Security Center:Agen operasi keamanan

Team leader

Team Leader dibangun di atas rangkaian model Qwen dan berfungsi sebagai simpul koordinasi pusat untuk seluruh arsitektur Agent. Tanggung jawabnya meliputi:

• Global scheduling: Menerima dan memahami input pengguna atau event yang dipicu sistem untuk merencanakan tugas, serta memecah tugas operasi keamanan kompleks menjadi subtugas.

• Task decomposition: Memecah tujuan operasi keamanan tingkat tinggi menjadi subtugas spesifik yang dapat dieksekusi dan menetapkannya ke tim Agent khusus yang sesuai.

• Complex decision-making: Mengoordinasikan keputusan di antara beberapa tim Agent, menentukan urutan eksekusi dan prioritas tugas.

Specialized agent teams

Log standardization agent

Log Standardization Agent menggunakan teknologi pengenalan semantik untuk secara otomatis memahami log heterogen dari berbagai sumber dan menghasilkan kueri Search Processing Language (SPL) berkualitas tinggi. Agent ini menyatukan semantik dan menghilangkan kebutuhan menulis kueri secara manual. Agent ini hanya memerlukan fine-tuning ringan dan secara signifikan menurunkan kurva pembelajaran untuk standarisasi log.

• Core capabilities:

  • Secara otomatis memahami struktur dan makna field log mentah dalam berbagai format.

  • Menghasilkan sintaks SPL dengan satu klik untuk memetakan field log mentah ke model data keamanan terstandarisasi.

  • Memungkinkan Anda melakukan fine-tuning aturan standarisasi dengan tindakan point-and-click sederhana, sehingga tidak perlu menulis pernyataan parsing kompleks secara manual.

• Usage example:

  1. Buka Security Center console > Agentic SOC > Management > Access Settings. Di pojok kiri atas, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.

  2. Pada halaman Integration Settings, pada tab Standardized Rule, modifikasi atau buat aturan akses kustom. Setelah Anda memasukkan Sample Log, Anda dapat memanggil Alibaba Cloud Security Large Model untuk mendapatkan saran optimasi.

Incident investigation agent

Incident Investigation Agent dibangun di atas kerangka penalaran ReAct/Chain of Thought (CoT). Agent ini terus-menerus memahami perubahan lingkungan. Ketika alert host atau jaringan baru dikaitkan dengan suatu insiden dan status insiden tersebut adalah "Unprocessed", Agent secara otonom memulai investigasi dan analisis, sehingga memampatkan pekerjaan investigasi yang sebelumnya memakan waktu berjam-jam atau berhari-hari menjadi hitungan menit.

• Core capabilities:

  • Incident Investigation Agent memberikan kesimpulan yang jelas: Confirmed Attack, Suspected False Positive, atau Insufficient Information.

  • Kemampuan investigasi utamanya dibangun di atas rangkaian model Qwen, mendukung klasifikasi insiden, pengenalan entitas, dan inferensi jalur serangan. Berdasarkan hasil investigasi, Agent menganalisis cakupan dampak dan merekonstruksi rantai serangan beserta garis waktunya.

• Usage example:

  • Halaman Agentic SOC > Event Handling menampilkan hasil analisis AI.

    Kolom AI Analysis dalam daftar insiden menampilkan kesimpulan analisis untuk setiap insiden. Kesimpulannya berupa Confirmed Attack atau Not Supported.

  • Pada halaman detail insiden, lihat ringkasan insiden, cakupan dampak, tahapan rantai serangan yang terlibat, aturan deteksi, dan sumber alert. Gunakan graf ketertelusuran untuk melihat rantai serangan lengkap dan garis waktunya.

  • Pada halaman detail insiden, tab Agent Chain-of-Thought menampilkan informasi seperti konteks latar belakang, langkah-langkah penalaran, dan ringkasan kesimpulan untuk membantu Anda memahami proses investigasi dan penalaran Agent.

    Setelah Anda memilih tab ini, langkah-langkah penalaran akan ditampilkan di sebelah kiri, dan detail langkah yang dipilih muncul di sebelah kanan, termasuk ringkasan petunjuk, hipotesis awal, dan proses penalaran. Tombol Recommended Actions di bagian bawah halaman memungkinkan Anda merespons insiden keamanan dengan cepat.

Incident investigation report agent

• Incident Investigation Report Agent menghasilkan laporan investigasi teknis lengkap. Laporan ini meninjau insiden keamanan, mengonsolidasi bukti dan tindakan respons, serta memberikan rekomendasi peningkatan sistematis. Laporan mencakup klasifikasi dan ringkasan insiden, rantai serangan dan garis waktu, penilaian dampak, analisis akar masalah, indikator kompromi (IOCs), serta rekomendasi penguatan sistematis.

• Usage example: Buka halaman detail insiden target dan klik Full Report di bagian atas untuk melihat halaman detail laporan.

  Halaman detail laporan menampilkan hasil investigasi insiden yang dihasilkan secara otomatis oleh AI Agent. Pada contoh ini, alert berjudul "Backdoor (webshell) file detected multiple times" dan ditandai sebagai High. Halaman ini berisi informasi berikut:

  • Informasi alert dasar: field seperti sumber alert (Security Center), aturan analisis (aturan agregasi komputasi graf), tahapan ATT&CK, jumlah aset terdampak, jumlah alert terkait, pemilik, dan waktu kejadian.

  • Topologi rantai serangan: visualisasi jalur serangan dari penyerang ke host target lalu ke file berbahaya, seperti file webshell.

  • Analisis payload: konten kode dan hash MD5 file berbahaya.

  • Indikator IOC: indikator ancaman seperti command line proses.

Entity analysis agent

Entity Analysis Agent menggunakan AI untuk menilai tingkat risiko entitas berbahaya dan secara otonom menalar keputusan playbook atau tool mana yang digunakan untuk respons.

• Core capabilities:

  • Menampilkan proses analisis entitas, termasuk informasi dasar, proses analisis, kesimpulan, dan tindakan yang direkomendasikan.

  • Mendukung pemanggilan analisis entitas melalui Security AI Assistant untuk menganalisis entitas seperti IP, file, proses, nama domain, host, dan container.

  • Jika Agent menentukan suatu entitas bersifat berbahaya, Agent secara otomatis merekomendasikan kebijakan respons untuk eksekusi satu klik.

• Usage example: Pada halaman detail insiden, buka tab Entity, temukan entitas yang ingin Anda tangani, lalu klik AI Analysis.

Incident response agent

Agent ini menganalisis cakupan dampak berdasarkan hasil investigasi dan memberikan rekomendasi respons bertahap yang hati-hati, yang dieksekusi secara otomatis setelah tinjauan manual.

• Core capabilities:

  • Intelligent response recommendation: Mengambil log, data kerentanan, intelijen ancaman, dan konteks bisnis untuk memvalidasi rencana respons secara akurat.

  • Response in seconds: Secara otomatis memanggil tool (playbook, intelijen ancaman, sandbox, OpenAPI, dll.) untuk menjalankan operasi seperti pemblokiran, isolasi, dan verifikasi.

  • Manual review mechanism: Mendukung konfirmasi manual pada titik keputusan kritis untuk menyeimbangkan efisiensi dan keamanan.

• Usage example:

  1. Pada halaman Event Handling, temukan insiden target. Pada kolom Actions, klik Recommended Response.

  2. Pada panel Agent Recommended Policy, pilih entitas berbahaya yang ingin Anda tangani.

     Catatan

     Agent secara otomatis memilih playbook yang sesuai dan mengonfigurasi parameter terkait. Tidak diperlukan modifikasi manual.

  3. Setelah konfirmasi manual, klik Resolve.

Threat detection agent

• Core capability: Beberapa agen cerdas berbasis domain melakukan pemahaman semantik mendalam, korelasi, dan pelacakan sumber serangan pada dataset heterogen berskala besar. Hal ini menciptakan pusat keamanan digital komprehensif yang secara otomatis dan tepat mengidentifikasi ancaman keamanan yang dikenal maupun tidak dikenal sepanjang waktu.

• Usage example: Malicious Web Traffic Traceback Agent melacak trafik web berbahaya berdasarkan alert anomali di sisi host. Agent ini mengorelasikan alert host dengan log aliran WAF untuk membangun rantai analisis lengkap dari alert ke petunjuk pelacakan sumber, serta dari alert baru ke insiden terkait lintas domain, lalu menghasilkan alert keamanan yang sesuai.