Security Center:Gestion des journaux

Activer la gestion des journaux

Vous ne pouvez activer la fonctionnalité de gestion des journaux qu'en utilisant le mode abonnement ou le mode paiement à l'utilisation. Pour plus d'informations sur la facturation, consultez la section Facturation.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Detection and Response > Log Management. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

   Si vous avez acheté du trafic d'ingestion de journaux Agentic SOC par abonnement ou activé le paiement à l'utilisation pour Agentic SOC, l'entrée du volet de navigation de gauche devient Agentic SOC > Logs.

3. Sur la page Log Management, cliquez sur Subscribe (Annual/Monthly) ou Activate Pay-as-you-go.

   Remarque

   Si vous avez acheté du trafic d'ingestion de journaux Agentic SOC par abonnement ou activé le paiement à l'utilisation pour Agentic SOC, cliquez sur Enable Pay-as-you-go for Log Management dans le coin supérieur droit de la page actuelle, ou effectuez une mise à niveau pour acheter une capacité de stockage de journaux Agentic SOC. Pour plus d'informations, consultez la section Mettre à niveau ou rétrograder.

   • Pour activer le mode abonnement : Sur la page d'achat, définissez Purchase or Not pour Agentic SOC sur Yes, sélectionnez la capacité de stockage de journaux nécessaire, puis cliquez sur Order Now pour effectuer le paiement.

     Vous pouvez acheter d'autres fonctionnalités de Security Center selon vos besoins. Pour plus d'informations, consultez la section Guide d'achat.

   • Pour activer le mode paiement à l'utilisation : Dans la boîte de dialogue, lisez les règles de facturation, sélectionnez une région de stockage, puis cliquez sur Activate and Authorize.

4. Une fois la fonctionnalité activée, revenez à la page Log Management et vérifiez si l'état du service est Enabled. Les données de journaux commenceront à être livrées à SLS dans quelques minutes.

Désactiver la gestion des journaux

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Agentic SOC > Logs. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page Log Management, assurez-vous que Log Usage est de 0 Go.

   Si l'utilisation des journaux n'est pas de 0, cliquez sur Delete dans le coin supérieur droit de la page actuelle, attendez que l'utilisation des journaux soit effacée, puis passez à l'étape suivante.

4. Désactivez la fonctionnalité de gestion des journaux de l'une des manières suivantes.

   • Si vous utilisez le mode abonnement, désactivez la gestion des journaux en utilisant l'une des méthodes suivantes :

     • Méthode 1 : Rétrogradation

       1. Sur la page Overview, cliquez sur Change Configuration > Downgrade pour accéder à la page Downgrade.

       2. Dans l'onglet Order Downgrade, définissez Agentic SOC (Log Storage Capacity) dans la section Agentic SOC sur 0 Go.

       3. Lisez et acceptez le contrat de service Security Center, puis cliquez sur Order Now.

     • Méthode 2 : Désabonnez-vous de l'instance Security Center achetée. Pour plus d'informations, consultez la section Se désabonner d'un abonnement.

   • Si vous utilisez le mode paiement à l'utilisation, accédez à la page Overview de la console Security Center, repérez la section Enable Pay-as-You-Go Service, puis désactivez l'interrupteur Log Management.

     Important

     La désactivation de l'interrupteur de gestion des journaux désactive automatiquement la livraison des journaux et supprime le Logstore correspondant. Les données de journaux supprimées ne peuvent pas être restaurées. Procédez avec prudence.

Remarques pour les utilisateurs qui achètent uniquement du trafic d'ingestion de journaux ou activent le paiement à l'utilisation

Si vous avez acheté du trafic d'ingestion de journaux Agentic SOC par abonnement ou activé le paiement à l'utilisation pour Agentic SOC sans avoir acheté de capacité de stockage de journaux, vous pouvez interroger certains journaux normalisés sur la page Log Management. Les journaux pris en charge proviennent des politiques d'accès dont la Standardization Method est définie sur Scan Query.

Dans ce scénario, les journaux de Security Center ne peuvent pas être livrés ni consultés, pas plus que les journaux normalisés provenant des politiques d'accès dont la Standardization Method est définie sur Real-time Consumption. Pour plus d'informations sur les fonctionnalités prises en charge par différents éléments de facturation, consultez la section Aperçu de la facturation de la gestion des journaux.

Activer la livraison

Après l'achat d'une capacité de stockage de journaux, Agentic SOC active par défaut la livraison pour tous les types de journaux de Security Center. Si vous n'avez pas acheté les services à valeur ajoutée correspondants, tels que la protection des applications ou la détection de fichiers malveillants, les interrupteurs de livraison pour les types de journaux correspondants restent désactivés.

Cliquez sur Log Management Settings sur la page Log Management pour afficher et configurer l'état de livraison de chaque type de journal.

Sur la page des paramètres de gestion des journaux, la zone Basic Settings affiche la région de livraison des journaux comme étant China (Shanghai) et la langue de livraison des journaux comme étant Chinese. Dans la zone Log Storage Management, sous l'onglet Security Center Logs, les types de journaux d'hôte incluent :

• Attaques par force brute (aegis-log-crack)

• Instantanés de processus (aegis-snapshot-process)

• Requêtes DNS (aegis-log-dns-query)

• Instantanés de comptes (aegis-snapshot-host)

• Événements client (aegis-log-client)

• Journaux de connexion (aegis-log-login)

• Connexions réseau (aegis-log-network)

• Instantanés réseau (aegis-snapshot-port)

• Démarrage de processus (aegis-log-process)

Tous les interrupteurs de livraison sont activés et la période de rétention des journaux est de 180 jours.

Interroger les journaux

1. Dans le volet de navigation de gauche, choisissez Agentic SOC > Logs. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

2. Dans le coin supérieur gauche de la page Log Management, cliquez sur Security Center Logs et sélectionnez le type de journal que vous souhaitez afficher.

3. Définissez une plage de temps pour la requête, saisissez des instructions de requête pour récupérer les journaux, puis consultez les données d'analyse des journaux.

   Les méthodes d'interrogation des journaux utilisées par la gestion des journaux Agentic SOC sont identiques à celles utilisées par l'analyse des journaux de Security Center. Pour plus d'informations, consultez la section Analyse des journaux.

Livraison

• Agentic SOC génère les journaux normalisés après avoir consommé et analysé les journaux ingérés, puis les avoir normalisés selon un schéma commun. Les journaux normalisés contiennent des champs standard mappés par la syntaxe SPL (Search Processing Language). Vous ne pouvez pas activer ni désactiver la livraison des journaux normalisés. La livraison est activée dans les scénarios suivants :

  • Lorsque la Standardization Method d'une politique d'accès est définie sur Real-time Consumption, Agentic SOC livre par défaut les journaux normalisés au Logstore correspondant, classés par catégorie normalisée. La tâche de livraison des journaux est créée lors de la création de la politique d'accès.

  • Après la création de règles personnalisées, les journaux d'alertes normalisés générés par ces règles sont également livrés (journaux d'alertes EDR, journaux d'alertes de pare-feu, etc.).

• Si l'option Extended Field Ingestion d'une règle normalisée est définie sur Retain As Is, les champs d'origine non mappés sont également inclus dans les journaux normalisés, stockés dans un format Key-Value aplati. Pour plus d'informations, consultez la section Afficher la normalisation du format des journaux V2.

Afficher le nombre de références des journaux

1. Sur la page Log Management, cliquez sur Log Settings.

2. Dans le panneau Log Settings, affichez le nombre de références des structures normalisées sous l'onglet Standardized Log.

   Remarque

   Le nombre de références indique le nombre de politiques d'accès qui utilisent la catégorie et la structure normalisées correspondantes et dont la Standardization Method est Real-time Consumption.

Interroger les journaux

Agentic SOC permet de rechercher des journaux par structure de journal normalisée et d'interroger des données dans plusieurs Logstores à l'aide d'ensembles de données (StoreView). Pour plus d'informations sur l'interrogation et l'analyse des Logstores, consultez la section Interroger et analyser les journaux.

Modifier la période de rétention des journaux

La période de rétention par défaut pour les journaux livrés est de 180 jours. Vous pouvez modifier la période de rétention des journaux selon vos besoins.

1. Dans le volet de navigation de gauche, choisissez Agentic SOC > Logs. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

2. Dans le coin supérieur droit de la page Log Management, cliquez sur Log Settings.

3. Dans le panneau Log Settings, sous l'onglet Security Center Logs ou Standardized Log, cliquez sur l'icône dans la colonne Log Retention Period (TTL) pour modifier la période de rétention des journaux.

Augmenter ou supprimer la capacité de stockage

Affichez l'utilisation actuelle des journaux et la capacité totale sur la page Agentic SOC > Logs, et augmentez ou effacez l'espace de stockage des journaux selon vos besoins.

• Cliquez sur Scale Out pour acheter davantage de capacité de stockage de journaux.

  Assurez-vous que l'espace de stockage des journaux est suffisant. Si l'espace de stockage des journaux est plein, les nouveaux journaux ne peuvent pas être livrés.

• Cliquez sur Delete pour effacer tout l'espace de stockage. L'effacement des journaux prend environ 0 à 24 heures. Veuillez patienter pendant ce processus.

  Avertissement

  Une fois l'espace de stockage effacé, les données de journaux ne peuvent pas être restaurées. Exportez et sauvegardez les journaux avant d'effacer l'espace de stockage.

Réduire le volume de livraison des journaux

Si les coûts de stockage des journaux sont élevés, affichez la proportion de stockage de chaque type de journal et désactivez les types de journaux inutiles afin de réduire le volume de livraison et les coûts de stockage.

1. Connectez-vous à la console SLS et recherchez le projet dédié de Security Center, nommé au format aliyun-cloudsiem-data-{ID du compte Alibaba Cloud}-{RegionID}. Dans la zone de requête du Logstore, regroupez et comptez les journaux par le champ __topic__ pour afficher la distribution de chaque type de journal et identifier les types de journaux ayant une utilisation de stockage élevée, tels que les journaux de connexion, les journaux de connexions réseau et les journaux de démarrage de processus.

2. Dans le volet de navigation de gauche, choisissez Agentic SOC > Logs. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page Log Management, cliquez sur Log Settings.

4. Dans le panneau Log Settings, basculez vers l'onglet Security Center Logs, puis désactivez l'interrupteur de livraison pour le type de journal que vous ne souhaitez plus livrer.

Une fois la livraison des journaux désactivée, les journaux du type correspondant ne sont plus livrés à SLS. Les journaux historiques déjà stockés ne sont pas affectés et sont automatiquement supprimés après l'expiration de la période de rétention d'origine. Nous vous recommandons d'évaluer les exigences de conformité en matière de sécurité avant de désactiver un type de journal.

Pourquoi ne puis-je pas activer le paiement à l'utilisation pour la gestion des journaux ?

L'une des raisons suivantes peut vous empêcher d'activer le paiement à l'utilisation pour la gestion des journaux.

• Raison 1 : Vous avez acheté une capacité de stockage de journaux Agentic SOC ou une analyse de journaux par abonnement.

  Solution :

  1. Se désabonner de la capacité de stockage de journaux Agentic SOC achetée par abonnement ou de l'analyse de journaux.

  2. Activer le paiement à l'utilisation pour la gestion des journaux.

• Raison 2 : Agentic SOC utilise l'architecture 1,0.

  Solution :

  1. Mettre à niveau la fonctionnalité Agentic SOC de la version 1.0 à la version 2.0.

  2. Activer le paiement à l'utilisation pour la gestion des journaux.

  Remarque

  Si vous décidez de ne pas mettre à niveau vers l'architecture Agentic SOC 2.0 pour le moment mais que vous devez utiliser la gestion des journaux, vous pouvez acheter une capacité de stockage de journaux Agentic SOC par abonnement.

• Raison 3 : Vous avez acheté une capacité de stockage de journaux Agentic SOC par abonnement le 26 avril 2024 ou avant cette date, et vous utilisez les fonctionnalités Agentic SOC.

  Si vous faites partie de ces utilisateurs, effectuez une mise à niveau vers l'architecture Agentic SOC 2.0. Après la mise à niveau, vous conservez la même quantité de capacité de stockage de journaux Agentic SOC que celle précédemment achetée (mode abonnement) et pouvez utiliser normalement la gestion des journaux. Pour passer de l'abonnement au paiement à l'utilisation, reportez-vous à la solution de la Raison 1. Pour plus d'informations sur la mise à niveau de l'architecture Agentic SOC, consultez la section [[Avis] Mise à niveau d'Agentic SOC](t2893161.xdita#).

Quelle est la différence entre l'analyse des journaux et la gestion des journaux ?

L'analyse des journaux et la gestion des journaux sont toutes deux des fonctionnalités d'interrogation et d'analyse des journaux de sécurité fournies par Security Center. Par rapport à l'analyse des journaux, la gestion des journaux fournit non seulement des capacités de livraison et d'analyse pour les journaux provenant des modules de Security Center (tels que les vulnérabilités, les alertes de sécurité et les événements client), mais prend également en charge la livraison et le stockage des journaux normalisés par Agentic SOC. Si vous avez des exigences de conformité en matière de protection classifiée ou d'autres besoins de stockage et d'analyse des journaux de sécurité, nous vous recommandons d'utiliser la gestion des journaux.

• L'analyse des journaux convient aux scénarios où vous devez afficher rapidement les journaux de Security Center.

• La gestion des journaux convient aux scénarios nécessitant un stockage à long terme, un audit de conformité et une interrogation des journaux normalisés et des journaux réseau.

Le tableau suivant décrit les différences entre les deux fonctionnalités :