서 운영 작업을 수행합니다.

케이스 및 알림 관리

• 케이스 검색 및 필터링: Google SecOps 인스턴스의 모든 케이스를 나열하거나 단일 케이스의 포괄적인 세부정보를 검색합니다.
• 케이스 증거 조사: 케이스 댓글을 나열하고, 특정 케이스 알림을 검색하고, 원시 커넥터 이벤트를 보고, IP 주소 및 호스트 이름과 같이 알림에 관련된 항목을 나열합니다.

항목 및 알림 보강

• 항목 활동 요약: Google SecOps SIEM에서 항목의 이전 활동을 조회하고 요약하여 빠르게 보강합니다.
• IoC 식별: Google SecOps SIEM 로그에서 직접 침해 지표 (IoC) 일치 항목을 검색합니다.
• 알림 프로필 가져오기: 여러 소스의 데이터를 집계하는 SIEM 알림의 프로필을 가져옵니다.
• 보강 작업 검색: 지정된 SIEM 알림을 보강하는 데 사용할 수 있는 선별된 SOAR 통합 작업 목록을 검색합니다.

SIEM 콘텐츠 및 데이터 관리

• 로그 데이터 관리: Google SecOps SIEM에서 사용할 수 있는 데이터 테이블과 로그 유형을 나열합니다.
• 파서 검토: 로그 유형의 파서를 나열하거나 특정 파서의 구성 세부정보를 가져옵니다.
• 감지 규칙 모니터링: 구성된 감지 규칙을 보고 특정 규칙의 실행 오류를 나열하여 문제를 해결할 수 있습니다.
• 참조 목록 액세스: 이름으로 특정 참조 목록의 세부정보와 콘텐츠를 가져옵니다.

조정 및 자동화

• 통합 모니터링: 구성된 SOAR 통합을 나열하고 구성된 인스턴스를 확인합니다.
• 통합 작업 검토: SOAR 통합에 사용할 수 있는 자동화된 작업을 확인합니다.
• 플레이북 보기: 환경에 구성된 자동 플레이북을 나열합니다.

자동 조사

• 분류 출력 검토: 알림 ID에 대한 가장 최근의 자동 분류 조사를 검색합니다.
• 전체 보고서 가져오기: ID로 에이전트가 생성한 전체 조사 보고서를 가져옵니다.
• 구성 확인: 조사 에이전트의 구성 설정을 검토합니다.

지원되는 MCP 도구 및 샘플 프롬프트

다음 표에는 SecOps Chat에서 호출할 수 있는 MCP 도구와 각 도구의 샘플 프롬프트가 나와 있습니다.

도구	샘플 프롬프트
list_cases	List all open critical cases
get_case	Show case details for ID 12345
get_case_alert	Show details for alert ID 67890 in case ID 12345
list_case_comments	Get comments for case ID 12345
list_case_alerts	Retrieve all alerts associated with case ID 12345
list_connector_events	Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities	Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity	Summarize the history of host workstation-9
get_ioc_match	Show IoC matches in my environment from the last 24 hours
fetch_alert_data	Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions	What SOAR integration actions are available for alert ID 67890?
list_data_tables	List all SIEM data tables
list_log_types	List available log types
list_parsers	Show parsers configured for log type GCP_CLOUDAUDIT
get_parser	Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules	List all security detection rules
list_rule_errors	Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list	Get details for the admin_ips reference list
list_integrations	List all configured SOAR integrations
list_integration_instances	Show configured instances for VirusTotal
list_integration_actions	List available actions for VirusTotal
list_playbooks	List all automated SOAR playbooks
get_alert_latest_investigation	Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id	Get investigation report for ID rpt_98765
get_agent_settings	Show current settings for the investigation agent
ask_cloud_assist	How do I configure Cloud NAT logging in Google Cloud?

SecOps Chat 및 GCA Q&A에 액세스하는 데 필요한 RBAC 및 IAM 권한

SecOps Chat은 두 개의 관리형 MCP 서버에 연결됩니다.

1. 실시간 SIEM/SOAR 작업을 위한 SecOps MCP 서버 (chronicle.googleapis.com/mcp)
2. Gemini Cloud Assist (GCA) MCP 서버 (geminicloudassist.googleapis.com/mcp — ask_cloud_assist): 향상된 '방법' Q&A 및 플랫폼 문서 쿼리

사용자와 테넌트의 P4SA가 403 Permission Denied 오류 없이 SecOps Chat 및 모든 MCP 도구에 액세스할 수 있도록 하려면 테넌트의 바인딩된 Google Cloud (BYOP) 프로젝트에 다음 IAM 역할 및 API가 구성되어 있는지 확인하세요.

권장되는 사전 정의된 IAM 역할 (빠른 설정)

특징 / 기능	필요한 사전 정의된 IAM 역할	목적 및 참고사항
GCA '방법' Q&A 도구 (ask_cloud_assist)	roles/geminicloudassist.user (GCA 사용자)	P4SA 통합이 활성화되면 최종 사용자 GCA IAM 역할이 필요하지 않습니다. Chat은 테넌트의 Chronicle P4SA (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com)를 사용하여 GCA에 인증합니다. P4SA (또는 P4SA 이전 환경의 사용자 주 구성원)에만 roles/geminicloudassist.user가 필요합니다.
대화 관리	roles/chronicle.editor(또는 roles/chronicle.admin)	대화를 만들고, 이름을 바꾸고, 삭제하는 데 필요합니다.
MCP 게이트웨이 호출 (모든 도구)	roles/mcp.toolUser (MCP 도구 사용자)	SecOps 및 GCA 엔드포인트에서 원격 MCP 도구를 실행하는 데 필요한 mcp.tools.call 권한을 부여합니다.
도구 사용 결제	roles/serviceusage.serviceUsageConsumer (서비스 사용량 소비자)	채팅은 Google SecOps 인스턴스에 바인딩된 Google Cloud 프로젝트에 SecOps 및 GCA 도구 호출을 청구합니다. roles/mcp.toolUser와 함께 필요합니다.
SIEM 도구 및 YARA-L 쿼리 생성	roles/chronicle.admin(또는 roles/chronicle.editor)	SIEM 도구에 필요: UDM/YARA-L 생성, 규칙, 규칙 오류, 파서, 로그 유형, 데이터 테이블, 참조 목록, 항목 요약, IoC 파서와 같은 일부 SIEM 도구에는 roles/chronicle.admin도 필요합니다.
SOAR 케이스, 알림, 플레이북	roles/chronicle.admin(또는 roles/chronicle.editor)	SOAR 도구에 필요: 케이스, 케이스 알림, 케이스 댓글, 커넥터 이벤트, 플레이북, 통합
Google Cloud 리소스 컨텍스트 (선택사항)	roles/cloudasset.viewer (Cloud 애셋 뷰어)	지원 담당자가 문제 해결 중에 프로젝트/저작물 메타데이터를 확인할 수 있도록 GCA에 권장되는 보조 역할입니다.

GCA의 P4SA / 커스텀 IAM 역할 권한 (ask_cloud_assist)

P4SA 통합을 사용하면 최종 사용자는 서드 파티 IdP / SAML / Okta를 사용하여 로그인하는 경우에도 GCA IAM 권한이 필요하지 않습니다. 대신 테넌트의 Chronicle P4SA([e-mail]) 또는 커스텀 역할 (P4SA 이전 환경)은 바인딩된 Google Cloud 프로젝트에서 다음 권한을 사용합니다.

• geminicloudassist.agents.invoke — ask_cloud_assist 도구에서 GCA 에이전트를 호출하는 데 필요합니다.
• mcp.tools.call — Google Cloud MCP 게이트웨이가 geminicloudassist.googleapis.com/mcp 및 chronicle.googleapis.com/mcp를 통해 도구 호출을 실행하는 데 필요합니다.
• serviceusage.services.use — Agentic Chat이 X-Goog-User-Project 결제 또는 할당량 헤더에 테넌트의 프로젝트 ID를 전달하므로 필요합니다.
• cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat, cloudaicompanion.instances.completeTask: 멀티턴 GCA 대화 주제를 초기화하고 계속하는 데 필요합니다.
• resourcemanager.projects.get, geminicloudassist.locations.get, geminicloudassist.locations.list — 테넌트 프로젝트 번호 및 전역 Agent Endpoint를 확인하는 데 필요합니다.

테넌트에 추가 권한이 있더라도 이 대체는 GCA에만 적용됩니다.

필수 Google Cloud 프로젝트 API

테넌트의 바인딩된Google Cloud 프로젝트에서 다음 Google Cloud API가 사용 설정되어 있는지 확인합니다.

• chronicle.googleapis.com (Chronicle API)
• geminicloudassist.googleapis.com (GCA API)
• cloudaicompanion.googleapis.com (Gemini for Google Cloud API)
• cloudasset.googleapis.com (Cloud Asset API)

직원 ID 제휴 인증

직원 ID 제휴(WIF)를 사용하면 외부 IdP를 사용하여 직원(직원, 파트너, 계약업체와 같은 사용자 및 사용자 그룹)을 인증할 수 있습니다. 그러면 사용자가 계정을 Cloud ID에 동기화하지 않고 IdP를 통해 싱글 사인온 (SSO)을 사용하여 Google Cloud 에 액세스할 수 있으므로 Google 계정이 필요하지 않습니다.

GCA를 사용하려면 먼저 구성해야 합니다. 자세한 내용은 WIF 구성 가이드를 참조하세요.

principalSet에 권한을 추가합니다. 예를 들어 서드 파티 IdP를 사용하는 경우 다음 명령어를 사용하여 테넌트 프로젝트의 principalSet에 권한을 부여할 수 있습니다.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

가드레일 및 안전

환경을 안전하게 유지하기 위해 SecOps Chat은 다음 가드레일을 사용하여 작동합니다.

• 읽기 전용 작업: 에이전트는 검색어 생성, 케이스, 알림, 항목 요약 검색과 같은 기본적인 읽기 전용 작업을 지원합니다.

채팅 세션 관리 및 의견 제공하기

언제든지 채팅 세션을 삭제할 수 있으며 Gemini가 생성하는 대답을 평가할 수 있습니다.

채팅 세션 삭제

채팅 대화 세션을 삭제하거나 모든 채팅 세션을 삭제할 수 있습니다. Gemini는 모든 사용자 대화 기록을 비공개로 유지하고 Google Cloud의 책임감 있는 AI 개발 관행을 준수합니다. 사용자 기록은 모델을 학습시키는 데 사용되지 않습니다.

1. Gemini 창의 오른쪽 상단 메뉴에서 채팅 삭제를 선택합니다.
2. 오른쪽 하단의 채팅 삭제를 클릭하여 현재 채팅 세션을 삭제합니다.
3. 선택사항: 모든 채팅 세션을 삭제하려면 모든 채팅 세션 삭제를 선택한 후 모든 채팅 삭제를 클릭합니다.

의견 보내기

Gemini AI 조사 지원으로 생성된 응답에 의견을 제공할 수 있습니다. 의견은 Google에서 Gemini에서 생성한 기능과 출력을 개선하는 데 도움이 됩니다.

1. Gemini 창에서 thumb_up 좋아요 또는 thumb_down 싫어요를 클릭합니다.
2. 선택사항: thumb_down 싫어요를 클릭하고 의견을 제공합니다.
3. 의견 보내기를 클릭합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.