Agentic SOC est une plateforme SIEM et SOAR native du cloud qui centralise la collecte des journaux et l'analyse des menaces dans les environnements multicloud et multi-comptes. Elle applique des règles de détection intégrées et des modèles d'IA pour identifier automatiquement les menaces, et orchestre la réponse automatisée via des playbooks. Cela élimine les silos de données, la lenteur de détection des menaces et les goulots d'étranglement liés aux réponses manuelles, courants dans les opérations de sécurité traditionnelles.
Cas d'utilisation
Gestion unifiée des journaux multicloud
Défi : Les journaux de sécurité dispersés dans les environnements multicloud et cloud hybride arrivent dans des formats incohérents, créant des silos de données. Sans vue unifiée, le suivi des attaques intercloud et la réalisation d'audits centralisés exigent des efforts manuels considérables.
Comment Agentic SOC vous aide :
Ingestion unifiée des journaux : Ingère des journaux hétérogènes provenant d'environnements multicloud, tiers et sur site dans un seul lac de données. Prend en charge des connecteurs pour des services tels qu'Amazon S3 et Apache Kafka.
Analyse syntaxique et normalisation intelligentes : Utilise un moteur d'analyse syntaxique flexible avec mappage de champs pour transformer les journaux bruts non structurés en un modèle de données unifié et standardisé en temps réel.
Analyse et suivi globaux : Exécute la détection unifiée des menaces, le suivi des attaques intercloud et l'audit de conformité sur la base des données normalisées.
Investigation des intrusions web
Défi : Après la compromission d'une application web, les attaquants enchaînent généralement plusieurs vulnérabilités. La corrélation manuelle des journaux du WAF, de la sécurité des hôtes et du trafic réseau pour reconstituer la séquence d'attaque est chronophage et sujette aux erreurs.
Comment Agentic SOC vous aide :
Détection et corrélation automatisées : Agentic SOC collecte et analyse les journaux du pare-feu d'applications web (WAF) et les journaux de sécurité des hôtes. Lorsqu'il détecte des activités telles que des téléchargements de WebShell et des exécutions de processus anormales, il corrèle automatiquement les alertes individuelles en un seul incident complet Web Intrusion.
Reconstitution du chemin d'attaque : La page de détails de l'incident affiche la chronologie complète de l'attaque, depuis l'accès web initial et l'exploitation de la vulnérabilité jusqu'à l'écriture du WebShell, l'exécution du shell inversé et l'exécution de commandes malveillantes.
Réponse automatisée : Exécutez le playbook Block Source IP via Cloud Firewall pour instruire automatiquement Cloud Firewall de bloquer l'adresse IP source de l'attaquant à la périphérie du réseau.
Remédiation des logiciels malveillants de cryptomining
Défi : Les logiciels malveillants de cryptomining consomment d'importantes ressources de calcul, augmentant les coûts du cloud et dégradant les performances des charges de travail légitimes. La localisation manuelle du processus, la suppression du fichier, le blocage des connexions aux pools de minage et la correction du point d'entrée sont lents et sujets aux erreurs.
Comment Agentic SOC vous aide :
Détection précise : Agentic SOC combine les journaux de sécurité des hôtes, les journaux de flux VPC et les renseignements sur les menaces intégrés pour identifier les processus de cryptomining tels que
xmriget les connexions réseau anormales vers les pools de minage, générant un incident Cryptomining Activity.Analyse assistée par l'IA : L'AI Assistant analyse l'incident et recommande des actions de réponse basées sur des cas historiques et les meilleures pratiques, par exemple : « arrêtez le processus malveillant et bloquez l'adresse IP du pool de minage ».
Réponse automatisée : Utilisez la Recommended Response Policy pour exécuter un playbook qui arrête le processus malveillant et met en quarantaine le fichier de cryptomining.
Fonctionnement
Agentic SOC suit un flux de travail en quatre étapes, de la collecte des journaux à la réponse automatisée :
Collecte et analyse syntaxique des journaux : Collecte les journaux bruts provenant des produits cloud, des appareils tiers et des applications métier.
Génération d'alertes : Identifie les menaces potentielles à partir de grands volumes de journaux en utilisant des règles de détection intégrées, ou ingère directement les alertes natives provenant de produits tiers.
Agrégation et gestion des incidents : Corrèle plusieurs alertes décrivant la même attaque en un seul incident à l'aide de règles de corrélation configurables et de modèles de calcul de graphes.
Orchestration de la réponse : Déclenche automatiquement des playbooks en fonction de conditions prédéfinies, ou manuellement. Les playbooks invoquent des actions de composants pour générer des politiques de réponse et distribuer des tâches de réponse pour une remédiation automatisée.
Concepts clés
|
Concept |
Définition |
En savoir plus |
|
Entité |
Un objet central impliqué dans une alerte ou un incident, tel qu'une adresse IP, un nom de domaine, un hachage de fichier, un processus, un hôte, un conteneur, un ID de ressource cloud (par exemple, un ID d'instance ECS) ou un compte utilisateur. Les entités constituent la base de la corrélation des alertes et de la reconstitution du chemin d'attaque. |
— |
|
Incident |
Un événement de sécurité à haute fidélité créé en corrélant plusieurs alertes connexes provenant de diverses sources de données, à l'aide de règles intégrées et de modèles de calcul de graphes. Agentic SOC agrège les alertes en un seul incident et reconstitue automatiquement la chronologie de l'attaque. |
— |
|
Politique de réponse |
Spécifie l'action de gestion pour une entité dans un scénario donné. Chaque action de réponse effectuée sur une entité génère une politique unique. |
— |
|
Tâche de réponse |
Une tâche exécutable individuelle générée à partir d'une politique de réponse et ciblant une portée spécifique. Chaque politique de réponse pour une entité est décomposée en une ou plusieurs tâches de réponse en fonction de la portée d'application. |
— |
|
Orchestration de la réponse |
Le processus d'organisation et de gestion des actions de réponse de sécurité via des flux de travail automatisés (playbooks). L'orchestration de la réponse exécute automatiquement une série d'opérations basées sur une logique prédéfinie pour gérer les incidents. |
— |
|
Playbook |
Un flux de travail de sécurité automatisé prédéfini composé de déclencheurs, de conditions, d'actions et de points de terminaison. Prend en charge l'édition graphique par glisser-déposer, vous permettant de personnaliser la logique de réponse pour des types d'incidents spécifiques tels que le cryptomining ou les ransomwares. |
— |
|
Composant |
Une interface qui se connecte et opère des systèmes ou services externes. Les composants sont les éléments constitutifs qui exécutent des actions spécifiques au sein d'un playbook. |
— |
|
Instance de ressource |
L'instance de service spécifique ciblée par une action, par exemple une instance Cloud Firewall. |
— |
|
Action |
Une capacité spécifique exécutée par un composant. Un seul composant peut contenir plusieurs actions. Par exemple, un composant de gestion des points de terminaison peut inclure des actions telles que la désactivation du compte, l'isolement du réseau et l'envoi de notifications. |
— |
|
Agent |
Une entité intelligente qui perçoit son environnement, prend des décisions et agit de manière autonome. Agentic SOC utilise une architecture collaborative hiérarchique multi-Agents où un Team Leader coordonne des équipes d'Agents spécialisés responsables de la détection des menaces, de l'investigation des incidents, de l'évaluation de l'impact et de l'interaction avec l'utilisateur. |
Architecture des Agents IA
L'architecture des Agents Agentic SOC intègre l'infrastructure de données de sécurité native du cloud d'Alibaba Cloud avec de grands modèles linguistiques de sécurité, offrant une équipe d'experts en sécurité basée sur des Agents IA qui détecte automatiquement les menaces, effectue un raisonnement approfondi, mène des investigations collaboratives et boucle rapidement la résolution.
Architecture à trois couches
|
Couche |
Composants |
Responsabilités |
|
Couche Cloud-Native Engine |
Simple Log Service (SLS), moteur de détection Flink/timed SQL, calcul de graphes Igraph, grand modèle linguistique (LLM) Qwen, moteur d'orchestration SOAR |
Capacités fondamentales de stockage de données, de calcul et d'IA |
|
Plateforme de gestion des Agents |
Bâtie sur AgentRun |
Gère les cycles de vie des Agents, la planification des tâches, la mémoire et l'orchestration des appels d'outils |
|
Couche d'intelligence des Agents |
Team Leader plus plusieurs équipes d'Agents spécialisés |
Raisonnement et prise de décision autonomes pour les tâches d'opérations de sécurité |
Chaque Agent fonctionne selon le cadre de raisonnement ReAct : percevoir l'environnement → raisonner et analyser → planifier les actions → exécuter → observer les résultats. Ce cycle se répète jusqu'à ce que la tâche soit terminée.
Team Leader et équipes d'Agents spécialisés
L'architecture utilise un modèle collaboratif hiérarchique multi-Agents :
Team Leader : Basé sur la série de modèles Qwen, le Team Leader est le nœud de distribution central responsable de la planification globale, de la décomposition des tâches et de la prise de décision complexe.
Équipes d'Agents spécialisés : Chaque équipe exécute des tâches indépendamment dans son domaine et collabore avec les autres.
|
Équipe |
Responsabilités |
Agents principaux |
|
Threat Detection |
Effectue une analyse approfondie sur de grands volumes de données hétérogènes multisources pour identifier les menaces connues et inconnues |
Process Chain Analysis Agent, Network Behavior Analysis Agent, File Behavior Analysis Agent, Persistence Detection Agent |
|
Incident Investigation |
Termine automatiquement les investigations d'incidents basées sur le cadre ReAct pour reconstituer les chemins d'attaque et les chronologies |
Attack Path Reconstruction Agent, IOC Extraction Agent, Action Validation Agent, Response Agent |
|
Impact Assessment |
Évalue l'étendue et le niveau de risque des incidents de sécurité |
Lateral Movement Investigation Agent, Risk Time Window Inspection Agent, Risk Correlation Analysis Agent |
|
User Interaction |
Interagit avec le personnel des opérations de sécurité pour fournir un soutien consultatif et analytique |
Investigation Deepening Trigger Agent, Inspection Task Setting Agent, Security Consultation (RAG) Agent |
Le support des Agents varie selon l'édition d'Agentic SOC. Pour plus de détails sur les différences de versions et la facturation, consultez Différences entre Agentic SOC Basic Edition et Security Operations Agent .
Avantages
Agentic SOC intègre un moteur d'Agent IA au cœur des opérations de sécurité, permettant un mode pilote automatique intelligent qui évolue de la collaboration homme-machine à la réponse entièrement automatisée.
Détection à haute fidélité avec un taux de réduction des alertes de 99,94 % Combine les renseignements mondiaux sur les menaces, le calcul de graphes et l'analyse des journaux native du cloud pour identifier avec précision les menaces nouvelles, inconnues et hautement évasives à partir de grands volumes d'alertes. Le temps moyen de détection des incidents de sécurité est réduit à quelques minutes.
Réponse automatisée en quelques secondes avec une couverture de remédiation de 95 % Fournit des politiques de réponse en un clic et des playbooks prêts à l'emploi, personnalisables et utilisables sans configuration manuelle. Coordonne avec les produits et l'infrastructure de sécurité pour offrir une analyse et une réponse entièrement automatisées. Le Security Operations Agent, un service intelligent premium alimenté par le moteur Agentic AI, s'intègre profondément aux données et à l'infrastructure de sécurité natives d'Alibaba Cloud. Il utilise la perception, le raisonnement et l'exécution autonomes pour analyser indépendamment les incidents de sécurité et accélérer la réponse.
Reconstitution complète de l'image d'attaque avec une prise de décision assistée par l'IA Utilise le calcul de graphes et un grand modèle linguistique de sécurité pour tracer et reconstituer automatiquement le chemin d'attaque complet et la chronologie. L'AI Assistant intégré résume les incidents et fournit des recommandations de réponse précises.
Vue globale unifiée avec un taux de découverte d'incidents inter-actifs de 90 % Collecte et traite les données de journaux provenant de tous les clouds, comptes et produits, réduisant la complexité des opérations de sécurité cloud hybride. La gestion et l'audit centralisés fournissent des informations de sécurité globales et simplifient les efforts de conformité.
Efficacité des opérations de sécurité
Le Mean Time To Detect (MTTD), le Mean Time To Acknowledge (MTTA) et le Mean Time To Respond (MTTR) sont des métriques standard pour l'efficacité des opérations de sécurité. Les données suivantes sont basées sur des statistiques réelles d'utilisateurs.
Aperçu de l'efficacité
|
Métrique |
Méthodes traditionnelles |
Agentic SOC |
Gain d'efficacité |
|
MTTD (Détection) |
Heures |
5 minutes |
De heures à minutes |
|
MTTA (Accusé de réception) |
Jours |
35 minutes |
De jours à minutes |
|
MTTR (Réponse) |
Jours / Semaines |
90 minutes |
De semaines/jours à 90 minutes |
Détails des métriques
MTTD (Mean Time To Detect) Temps moyen écoulé entre le moment où une attaque se produit et celui où le système la détecte pour la première fois. Agentic SOC réduit le temps de détection des menaces de plusieurs heures à 5 minutes, réduisant ainsi le temps de présence de l'attaquant et créant une fenêtre critique pour une réponse rapide.
MTTA (Mean Time To Acknowledge) Temps moyen écoulé entre la détection d'un incident et sa confirmation par l'équipe de sécurité en tant que menace réelle. Agentic SOC enquête et suit automatiquement les menaces après leur détection, réduisant l'analyse manuelle de plusieurs jours à 35 minutes.
MTTR (Mean Time To Respond) Temps moyen écoulé entre la confirmation d'une menace et la remédiation et la restauration complètes du système. Agentic SOC utilise des playbooks automatisés pour exécuter des actions critiques en quelques secondes après la confirmation, réduisant le temps de réponse global de plusieurs jours à 90 minutes, libérant ainsi les équipes de sécurité pour qu'elles se concentrent sur une analyse plus approfondie des menaces.
Efficacité du traitement par les Agents
|
Métrique |
Description |
|
Taux d'investigation et d'analyse autonomes : 81 % |
Les Agents IA terminent indépendamment l'analyse des incidents de niveau 1 et de niveau 2, validée sur l'ensemble des données d'alerte sans intervention humaine |
|
Taux de convergence des événements agrégés et de corrélation des alertes : 99,94 % |
Traite des dizaines de milliers à des millions d'alertes par semaine, les convergeant en centaines d'événements de sécurité |
|
Génération de rapports de traçabilité des incidents : 100 fois plus rapide |
Génère des rapports complets de la chaîne d'attaque en quelques minutes, contre plusieurs heures pour une analyse manuelle |
|
Efficacité d'intégration et de normalisation des journaux : 90 % |
Utilise la reconnaissance sémantique pour analyser et mapper automatiquement les journaux provenant de sources de données hétérogènes vers un modèle de sécurité unifié, et génère du SPL en un clic |
Produits et journaux pris en charge
Agentic SOC prend nativement en charge les journaux d'Alibaba Cloud, Huawei Cloud, Tencent Cloud, Fortinet, Chaitin, Sangfor et d'autres fournisseurs. Il prend également en charge l'ingestion de données à partir de produits personnalisés.
Pour plus de détails sur les politiques d'ingestion par défaut, les sources de données et les règles de normalisation, accédez à la console Agentic SOC.
|
Fournisseur |
Produit |
Type de journal |
|
Alibaba Cloud |
Security Center |
Journaux d'alerte de défense réseau, journaux de vérification de la configuration de la plateforme cloud, journaux de référence, journaux d'alerte de sécurité, journaux de vulnérabilité, journaux d'alerte Runtime Application Self-Protection (RASP) et journaux de gestion de la posture de sécurité cloud ; journaux d'instantané de compte, journaux d'instantané réseau et journaux d'instantané de processus ; journaux d'échec de connexion hôte, journaux de requête DNS, journaux de trace de connexion, journaux de démarrage de processus, journaux de connexion réseau et journaux d'attaque par force brute |
|
Web Application Firewall (WAF) |
Journaux complets WAF, journaux bloqués, journaux bloqués et observés, journaux complets anti-bot, journaux d'alerte d'événement de sécurité API, journaux de risque API et journaux d'alerte WAF |
|
|
Cloud Firewall |
Journaux d'alerte Cloud Firewall, journaux de trafic Cloud Firewall, journaux HTTP NDR, journaux DNS NDR et journaux d'alerte d'événement NDR |
|
|
Anti-DDoS |
Journaux complets Anti-DDoS Pro et Anti-DDoS Premium |
|
|
Bastionhost |
Journaux Bastionhost |
|
|
CDN |
Journaux de flux CDN |
|
|
Edge Security Acceleration (ESA) |
Journaux d'accès utilisateur DCDN et journaux bloqués DCDN WAF |
|
|
API Gateway |
Journaux API Gateway |
|
|
Container Service for Kubernetes (ACK) |
Journaux d'audit Kubernetes |
|
|
PolarDB |
Journaux d'audit SQL PolarDB-X 1,0 et journaux d'audit SQL PolarDB-X 2,0 |
|
|
ApsaraDB for MongoDB |
Journaux d'audit MongoDB |
|
|
ApsaraDB RDS |
Journaux d'audit SQL RDS |
|
|
Virtual Private Cloud (VPC) |
Journaux de flux VPC |
|
|
Elastic IP Address (EIP) |
Journaux Elastic IP Address |
|
|
Server Load Balancer (SLB) |
Journaux d'accès ALB et journaux d'accès CLB |
|
|
Object Storage Service (OSS) |
Journaux d'accès OSS |
|
|
ActionTrail |
Journaux d'événements ActionTrail |
|
|
CloudConfig |
Journaux d'audit de configuration |
|
|
File Storage NAS |
Journaux opérationnels NAS NFS |
|
|
AI Guardrails |
Journaux Alibaba Cloud AI Security Guardrail |
|
|
Tencent Cloud |
Web Application Firewall |
Journaux d'alerte Tencent Cloud Web Application Firewall |
|
Cloud Firewall |
Journaux d'alerte Tencent Cloud Firewall |
|
|
Huawei Cloud |
Web Application Firewall |
Journaux d'alerte Huawei Cloud Web Application Firewall |
|
Cloud Firewall |
Journaux d'alerte Huawei Cloud Firewall |
|
|
Azure |
Windows Defender for Endpoint |
Journaux d'alerte de point de terminaison |
|
Azure Active Directory |
Journaux d'audit Azure Active Directory et journaux d'audit de connexion Azure Active Directory |
|
|
Activity |
Journaux d'audit |
|
|
SQL Database |
Journaux d'audit SQL Server |
|
|
AWS |
CloudTrail |
Journaux CloudTrail |
|
Redshift |
Journaux d'audit Redshift |
|
|
GuardDuty |
Journaux d'alerte de découverte GuardDuty |
|
|
PostgreSQL on Amazon RDS |
Journaux d'événements PostgreSQL |
|
|
Volcengine |
Security Center |
Journaux d'alerte HIDS |
|
Fortinet |
Fortinet Firewall |
Journaux d'alerte Fortinet Firewall, journaux de flux Fortinet Firewall et journaux d'audit Fortinet |
|
Chaitin |
Chaitin WAF |
Journaux d'alerte Chaitin WAF et journaux de flux Chaitin WAF |
|
Microsoft |
Journaux d'événements de point de terminaison |
Journaux d'événements de sécurité Windows |
|
Sangfor |
Sangfor Endpoint Secure aES (EDR) |
Journaux d'alerte de détection et de réponse des points de terminaison |
|
Hillstone Networks |
Hillstone Networks Firewall |
Journaux d'alerte Hillstone Networks Firewall |
|
Tophant |
Tophant Full-Traffic Security Computing and Analysis Platform |
Journaux d'alerte du produit Tophant Full-Traffic Security Computing and Analysis Platform |
|
SkyGuard |
DLP |
Journaux d'alerte DLP |
|
Threatbook |
OneSEC |
Journaux d'alerte OneSEC |
|
Cisco |
Cisco Firepower Firewall |
Journaux d'alerte du pare-feu |
|
Palo Alto |
Next-Generation Firewall |
Journaux d'alerte du pare-feu |
|
Cortex XDR |
Journaux d'alerte Palo Alto Cortex et journaux d'alerte de point de terminaison |
|
|
Panorama |
Journaux du produit Panorama |
|
|
Ege Cloud |
Polaris |
Journaux d'accès au réseau interne de couche 4 et journaux d'audit de données |
|
Fournisseur personnalisé |
Produit personnalisé |
Journaux d'alerte du pare-feu, journaux de trafic du pare-feu, journaux d'alerte Web Application Firewall (WAF) et journaux de trafic WAF |
Mise à niveau de version
Les comptes qui activent Agentic SOC le 3 avril 2025 ou après cette date sont provisionnés sur la dernière architecture.
Agentic SOC 2.0 s'appuie sur les capacités de normalisation des journaux et exploite Simple Log Service (SLS) pour simplifier l'ingestion de données provenant de clouds tiers et de produits de sécurité sur site.
Pour une comparaison des principales différences entre les versions, consultez Différences entre Agentic SOC 2.0 et 1,0.
FAQ
En quoi Agentic SOC diffère-t-il d'un SIEM traditionnel ?
Agentic SOC est conçu spécifiquement pour les environnements natifs du cloud, avec trois différences fondamentales par rapport aux SIEM traditionnels :
Intégration native du cloud : S'intègre à Alibaba Cloud et à d'autres grands fournisseurs de cloud, comprenant les actifs cloud, les configurations et la topologie pour offrir une analyse des menaces contextuelle sur l'ensemble de votre environnement.
SOAR intégré : Inclut un moteur SOAR intégré. Agentic SOC ne se contente pas de détecter les menaces, mais utilise également des playbooks pour orchestrer la remédiation automatisée sur les produits et l'infrastructure cloud, bouclant ainsi la boucle de détection à la réponse.
Analyse pilotée par l'IA : Utilise le calcul de graphes intégré et un grand modèle linguistique de sécurité pour agréger automatiquement les alertes en incidents de sécurité et reconstituer les chronologies d'attaque, améliorant ainsi la détection des menaces avancées.
Scénarios prêts à l'emploi : Fournit des règles de détection et des playbooks de réponse prêts à l'emploi pour les scénarios d'attaque cloud courants tels que le cryptomining, les ransomwares et les intrusions web, sans configuration requise pour commencer.