Dans Agentic SOC, un incident de sécurité est un enregistrement complet d'une menace : il regroupe les alertes corrélées, les entités extraites (hôtes, adresses IP, fichiers et processus), les conclusions générées par l'IA ainsi qu'une reconstitution intégrale de la chaîne d'attaque. Plutôt que de trier individuellement des centaines d'alertes brutes, vous intervenez au niveau de l'incident, où le contexte est déjà assemblé et la priorité établie.
Une fois Agentic SOC activé, les incidents de sécurité issus des alertes de Cloud Workload Protection Platform (CWPP) sont migrés vers Agentic SOC pour traitement. Le flux de gestion est identique à celui des incidents natifs d'Agentic SOC. Pour plus d'informations, consultez Vue d'ensemble des incidents de sécurité CWPP .
Génération des incidents
Agentic SOC génère des alertes de sécurité sur la base de règles prédéfinies ou personnalisées, puis analyse le contexte transversal de plusieurs alertes connexes avant de les regrouper en un seul incident.
La génération des incidents varie selon la source de l'alerte :
Côté réseau : Agentic SOC détecte les activités malveillantes de reconnaissance, telles que les scans ou les sondages, à l'aide de règles prédéfinies, et les regroupe en incidents. Cette approche met en lumière les comportements initiaux des attaquants avant qu'ils ne puissent recueillir davantage d'informations sur votre environnement.
Côté hôte : Agentic SOC s'appuie sur la technologie de calcul de graphes pour corréler les alertes hôtes liées, par exemple celles qui partagent le même hachage MD5 ou le même ID de processus parent, et les agrège en un seul incident. Vous pouvez ainsi retracer rapidement le point d'entrée d'une attaque, sans avoir à reconstituer manuellement des dizaines d'alertes individuelles.
Toutes les alertes ne déclenchent pas la création d'un incident. Les conditions suivantes s'appliquent :
Toutes les alertes côté hôte génèrent des incidents. Une alerte côté hôte isolée, sans alertes connexes, est tout de même promue au statut d'incident.
Les alertes côté réseau génèrent des incidents uniquement si elles correspondent à une politique d'agrégation d'incidents définie dans une règle prédéfinie ou personnalisée.
Si une règle de liste d'autorisation d'incidents est configurée, les alertes correspondantes ne génèrent pas d'incidents.
Lorsque seules les règles prédéfinies sont activées, les incidents sont générés uniquement à partir des alertes correspondant aux méthodes de génération Graph Compute ou Expert Rules.
Rétention des incidents : La page Security Events affiche les incidents des 180 derniers jours.
Niveaux de risque
Chaque incident reçoit l'un des cinq niveaux de risque. Utilisez ce niveau pour déterminer l'urgence de votre réponse.
| Niveau de risque | Signification | Action recommandée |
|---|---|---|
| Serious | Une interruption de service s'est produite. Les fonctionnalités clés sont inaccessibles ou le réseau est hors service. Des comportements ou entités clairement malveillants ont été détectés, avec un impact sur plusieurs serveurs. | Examinez et traitez l'incident immédiatement. |
| High Risk | Des comportements ou entités clairement malveillants ont été détectés, par exemple un shell inversé ou un comportement anormal de processus. Une intrusion réussie a probablement déjà affecté vos actifs. L'impact est généralement limité à une seule machine. | Examinez et traitez l'incident immédiatement. |
| Medium Risk | Des comportements ou entités suspectés d'être malveillants ont été détectés. L'incident peut correspondre à une intrusion réussie ou résulter d'opérations de maintenance inhabituelles, comme une connexion anormale. | Consultez les détails de l'incident pour déterminer s'il s'agit d'une menace réelle, puis agissez en conséquence. |
| Low Risk | Intrusion possible ou sondages d'attaque continus provenant d'une source externe (par exemple, accès depuis 106,11.XX.XX). | Surveillez l'incident si vos actifs exigent un haut niveau de sécurité. |
| Reminder | Alertes issues de logiciels d'automatisation des tâches. Elles indiquent qu'une tâche planifiée a été exécutée ou a atteint une étape clé. | Aucune action requise. |
Contenu d'un incident
Chaque incident agrège deux types d'objets pour faciliter l'enquête et le traitement.
Alertes de sécurité
Agentic SOC agrège les alertes sources ayant déclenché l'incident. Les limites d'agrégation des alertes sont les suivantes :
Incidents de calcul de graphes : jusqu'à 2 000 alertes
Autres méthodes de génération (telles que l'agrégation par type) : jusqu'à 10 000 alertes
Le comportement d'agrégation varie selon le statut de l'incident :
| Statut de l'incident | Comportement d'agrégation |
|---|---|
| Unhandled | Les nouvelles alertes correspondant à l'incident continuent d'y être agrégées. |
| Handling, Handled ou Failed | Les nouvelles alertes ne sont pas fusionnées avec l'incident existant. Un nouvel incident est créé à l'état Unhandled. |
Pour consulter les détails des alertes, accédez aux onglets Aggregate and Analyze Alerts et Custom Alert Analysis de la page Agentic SOC > Alert. Pour savoir comment configurer les règles prédéfinies et personnalisées, consultez la rubrique Gestion des règles.
Entités
Les entités désignent les objets et acteurs spécifiques associés à un incident : hôtes, adresses IP, fichiers, processus, etc. Security Center extrait et agrège ces entités à partir des alertes corrélées, les classe comme malveillantes ou non malveillantes selon les tags de threat intelligence, et vous permet d'exécuter des playbooks ou d'interroger directement la threat intelligence d'Alibaba Cloud depuis la vue des entités.
Les types d'entités suivants sont pris en charge :
| Entité | Entité d'actif | Peut être identifiée comme malveillante |
|---|---|---|
| Hôte | Oui | Non |
| Adresse IP | Oui | Oui |
| Compte Alibaba Cloud | Oui | Non |
| Paire AccessKey | Oui | Non |
| Nom de domaine | Oui | Oui |
| Fichier | Non | Oui |
| Processus hôte | Non | Oui |
| Compte hôte | Non | Non |
| URL | Non | Non |
| Registre | Non | Oui |
| Conteneur | Oui | Non |
| Cluster | Oui | Non |
| Object Storage Service (OSS) | Oui | Non |
Rapports d'enquête et analyse IA
Les rapports d'enquête et l'analyse IA nécessitent le service Security Operations Agent en plus d'Agentic SOC. Pour comparer l'édition de base et Security Operations Agent, consultez la rubrique Différences entre l'édition de base d'Agentic SOC et Security Operations Agent.
Après la mise à niveau vers Security Operations Agent, Agentic AI analyse automatiquement chaque incident et génère un rapport d'enquête. Le système déclenche une enquête lors de la création d'un incident, puis à chaque fois que de nouvelles alertes lui sont corrélées.
Chaque rapport fournit un verdict clair :
| Verdict | Seuil de confiance |
|---|---|
| True positive | Supérieur à 85 % |
| False positive | Inférieur ou égal à 10 % |
| Insufficient information | Entre 30 % et 60 % |
Le rapport inclut également les actifs affectés, la chaîne d'attaque, l'analyse du payload et une chronologie de l'attaque.
Pour savoir comment examiner un rapport et agir en conséquence, consultez la rubrique Évaluer et traiter les incidents de sécurité Agentic SOC.
Traitement des incidents
Agentic SOC prend en charge deux types d'incidents :
Les incidents complets formés par l'agrégation de plusieurs alertes Agentic SOC selon des règles prédéfinies ou personnalisées
Les incidents de sécurité migrés depuis les alertes CWPP
Les méthodes de traitement suivantes sont disponibles :
| Méthode | Description |
|---|---|
| Recommended handling policies | Choisissez entre Agent Recommended Policy et System Recommended Policy. |
| Update incident status | Faites progresser manuellement un incident tout au long de son cycle de vie. |
| Whitelisting | Incidents Agentic SOC : uniquement les règles de réponse automatique. Incidents CWPP : les règles de réponse automatique et la liste d'autorisation des alertes. |
| Run playbooks | Exécutez des actions de réponse automatisées contre l'incident. |
| Automatic handling | Utilisez l'orchestration des réponses pour traiter les incidents sans intervention manuelle. |
Organigramme de traitement des incidents de sécurité
