Security Center:Reglas de detección

Descripción general

La función de gestión de reglas en Agentic SOC analiza registros estandarizados o ejecuta playbooks integrados para generar alertas de análisis agregadas y alertas de análisis personalizadas. Después crea incidentes de seguridad a partir de estas alertas mediante métodos como el cómputo de grafos, la transferencia directa de alertas y la agregación por tipo. Esto le ayuda a responder ante las amenazas. La gestión de reglas admite los siguientes cuerpos de regla para generar alertas e incidentes de seguridad:

• Sintaxis SQL: usa consultas SQL para ejecutar análisis de correlación sobre los registros dentro de un alcance específico. Incluye el filtrado de registros, la coincidencia de patrones y el cálculo de estadísticas por ventanas para detectar alertas y generar incidentes de seguridad.

• Playbook: llama a las API de los servicios en la nube y sigue un flujo de trabajo predefinido para detectar alertas y generar incidentes de seguridad. Este método se usa normalmente para las advertencias de estado del negocio.

Disponibilidad

Cuando activa el servicio Agentic SOC, el modelo de facturación y los elementos de facturación que seleccione determinan las funciones de gestión de reglas disponibles. Para más detalles, consulte Purchase and activate Agentic SOC.

• Suscripción:

  • Comprar solo Log Ingestion Traffic: reglas Predefined y Custom, que solo admiten registros estandarizados mediante "Scan Query".

    Nota

    Si también compra la función pay-as-you-go Log Management, se admiten todas las reglas personalizadas.

  • Comprar Log Ingestion Traffic y Agentic SOC (Log Storage Capacity): reglas Predefined y Custom.

  • Comprar solo Agentic SOC (Log Storage Capacity): no compatible.

• Pay-as-you-go: reglas Predefined y Custom, que solo admiten registros estandarizados mediante "Scan Query".

  Nota

  Si también compra la función pay-as-you-go Log Management, se admiten todas las reglas personalizadas.

Flujo de trabajo

Habilitar o deshabilitar reglas predefinidas

Las reglas predefinidas se habilitan de forma predeterminada. Usted puede habilitarlas, deshabilitarlas o consultar sus detalles. No es posible editar ni eliminar las reglas predefinidas.

1. Vaya a la página Agentic SOC > Management > Detection Rules en la consola de Security Center. En la esquina superior izquierda, seleccione la región donde se encuentran sus activos: Chinese Mainland o Outside Chinese Mainland.

2. En la pestaña Predefined, busque la regla predefinida que necesita. En la columna Actions, haga clic en Details para consultar su información básica, la configuración de generación de alertas y la configuración de generación de incidentes.

3. Para habilitar o deshabilitar una regla, haga clic en su interruptor Rule Status:.

   Nota

   Como alternativa, en la lista de reglas predefinidas puede hacer clic en Enable o en Disabled dentro de la columna Enabling Status para cambiar el estado de la regla.

   El cuadro de diálogo Rule Details contiene tres pestañas: Basic Information, Alert Settings y Incident Generation Settings. El interruptor Enabling Status se encuentra en la pestaña Basic Information. Este interruptor se vuelve verde después de habilitar la regla.

4. Las alertas que generan las reglas predefinidas coincidentes se muestran en la pestaña Detection Alerting de la página Agentic SOC > Alert.

Crear y habilitar reglas personalizadas

1. Vaya a la Security Center console > Agentic SOC > Manage > Detection Rules. En la esquina superior izquierda, seleccione la región donde se encuentran sus activos: Chinese Mainland o Outside Chinese Mainland.

2. En la pestaña Rule Template, haga clic en Create Rule dentro de la columna Actions de la plantilla deseada. También puede ir a la pestaña Custom y hacer clic en Create Custom Rule.

   Importante

   Crear reglas a partir de plantillas es más sencillo y eficiente.

3. En el panel Create Custom Rule, dentro de la pestaña Basic Information, introduzca un nombre y una descripción para la regla. Después, haga clic en Next.

4. En la pestaña Alert Settings, configure cómo se generan las alertas.

   Consulte las alertas generadas en Detection Alerting, dentro de la página Agentic SOC > Alert. Los elementos de configuración disponibles y sus valores varían según el cuerpo de la regla configurado. A continuación se detallan las opciones:

   Sintaxis SQL

   Este método utiliza SQL para analizar los registros dentro del alcance especificado. Aplica filtros, coincidencias de funciones y estadísticas por ventana con el fin de detectar alertas y generar eventos.

   Cuerpo de la regla

   Parámetro		Descripción
   Rule Body		El valor predeterminado es SQL.
   Log Scope		Seleccione el alcance de los registros que analizará la regla. Debe especificar la categoría y la estructura estandarizadas de dichos registros. Es posible seleccionar varias estructuras de registro estandarizadas. Haga clic en el enlace Standard Fields para consultar la descripción de los campos de registro correspondientes a la estructura actual.
   SQL Statement		La instrucción SQL consulta los registros de los eventos especificados para identificar comportamientos potencialmente maliciosos. Para obtener más información sobre cómo configurar una consulta SQL, consulte los siguientes temas: Para obtener más información sobre la sintaxis SQL, consulte SQL analysis syntax and functions.

   Configuración de programación

   Cuando usted habilita una regla personalizada basada en SQL, Agentic SOC crea un trabajo SQL programado correspondiente en Log Service (SLS). Esta creación se basa en la Scheduling Settings. Posteriormente, SLS genera varias instancias de ejecución según el intervalo de programación. Para más detalles, consulte Manage scheduled SQL jobs y Query data of scheduled SQL jobs.

   Parámetros de programación

   Parámetro	Descripción
   Scheduling Interval	Establezca la frecuencia con la que se ejecutan las consultas SQL. Se admiten los siguientes métodos: Fixed Interval: el valor debe estar entre 5 minutos y 24 horas. Cron: la precisión mínima es de minutos y el formato es de 24 horas. Ejemplos: 0/5 : se ejecuta cada 5 minutos, comenzando en el minuto 0. 0 0/1 *: se ejecuta cada hora, comenzando a las 00:00. 0 18 *: se ejecuta diariamente a las 18:00. 0 0 1 : se ejecuta a las 00:00 el primer día de cada mes.
   SQL Time Window	Especifique el intervalo de tiempo de los registros que consultará cada instancia SQL programada. El valor debe estar entre 5 minutos y 24 horas. Importante La ventana de tiempo SQL debe ser mayor o igual que el intervalo de programación.
   Start Time	Indica la hora en que las instancias SQL programadas comienzan a ejecutarse después de habilitar la regla. Se admiten los siguientes métodos: Rule Enabled At: el momento exacto en que se habilita la regla. Specified Time: una hora específica que usted establece, con precisión de minutos.

   Parámetros de ejecución

   • Hora de programación del trabajo: se determina mediante Start Time y Scheduling Interval. Este valor no se ve afectado por tiempos de espera agotados, retrasos ni rellenos de datos de la instancia anterior.

     Por ejemplo, si la hora de inicio de la regla es 10:58:45 del 16 de mayo de 2025 y el intervalo de programación es de 5 minutos, las horas programadas serán 10:58:45, 11:03:45 y 11:08:45 de ese mismo día, y así sucesivamente.

   • Hora de ejecución del trabajo: es la hora real en que comienza a ejecutarse el trabajo SQL programado. Si el trabajo se reintenta, corresponde a la hora en que inició el último reintento.

     Nota

     Un trabajo SQL programado puede agotar su tiempo de espera, sufrir retrasos o requerir relleno de datos. Esto provoca que la hora de ejecución difiera de la hora de programación.

   • Intervalo de tiempo de la consulta SQL: es el rango temporal para el análisis SQL. Se calcula a partir de la hora de programación del trabajo y SQL Time Window, de forma independiente a la hora real de ejecución. La fórmula es la siguiente: [hora programada redondeada hacia abajo al minuto - ventana de tiempo SQL, hora programada redondeada hacia abajo al minuto).

     Por ejemplo, suponga que la hora de inicio de la regla es 10:58:45 del 16 de mayo de 2025, el intervalo de programación es de 5 minutos y la ventana de tiempo SQL también es de 5 minutos.

     El rango de consulta SQL para el primer trabajo programado sería el siguiente:

     • Hora de programación: 2025-05-16 10:58:45

     • Rango de tiempo de consulta: [2025-05-16 10:53:00, 2025-05-16 10:58:00)

     El rango de consulta SQL para el segundo trabajo programado sería el siguiente:

     • Hora de programación: 2025-05-16 11:03:45

     • Rango de tiempo de consulta: [2025-05-16 10:58:00, 2025-05-16 11:03:00)

   Generación de registros de alerta

   Agentic SOC genera registros de alerta según la configuración de Alert Log Generation. Consulte estos registros en la página Agentic SOC > Log Management.

   Definición de atributos de alerta

   • Generating Structure: seleccione la categoría de registro para la alerta, como Endpoint Detection & Response o firewall.

     Nota

     Haga clic en View Standard Fields dentro de la lista desplegable para ver los detalles de los campos de este tipo de registro.

   • Alert Type: establezca el tipo específico de alerta que detecta la regla actual.

   • Alert Level:

     • Propósito: define el nivel de riesgo de la alerta.

     • Valores válidos: Information, Low, Medium, High y Critical.

   • ATT&CK Phase

     • Propósito: asocia el comportamiento de ataque detectado por la regla con las fases y técnicas de ataque correspondientes.

     • Configuración:

       • Haga clic en + Add Attack Phase para asignar varias fases de ataque.

       • Dentro de cada fase de ataque, seleccione varias técnicas.

     • Límite: seleccione un máximo de 5 técnicas de ataque en todas las fases.

   Entity Mapping

   Convierte los campos no estructurados de los resultados de la consulta, como direcciones IP o nombres de archivo, en objetos de entidad estructurados. Este proceso permite que el sistema agrupe todas las actividades relacionadas con una entidad, construya un perfil de amenazas y mejore la eficiencia del análisis.

   Procedimiento

   1. Seleccione un tipo de entidad

      • En la lista desplegable, seleccione el tipo de entidad que desea asignar, como host, archivo, dirección IP o proceso.

      • Haga clic en Add Entity Mapping para configurar varios tipos de entidades.

   2. Asigne las propiedades de la entidad

      • Configure las propiedades de cada entidad. Estas se dividen en dos categorías:

        • Propiedades obligatorias: representan el identificador único de la entidad. Por ejemplo, la propiedad obligatoria de una entidad de dirección IP es la propia dirección.

        • Propiedades opcionales: proporcionan información complementaria sobre la entidad. Por ejemplo, asocie un nombre de host a una entidad de dirección IP como propiedad opcional.

      • Haga clic en Add Entity Attribute Mapping para establecer varias propiedades en una misma entidad.

   3. Establezca los valores de las propiedades

      • Asigne un valor a cada propiedad seleccionada.

      • Formato: se admiten dos formatos:

        • Referencia de variable: $field_name$ (hace referencia a un campo de los resultados de la consulta).

        • Constante: un valor de cadena fijo que usted introduce directamente.

   Ejemplo:

   • Seleccione el tipo de enriquecimiento Network address.

   • is_malware (entidad maliciosa): establézcalo en 1.

   • ip (obligatorio): establézcalo en $src_ip$.

   • net_connect_dir (dirección de la solicitud): establézcalo en in.

   Alert Enrichment

   Genere dinámicamente nombres y descripciones de alerta mediante la referencia a campos de consulta como variables.

   • Alert Name:

     • Longitud y formato: la longitud máxima es de 50 caracteres.

     • Formato de referencia: $SQL_query_returned_field$.

     • Valor predeterminado (si se deja en blanco): se utiliza Rule Name.

     • Ejemplo: Se detectó un ataque de red multifrecuencia y multitype desde $src_ip$.

   • Descripción de la alerta:

     • Longitud: la longitud máxima es de 1,000 caracteres.

     • Formato de referencia de variable: $SQL_query_returned_field$.

     • Valor predeterminado (si se deja en blanco): se utiliza Rule Description.

     • Ejemplo: Alerta de: $product_code$, se detectó un ataque de red desde $src_ips$, los activos afectados incluyen: $dst_ips$.

   Importante

   Si el contenido final generado tras sustituir las variables supera el límite de longitud, el exceso se trunca automáticamente.

   Supresión de alertas

   La configuración de Alert Suppression limita la cantidad de alertas de seguridad generadas, pero no afecta la creación ni la entrega de los registros de alerta.

   Agentic SOC agrupa las alertas según todas las combinaciones posibles de los valores de los campos de condición de supresión. Cada grupo puede generar un máximo de 100 alertas de seguridad dentro de una ventana de supresión. Los registros coincidentes que superen este límite se suprimen.

   Parámetro	Descripción
   Suppression Window	Suppression Window define la ventana de tiempo para contar las alertas. La ventana de supresión comienza cuando la regla genera el primer registro de alerta. El valor debe estar entre 5 minutos y 24 horas. Nota Suponga que una regla genera su primer registro de alerta a las 10:58:45 del 16 de mayo de 2025 y la ventana de supresión está configurada en 10 minutos. La primera ventana abarca de 10:58:45 a 11:08:45, la segunda de 11:08:45 a 11:18:45, y así sucesivamente.
   Suppression Condition	Introduzca el nombre de la columna o el alias definido en la cláusula SELECT de la instrucción SQL. Si no configura este parámetro, el sistema utiliza de forma predeterminada el campo rule_id de la regla de análisis personalizado como condición de supresión. Agentic SOC agrupa las alertas según todas las combinaciones posibles de los valores de los campos de condición de supresión. Por ejemplo, si utiliza dos campos, a y b, como condiciones de supresión, donde el conjunto de valores de a es {1.2} y el de b es {3.4}, se crean cuatro combinaciones: {1.3}, {1.4}, {2.3} y {2.4}. Cada combinación representa un grupo. Cada grupo puede generar un máximo de 100 alertas de seguridad dentro de la ventana de supresión. Importante La condición de supresión es opcional. Si no la configura, la regla podrá generar un máximo de 100 alertas de seguridad durante toda la ventana de supresión.

   Playbook

   Este método llama a las API de los productos en la nube y utiliza un playbook para evaluar las condiciones de detección de alertas y generación de eventos. Resulta útil para las advertencias de estado del negocio.

   Nota

   Si crea una regla a partir de una plantilla de regla (basada en playbook), el sistema genera automáticamente un playbook personalizado correspondiente. Consúltelo en la pestaña Custom Playbooks de la página Agentic SOC > Response Rules.

   Cuerpo de la regla

   Parámetro		Descripción
   Rule Body		Seleccione Playbook.
   Playbook Name		Si crea una regla a partir de una plantilla de regla (basada en playbook), modifique el nombre del playbook. Este debe ser único. Si crea una regla al hacer clic en Create Custom Rule dentro de la pestaña Custom, seleccione un playbook en la lista desplegable. Importante La lista desplegable solo muestra los playbooks que cumplen todas las condiciones siguientes: El tipo de playbook es personalizado. El estado del playbook es publicado. El tipo de parámetro de entrada del nodo inicial del playbook debe ser Custom. El playbook no está asociado a ninguna otra regla de análisis y detección.
   Playbook Description		Si crea la regla a partir de una plantilla de regla (basada en playbook), modifique la descripción. Si crea la regla al hacer clic en Create Custom Rule dentro de la pestaña Custom, el sistema recupera automáticamente la descripción del playbook seleccionado desde la orquestación de respuestas. Dicha descripción no se puede modificar.

   Configuración de parámetros

   Configure los parámetros únicamente cuando cree una regla a partir de una plantilla de regla (basada en playbook). Cada playbook requiere parámetros distintos. Haga clic en el icono , junto a un parámetro, para consultar su definición y las instrucciones de configuración.

   Autorización

   Configure la autorización únicamente cuando cree una regla a partir de una plantilla de regla (basada en playbook).

   • Execution Role: si aún no ha creado un rol, haga clic en Create Role in RAM Console. En la página de autorización rápida de RAM, haga clic en Confirm Authorization. El sistema creará automáticamente un rol llamado AliyunSiemSoarExecutionDefaultRole.

     Nota

     Si no cuenta con los permisos necesarios para crear un rol, solicite a un administrador de RAM (un usuario de RAM con permisos de gestión de recursos o su cuenta de Alibaba Cloud) que lo cree y le adjunte una política de confianza en la RAM console. Para más detalles, consulte Create a RAM role for a trusted Alibaba Cloud service. La configuración es la siguiente:

     • Entidad de confianza: Alibaba Cloud Service.

     • Servicio de confianza: cloudsiem.sas.aliyuncs.com.

     • Nombre del rol: AliyunSiemSoarExecutionDefaultRole

   • Access Policy: el sistema enumera las políticas de permiso necesarias para ejecutar el playbook según la plantilla seleccionada. Si falta alguna política obligatoria, haga clic en Modify Permission Policy, seleccione las políticas pendientes y luego haga clic en Authorize in RAM Console. Complete la autorización en la página de autorización rápida de RAM.

     Importante

     Si no tiene los permisos necesarios, solicite a un administrador de RAM (un usuario de RAM con permisos de gestión de recursos o su cuenta de Alibaba Cloud) que adjunte la política de permiso correspondiente al rol AliyunSiemSoarExecutionDefaultRole. Para más detalles, consulte Manage the permissions of a RAM role.

   Configuración de programación

   Cuando el cuerpo de una regla personalizada es un playbook, Agentic SOC crea una tarea de playbook programada tras habilitarla. Esta creación se basa en la Scheduling Settings.

   Nota

   • If a scheduled task fails, the system retries it once after 30 seconds. If the retry also fails, the task is terminated and waits for the next scheduled cycle.

   • Consulte los registros de ejecución del playbook en la página de detalles del playbook personalizado, dentro del módulo Response Rules.

   Parámetro	Descripción
   Scheduling Interval	Establezca el intervalo de tiempo con el que se ejecutará el playbook. Se admiten los siguientes métodos: Fixed Interval: el valor debe estar entre 5 minutos y 24 horas. Cron: la precisión mínima es de minutos y el formato es de 24 horas. Ejemplos: 0/5 : se ejecuta cada 5 minutos, comenzando en el minuto 0. 0 0/1 *: se ejecuta cada hora, comenzando a las 00:00. 0 18 *: se ejecuta diariamente a las 18:00. 0 0 1 : se ejecuta a las 00:00 el primer día de cada mes.
   Start Time	Indica la hora en que el playbook comienza a ejecutarse después de habilitar la regla. Se admiten los siguientes métodos: Rule Enabled At: el momento exacto en que se habilita la regla. Specified Time: una hora específica que usted establece, con precisión de minutos.

   Generación de registros de alerta

   Agentic SOC genera registros de alerta según la configuración de Alert Log Generation. Consulte estos registros en la página Agentic SOC > Log Management.

   • Generating Structure: solo se admite la estructura Other Alert Logs.

     Nota

     Haga clic en View Standard Fields dentro de la lista desplegable para ver los detalles de los campos de este tipo de registro.

   • Alert Type: establezca el tipo específico de alerta que detecta la regla actual.

   • Alert Level:

     • Propósito: define el nivel de riesgo de la alerta.

     • Valores válidos: Information, Low, Medium, High y Critical.

   • ATT&CK Phase

     • Propósito: asocia el comportamiento de ataque detectado por la regla con las fases y técnicas de ataque correspondientes.

     • Configuración:

       • Haga clic en + Add Attack Phase para asignar varias fases de ataque.

       • Dentro de cada fase de ataque, seleccione varias técnicas.

     • Límite: seleccione un máximo de 5 técnicas de ataque en todas las fases.

   Supresión de alertas

   La configuración de Alert Suppression limita la cantidad de alertas de seguridad generadas, pero no afecta la creación ni la entrega de los registros de alerta.

   Agentic SOC agrupa las alertas según todas las combinaciones posibles de los valores de los campos de condición de supresión. Cada grupo puede generar un máximo de 100 alertas de seguridad dentro de una ventana de supresión. Los registros coincidentes que superen este límite se suprimen.

   Parámetro	Descripción
   Suppression Window	Suppression Window define la ventana de tiempo para contar las alertas. La ventana de supresión comienza cuando la regla genera el primer registro de alerta. El valor debe estar entre 5 minutos y 24 horas. Nota Suponga que una regla genera su primer registro de alerta a las 10:58:45 del 16 de mayo de 2025 y la ventana de supresión está configurada en 10 minutos. La primera ventana abarca de 10:58:45 a 11:08:45, la segunda de 11:08:45 a 11:18:45, y así sucesivamente.
   Suppression Condition	Las opciones de la lista desplegable provienen de los campos de registro estandarizados correspondientes al registro de alerta seleccionado en Generating Structure, dentro de la configuración de Alert Log Generation. Nota En la pestaña Standardized Rule de la página Agentic SOC > Integration Settings, haga clic en View Standard Fields para consultar los detalles de los campos del registro seleccionado. Agentic SOC agrupa las alertas según todas las combinaciones posibles de los valores de los campos de condición de supresión. Por ejemplo, si utiliza dos campos, a y b, como condiciones de supresión, donde el conjunto de valores de a es {1.2} y el de b es {3.4}, se crean cuatro combinaciones: {1.3}, {1.4}, {2.3} y {2.4}. Cada combinación representa un grupo. Cada grupo puede generar un máximo de 100 alertas de seguridad dentro de la ventana de supresión. Importante La condición de supresión es opcional. Si no la configura, la regla podrá generar un máximo de 100 alertas de seguridad durante toda la ventana de supresión.

5. En la pestaña Incident Generation Settings, configure cómo se generan los incidentes de seguridad.

   Consulte y gestione los incidentes generados en la página Agentic SOC > Incidents.

   Parámetro	Descripción
   Generate Incident	Especifique si se generará un incidente de seguridad cuando una alerta coincida con la regla.
   Incident Generation Method	Transmisión directa de alertas: genera un incidente de seguridad por cada alerta creada por la regla actual. Agregación del mismo tipo: agrupa todas las alertas generadas por la regla actual en un único incidente de seguridad.
   Aggregation Window	Configure el tamaño de la ventana únicamente para el escenario de Same-Type Aggregation. El valor debe estar entre 5 minutos y 24 horas. Por ejemplo, si la ventana de agregación es de 5 minutos, todas las alertas de seguridad generadas durante ese periodo se agruparán en un solo incidente de seguridad.

6. Habilitar la regla personalizada: una regla recién creada se encuentra en estado Disabled de forma predeterminada. Modifique su estado en la columna Status de la lista de reglas personalizadas.

   Nota

   Se recomienda probar la regla personalizada antes de habilitarla.

Probar una regla personalizada (opcional)

Antes de habilitar una regla personalizada, cambie su Enabling Status a Testing y consulte los resultados de la prueba de alerta para comprobar la salida de la regla. El sistema utiliza una lógica integrada para calibrar los campos de alerta, sus valores y los campos estandarizados. Revise los resultados de la calibración en la consola y ajuste el SQL o el playbook de la regla. De este modo, se asegura de que las alertas generadas cumplan con los requisitos de calibración.

Procedimiento:

1. En la pestaña Custom, cambie el Enabling Status de la regla objetivo a Testing.

2. En la columna de acciones de la regla objetivo, haga clic en View Alert Test Result.

3. En la página de detalles del resultado de la prueba, consulte el gráfico de tendencias de alertas y la lista de alertas. También puede hacer clic en Details en la columna de acciones de una alerta para consultar sus resultados de calibración.

Consultar y gestionar alertas e incidentes de seguridad

Cuando una regla de detección de amenazas entra en vigor, el sistema genera alertas e incidentes de seguridad si los registros ingresados coinciden con dicha regla. Gestione estos elementos como se describe a continuación:

• En la página Agentic SOC > Alert, consulte las alertas generadas en las pestañas Detection Alerting y Detection Alerting. Para más información, consulte security alerts.

• En la página Agentic SOC > Incidents, consulte y gestione los incidentes generados. Para más información, consulte security incidents.