觀點 · 資訊分享

Google SecOps 的自動化劇本改以「整個案件」為單位：同一個 IP 不用再為每張警報各查一次

Google 的資安營運平台 SecOps 預覽「案件劇本」與「反應觸發」：自動化流程可以對整個案件只跑一次，案件改派、優先級變動時也能自動觸發，省下重複動作與第三方 API 額度。

一句話看懂：Google SecOps 預覽「案件劇本」，資安自動化流程可以對整個案件只跑一次，不再為同一案件裡的每張警報各做一遍。

SecOps 案件劇本與反應觸發資訊圖卡：自動化流程改看整個案件，同一件事不再每張警報各跑一次

先用白話講：案件和警報差在哪？

想像學校發生了一起「冷氣被偷」的事件。每個班級都各自報了一張通報單，其實全都是同一個案子。如果每張通報單都派一組人去盤問同一個嫌疑人，同一個人會被問十次，既浪費時間，也浪費人力成本。

在資安的世界裡，警報就是那一張張通報單，案件則是把相似警報收在一起的資料夾。Google SecOps 是 Google Cloud 的資安營運平台，裡面的 SOAR 功能可以把處理流程寫成自動化的「劇本」。以前劇本多半一張警報跑一次；這次預覽的案件劇本，讓劇本直接面對整個資料夾。

Google 在 9 月 6 日的版本資訊中，預覽兩項功能：

官方文件說明了三個好處：能針對案件本身做操作、能對案件的所有實體合併執行一次，以及能依案件的生命週期變化自動觸發。

案件範圍的反應觸發共 6 種：

官方舉的例子：案件被改派時，自動更新外部工單系統的負責人，並寄摘要給新的負責人。

建立劇本時，範圍（Scope）預設是 Alert，要改選 Case 才會出現案件層級的觸發
實體去重：同一個 IP 或主機名稱常出現在多張警報裡，案件劇本的每個動作預設開啟「Deduplicate entities」，只把不重複的實體送去第三方工具，再把結果複製回相同的實體，省 API 額度；需要處理每一個重複實體時可以關掉
只處理 Open 狀態的警報：已關閉的警報資料不會被擷取
自訂程式要自己跑迴圈：內建整合預設支援案件流程；如果你寫了自訂動作或 Python 腳本，要確保程式會走過整個警報陣列，才不會漏掉實體
遠端代理：動作若在遠端代理執行，代理需為 2.6.6 以上，舊版會回報版本不支援
劇本名稱在整個平台必須唯一，案件劇本與告警劇本不能同名

我自己不是資安團隊，沒有用過 SecOps，所以這則對一般接案或自架的人影響有限。但裡面的設計想法蠻值得借用：同一件事，不要因為資料從不同入口進來就重做一遍。不管是串第三方 API、發通知，還是寫排程，只要有計價或有額度，先在上一層做去重，通常省得比想像中多。

另外，它目前還是預覽版，文件明講功能可能有變動、支援也有限。如果你的團隊要試，我會建議先在測試環境用不重要的案件跑看看，別一開始就接上會改動正式系統的動作。

Google SecOps 是什麼？

Google SecOps 是 Google Cloud 的資安營運平台，能蒐集記錄、偵測威脅，並透過 SOAR（資安協調與自動回應）把處理流程自動化。使用它的主要是公司或機構的資安團隊。

案件和警報有什麼不同？

警報是系統偵測到的單一事件，案件則是把多個相似的警報歸在一起的容器。以前的劇本多以單張警報為單位，案件劇本讓流程可以直接面對整個案件。

案件劇本會處理所有警報嗎？

不會。官方文件寫明，案件劇本執行時只會處理並擷取案件中狀態為「Open」的警報資料。

要怎麼開始用？

新增劇本時，把範圍（Scope）從預設的 Alert 改選 Case。官方提醒，預覽功能若在你的環境中看不到，需要請管理員到預覽功能管理頁開啟。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。