Security Center:Assess and handle security incidents - Agentic SOC

Security AI Assistant

Le Security AI Assistant utilise un agent d'analyse d'entités pour évaluer de manière exhaustive le niveau de risque des entités malveillantes et propose des suggestions de traitement.

Exemples d'évaluation :

Rapport d'enquête et analyse par IA

Après avoir effectué la mise à niveau vers Security Operations Agent , le système utilise Agentic AI comme moteur principal. Ce moteur s'intègre aux données de sécurité natives et à l'infrastructure d'Alibaba Cloud. Il exploite les capacités autonomes de perception, de raisonnement et d'exécution de l'agent pour enquêter sur les incidents de sécurité et générer un Investigation Report.

1. Exécuter une enquête d'incident par agent IA :

   1. Enquête initiale : Lorsqu'un incident de sécurité est généré (par une règle d'analyse ou iGraph), l'Event Investigation Agent lance automatiquement une enquête.

   2. Enquête de suivi : Lorsque des alertes incrémentielles sont corrélées à l'incident de sécurité actuel, l'Event Investigation Agent déclenche automatiquement une nouvelle enquête.

2. Consulter les résultats de l'enquête : Accédez à la page des détails de l'incident cible et cliquez sur Full Report en haut de la page pour afficher les détails du rapport.

   Remarque

   Vous pouvez également consulter le résultat de l'analyse directement dans la colonne AI Analysis de la page de liste des incidents de sécurité.

   • Conclusion :

     Conclusion	Confidence interval	Description
     Likely False Positive	≤10 %	L'IA est fortement convaincue qu'il s'agit d'une activité bénigne, telle qu'une analyse de routine provenant d'une adresse IP opérationnelle connue.
     Unable to Determine	30 %–60 %	L'IA ne peut pas établir de détermination fiable en raison de l'absence de caractéristiques clés, de journaux incomplets ou d'un comportement ambigu.
     Confirmed Attack	>85 %	L'IA a trouvé une chaîne de preuves multisources correspondant aux TTP connus, confirmant que l'activité constitue une attaque réelle.

   • Détails de l'attaque : inclut les actifs affectés, la chaîne d'attaque, l'analyse de la charge utile, la chronologie de l'attaque et les noms des processus d'attaque.

3. Afficher les enregistrements d'enquête

   1. Accédez à la page des détails de l'incident cible et cliquez sur Response Activity dans le coin supérieur droit.

   2. Dans l'onglet Activity Log , définissez le filtre Response Scenario sur Incident Investigation .

   3. Vous pouvez consulter les enregistrements Incident Investigation ainsi qu'un résumé des résultats de l'enquête pour l'incident actuel dans la liste des journaux.

Agent Chain-of-Thought

Dans cet onglet, vous pouvez consulter la section Agent Chain-of-Thought . Elle affiche des informations telles que le contexte, les étapes de raisonnement et un résumé des conclusions pour vous aider à comprendre l'approche d'enquête de l'agent et les bases de sa prise de décision.

• Background Context : Fournit un Clue Summary et l'Initial Hypothesis de l'agent Initial Hypothesis .

• Reasoning Steps : Le nombre d'étapes d'enquête dépend de la complexité de celle-ci. Chaque étape affiche généralement la réflexion (Thinking) de l'agent Thinking , l'appel d'outil (Tool Call) Tool Call et les résultats de ces appels.

• Analysis Summary : Présente la conclusion finale de l'enquête. Elle affiche également tout Excluded Noise et le Data Source Status utilisé lors de l'analyse.

Diagramme de la chaîne d'événements

Dans cet onglet, vous pouvez afficher la chronologie de l'attaque et le diagramme de la chaîne d'événements. Le moteur d'analyse Big Data traite, agrège et visualise les données pour générer un graphique illustrant le déroulement de l'événement. Cela vous aide à identifier la cause de l'événement et à élaborer une stratégie de gestion dans les plus brefs délais. Cliquez sur les nœuds de l'événement pour afficher leurs détails et évaluez si l'événement de sécurité nécessite une intervention en fonction de la chronologie. Exemples d'évaluation :

• Si la chronologie indique qu'une alerte d'attaque initiale à petite échelle escalade rapidement en plusieurs alertes d'attaque étroitement liées de différents types en peu de temps, que le rythme de l'attaque s'accélère continuellement et que la portée des actifs affectés s'étend, l'événement de sécurité présente un risque élevé. Nous vous recommandons de le traiter immédiatement.

• Si aucune nouvelle alerte connexe n'apparaît dans la chronologie pendant une longue période et que l'attaque ne montre aucun signe de propagation, la priorité de traitement peut être abaissée.

Alert

Dans cet onglet, vous pouvez afficher la liste de toutes les alertes de sécurité agrégées dans l'événement. Obtenez davantage d'informations à partir de statistiques d'alertes multidimensionnelles, telles que le nombre d'alertes, les mesures de défense et l'heure d'occurrence, afin de déterminer la méthode et la phase d'attaque et de décider d'une solution de traitement. Exemples d'évaluation :

• Plusieurs alertes de même type ou de types liés peuvent indiquer une attaque à grande échelle ou une menace plus grave.

• En ce qui concerne les mesures de défense, vérifiez si les défenses déployées ont effectivement bloqué l'attaque. Si les défenses échouent ou sont insuffisantes, l'urgence du traitement de l'événement augmente.

• Si l'heure d'occurrence des alertes de sécurité récentes se concentre sur une période spécifique, l'attaque est probablement dans une phase active durant cette période.

Zone Overview

Cette section décrit les informations de base sur l'événement et ses phases d'attaque ATT&CK. Vous pouvez évaluer si l'événement de sécurité nécessite une intervention en vous basant sur les données de cette section, telles que le nombre d'actifs affectés, le nombre d'alertes associées, l'heure d'occurrence et les sources des alertes.

Exemples d'évaluation :

• Nombre d'actifs affectés : Un nombre élevé indique un impact significatif. Si des actifs métier essentiels, tels que des serveurs de base de données ou d'application, sont impliqués, l'événement peut avoir un impact majeur et doit être traité en priorité.

• Alertes associées : Un plus grand nombre d'alertes suggère une portée plus large et un risque potentiel plus important.

• Heure d'occurrence : Les événements récents peuvent encore avoir un impact et doivent être traités plus urgemment que les événements historiques.

• Source de l'alerte : La crédibilité et la gravité des alertes varient selon leur source. Les alertes provenant de modules de détection faisant autorité, tels qu'un module dédié d'analyse antivirus, indiquent des risques d'événement plus élevés.

Entity

Affiche les objets d'entité extraits de l'événement. Les types d'entités pris en charge incluent les hôtes, les fichiers, les processus, les adresses IP et les comptes d'hôte. Vous pouvez afficher et gérer les entités selon les dimensions suivantes :

• Toutes les entités : Affiche toutes les entités extraites de l'événement. Vous pouvez consulter le nombre d'événements associés, d'alertes associées et de tâches de traitement associées au cours des 30 derniers jours, et exécuter des playbooks.

• Actifs affectés : Affiche les actifs affectés par l'événement, ce qui vous aide à évaluer rapidement la portée des actifs impactés.

Vous pouvez évaluer si l'événement de sécurité nécessite une intervention en fonction des entités affectées. Exemples d'évaluation :

• Dans les détails de l'entité, vous pouvez afficher les informations de base, les renseignements sur les menaces d'Alibaba Cloud, les événements associés au cours des 30 derniers jours, les alertes associées au cours des 30 derniers jours et les tâches de traitement associées à l'entité d'adresse IP. Si les nombres sont élevés, un attaquant utilise peut-être continuellement l'adresse IP pour lancer des attaques. Prenez des mesures contre l'adresse IP, telles que son blocage.

• Dans l'onglet Affected Asset , si plusieurs actifs sont attaqués par la même adresse IP durant la même période, cela indique probablement une attaque ciblée contre une adresse IP spécifique. Prenez des mesures contre l'adresse IP, telles que son blocage.

Response Activity

• Fonctionnalités principales : Response Activity enregistre l'intégralité du processus d'analyse des risques et de traitement des réponses, et fournit des points d'entrée de gestion pour les stratégies de réponse clés, les tâches et le Activity Log afin de permettre aux membres de l'équipe de partager l'avancement de l'enquête et les informations de traitement lors de la collaboration. Après l'événement, vous pouvez examiner le processus d'activité pour capitaliser sur l'expérience acquise.

• Point d'entrée des opérations : Accédez à la page des détails de l'événement cible et cliquez sur Response Activity .

Politique recommandée

Deux types de politiques de gestion recommandées sont disponibles :

Mettre une alerte en liste d'autorisation

Vous pouvez ajouter des alertes à la liste d'autorisation lors de la gestion des incidents en utilisant soit l'option Add to Whitelist (règle de réponse automatisée), soit l'option Add Alert to Whitelist. Lorsque le système génère des alertes pour des activités normales (comme des interactions commerciales routinières via TCP ou des scans de détection réseau), la mise en liste d'autorisation empêche Security Center de signaler à plusieurs reprises ces comportements bénins.

Update Incident Status

Exécuter un playbook

Gestion automatique

Pour automatiser la gestion des incidents de sécurité, vous pouvez utiliser la fonctionnalité d'orchestration des règles de réponse fournie par Agentic SOC . En configurant des playbooks et des règles de réponse automatisées, vous pouvez gérer automatiquement les incidents de menace de sécurité par lots. Pour plus d'informations, consultez Règles de réponse .

Gérer les propriétés des événements