Security Center:Agentic SOC (sebelumnya CTDR)

Kasus penggunaan

Cara kerja

Agentic SOC mengintegrasikan log dari lingkungan multi-cloud, beberapa akun, berbagai produk, dan vendor keamanan berbeda melalui alur kerja standar. Platform ini menggunakan aturan deteksi ancaman untuk menganalisis log dan menghasilkan insiden keamanan. Kemampuan orkestrasi responsnya berkoordinasi dengan produk cloud terkait untuk menjalankan langkah-langkah keamanan seperti pemblokiran atau isolasi entitas berbahaya, sehingga memungkinkan respons insiden yang cepat dan efektif. Tahapan intinya adalah sebagai berikut:

1. Pengumpulan dan penguraian log: Mengumpulkan log mentah dari berbagai sumber data, termasuk produk cloud, perangkat pihak ketiga, dan aplikasi bisnis.

2. Generasi peringatan: Mengidentifikasi potensi ancaman dari volume log yang besar dengan menggunakan aturan deteksi bawaan atau langsung mengingesti peringatan asli dari produk pihak ketiga.

3. Agregasi dan penanganan insiden: Mengagregasi beberapa peringatan yang menggambarkan serangan yang sama menjadi satu insiden dengan menggunakan aturan korelasi yang dapat dikonfigurasi dan model komputasi graf.

4. Orkestrasi respons: Insiden memicu playbook baik secara otomatis berdasarkan kondisi yang telah ditentukan maupun secara manual. Playbook ini memanggil aksi komponen untuk menghasilkan kebijakan respons dan mengirimkan tugas respons guna remediasi otomatis.

Konsep utama

• Entitas: Entitas adalah objek inti yang terlibat dalam peringatan atau insiden, seperti alamat IP, nama domain, hash file, proses, host, kontainer, ID sumber daya cloud (misalnya, ID instans ECS), atau akun pengguna. Entitas menjadi dasar untuk mengorelasikan peringatan berbeda dan merekonstruksi jalur serangan.

• Insiden: Insiden adalah event keamanan berkualitas tinggi yang dibuat menggunakan aturan bawaan dan model komputasi graf untuk mengorelasikan beberapa peringatan terkait dari berbagai sumber data. Agentic SOC mengagregasi peringatan-peringatan tersebut menjadi satu insiden dan secara otomatis merekonstruksi garis waktu serangan.

• Kebijakan respons: Menentukan aksi penanganan untuk suatu entitas dalam skenario tertentu. Kebijakan unik dihasilkan untuk setiap hasil aksi respons yang dilakukan pada suatu entitas.

• Tugas respons: Pekerjaan individual yang dapat dieksekusi yang dihasilkan dari kebijakan respons dan ditujukan pada cakupan tertentu. Dalam respons insiden, setiap kebijakan respons untuk suatu entitas dipecah menjadi satu atau beberapa tugas respons berdasarkan cakupan penerapannya.

• Orkestrasi respons: Proses mengatur dan mengelola aksi respons keamanan melalui alur kerja otomatis, yang dikenal sebagai playbook. Orkestrasi respons secara otomatis menjalankan serangkaian operasi berdasarkan logika yang telah ditentukan untuk mencapai penanganan insiden otomatis.

  • Playbook: Alur kerja keamanan otomatis yang telah ditentukan sebelumnya, terdiri dari pemicu, kondisi, aksi, dan titik akhir. Playbook mendukung pengeditan grafis drag-and-drop, memungkinkan Anda menyesuaikan logika respons untuk insiden keamanan spesifik seperti penambangan kripto atau ransomware.

  • Komponen: Antarmuka yang digunakan untuk menghubungkan dan mengoperasikan sistem atau layanan eksternal. Komponen merupakan blok bangunan yang menjalankan aksi spesifik dalam playbook.

  • Instans resource: Instans layanan spesifik yang menjadi target aksi, seperti instans Cloud Firewall.

  • Aksi: Kemampuan spesifik yang dieksekusi oleh Komponen. Satu Komponen dapat mencakup beberapa aksi. Contohnya, komponen perangkat lunak manajemen titik akhir mungkin menyertakan aksi seperti menonaktifkan akun, mengisolasi jaringan, dan mengirim notifikasi.

• Agen: Entitas cerdas yang dapat mempersepsi lingkungannya, membuat keputusan, dan mengambil tindakan secara otonom. Agentic SOC menggunakan arsitektur kolaboratif multi-Agen hierarkis di mana Team Leader mengoordinasikan tim Agen khusus yang bertanggung jawab atas deteksi ancaman, investigasi insiden, penilaian dampak, dan interaksi pengguna. Untuk informasi lebih lanjut, lihat Detail Agen Operasi Keamanan.

Arsitektur AI Agent

• Arsitektur Agen Agentic SOC mengintegrasikan secara mendalam infrastruktur domain data keamanan cloud-native Alibaba Cloud. Dibangun di atas model bahasa keamanan besar, arsitektur ini menghadirkan tim ahli keamanan AI Agent end-to-end yang secara otomatis mendeteksi ancaman, melakukan penalaran mendalam, menjalankan investigasi kolaboratif, dan menutup loop dengan cepat. Arsitektur ini terdiri dari tiga lapisan, dari bawah ke atas.

  Lapisan	Komponen	Tanggung Jawab
  Lapisan Mesin Cloud-Native	Simple Log Service (SLS), mesin deteksi Flink/timed SQL, komputasi graf Igraph, Large Language Model (LLM) Qwen, mesin orkestrasi SOAR	Menyediakan kemampuan penyimpanan data, komputasi, dan AI dasar
  Platform Manajemen Agen	Dibangun di atas AgentRun	Mengelola siklus hidup Agen, penjadwalan tugas, memori, dan orkestrasi pemanggilan tool
  Lapisan Intelijen Agen	Team Leader plus beberapa tim Agen khusus	Menjalankan penalaran dan pengambilan keputusan otonom untuk mengeksekusi tugas operasi keamanan

• Setiap Agen bekerja menggunakan kerangka penalaran ReAct: persepsi lingkungan → penalaran dan analisis → perencanaan aksi → eksekusi → observasi hasil. Siklus ini berulang hingga tugas selesai.

• Agentic SOC mengadopsi arsitektur kolaboratif multi-Agen hierarkis, yang terdiri dari Team Leader dan beberapa tim Agen khusus.

  • Team Leader: Dibangun di atas rangkaian model Qwen, Team Leader merupakan node pengatur pusat seluruh arsitektur Agen, bertanggung jawab atas penjadwalan global, dekomposisi tugas, dan pengambilan keputusan kompleks.

  • Tim Agen khusus: Tim-tim ini mengeksekusi tugas secara independen di domain masing-masing dan saling berkolaborasi. Tim-tim tersebut adalah sebagai berikut:

    Tim	Tanggung Jawab	Agen inti
    Deteksi Ancaman	Menjalankan analisis mendalam pada data heterogen multi-sumber dalam jumlah besar untuk mengidentifikasi ancaman keamanan yang dikenal maupun tidak dikenal.	Agen Analisis Rantai Proses, Agen Analisis Perilaku Jaringan, Agen Analisis Perilaku File, Agen Deteksi Persistensi.
    Investigasi Insiden	Secara otonom menyelesaikan investigasi insiden berdasarkan kerangka ReAct untuk merekonstruksi jalur dan garis waktu serangan.	Agen Rekonstruksi Jalur Serangan, Agen Ekstraksi IOC, Agen Validasi Aksi, Agen Respons.
    Penilaian Dampak	Menilai cakupan dan tingkat risiko insiden keamanan.	Agen Investigasi Pergerakan Lateral, Agen Inspeksi Jendela Waktu Risiko, Agen Analisis Korelasi Risiko.
    Interaksi Pengguna	Berinteraksi dengan personel operasi keamanan untuk memberikan konsultasi dan dukungan analitis.	Agen Pemicu Pendalaman Investigasi, Agen Penyetelan Tugas Inspeksi, Agen Konsultasi Keamanan (RAG).

Manfaat

Agentic SOC adalah platform operasi keamanan yang terintegrasi mendalam dengan mesin inti AI Agent. Platform ini memungkinkan mode "auto-pilot cerdas" untuk operasi keamanan, sehingga Anda dapat beralih mulus dari kolaborasi manusia-mesin ke respons sepenuhnya otomatis sesuai kebutuhan.

• Deteksi berkualitas tinggi dengan tingkat pengurangan peringatan 99,94%

  Agentic SOC menggabungkan intelijen ancaman global, komputasi graf, dan kemampuan analisis log cloud-native untuk secara akurat mengidentifikasi ancaman baru, tidak dikenal, dan sangat menghindar dari jumlah besar peringatan. Waktu deteksi rata-rata untuk insiden keamanan dipersingkat menjadi hitungan menit.

• Respons otomatis dalam hitungan detik dengan cakupan remediasi 95%

  • Menyediakan kebijakan respons sekali klik dan playbook otomatis siap pakai yang dapat disesuaikan tanpa perlu konfigurasi manual. Platform ini berkoordinasi dengan berbagai produk dan infrastruktur keamanan untuk melakukan analisis dan respons insiden serta peringatan secara sepenuhnya otomatis.

  • Menawarkan Security Operations Agent, layanan cerdas premium yang didukung mesin AI Agentic. Layanan ini terintegrasi mendalam dengan data dan infrastruktur keamanan native Alibaba Cloud, menggunakan kemampuan persepsi, penalaran, dan eksekusi otonom Agen untuk secara mandiri menganalisis insiden keamanan dan mempercepat respons.

• Rekonstruksi otomatis gambaran serangan lengkap dengan pengambilan keputusan berbantuan AI

  Agentic SOC menggunakan komputasi graf dan model bahasa besar keamanan untuk secara otomatis melacak dan merekonstruksi jalur serta garis waktu serangan lengkap. AI Assistant bawaan dapat merangkum insiden dan memberikan rekomendasi respons yang tepat untuk membantu Anda memahami insiden keamanan secara lebih mendalam.

• Tampilan global terpadu dengan tingkat penemuan insiden lintas aset 90%

  Agentic SOC menyatukan pengumpulan dan pemrosesan data log dari berbagai cloud, akun, dan produk, secara signifikan mengurangi kompleksitas operasi keamanan cloud hibrida. Manajemen dan audit terpusatnya memberikan wawasan keamanan global, secara efektif menyederhanakan analisis data dan upaya kepatuhan.

Efisiensi Agentic SOC

Produk dan log yang didukung

Agentic SOC secara native mendukung log dari vendor seperti Alibaba Cloud, Huawei Cloud, Tencent Cloud, Fortinet, Chaitin, dan Sangfor. Platform ini juga mendukung ingesti data dari produk kustom.

Peningkatan versi

• Akun yang mengaktifkan Agentic SOC pada atau setelah 3 April 2025 akan disediakan pada arsitektur terbaru.

• Arsitektur Agentic SOC 2.0 dibangun di atas kemampuan normalisasi log. Platform ini menggunakan kembali kemampuan Simple Log Service (SLS) untuk menyederhanakan ingesti data dari cloud pihak ketiga dan produk keamanan on-premises.

• Untuk perbandingan detail perbedaan utama antara Agentic SOC 2.0 dan Agentic SOC 1.0, lihat Perbedaan antara Agentic SOC 2.0 dan 1.0.

FAQ

Bagaimana perbedaan Agentic SOC dengan SIEM tradisional?

Agentic SOC adalah solusi SIEM yang dirancang untuk lingkungan cloud-native. Dibandingkan SIEM tradisional, perbedaan intinya adalah:

• Integrasi cloud-native: Terintegrasi dengan berbagai produk dari Alibaba Cloud dan penyedia cloud utama lainnya. Platform ini memahami aset cloud, konfigurasi, dan topologi, sehingga memungkinkan analisis berbasis konteks.

• Kemampuan SOAR bawaan: Menyertakan mesin Security Orchestration, Automation, and Response (SOAR) terintegrasi. Platform ini tidak hanya menganalisis dan mendeteksi ancaman, tetapi juga menggunakan playbook untuk mengoordinasikan remediasi otomatis di berbagai produk dan infrastruktur cloud, menutup loop dari analisis hingga respons.

• Skenario bawaan: Menyediakan banyak aturan deteksi dan playbook respons siap pakai untuk penggunaan langsung dalam skenario serangan cloud umum seperti penambangan kripto, ransomware, dan intrusi web.