Brukerveiledning for Gemini Google Cloud APP

Brukerveiledning for Gemini Google Cloud APP

Gemini er et kraftig AI-verktøy som kan brukes til å hjelpe brukere av Google Security Operations og Google Threat Intelligence. Denne veiledningen vil gi deg informasjonen du trenger for å komme i gang med Gemini og lage effektive meldinger.

Opprette meldinger med Gemini

Når du oppretter en forespørsel, må du gi Gemini følgende informasjon:

1. Typen forespørsel du vil opprette, hvis aktuelt (f.eks
   "Opprett en regel")
2. Konteksten for forespørselen
3. Ønsket utgang

Brukere kan lage en rekke spørsmål, inkludert spørsmål, kommandoer og sammendrag.

Gode ​​fremgangsmåter for å lage forespørsler

Når du oppretter forespørsler, er det viktig å huske på følgende beste fremgangsmåter:

Bruk naturlig språk: Skriv som om du sier en kommando og uttrykk fullstendige tanker i hele setninger.

Gi kontekst: Ta med relevante detaljer for å hjelpe Gemini med å forstå forespørselen din, for eksempel tidsrammer, spesifikke loggkilder eller brukerinformasjon. Jo mer kontekst du gir, jo mer relevante og nyttige vil resultatene være.

Vær spesifikk og kortfattet: Oppgi tydelig informasjonen du leter etter eller oppgaven du vil at Gemini skal utføre. Detaljer om formålet, utløseren, handlingen og tilstanden(e).
For eksample, spør assistenten: "Er dette (file navn osv.) kjent for å være ondsinnet?” og hvis det er kjent for å være det, kan du be om å “Søk etter dette (file) i mitt miljø."

Inkluder klare mål: Start med et klart mål og spesifiser utløsere som vil aktivere en respons.

Utnytt alle modaliteter: Bruk in-line søkefunksjonalitet, chat-assistent og playbook-generatoren for dine forskjellige behov.

Referanseintegrasjoner (kun for oppretting av playbook): Be om og spesifiser integrasjoner du allerede har installert og konfigurert i miljøet ditt ettersom de er relatert til neste trinn i håndboken.

Gjenta: Hvis de første resultatene ikke er tilfredsstillende, avgrens spørsmålet ditt, oppgi ytterligere informasjon og still oppfølgingsspørsmål for å veilede Gemini mot et bedre svar.

Inkluder betingelser for handling (kun for oppretting av spillebøker): Du kan forbedre forespørselens effektivitet når du oppretter en spillebok ved å be om flere trinn som å berike data.

Bekreft nøyaktigheten: Husk at Gemini er et AI-verktøy, og svarene bør alltid valideres mot din egen kunnskap og andre tilgjengelige kilder.

Bruke ledetekster i sikkerhetsoperasjoner

Gemini kan brukes på en rekke måter i sikkerhetsoperasjoner, inkludert in-line-søk, chat-assistanse og playbook-generering. Etter å ha mottatt AI-genererte saksoppsummeringer, kan Gemini hjelpe utøvere med:

1. Trusseloppdagelse og etterforskning
2. Sikkerhetsrelaterte spørsmål og svar
3. Playbook generasjon
4. Oppsummering av trusseletterretning

Google Security Operations (SecOps) er beriket med frontlinjeintelligens fra Mandiant og crowdsourcet etterretning fra VirusTotal som kan hjelpe sikkerhetsteam:

Få rask tilgang til og analyser trusselintelligens: Still spørsmål på naturlig språk om trusselaktører, skadevarefamilier, sårbarheter og IOC-er.

Akselerer trusseljakt og gjenkjenning: Generer UDM-søk og gjenkjenningsregler basert på trusselintelligensdata.

Prioriter sikkerhetsrisikoer: Forstå hvilke trusler som er mest relevante for deres organisasjon og fokuser på de mest kritiske sårbarhetene.

Svar mer effektivt på sikkerhetshendelser: Berik sikkerhetsvarsler med trusseletterretningskontekst og få anbefalinger for utbedringshandlinger.

Forbedre sikkerhetsbevisstheten: Lag engasjerende opplæringsmateriell basert på trusselintelligens fra den virkelige verden.

Brukstilfeller for sikkerhetsoperasjoner

Trusseloppdagelse og etterforskning

Lag spørringer, generer regler, overvåk hendelser, undersøk varsler, søk etter data (generer UDM-spørringer).

Scenario: En trusselanalytiker undersøker et nytt varsel og ønsker å vite om det er bevis i miljøet for en bestemt kommando som brukes til å infiltrere infrastruktur ved å legge seg selv til registret.

Sampledeteksten: Opprett en spørring for å finne eventuelle registerendringshendelser på [vertsnavn] i løpet av den siste [tidsperioden].

Oppfølgingsforespørsel: Generer en regel for å hjelpe med å oppdage atferden i fremtiden.

Scenario: En analytiker blir fortalt at en praktikant gjorde mistenkelige "ting" og ønsket å få en bedre forståelse av hva som skjedde.

Sampledeteksten: Vis meg nettverkstilkoblingshendelser for bruker-ID som starter med tim. smith (ufølsom for store og små bokstaver) de siste 3 dagene.

Oppfølgingsforespørsel: Generer en YARA-L-regel for å oppdage for denne aktiviteten i fremtiden.

Scenario: En sikkerhetsanalytiker mottar et varsel om mistenkelig aktivitet på en brukerkonto.

Sampledeteksten: Vis meg blokkerte brukerpåloggingshendelser med en hendelseskode på 4625 der src.
vertsnavnet er ikke null.

Oppfølgingsforespørsel: Hvor mange brukere er inkludert i resultatsettet?

Sikkerhetsrelaterte spørsmål og svar

Scenario: En sikkerhetsanalytiker går ombord i en ny jobb og legger merke til at Gemini har oppsummert en sak med anbefalte trinn for etterforskning og svar. De ønsker å lære mer om skadelig programvare som er identifisert i sakssammendraget.

Sampledeteksten: Hva er [navn på skadelig programvare]?

Oppfølgingsforespørsel: Hvordan vedvarer [navn på skadelig programvare]?

Scenario: En sikkerhetsanalytiker mottar et varsel om en potensielt skadelig file hasj.

Sampledeteksten: Er dette file hash [sett inn hash] kjent for å være skadelig?

Oppfølgingsforespørsel: Hvilken annen informasjon er tilgjengelig om dette file?

Scenario: En hendelsesbehandler må identifisere kilden til en skadelig handling file.

Sampledeteksten: Hva er file hash av den kjørbare "[malware.exe]"?

Oppfølgingsspørsmål:

• Berik med trusselintelligens fra VirusTotal for informasjon om dette file hasj; er det kjent for å være skadelig?
• Har denne hasjen blitt observert i mitt miljø?
• Hva er de anbefalte inneslutnings- og utbedringshandlingene for denne skadelige programvaren?

Playbook generasjon

Ta handling og bygg lekebøker.

Scenario: En sikkerhetsingeniør ønsker å automatisere prosessen med å svare på phishing-e-poster.

Sampledeteksten: Lag en spillebok som utløses når en e-post mottas fra en kjent phishing-avsender. Spilleboken bør sette e-posten i karantene og varsle sikkerhetsteamet.

Scenario: Et medlem av SOC-teamet ønsker automatisk å sette skadelig karantene files.

Sampledeteksten: Skriv en lekebok for varsler om skadelig programvare. Spilleboken bør ta file hash fra varselet og berik det med intelligens fra VirusTotal. Hvis file hash er ondsinnet, sett den i karantene file.

Scenario: En trusselanalytiker ønsker å lage en ny spillebok som kan bidra til å svare på fremtidige varsler knyttet til endringer i registernøkkelen.

Sampledeteksten: Bygg en spillebok for varslene om registernøkkelendringer. Jeg vil ha den lekeboken beriket med alle enhetstyper, inkludert VirusTotal og Mandiant trusselfrontlinjeintelligens. Hvis noe mistenkelig blir identifisert, opprette sak tags og deretter prioritere saken deretter.

Oppsummering av trusseletterretning

Få innsikt om trusler og trusselaktører.

Scenario: En sikkerhetsoperasjonsleder ønsker å forstå angrepsmønstrene til en spesifikk trusselaktør.

Sampledeteksten: Hva er de kjente taktikkene, teknikkene og prosedyrene (TTP-er) som brukes av APT29?

Oppfølgingsforespørsel: Er det noen kuraterte deteksjoner i Google SecOps som kan hjelpe med å identifisere aktivitet knyttet til disse TTP-ene?

Scenario: En trusselintelligensanalytiker lærer om en ny type skadelig programvare ("emotet") og deler en rapport fra forskningen deres med SOC-teamet.

Sampledeteksten: Hva er indikatorene på kompromiss (IOCs) assosiert med emotet malware?

Oppfølgingsspørsmål:

• Generer et UDM-søk for å se etter disse IOC-ene i organisasjonens logger.
• Lag en deteksjonsregel som vil varsle meg hvis noen av disse IOC-ene blir observert i fremtiden.

Scenario: En sikkerhetsforsker har identifisert verter i deres miljø som kommuniserer med kjente kommando-og-kontroll-servere (C2) knyttet til en bestemt trusselaktør.

Sampledeteksten: Generer en spørring for å vise meg alle utgående nettverkstilkoblinger til IP-adresser og domener knyttet til: [navn på trusselaktør].

Ved å bruke Gemini effektivt, kan sikkerhetsteam forbedre sine trusselintelligensevner og forbedre sin generelle sikkerhetsstilling. Dette er bare noen få eksamples om hvordan Gemini kan brukes til å forbedre sikkerhetsoperasjoner.
Etter hvert som du blir mer kjent med verktøyet, vil du finne mange andre måter å bruke det på til din advantage. Ytterligere detaljer finner du i produktdokumentasjonen for Google SecOps side.

Bruke ledetekster i Threat Intelligence

Mens Google Threat Intelligence kan brukes på samme måte som en tradisjonell søkemotor med termer alene, kan brukere også oppnå tiltenkte resultater ved å lage spesifikke spørsmål.
Gemini-forespørsel kan brukes på en rekke måter i Threat Intelligence, fra å søke etter brede trender, til å forstå spesifikke trusler og deler av skadelig programvare, inkludert:

1. Trusseletterretningsanalyse
2. Proaktiv trusseljakt
3. Trusselskuespillerprofilering
4. Sårbarhetsprioritering
5. Berikende sikkerhetsvarsler
6. Utnytte MITRE ATT&CK

Brukssaker for trusseletterretning

Trusseletterretningsanalyse

Scenario: En trusselintelligensanalytiker ønsker å lære mer om en nyoppdaget skadevarefamilie.

Sampledeteksten: Hva er kjent om skadelig programvare "Emotet"? Hva er dens evner og hvordan sprer den seg?

Relatert spørsmål: Hva er indikatorene på kompromiss (IOCs) assosiert med emotet malware?

Scenario: En analytiker undersøker en ny løsepengevaregruppe og ønsker raskt å forstå deres taktikk, teknikker og prosedyrer (TTP).

Sampledeteksten: Oppsummer de kjente TTPene til løsepengevaregruppen "LockBit 3.0." Inkluder informasjon om deres første tilgangsmetoder, sidebevegelsesteknikker og foretrukne utpressingstaktikker.

Relaterte spørsmål:

• Hva er de vanlige indikatorene for kompromiss (IOCs) assosiert med LockBit 3.0?
• Har det vært noen nylige offentlige rapporter eller analyser av LockBit 3.0-angrep?

Proaktiv trusseljakt

Scenario: En trusselintelligensanalytiker ønsker å proaktivt søke etter tegn på en spesifikk skadevarefamilie som er kjent for å målrette mot sin bransje.

Sampledeteksten: Hva er de vanlige indikatorene på kompromiss (IOCs) assosiert med "Trickbot"-malware?

Scenario: En sikkerhetsforsker ønsker å identifisere eventuelle verter i deres miljø som kommuniserer med kjente kommando-og-kontroll-servere (C2) knyttet til en bestemt trusselaktør.

Sampledeteksten: Hva er de kjente C2 IP-adressene og domenene som brukes av trusselaktøren «[Navn]»?

Trusselskuespillerprofilering

Scenario: Et trusseletterretningsteam sporer aktivitetene til en mistenkt APT-gruppe og ønsker å utvikle en omfattende profesjonellfile.

Sampledeteksten: Generer en profffile av trusselaktøren «APT29». Inkluder deres kjente aliaser, mistenkt opprinnelsesland, motivasjoner, typiske mål og foretrukne TTP-er.

Relatert spørsmål: Vis meg en tidslinje over APT29s mest bemerkelsesverdige angrep campaign og tidslinje.

Sårbarhetsprioritering

Scenario: Et sårbarhetshåndteringsteam ønsker å prioritere utbedringsarbeid ut fra trussellandskapet.

Sampledeteksten: Hvilke Palo Alto Networks sårbarheter blir aktivt utnyttet av trusselaktører i naturen?

Relatert spørsmål: Oppsummer de kjente utnyttelsene for CVE-2024-3400 og CVE-2024-0012.

Scenario: Et sikkerhetsteam er overveldet av sårbarhetsskanningsresultater og ønsker å prioritere utbedringstiltak basert på trusselintelligens.

Sampledeteksten: Hvilke av følgende sårbarheter har blitt nevnt i nyere trusseletterretningsrapporter: [liste identifiserte sårbarheter]?

Relaterte spørsmål:

• Er det noen kjente utnyttelser tilgjengelig for følgende sårbarheter: [liste identifiserte sårbarheter]?
• Hvilke av følgende sårbarheter vil mest sannsynlig bli utnyttet av trusselaktører: [liste opp identifiserte sårbarheter]? Prioriter dem basert på deres alvorlighetsgrad, utnyttbarhet og relevans for vår bransje.

Berikende sikkerhetsvarsler

Scenario: En sikkerhetsanalytiker mottar et varsel om et mistenkelig påloggingsforsøk fra en ukjent IP-adresse.

Sampledeteksten: Hva er kjent om IP-adressen [oppgi IP]?

Utnytte MITRE ATT&CK

Scenario: Et sikkerhetsteam ønsker å bruke MITER ATT&CK-rammeverket for å forstå hvordan en spesifikk trusselaktør kan målrette organisasjonen deres.

Sampledeteksten: Vis meg MITRE ATT&CK-teknikkene knyttet til trusselaktøren APT38.

Gemini er et kraftig verktøy som kan brukes til å forbedre sikkerhetsoperasjoner og trusseletterretning. Ved å følge de beste fremgangsmåtene som er skissert i denne veiledningen, kan du lage effektive forespørsler som vil hjelpe deg å få mest mulig ut av Gemini.

Note: Denne veiledningen gir forslag til bruk av Gemini i Google SecOps og Gemini i Threat Intelligence. Det er ikke en uttømmende liste over alle mulige brukstilfeller, og de spesifikke egenskapene til Gemini kan variere avhengig av produktutgaven din. Du bør konsultere den offisielle dokumentasjonen for den mest oppdaterte informasjonen.

Tvillingene
i sikkerhetsoperasjoner

Tvillingene
i Threat Intelligence