Security Center:Security Center のアラート通知のカスタマイズ

概要

Security Center はアラートを CloudMonitor にプッシュし、CloudMonitor はイベントサブスクリプションを通じて Lark または WeChat Work に転送します。手順は次のとおりです：

1. CloudMonitor プッシュの有効化：Security Center の通知設定で CloudMonitor プッシュのスイッチをオンにし、アラートタイプを選択します。

2. チャットボットの作成：Lark または WeChat Work でカスタムチャットボットを作成し、その Webhook URL をコピーします。

3. CloudMonitor のアラート連絡先グループの作成：

   1. CloudMonitor でアラート連絡先を作成し、Webhook URL を紐付けます。

   2. アラート連絡先をアラート連絡先グループに追加します。

4. CloudMonitor の通知ポリシーの作成：通知ポリシーを作成し、アラート連絡先グループに関連付けます。

5. CloudMonitor のイベントサブスクリプションの設定：Security Center のシステムイベントをサブスクライブし、サブスクリプションを通知ポリシーに関連付けます。

手順 1：Security Center で CloudMonitor プッシュを有効化

CloudMonitor プッシュを有効にすることで、Security Center のアラートを受信し、転送できるようになります。

1. Security Center コンソール - [System Settings] - [Notifications] にアクセスします。ページの左上隅で、アセットのリージョンを選択します：[中国本土] または [中国本土以外]。

2. CloudMonitor プッシュ タブで、プッシュする通知項目を選択します。以下の表に、これらの通知項目を示します。

   通知項目	プッシュ頻度	説明
   [セキュリティイベント]	プッシュ結果 詳細： 制限なし	DDoS 攻撃やブルートフォース攻撃など、検出されたセキュリティ攻撃に関する通知。
   セキュリティアラート	プッシュ結果 詳細： 制限なし	不審なログインアクティビティや悪意のあるプロセスなど、ホストまたはコンテナで検出された脅威に関する通知。
   [ベースラインチェック]	プッシュ結果 サマリー： 毎週木曜日に 1 回送信されます。	セキュリティベースラインチェックのサマリーレポートに関する通知。
   [クラウドプラットフォーム設定のチェック]	プッシュ結果 サマリー： 毎週木曜日に 1 回送信されます。	クラウドプラットフォーム設定のリスクチェックのサマリーレポートに関する通知。
   [エージェントレス検出]	プッシュ結果 詳細： カスタマイズ可能	エージェントのインストールを必要としないセキュリティスキャンの結果に関する通知。
   悪意のあるファイル	プッシュ結果 詳細： カスタマイズ可能	悪意のあるファイル検出 SDK が検出した悪意のあるファイルに関する通知。
   脆弱性	プッシュ結果 サマリー： 毎週木曜日に 1 回送信されます。 プッシュ結果 詳細： カスタマイズ可能	システムおよびアプリケーションの脆弱性の検出結果とサマリーに関する通知。
   アプリケーション保護	プッシュ結果 詳細： カスタマイズ可能	ランタイムアプリケーション自己保護 (RASP) のアラート通知。

手順 2：チャットボットの作成

Lark または WeChat Work でカスタムチャットボットを作成し、手順 3 で使用する Webhook URL をコピーします。

手順 3：アラート連絡先とポリシーの設定

CloudMonitor でアラート連絡先を作成し、手順 2 の Webhook URL を紐付けて、連絡先を連絡先グループに追加します。

1. アラート連絡先の作成

   1. CloudMonitor コンソールにログインします。ナビゲーションペインで アラームサービス > アラーム送信先 を選択します。

   2. アラーム送信先 タブで 送信先を作成 をクリックします。

   3. アラーム送信先の設定 パネルで、次のパラメーターを設定します：

      • 名前：Lark chatbot または WeChat Work chatbot などの名前を入力します。

      • Dingtalk|Lark|WeCom|Slack Webhook (http | https)：手順 2 で取得した Webhook URL を貼り付けます。この汎用 Webhook フィールドは、Lark と WeChat Work の両方の URL に対応しています。

   4. (オプション) Webhook 接続のテスト：Webhook フィールドの横にある [テスト] をクリックします。200 のステータスコードは、接続が成功したことを示します。

   5. 情報を確認したら、[OK] をクリックします。

2. アラート連絡先グループの作成

   1. アラーム送信先グループ タブをクリックし、送信先グループを作成 をクリックします。

   2. 送信先グループを作成 パネルで次のパラメーターを設定し、OK をクリックします。

      1. グループ名：Lark chatbot group または WeChat Work chatbot group など、グループの名前を入力します。

      2. 送信先の選択：前の手順で作成したアラート連絡先を選択します。

3. 通知ポリシーの作成

   1. ナビゲーションペインで Event Center > 通知設定 を選択します。

   2. ポリシーを作成 をクリックします。次のパラメーターを設定し、[OK] をクリックします。

      • 名前：ポリシーの名前を入力します。例：Security Center Alert Notification。

      • 通知設定：通知グループを直接設定する を選択します。

      • 連絡先グループ：前の手順で作成したアラート連絡先グループを選択します。

手順 4：イベントサブスクリプションの設定

Security Center のシステムイベントをサブスクライブし、サブスクリプションを手順 3 の通知ポリシーに関連付けます。

1. CloudMonitor コンソールにログインします。ナビゲーションペインで Event Center > イベントサブスクリプション を選択します。

2. サブスクリプションポリシー タブで サブスクリプションポリシーの作成 をクリックし、次のパラメーターを設定します。

   • 名前：Security Center Alerts to Lark など、分かりやすい名前を入力します。

   • サブスクリプションタイプ：システムイベント を選択します。

   • サブスクリプションスコープ：

     • プロダクト：[Security Center] を選択します。

     • イベントタイプ：手順 1 で有効化した [通知プロジェクト] と [プッシュ内容] に対応するイベントタイプを選択します。対応関係は次のとおりです。

       Security Center	CloudMonitor
       [セキュリティイベント]	Incident
       [セキュリティアラート]	Suspicious
       [ベースラインチェック]	System-Baseline-cnt
       [クラウドプラットフォーム設定のチェック]	Cspm-cnt
       [エージェントレス検出]	Agentless
       [悪意のあるファイル]	mfd SDK
       [脆弱性]	[プッシュ結果]：[サマリー]：Vulnerability-cnt [プッシュ結果]：[詳細]：Vulnerability
       [アプリケーション保護]	Rasp

     • イベント名 と [イベントレベル]：通知を受け取るイベントを選択します。

       • すべてのイベントの通知を受け取るには、これらのフィールドを空のままにします。

       • ブラックリストとして設定 を選択するとルールが反転し、指定した イベント名 または [イベントレベル] に一致するイベントを除くすべてのイベントの通知を受け取ります。

     • アプリケーションのグループ化、イベント内容、イベントリソース：デフォルトのままにします。

   • 複合ノイズリダクション：デフォルトのままにします。

   • 通知設定：手順 3 の通知ポリシーを選択します。

   • カスタム通知方法 と プッシュと統合：デフォルトのままにします。

3. [送信] をクリックします。

よくある質問

• 設定を完了したのにアラートを受信できないのはなぜですか？

  次の項目を確認してください：

  1. Security Center のプッシュスイッチ：手順 1 で、目的のアラートタイプに対して [Cloud Monitor Push] スイッチがオンになっていることを確認します。

  2. イベントサブスクリプションルール：手順 4 で、フィルター条件 ([イベントタイプ]、イベントレベル) が目的のアラートと一致していることを確認します。

  3. Lark のキーワード (最も一般的な問題)：カスタムキーワードがアラートメッセージの内容と一致していることを確認します。alert や event などの汎用的なキーワードを使用します。

  4. Webhook URL：CloudMonitor の [アラート連絡先] で [テスト] を使用し、Webhook に到達できることを確認します。URL の誤りや、ファイアウォールによるブロックがないか確認してください。

  5. CloudMonitor のイベント履歴：受信したイベントは、[イベントセンター] > [イベント履歴] で確認します。プッシュに失敗した場合は、失敗理由が表示されます。

• アラート疲れを回避するにはどうすればよいですか？

  • マージとノイズ削減の有効化：イベントサブスクリプションで [マージとノイズ削減] を設定し、時間枠 (例：1 分) 内の重複イベントを集約します。

  • 精密なフィルタリング：ノイズを減らすため、イベントレベル (例：高リスクのみ) を設定するか、特定の [イベント名] 値を指定します。

• Webhook テストで 200 以外のステータスコードが返される場合はどうすればよいですか？

  200 以外のステータスコードは、CloudMonitor がチャットボットに到達できないことを示します。主な原因は次のとおりです：

  • URL の誤り：Webhook URL が不完全、または誤っています。

  • IP ホワイトリストの制限：Lark などの一部ツールは IP ホワイトリストを使用します。CloudMonitor サーバーの IP をホワイトリストに追加します。

  • キーワード不一致 (Lark)：メッセージに一致するキーワードが含まれていないため、Lark が配信をブロックします。

  • 頻度制限の超過：ボットがレート制限に達しました。たとえば WeChat Work は、1 分あたり 15 件までしかメッセージを送信できません。