Agentic SOC memanfaatkan kemampuan manajemen multi-akun dari Resource Directory (RD) untuk mengelola dan menganalisis log keamanan dari seluruh akun secara terpusat. Topik ini menjelaskan cara mengonfigurasi solusi tersebut guna mendukung deteksi ancaman terpadu, respons event, dan operasi keamanan.
Ikhtisar
Jenis akun
Jenis akun | Deskripsi | Tanggung jawab |
Management account (MA) | Akun Alibaba Cloud yang telah menyelesaikan verifikasi identitas perusahaan. Akun ini merupakan pembuat dan administrator tingkat atas direktori sumber daya, dengan full kontrol atas organisasi. | Membuat struktur organisasi, mengundang atau membuat anggota, serta menunjuk administrator yang didelegasikan untuk layanan tertentu. Satu direktori sumber daya memiliki tepat satu management account. |
Member account | Akun Alibaba Cloud yang bergabung ke dalam resource directory untuk menjalankan layanan atau proyek tertentu. | Menjalankan layanan dalam akunnya sendiri dan mengaktifkan layanan log untuk produk Alibaba Cloud yang diperlukan sesuai kebijakan manajemen. |
Delegated administrator account | Akun anggota yang ditunjuk oleh management account untuk menjalankan tugas manajemen pada layanan Alibaba Cloud tertentu (Security Center dalam topik ini). | Membeli dan mengonfigurasi Agentic SOC, mengelola serta menganalisis log keamanan dari semua akun anggota yang termasuk dalam cakupan secara terpusat, serta menanggung biaya Agentic SOC dan penyimpanan log. |
Konfigurasi contoh
Contoh berikut menunjukkan struktur multi-akun khas untuk Agentic SOC:
Struktur resource directory:
Management account: Akun A
Member accounts: Akun B, C, D, dan E
Rencana manajemen:
Akun A menunjuk Akun B sebagai delegated administrator.
Akun B mengelola integrasi log, deteksi ancaman, dan penanganan event secara terpusat untuk akun C, D, dan E.
Cara kerja
Inti dari manajemen multi-akun Agentic SOC adalah delegasi izin dan sentralisasi data. Melalui Resource Directory, management account (MA) mendelegasikan tanggung jawab manajemen keamanan ke akun anggota yang ditunjuk (delegated administrator account), lalu mengonsentrasikan data log produk Alibaba Cloud dari akun anggota ke instans Agentic SOC milik delegated administrator untuk dianalisis. Alur kerjanya sebagai berikut:
Generasi log: Log dari produk Alibaba Cloud di setiap member account—seperti log Web Application Firewall (WAF) dan Cloud Firewall—ditulis ke Simple Log Service (SLS) dalam akun tersebut.
Pengumpulan terpusat: Layanan Agentic SOC milik delegated administrator menggunakan service-linked role untuk membaca data log secara real-time dari SLS setiap member account.
Analisis terpadu: Semua log yang dikumpulkan mengalir ke instans Agentic SOC milik delegated administrator untuk deteksi dan analisis ancaman terpadu.
Cakupan
Sebelum memulai, pastikan bahwa:
Semua akun (management account dan member accounts) milik perusahaan yang sama dan telah menyelesaikan verifikasi identitas perusahaan.
Integrasi log saat ini hanya mendukung log produk Alibaba Cloud.
Integrasi log multi-akun
Langkah 1: Beli dan aktifkan Agentic SOC
Delegated administrator membeli dan mengaktifkan layanan Agentic SOC. Untuk informasi selengkapnya, lihat Beli dan aktifkan Agentic SOC.
Aktivasi Agentic SOC di akun anggota tidak memengaruhi integrasi log.
Integrasi log dalam skenario multi-akun hanya mendukung mode Real-time Consumption. Sistem tidak menyimpan log mentah secara otomatis. Untuk melacak, mengaudit, atau menganalisis log historis, beli Log Storage Capacity (aktifkan layanan Log Management).
Langkah 2: Buat struktur direktori multi-akun
Aktifkan resource directory: Jika ini pertama kalinya Anda menggunakan Resource Directory, masuk ke Konsol Resource Management dengan management account. Di panel navigasi kiri, pilih Resource Directory > Overview.
Klik Enable Resource Directory dan ikuti petunjuk di layar untuk mengaktifkan Resource Directory. Untuk informasi selengkapnya, lihat Aktifkan resource directory.
Tambahkan member accounts: Di resource directory, tambahkan anggota dengan salah satu metode berikut:
Create a member: Di panel navigasi kiri, pilih untuk membuat resource account. Untuk informasi selengkapnya, lihat Create a member.
Invite a member: Pilih untuk menambahkan akun Alibaba Cloud yang sudah ada ke resource directory. Untuk informasi selengkapnya, lihat Undang akun Alibaba Cloud untuk bergabung ke resource directory.
Tetapkan delegated administrator: Di panel navigasi kiri, pilih . Di baris Security Center, klik Manage di kolom Actions. Tambahkan akun yang membeli Agentic SOC sebagai delegated administrator untuk layanan tepercaya tersebut. Untuk informasi selengkapnya, lihat Tambahkan akun administrator yang didelegasikan.
PentingSetelah Anda menambahkan administrator Security Center, akun tersebut juga menjadi administrator untuk Security Center - Threat Analysis.
Langkah 3: Tambahkan member accounts ke Agentic SOC
Masuk ke Konsol Security Center menggunakan delegated administrator account, lalu buka halaman Pengaturan Manajemen Multi-akun. Di pojok kiri atas, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.
Di tab Configure, pada bagian Total Monitored Accounts, klik Account Management.
Di panel Multi-account Management Settings, pilih member accounts dari daftar resource directory, lalu klik OK.
PentingSistem secara otomatis membuat dua service-linked role untuk setiap member account yang ditambahkan:
AliyunServiceRoleForSasRddanAliyunServiceRoleForSasCloudSiem. Peran ini memberikan izin minimum yang dibutuhkan Agentic SOC untuk mengumpulkan data log dari member accounts. Untuk informasi selengkapnya, lihat Service-linked roles untuk Security Center.
Langkah 4: Aktifkan layanan log untuk produk cloud
Untuk setiap member account, aktifkan layanan log untuk produk Alibaba Cloud terkait (kecuali Security Center itu sendiri). Untuk petunjuk pengaturan, lihat Referensi integrasi log produk Alibaba Cloud dengan SLS.
Log alert dari produk keamanan di Logstore pusat layanan Alibaba Cloud—seperti WAF alert logs dan Cloud Firewall alert logs—secara otomatis dikirimkan ke Agentic SOC. Tidak diperlukan pengaturan tambahan untuk produk-produk ini.
Langkah 5: Konfigurasi integrasi cross-account
Gunakan salah satu metode berikut untuk mengintegrasikan log dari member accounts ke Agentic SOC.
Integrasi otomatis batch
Integrasi otomatis batch menerapkan kebijakan akses ke beberapa akun dan sumber data sekaligus. Gunakan metode ini saat onboard banyak akun atau ketika ingin menggunakan kebijakan rekomendasi untuk memulai dengan cepat.
Masuk dengan delegated administrator account. Di panel navigasi kiri, pilih Agentic SOC > Integration Settings.
Klik Batch Associate Settings dan konfigurasikan parameter berikut:
PeringatanFull Access adalah tindakan overwrite. Ini menonaktifkan semua kebijakan yang sedang berjalan namun tidak dipilih dalam konfigurasi saat ini, yang dapat mengganggu data ingestion. Lakukan dengan hati-hati.
Klik Use Recommended Policy agar sistem secara otomatis memilih sumber data paling bernilai berdasarkan praktik terbaik. Ini adalah cara tercepat untuk mulai menganalisis data keamanan.
Parameter
Opsi
Kapan digunakan
Accessible Account
Increment Access: Mempertahankan semua kebijakan akses yang saat ini diaktifkan dan menambahkan yang baru dari konfigurasi ini.
Gunakan saat menambahkan akun atau sumber data baru tanpa mengganggu integrasi yang sudah ada.
Full Access: Menggantikan semua pengaturan akses yang ada. Kebijakan yang tidak dipilih dalam konfigurasi ini akan dinonaktifkan.
Gunakan saat melakukan rekonfigurasi penuh.
Accessible Account
Pilih member accounts yang akan diintegrasikan.
—
Alibaba Cloud Services
Pilih layanan cloud dan sumber datanya untuk diingesti.
—
Auto-Add New Data Sources
Aktifkan untuk secara otomatis menyertakan Logstore yang baru dibuat dalam cakupan sumber data saat ini.
Mengurangi pemeliharaan manual saat Logstore baru ditambahkan.
Klik OK. Sistem secara otomatis mengingesti log dari semua Logstore yang diaktifkan untuk akun yang dipilih dan mengaktifkan kebijakan akses yang sesuai.
PentingKebijakan akses baru mungkin memerlukan waktu untuk diterapkan dan diinisialisasi.
Untuk memverifikasi status integrasi, kembali ke daftar integrasi, temukan produk tersebut, lalu klik Multi-account Access Settings di kolom Actions. Di tab Access Policy, klik Multi-account Access di kolom Actions untuk sumber data target.
Integrasi manual
Gunakan integrasi manual saat Anda perlu mengonfigurasi produk tertentu secara individual.
Masuk dengan delegated administrator account. Di panel navigasi kiri, pilih Agentic SOC > Integration Settings.
Temukan produk cloud yang akan diintegrasikan lalu klik Multi-account Access Settings di kolom Actions.
PentingIntegrasi multi-akun hanya mendukung produk Alibaba Cloud.
Di kolom Actions untuk templat kebijakan yang diinginkan, klik Multi-account Access. Panel konfigurasi integrasi akun akan muncul.
Sistem menyediakan templat kebijakan integrasi preset untuk produk Alibaba Cloud. Templat ini tidak dapat dimodifikasi.
Klik Batch Add Account Settings, konfigurasikan parameter berikut, lalu klik OK:
Accounts: Sistem mencantumkan semua akun yang dapat dikelola oleh delegated administrator, kecuali akun yang sudah terintegrasi. Pilih satu atau beberapa akun.
Policy Status: Tetapkan apakah akan mengaktifkan kebijakan segera.
Tunggu sekitar satu menit hingga akun yang baru ditambahkan muncul di daftar integrasi.
Sistem mengidentifikasi informasi Logstore menggunakan API kueri log atau aturan penamaan Logstore default masing-masing produk cloud. Sistem kemudian mengambil semua log dari member accounts yang terintegrasi yang sesuai dengan templat integrasi.
Setelah integrasi selesai, sumber data secara otomatis dibuat untuk setiap member account dengan properti berikut:
Data Source Name: Nama templat integrasi\_ID Wilayah\_UID akun anggota
Data Source Type: Custom Log Service
Account UID/Username: UID dan username akun anggota
Sumber data dibuat untuk akun anggota meskipun kebijakannya tidak diaktifkan.
Analisis log multi-akun
Setelah integrasi dikonfigurasi, delegated administrator dapat melakukan operasi berikut terhadap data dari semua member accounts di Konsol Agentic SOC:
Deteksi ancaman terpadu: Konfigurasikan aturan deteksi ancaman untuk menjalankan deteksi real-time terhadap data log dari semua akun.
Penanganan event terpusat: Lihat dan tangani alert dari semua member accounts di halaman Security Events.
Respons otomatis: Buat playbook otomatis menggunakan Response Orchestration untuk menangani event keamanan lintas akun secara otomatis.
Pelacakan log global: Cari dan lacak log mentah dari semua member accounts menggunakan Log Management.
Hapus member account
Jika Anda tidak lagi memerlukan data log dari member account, batalkan kebijakan integrasinya secara manual.
Pembatalan integrasi tidak menghapus sumber data. Kelola sumber data di tab manajemen sumber data jika diperlukan.
Di tab Multi-account Access Settings, klik Multi-account Access di kolom Actions untuk templat integrasi.
Di panel konfigurasi integrasi akun, nonaktifkan kebijakan, lalu klik Remove di kolom Actions untuk akun tersebut.
(Opsional) Hapus sumber data: Di halaman manajemen sumber data, cari sumber data menggunakan format penamaan "Nama templat integrasi\_ID Wilayah\_UID akun anggota" lalu klik Delete.
FAQ
Saya tidak dapat menemukan akun yang ingin saya tunjuk sebagai delegated administrator
Periksa dua hal: pertama, pastikan akun tersebut telah berhasil ditambahkan sebagai anggota ke resource directory. Kedua, pastikan Anda masuk sebagai management account—hanya management account yang dapat menunjuk delegated administrator.
Status integrasi menunjukkan "Failed" atau "No Data" dalam waktu lama
Lakukan pemeriksaan berikut secara berurutan:
Layanan log tidak diaktifkan di member account: Hubungi pemilik member account untuk memastikan layanan log untuk produk Alibaba Cloud terkait telah diaktifkan dan mengirimkan log ke SLS. Ini adalah prasyarat untuk pengumpulan data.
Akun tidak dalam cakupan manajemen Agentic SOC: Di Konsol Security Center milik delegated administrator, buka System Configuration > Multi-account Management dan pastikan member account tersebut dipilih.
Service-linked roles tidak dibuat: Di Konsol Resource Access Management (RAM) milik member account, buka halaman Roles dan periksa apakah
AliyunServiceRoleForSasRddanAliyunServiceRoleForSasCloudSiemada. Jika tidak ada, hapus member account dari Agentic SOC lalu tambahkan kembali untuk memicu pembuatan peran.Integrasi masih dalam proses inisialisasi: Integrasi memerlukan waktu untuk selesai. Tunggu beberapa menit lalu periksa kembali.