Contén las amenazas con el agente de respuesta de SecOps

Compatible con:

Google SecOps

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.
Si esta función no está visible en tu entorno, consulta Administra las funciones de versión preliminar o comunícate con el administrador del sistema.

Nota: Esta función se encuentra en versión preliminar privada y no está disponible para todos los clientes en todas las regiones. Las funciones de versión preliminar privada no se pueden administrar en la página Funciones de versión preliminar pública de la plataforma de Google SecOps.

Importante: Debes habilitar el agente de respuesta en la plataforma de Google Security Operations para poder comenzar a usarlo. Para obtener más información, consulta Configura el agente de respuesta.

En esta guía, se explica cómo puedes aprovechar el agente de respuesta potenciado por IA en Google SecOps para responder a las alertas de seguridad y corregirlas. Usa el agente de respuesta para lo siguiente:

• Genera automáticamente recomendaciones de respuesta inmediatas y adaptadas al contexto en función de los veredictos de la investigación.
• Ejecuta acciones de respuesta verificadas directamente desde la interfaz de investigación de agentes.
• Cierra la brecha entre la detección y la resolución de amenazas con controles de automatización por niveles.

Cuando usas el agente de respuesta, puedes reducir la sobrecarga de respuesta manual y eliminar los retrasos entre la identificación y la contención de amenazas. El uso exitoso del agente de respuesta genera una neutralización de amenazas predecible y con verificación de seguridad en los recursos críticos de la organización.

Terminología clave

• Agente de respuesta: Es el asistente potenciado por IA que sugiere o ejecuta acciones de respuesta para neutralizar una amenaza detectada.
• Contención: Acciones inmediatas a corto plazo que se toman para detener la propagación de una amenaza (por ejemplo, aislar un host o bloquear una dirección IP).
• Corrección: Acciones a largo plazo destinadas a quitar una amenaza por completo y aplicar parches para vulnerabilidades (con la tecnología de herramientas externas como Wiz).
• Aprobación manual: Es un nivel con intervención humana en el que el agente presenta las acciones previstas como recomendaciones para tu aprobación.
• Ejecución autónoma: Es un nivel en el que el agente ejecuta acciones automáticamente según los umbrales de riesgo predefinidos (riesgo bajo, riesgo medio, riesgo alto).

Uso de cuota durante la versión preliminar privada

• Agente de respuesta: Durante la fase de versión preliminar privada, la generación de planes de respuesta con el agente de respuesta no consume tu cuota de IA.
• Uso de integraciones: Cuando ejecutas acciones de respuesta y contención a través de integraciones instaladas en el agente de respuesta, se aplica el uso estándar de la integración.

Antes de comenzar

Asegúrate de tener o hacer lo siguiente:

• Permisos: Otorga a los usuarios los roles y permisos necesarios para ver, generar y ejecutar planes de respuesta. Configurar los parámetros de los agentes y administrar las exclusiones en * Configuración > Investigación > Investigaciones de Gemini.** requiere permisos de administrador.

• Rutas de ejecución: Verifica que tu ruta de ejecución preferida esté configurada:

  • Ruta del agente de clasificación (TIN): Requiere que la opción Investigación automática de alertas en Gemini esté habilitada en Configuración > Investigación > Investigaciones de Gemini > Agente de clasificación. Los planes de respuesta se generan automáticamente para las alertas evaluadas como verdaderos positivos.
  • Ruta de acceso de las guías: Requiere una investigación existente del agente de clasificación de la alerta. Puedes arrastrar el paso Agente de respuesta a una guía para ejecutarlo de forma dinámica junto con los pasos deterministas cuando se activa una alerta. El paso crea su plan de respuesta a partir de la investigación del agente de clasificación, por lo que debes asegurarte de que el agente de clasificación haya investigado la alerta antes de que se ejecute el paso. Si no existe ninguna investigación para la alerta, el paso falla con un error que indica que no se encontró el informe de investigación de la alerta.
  Nota: Cuando uses la ruta de guías, se recomienda asegurarse de que los pasos de enriquecimiento pertinentes (como las búsquedas de GTI o Active Directory) se hayan completado antes de que se ejecute el agente de respuesta, lo que garantiza que tenga suficiente contexto para crear un plan válido.

• Verificación del entorno: Asegúrate de que tus herramientas de respuesta y de extremos (como EDR, firewalls o proveedores de identidad) estén instaladas y activas como integraciones en tu entorno de Google SecOps en Herramientas disponibles.

Roles y permisos requeridos

Antes de cargar planes de respuesta en casos y alertas, la consola de Google SecOps verifica si el usuario que accedió tiene el permiso de Identity and Access Management (IAM) chronicle.remediationPlans.get. Si falta este permiso, la consola mostrará un mensaje de error en lugar del plan de respuesta.

Para ver, generar o ejecutar planes de respuesta, los usuarios necesitan los siguientes permisos de IAM de chronicle.remediation*, además de los permisos estándar de administración de casos.

Permisos de solo lectura

Otorga estos tres permisos a los analistas y visualizadores que necesiten ver los planes de respuesta, las acciones recomendadas y los resultados de la ejecución de acciones en casos y alertas:

Permisos de IAM	Métodos de la API	Descripción
chronicle.remediationPlans.get	remediationPlans.get remediationPlans.list	Consulta los planes de respuesta, los resúmenes de los planes, el razonamiento y el estado de los casos y las alertas.
chronicle.remediationActions.get	remediationActions.get remediationActions.list	Consulta las acciones de respuesta recomendadas y manuales, los parámetros y las entidades de destino dentro de un plan de respuesta.
chronicle.remediationActionExecutions.get	remediationActionExecutions.get remediationActionExecutions.list	Consulta el historial de ejecución, el estado de ejecución y los resultados de salida de las acciones de respuesta.

Permisos de lectura y escritura

Otorga los cinco permisos a los encargados de responder y a los ingenieros del SOC que necesiten ver los planes de respuesta, generar planes nuevos, personalizar acciones o parámetros antes de la ejecución y ejecutar planes de respuesta:

Permisos de IAM	Métodos de la API	Descripción
chronicle.remediationPlans.get	remediationPlans.get remediationPlans.list	Consulta los planes de respuesta, los resúmenes de los planes, el razonamiento y el estado de los casos y las alertas.
chronicle.remediationActions.get	remediationActions.get remediationActions.list	Consulta las acciones de respuesta recomendadas y manuales, los parámetros y las entidades de destino dentro de un plan de respuesta.
chronicle.remediationActionExecutions.get	remediationActionExecutions.get remediationActionExecutions.list	Consulta el historial de ejecución, el estado de ejecución y los resultados de salida de las acciones de respuesta.
chronicle.remediationPlans.create	remediationPlans.generate	Activa el agente de respuesta para generar un nuevo plan de respuesta.
chronicle.remediationPlans.execute	remediationPlans.execute	Aprobar y ejecutar un plan de respuesta, lo que incluye agregar acciones manuales, modificar parámetros de acciones o omitir acciones en el momento de la ejecución

Roles predefinidos y personalizados

El rol predefinido Visualizador de la API de Chronicle (roles/chronicle.viewer) ya incluye los tres permisos de solo lectura, y los roles predefinidos Editor de la API de Chronicle (roles/chronicle.editor) y Administrador de la API de Chronicle (roles/chronicle.admin) ya incluyen los cinco permisos de lectura y escritura. Como alternativa a la modificación de roles personalizados, puedes otorgar a los usuarios roles/chronicle.viewer o roles/chronicle.editor.

Si tu organización usa roles de IAM personalizados (como los roles de SOAR_Custom_* creados durante la migración de permisos de SOAR) o roles predefinidos que no incluyen estos permisos (como roles/chronicle.soarAdmin o roles/chronicle.limitedViewer), agrega los permisos a tus roles personalizados con Google Cloud CLI o Terraform.

Nota: Durante la vista previa privada, es posible que los permisos de chronicle.remediation* no aparezcan en los resultados de la búsqueda del selector de roles personalizados de la consola de Google Cloud , y gcloud CLI podría mostrar un aviso de etapa de TESTING. Tanto gcloud CLI como Terraform aceptan estos permisos.

Agrega permisos con gcloud CLI

Usa gcloud iam roles update con --add-permissions para agregar los permisos a un rol personalizado existente a nivel de proyecto o de organización sin reemplazar sus permisos actuales.

• Rol personalizado a nivel de proyecto:

  # Read-only access (3 permissions)
  gcloud iam roles update ROLE_ID \
      --project=PROJECT_ID \
      --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get
  
  # Read-write access (5 permissions)
  gcloud iam roles update ROLE_ID \
      --project=PROJECT_ID \
      --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get,chronicle.remediationPlans.create,chronicle.remediationPlans.execute
  

• Rol personalizado a nivel de la organización:

  # Read-only access (3 permissions)
  gcloud iam roles update ROLE_ID \
      --organization=ORGANIZATION_ID \
      --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get
  
  # Read-write access (5 permissions)
  gcloud iam roles update ROLE_ID \
      --organization=ORGANIZATION_ID \
      --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get,chronicle.remediationPlans.create,chronicle.remediationPlans.execute
  

Reemplaza lo siguiente:

• ROLE_ID: Es el ID de tu rol personalizado (por ejemplo, SOAR_Custom_Analyst), sin el prefijo projects/.../roles/ ni organizations/.../roles/.
• PROJECT_ID: Es el ID de tu proyecto de Google Cloud vinculado a Google SecOps.
• ORGANIZATION_ID: Es el ID numérico de la organización de Google Cloud.

Agrega permisos con Terraform

Si administras roles personalizados con Terraform, agrega los tres permisos de solo lectura o los cinco permisos de lectura y escritura de chronicle.remediation* a la lista permissions de tu recurso google_project_iam_custom_role o google_organization_iam_custom_role.

Precaución: Si tus roles personalizados se generaron con las secuencias de comandos de Migración de permisos de SOAR a IAM o se administran en Terraform, actualiza las definiciones de roles almacenadas para incluir estos permisos. Si vuelves a aplicar una definición de rol generada más antigua, se reemplaza el rol personalizado y se quitan los permisos agregados de forma manual con gcloud CLI.

Verifica los permisos

1. Ejecuta gcloud iam roles describe para confirmar que includedPermissions enumera los permisos de chronicle.remediation* en tu rol personalizado:

   # Project-level custom role
   gcloud iam roles describe ROLE_ID --project=PROJECT_ID
   
   # Organization-level custom role
   gcloud iam roles describe ROLE_ID --organization=ORGANIZATION_ID
   

2. Opcional: Usa el Solucionador de problemas de políticas para verificar que el usuario o la principal del grupo de personal tenga chronicle.remediationPlans.get en el proyecto vinculado a Google SecOps.

3. Espera unos minutos para que se propaguen los cambios de IAM, vuelve a cargar la consola de Google SecOps y abre un caso o una alerta con un plan de respuesta.

Cómo funciona el agente de respuesta

El agente de respuesta funciona como el componente de respuesta activo del ecosistema de SOC basado en agentes. Procesa el contexto enriquecido y los veredictos de las alertas para sintetizar planes de respuesta con verificación de seguridad. En las siguientes secciones, se explica la lógica de autonomía subyacente, las etapas de activación y el flujo de trabajo de respuesta.

Lógica de autonomía y riesgo por niveles

Para garantizar la seguridad, el agente evalúa las acciones de respuesta en función de un parámetro de configuración de nivel de ejecución autónoma (aprobación manual, riesgo bajo, riesgo medio y riesgo alto).

Mecanismo de evaluación de riesgos

Los niveles de riesgo se calculan evaluando el impacto operativo, la reversibilidad y el alcance de la acción propuesta en sí (por ejemplo, restablecer una contraseña en comparación con borrar un dispositivo).

Modos de ejecución globales

Puedes configurar el agente para que se ejecute en los siguientes modos globales según tu tolerancia al riesgo:

• Aprobación manual: Las acciones requieren aprobación explícita antes de la ejecución. Esta es la configuración predeterminada.
• Ejecución autónoma: Las acciones que se encuentran en el umbral de riesgo seleccionado o por debajo de él se ejecutan automáticamente. Puedes establecer el umbral en Riesgo bajo, Riesgo medio o Riesgo alto. Por ejemplo, si se selecciona Riesgo medio, el agente ejecutará todas las acciones de riesgo bajo y medio automáticamente sin pedir aprobación. Las acciones de alto riesgo requerirán aprobación manual de forma predeterminada.

Anulaciones por herramienta

Además, puedes configurar anulaciones detalladas en Herramientas disponibles, ya sea a nivel de integración o a nivel de acción:

• Autónomo: Siempre se ejecuta de forma automática, independientemente del parámetro de configuración de riesgo global.
• Predeterminado: Hereda el comportamiento de ejecución del nivel de ejecución autónomo global.
• Aprobación manual: Siempre requiere la aprobación humana, independientemente de la configuración de riesgo global.

Etapa 1: Creación del plan de respuesta

1. Sintetizar el contexto: El agente revisa el veredicto del caso, las entidades enriquecidas y el contexto del entorno para formar una lista de acciones recomendadas concretas adaptadas a la situación específica.
2. Generación de código y secuencias de comandos con IA: Si la generación de código y secuencias de comandos con IA está habilitada (está inhabilitada de forma predeterminada) y no existe una acción de respuesta recomendada en tus integraciones actuales, Gemini puede escribir de forma dinámica código personalizado para ejecutar las acciones faltantes.

Etapa 2: Visualización y ejecución del plan

1. Accede a los casos: Ve a Casos y selecciona un caso etiquetado con Gemini.
2. Revisa el plan: Revisa el plan de respuesta a nivel del caso o de la alerta:
   • Agregación a nivel de caso: En la pestaña Descripción general, revisa el widget Resumen del caso para ver las recomendaciones agregadas.
   • Detalles a nivel de la alerta: Haz clic en la pestaña Alertas y detecciones. Selecciona una alerta, haz clic en Ver el plan de investigación y respuesta y, luego, en Ver el plan de respuesta para abrir el panel de respuesta.
3. Revisa las acciones: Inspecciona las acciones recomendadas, los parámetros de la entidad de destino y los niveles de riesgo de ejecución.
4. Modificar el plan: Selecciona o borra acciones individuales, edita los parámetros de destino o agrega pasos de respuesta manuales (como bloquear una dirección IP) como comentarios directos para los planes incompletos.
5. Ejecutar: Haz clic en Ejecutar acciones para ejecutar el plan seleccionado.
6. Registro de auditoría: Las acciones ejecutadas muestran estados de éxito o falla individuales directamente en el flujo de trabajo.

Etapa 3: Integración de Wiz (respuestas de la nube)

Si bien el agente de respuesta de SecOps se enfoca principalmente en las acciones de contención inmediatas dentro de tu entorno, la integración con Wiz proporciona una defensa estratégica a largo plazo. Te ayuda a corregir por completo las vulnerabilidades de la nube identificadas y a proteger tu postura para evitar ataques futuros.

El agente de respuesta extrae datos de riesgo críticos directamente de Wiz para ayudar a resolver los riesgos de la infraestructura de nube:

• Riesgos relacionados: Muestra problemas de riesgo críticos relacionados con Wiz adjuntos a las entidades de nube involucradas en el caso.
• Próximos pasos: Para conocer las acciones y los pasos de respuesta detallados, haz clic en Ver problema en Wiz para vincular directamente a la plataforma de Wiz y completar de forma segura la solución dentro del entorno de Wiz.

Configura el agente de respuesta

1. Accede a la configuración: Ve a Configuración > Investigación > Investigaciones de Gemini > Contexto y respuesta.
2. Habilita o inhabilita: En la sección Contexto y respuesta, cambia Agente de respuesta a Habilitado o Inhabilitado.
3. Establece el nivel de ejecución autónoma: Selecciona el nivel de riesgo máximo permitido para ejecutar automáticamente (Aprobación manual, Riesgo bajo, Riesgo medio o Riesgo alto).
4. Configura la generación de código y secuencias de comandos con IA: De forma opcional, activa Generación de código y secuencias de comandos con IA en Habilitado (está inhabilitado de forma predeterminada) para permitir que Gemini escriba código dinámico para acciones no controladas.

5. Administra las anulaciones de herramientas (exclusiones): Opcional: En Herramientas disponibles, selecciona integraciones o acciones específicas para anular su modo de ejecución (Autónomo, Predeterminado o Aprobación manual). Así es como administras las exclusiones (desactivando o restringiendo integraciones o acciones específicas).

   Nota: La configuración de la instancia de integración se comparte con el agente de contexto de terceros (CONA). Para obtener más información sobre cómo configurar instancias, consulta Investiga alertas con el agente de contexto de terceros.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.