How to configure automation rules - Security Center - Centre de documentation Alibaba Cloud

Les règles d'automatisation d'Agentic SOC orchestrent les systèmes et services de sécurité via SOAR (Security Orchestration, Automation, and Response) et permettent de répondre automatiquement aux alertes et aux incidents.

Contexte

Les experts en sécurité consacrent beaucoup de temps à des tâches routinières, comme les audits de sécurité ou la gestion des chevaux de Troie et des logiciels de minage de cryptomonnaies. Ils ont donc moins de temps pour se concentrer sur des missions critiques, telles que la défense du réseau et la recherche en sécurité.

SOAR automatise les routines quotidiennes de sécurité et accélère la réponse aux incidents. Les experts peuvent ainsi se concentrer sur les menaces persistantes avancées (APT). Les processus routiniers documentés sous forme de normes claires et exécutables dans SOAR servent également de bonnes pratiques pour l'ensemble des équipes.

Termes clés

Concepts fondamentaux des règles d'automatisation :

Terme	Description
playbook	Plan de réponse structuré qui définit les étapes à suivre lors de la détection d'incidents ou de menaces spécifiques. Définissez l'action Exécuter le playbook (Run Playbook) dans une règle d'automatisation pour gérer automatiquement les alertes et les incidents. Chaque playbook contient un seul processus. Appliquez le contrôle de version, exécutez des tests d'entrée/sortie, suivez le nombre d'exécutions et analysez les résultats. Types de playbooks : Predefined Playbook : Playbooks prêts à l'emploi pour les menaces courantes contre la sécurité cloud. Appliquez-les directement dans les règles d'automatisation. Par exemple, un playbook intégré peut bloquer les adresses IP entrantes à haut risque via un groupe de sécurité Alibaba Cloud. Custom Playbook : Playbooks définis par l'utilisateur avec des configurations de composants flexibles. Idéal pour une logique complexe ou des scénarios métier spécifiques.
processus	Série de tâches ou d'actions exécutées séquentiellement permettant d'atteindre un objectif spécifique grâce à des étapes prédéfinies. Parmi les exemples figurent les processus de notification automatique et de remédiation immédiate. Construisez des processus automatisés comme des organigrammes standard. Chaque processus contient des nœuds de démarrage, de décision, d'action et de fin composés de composants connectés. Modifiez le processus visuellement sur un canevas et définissez les actions pour chaque composant, telles que la désactivation du réseau pour le composant de gestion des terminaux. Le déclenchement d'un processus est possible après sa création. Par exemple, la création d'un ticket peut déclencher un processus automatique de révision des tickets.
composant	Un composant correspond à un système ou service externe, tel qu'un WAF, un pare-feu, un système de tickets, une base de données ou un service de notification. Les composants agissent comme des connecteurs : ils ne contiennent pas de logique complexe, mais délèguent les opérations aux systèmes externes connectés. Après avoir sélectionné un composant, choisissez les ressources et les actions associées. Les composants sont classés en composants d'orchestration de processus, composants d'orchestration de base et composants de gestion de la sécurité.
instance de ressource	Ressource spécifique au sein d'un service externe. Par exemple, si vous utilisez le composant MySQL, spécifiez la base de données MySQL à laquelle vous connecter.
action	Fonctionnalité fournie par un composant. Chaque composant prend en charge plusieurs actions. Par exemple, le composant de gestion des terminaux propose des actions telles que la désactivation de comptes, l'isolation du réseau et l'envoi de notifications.

Security Center:Automation rules

Contexte

Termes clés

Organigramme du processus