How to use Agentic SOC, threat analysis and response - Security Center

Agentic SOC dans Security Center centralise les alertes et les journaux sur plusieurs environnements cloud, comptes et produits. Il applique des politiques de réponse pour traiter rapidement les menaces de sécurité, ce qui vous aide à améliorer l'efficacité de vos opérations de sécurité et à réduire les risques potentiels.

Flux de travail d'Agentic SOC

Le flux de travail d'Agentic SOC est le suivant :

Activez le service Agentic SOC.
Ingérez les journaux provenant des produits cloud ou des fournisseurs de sécurité.
Configurez et activez des règles de détection des menaces prédéfinies ou personnalisées pour analyser en profondeur les journaux collectés et reconstituer les chaînes d'attaque complètes.
Identifiez les menaces de sécurité et générez des alertes de sécurité.
Agrégez plusieurs alertes de sécurité pour générer des événements de sécurité.
Sur la base des politiques de réponse (recommandées ou personnalisées) ou de l'orchestration automatisée des réponses, coordonnez-vous avec les produits cloud concernés pour exécuter des mesures de sécurité telles que le blocage ou l'isolement des entités malveillantes.

Important

Actuellement, seuls les journaux d'Alibaba Cloud, Huawei Cloud et Tencent Cloud peuvent générer des événements de sécurité et effectuer un traitement automatisé complet des événements. Les journaux d'autres fournisseurs de sécurité ne peuvent générer que des alertes et ne prennent pas en charge le traitement automatisé. Pour plus d'informations, consultez Ajouter des journaux de fournisseurs de sécurité.

Exemple

Cet exemple montre comment Agentic SOC bloque automatiquement les adresses IP d'attaque via WAF grâce à l'orchestration automatisée des réponses, résolvant ainsi les problèmes courants liés à l'utilisation directe de Web Application Firewall (WAF) pour bloquer les adresses IP d'attaque, tels que le blocage accidentel d'utilisateurs légitimes et la complexité des configurations.

Prérequis

Acheter une instance WAF 3.0.
Vous avez ajouté les noms de domaine ou les produits cloud nécessitant une protection dans la console WAF. Cet exemple utilise une instance ECS. Pour obtenir la procédure détaillée, consultez Activer la protection WAF pour une instance ECS.

Flux d'accès : Dans le volet de navigation de gauche, cliquez sur Access Management. Sélectionnez l'onglet Cloud Product Access > Access. Dans la liste des produits cloud, sélectionnez ECS. Dans la boîte de dialogue Access Assets - ECS qui s'affiche, cliquez sur Add Port pour l'instance cible, cochez la case de l'instance, configurez Whether a Layer 7 proxy is deployed before WAF et Resource Group selon vos besoins, puis cliquez sur OK pour terminer la configuration d'accès.
Vous avez cliqué sur Enable Log Service for WAF dans la console WAF et activé la livraison des journaux pour l'objet protégé par WAF. Pour obtenir la procédure détaillée, consultez Activer Simple Log Service pour WAF.

Procédure

Étape 1 : Activer le paiement à l'utilisation pour Agentic SOC

Connectez-vous à la console Security Center. Sur la page Agentic SOC, cliquez sur Activate Pay-as-you-go.
Sur la page d'activation, décochez la case Enable Log Access Policy, puis cliquez sur Activate and Authorize.

Avertissement
La Access Policy ingère automatiquement les journaux de Security Center, Web Application Firewall, Cloud Firewall et ActionTrail, et vous facture en fonction du volume réel des journaux ingérés. Soyez prudent lorsque vous sélectionnez cette case. Cet exemple utilise uniquement l'accès Web Application Firewall avec la politique d'accès recommandée désactivée.
Après l'activation, le rôle lié au service pour Security Center est automatiquement autorisé. Pour plus d'informations, consultez Rôle lié au service pour Security Center.

Étape 2 : Ingérer les journaux Web Application Firewall

Important

Si vous avez sélectionné Enable Log Access Policy à l'étape 1, Agentic SOC ingère automatiquement les journaux Web Application Firewall. Vous pouvez ignorer cette étape.

Accédez à la page Integration Center dans la console Agentic SOC. Dans le coin supérieur gauche de la page, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.
Dans la colonne Operations de la ligne Web Application Firewall, cliquez sur Access Settings, puis activez la Access Policy.

Remarque
Le système détecte automatiquement le Logstore Web Application Firewall et l'écrit dans la Data Source correspondante.

Étape 3 : Activer les règles de détection prédéfinies

Dans la console Security Center, accédez à la page Agentic SOC > Management > Detection Rules.
Sous l'onglet Predefined, recherchez les règles liées à WAF, puis activez l'interrupteur Enabling Status pour les règles correspondantes.

Par exemple, recherchez waf dans le champ Rule Name pour filtrer les deux règles prédéfinies : WAF Alert Malicious Payload IP Associated with Host Outbound IP et WAF Alert Malicious Payload DNS Associated with Host Request DNS. Activez l'interrupteur Enable Status pour les deux règles.

Les règles de détection prédéfinies couvrent uniquement les attaques WAF générales, telles que la détection de charges utiles malveillantes OWASP Top 10. Elles ne prennent pas en charge les événements de sécurité API WAF comme déclencheurs. Pour bloquer automatiquement les adresses IP en fonction des journaux de sécurité API WAF, abonnez-vous à ces journaux et livrez-les à un Logstore Simple Log Service. Créez ensuite une règle de détection personnalisée dans Agentic SOC et configurez une règle de réponse automatisée qui appelle l'API OpenAPI WAF pour bloquer les adresses IP.

Étape 4 : Configurer les règles de réponse automatisée

Dans la console Security Center, accédez à la page Agentic SOC > Management > Response Rules.
Sous l'onglet Automated Rules, cliquez sur Create Rule. Sélectionnez Event Trigger, puis terminez la création des Automated Rules en suivant la configuration ci-dessous.

Exemple de configuration : Définissez le Rule Name sur waf_event_handle. Dans la section Rule Policy, définissez Feature sur incident_type, Condition sur in et Condition Value sur net-attack. Dans la section Rule Action, définissez Action sur Run Playbook et Specific Action sur Use System Recommended Built-in Playbook, puis cliquez sur OK.

Étape 5 : Vérifier le résultat du blocage des adresses IP

Après qu'une attaque a eu lieu sur une instance ECS ajoutée à WAF, consultez l'événement correspondant sur la page Incidents.
Sous l'onglet Incident Response, consultez les politiques de réponse et les tâches de réponse que le playbook a émises pour l'adresse IP d'attaque après le déclenchement de la règle de réponse automatisée.
- Consultez les politiques de réponse créées par la règle de réponse automatisée
  
  Sur la page Security Center > Incident Response, cliquez sur l'onglet Response Policies pour afficher les politiques de réponse créées par la règle de réponse automatisée. La barre de statistiques en haut de la page affiche le nombre de politiques de réponse, de politiques valides, de politiques invalides, de tâches de réponse, d'adresses IP en cours de blocage, de fichiers en cours d'isolement et de processus terminés. La liste des politiques comprend des colonnes telles que Policy ID, Entity Object, Entity Type, Playbook Name (par exemple, Built-in Alibaba Cloud WAF Block Inbound High-risk IP), Playbook Parameters, Target Account et Policy Status. Lorsque l'état de la politique indique Valid, la règle de blocage automatisée est entrée en vigueur.
- Consultez les tâches de réponse créées par la règle de réponse automatisée
  
  Sur la page Security Center > Incident Response, cliquez sur l'onglet Response Tasks pour afficher la liste des tâches de réponse créées par la règle de réponse automatisée. La liste comprend des colonnes telles que Task ID, Entity Object, Entity Type, Response Component et Task Status. Lorsque l'état de la tâche indique In Effect, l'adresse IP à haut risque a été bloquée avec succès via le composant AliYunWafBlockIP. Pour débloquer l'adresse IP, cliquez sur Unblock dans la colonne Actions.
Dans la console Web Application Firewall, consultez la règle de blocage des adresses IP d'attaque qu'Agentic SOC a ajoutée automatiquement.

Les étapes suivantes utilisent la console WAF 3.0 comme exemple.
1. Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de l'instance WAF.
2. Dans le volet de navigation de gauche, choisissez Protection Config > Core Web Protection.
3. Sur la page Core Web Protection, dans la section Custom Rule, consultez la règle de blocage des adresses IP d'attaque qu'Agentic SOC a émise automatiquement.
  
  Le nom du modèle de règle est similaire à siem_block_ip_template-1. La condition de la règle est IP is in les adresses IP d'attaque, l'action de la règle est Block, le type est Access Control et l'état est Activé.

Rubriques connexes

Pour obtenir des instructions de configuration détaillées sur l'achat d'Agentic SOC, consultez Description de la facturation.
Pour obtenir des informations détaillées sur l'accès aux produits cloud vers Agentic SOC, consultez Accéder aux produits cloud et Ajouter des journaux de fournisseurs de sécurité.
Pour obtenir des informations détaillées sur les règles de détection des menaces, consultez Configurer les règles de détection des menaces.
Pour obtenir des informations détaillées sur l'orchestration des réponses, consultez Orchestration des réponses.