Security Center:自動レスポンスルール

仕組み

自動レスポンス機能の中核は、「条件に一致した場合、アクションを実行する」というロジックです。システムが新しいセキュリティアラートやイベントを受信すると、以下のワークフローで処理を実行します。

1. データ入力：Security Center が、さまざまなクラウド製品 (WAF や AEGIS など) からのセキュリティアラートを受信および分析し、相関関係に基づいて関連するアラートをセキュリティイベントに集約します。

2. ルールマッチング：レスポンスエンジンが、有効化された各ルールを、設定済みの [トリガー方式] と [フィルター条件] に照らしてマッチングします。

3. アクションの実行：マッチングに成功すると、システムはルールに定義された [順序] と [ルールサイレンス] に基づいて、プレイブックの実行やイベントステータスの変更など、1 つ以上のレスポンスアクションを実行します。

4. 結果の記録：すべての自動化されたアクションの実行結果は、監査と追跡のために 対処センター に記録されます。

基本概念

• エンティティ：レスポンスアクションの操作対象です。IP アドレス、ファイルの MD5 ハッシュ、プロセス名など、セキュリティアラートやイベントから抽出された主要な情報です。

• プレイブック：事前定義済みの自動化された操作ワークフローです。自動レスポンスルールは、プレイブックを実行することで、複雑なエンティティの処理を完了します。

• 自動レスポンスルールの種類：

  • 事前定義済み：システムに組み込まれているレスポンスポリシーで、直接有効化できます。詳細ページで関連する設定を表示できますが、編集や削除はできません。

  • カスタム：レスポンスオーケストレーションは、柔軟なレスポンスルールの設定を提供します。ビジネスニーズに基づいて、レスポンスルールをカスタマイズできます。

自動レスポンスルールの作成

自動レスпоンスルールを作成すると、Agentic SOC は設定したルールポリシーに基づいて新しいセキュリティイベントをマッチングします。マッチングに成功すると、Agentic SOC は事前に設定されたルールアクションを実行し、セキュリティ脅威への迅速なレスポンスと軽減を支援します。

1. Security Center コンソール - Agentic SOC - Management - Response Rules にアクセスします。ページの左上で、アセットのリージョン：[中国本土] または [中国本土以外] を選択します。

2. 自動応答ルール タブで、ルールを新しく追加する をクリックします。

   説明

   既存の事前定義済みルールまたはカスタムルールを選択し、操作する 列の コピー をクリックして、ルールを迅速に作成することもできます。

3. 基本情報 を設定します

   • [ルール名]: ルール用の明確でわかりやすい名前を設定します。フォーマットは Scenario_Object_Action を推奨します。例: MiningProgram_Process_AutoTerminate。

   • トリガー方式：トリガー条件に基づいて適切な方法を選択します。

     トリガー方法	実行タイミング	アクションの制限
     [アラートの発生]	単一のアラートが生成されるとすぐに実行されます。	[Run Playbook] と [Add Alert to Whitelist] のみがサポートされています。
     イベント発生	複数のアラートがセキュリティイベントに集約されたときに、初めて実行されます。	すべてのイベントレベルのアクションとプレイブックの実行がサポートされています。
     イベント更新	新しいアラートが既存のイベントに関連付けられたとき (発生時刻が更新されたとき) に実行されます。	すべてのイベントレベルのアクションとプレイブックの実行がサポートされています。

4. トリガーと実行ルールを設定します

   [フィルター条件]

   トリガールールの特定のフィールド値を設定します。異なる実行方法には、異なる機能フィールドが必要です。設定エリアで、条件の追加 または [Add Group] をクリックして、複数の条件と条件グループを追加します。

   • 条件ロジック：

     • グループ内：1 つの条件グループに複数の条件を設定でき、関係を AND または OR に設定できます。

     • グループ間：複数の条件グループを設定でき、グループ間の関係も AND または OR に設定できます。

     • 例：

       • 3 つのグループがあり、関係が「group1 AND group2 OR group3」であると仮定します。

       • group1 は内部で AND ロジックを使用し、group2 は内部で OR ロジックを使用し、group3 は内部で AND ロジックを使用します。

   • パラメーター：

     • 機能フィールド：利用可能な機能フィールドは、[トリガー方式] によって異なります。コンソール上の表示に準じます。

     • 条件フィールド：サポートされている条件は次の表のとおりです。

       条件	説明
       =	等しいです。
       <>	等しくないです。
       contains	文字列に含みます。
       not contains	文字列に含みません。
       in	条件値に含まれます。複数の値はカンマで区切ります。例：condi1, condi2。
       not in	条件値に含まれません。複数の値はカンマで区切ります。例：condi1, condi2。
       is null	空の文字列です。"", null, NULL はすべて空の文字列として扱われます。
       is not null	空の文字列ではありません。
       regexp	正規表現に一致します。
       not regexp	正規表現に一致しません。
       not in ip dataset	IP データセットに含まれません。 説明 データセットは、脅威の分析と応答 > 脅威の分析と応答 > インテグレーションセンター > 観測リスト で設定した後にのみ選択できます。
       in ip dataset	IP データセットに含まれます。
       not in dataset	データセットに含まれません。
       in dataset	データセットに含まれます。

   [ルールアクション]

   セキュリティアラートまたはイベントが自動レスポンスルールに一致すると、システムは指定されたエンティティに対して、設定されたすべてのルールアクションを順次実行します。ルールアクション エリアで 新規追加 をクリックして、複数のルールアクションを追加します。

   重要

   複数のルールアクションを追加した場合、Agentic SOC はルールポリシーに一致すると、すべてのルールアクションを順次実行します。

   • アクションの制限

     • 実行方法が [アラートの発生] の場合、サポートされるのは スクリプトの実行 と アラートの除外 のみです。

     • 実行方法が [発生]/[イベントの更新] の場合、スクリプトの実行、イベントステータスの変更、脅威レベルの変更、システム推奨の組み込みプレイブックを使用します、所有者の変更、イベントタグの作成、イベントタグの削除 のアクションがサポートされます。

   • アクションの詳細

     • スクリプトの実行：ルールポリシーに一致すると、選択されたプレイブックが自動的に実行されます。

       • プレイブックの互換性：

         • [事前定義プレイブック] と公開済みの [カスタムプレイブック] がサポートされています。

         • プレイブックの開始ノードに特定の出力パラメータータイプが設定されている場合にのみ、プレイブックを自動レスポンスルールに関連付けることができます。サポートされているエンティティタイプは、IP エンティティ、ファイルエンティティ、プロセスエンティティ、コンテナエンティティ、ドメイン名エンティティ、ホストエンティティ、セキュリティアラート です。

       • [プレイブックパラメーター]：

         パラメーター	説明
         エンティティ (悪意のある IP や悪意のあるプロセスなど)	デフォルトは システムが自動的に取得します で、変更はできません。Agentic SOC は、受信したアラートまたはイベントのログ情報に基づいて、処理対象のエンティティ情報を自動的に取得します。
         宛先アカウント	プレイブックを実行する Alibaba Cloud アカウントです。2 つのアカウントタイプがサポートされています： システムによる自動取得：エンティティオブジェクト情報に基づいて自動的に入力されます。エンティティオブジェクトには、現在の Agentic SOC に接続されている Alibaba Cloud アカウントの属性記述が含まれています。 カスタム：現在の Alibaba Cloud UID (ルートアカウント) またはマルチアカウントセキュリティ管理によって管理されているメンバーアカウント。
         アクションの有効期間	IP プレイブックアクションの有効期間。 プレイブックが IP アドレスをブロックし、有効期間が 7 日間に設定されている場合、IP アドレスは 7 日間ブロックされ、期限切れになると自動的にブロック解除されます。 プレイブックが IP アドレスをホワイトリストに追加し、有効期間が 7 日間に設定されている場合、IP アドレスは 7 日間ホワイトリストに登録され、期限切れになると自動的に解除されます。 プレイブックが監視モードで IP アドレスを監視し、有効期間が 7 日間に設定されている場合、IP アドレスは 7 日間アラート付きで監視され、期限切れになると監視は解除されます。

     • アラートの除外：

       • CWPP のアラートの場合、アラートステータスは自動的に [自動許可] に更新されます。Agentic SOC のアラートの場合、許可リスト フィールドが ["Yes"] に更新され、アラート通知は送信されなくなります。

       • このホワイトリストルールに一致するアラートは、イベント に関連付けられなくなります。

     • システム推奨の組み込みプレイブックを使用します：システムは、アラートとエンティティ情報に基づいて、対応する事前定義済みプレイブックを推奨します。

       説明

       事前定義プレイブック タブですべての組み込みプレイブックを表示できます。たとえば、WAF アラートから抽出された IP エンティティの場合、システムは WAF IP ブロックプレイブックを推奨します。

     • イベントステータスの変更：ルールポリシーに一致すると、イベントのステータスが自動的に調整されます。

     • 脅威レベルの変更：ルールポリシーに一致すると、イベントの脅威レベルが自動的に調整されます。

     • 所有者の変更：生成されたイベントにオーナーを自動的に割り当て、セキュリティイベントへのタイムリーなレスポンスを保証します。

       説明

       自動的なオーナー割り当ての記録は、イベント詳細ページの 応答アクション タブにある アクティビティログ で確認できます。

     • イベントタグの作成/イベントタグの削除：イベントの分類、フィルタリング、管理を容易にするために、イベントに指定されたタグを自動的に追加または削除します。

   ルールの実行頻度と順序

   • [ルールサイレンス]：同じエンティティで同じプレイブックを実行する場合、1 分間のウィンドウ内で最大 1 回の実行が許可されます。

   • [順序]：複数のルールポリシーが一致した場合、システムは指定された [順序] に基づいて、すべてのルールアクションを順次実行します。

5. ルールは作成後、無効状態です。ルール一覧ページで、状態 列の アイコンをクリックして、自動レスポンスルールを有効にします。

処理記録の表示

自動レスポンスルールを有効にすると、イベントやアラートがルールポリシーに一致したときに、システムが自動的にルールアクションを実行します。以下の方法で処理記録を表示できます。

• [処理センター]：処理の詳細を表示するには、脅威の分析と応答 > 処理センターに移動します。

• プレイブックの詳細：処理のためにプレイブックが実行された場合、実行記録が生成されます。プレイブックの詳細ページで過去の実行記録を表示できます。

• [プレイブック実行レコード]：脅威の分析と応答 > 応答オーケストレーション に移動し、プレイブック実行レコード タブをクリックして、すべてのプレイブックの実行を表示します。

本番環境に適用

• テストと検証：誤操作を避けるため、本番環境で高リスクのアクション (IP アドレスのブロックやファイルの削除など) を使用する前に、ルールのトリガーロジックを検証してください。

• ルール競合の回避：複数のルールが同じイベントに対して競合する操作を行わないように、ルールの実行 順序 を計画してください。たとえば、あるルールがイベントを「高」にエスカレーションし、別のルールが「低」にデエスカレーションする場合などです。システムはアクションを順次実行し、最後のアクションが前のアクションの結果を上書きします。

• パフォーマンスに関する考慮事項：フィルター条件 では、複雑な正規表現 (regexp) の使用には注意してください。非効率な表現は、ルールのマッチングパフォーマンスに影響を与える可能性があります。

よくある質問

• 作成したルールがトリガーされなかったのはなぜですか。

  以下の手順で問題をトラブルシューティングしてください。

  1. ルールのステータス：ルール一覧ページで、ルールが 有効 になっているか確認します。

  2. フィルター条件：フィルター条件が厳しすぎないか確認します。条件を緩和するか、無害なアクション (タグの追加など) を使用してテストしてみてください。

  3. フィールドのマッチング：アラートまたはイベントの実際のフィールド値が、フィルター条件で設定した値と完全に一致していることを確認します。スペース、大文字と小文字の区別、その他の詳細に注意してください。

  4. サイレンスルール：サイレンスルール のメカニズムによって、短時間内の繰り返しのアクションが抑制されていないか確認します。

• プレイブックの実行が失敗した場合のトラブルシューティング方法を教えてください。

  1. 実行記録の表示：対処センター またはプレイブックの [Historical Execution Records] ページに移動して、失敗したタスクの詳細なログとエラー情報を表示します。

  2. アカウント権限の確認：プレイブックで指定された [Destination Account] (またはその RAM ロール) が、VPC セキュリティグループルールの作成やファイルの隔離など、関連する操作を実行するための十分な権限を持っているか確認します。

  3. パラメーター設定の確認：トリガールールのエンティティ情報が完全であり、有効なパラメーターとしてプレイブックに渡せることを確認します。