Auf Warnungen und Fälle reagieren

Unterstützt in:

In diesem Leitfaden erfahren Sie, wie Sicherheitsanalysten Fälle und Sicherheitswarnungen, die sofortige Aufmerksamkeit erfordern, effizient identifizieren und priorisieren können. Darin wird erläutert, wie Sie Google Security Operations-Funktionen wie personalisierte Ansichten, Automatisierung, KI-gestützte Triage und Playbooks verwenden. Mit dieser Methode können Analysten Rauschen reduzieren, Reaktionszeiten verkürzen und sich auf die echten positiven Ergebnisse konzentrieren, die das größte Risiko darstellen. Ein erfolgreicher Abschluss sorgt für eine rechtzeitige Eindämmung kritischer Bedrohungen.

Häufige Anwendungsfälle

  • Ziel: Mithilfe von Automatisierung und KI effizient Warnungen und Fälle mit hohem Risiko in großen Mengen von Sicherheitsdaten identifizieren.
  • Wert: Ermöglicht eine schnelle Reaktion auf kritische Bedrohungen und minimiert potenzielle Auswirkungen.

Hinweis

Feststellen, welche Fälle und Benachrichtigungen sofortige Aufmerksamkeit erfordern

In diesem Abschnitt werden die sequenziellen Schritte zur Bestimmung der Dringlichkeit beschrieben.

Personalisierte Warteschlangen im Blick behalten und strenge Filter anwenden

Mit dem folgenden Ansatz sehen Sie sowohl Elemente, die Ihre besondere Aufmerksamkeit erfordern, als auch den gesamten Pool an Vorfällen mit hohem Risiko. So erhalten Sie sofort einen Überblick über die wichtigsten Ereignisse.

  1. Wählen Sie auf der Google SecOps-Plattform Your Workdesk > My Cases aus. In dieser Ansicht werden Fälle angezeigt, die Ihnen oder Ihrer Analystenrolle direkt zugewiesen sind.
  2. Öffnen Sie die Hauptseite Fälle und klicken Sie dann auf Filter für Fälle.
  3. Filtern Sie nach Ergebnissen mit den Prioritätsstufen Kritisch und Hoch. Speichern Sie diese Filter, damit Sie sie später einfach wieder aufrufen können.

KI und Automatisierung für die Priorisierung nutzen

Verwenden Sie für jede Benachrichtigung die Agentic Automation, die deterministische, vordefinierte Playbooks mit dynamischen KI-Agenten wie dem Gemini Triage and Investigation Agent kombiniert. Dieser KI-Agent automatisiert die erste detaillierte Analyse und verkürzt die manuelle Arbeit von 15 bis 20 Minuten auf einen viel kürzeren Zeitraum.

Wichtige Funktionen:

  • Automatisierungssequenzierung: Playbooks konfigurieren, sodass ein Abhilfemaßnahmen-Playbook (z. B. Hostisolierung oder Kontosperrung) automatisch basierend auf der Ausgabe des Gemini Triage and Investigation Agent gestartet wird und sofort auf wichtige Fälle reagiert werden kann.
  • Adaptive Reaktionen: Verwenden Sie KI-generierte Ausgaben (z. B. Risikobewertungen oder Ergebnisse wie True Positive) als Bedingungen in Playbooks, um verschiedene automatisierte Reaktionspfade auszulösen. Beispiel: Ein Host wird automatisch isoliert, wenn das Ergebnis Malicious lautet, aber nur zur Überprüfung gekennzeichnet, wenn Suspicious. Sie können das Ergebnis oder den Risikoscore verwenden, um die Priorität zu erhöhen oder den Fall zu eskalieren. Sie können die Anfrage beispielsweise an eine höhere Supportebene eskalieren oder eine Nachricht an den zugewiesenen Mitarbeiter senden.
  • Rekonstruktion des Prozessbaums: Der Triage-Agent kann eine visuelle Zeitachse der Systemaktivität erstellen, damit Analysten die Angriffskette, die Beziehungen zwischen über- und untergeordneten Prozessen und die laterale Bewegung sofort nachvollziehen können.

Playbooks für schnelle Triage und einheitliche Maßnahmen verwenden

Verwenden Sie auf der Seite Fälle vordefinierte und benutzerdefinierte Playbooks. In Playbooks werden Standardarbeitsanweisungen in automatisierte Workflows umgewandelt, wodurch der manuelle Aufwand minimiert und die Konsistenz gewährleistet wird.

Wichtige Playbook-Funktionen:

  • Automatisierte Anreicherung: Viele Playbooks reichern Benachrichtigungen automatisch mit Threat Intelligence aus Quellen wie VirusTotal, CrowdStrike und internen Threat-Feeds an. So erhalten Sie sofort Kontext zu Kompromittierungsindikatoren (Indicators of Compromise, IoCs) wie Hashes, IP-Adressen und Domains.
  • Geführte Entscheidungspunkte: Playbooks können pausieren und Analysten Ja-Nein-Fragen, Multiple-Choice-Fragen oder bedingte Aufforderungen präsentieren, z. B. "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring".
  • Kontrollierte manuelle Intervention: Bei sensiblen Aktionen können Playbooks manuelle Genehmigungsschritte enthalten. So können Analysten vorgeschlagene Aktionen (z. B. Host isolieren, Datei in Sandbox analysieren oder IP-Adresse blockieren) vor der Ausführung überprüfen.
  • Automatisierte Fallverwaltung: Playbooks können das Fall-Routing basierend auf den Ergebnissen an spezialisierte Teams automatisieren und Benachrichtigungen, die als harmlos oder informativ bestätigt wurden, automatisch schließen. So bleibt die aktive Warteschlange auf umsetzbare Bedrohungen konzentriert.

So verwenden Analysten Playbooks für diesen Prozess:

  • Standardisierte Reaktion: Sorgt dafür, dass alle Benachrichtigungen eines bestimmten Typs (z. B. Phishing oder Ransomware) gemäß den etablierten SOPs der Organisation behandelt werden.
  • Rauschunterdrückung: Benachrichtigungen mit geringer Aussagekraft werden automatisch herausgefiltert oder behoben.
  • Weniger Routineaufgaben: Zeitaufwendige Aufgaben wie das Erfassen von Daten, das Korrelieren von Protokollen und das Anreichern von Entitäten werden automatisiert.
  • Agentische Automatisierung in Aktion: Kombiniert die analytische Geschwindigkeit von KI-Agenten mit der Zuverlässigkeit deterministischer Playbooks.
  • Agentic Step: Playbooks können die Vertex AI-Integration nutzen, um einen kuratierten Arbeitsablauf zu erstellen, der von Gemini unterstützt wird und bei der Untersuchung hilft.

Vorteil: Der Priorisierungsprozess wird optimiert, einheitliche Reaktionen werden erzwungen, sich wiederholende Aufgaben werden reduziert und Analysten können komplexere Bedrohungen effektiv bewältigen.

Beispiele für Szenarien, die sofortige Aufmerksamkeit erfordern

Dieser Abschnitt enthält Beispiele für Szenarien, die sofortige Maßnahmen erfordern.

Automatisierte Einleitung der Problembehebung

Auf der Seite Fälle für Suspicious PowerShell Execution wird eine Benachrichtigung mit der Priorität Kritisch angezeigt.

Das verknüpfte Playbook zeigt, dass der Gemini Triage Agent ausgeführt wurde, ein True Positive-Ergebnis mit hoher Wahrscheinlichkeit zurückgegeben hat und das Playbook daher automatisch die Aktion Isolate Host (Host isolieren) ausgelöst hat, die jetzt noch genehmigt werden muss oder bereits abgeschlossen ist.

Dies erfordert eine sofortige Überprüfung der Ergebnisse des Kundenservicemitarbeiters und des Isolierungsstatus.

Manuelle Entscheidung mit KI-Unterstützung

Sie filtern die Warteschlange Fälle nach Priorität: Kritisch.

Wenn Sie einen Fall öffnen, stellen Sie fest, dass ein Playbook bei einer Ja/Nein-Frage pausiert wurde, in der gefragt wird, ob der Fall eskaliert oder geschlossen werden soll.

Sie sehen sich die Zusammenfassung des Gemini Triage and Investigation Agent an, in der Sehr wahrscheinlich echter positiver Befund angegeben ist, zusammen mit einer detaillierten Begründung, in der bestimmte schädliche Indikatoren genannt werden.

Sie wählen An Tier 2 eskalieren aus.

Fehlerbehebung

Latenz, Dienstkontingent und Limits

  • Kontingent für den Triage-Agenten: Für den Gemini Triage and Investigation Agent gilt ein Kontingent von in der Regel etwa 10 Prüfungen pro Stunde und Mandant (z. B. 5 manuelle Auslöser, 5 automatische Auslöser). Für Benachrichtigungen, die dieses Limit überschreiten, ist eine manuelle Priorisierung erforderlich.

Fehlerbehebung

Fehlercode Problembeschreibung Beheben
– Erwartete dringende Elemente fehlen in „Meine Fälle“ oder in der Fallwarteschlange. Achten Sie darauf, dass die Regel Alerting für relevante Erkennungen aktiviert ist. Prüfen Sie, ob Fälle Ihrem Nutzer oder Ihrer Rolle richtig zugewiesen sind und ob versehentlich restriktive Filter auf die Warteschlange angewendet wurden.
– Die Zusammenfassung für Gemini fehlt. Prüfen Sie den Status von Gemini Investigations im Fall-Repository. Wenn das Kontingent erreicht wurde, wird eine Meldung angezeigt, dass der Agent nicht ausgelöst werden konnte.

Validierung und Tests

So prüfen Sie, ob der Prozess funktioniert:

  • Benachrichtigungen mit hohem und kritischem Schweregrad werden wie erwartet auf Grundlage von Filtern angezeigt.
  • Playbooks werden bei neuen Benachrichtigungen ausgelöst.
  • Zusammenfassungen des Gemini-KI-Agenten für Priorisierung und Untersuchung sind wie erwartet vorhanden.
  • Fälle werden basierend auf der Playbook-Logik und den Entscheidungen des Analysten eskaliert oder geschlossen.
Symptom Lösung
Erwartete dringende Elemente fehlen in „Meine Fälle“ oder in der Fallwarteschlange. Achten Sie darauf, dass die Regel Alerting für relevante Erkennungen aktiviert ist. Prüfen Sie, ob Fälle Ihrem Nutzer oder Ihrer Rolle richtig zugewiesen sind und ob versehentlich restriktive Filter auf die Warteschlange angewendet wurden.
Die Zusammenfassung für Gemini fehlt. Prüfen Sie den Status von Gemini Investigations im Fall-Repository. Wenn das Kontingent erreicht wurde, wird eine Meldung angezeigt, dass der Agent nicht ausgelöst werden konnte.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten