Security Center:詳細: セキュリティオペレーションエージェント

チームリーダー

チームリーダーは、Qwenシリーズの大規模言語モデルに基づいて構築されています。エージェントアーキテクチャ全体の中心的なスケジューリングノードとして機能し、以下の役割を果たします。

• グローバルスケジューリング：ユーザー入力の意図またはシステムトリガーイベントを受信および解釈します。タスクを計画し、複雑なセキュリティ運用タスクをサブタスクに分解します。

• タスク分解：高レベルのセキュリティ運用目標を特定の実行可能なサブタスクに分解し、適切な専門エージェントチームに割り当てます。

• 複雑な意思決定：複数のエージェントチーム間で意思決定を調整し、タスクの実行順序と優先度を決定します。

専門エージェントチーム

ログ標準化エージェント

ログ標準化エージェントは、セマンティクス認識を使用して、異種データソースからのログを自動的に理解し、高品質なSPL (Search Processing Language) クエリ文を生成します。ログセマンティクスを統一し、手動クエリ作成を排除し、わずかなチューニングのみを必要とします。これにより、学習と使用の障壁が大幅に低減され、ログ標準化とオンボーディングが加速されます。

• コア機能：

  • 異なるフォーマットの生ログ構造とフィールドの意味を自動的に理解します。

  • ワンクリックでSPL構文を生成し、生ログフィールドを標準化されたセキュリティデータモデルにマッピングします。

  • 複雑な解析文を手動で記述する必要がなく、標準化ルールのシンプルなポイントアンドクリックチューニングをサポートします。

• 使用例：

  1. 次の手順に従って、Security Center コンソール → Agentic SOC → 管理 → アクセス設定 に移動します。左側のナビゲーションウィンドウの上部で、保護対象のリソースが配置されているリージョンを選択します。Chinese Mainland または Outside Chinese Mainland。

  2. 「Integration Settings」ページで、Standardized Rule タブに移動します。カスタムアクセスルールの編集または作成時に、Sample Log を入力します。その後、Security AI Assistant を呼び出して、最適化の提案を取得します。

  

インシデント調査エージェント

インシデント調査エージェントは、ReAct/CoT (Chain of Thought) 推論フレームワークを使用します。環境変化を継続的に監視し、新しいホストまたはネットワークアラートがインシデントに関連付けられ、インシデントステータスが「未処理」の場合、自律的に調査と分析を開始します。これにより、伝統的に数時間または数日かかっていた長時間の調査が数分に短縮されます。

• コア機能：

  • インシデント調査エージェントは、確認された攻撃、疑わしい誤検知、または情報不足といった明確な分析結果を提供します。

  • そのコア調査機能はQwenシリーズのモデルに基づいて構築されています。インシデント分類、固有表現認識、攻撃パス推論をサポートします。調査結果に基づいて、影響範囲を分析し、攻撃パスを再構築し、タイムラインをマッピングします。

• 使用例：

  • AI分析結果は、脅威の分析と応答 > セキュリティイベントの処理 ページで確認できます。

    

  • インシデント詳細ページで、インシデント概要、影響範囲の説明、影響を受けた攻撃チェーンの段階、検知ルール、アラートソースを表示します。リンクをクリックして、完全な攻撃チェーンとタイムラインを含む追跡可能性グラフを表示します。

    

インシデント調査レポートエージェント

• コア機能：インシデント応答の専門家の視点から、インシデント調査レポートエージェントは完全な技術インシデントレポートを生成します。完全なセキュリティインシデントをレビューし、証拠と応答ステップを収集し、体系的な改善推奨事項を提供します。レポートには、インシデント分類と概要、攻撃チェーンとタイムライン、影響範囲評価、根本原因分析、侵害の痕跡 (IOCs)、体系的な強化推奨事項が含まれます。

• 使用例: 対象のインシデントの詳細ページに移動します。Full Report を上部でクリックして、レポートの詳細ページを開きます。

  

エンティティ分析エージェント

エンティティ分析エージェントは、AI Agent を使用して悪意のあるエンティティのリスクレベルを包括的に評価し、応答のためにどのプレイブックまたはツールを呼び出すかを自律的に決定します。

• コア機能：

  • 基本情報、分析ステップ、結論、応答推奨事項を含む、各エンティティの分析プロセスを表示します。

  • IP、ファイル、プロセス、ドメイン名、ホスト、コンテナについて、Security AI Assistant を介したエンティティ分析の呼び出しをサポートします。

  • エンティティが悪意のあるものとして分類された場合、応答アクションを推奨し、ワンクリックで実行できます。

• 使用例: インシデント詳細ページに移動します。Entity タブで、処理するエンティティを特定します。AI Analysis をクリックします。

  

インシデント応答エージェント

インシデント応答の専門家の視点から、インシデント応答エージェントは調査結果に基づいて影響範囲を分析し、段階的で慎重な応答推奨事項を提供します。これらは自動実行の前に手動でレビューされます。

• コア機能：

  • インテリジェントな応答推奨事項：ログ、脆弱性、脅威インテリジェンス、ビジネスコンテキストを使用して応答計画を正確に検証します。

  • 第二レベルの対応: プレイブック、脅威インテリジェンス、サンドボックス、OpenAPI などのツールを自動的に呼び出し、ブロック、隔離、検証を実行します。

  • 手動レビューメカニズム：重要な意思決定ポイントでの人間の確認をサポートし、速度とセキュリティのバランスをとります。

• 使用例：

  1. 「セキュリティイベントの処理」ホームページで、対象のインシデントを見つけます。「操作する」列で、「Recommended Response」をクリックします。

  2. Agent Recommended Policy パネルで、対応する悪意のあるエンティティを選択します。

     説明

     エージェントは適切なプレイブックを自動的に選択し、関連パラメーターを設定します。手動編集は不要です。

     

  3. 手動確認後、Resolve をクリックします。

脅威検知エージェント

• コア機能：複数のドメイン固有のエージェントが、大量の異種データソースに対して深層セマンティクス理解、相関推論、攻撃元の追跡を実行します。これらが連携して包括的なデジタルセキュリティハブを形成し、既知および未知のセキュリティ脅威を24時間体制で自動的かつ正確に検出します。

• 使用例：悪意のあるウェブトラフィック追跡エージェントは、異常なホスト側アラートを使用して悪意のあるウェブトラフィックを追跡します。ホストアラートをWAFフローログと相関させ、アラートから帰属の手がかりまで、および新しいアラートからクロスドメイン相関イベントまでの完全な分析チェーンを構築します。その後、対応するセキュリティアラートを生成します。