Manuale utente dell'APP Gemini Google Cloud
Gemini è un potente strumento di intelligenza artificiale che può essere utilizzato per assistere gli utenti di Google Security Operations e Google Threat Intelligence. Questa guida ti fornirà le informazioni necessarie per iniziare a usare Gemini e creare prompt efficaci.
Creare prompt con Gemini
Quando crei un prompt, dovrai fornire a Gemini le seguenti informazioni:
- Il tipo di richiesta che vuoi creare, se applicabile (ad esempio
“Crea una regola”) - Il contesto per il prompt
- L'output desiderato
Gli utenti possono creare una varietà di prompt, tra cui domande, comandi e riepiloghi.
Buone pratiche per la creazione di prompt
Quando si creano dei prompt, è importante tenere a mente le seguenti best practice:
Utilizzare il linguaggio naturale: Scrivi come se stessi impartendo un comando ed esprimi pensieri completi in frasi complete.
Fornire contesto: Includi dettagli rilevanti per aiutare Gemini a comprendere la tua richiesta, come intervalli di tempo, fonti di log specifiche o informazioni utente. Più contesto fornisci, più pertinenti e utili saranno i risultati.
Sii specifico e conciso: Indica chiaramente le informazioni che stai cercando o il compito che vuoi che Gemini esegua. Descrivi in dettaglio lo scopo, il trigger, l'azione e la/le condizione/i.
Per esempioampchiedi all'assistente: "È questo (file nome, ecc.) noto per essere dannoso?" e se è noto che lo è, puoi chiedere a "Cercare Questo (file) nel mio ambiente."
Includere obiettivi chiari: Inizia con un obiettivo chiaro e specifica i fattori scatenanti che attiveranno una risposta.
Sfrutta tutte le modalità: Utilizza la funzionalità di ricerca in linea, l'assistente di chat e il generatore di playbook per le tue diverse esigenze.
Integrazioni di riferimento (solo per la creazione di playbook): Richiedi e specifica le integrazioni che hai già installato e configurate nel tuo ambiente in relazione ai passaggi successivi del playbook.
Ripetere: Se i risultati iniziali non sono soddisfacenti, perfeziona il tuo suggerimento, fornisci informazioni aggiuntive e fai domande di follow-up per guidare i Gemelli verso una risposta migliore.
Includi condizioni per l'azione (solo per la creazione del playbook): È possibile migliorare l'efficacia del prompt durante la creazione di un playbook richiedendo passaggi aggiuntivi, come l'arricchimento dei dati.
Verifica l'accuratezza: Ricorda che Gemini è uno strumento di intelligenza artificiale e le sue risposte devono sempre essere convalidate in base alle tue conoscenze e ad altre fonti disponibili.
Utilizzo dei prompt nelle operazioni di sicurezza
Gemini può essere utilizzato in vari modi nelle operazioni di sicurezza, tra cui la ricerca in linea, l'assistenza tramite chat e la generazione di playbook. Dopo aver ricevuto riepiloghi dei casi generati dall'intelligenza artificiale, Gemini può aiutare i professionisti con:
- Rilevamento e indagine delle minacce
- Domande e risposte sulla sicurezza
- Generazione del playbook
- Riepilogo dell'intelligence sulle minacce
Google Security Operations (SecOps) è arricchito con l'intelligence di prima linea di Mandiant e l'intelligence di crowdsourcing di VirusTotal, che può aiutare i team di sicurezza:
Accedi e analizza rapidamente le informazioni sulle minacce: Poni domande in linguaggio naturale sugli autori delle minacce, sulle famiglie di malware, sulle vulnerabilità e sugli IOC.
Accelerare la ricerca e il rilevamento delle minacce: Genera query di ricerca UDM e regole di rilevamento basate sui dati di threat intelligence.
Dare priorità ai rischi per la sicurezza: Comprendere quali sono le minacce più rilevanti per la propria organizzazione e concentrarsi sulle vulnerabilità più critiche.
Rispondere in modo più efficace agli incidenti di sicurezza: Arricchisci gli avvisi di sicurezza con informazioni contestuali sulle minacce e ricevi consigli sulle azioni correttive.
Migliorare la consapevolezza della sicurezza: Crea materiali di formazione coinvolgenti basati su informazioni di intelligence sulle minacce del mondo reale.
Casi d'uso per le operazioni di sicurezza
Rilevamento e indagine delle minacce
Creare query, generare regole, monitorare eventi, analizzare avvisi, cercare dati (generare query UDM).
Scenario: Un analista delle minacce sta esaminando un nuovo avviso e vuole sapere se nell'ambiente sono presenti prove di un particolare comando utilizzato per infiltrarsi nell'infrastruttura aggiungendosi al registro.
Sampil prompt: Crea una query per trovare tutti gli eventi di modifica del registro su [nome host] nell'ultimo [periodo di tempo].
Richiesta di follow-up: Genera una regola che aiuti a rilevare tale comportamento in futuro.
Scenario: A un analista viene detto che uno stagista stava facendo "cose" sospette e voleva capire meglio cosa stava succedendo.
Sampil prompt: Mostrami gli eventi di connessione di rete per l'ID utente che inizia con tim. smith (senza distinzione tra maiuscole e minuscole) degli ultimi 3 giorni.
Richiesta di follow-up: Genera una regola YARA-L per rilevare questa attività in futuro.
Scenario: Un analista della sicurezza riceve un avviso relativo ad attività sospette su un account utente.
Sampil prompt: Mostrami gli eventi di accesso utente bloccati con un codice evento 4625 dove src.
il nome host non è nullo.
Richiesta di follow-up: Quanti utenti sono inclusi nel set di risultati?
Domande e risposte sulla sicurezza
Scenario: Un analista della sicurezza sta iniziando un nuovo lavoro e nota che Gemini ha riassunto un caso con i passaggi consigliati per l'indagine e la risposta. Vogliono saperne di più sul malware identificato nel riepilogo del caso.
Sampil prompt: Che cos'è [nome del malware]?
Richiesta di follow-up: Come persiste [nome del malware]?
Scenario: Un analista della sicurezza riceve un avviso su un potenziale malware file hashish.
Sampil prompt: È questo? file hash [inserisci hash] noto per essere dannoso?
Richiesta di follow-up: Quali altre informazioni sono disponibili a riguardo? file?
Scenario: Un addetto alla risposta agli incidenti deve identificare la fonte di un messaggio dannoso file.
Sampil prompt: Che cosa è il file hash dell'eseguibile “[malware.exe]”?
Richieste di follow-up:
- Arricchisci con l'intelligence sulle minacce di VirusTotal per informazioni su questo file hash; è noto che sia dannoso?
- Questo hash è stato osservato nel mio ambiente?
- Quali sono le azioni di contenimento e correzione consigliate per questo malware?
Generazione del playbook
Agisci e crea delle strategie.
Scenario: Un tecnico della sicurezza vuole automatizzare il processo di risposta alle e-mail di phishing.
Sampil prompt: Crea un playbook che si attiva quando si riceve un'e-mail da un noto mittente di phishing. Il playbook dovrebbe mettere in quarantena l'e-mail e avvisare il team di sicurezza.
Scenario: Un membro del team SOC desidera mettere automaticamente in quarantena i file dannosi files.
Sampil prompt: Scrivi un playbook per gli avvisi di malware. Il playbook dovrebbe prendere in considerazione file hash dall'avviso e arricchirlo con l'intelligence di VirusTotal. Se il file l'hash è dannoso, mettilo in quarantena file.
Scenario: Un analista delle minacce desidera creare un nuovo playbook che possa aiutare a rispondere ad avvisi futuri relativi a modifiche delle chiavi di registro.
Sampil prompt: Crea un playbook per quegli avvisi di modifica delle chiavi di registro. Voglio che quel playbook sia arricchito con tutti i tipi di entità, inclusi VirusTotal e Mandiant threat frontline intelligence. Se viene identificato qualcosa di sospetto, crea un caso tags e quindi stabilire la priorità del caso di conseguenza.
Riepilogo dell'intelligence sulle minacce
Ottieni informazioni sulle minacce e sugli autori delle minacce.
Scenario: Un responsabile delle operazioni di sicurezza desidera comprendere i modelli di attacco di uno specifico agente minaccia.
Sampil prompt: Quali sono le tattiche, tecniche e procedure (TTP) note utilizzate da APT29?
Richiesta di follow-up: Esistono rilevamenti mirati in Google SecOps che possono aiutare a identificare le attività associate a queste TTP?
Scenario: Un analista di threat intelligence scopre un nuovo tipo di malware ("emotet") e condivide un report della sua ricerca con il team SOC.
Sampil prompt: Quali sono gli indicatori di compromissione (IOC) associati al malware Emotet?
Richieste di follow-up:
- Genera una query di ricerca UDM per cercare questi IOC nei registri della mia organizzazione.
- Crea una regola di rilevamento che mi avviserà se in futuro verrà osservato uno di questi IOC.
Scenario: Un ricercatore in materia di sicurezza ha identificato degli host nel proprio ambiente che comunicano con server di comando e controllo (C2) noti associati a un particolare agente della minaccia.
Sampil prompt: Genera una query per mostrarmi tutte le connessioni di rete in uscita verso indirizzi IP e domini associati a: [nome dell'autore della minaccia].
Utilizzando Gemini in modo efficace, i team di sicurezza possono migliorare le loro capacità di intelligence sulle minacce e migliorare la loro postura di sicurezza complessiva. Questi sono solo alcuni esempiamplezioni su come Gemini può essere utilizzato per migliorare le operazioni di sicurezza.
Man mano che acquisisci familiarità con lo strumento, scoprirai molti altri modi per utilizzarlo a tuo vantaggiotage. Ulteriori dettagli sono disponibili nella documentazione del prodotto Google SecOps pagina.
Utilizzo dei prompt in Threat Intelligence
Sebbene Google Threat Intelligence possa essere utilizzato in modo simile a un motore di ricerca tradizionale, utilizzando solo termini, gli utenti possono ottenere i risultati desiderati anche creando richieste specifiche.
I prompt Gemini possono essere utilizzati in vari modi in Threat Intelligence, dalla ricerca di tendenze generali alla comprensione di minacce specifiche e malware, tra cui:
- Analisi dell'intelligence sulle minacce
- Caccia proattiva alle minacce
- Profilazione dell'attore della minaccia
- Priorità delle vulnerabilità
- Arricchimento degli avvisi di sicurezza
- Sfruttando MITRE ATT&CK
Casi d'uso per Threat Intelligence
Analisi dell'intelligence sulle minacce
Scenario: Un analista di threat intelligence vuole saperne di più su una famiglia di malware appena scoperta.
Sampil prompt: Cosa si sa del malware “Emotet”? Quali sono le sue capacità e come si diffonde?
Domanda correlata: Quali sono gli indicatori di compromissione (IOC) associati al malware Emotet?
Scenario: Un analista sta indagando su un nuovo gruppo ransomware e vuole comprenderne rapidamente le tattiche, le tecniche e le procedure (TTP).
Sampil prompt: Riassumi le TTP note del gruppo ransomware "LockBit 3.0". Includi informazioni sui loro metodi di accesso iniziali, sulle tecniche di movimento laterale e sulle tattiche di estorsione preferite.
Richieste correlate:
- Quali sono gli indicatori di compromissione (IOC) più comuni associati a LockBit 3.0?
- Ci sono stati recenti resoconti pubblici o analisi sugli attacchi LockBit 3.0?
Caccia proattiva alle minacce
Scenario: Un analista di threat intelligence desidera ricercare in modo proattivo i segnali di una specifica famiglia di malware nota per colpire il suo settore.
Sampil prompt: Quali sono gli indicatori comuni di compromissione (IOC) associati al malware "Trickbot"?
Scenario: Un ricercatore in sicurezza desidera identificare tutti gli host nel proprio ambiente che comunicano con server di comando e controllo (C2) noti associati a un particolare agente della minaccia.
Sampil prompt: Quali sono gli indirizzi IP e i domini C2 noti utilizzati dall'autore della minaccia "[Nome]"?
Profilazione dell'attore della minaccia
Scenario: Un team di intelligence sulle minacce sta monitorando le attività di un presunto gruppo APT e desidera sviluppare un pro completofile.
Sampil prompt: Genera un profile dell'attore della minaccia "APT29". Includere i loro alias noti, il sospetto paese di origine, le motivazioni, gli obiettivi tipici e le TTP preferite.
Domanda correlata: Mostrami una cronologia degli attacchi più importanti di APT29 campallineamento e cronologia.
Priorità delle vulnerabilità
Scenario: Un team di gestione delle vulnerabilità desidera stabilire le priorità degli sforzi di correzione in base al panorama delle minacce.
Sampil prompt: Quali vulnerabilità di Palo Alto Networks vengono sfruttate attivamente dagli autori delle minacce informatiche?
Domanda correlata: Riassumiamo gli exploit noti per CVE-2024-3400 e CVE-2024-0012.
Scenario: Un team di sicurezza è sommerso dai risultati delle scansioni delle vulnerabilità e desidera dare priorità agli sforzi di correzione in base alle informazioni sulle minacce.
Sampil prompt: Quale delle seguenti vulnerabilità è stata menzionata nei recenti rapporti di intelligence sulle minacce: [elenca le vulnerabilità identificate]?
Richieste correlate:
- Sono disponibili exploit noti per le seguenti vulnerabilità: [elenca le vulnerabilità identificate]?
- Quale delle seguenti vulnerabilità ha maggiori probabilità di essere sfruttata dagli autori delle minacce: [elenca le vulnerabilità identificate]? Assegna loro una priorità in base alla loro gravità, sfruttabilità e rilevanza per il nostro settore.
Arricchimento degli avvisi di sicurezza
Scenario: Un analista della sicurezza riceve un avviso su un tentativo di accesso sospetto da un indirizzo IP sconosciuto.
Sampil prompt: Cosa si sa dell'indirizzo IP [fornire IP]?
Sfruttando MITRE ATT&CK
Scenario: Un team di sicurezza desidera utilizzare il framework MITRE ATT&CK per comprendere in che modo uno specifico agente minaccia potrebbe prendere di mira la propria organizzazione.
Sampil prompt: Mostrami le tecniche MITRE ATT&CK associate all'autore della minaccia APT38.
Gemini è uno strumento potente che può essere utilizzato per migliorare le Security Operations e la Threat Intelligence. Seguendo le best practice descritte in questa guida, puoi creare prompt efficaci che ti aiuteranno a ottenere il massimo da Gemini.
Nota: Questa guida fornisce suggerimenti per l'utilizzo di Gemini in Google SecOps e Gemini in Threat Intelligence. Non è un elenco esaustivo di tutti i possibili casi d'uso e le capacità specifiche di Gemini possono variare a seconda dell'edizione del prodotto. Si consiglia di consultare la documentazione ufficiale per le informazioni più aggiornate.
Gemelli
nelle operazioni di sicurezza
Gemelli
nell'intelligence sulle minacce
Documenti / Risorse
 | APPLICAZIONE DI Google Cloud |
Riferimenti
- Manuale d'usomanual.tools