Security Center:セキュリティオペレーションエージェント

チームリーダー

チームリーダーは Qwen シリーズのモデル上に構築され、エージェントアーキテクチャ全体の中央調整ノードとして機能します。以下の責務を担います。

• グローバルなスケジューリング：ユーザーの入力やシステムがトリガーしたイベントを受け取って理解し、タスクを計画し、複雑なセキュリティオペレーションタスクをサブタスクに分解します。

• タスクの分解：高レベルのセキュリティオペレーション目標を、具体的で実行可能なサブタスクに分解し、適切な専門エージェントチームに割り当てます。

• 複雑な意思決定：複数のエージェントチーム間の意思決定を調整し、タスクの実行順序と優先度を決定します。

専門エージェントチーム

ログ標準化エージェント

ログ標準化エージェントは、セマンティック認識技術を使用して、複数ソースの異種ログを自動的に理解し、高品質な Search Processing Language (SPL) クエリを生成します。これにより、セマンティクスが統一され、手動でのクエリ作成が不要になります。必要なのはわずかな微調整のみで、ログ標準化のための学習コストを大幅に削減します。

• コア機能：

  • さまざまなフォーマットの生ログの構造とフィールドの意味を自動的に理解します。

  • ワンクリックで SPL 構文を生成し、生ログのフィールドを標準化されたセキュリティデータモデルにマッピングします。

  • 簡単なポイントアンドクリック操作で標準化ルールを微調整でき、複雑な解析ステートメントを手動で記述する必要がなくなります。

• 使用例：

  1. [Security Center コンソール] > [Agentic SOC] > [Management] > [Access Settings] に移動します。左上隅で、アセットが配置されているリージョン： 中国本土 または 中国本土以外 を選択します。

  2. インテグレーションセンター ページで、標準化ルール タブで、カスタムアクセスルールを修正または作成します。サンプルログ を入力した後、Alibaba Cloud セキュリティ大規模言語モデル (LLM) を呼び出して最適化の提案を得ることができます。

インシデント調査エージェント

インシデント調査エージェントは、ReAct/Chain-of-Thought (CoT) 推論フレームワーク上に構築されています。環境の変化を継続的に感知します。新しいホストやネットワークのアラートがインシデントに関連付けられ、インシデントのステータスが「未処理」の場合、エージェントは自律的に調査と分析を開始します。これにより、以前は数時間から数日かかっていた面倒な調査作業が数分に短縮されます。

• コア機能：

  • インシデント調査エージェントは、攻撃確定、誤検知の疑い、または 情報不足といった明確な結論を提供します。

  • その中核となる調査機能は Qwen シリーズのモデル上に構築されており、インシデントの分類、エンティティの認識、攻撃パスの推論をサポートします。調査結果に基づいて、影響範囲を分析し、攻撃チェーンとタイムラインを再構築します。

• 使用例：

  • 脅威の分析と応答 > セキュリティイベントの処理 ページに AI 分析結果が表示されます。

    インシデントリストの [AI Analysis] 列には、各インシデントの分析結論が表示されます。結論は [攻撃確定] または [サポート対象外] のいずれかです。

  • インシデント詳細ページで、インシデントの要約、影響範囲、関連する攻撃チェーンのステージ、検出ルール、アラートソースを確認します。トレーサビリティグラフを使用して、完全な攻撃チェーンとタイムラインを表示します。

  • インシデント詳細ページの Agent 思考チェーン には、背景コンテキスト、推論ステップ、結論の要約などの情報が表示され、エージェントの調査プロセスと推論を理解できます。

    このタブを選択すると、左側に推論ステップが一覧表示され、右側に選択したステップの詳細 (手がかりの要約、初期仮説、推論プロセスなど) が表示されます。ページ下部の [Recommended Actions] ボタンを使用すると、セキュリティインシデントに迅速に対応できます。

インシデント調査レポートエージェント

• インシデント調査レポートエージェントは、完全な技術調査レポートを生成します。このレポートは、セキュリティインシデントを見直し、証拠とレスポンスアクションを統合し、体系的な改善推奨事項を提供します。レポートには、インシデントの分類と要約、攻撃チェーンとタイムライン、影響評価、根本原因分析、侵害指標 (IOC)、体系的な強化推奨事項が含まれます。

• 使用例：対象のインシデントの詳細ページに移動し、上部の 詳細レポート をクリックしてレポート詳細ページを表示します。

  レポート詳細ページには、AI エージェントが自動的に生成したインシデント調査結果が表示されます。この例では、アラートのタイトルは「バックドア (webshell) ファイルが複数回検出されました」で、深刻度は [High] です。ページには以下の情報が含まれます。

  • 基本的なアラート情報：アラートソース (Security Center) 、分析ルール (グラフコンピューティング集約ルール) 、ATT&CK ステージ、影響を受けたアセット数、関連アラート数、所有者、発生時刻などのフィールド。

  • 攻撃チェーントポロジー：攻撃者からターゲットホスト、そして webshell ファイルなどの悪意のあるファイルに至る攻撃パスの可視化。

  • ペイロード分析：悪意のあるファイルのコード内容と MD5 ハッシュ。

  • IOC 指標：プロセスコマンドラインなどの脅威指標。

エンティティ分析エージェント

エンティティ分析エージェントは、AI を使用して悪意のあるエンティティのリスクレベルを評価し、自律的に推論して、レスポンスに使用するプレイブックやツールを決定します。

• コア機能：

  • エンティティの基本情報、分析の過程、結論、推奨アクションなど、エンティティ分析のプロセス全体を表示します。

  • セキュリティ AI アシスタントを介したエンティティ分析の呼び出しをサポートし、IP、ファイル、プロセス、ドメイン名、ホスト、コンテナなどのエンティティを分析します。

  • エージェントがエンティティを悪意のあるものと判断した場合、ワンクリックで実行できるレスポンスポリシーを自動的に推奨します。

• 使用例：インシデント詳細ページで エンティティオブジェクト タブに移動し、処理したいエンティティを見つけて AI Analysis をクリックします。

インシデントレスポンスエージェント

このエージェントは、調査結果に基づいて影響範囲を分析し、段階的で慎重なレスポンスを推奨します。これらは手動レビューの後に自動的に実行されます。

• コア機能：

  • インテリジェントなレスポンスの推奨：ログ、脆弱性データ、脅威インテリジェンス、ビジネスコンテキストを取得して、レスポンス計画を正確に検証します。

  • 秒単位のレスポンス：ツール (プレイブック、脅威インテリジェンス、サンドボックス、OpenAPI など) を自動的に呼び出し、ブロック、隔離、検証などの操作を実行します。

  • 手動レビューメカニズム：重要な意思決定ポイントでの手動確認をサポートし、効率とセキュリティのバランスを取ります。

• 使用例：

  1. セキュリティイベントの処理 ページで、対象のインシデントを見つけます。操作する 列で、ワンクリック対処 をクリックします。

  2. Agent による推奨対処策 パネルで、処理したい悪意のあるエンティティを選択します。

     説明

     エージェントは自動的に適切なプレイブックを選択し、関連するパラメータを設定します。手動での修正は不要です。

  3. 手動で確認した後、対処 をクリックします。

脅威検出エージェント

• コア機能：複数のドメイン固有のインテリジェントエージェントが、大規模で異種のデータセットに対して、深いセマンティック理解、相関分析、攻撃の帰属分析を実行します。これにより、既知および未知のセキュリティ脅威を 24 時間体制で自動的かつ正確に特定し、包括的なデジタルセキュリティハブを構築します。

• 使用例：悪意のある Web トラフィックトレースバックエージェントは、ホスト側の異常アラートに基づいて悪意のある Web トラフィックを追跡します。ホストのアラートと WAF のフローログを関連付けて、アラートから帰属の手がかりまで、そして新しいアラートからドメイン横断的な相関インシデントまでの完全な分析チェーンを構築し、対応するセキュリティアラートを生成します。