Security Center:Security Center のモニタリング通知をカスタマイズする

概要

Security Center はセキュリティアラートを Cloud Monitor にプッシュし、Cloud Monitor がそのアラートをイベントサブスクリプション機能を用いて Lark や WeCom に転送します。全体の構成手順は以下のとおりです：

1. Cloud Monitor プッシュの有効化：Security Center の通知設定で「Cloud Monitor プッシュ」を有効化し、転送対象のアラート種別を選択します。

2. メッセージングボットの作成：Lark または WeCom でカスタムチャットボットを作成し、その Webhook URL を取得します。

3. Cloud Monitor のアラート連絡先グループの作成：

   1. Cloud Monitor で アラート連絡先 を作成し、取得した Webhook URL を連絡先に紐付けます。

   2. Cloud Monitor で、Webhook URL が紐付けられたアラート連絡先をアラート連絡先グループに追加します。

4. Cloud Monitor の通知ポリシーの作成：Cloud Monitor で通知ポリシーを作成し、アラート連絡先グループを関連付けて通知先を指定します。

5. Cloud Monitor のイベントサブスクリプションの構成：Security Center のシステムイベントをサブスクライブするイベントサブスクリプションポリシーを作成し、Step 3 で作成した通知ポリシーと関連付けます。

ステップ 1：Cloud Monitor プッシュの有効化

Security Center で「Cloud Monitor プッシュ」機能を有効化することで、Cloud Monitor がアラートイベントを受信できるようになります。

1. 次のいずれかのリンクから Security Center コンソール > システム設定 > 通知設定 ページへ移動します。左側ナビゲーションウィンドウの上部にあるリージョン選択メニューから、ご利用のリソースが配置されているリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。

2. Cloud Monitor Push タブで、必要に応じて通知項目を選択します。以下に各項目の説明を示します。

   通知項目	プッシュ頻度	説明
   Security Incident	Push Result Details：制限なし	DDoS 攻撃やブルートフォース攻撃などのセキュリティ攻撃の検出結果。
   セキュリティアラート	Push Result Details：制限なし	ホストまたはコンテナ上で検出された脅威アラート（異常なログイン、悪意あるプロセスなど）。
   Baseline Check	Push Result Overview：毎週木曜日送信。	ベースラインチェック結果のまとめ。
   クラウドプラットフォーム設定のチェック	Push Result Overview：毎週木曜日に 1 回送信。	クラウドプラットフォーム構成リスクに関するチェック結果のまとめ。
   エージェントレス検出	Push Result Details：任意で選択可能。	エージェントのインストールを必要としないセキュリティ検出結果。
   Malicious file	Push Result Details：任意で設定可能。	悪意あるファイル検出 SDK によって検出された悪意あるファイル。
   Vulnerability	Push Result Overview: 毎週木曜日に 1 回送信されます。 Push Result Details: カスタマイズ可能。	システム脆弱性およびアプリケーション脆弱性の検出結果とまとめ。
   アプリケーション保護	Push Result Details：任意で選択可能。	ランタイムアプリケーションセルフプロテクション (RASP) によるアラート。

ステップ 2：メッセージングボットの作成

Lark または WeCom でカスタムボットを作成し、その Webhook URL を取得します。この URL は、ステップ 3 でアラート連絡先を構成する際に必要です。

ステップ 3：アラート通知の構成

Cloud Monitor でアラート連絡先を作成し、ステップ 2 で取得した Webhook URL を連絡先に紐付け、さらにその連絡先をアラート連絡先グループに追加します。これにより、Cloud Monitor が Webhook URL 経由で Lark や WeCom にアラート通知を送信できるようになります。

1. アラート連絡先の作成

   1. Cloud Monitor コンソール にログインします。左側ナビゲーションウィンドウで、アラームサービス > アラーム送信先 を選択します。

   2. アラーム送信先 タブで、「送信先を作成」をクリックします。

   3. アラーム送信先の設定 パネルで、以下のパラメーターを設定します。

      • 名前：「Lark ボット」や「WeCom ボット」などの名前を入力します。

      • Dingtalk｜LarkWeComSlack Webhook (http | https)：ステップ 2 で取得した Webhook URL を貼り付けます。このフィールドには、Lark および WeCom の Webhook URL の両方が受け付けられます。

   4. （任意）Webhook 接続性のテスト：Webhook フィールド右側の「テスト」ボタンをクリックします。200 ステータスコードが返された場合、接続は成功しています。

   5. 情報の確認後、「確定」をクリックします。

2. アラート連絡先グループの作成

   1. アラーム送信先グループ タブに切り替え、「送信先グループを作成」をクリックします。

   2. 送信先グループを作成 パネルで、下記の説明に従ってパラメーターを設定し、OK をクリックします。

      1. グループ名：「Lark ボット グループ」や「WeCom ボット グループ」などのグループ名を入力します。

      2. 送信先の選択：上記の手順で作成したアラート連絡先を選択します。

3. 通知ポリシーの作成

   1. 左側ナビゲーションウィンドウで、Event Center > 通知設定 を選択します。

   2. 「ポリシーを作成」をクリックし、以下のパラメーターを設定して「OK」をクリックします。

      • 名前：通知ポリシーの名前を入力します（例：Security Center アラート通知）。

      • 通知設定：「通知グループを直接設定する」を選択します。

      • 連絡先グループ：上記で作成したアラート連絡先グループを選択します。

ステップ 4：イベントサブスクリプションの構成

Security Center のシステムイベントをサブスクライブするイベントサブスクリプションポリシーを作成し、ステップ 3 で作成した通知ポリシーと関連付けます。

1. Cloud Monitor コンソール にログインします。左側ナビゲーションウィンドウで、Event Center > イベントサブスクリプション を選択します。

2. サブスクリプションポリシー タブで、「サブスクリプションポリシーの作成」をクリックし、以下のパラメーターを設定します。

   • 名前：わかりやすい名前を指定します（例：Security-Center-Alerts-to-Lark）。

   • サブスクリプションタイプ：「システムイベント」を選択します。

   • サブスクリプションスコープ：

     • プロダクト：「Security Center」を選択します。

     • イベントタイプ: 手順 1 で Security Center で有効化した CloudMonitor のプッシュ通知について、Notification Item および Push Content に対応するイベントタイプを選択します。マッピング関係は以下のとおりです：

       Security Center	Cloud Monitor
       Security Incident	Incident
       セキュリティアラート	Suspicious
       Baseline Check	System-Baseline-cnt
       クラウドプラットフォーム設定のチェック	Cspm-cnt
       エージェントレス検出	Agentless
       Malicious file	mfd SDK
       Vulnerability	Push Result Overview: 脆弱性数 Push Result Details： 脆弱性
       アプリケーション保護	Rasp

     • イベント名 および イベントレベル：通知を受信したいイベントを選択します。

       • 未設定の場合、すべてのイベントに対して通知が送信されます。

       • 「ブラックリストとして設定」を選択すると、指定した イベント名 および イベントレベル を除くすべてのイベントに対して通知が送信されます。

     • アプリケーションのグループ化、イベント内容、および イベントリソース：デフォルト設定のままとします。

   • 複合ノイズリダクション：デフォルト設定のままとします。

   • 通知設定：ステップ 3 で作成した通知ポリシーを選択します。

   • カスタム通知方法 および プッシュと統合：デフォルト設定のままとします。

3. パラメーターの設定が完了したら、「送信」をクリックします。

よくある質問

• 構成を完了した後にアラートが届かないのはなぜですか？

  以下の項目を順に確認してください：

  1. Security Center のプッシュスイッチ：ステップ 1 で、受信したいアラート種別に対して「Cloud Monitor プッシュ」スイッチが有効になっていることを確認します。

  2. イベントサブスクリプションポリシー：ステップ 4 で、イベントサブスクリプションポリシーのフィルター条件（イベントタイプ や イベントレベル など）が、期待するアラートと一致しているか確認します。

  3. Lark のキーワード（最も一般的な原因）：Lark を使用している場合、ボットの カスタムキーワード が実際のアラートメッセージの内容と一致しているか確認します。「alert」や「event」などの汎用的なキーワードを使用することを推奨します。

  4. Webhook URL：Cloud Monitor の「アラート連絡先」で「テスト」機能を用いて、Webhook URL が到達可能かどうかを確認します。URL が正しいこと、およびファイアウォールやその他のネットワークポリシーによってブロックされていないことを確認してください。

  5. Cloud Monitor のイベント履歴：「イベントセンター」>「イベント履歴」に移動し、イベントが正常に受信・プッシュされたか確認します。イベントが存在するがプッシュに失敗している場合、通常は失敗理由が表示されます。

• アラートノイズを減らすにはどうすればよいですか？

  • 重複排除の有効化：ステップ 4 のイベントサブスクリプションポリシーで「重複排除」を設定します。たとえば、「1 分以内に同一イベントをマージして通知する」などと設定できます。

  • 精密なフィルターの使用：同じイベントサブスクリプションポリシーで、重要度の低いアラートを除外するために、イベントレベル（例：高リスクのみをサブスクライブ）や イベント名 を指定してフィルターを設定します。

• Webhook のテストで 200 以外のステータスコードが返された場合、どうすればよいですか？

  200 以外のステータスコードは、Cloud Monitor がボットにメッセージを送信できなかったことを意味します。主な原因は以下のとおりです：

  • 不正な URL：コピーした Webhook URL が不完全であるか、誤りを含んでいます。

  • IP アローリスト制限：Lark などのメッセージングツールでは、セキュリティ設定により Cloud Monitor サーバーの IP アドレスを IP アローリストに登録する必要がある場合があります。

  • キーワードの不一致（Lark）：メッセージ本文に設定したキーワードのいずれも含まれていないため、Lark ボットがメッセージをブロックしています。

  • レート制限：短時間に多数のメッセージを送信したことで、メッセージングツールのレート制限が発動しました。たとえば、WeCom ボットは 1 分間に最大 15 件のメッセージを送信できます。