Lorsque le service Agentic SOC est activé, Security Center analyse les journaux ingérés et génère des alertes. Cette rubrique explique l'origine des alertes, les limites applicables et la procédure pour consulter leurs détails.
Après avoir activé Agentic SOC, les informations d'alerte de sécurité de la plateforme Cloud Workload Protection Platform (CWPP) sont migrées vers le répertoire des alertes de sécurité d'Agentic SOC. Consultez et gérez ces alertes dans l'onglet CWPP . Pour plus d'informations, consultez la page Évaluer et gérer les alertes de sécurité .
Prérequis
Avant de commencer, assurez-vous d'avoir :
Souscrit au service Agentic SOC et activé ce dernier. Pour plus d'informations, consultez la page Souscrire à Agentic SOC et l'activer
Ajouté les journaux des produits requis. Pour plus d'informations, consultez la page Accès aux produits
Sources des alertes
La page Alerts est structurée en onglets selon la source des alertes. Chaque onglet affiche les alertes provenant d'une source de données distincte.
| Onglet | Source de données |
|---|---|
| Aggregate and Analyze Alerts | Alertes générées par Agentic SOC à partir de vos journaux ingérés, sur la base de règles prédéfinies. |
| Custom Alert Analysis | Alertes générées par Agentic SOC à partir de vos journaux ingérés, sur la base de vos règles personnalisées. |
| CWPP | Alertes de détection et de défense contre les intrusions de Security Center pour les hôtes et les conteneurs. Consultez la page Alertes de sécurité - CWPP (Cloud Workload). |
| Cloud Firewall | Journaux d'alerte provenant d'Alibaba Cloud Firewall et de pare-feu tiers (tels que Tencent Cloud, Huawei Cloud et Fortinet) ajoutés à Agentic SOC. |
| WAF | Journaux d'alerte provenant d'Alibaba Cloud Web Application Firewall (WAF) et de produits WAF tiers (tels que Tencent Cloud, Huawei Cloud et Fortinet) ajoutés à Agentic SOC. |
| EDR | Journaux d'alerte provenant de services Endpoint Detection and Response (EDR) tiers ajoutés à Agentic SOC, tels que Sangfor aES. |
| Others | Tous les autres journaux d'alerte ajoutés à Agentic SOC, à l'exclusion des journaux de Security Center, Cloud Firewall, WAF et EDR. |
Différences entre les alertes Agentic SOC et les alertes CWPP
Les alertes de l'onglet CWPP se comportent différemment de celles des autres onglets. Les principales différences résident dans la méthode de détection et les options de gestion.
| Dimension | Alertes Agentic SOC (tous les onglets sauf CWPP) | Alertes CWPP (onglet CWPP uniquement) |
|---|---|---|
| Méthode de détection | Agentic SOC analyse les journaux ingérés par rapport à des règles prédéfinies et personnalisées. | Security Center détecte les intrusions à l'aide de modèles de détection des menaces basés sur l'activité des hôtes et des conteneurs. |
| Gestion individuelle | Impossible de gérer les alertes individuellement ; elles sont consultables uniquement. | Gestion individuelle possible. Les actions prises en charge incluent l'analyse des chevaux de Troie, la mise en quarantaine, le blocage et l'ajout à la liste d'autorisation. |
| Gestion des incidents | Gérez les incidents de sécurité, c'est-à-dire des regroupements d'alertes Agentic SOC, pour traiter les menaces. | Gérez à la fois les alertes individuelles et les incidents de sécurité agrégés. |
Rétention des alertes
Les alertes Agentic SOC (tous les onglets sauf CWPP) sont conservées comme suit :
30 jours par défaut.
180 jours si l'alerte déclenche une règle de génération d'événement et crée un événement.
Les alertes sont automatiquement supprimées à l'expiration de leur période de rétention.
Pourquoi les alertes Agentic SOC ne peuvent pas être gérées individuellement
Les alertes Agentic SOC sont sans état : chaque alerte est générée à partir de zéro à partir des données de journal ingérées, sans référence aux états d'alerte historiques. Agentic SOC analyse et émet des jugements sur la base des données de journal ajoutées. Il ne s'appuie pas sur des données historiques pour générer de nouvelles alertes.
Pour répondre aux menaces de sécurité identifiées par les alertes Agentic SOC, utilisez la fonctionnalité de gestion des incidents de sécurité. Les incidents de sécurité regroupent les alertes connexes en chaînes d'attaque complètes, et vous pouvez appliquer des actions de réponse au niveau de l'incident. Pour plus d'informations, consultez les pages Gérer les incidents de sécurité et Orchestration des réponses.
Consulter les alertes
Les étapes suivantes utilisent l'onglet Aggregate and Analyze Alerts à titre d'exemple.
Connectez-vous à la console Security Center. Dans le coin supérieur gauche, sélectionnez la région où se trouve votre ressource : China ou Outside China.Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, choisissez Agentic SOC > Alerts.
-
Dans l'onglet Aggregate and Analyze Alerts , passez en revue la liste des alertes générées par les règles prédéfinies. Pour chaque alerte, vous pouvez :
Cliquez sur le lien dans la colonne Affected Asset pour afficher les détails de la ressource concernée.
Cliquez sur le lien dans la colonne Entity pour voir les éléments ou comportements analysés par Agentic SOC — tels que les adresses IP, les processus ou les fichiers — qui constituent une menace.
Cliquez sur l'ID dans la colonne Associated Security Incident pour ouvrir l'événement de sécurité associé.
Dans la colonne Actions , cliquez sur Details pour ouvrir le panneau de détails de l'alerte. Le panneau affiche les informations de base de l'alerte, la ressource affectée, l'heure de survenue et la description.
Tutoriels sur la gestion des alertes virales courantes
Durcissement de la sécurité
Si vous détectez des menaces dans vos alertes, appliquez les mesures de durcissement suivantes pour réduire l'exposition :
Mettre à niveau Security Center : Les éditions Enterprise et Ultimate prennent en charge l'isolement automatique des virus, offrant une défense plus précise et un ensemble plus large de contrôles de sécurité.
-
Restreindre l'accès : N'ouvrez que les ports nécessaires (tels que 80 et 443). Appliquez des listes d'autorisation d'adresses IP strictes aux ports de gestion (22 et 3389) et aux ports de base de données (3306).
Pour les serveurs Alibaba Cloud ECS, consultez la page Gérer les groupes de sécurité .
Utiliser des mots de passe robustes : Définissez des mots de passe contenant des majuscules, des minuscules, des chiffres et des caractères spéciaux pour tous les serveurs et applications.
Maintenir les logiciels à jour : Mettez à jour les applications vers les dernières versions officielles. Évitez les versions qui ne sont plus maintenues ou qui présentent des vulnérabilités connues.
-
Effectuer des sauvegardes régulières : Créez une stratégie de snapshot automatique pour les données importantes et les disques système.
Pour les serveurs Alibaba Cloud ECS, consultez la page Créer une stratégie de snapshot automatique .
Corriger rapidement les vulnérabilités : Utilisez la fonctionnalité Vulnerability Fix de Security Center pour traiter les vulnérabilités importantes du système et des applications.
-
Réinitialiser le système du serveur (à utiliser avec prudence) : Si un virus a profondément compromis les composants sous-jacents du système, sauvegardez vos données et réinitialisez le serveur. Suivez ces étapes :
Créez un snapshot pour sauvegarder les données importantes. Consultez la page Créer un snapshot.
Réinitialisez le système d'exploitation. Consultez la page Réinitialiser un disque système.
Créez un disque à partir du snapshot. Consultez la page Créer un disque de données à partir d'un snapshot.
Attachez le disque au serveur réinstallé. Consultez la page Attacher un disque de données.
Étapes suivantes
Configurez des règles de détection d'alertes pour regrouper les alertes connexes en incidents de sécurité affichant des chaînes d'attaque complètes, réduisant ainsi le volume d'alertes et améliorant l'efficacité de la réponse. Consultez la page Configurer des règles de détection des menaces.
Interrogez les données d'alerte de sécurité à l'aide de l'API. Consultez la page Référence de l'API des alertes de sécurité.