クラウドサービスからログを統合した後、ログ管理機能を使用してログを一元的に保存し、クエリを実行できます。これにより、アラートの特定、攻撃元の追跡、インシデント対応の迅速化が可能になり、複雑なマルチリソース環境でのログ管理を簡素化し、セキュリティ態勢を強化できます。このログストレージソリューションは、中国のサイバーセキュリティ法および等級保護制度 (MLPS) 2.0 の要件に準拠しています。
仕組み
ログ管理機能は、マルチクラウド、マルチアカウント、マルチサービス環境向けの一元化されたログストレージおよび分析機能で、クラウド脅威検出と対応 (CTDR) と SLS が共同で提供します。
CTDR のログストレージ容量を購入すると、SLS に専用プロジェクト (aliyun-cloudsiem-data-お客様の Alibaba Cloud アカウント ID-RegionID という名前) と専用 Logstore (cloud_siem という名前) が自動的に作成されます。このプロジェクトと Logstore は、CTDR が収集したすべてのログデータを保存するために使用されます。CTDR ログの保存リージョンは、Security Center コンソールの左上隅で選択したサービスリージョンによって決まります。
[中国] を選択した場合、CTDR が収集したログは中国 (上海) リージョンに保存されます。
[全世界 (中国を除く)] を選択した場合、CTDR が収集したログはシンガポールリージョンに保存されます。
SLS コンソール にログインすると、CTDR 専用のプロジェクトと Logstore を表示できます。プロジェクトまたは Logstore を削除しないでください。
特定のログタイプに対してログ配信を有効にすると、CTDR は自動的にログを cloud_siem Logstore に配信します。配信されたログは、設定された保持日数の間保持され、その後自動的に削除されます。ログストレージ容量が満杯になると、新しいログが書き込めなくなります。使用済みログ容量が総容量の 80% を超えた場合、Security Center から通知を送信できます。通知の設定方法については、「通知設定」をご参照ください。
課金
この機能は、購入したログストレージ容量とサブスクリプション期間に基づくサブスクリプション課金モデルを使用します。Security Center コンソールでのログのクエリやエクスポートなどの操作には、追加料金は発生しません。
ログ管理が SLS にログを配信した後、SLS コンソールでのデータ変換やデータ転送などの操作に対して、追加料金が発生する場合があります。
Logstore が
機能課金モデルを使用している場合、データ変換、データ配信、パブリックエンドポイントからの読み取りトラフィックに対して SLS から課金されます。詳細については、「機能課金モデルの課金項目」をご参照ください。Logstore が
データ取り込み課金モデルを使用している場合、データ変換や配信などの操作は無料です。パブリックエンドポイントからのデータ読み取りに対してのみ、標準の SLS 料金に従って課金されます。詳細については、「データ取り込み課金モデルの課金項目」をご参照ください。
マルチアカウント管理
マルチアカウント管理設定において、グローバル管理者アカウントで Security Center コンソールにログオンする場合、ログ管理 ページでログを管理する前に、ビューを切り替える必要があります。各ビューの説明は次のとおりです。
[現在のアカウントビュー]：現在のアカウントに保存されているログデータを表示および管理します。
[グローバルアカウントビュー]：CTDR 管理範囲内の Alibaba Cloud アカウントから、保管のために現在のアカウントに転送されるログを表示および管理します。
現在のアカウントビュー と グローバルアカウントビュー の両方で有効化されたログ配信では、グローバル管理者アカウントが購入したログストレージ容量が消費されます。保存されたログデータは、グローバル管理者アカウントに帰属します。
CTDR グローバル管理者アカウントによって管理されている Alibaba Cloud アカウントが独自のログを管理する必要がある場合、アカウント所有者は CTDR 用のログストレージ容量を別途購入し、セキュリティセンターコンソールの ページでログ配信を有効にする必要があります。
前提条件
SLS がアクティブ化されていることを確認してください。詳細については、「LoongCollector を使用した ECS テキストログの収集と分析」をご参照ください。
クラウドサービスログが接続されていることを確認してください。詳細については、「クラウドサービスログの接続」をご参照ください。
ステップ 1: ログ配信の有効化
Security Center コンソール にログインします。
左側のナビゲーションペインで、 を選択します。左上隅で、アセットが配置されているリージョンとして、中国本土 または 中国本土以外 を選択します。
プロダクトアクセス ページで、右上隅にある ログ設定 をクリックします。
LogShipper 管理 セクションで、目的のログタイプの ログ検索への配信/開始/停止時間 列のスイッチをオンにします。
また、複数のログタイプを選択し、バッチ配信 をクリックすることもできます。
または、ログ分析 ページで、ログタイプの横にあるスイッチをオンにして配信を有効にすることもできます。
左側の [すべてのデータソース] パネルで、データソース ([セキュリティセンター] など) を選択すると、右側に [セキュリティログ] と [ホストログ] に分類されたログタイプと、その収集スイッチが表示されます。
(オプション) 左側のナビゲーションペインで、を選択します。 左上隅で、アセットが配置されているリージョンとして中国本土または中国本土以外を選択します。 ログ管理 ページで、右上隅にあるすべての配信 をクリックして、統合されたすべてのデータソースのログ配信を有効にします。
特定のタイプのログを保存する必要がなくなった場合は、その配信スイッチをオフにできます。ログ管理は、そのタイプの新しいログの受信を停止します。
ステップ 2: ログのクエリ
左側のナビゲーションペインで、 を選択します。左上隅で、アセットが配置されているリージョンとして 中国本土 または 中国本土以外 を選択します。
ログ管理 ページの左上隅で すべてのデータソース をクリックし、すべてのデータソース ドロップダウンリストから、表示するデータソース (クラウドサービスとログタイプ) を選択します。
時間範囲を設定し、クエリステートメントを入力してログを検索し、分析結果を表示します。
CTDR のログクエリ方法は、Security Center のログ分析機能と同じです。詳細については、「カスタムログクエリと分析」をご参照ください。
関連操作
ログ保持日数の変更
デフォルトでは、クラウドサービスから配信されたログは 180 日間保存されます。必要に応じて保持日数を変更できます。
左側のナビゲーションペインで、 を選択します。左上隅で、アセットが配置されているリージョンとして 中国本土 または 中国本土以外 を選択します。
プロダクトアクセス ページで、右上隅の ログ設定 をクリックします。
ログ管理 パネルで、変更 は 保存日数 列にあり、これをクリックしてログの保持期間を変更します。
ログストレージ管理
ページでは、現在のログ使用量と総容量の確認、および必要に応じたストレージ領域のスケールアウトまたはクリアが可能です。
ログストレージ容量を追加購入するには、スケールアウト をクリックします。
ストレージが満杯になると新しいログが書き込めなくなるため、十分なログストレージ容量を確保してください。
ストレージ容量をクリアするには、クリア をクリックします。
警告クリアしたログデータは復元できません。この機能は注意して使用してください。まず、ログをエクスポートしてローカルに保存することを推奨します。
関連トピック
コンソール、Cloud Shell、またはコマンドラインインターフェイス (CLI) を使用して、ログまたはクエリ結果をダウンロードできます。詳細については、「ログのエクスポート」をご参照ください。
OSS データ転送ジョブを作成して、ログを OSS に保存できます。詳細については、「OSS データ転送ジョブの作成 (新規)」をご参照ください。
ログストレージ容量が満杯になると、新しいログが書き込めなくなります。CTDR ログ超過アラートの通知を有効にすると、ログストレージ容量を適時にスケールアウトできます。詳細については、「通知設定」をご参照ください。