Contenere le minacce con l'agente di risposta SecOps

Supportato in:

Questa guida spiega come puoi sfruttare l'agente di risposta basato sull'AI in Google SecOps per rispondere agli avvisi di sicurezza e risolverli. Utilizza l'agente di risposta per:

  • Genera automaticamente consigli di risposta immediati e sensibili al contesto in base ai verdetti dell'indagine.
  • Esegui azioni di risposta verificate direttamente dall'interfaccia di indagine agentica.
  • Colma il divario tra il rilevamento e la risoluzione delle minacce con controlli di automazione a più livelli.

Quando utilizzi l'agente di risposta, puoi ridurre il sovraccarico di risposta manuale ed eliminare i ritardi tra l'identificazione e il contenimento delle minacce. L'utilizzo efficace dell'agente di risposta porta alla neutralizzazione prevedibile e controllata delle minacce negli asset organizzativi critici.

Terminologia chiave

  • Response Agent:l'assistente basato sull'AI che suggerisce o esegue azioni di risposta per neutralizzare una minaccia rilevata.
  • Contenimento:azioni immediate a breve termine intraprese per arrestare la diffusione di una minaccia (ad esempio, isolare un host o bloccare un indirizzo IP).
  • Correzione:azioni a lungo termine volte a rimuovere completamente una minaccia e a correggere le vulnerabilità (in combinazione con strumenti esterni come Wiz).
  • Approvazione manuale:un livello human-in-the-loop in cui l'agente presenta le azioni previste come consigli per la tua approvazione.
  • Esecuzione autonoma: un livello in cui l'agente esegue azioni automaticamente in base a soglie di rischio predefinite (rischio basso, rischio medio, rischio alto).

Utilizzo della quota durante l'anteprima privata

  • Agente di risposta:durante la fase di anteprima privata, la generazione di piani di risposta con l'agente di risposta non consuma la quota di AI.
  • Utilizzo delle integrazioni:quando esegui azioni di risposta e contenimento tramite le integrazioni installate nell'agente di risposta, si applica l'utilizzo standard dell'integrazione.

Prima di iniziare

Assicurati di disporre di quanto segue:

  • Autorizzazioni:la configurazione delle impostazioni dell'agente e la gestione delle esclusioni richiedono autorizzazioni di amministratore, gestite in Impostazioni SIEM > Gemini Investigations. La revisione degli avvisi e l'esecuzione dei piani vengono eseguite dagli analisti della sicurezza. Per modificare queste impostazioni potrebbero essere necessari ruoli IAM (Identity and Access Management) specifici.

  • Percorsi di esecuzione:verifica che il percorso di esecuzione preferito sia configurato:

    • Percorso dell'agente di triage (TIN): richiede l'attivazione di Esamina automaticamente gli avvisi in Gemini in Impostazioni SIEM > Indagini di Gemini > Agente di triage. I piani di risposta vengono generati automaticamente per gli avvisi valutati come veri positivi.
    • Percorso dei playbook:non richiede il TIN. Puoi trascinare il passaggio Agente di risposta in un playbook per eseguirlo in modo dinamico insieme ai passaggi deterministici quando viene attivato un avviso.

  • Controllo dell'ambiente:assicurati che gli strumenti di risposta e endpoint (ad esempio EDR, firewall o Identity Provider) siano installati e attivi come integrazioni nel tuo ambiente Google SecOps in Strumenti disponibili.

Come funziona l'agente di risposta

L'agente di risposta funziona come componente di risposta attivo dell'ecosistema SOC agentico. Elabora il contesto arricchito e i risultati degli avvisi per sintetizzare piani di risposta controllati per la sicurezza. Le sezioni seguenti spiegano la logica di autonomia sottostante, le fasi di attivazione e il flusso di lavoro di risposta.

Logica di autonomia e rischio a più livelli

Per garantire la sicurezza, l'agente valuta le azioni di risposta in base a un'impostazione del livello di esecuzione autonomo (approvazione manuale, rischio basso, rischio medio, rischio alto).

Meccanismo di valutazione del rischio

I livelli di rischio vengono calcolati valutando l'impatto operativo, la reversibilità e l'ambito dell'azione proposta (ad esempio, reimpostazione di una password rispetto alla cancellazione dei dati di un dispositivo).

Modalità di esecuzione globali

Puoi configurare l'agente in modo che venga eseguito nelle seguenti modalità globali in base alla tua tolleranza al rischio:

  • Approvazione manuale:le azioni richiedono un'approvazione esplicita prima dell'esecuzione. Questa è l'impostazione predefinita.
  • Esecuzione autonoma:le azioni al di sotto o al livello della soglia di rischio selezionata vengono eseguite automaticamente. Puoi impostare la soglia su Rischio basso, Rischio medio o Rischio alto. Ad esempio, se viene selezionato Rischio medio, l'agente eseguirà automaticamente tutte le azioni a basso e medio rischio senza chiedere l'approvazione. Per impostazione predefinita, le azioni ad alto rischio richiederanno l'approvazione manuale.

Override per strumento

Inoltre, puoi configurare override granulari in Strumenti disponibili, a livello di integrazione o a livello di azione:

  • Autonomo:viene eseguito sempre automaticamente indipendentemente dall'impostazione del rischio globale.
  • Predefinito:eredita il comportamento di esecuzione dal livello di esecuzione autonomo globale.
  • Approvazione manuale:richiede sempre l'approvazione umana indipendentemente dall'impostazione del rischio globale.

Fase 1: creazione del piano di risposta

  1. Sintetizza il contesto:l'agente esamina il verdetto della richiesta, le entità arricchite e il contesto ambientale per formare un elenco di azioni concrete consigliate su misura per lo scenario specifico.
  2. Generazione di script e codice AI:se l'opzione Generazione di script e codice AI è attivata (disattivata per impostazione predefinita) e non esiste un'azione di risposta consigliata nelle integrazioni attuali, Gemini può scrivere dinamicamente codice personalizzato per eseguire le azioni mancanti.

Fase 2: visualizzazione ed esecuzione del piano

  1. Accedere ai casi:vai a Casi e seleziona un caso taggato con Gemini.
  2. Esamina il piano:esamina il piano di risposta a livello di richiesta o di avviso:
    • Aggregazione a livello di richiesta:nella scheda Panoramica, esamina il widget Riepilogo richiesta per i consigli aggregati.
    • Dettagli a livello di avviso:fai clic sulla scheda Avvisi e rilevamenti. Seleziona un avviso, fai clic su Visualizza piano di indagine e risposta, quindi fai clic su Visualizza piano di risposta per aprire il riquadro di risposta.
  3. Esamina le azioni: esamina le azioni consigliate, i parametri dell'entità target e i livelli di rischio di esecuzione.
  4. Modifica piano:seleziona o deseleziona singole azioni, modifica i parametri di destinazione o aggiungi passaggi di risposta manuali (ad esempio il blocco di un indirizzo IP) come feedback diretto per i piani incompleti.
  5. Esegui:fai clic su Esegui azioni per eseguire il piano selezionato.
  6. Traccia di audit: le azioni eseguite mostrano i singoli stati di esito positivo o negativo direttamente all'interno del workflow.

Fase 3: integrazione di Wiz (risposte cloud)

Mentre l'agente di risposta SecOps si concentra principalmente sulle azioni di contenimento immediate all'interno del tuo ambiente, l'integrazione con Wiz fornisce una difesa strategica a lungo termine. Ti aiuta a correggere completamente le vulnerabilità del cloud identificate e a proteggere la tua postura per prevenire attacchi futuri.

L'agente di risposta estrae i dati critici sui rischi direttamente da Wiz per contribuire a risolvere i rischi dell'infrastruttura cloud:

  • Rischi correlati:mostra i problemi critici relativi ai rischi di Wiz associati alle entità cloud coinvolte nel caso.
  • Passaggi successivi:per azioni e passaggi di risposta dettagliati, fai clic su Visualizza problema in Wiz per collegarti direttamente alla piattaforma Wiz e completare in modo sicuro la correzione all'interno dell'ambiente Wiz.

Configura l'agente di risposta

  1. Accedi alle impostazioni: vai a Impostazioni SIEM > Gemini Investigations > Contesto e risposta.
  2. Attivare o disattivare: nella sezione Contesto e risposta, imposta l'opzione Agente di risposta su Attivato o Disattivato.
  3. Imposta il livello di esecuzione autonoma:seleziona il livello di rischio massimo consentito per l'esecuzione automatica (Approvazione manuale, Rischio basso, Rischio medio o Rischio elevato).
  4. Configura la generazione di script e codice AI: (facoltativo) attiva/disattiva Generazione di script e codice AI su Attivato (disattivato per impostazione predefinita) per consentire a Gemini di scrivere codice dinamico per le azioni non gestite.

  5. Gestisci override degli strumenti (esclusioni): (facoltativo) in Strumenti disponibili, seleziona integrazioni o azioni specifiche per eseguire l'override della modalità di esecuzione (Autonoma, Predefinita o Approvazione manuale). In questo modo puoi gestire le esclusioni (disattivando o limitando integrazioni o azioni specifiche).

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.