Security Center:Règles de réponse automatisée

Fonctionnement

La fonctionnalité de réponse automatisée repose sur la logique « correspondance des conditions, exécution des actions ». Lorsque le système reçoit une nouvelle alerte ou un nouvel événement, il le traite selon le workflow suivant :

1. Entrée des données : Security Center reçoit et analyse les alertes de sécurité provenant de divers produits cloud (tels que WAF et AEGIS), puis agrège les alertes connexes en événements de sécurité sur la base de leur corrélation.

2. Correspondance des règles : Le moteur de réponse fait correspondre chaque règle activée avec le Trigger et la Filter Condition configurés.

3. Exécution des actions : En cas de correspondance réussie, le système exécute une ou plusieurs actions de réponse selon l'Order et la politique de Silence Rule définies dans la règle. Ces actions peuvent inclure l'exécution de playbooks et la modification des statuts d'événements.

4. Journalisation des résultats : Les résultats de toutes les actions automatisées sont enregistrés dans le Disposal Center à des fins d'audit et de traçabilité.

Concepts clés

• Entité : Objet opérationnel d'une action de réponse. Il s'agit d'informations clés extraites d'une alerte ou d'un événement, telles que les adresses IP, les hachages MD5 de fichiers et les noms de processus.

• Playbook : Workflow opérationnel automatisé prédéfini. Les règles de réponse automatisée gèrent des opérations complexes sur les entités en exécutant des playbooks.

• Types de règles de réponse automatisée :

  • Prédéfini : Le système fournit des politiques de réponse intégrées qui peuvent être activées directement. Vous pouvez consulter la configuration associée sur la page de détails, mais vous ne pouvez ni la modifier ni la supprimer.

  • Personnalisé : Response Orchestration offre une configuration flexible des règles de réponse. Personnalisez les règles de réponse en fonction de vos besoins métier.

Créer une règle de réponse automatisée

Après avoir créé une règle de réponse automatisée, Agentic SOC met en correspondance les nouveaux événements de sécurité selon la politique de règle que vous avez configurée. En cas de correspondance réussie, Agentic SOC exécute les actions de règle prédéfinies pour vous aider à répondre plus rapidement aux menaces de sécurité et à les atténuer.

1. Accédez à la console Security Center - Agentic SOC - Management - Response Rules. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Dans l'onglet Automated Rules, cliquez sur Create Rule.

   Remarque

   Vous pouvez également sélectionner une règle prédéfinie ou personnalisée existante, puis cliquer sur Actions > Copy pour créer rapidement une règle.

3. Configurez les Basic Information

   • Rule Name : Définissez un nom clair et compréhensible pour la règle. Nous recommandons le format Scenario_Object_Action, par exemple MiningProgram_Process_AutoTerminate.

   • Trigger : Sélectionnez une méthode appropriée en fonction de la condition de déclenchement.

     Méthode de déclenchement	Moment du déclenchement	Restrictions d'action
     Alert Occurrence	Se déclenche immédiatement lors de la génération d'une seule alerte.	Seules les options Run Playbook et Add Alert to Whitelist sont prises en charge.
     Event Occurrence	Se déclenche pour la première fois lorsque plusieurs alertes sont agrégées en un événement de sécurité.	Toutes les actions au niveau de l'événement et l'exécution de playbooks sont prises en charge.
     Event Update	Se déclenche lorsqu'une nouvelle alerte est associée à un événement existant (l'heure de survenance est mise à jour).	Toutes les actions au niveau de l'événement et l'exécution de playbooks sont prises en charge.

4. Configurez les règles de déclenchement et d'exécution

   Filter Condition

   Définissez les valeurs de champ spécifiques pour la règle de déclenchement. Les différentes méthodes d'exécution nécessitent différents champs de fonctionnalité. Dans la zone de configuration, cliquez sur Add Condition ou Add Group pour ajouter plusieurs conditions et groupes de conditions.

   • Logique des conditions :

     • Au sein d'un groupe : Plusieurs conditions peuvent être configurées dans un seul groupe de conditions, avec une relation définie sur AND ou OR.

     • Entre les groupes : Plusieurs groupes de conditions peuvent être configurés, la relation entre les groupes étant également définie sur AND ou OR.

     • Exemple :

       • Supposons qu'il existe 3 groupes avec la relation « group1 AND group2 OR group3 ».

       • Le group1 utilise la logique AND en interne, le group2 utilise la logique OR en interne et le group3 utilise la logique AND en interne.

   • Paramètres :

     • Champs de fonctionnalité : Les champs de fonctionnalité disponibles varient en fonction du Trigger . Reportez-vous à la console.

     • Champs de condition : Les conditions prises en charge sont décrites dans le tableau suivant.

       Condition	Description
       =	Égal à.
       <>	Différent de.
       contains	La chaîne contient.
       not contains	La chaîne ne contient pas.
       in	Figure dans les valeurs de condition. Séparez plusieurs valeurs par des virgules, par exemple condi1,condi2.
       not in	Ne figure pas dans les valeurs de condition. Séparez plusieurs valeurs par des virgules, par exemple condi1,condi2.
       is null	Est une chaîne vide. "", null et NULL sont tous traités comme des chaînes vides.
       is not null	N'est pas une chaîne vide.
       regexp	Correspond à une expression régulière.
       not regexp	Ne correspond pas à une expression régulière.
       not in ip dataset	Ne figure pas dans l'ensemble de données IP. Remarque L'ensemble de données ne peut être sélectionné qu'après avoir été configuré dans Agentic SOC > Agentic SOC > Integration Settings > Observation List.
       in ip dataset	Figure dans l'ensemble de données IP.
       not in dataset	Ne figure pas dans l'ensemble de données.
       in dataset	Figure dans l'ensemble de données.

   Rule Action

   Lorsqu'une alerte ou un événement de sécurité correspond à une règle de réponse automatisée, le système exécute séquentiellement toutes les actions de règle configurées pour l'entité spécifiée. Dans la zone Rule Action, cliquez sur Add pour ajouter plusieurs actions de règle.

   Important

   Si vous ajoutez plusieurs actions de règle, Agentic SOC exécute toutes les actions de règle séquentiellement lorsque la politique de règle correspond.

   • Restrictions d'action

     • Lorsque la méthode d'exécution est Alert Occurrence, seules les options Run Playbook et Add Alert to Whitelist sont prises en charge.

     • Lorsque la méthode d'exécution est Incident Occurrence/Incident Update, les actions suivantes sont prises en charge : Run Playbook, Change Incident Status, Change Risk Level, Use Recommend Playbook, Modify Owner, Add incident tag et Delete incident tag.

   • Détails de l'action

     • Run Playbook : Lorsque la politique de règle correspond, le playbook sélectionné est automatiquement exécuté.

       • Compatibilité des playbooks :

         • Les options Predefined Playbook et Custom Playbook publié sont prises en charge.

         • Un playbook ne peut être associé à une règle de réponse automatisée que si son nœud de démarrage est configuré avec des types de paramètres de sortie spécifiques. Les types d'entités pris en charge incluent : entité IP, entité fichier, entité processus, entité conteneur, entité nom de domaine, entité hôte et alerte de sécurité.

       • Playbook Parameters :

         Paramètre	Description
         Entité (telle qu'une adresse IP malveillante ou un processus malveillant)	Par défaut sur Automatically Obtain et ne peut pas être modifié. Agentic SOC récupère automatiquement les informations sur l'entité à traiter en fonction des informations de journal de l'alerte ou de l'événement entrant.
         Compte de destination	Le compte Alibaba Cloud qui exécute le playbook. Deux types de comptes sont pris en charge : Acquisition automatique par le système : Rempli automatiquement en fonction des informations sur l'objet entité. L'objet entité contient des descriptions d'attributs pour le compte Alibaba Cloud connecté à l'Agentic SOC actuel. Personnalisé : L'UID Alibaba Cloud actuel (compte racine) ou un compte membre géré par la gestion de la sécurité multi-comptes.
         Période de validité de l'action	Période de validité des actions de playbook IP. Si le playbook bloque une adresse IP et que la période de validité est définie sur 7 jours, l'adresse IP est bloquée pendant 7 jours et débloquée automatiquement à l'expiration. Si le playbook ajoute une adresse IP à une liste d'autorisation et que la période de validité est définie sur 7 jours, l'adresse IP est ajoutée à la liste d'autorisation pendant 7 jours et libérée automatiquement à l'expiration. Si le playbook surveille une adresse IP en mode observation et que la période de validité est définie sur 7 jours, l'adresse IP est surveillée avec des alertes pendant 7 jours et la surveillance est supprimée à l'expiration.

     • Add Alert to Whitelist :

       • Pour une alerte CWPP, le statut de l'alerte est automatiquement mis à jour vers Automatically Add to Whitelist. Pour une alerte Agentic SOC, le champ Add to Whitelist est mis à jour vers Yes et les notifications d'alerte ne sont plus envoyées.

       • Les alertes correspondant à cette règle de liste d'autorisation ne sont plus associées aux événements.

     • Use Recommend Playbook : Le système recommande un playbook prédéfini correspondant en fonction des informations sur l'alerte et l'entité.

       Remarque

       Vous pouvez consulter tous les playbooks intégrés dans l'onglet Predefined Playbook. Par exemple, pour une entité IP extraite d'une alerte WAF, le système recommande le playbook de blocage d'IP WAF.

     • Change Incident Status : Lorsque la politique de règle correspond, le statut de l'événement est automatiquement ajusté.

     • Change Risk Level : Lorsque la politique de règle correspond, le niveau de menace de l'événement est automatiquement ajusté.

     • Modify Owner : Attribue automatiquement un propriétaire à l'événement généré afin de garantir une réponse rapide aux événements de sécurité.

       Remarque

       Vous pouvez trouver l'enregistrement d'attribution automatique du propriétaire sous l'onglet Activity Log de l'onglet Response Activity de la page de détails de l'événement.

     • Add incident tag/Delete incident tag: Ajoute ou supprime automatiquement les tags spécifiés pour les événements afin de faciliter leur catégorisation, leur filtrage et leur gestion.

   Fréquence et ordre d'exécution des règles

   • Silence Rule : Pour la même entité exécutant le même playbook, une seule exécution maximum est autorisée dans une fenêtre d'une minute.

   • Order : Lorsque plusieurs politiques de règle correspondent, le système exécute toutes les actions de règle séquentiellement en fonction de l'Order spécifié.

5. Une règle est désactivée après sa création. Sur la page de liste des règles, cliquez sur l'icône dans la colonne Enabling Status pour activer la règle de réponse automatisée.

Consulter les enregistrements de traitement

Après l'activation d'une règle de réponse automatisée, le système exécute automatiquement les actions de règle lorsqu'un événement ou une alerte correspond à la politique de règle. Consultez les enregistrements de traitement via les méthodes suivantes.

• Incident Response : Accédez à Agentic SOC > Incident Response pour afficher les détails du traitement.

• Détails du playbook : Si un playbook est exécuté pour le traitement, un enregistrement d'exécution est généré. Consultez les enregistrements d'exécution historiques sur la page de détails du playbook.

• Playbook Execution Records : Accédez à Agentic SOC > Response Rules et cliquez sur l'onglet Playbook Execution Records pour afficher toutes les exécutions de playbooks.

Application en production

• Test et validation : Pour éviter les erreurs de manipulation, vérifiez la logique de déclenchement des règles avant d'utiliser des actions à haut risque (telles que le blocage d'adresses IP ou la suppression de fichiers) dans l'environnement de production.

• Éviter les conflits de règles : Planifiez l'ordre d'exécution des règles pour éviter des opérations contradictoires sur le même événement par plusieurs règles. Par exemple, une règle élève un événement au niveau High tandis qu'une autre le rétrograde au niveau Low. Le système exécute les actions séquentiellement et la dernière action écrase le résultat de la précédente.

• Considérations de performance : Dans la Filter Condition, utilisez les expressions régulières complexes (regexp) avec prudence. Des expressions inefficaces peuvent affecter les performances de correspondance des règles.

FAQ

• Pourquoi la règle que j'ai créée n'a-t-elle pas été déclenchée ?

  Résolvez le problème en effectuant les étapes suivantes :

  1. Statut de la règle : Vérifiez si la règle est activée sur la page de liste des règles.

  2. Conditions de filtrage : Vérifiez si les conditions de filtrage sont trop restrictives. Essayez d'assouplir les conditions ou d'utiliser une action inoffensive (telle que l'ajout de tags) pour les tests.

  3. Correspondance des champs : Confirmez que les valeurs de champ réelles dans l'alerte ou l'événement correspondent exactement aux valeurs définies dans les conditions de filtrage. Faites attention aux espaces, à la sensibilité à la casse et à d'autres détails.

  4. Silence Rule : Vérifiez si le mécanisme de Silence Rule supprime les actions répétées sur une courte période.

• Comment résoudre un échec d'exécution de playbook ?

  1. Consulter les enregistrements d'exécution : Accédez au Disposal Center ou à la page Historical Execution Records du playbook pour afficher les journaux détaillés et les informations d'erreur de la tâche ayant échoué.

  2. Vérifier les autorisations du compte : Vérifiez si le Destination Account (ou son rôle RAM) spécifié dans le playbook dispose des autorisations suffisantes pour effectuer les opérations associées, telles que la création de règles de groupe de sécurité VPC ou l'isolement de fichiers.

  3. Vérifier la configuration des paramètres : Confirmez que les informations sur l'entité de la règle de déclenchement sont complètes et peuvent être transmises en tant que paramètres valides au playbook.