Conter ameaças com o agente de resposta do SecOps

Compatível com:

Este guia explica como usar o Agente de Resposta com tecnologia de IA no Google SecOps para responder e corrigir alertas de segurança. Use o Agente de Resposta para:

  • Gere automaticamente recomendações de resposta imediatas e sensíveis ao contexto com base em vereditos de investigação.
  • Executar ações de resposta verificadas diretamente na interface de investigação agêntica.
  • Preencha a lacuna entre a detecção e a resolução de ameaças com controles de automação em camadas.

Ao usar o Agente de Resposta, é possível reduzir a sobrecarga de resposta manual e eliminar atrasos entre a identificação e a contenção de ameaças. O uso bem-sucedido do agente de resposta leva à neutralização previsível e verificada de ameaças em ativos organizacionais críticos.

Terminologia importante

  • Agente de resposta:o assistente com tecnologia de IA que sugere ou executa ações de resposta para neutralizar uma ameaça detectada.
  • Contenção:ações imediatas de curto prazo para impedir a disseminação de uma ameaça (por exemplo, isolar um host ou bloquear um endereço IP).
  • Correção: ações de longo prazo que visam remover completamente uma ameaça e corrigir vulnerabilidades (em conjunto com ferramentas externas, como o Wiz).
  • Aprovação manual: um nível human-in-the-loop em que o agente apresenta as ações pretendidas como recomendações para sua aprovação.
  • Execução autônoma: um nível em que o agente executa ações automaticamente com base em limites de risco predefinidos (baixo, médio e alto).

Uso de cotas durante o pré-lançamento particular

  • Agente de resposta:durante a fase de pré-lançamento particular, a geração de planos de resposta com o agente de resposta não consome sua cota de IA.
  • Uso de integrações:quando você executa ações de resposta e contenção com integrações instaladas no Agente de Resposta, o uso padrão da integração é aplicado.

Antes de começar

Verifique se você tem ou faz o seguinte:

  • Permissões: conceda aos usuários os papéis e as permissões necessários para visualizar, gerar e executar planos de resposta. Para configurar as definições do agente e gerenciar exclusões em * Configurações > Investigação > Investigações do Gemini.**, é preciso ter permissões de administrador.

  • Caminhos de execução:verifique se o caminho de execução preferencial está configurado:

    • Caminho do agente de triagem (TIN): requer que os Alertas da investigação automática no Gemini estejam ativados em Configurações > Investigação > Investigações do Gemini > Agente de triagem. Os planos de resposta são gerados automaticamente para alertas avaliados como verdadeiros positivos.
    • Caminho dos playbooks: requer uma investigação do alerta pelo Agente de Triagem. É possível arrastar a etapa Agente de Resposta para um playbook para executar dinamicamente junto com as etapas determinísticas quando um alerta é acionado. A etapa cria o plano de resposta com base na investigação do agente de triagem. Por isso, verifique se o agente de triagem investigou o alerta antes da execução da etapa. Se não houver uma investigação para o alerta, a etapa vai falhar com um estado de erro informando que o relatório de investigação do alerta não foi encontrado.

  • Verificação do ambiente: verifique se as ferramentas de resposta e endpoint (como EDRs, firewalls ou provedores de identidade) estão instaladas e ativas como integrações no ambiente do Google SecOps em Ferramentas disponíveis.

Papéis e permissões necessárias

Antes de carregar planos de resposta em casos e alertas, o console do Google SecOps verifica se o usuário conectado tem a permissão chronicle.remediationPlans.get do Identity and Access Management (IAM). Se essa permissão estiver ausente, o console vai exibir uma mensagem de erro em vez do plano de resposta.

Para visualizar, gerar ou executar planos de resposta, os usuários precisam das seguintes permissões do IAM do chronicle.remediation*, além das permissões padrão de gerenciamento de casos.

Permissões somente leitura

Conceda estas três permissões aos analistas e leitores que precisam visualizar planos de resposta, ações recomendadas e resultados de execução de ações em casos e alertas:

Permissão do IAM Métodos da API Descrição
chronicle.remediationPlans.get remediationPlans.get
remediationPlans.list		 Confira planos de resposta, resumos de planos, justificativas e status de casos e alertas.
chronicle.remediationActions.get remediationActions.get
remediationActions.list		 Veja ações de resposta recomendadas e manuais, parâmetros e entidades de destino em um plano de resposta.
chronicle.remediationActionExecutions.get remediationActionExecutions.get
remediationActionExecutions.list		 Confira o histórico de execução, o status de execução e os resultados de saída das ações de resposta.

Permissões de leitura e gravação

Conceda as cinco permissões aos responsáveis e engenheiros do SOC que precisam visualizar planos de resposta, gerar novos planos, personalizar ações ou parâmetros antes da execução e executar planos de resposta:

Permissão do IAM Métodos da API Descrição
chronicle.remediationPlans.get remediationPlans.get
remediationPlans.list		 Confira planos de resposta, resumos de planos, justificativas e status de casos e alertas.
chronicle.remediationActions.get remediationActions.get
remediationActions.list		 Veja ações de resposta recomendadas e manuais, parâmetros e entidades de destino em um plano de resposta.
chronicle.remediationActionExecutions.get remediationActionExecutions.get
remediationActionExecutions.list		 Confira o histórico de execução, o status de execução e os resultados de saída das ações de resposta.
chronicle.remediationPlans.create remediationPlans.generate Acionar o agente de resposta para gerar um novo plano de resposta.
chronicle.remediationPlans.execute remediationPlans.execute Aprovar e executar um plano de resposta, incluindo adicionar ações manuais, modificar parâmetros de ação ou pular ações no momento da execução.

Papéis predefinidos e personalizados

O papel predefinido de Leitor da API Chronicle (roles/chronicle.viewer) já inclui as três permissões de leitura, e os papéis predefinidos de Editor da API Chronicle (roles/chronicle.editor) e Administrador da API Chronicle (roles/chronicle.admin) já incluem as cinco permissões de leitura e gravação. Como alternativa à modificação de papéis personalizados, é possível conceder aos usuários roles/chronicle.viewer ou roles/chronicle.editor.

Se a organização usa papéis personalizados do IAM (como os papéis SOAR_Custom_* criados durante a migração de permissões do SOAR) ou papéis predefinidos que não incluem essas permissões (como roles/chronicle.soarAdmin ou roles/chronicle.limitedViewer), adicione as permissões aos papéis personalizados usando a Google Cloud CLI ou o Terraform.

Adicionar permissões usando a CLI gcloud

Use gcloud iam roles update com --add-permissions para anexar as permissões a um papel personalizado no nível do projeto ou da organização sem substituir as permissões atuais.

  • Papel personalizado para envolvidos no projeto:

    # Read-only access (3 permissions)
gcloud iam roles update ROLE_ID \
    --project=PROJECT_ID \
    --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get

# Read-write access (5 permissions)
gcloud iam roles update ROLE_ID \
    --project=PROJECT_ID \
    --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get,chronicle.remediationPlans.create,chronicle.remediationPlans.execute

  • Papel personalizado no nível da organização:

    # Read-only access (3 permissions)
gcloud iam roles update ROLE_ID \
    --organization=ORGANIZATION_ID \
    --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get

# Read-write access (5 permissions)
gcloud iam roles update ROLE_ID \
    --organization=ORGANIZATION_ID \
    --add-permissions=chronicle.remediationPlans.get,chronicle.remediationActions.get,chronicle.remediationActionExecutions.get,chronicle.remediationPlans.create,chronicle.remediationPlans.execute

Substitua:

  • ROLE_ID: o ID do papel personalizado (por exemplo, SOAR_Custom_Analyst), sem o prefixo projects/.../roles/ ou organizations/.../roles/.
  • PROJECT_ID: o ID do seu projeto do Google SecOps vinculado ao Google Cloud .
  • ORGANIZATION_ID: o ID da organização numérico do Google Cloud.

Adicionar permissões usando o Terraform

Se você gerencia papéis personalizados com o Terraform, adicione as três permissões de somente leitura ou as cinco permissões de leitura e gravação do chronicle.remediation* à lista permissions do recurso google_project_iam_custom_role ou google_organization_iam_custom_role.

Verifique as permissões

  1. Execute gcloud iam roles describe para confirmar que includedPermissions lista as permissões chronicle.remediation* no papel personalizado:

    # Project-level custom role
gcloud iam roles describe ROLE_ID --project=PROJECT_ID

# Organization-level custom role
gcloud iam roles describe ROLE_ID --organization=ORGANIZATION_ID

  2. Opcional: use o Solucionador de problemas de políticas para verificar se o usuário ou o principal do pool de colaboradores tem chronicle.remediationPlans.get no projeto vinculado ao Google SecOps.

  3. Aguarde alguns minutos para que as alterações do IAM sejam propagadas, atualize o console do Google SecOps e abra um caso ou alerta com um plano de resposta.

Como o Agente de Resposta funciona

O Agente de Resposta opera como o componente de resposta ativa do ecossistema de SOC agêntico. Ele processa o contexto enriquecido e os vereditos de alerta para sintetizar planos de resposta com verificação de segurança. As seções a seguir explicam a lógica de autonomia subjacente, as etapas de acionamento e o fluxo de trabalho de resposta.

Autonomia em níveis e lógica de risco

Para garantir a segurança, o agente avalia as ações de resposta em relação a uma configuração de Nível de Execução Autônoma (Aprovação Manual, Baixo Risco, Médio Risco, Alto Risco).

Mecanismo de avaliação de risco

Os níveis de risco são calculados avaliando o impacto operacional, a reversibilidade e o escopo da ação proposta (por exemplo, redefinir uma senha versus limpar um dispositivo).

Modos de execução globais

É possível configurar o agente para ser executado nos seguintes modos globais com base na sua tolerância ao risco:

  • Aprovação manual: as ações exigem aprovação explícita antes da execução. Esta é a configuração padrão.
  • Execução autônoma: as ações no limite de risco selecionado ou abaixo dele são executadas automaticamente. É possível definir o limite como Baixo risco, Médio risco ou Alto risco. Por exemplo, se a opção Risco médio estiver selecionada, o agente vai executar todas as ações de risco baixo e médio automaticamente, sem pedir aprovação. As ações de alto risco vão exigir aprovação manual por padrão.

Substituições por ferramenta

Além disso, é possível configurar substituições granulares em Ferramentas disponíveis, no nível de integração ou no nível de ação:

  • Autônomo:sempre é executado automaticamente, independentemente da configuração de risco global.
  • Padrão:herda o comportamento de execução do nível de execução autônoma global.
  • Aprovação manual:sempre exige aprovação humana, independentemente da configuração de risco global.

Fase 1: criação do plano de resposta

  1. Sintetizar o contexto:o agente analisa o veredito do caso, as entidades enriquecidas e o contexto ambiental para formar uma lista de ações recomendadas concretas e adaptadas ao cenário específico.
  2. Geração de scripts e códigos com IA:se a geração de scripts e códigos com IA estiver ativada (desativada por padrão) e uma ação de resposta recomendada não existir nas suas integrações atuais, o Gemini poderá escrever dinamicamente um código personalizado para executar as ações ausentes.

Etapa 2: visualizar e executar o plano

  1. Acessar casos: acesse Casos e selecione um caso marcado com Gemini.
  2. Revise o plano:analise o plano de resposta no nível do caso ou do alerta:
    • Agregação no nível do caso:na guia Visão geral, consulte o widget Resumo do caso para ver as recomendações agregadas.
    • Detalhes no nível do alerta: clique na guia Alertas e detecções. Selecione um alerta, clique em Ver plano de investigação e resposta e, em seguida, clique em Ver plano de resposta para abrir o painel de resposta.
  3. Analisar ações: inspecione as ações recomendadas, os parâmetros da entidade de destino e os níveis de risco de execução.
  4. Modificar plano:selecione ou limpe ações individuais, edite parâmetros de destino ou adicione ao final etapas de resposta manual (como bloquear um endereço IP) como feedback direto para planos incompletos.
  5. Executar: clique em Executar ações para executar o plano selecionado.
  6. Trilha de auditoria:as ações executadas mostram status individuais de sucesso ou falha diretamente no fluxo de trabalho.

Etapa 3: integração com o Wiz (respostas na nuvem)

Enquanto o Agente de Resposta do SecOps se concentra principalmente em ações de contenção imediatas no seu ambiente, a integração com o Wiz oferece uma defesa estratégica de longo prazo. Ele ajuda a corrigir totalmente as vulnerabilidades identificadas na nuvem e a proteger sua postura para evitar ataques futuros.

O agente de resposta extrai dados de risco críticos diretamente do Wiz para ajudar a resolver riscos de infraestrutura em nuvem:

  • Riscos relacionados: exibe problemas críticos de risco do Wiz relacionados a entidades de nuvem envolvidas no caso.
  • Próximas etapas:para ver ações detalhadas e etapas de resposta, clique em Ver problema no Wiz para acessar diretamente a plataforma do Wiz e concluir a correção com segurança no ambiente do Wiz.

Configurar o agente de resposta

  1. Acesse as configurações: acesse Configurações > Investigação > Investigações do Gemini > Contexto e resposta.
  2. Ativar ou desativar: na seção Contexto e resposta, mude o Agente de resposta para Ativado ou Desativado.
  3. Definir nível de execução autônoma: selecione o nível de risco máximo permitido para execução automática (Aprovação manual, Baixo risco, Médio risco ou Alto risco).
  4. Configurar a geração de scripts e códigos com IA:opcional: ative a geração de scripts e códigos com IA (desativada por padrão) para permitir que o Gemini escreva código dinâmico para ações não processadas.

  5. Gerenciar substituições de ferramentas (exclusões): opcional: em Ferramentas disponíveis, selecione integrações ou ações específicas para substituir o modo de execução (Autônomo, Padrão ou Aprovação manual). É assim que você gerencia as exclusões (desativando ou restringindo integrações ou ações específicas).

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.