Security Center:セキュリティオペレーションエージェント

チームリーダー

チームリーダーは Qwen シリーズのモデルを基盤としており、エージェントアーキテクチャ全体の中央調整ノードとして機能します。以下の責務を担います。

• グローバルスケジューリング： ユーザーの入力やシステムによってトリガーされたイベントを受け取り、理解してタスクを計画し、複雑なセキュリティオペレーションタスクをサブタスクに分解します。

• タスクの分解： 高レベルのセキュリティオペレーション目標を、具体的で実行可能なサブタスクに分解し、適切な専門エージェントチームに割り当てます。

• 複雑な意思決定： 複数のエージェントチーム間の意思決定を調整し、タスクの実行順序と優先度を決定します。

専門エージェントチーム

ログ標準化エージェント

ログ標準化エージェントは、セマンティック認識技術を使用して、複数ソースの異種ログを自動的に理解し、高品質の検索処理言語 (SPL) クエリを生成します。セマンティクスを統一し、手動でのクエリ記述の必要性をなくします。わずかな微調整のみで済み、ログ標準化の学習コストを大幅に削減します。

• コア機能：

  • 様々な形式の生ログの構造とフィールドの意味を自動的に理解します。

  • ワンクリックで SPL 構文を生成し、生ログのフィールドを標準化されたセキュリティデータモデルにマッピングします。

  • 簡単なポイントアンドクリック操作で標準化ルールを微調整でき、複雑な解析ステートメントを手動で記述する必要がなくなります。

• 使用例：

  1. [Security Center console] > [Agentic SOC] > [Management] > [Access Settings] へ移動します。左上隅で、アセットが所在するリージョンを選択します： Chinese Mainland または Outside Chinese Mainland。

  2. Integration Settings ページの Standardized Rule タブで、カスタムアクセスルールを修正または作成します。Sample Log を入力した後、Security AI Assistant を呼び出して、最適化の提案を得ることができます。

  

インシデント調査エージェント

インシデント調査エージェントは、ReAct/Chain of Thought (CoT) 推論フレームワーク上に構築されています。環境の変化を継続的に感知します。新しいホストまたはネットワークのアラートがインシデントに関連付けられ、インシデントのステータスが "Unprocessed" の場合、エージェントは自律的に調査と分析を開始します。これにより、以前は数時間から数日かかっていた面倒な調査作業が数分に短縮されます。

• コア機能：

  • インシデント調査エージェントは、[確認済みの攻撃]、[誤検知の疑い]、または [情報不足] という明確な結論を提供します。

  • そのコア調査機能は Qwen シリーズのモデルに基づいて構築されており、インシデントの分類、エンティティの認識、攻撃パスの推論をサポートします。調査結果に基づいて、影響範囲を分析し、攻撃チェーンとタイムラインを再構築します。

• 使用例：

  • 脅威の分析と応答 > セキュリティイベントの処理 ページに AI 分析結果が表示されます。

    

  • インシデント詳細ページで、インシデントの概要、影響範囲、関連する攻撃チェーンの段階、検出ルール、アラートソースを表示できます。トレーサビリティグラフを使用して、完全な攻撃チェーンとタイムラインを表示できます。

    

  • インシデント詳細ページでは、Agent Chain-of-Thought に背景コンテキスト、推論ステップ、結論の要約などの情報が表示され、エージェントの調査プロセスと推論を理解するのに役立ちます。

    

インシデント調査レポートエージェント

• インシデント調査レポートエージェントは、完全な技術調査レポートを生成します。このレポートは、セキュリティインシデントをレビューし、証拠と対応アクションを統合し、体系的な改善の推奨事項を提供します。レポートには、インシデントの分類と概要、攻撃チェーンとタイムライン、影響評価、根本原因分析、侵害指標 (IOC)、体系的な強化策の推奨 が含まれます。

• 使用例： 対象のインシデントの詳細ページに移動し、上部にある Full Report をクリックしてレポート詳細ページを表示します。

  

エンティティ分析エージェント

エンティティ分析エージェントは、AI を使用して悪意のあるエンティティのリスクレベルを評価し、どのプレイブックやツールを対応に使用するかを自律的に推論して決定します。

• コア機能：

  • エンティティの基本情報、分析プロセス、結論、推奨アクションなど、エンティティの分析プロセスを表示します。

  • セキュリティ AI アシスタントを通じてエンティティ分析を呼び出し、IP、ファイル、プロセス、ドメイン名、ホスト、コンテナなどのエンティティを分析できます。

  • エージェントがエンティティを悪意があると判断した場合、ワンクリックで実行できる対応ポリシーを自動的に推奨します。

• 使用例： インシデント詳細ページで、Entity タブに移動し、処理したいエンティティを見つけて AI Analysis をクリックします。

  

インシデント対応エージェント

このエージェントは、調査結果に基づいて影響範囲を分析し、手動レビュー後に自動的に実行される、段階的で慎重な対応の推奨事項を提供します。

• コア機能：

  • インテリジェントな対応の推奨事項： ログ、脆弱性データ、脅威インテリジェンス、ビジネスコンテキストを取得して、対応計画を正確に検証します。

  • 数秒での対応： ツール (プレイブック、脅威インテリジェンス、サンドボックス、OpenAPI など) を自動的に呼び出し、ブロック、隔離、検証などの操作を実行します。

  • 手動レビューメカニズム： 重要な意思決定ポイントで手動確認をサポートし、効率とセキュリティのバランスを取ります。

• 使用例：

  1. セキュリティイベントの処理 ページで、対象のインシデントを見つけます。操作する 列で、Recommended Response をクリックします。

  2. Agent Recommended Policy パネルで、処理したい悪意のあるエンティティを選択します。

     説明

     エージェントは適切なプレイブックを自動的に選択し、関連するパラメーターを設定します。手動での修正は必要ありません。

     

  3. 手動で確認した後、Resolve をクリックします。

脅威検出エージェント

• コア機能： 複数のドメイン固有のインテリジェントエージェントが、大規模で異種のデータセットに対して深いセマンティック理解、相関分析、攻撃の帰属特定を実行します。これにより、既知および未知のセキュリティ脅威を 24 時間体制で自動的かつ正確に特定する、包括的なデジタルセキュリティハブが作成されます。

• 使用例： 悪意のある Web トラフィックトレースバックエージェント は、ホスト側のアノマリーアラートに基づいて悪意のある Web トラフィックを追跡します。ホストのアラートを WAF のフローログと相関させることで、アラートから帰属の手がかりまで、そして新しいアラートからクロスドメインの相関インシデントまでの完全な分析チェーンを構築し、対応するセキュリティアラートを生成します。