Visão geral do SecOps Chat

Compatível com:

Google SecOps SIEM SOAR

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

Este guia explica como navegar e usar o SecOps Chat, o assistente de conversação do Gemini no Google Security Operations. Continue lendo para saber como usar o SecOps Chat para responder a perguntas sobre a documentação do produto, gerar consultas de pesquisa e regras de detecção do YARA-L, pesquisar inteligência contra ameaças, investigar casos e alertas e realizar outras tarefas operacionais.

Navegar pela interface do SecOps Chat

Abra o painel do SecOps Chat em qualquer página do Google SecOps clicando em na barra de navegação superior.

Dependendo da tela do Google SecOps em que você está, o painel do SecOps Chat oferece uma lista contextual de comandos sugeridos para ajudar você a começar.

Clique em na parte de cima do painel de conversa do SecOps para iniciar e excluir sessões de chat e conferir seu histórico de conversas. O chat é compatível com interações multiturno. O assistente retém parâmetros e contexto em todas as conversas, para que você possa refinar uma pergunta em vez de repeti-la.

Nesse menu, você também pode ativar ou desativar:

• Chat agêntico: se disponível na sua instância, ative essa opção para permitir que o SecOps Chat chame as ferramentas do Google SecOps em seu nome para responder a perguntas operacionais. Para ver o que o chat de SecOps pode fazer no seu ambiente, insira um comando como: What are the capabilities of SecOps Chat?.
• Mostrar o raciocínio do agente: ative essa opção para exibir um indicador de raciocínio que mostra as etapas e as ferramentas que o modelo invoca em segundo plano para responder à sua pergunta.

Gerar consultas de pesquisa YARA-L

Use linguagem natural para gerar uma consulta de pesquisa YARA-L 2.0 que pode ser usada para pesquisar eventos específicos no Google SecOps SIEM.

Teste os seguintes exemplos de comandos de pesquisa e perguntas complementares no painel de conversa do SecOps:

• Show me all failed logins for the last 3 days
  • Generate a rule to help detect that behavior in the future
• Show me events associated with the principal user random.user
  • Who is this user?
• Search for all of the events associated with the IP 198.51.100.121 in the last 3 hours
  • List all of the domains in the results set
  • What types of events were returned?
• Show me events from my firewall in the last 24 hours
  • What were the 16 unique hostnames in the results set?
  • Narrow the query to only return results for failed attempts
  • Change the time range to the last 7 days

Revise a consulta de pesquisa gerada. A consulta de pesquisa usa a sintaxe YARA-L 2.0. Se a consulta de pesquisa gerada atender aos seus requisitos, clique em Executar pesquisa. Caso contrário, clique em Editar na página de pesquisa para modificar a consulta.

Depois de executar a consulta de pesquisa, o Gemini produz um resumo dos resultados com ações sugeridas.

Gerar regras da YARA-L

É possível usar um comando em linguagem natural para gerar uma regra de detecção da YARA-L 2.0 e, em seguida, abrir, editar e ativar a regra no Editor de Regras. Só é possível criar regras de evento único usando esse recurso.

Por exemplo, para gerar uma regra que detecte respostas de DNS truncadas, insira o seguinte comando no painel de conversa do SecOps: Create a rule to count how many DNS responses were truncated per principal asset host. e pressione Enter. O Gemini gera uma regra para detectar o comportamento que você pesquisou.

Clique em Abrir no editor de regras para ver e modificar a nova regra no Editor de Regras.

Por exemplo, usando o comando de regra anterior, o Gemini pode gerar a seguinte regra:

rule gemini_rule {
  meta:
    author = "Gemini in Google SecOps"
    description = "Prompt: Create a rule to count how many DNS responses were truncated per principal asset host."
  events:
    $e.metadata.event_type = "NETWORK_DNS"
    $e.network.dns.response = true
    $e.network.dns.truncated = true
    $ph_principal_asset_hostname = $e.principal.asset.hostname
  match:
    $ph_principal_asset_hostname over 1h
  outcome:
    $event_count = count($e.metadata.id)
  condition:
    $e
}

Para ativar a regra, clique em Salvar nova regra. A regra aparece na lista de regras à esquerda. Mantenha o ponteiro sobre a regra, clique no ícone de menu e ative a opção Regra ativa à direita (verde). Para mais informações, consulte Gerenciar regras usando o Editor de regras.

Fazer perguntas sobre inteligência contra ameaças

O Gemini pode responder a perguntas relacionadas à inteligência contra ameaças sobre tópicos como agentes de ameaças, suas associações e seus padrões de comportamento, incluindo perguntas sobre TTPs MITRE.

As respostas que se baseiam na inteligência contra ameaças no seu ambiente, como correspondências de indicadores de comprometimento (IoC) da inteligência aplicada contra ameaças, dependem do seu pacote do Google SecOps. Os dados que o SecOps Chat pode acessar também dependem dos seus papéis do IAM e dos escopos de acesso aos dados.

Teste os seguintes exemplos de comandos de inteligência contra ameaças no painel de conversa do SecOps:

• How does APT44 operate?
• Are there any known attacker tools that use RDP to brute force logins?
• Is 103.224.80.44 suspicious?
• What types of attacks may be associated with CVE-2020-14145?
• Which MITRE ATT&CK techniques involve exploiting buffer overflows?
• What is UNC3782?

Analise os resultados e, em seguida, investigue mais a fundo pedindo ao Gemini para criar consultas que procurem indicadores de comprometimento (IOCs) específicos mencionados nos relatórios de inteligência contra ameaças. As informações de inteligência contra ameaças estão sujeitas aos direitos disponíveis na sua licença do Google SecOps.

Na parte de baixo do painel do SecOps Chat, clique em Fontes e conteúdo relacionado. O Gemini fornece links para alguns dos artigos usados para gerar o resumo.

Observação: se o Gemini responder a um comando com um texto escrito por outra pessoa, a fonte original será citada na seção Fontes referenciadas do painel do SecOps Chat. Para mais informações, consulte Como e quando o Gemini cita fontes.

Gemini e MITRE

A matriz MITRE ATT&CK® é uma base de conhecimento que documenta as TTPs usadas por adversários cibernéticos reais. A matriz MITRE ajuda a entender como sua organização pode ser visada e oferece uma sintaxe padronizada para discutir ataques.

Você pode fazer perguntas ao Gemini sobre táticas, técnicas e procedimentos (TTPs) do MITRE e receber respostas contextualmente relevantes que incluem os seguintes detalhes do MITRE:

• Tática
• Técnica
• Subtécnica
• Sugestões de detecção
• Procedimentos
• Mitigações

O Gemini retorna um link para as detecções especializadas que o Google SecOps disponibiliza para cada TTP. Você também pode fazer perguntas complementares ao Gemini para receber mais insights sobre um TTP do MITRE e como ele pode afetar sua empresa.

Investigar casos e alertas

Você pode fazer perguntas ao Gemini sobre casos, alertas e manuais diretamente nas páginas de Gerenciamento de casos. Suas perguntas são contextualizadas, com base na página ou guia específica que você está visualizando, como a página Casos, a guia Alertas ou a guia Playbooks.

Em uma das páginas de Caso, abra o painel de conversa do SecOps. Insira um comando relacionado ao caso. A pergunta pode ser relacionada à guia atual:

• Visão geral do caso ou Mural do caso: pergunte sobre informações no nível do caso. Por exemplo, Give me the names of everyone who left comments on the Case Wall.
• Alertas: faça uma pergunta específica relacionada a esse alerta. Por exemplo, Can you summarize this alert?
• Playbooks de alertas: pergunte sobre o comportamento dos playbooks anexados. Por exemplo, Which playbooks are available for phishing alerts?

Analise os resultados retornados pelo Gemini e ajuste o comando, se necessário.

Também é possível resumir casos usando o widget de resumo de casos do Gemini.

Responder a perguntas sobre a documentação do Google SecOps

Insira um comando no painel do SecOps Chat para solicitar informações sobre qualquer aspecto de como usar o Google SecOps.

O SecOps Chat usa um processo de raciocínio em várias etapas que se baseia nas informações da documentação do Google SecOps para responder a perguntas complexas com links para páginas de documentação relacionadas.

Tente inserir estes exemplos de comandos no painel de conversa do SecOps:

• How do I configure the forwarder?
• How do I create a rule?
• How do I investigate user logins?

O SecOps Chat também usa o embasamento e as citações da Pesquisa Google para fornecer respostas detalhadas e de alta qualidade aos seus comandos. O embasamento vincula as respostas do modelo às informações encontradas na Internet para fornecer um contexto adicional e atualizado para investigações de segurança. As citações mostram as fontes de dados específicas que o Gemini usou para formular as respostas, o que melhora a explicabilidade e ajuda a verificar as informações.

Quando o Gemini usa a Pesquisa Google para embasar uma resposta, a interface da Web mostra os seguintes elementos:

• Ícone do Google: indica que o Gemini se conectou à Internet para buscar mais contexto para seu comando.
• Ícones de consulta de pesquisa: mostra as consultas de pesquisa exatas que o Gemini usou para recuperar mais contexto.
• Citações: fornece referências aos dados de embasamento específicos usados para gerar a resposta.

Analisar essas consultas de pesquisa e citações ajuda você a entender as etapas que o Gemini segue para pesquisar um comando e garante a transparência dos dados recuperados.

Outras tarefas

Como seu assistente de segurança central, o SecOps Chat usa ferramentas de back-end para realizar tarefas operacionais na plataforma Google SecOps.

Gerenciamento de casos e alertas

• Pesquisar e filtrar casos: liste todos os casos na sua instância do Google SecOps ou recupere detalhes abrangentes de um único caso.
• Investigar evidências de casos: listar comentários de casos, recuperar alertas de casos específicos, visualizar eventos de conector brutos e listar as entidades envolvidas em um alerta, como endereços IP e nomes de host.

Enriquecimento de entidades e alertas

• Resumir a atividade da entidade: pesquise e resuma o histórico de atividades de uma entidade no Google SecOps SIEM para um enriquecimento rápido.
• Identificar IoCs: recupere correspondências de indicadores de comprometimento (IoC) diretamente dos registros do Google SecOps SIEM.
• Buscar perfis de alerta: recupere um perfil de um alerta do SIEM que agrega dados de várias fontes.
• Descobrir ações de enriquecimento: recupere uma lista selecionada de ações de integração do SOAR que estão disponíveis para enriquecer um determinado alerta do SIEM.

Gerenciamento de dados e conteúdo do SIEM

• Gerenciar dados de registro: liste as tabelas de dados e os tipos de registro disponíveis no Google SecOps SIEM.
• Analisar analisadores: liste os analisadores de um tipo de registro ou busque os detalhes de configuração de um analisador específico.
• Monitorar regras de detecção: confira as regras de detecção configuradas e liste erros de execução de regras específicas para ajudar na solução de problemas.
• Acessar listas de referência: recupere os detalhes e o conteúdo de uma lista de referência específica pelo nome.

Orquestração e automação

• Monitorar integrações: listar as integrações do SOAR configuradas e visualizar as instâncias configuradas.
• Analisar ações de integração: confira quais ações automatizadas estão disponíveis para uma integração do SOAR.
• Ver playbooks: liste os playbooks automatizados que estão configurados no seu ambiente.

Investigações automatizadas

• Analisar a saída da triagem: recupere a investigação de triagem automatizada mais recente para um ID de alerta.
• Buscar relatórios completos: recupere um relatório de investigação completo gerado pelo agente pelo ID.
• Verificar configurações: revise as definições de configuração do agente de investigação.

Ferramentas do MCP compatíveis e exemplos de comandos

A tabela a seguir lista as ferramentas do MCP que o SecOps Chat pode chamar, com um comando de exemplo para cada ferramenta.

Ferramenta	Exemplo de comando
list_cases	List all open critical cases
get_case	Show case details for ID 12345
get_case_alert	Show details for alert ID 67890 in case ID 12345
list_case_comments	Get comments for case ID 12345
list_case_alerts	Retrieve all alerts associated with case ID 12345
list_connector_events	Get the connector events for alert ID 67890 in case ID 12345
list_involved_entities	Show all entities involved in alert ID 67890 in case ID 12345
summarize_entity	Summarize the history of host workstation-9
get_ioc_match	Show IoC matches in my environment from the last 24 hours
fetch_alert_data	Fetch the SIEM alert profile for alert ID 67890
fetch_enrichment_actions	What SOAR integration actions are available for alert ID 67890?
list_data_tables	List all SIEM data tables
list_log_types	List available log types
list_parsers	Show parsers configured for log type GCP_CLOUDAUDIT
get_parser	Show parser details for parser ID pa_12345678-1234-1234-1234-123456789012 and log type GCP_CLOUDAUDIT
list_rules	List all security detection rules
list_rule_errors	Show execution errors for rule ID ru_12345678-1234-1234-1234-1234567890ab
get_reference_list	Get details for the admin_ips reference list
list_integrations	List all configured SOAR integrations
list_integration_instances	Show configured instances for VirusTotal
list_integration_actions	List available actions for VirusTotal
list_playbooks	List all automated SOAR playbooks
get_alert_latest_investigation	Retrieve the latest triage investigation for alert ID 67890
get_investigation_by_id	Get investigation report for ID rpt_98765
get_agent_settings	Show current settings for the investigation agent
ask_cloud_assist	How do I configure Cloud NAT logging in Google Cloud?

Permissões de RBAC e IAM necessárias para acessar o SecOps Chat e as Perguntas e Respostas do GCA

O SecOps Chat se conecta a dois servidores MCP gerenciados:

1. O servidor MCP do SecOps (chronicle.googleapis.com/mcp) para operações em tempo real de SIEM/SOAR e
2. O servidor MCP do Gemini Cloud Assist (GCA) (geminicloudassist.googleapis.com/mcp — ask_cloud_assist) para perguntas e respostas aprimoradas sobre "instruções" e consultas de documentação da plataforma.

Para garantir que os usuários e a P4SA do locatário possam acessar o SecOps Chat e todas as ferramentas do MCP sem erros 403 Permission Denied, verifique se os seguintes papéis e APIs do IAM estão configurados no projeto vinculado Google Cloud (BYOP) do locatário.

Papéis predefinidos recomendados do IAM (configuração rápida)

Recurso / funcionalidade	Papel predefinido do IAM obrigatório	Finalidade e observações
Ferramenta de perguntas e respostas "Instruções" do GCA (ask_cloud_assist)	roles/geminicloudassist.user (usuário do GCA)	Com a integração do P4SA ativa, não é necessário um papel do IAM do GCA para o usuário final. O Chat se autentica no GCA usando o P4SA do Chronicle do locatário (service-\<PROJECT_NUMBER>@gcp-sa-chronicle.iam.gserviceaccount.com). Somente o P4SA (ou o principal do usuário em ambientes pré-P4SA) precisa de roles/geminicloudassist.user.
Gerenciar conversas	roles/chronicle.editor (ou roles/chronicle.admin)	Necessária para criar, renomear e excluir conversas.
Invocação do gateway do MCP (todas as ferramentas)	roles/mcp.toolUser (usuário da ferramenta MCP)	Concede mcp.tools.call necessário para executar ferramentas remotas do MCP em endpoints de SecOps e GCA.
Faturamento pelo uso da ferramenta	roles/serviceusage.serviceUsageConsumer (Consumidor do Service Usage)	O chat cobra as chamadas de ferramenta do SecOps e do GCA do projeto do Google Cloud vinculado à sua instância do Google SecOps. Obrigatório com roles/mcp.toolUser.
Ferramentas de SIEM e geração de consultas YARA-L	roles/chronicle.admin (ou roles/chronicle.editor)	Obrigatório para ferramentas SIEM: geração de UDM/YARA-L, regras, erros de regras, analisadores, tipos de registro, tabelas de dados, listas de referência, resumos de entidades e IoCs. Algumas ferramentas de SIEM, como os analisadores, também exigem roles/chronicle.admin.
Casos, alertas e playbooks do SOAR	roles/chronicle.admin (ou roles/chronicle.editor)	Obrigatório para ferramentas SOAR: casos, alertas de casos, comentários de casos, eventos de conector, playbooks e integrações.
Google Cloud Contexto do recurso (opcional)	roles/cloudasset.viewer (Leitor de recursos do Cloud)	Papel complementar recomendado para o GCA, para que o assistente possa resolver metadados do recurso/projeto durante a solução de problemas.

Permissões de papel do IAM personalizadas / P4SA para GCA (ask_cloud_assist)

Com a integração do P4SA, os usuários finais não precisam de permissões do IAM do GCA, mesmo ao fazer login usando um IdP de terceiros / SAML / Okta. Em vez disso, o P4SA do Chronicle do locatário ([e-mail]) ou um papel personalizado (em ambientes pré-P4SA) usa as seguintes permissões no projeto Google Cloud vinculado:

• geminicloudassist.agents.invoke: exigido pela ferramenta ask_cloud_assist para invocar o agente do GCA.
• mcp.tools.call: exigido pelo gateway do Google Cloud MCP para executar chamadas de ferramentas em geminicloudassist.googleapis.com/mcp e chronicle.googleapis.com/mcp.
• serviceusage.services.use: obrigatório porque o Agentic Chat transmite o ID do projeto do locatário no cabeçalho de faturamento ou cota X-Goog-User-Project.
• cloudaicompanion.topics.create, cloudaicompanion.companions.generateChat e cloudaicompanion.instances.completeTask: necessários para inicializar e continuar os tópicos de conversa em várias interações do GCA.
• resourcemanager.projects.get, geminicloudassist.locations.get e geminicloudassist.locations.list: necessários para resolver o número do projeto de locatário e o Agent Endpoint global.

Mesmo que o locatário tenha permissões adicionais, esse substituto só se aplica ao GCA.

APIs do projeto Google Cloud obrigatórias

Verifique se as seguintes APIs do Google Cloud estão ativadas no projeto doGoogle Cloud vinculado ao locatário:

• chronicle.googleapis.com (API Chronicle)
• geminicloudassist.googleapis.com (API GCA)
• cloudaicompanion.googleapis.com (API Gemini para Google Cloud )
• cloudasset.googleapis.com (API Cloud Asset)

Autenticação para federação de identidade de colaboradores

A federação de identidade de colaboradores (WIF, na sigla em inglês) permite usar seu IdP externo para autenticar sua força de trabalho, ou seja, usuários e grupos de usuários, como funcionários, parceiros e prestadores de serviços. Os usuários podem acessar o Google Cloud usando o Logon único (SSO) pelo IdP sem sincronizar as contas com o Cloud Identity, ignorando a necessidade de Contas do Google.

Para usar o GCA, primeiro é preciso configurá-lo. Consulte o guia de configuração da WIF para mais detalhes.

Adicione permissões ao principalSet. Por exemplo, se você estiver usando um IdP de terceiros, use o seguinte comando para conceder permissões ao principalSet no projeto de locatário:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="principalSet://iam.googleapis.com/locations/global/workforcePools/WIF_POOL_ID/*" \
    --role="roles/geminicloudassist.user"

Proteções e segurança

Para ajudar a manter seu ambiente seguro, o SecOps Chat opera com as seguintes proteções:

• Ações somente leitura: o agente oferece suporte a ações somente leitura básicas, como gerar consultas de pesquisa, recuperar casos, alertas e resumos de entidades.

Gerenciar sessões de chat e enviar feedback

Você pode excluir suas sessões de chat a qualquer momento e avaliar as respostas geradas pelo Gemini.

Excluir uma sessão de chat

Você pode excluir uma sessão de conversa ou todas as sessões de chat. O Gemini mantém todos os históricos de conversas dos usuários em sigilo e segue as práticas de IA responsável do Google Cloud. O histórico do usuário nunca é usado para treinar modelos.

1. No painel do Gemini, selecione Excluir conversa no menu no canto superior direito.
2. Clique em Excluir chat no canto inferior direito para excluir a sessão de chat atual.
3. Opcional: para excluir todas as sessões de chat, selecione Excluir todas as sessões de chat e clique em Excluir todos os chats.

Enviar feedback

Você pode enviar feedback sobre as respostas geradas pela assistência de investigação da IA do Gemini. Seu feedback ajuda o Google a melhorar o recurso e a resposta gerada pelo Gemini.

1. No painel do Gemini, clique em thumb_up Gostei ou thumb_down Não gostei.
2. Opcional: clique em thumb_down Não gostei e envie feedback.
3. Clique em Enviar feedback.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.