ログがクラウドサービス、サードパーティツール、自己管理型アプリケーションに点在していると、統合脅威検出は困難になります。 Agentic SOC は、あらゆるソースからログデータを収集、標準化、分析できる一元的な統合センターを提供します。これにより、環境全体に一貫した検出ルールを適用し、脅威に効率的に対応できるようになります。
仕組み
Agentic SOC は、モジュール式の設定システムを使用して、ログの取り込みと標準化を自動化します。4 つのコンポーネントが連携してパイプラインを形成します。
[データソース]：生ログの保存場所です。通常、Simple Log Service (SLS) の Project と Logstore を指します。
説明Agentic SOC は 3 種類のデータソースをサポートしています。[CTDR 専用消費チャンネル]、[ユーザー側 Simple Log Service]、[センター側 Simple Log Service]です。詳細については、「データソースタイプの比較」をご参照ください。
[標準化ルール]：
[標準化方式]：標準化後のログの処理方式です。 サポートされている方式は リアルタイム消費 および スキャンクエリ です。詳細については、「データセット」をご参照ください。
[アクセス ポリシー]：[データソース]、[標準化方式]、[標準化ルール]を結び付けるコア設定です。ログの読み取り、解析、処理の方法を指定し、ログの自動取り込みを実現します。
Alibaba Cloud 製品の統合
これは、Web Application Firewall (WAF)、Cloud Firewall (CFW)、ActionTrail など、ログを Simple Log Service (SLS) の Logstore に配信する Alibaba Cloud 製品に適用されます。
統合フローチャート
ステップ 1: 製品ログ配信の有効化
対象製品のログ監査機能を有効化し、そのログを SLS に配信します。
中央 Logstore にある Alibaba Cloud セキュリティ製品からのアラートログは、Agentic SOC に自動的に配信されます。これらについては、製品のログサービスを有効化する必要はありません。例えば、WAF アラートログや CFW アラートログです。
中央 Logstore のログは、Alibaba Cloud セキュリティ製品ビジネスセンターが自動で配信するため、手動での設定は不要です。次の表に、現在サポートされているセンター側ログとその内容を示します。
ログ名 | ログの内容 |
CFW アラートログ | CFW の侵入防止システム (IPS) エンジンによって検出された侵入アラートイベントを記録します。 これは、CFW コンソールでユーザーに表示されるアラート情報に相当します。 |
CFW VPC アラートログ | CFW が VPC 間トラフィックに対して IPS 保護検出を実行する際に生成されるアラートイベントを記録します。 これは、CFW コンソールに表示される VPC 境界保護アラート情報に相当します。 |
クラウド製品コンソール (WAF や CFW など) に移動し、[Log Management] または [Simple Log Service] を見つけます。 参考リンクについては、「Alibaba Cloud 製品ログを SLS に統合するための参考資料」をご参照ください。
製品ドキュメントに従ってログ配信を有効化します。 有効化すると、通常、SLS に プロジェクト と 1 つ以上の Logstore が自動的に作成されます。
説明SLS コンソールにログインして、製品によって作成されたプロジェクトと Logstore を確認します。 例えば、WAF ログは
wafnew-logstoreという名前の Logstore を使用します。
ステップ 2: 組み込みアクセスポリシーの有効化
手動で有効化
データソースの設定。 Agentic SOC には、主要な Alibaba Cloud 製品用の事前設定されたデータソースが含まれています。 これらの設定が Logstore の情報と一致しているか確認します。
クラウド製品の特定
Security Center コンソール > Agentic SOC > Management > Integration Settings にログインします。 左上隅で、アセットが配置されているリージョン ([中国本土] または [中国本土以外]) を選択します。
プロダクトアクセス タブで、アクセス設定 を [Alibaba Cloud] に設定し、製品 (WAF など) を選択して、[Actions] 列の アクセス設定 をクリックします。
データソースのステータス確認
製品に関連付けられたデータソースの名前をクリックします。 ページが データソース タブにリダイレクトされます。
接続ステータスを確認します。
[正常]：Agentic SOC は Logstore にアクセスできます。 次のステップに進みます。
[異常]：設定が正しくありません。 [Actions] 列の 編集 をクリックして、次を確認します。
[インスタンス情報]：[Region]、[プロジェクト]、[Logstore] がステップ 1 で作成したものと一致しているか確認します。
[ソースログサービス]：SLS の Logstore がアクティブであるか、つまりプロジェクトが無効化されておらず、新しいログが書き込まれているかを確認します。
[未接続]：データソースが設定されていません。 [Actions] 列の 編集 をクリックし、次に インスタンスの追加 をクリックして、ステップ 1 で作成した [Region ID]、プロジェクト (Project)、ログストア (Logstore) を選択します。
組み込みアクセスポリシーの有効化
プロダクトアクセス タブに戻り、製品の [Access Settings] に移動します。
標準化方式の変更 (オプション)。 一部の製品ポリシーでは、[標準化方式] を リアルタイム消費 と スキャンクエリ の間で変更できます。 詳細については、「標準化フィールドとデータセット」をご参照ください。
重要データソースタイプが センター側 Simple Log Service の場合、またはログタイプがアラートログの場合、方式は リアルタイム消費 に固定されており、変更できません。
標準化分類/構造 に関連付けられたデータセット (StoreView) に、すでに 5 つの スキャンクエリ ポリシーが関連付けられている場合は、現在のポリシーに リアルタイム消費 を選択します。 そうしないと、ポリシーを有効化できません。
ログ標準化テスト
標準化方式を変更した場合は、ポリシーを有効化する前にテストを実行してください。
警告データソースの Logstore にはデータが含まれている必要があります。 空の Logstore ではテストを実行できません。
[ログサンプルの選択]： システムはデフォルトで過去 7 日間のログサンプルを自動的に取得します。 時間範囲を手動で選択することもできます。
[SPL 構文]： 現在のポリシーの標準化ルールで定義されている構文が、デフォルトで同期されます。 構文を変更するには、「標準化ルールとデータセット」タブに移動してルールを編集してください。
ログサンプルを取得したら、 解析とテスト をクリックします。
テストに合格したら、 完了 をクリックします。
説明テストに失敗した場合は、「ログ標準化テストが失敗した場合、またはデータを解析できない場合はどうすればよいですか?」をご参照ください。
ポリシーの有効化
状態 列のスイッチをオンにします。
重要Agentic SOC の購入時に推奨アクセスポリシーを有効化した場合、Security Center、WAF、CFW、ActionTrail の組み込みポリシーはすでに有効化されています。 詳細については、「サブスクリプションのアクセスポリシーの有効化」および「従量課金のログアクセスポリシーの有効化」をご参照ください。
一括で有効化 (推奨)
一括統合により、複数の製品にわたってアクセスポリシーを自動的に有効化し、データソースを検出します。
セキュリティセンターコンソール - Agentic SOC - 管理 - アクセス設定に移動します。ページの左上隅で、アセットのリージョンとして 中国本土 または 中国本土以外 を選択します。
一括統合の設定
接続設定方式 をクリックして、設定を行います。
接続設定方式：
増分設定：すべての有効化されたアクセスポリシーを保持し、現在の設定で指定したデータソースとポリシーのみを追加します。
全量設定：既存のすべてのアクセス設定を上書きします。現在の設定で選択されていないポリシーは無効化されます。
警告フルアクセスは上書き操作です。 実行中のポリシーを無効化し、データ統合を中断する可能性があります。 注意して進めてください。
アカウント範囲：現在のアカウントとそのメンバーアカウントを選択します。
Alibaba Cloud プロダクトの範囲：クラウド製品とそれに対応するデータソースを選択します。
説明データ分析を迅速に有効化するには、推奨アクセスポリシーの使用 をクリックします。 システムは、ベストプラクティスに基づいて、各製品の最も分析価値の高いデータソースを選択します。
データソースの自動検出と接続による新規 Logstore 作成：有効にすると、新しい Logstore がデータソースの収集範囲に自動的に含まれます。手動更新は不要です。
確認とデータ統合の開始
OK をクリックします。 システムは、次の処理を自動的に実行します。
すべての Logstore を統合：SLS で選択された製品とアカウントに関連付けられた、有効化されたすべての Logstore を取り込みます。
アクセスポリシーの有効化：選択されたデータソースに対応するアクセスポリシーを有効化します。
重要新しいアクセスポリシーのデプロイと初期化には時間がかかる場合があります。 プロセスが完了するまで待ってから結果を確認してください。
有効化ステータスの確認
アクセスリストに戻り、製品を選択して、[Actions] 列の アクセス設定 をクリックします。
説明メンバーアカウントの場合は、マルチアカウントアクセス設定 に移動して、対象のデータソースの [Actions] 列の クロスアカウント連携 をクリックします。
アクセスポリシーリストでアクセスステータスを確認します。 ステータスが異常の場合は、データソースのステータスを確認します。 詳細については、「データソースのステータスを確認します。」をご参照ください。
ステップ 3: 新しいアクセスポリシーの追加 (オプション)
一部の製品は、カスタムアクセスポリシーをサポートしています。
アクセスポリシーリストで、アクセスポリシーの作成 をクリックします。
説明[Create Access Policy] が表示されない場合、その製品はこの機能をサポートしていません。
[Create Access Policy] ページで、データソース、標準化ルール、標準化方式 を選択します。 適切なオプションがない場合は、「新しいデータソースを作成」し、「カスタム標準化ルール」を作成します。
重要現在のアカウントのデータソースのみがサポート対象です。 メンバーアカウントのデータソースはここでは使用できません。
[Test Log Standardization] を完了してから、ポリシーを有効化します。
サードパーティログの統合
Agentic SOC は、サードパーティクラウド (Fortinet、Chaitin、Microsoft、Sangfor、Tencent Cloud、Huawei Cloud、Hillstone Networks、Knownsec、Microsoft Cloud) およびカスタム製品アプリケーションからのログをサポートしています。
サードパーティクラウド製品のログの統合
SLS にないサードパーティクラウド製品のログ
Tencent Cloud および Huawei Cloud の WAF および CFW 製品について、Agentic SOC は組み込みのデータインポート機能を提供しています。
サポート対象製品：
クラウドプロバイダー | 製品 | ログタイプ |
Tencent Cloud | Web アプリケーションファイアウォール (WAF) | 攻撃ログ、アクセスログ |
クラウドファイアウォール (CFW) | アラートログ | |
HUAWEI CLOUD | Web アプリケーションファイアウォール (WAF) | 攻撃ログ、アクセスログ |
クラウドファイアウォール (CFW) | アラートログ |
連携フローチャート
手順
データソースの作成：サードパーティクラウドのログデータを受信するための専用の Agentic SOC データソースを作成します。すでに作成済みの場合は、このステップをスキップしてください。
[Security Center] コンソールの [Agentic SOC] > [Management] > [Integration Settings] ページに移動します。左上隅で、保護するアセットのリージョンを選択します。中国本土 または 中国本土以外。
データソース タブで、データソースを作成します。 詳細については、「データソースの作成: SLS にないログ」をご参照ください。
ソースデータソースタイプ：ユーザー側 Simple Log Service または Agentic SOC 専用収集チャネルを選択します。「データソースタイプの比較」をご参照ください。
[Add Instances]: データを分離するために、新しい [ログストア (Logstore)] を作成することを推奨します。
データのインポート：Huawei Cloud ログデータのインポートまたはTencent Cloud ログデータのインポートに従って、サードパーティクラウドのデータをステップ 1 で作成したデータソースにインポートします。
アクセスポリシーの設定：
プロダクトアクセス タブで、アクセス設定 をサードパーティベンダー (Huawei Cloud など) に設定します。
対象の製品のアクセス設定をクリックし、アクセスポリシーの作成をクリックします。
データソースの設定：
[Data Source Name]: ステップ 1 で作成したデータソースを選択します。
標準化ルールには、Huawei Cloud または Tencent Cloud 用の組み込み標準化ルールを選択します。
説明カスタム標準化ルールを作成することもできます。
標準化方法: [リアルタイム消費] のみがサポートされています。このシナリオでは [スキャンクエリ] は使用できません。
ログ標準化テスト ページで、解析とテスト をクリックします。
警告データソースに対応する Logstore にはデータが含まれている必要があります。そうでない場合、テストを実行できません。
テストに合格したら、完了 をクリックし、ポリシーを有効化します。
SLS にすでに存在するサードパーティログ
Fortinet、Chaitin、Sangfor などの製品からのログが、すでに Simple Log Service (SLS) の Logstore に収集されている場合 (Logtail または Syslog-ng 経由)、このフローに従ってください。データ収集方法については、「データ収集の概要」をご参照ください。
データソースの設定：
連携製品の特定：
[Security Center] コンソールの [Agentic SOC] > [Management] > [Integration Settings] ページに移動します。左上隅で、保護するアセットが配置されているリージョンを選択します。中国本土 または 中国本土以外。
プロダクトアクセス タブで、アクセス設定 をサードパーティベンダー (Huawei Cloud など) に設定します。
データソースの更新：
製品に関連付けられているデータソースの名前をクリックすると、データソース タブにリダイレクトされます。操作列の 編集 をクリックします。
インスタンスの追加 をクリックし、サードパーティのログが保存されているリージョン ID、プロジェクト、および ログストア (Logstore) を選択します。
説明Simple Log Service コンソールにログインして、Logstore 情報を確認してください。
組み込みアクセスポリシーの有効化：
プロダクトアクセス タブに戻り、製品の[アクセス設定]に進みます。
組み込みのアクセスポリシーの「操作」列で編集をクリックし、ログ標準化テストページで解析とテストをクリックします。 詳細については、「ログの標準化テスト」をご参照ください。
テストに合格したら、完了 をクリックし、ポリシーを有効にします。
カスタム製品アプリケーションのログの統合
カスタム製品アプリケーション
このフローを使用して、独自のアプリケーションまたは組み込み連携でカバーされていない製品からのログを統合できます。
開始する前に、次を確認してください。
ログがすでに SLS に収集されているかどうかを確認し、収集されていない場合は、[Agentic SOC Dedicated Collection Channel] (Agentic SOC が Logstore を作成・管理) を使用するか、[User Log Service] (自分で Logstore を作成) を使用するかを決定します。
ログフォーマットに対応するカスタム SPL ベースの標準化ルールを記述する必要があります。
連携フローチャート
製品の追加：
データソースを追加します。データソース タブで、データソースの作成 をクリックします。「データソース」をご参照ください。
ログがすでに SLS にある場合は、ソースデータソースタイプ を ユーザー側 Simple Log Service に設定し、対応する Logstore を選択します。
説明Simple Log Service コンソールにログインして、Logstore 情報を確認してください。
ログがまだ SLS にない場合:
[Agentic SOC Dedicated Collection Channel]: Agentic SOC が専用のプロジェクト (
aliyun-cloudsiem-channel-AlibabaCloudUID-RegionID) と Logstore を SLS に自動的に作成します。[User Log Service]: Simple Log Service コンソールに移動して、最初に Logstore を作成する必要があります。
データソースの設定後、「データ収集の概要」を参照するか、SLS ヘルプデスクに連絡して、製品ログを収集し、対応する SLS Logstore に送信してください。
標準化ルールの追加：
解析ルール タブで、カスタムルールの作成 をクリックします。詳細については、「カスタム標準化ルールを作成する」をご参照ください。
ベンダーと製品を、ステップ 1 で追加したものと一致するように設定してください。
アクセスポリシーの追加と有効化：
プロダクトアクセス タブに戻り、ステップ 1 で追加した製品を見つけ、[操作] 列の アクセス設定 をクリックします。
「インジェスト設定」ページで、アクセスポリシーの作成 をクリックし、以下を設定します。
[Data Source]: ステップ 2 で設定したデータソースを選択します。
標準化ルールには、ステップ 3 で設定したルールを選択します。
標準化方法: [リアルタイム消費] または [スキャンクエリ]。
重要データソースタイプが CTDR 専用消費チャンネル の場合、リアルタイム消費 を選択します。
ログ標準化テスト ページで、解析とテスト をクリックします。「ログ標準化テスト」をご参照ください。
警告データソースの Logstore にはデータが含まれている必要があります。空の Logstore ではテストを実行できません。
テストに合格したら、完了 をクリックしてポリシーを有効化します。
統合データの分析
製品ログを統合した後、脅威検出ルールを設定してログを分析し、アラートを生成し、クラウドセキュリティリスクに対応します。詳細については、「脅威検出ルールの設定」をご参照ください。
制限
スキャンクエリポリシーの上限：データセット (標準化ルールに関連付けられている) は、[スキャンクエリ] モードのアクセスポリシーを最大 5 件サポートします。
マルチアカウント統合：
メンバーアカウントのログは、リアルタイム消費 でのみ取り込めます。スキャンクエリ はサポートされていません。詳細については、「マルチアカウント管理」をご参照ください。
メンバーアカウントのデータソースには、カスタムアクセスポリシーを追加できません。
標準化方式の制限：データソースタイプが [CTDR 専用消費チャンネル] の場合、またはログタイプがアラートログの場合、リアルタイム消費 のみサポートされます。
課金
ログ統合の料金は、データソースタイプによって異なります。
詳細については、「Agentic SOC サブスクリプション」、「Agentic SOC 従量課金」、「SLS 課金」をご参照ください。
データソースタイプ | Agentic SOC 課金 | SLS 課金 | 備考 |
Agentic SOC 専用収集チャネル | ログ収集料金 + ログストレージと書き込み料金 (ログ収集トラフィックを消費) | インターネットトラフィック料金 (ストレージや書き込みは含まれません) | Agentic SOC creates and manages SLS resources, so Logstore storage and write fees are billed by Agentic SOC. |
ユーザー Log Service | ログ収集料金 (ログ収集トラフィックを消費) | All costs: storage, writes, and data transfer | SLS がすべてのログリソースを管理し、関連するすべての料金を課金します。 |
Security Center Log Service | ログ収集料金 (ログ収集トラフィックを消費) | None | Internal Security Center logs. No SLS fees apply. |
関連ドキュメント
標準化方式の比較
項目 | リアルタイム消費 | スキャンクエリ |
仕組み | 書き込み時の標準化： Agentic SOC はデータソースからログを消費し、標準化して、Agentic SOC ログスペースに保存します。 | スキーマオンリード： レプリカを保存せずに、データソースから直接ログを読み取ります。 |
主な利点 | 高いクエリパフォーマンスと高速な分析。 | 軽量なデプロイメントと低コスト。 |
ログストレージと料金 | ログストレージ容量を購入すると、標準化されたログは Agentic SOC のログ管理に自動的に配信されます。この配信により、Agentic SOC のログストレージ容量が消費され、無効化することはできません。 | レプリカは保存されません。生ログのストレージは、ソース (SLS) によって課金されます。 |
適用可能なデータソースタイプ | Security Center Log Service、ユーザーログサービス、Agentic SOC 専用収集チャネル | ユーザーログサービスのみ (アラートログを除く) |
パフォーマンスとクォータ | アクセスポリシーの数に制限はありません。 | データセットごとに最大 5 つのスキャンクエリポリシー。フルインデックスは利用不可。スキャンされるデータ量の増加に伴いクエリパフォーマンスが低下します。 |
マルチアカウントアクセス | 対応 | 非対応 |
シナリオの制限 | データソースが Agentic SOC 専用収集チャネル、またはログタイプがアラートログの場合は必須です。 | なし |
データソースタイプの比較
項目 | ユーザーログサービス | Agentic SOC 専用収集チャネル | Security Center Log Service |
ログストレージと管理 | お客様が独自の SLS プロジェクトと Logstore を管理します。 | Agentic SOC が専用の SLS プロジェクトと Logstore を自動的に作成・管理します。 | Security Center 内部のログ。お客様の SLS には保存されません。 |
対応標準化方式 | リアルタイム消費、スキャンクエリ (アラートログを除く) | リアルタイム消費 | リアルタイム消費 |
ユースケース | Alibaba Cloud 製品 (WAF、CFW など) から SLS に配信されたログ、または Logtail を使用してサードパーティ製品から SLS に収集されたログを取り込みます。 | まだ SLS にない、サードパーティクラウド (Tencent Cloud、Huawei Cloud) からのログや、既存の配信方法がないカスタムアプリケーションログを収集します。 | Alibaba Cloud セキュリティ製品ビジネスセンターによって自動的に配信されるアラートログ (Cloud Firewall IPS 保護アラートや WAF アラートなど) を分析します。製品のログサービスを手動で有効化する必要はありません。 |
Alibaba Cloud 製品ログを SLS に統合するための参考資料
Web Application Firewall： WAF 3.0 ログ
Cloud Firewall： Cloud Firewall ログ
Bastionhost： 監査ログを Simple Log Service にアーカイブ
ActionTrail： プラットフォーム操作ログ
Anti-DDoS： フルログ分析の開始
DCDN： DCDN リアルタイムログ
API Gateway： API Gateway アクセスログ
Container Service for Kubernetes： ログ管理
PolarDB： ログ分析
ApsaraDB for MongoDB： MongoDB ログ
Server Load Balancer： ALB アクセスログ、CLB アクセスログ、CLB のレイヤー 7 アクセスログ、CLB のレイヤー 4 監視メトリクス
Object Storage Service： OSS アクセスログ
File Storage NAS： SLS に基づくログ分析
CloudConfig： 設定監査ログ
Log Service (SLS) ログ収集参考資料
Logstash： Logstash を使用したログのアップロード
OSS： OSS データのインポート
Log4j： Log4j ログの収集
Alibaba Cloud ログ収集エージェント： LoongCollector (旧 Logtail)
収集選択ガイド： データ収集
よくある質問
データソースに「異常」または「未接続」と表示されるのはなぜですか?
まず、
AliyunServiceRoleForSasサービスリンクロールを確認してください。SLS Logstore には、少なくともAliyunLogReadOnlyAccessが必要です。これが最も一般的な原因です。権限が正しい場合は、Agentic SOC のデータソース編集ページに移動し、[Region]、[Project]、[Logstore] の名前を確認してください (誤字や余分なスペースに注意してください)。
最後に、SLS コンソールにログインして、Project が無効化されておらず、新しいデータが書き込まれていることを確認してください。
アクセスポリシーの有効化に失敗するのはなぜですか?
各データセット (StoreView) は、スキャンクエリモードで最大 5 つのアクセスポリシーをサポートします。この上限に達した場合は、ポリシーの標準化方法をリアルタイム消費に切り替えてください。詳細については、アクセスポリシーの有効化に失敗する をご参照ください。
ログ標準化テストが失敗した場合、またはデータを解析できない場合はどうすればよいですか?
まず、SLS Logstore に最新のデータが含まれていることを確認してください (できれば過去 1 時間以内に書き込まれたもの)。空の Logstore ではテストを実行できません。
Logstore にデータがあるのにテストが失敗する場合は、標準化ルールの SPL 文が生ログのフォーマットを正しく解析しているかどうかを確認してください。SLS コンソールのクエリと分析ページで SPL 文をデバッグしてください。