Security Center:プロダクトログの統合

一括での自動有効化

Agentic SOC は、Alibaba Cloud プロダクトからのログの一括統合をサポートしています。この機能により、アクセスポリシーの有効化とデータソースの検出を自動化できます。手順は以下の通りです。

1. コンソールへのログイン

   Security Center コンソール - Agentic SOC - 統合センターに移動します。ページ左上で、アセットが所在するリージョンを選択します：Chinese MainlandまたはOutside Chinese Mainland。

2. 一括統合の設定

   Batch Associate Settingsをクリックし、指示に従って設定を完了します。

   • Access Settings：

     • Increment Access：有効になっているすべてのアクセスポリシーを保持し、現在の構成からデータソースとポリシーのみを追加します。

     • Full Access：既存のすべてのアクセス設定を上書きして置き換えます。現在の構成で選択されていないポリシーは無効になります。

       警告

       これは上書き操作であり、実行中のポリシーを誤って無効にし、データ統合の中断につながる可能性があります。注意して進めてください。

   • Accessible Account：現在のアカウントとそのメンバーアカウントを選択します。

   • Alibaba Cloud Services：接続するクラウドプロダクトと、それに対応するデータソースを選択します。

     説明

     構成を簡素化するため、Agentic SOC には推奨アクセスポリシーが含まれています。Use Recommended Policyをクリックすると、システムはベストプラクティスに基づいて、選択されたクラウドプロダクトに対して最も分析価値の高いデータソースを自動的に選択します。これにより、データ分析を迅速に有効化できます。

   • Auto-Add New Data Sources：このオプションを有効にすると、システムは新しい Logstore を現在のデータソースの収集範囲に自動的に含めます。手動で追加する必要はありません。

3. データ統合の確認と開始

   設定が完了したら、OK をクリックします。システムは自動的に以下の操作を実行します。

   • 完全統合：選択されたアカウント内の、選択されたクラウドプロダクトデータソースに関連付けられているすべての有効な Logstore を SLS 内で自動的に統合します。

   • ポリシーのアクティベーション：選択されたデータソースに対応するアクセスポリシーを自動的に有効にします。

     重要

     新しいアクセスポリシーのデプロイと初期化には時間がかかる場合があります。プロセスが完了するまでお待ちください。

4. 有効化状態の確認

   1. アクセスリストに戻り、アクセスするプロダクトを選択し、[操作] 列の アクセス設定をクリックします。

      説明

      メンバーアカウントの場合、Multi-account Access Settingsの [アクセスポリシー] タブで、対象のデータソースの [操作] 列にある Multi-account Accessをクリックします。

   2. [アクセスポリシー] リストページでアクセス状態を確認できます。状態が異常な場合は、データソースのステータスを確認してください。詳細については、「データソースの接続状態の確認」をご参照ください。

手動での有効化

1. データソースの設定

   Agentic SOC には、主要な Alibaba Cloud プロダクト用のデータソースが事前設定されています。これらの設定を確認し、ご利用の Logstore 情報と一致していることを確認する必要があります。

   1. クラウドプロダクトの検索

      1. Security Center コンソールにログインし、[Agentic SOC] > [統合センター] に移動します。ページ左上で、アセットが所在するリージョンを選択します：Chinese MainlandまたはOutside Chinese Mainland。

      2. プロダクトアクセスタブで、Service ProviderフィルターをAlibaba Cloudに設定し、統合するプロダクト (例：Web Application Firewall) を選択して、[操作] 列のアクセス設定をクリックします。

   2. データソースのステータス確認

      1. プロダクトに関連付けられているデータソースの名前をクリックします。ページがデータソースタブにリダイレクトされます。

      2. データソースを見つけ、その接続状態を確認します。

         • 正常：Agentic SOC が Logstore にアクセスできることを示します。次のステップに進むことができます。

         • 異常：設定が正しくないことを示します。データソースのアクション列にある編集をクリックし、以下の情報を確認します。

           • インスタンス情報：ステップ 1 で記録したリージョン、プロジェクト、Logstoreが正確に一致しているか確認します。

           • ソースログサービス：SLS Logstore サービスが実行中であることを確認します。たとえば、プロジェクトが無効になっておらず、ログが引き続き書き込まれていることなどです。

         • 未接続：データソースが設定されていないことを示します。

           • データソースのアクション列にある編集をクリックします。

           • Create Instanceをクリックし、ステップ 1 で自動的に作成された Logstore 情報 (Region ID、Project、Logstore) を選択します。

2. 組み込みアクセスポリシーの有効化

   ログ処理パイプラインを開始して、Agentic SOC がプロダクトログを自動的に分析できるようにします。

   1. プロダクトアクセスタブに戻り、再度プロダクトのアクセス設定ページに移動します。

   2. 標準化方式の変更 (任意)

      一部のプロダクトポリシーでは、編集ページでStandardization Methodを変更できます。サポートされている方式はReal-time ConsumptionとScan Queryです。詳細については、「標準化方式の比較」をご参照ください。

      重要

      • データソースタイプがSecurity Center Log Serviceまたはアラートログの場合、標準化方式はReal-time Consumptionとなり、変更できません。

      • Standardization Category or Structureに関連付けられたデータセット (StoreView) に、既に 5 つの「Scan Query」パターンのアクセスポリシーがアタッチされている場合、現在のポリシーには「Real-time Consumption」を選択する必要があります。そうしないと、アクセスポリシーを有効にできません。

      

   3. ログ標準化テスト

      標準化方式を変更した場合は、ログ標準化テストを実行する必要があります。

      警告

      Data SourceのLogstoreにデータが含まれていることを確認してください。Logstore が空の場合、ログ標準化テストは実行できません。

      1. ボタンをクリックします。システムは SPL 構文を使用してログデータを解析し、結果を返します。

      2. 結果のドロップダウンリストから項目を選択してテストデータとして使用し、Parse and Testをクリックします。

      3. テストに合格したら、完了をクリックします。

         説明

         テストに失敗した場合は、「ログ標準化テストに失敗した場合やデータが解析できない場合はどうすればよいですか？」で解決策をご参照ください。

      

   4. ポリシーの有効化

      ポリシーのEnabling Status列のスイッチをオンにします。

      重要

      Agentic SOC の購入時に推奨アクセスポリシーを有効にした場合、Security Center、WAF、Cloud Firewall、および ActionTrail の組み込みポリシーはデフォルトで有効になります。推奨アクセスポリシーを有効にするには、「サブスクリプションのアクセスポリシーを有効にする」および「従量課金のログアクセスポリシーを有効にする」をご参照ください。