Security Center:Agentic SOC (旧 CTDR)

ユースケース

仕組み

Agentic SOC は、標準化されたワークフローを通じて、マルチクラウド環境、複数のアカウント、さまざまなプロダクト、異なるセキュリティベンダーからのログを統合します。脅威検知ルールを使用してログを分析し、セキュリティインシデントを生成します。そのレスポンスオーケストレーション機能は、関連するクラウドプロダクトと連携して、悪意のあるエンティティのブロックや隔離などのセキュリティ対策を実行し、迅速かつ効果的なインシデントレスポンスを可能にします。主要な段階は以下の通りです：

1. ログの収集と解析：クラウドプロダクト、サードパーティデバイス、ビジネスアプリケーションなど、さまざまなデータソースから生ログを収集します。

2. アラートの生成：組み込みの検出ルールを使用するか、サードパーティプロダクトからネイティブアラートを直接取り込むことにより、大量のログから潜在的な脅威を特定します。

3. インシデントの集約と処理：設定可能な相関ルールとグラフコンピューティングモデルを使用して、同じ攻撃を表す複数のアラートを単一のインシデントに集約します。

4. レスポンスオーケストレーション：インシデントは、事前定義された条件に基づいて自動的に、または手動でプレイブックをトリガーします。これらのプレイブックは、コンポーネントのアクションを呼び出してレスポンスポリシーを生成し、自動修復のためのレスポンスタスクをディスパッチします。

基本概念

• エンティティ：アラートやインシデントに関与する中核的なオブジェクトで、IP アドレス、ドメイン名、ファイルハッシュ、プロセス、ホスト、コンテナ、クラウドリソース ID (例：ECS インスタンス ID)、ユーザーアカウントなどです。エンティティは、異なるアラートを関連付け、攻撃パスを再構築するための基盤となります。

• インシデント：組み込みのルールとグラフコンピューティングモデルを使用して、さまざまなデータソースからの複数の関連アラートを相関させて作成される、信頼性の高いセキュリティイベントです。Agentic SOC はこれらのアラートを単一のインシデントに集約し、攻撃のタイムラインを自動的に再構築します。

• レスポンスポリシー：特定のシナリオにおけるエンティティに対する処理アクションを指定します。エンティティに対して実行された各レスポンスアクションの結果に対して、一意のポリシーが生成されます。

• レスポンスタスク：レスポンスポリシーから生成され、特定のスコープを対象とする、個別の実行可能なジョブです。インシデントレスポンスでは、エンティティに対する各レスポンスポリシーは、適用範囲に基づいて 1 つ以上のレスポンスタスクに分割されます。

• レスポンスオーケストレーション：プレイブックとして知られる自動化されたワークフローを通じて、セキュリティレスポンスアクションを整理・管理するプロセスです。レスポンスオーケストレーションは、事前定義されたロジックに基づいて一連の操作を自動的に実行し、自動化されたインシデント処理を実現します。

  • プレイブック：トリガー、条件、アクション、エンドポイントで構成される、事前定義された自動化セキュリティワークフローです。プレイブックはドラッグアンドドロップによるグラフィカルな編集をサポートしており、クリプトマイニングやランサムウェアなどの特定のセキュリティインシデントに合わせてレスポンスロジックをカスタマイズできます。

  • コンポーネント：外部のシステムやサービスに接続し、操作するために使用されるインターフェイスです。コンポーネントは、プレイブック内で特定のアクションを実行する構成要素です。

  • リソースインスタンス：アクションが対象とする特定のサービスインスタンスで、Cloud Firewall インスタンスなどです。

  • アクション：コンポーネントによって実行される特定の機能です。単一のコンポーネントには複数のアクションが含まれる場合があります。例えば、エンドポイント管理ソフトウェアのコンポーネントには、アカウントの無効化、ネットワークの隔離、通知の送信などのアクションが含まれることがあります。

• エージェント：環境を認識し、意思決定を行い、自律的に行動できるインテリジェントなエンティティです。Agentic SOC は、チームリーダーが脅威検知、インシデント調査、影響評価、ユーザーインタラクションを担当する専門エージェントチームを調整する、階層的なマルチエージェント協調アーキテクチャを使用します。詳細については、「セキュリティオペレーションエージェントの詳細」をご参照ください。

AI エージェントアーキテクチャ

• Agentic SOC のエージェントアーキテクチャは、Alibaba Cloud のクラウドネイティブなセキュリティデータドメインインフラストラクチャと深く統合されています。大規模セキュリティ言語モデルを基盤に構築され、脅威を自動的に感知し、深い推論を行い、協調的な調査を実施し、迅速にループを閉じる、エンドツーエンドの AI エージェントセキュリティ専門家チームを提供します。アーキテクチャは、下から上の 3 つのレイヤーで構成されています。

  レイヤー	コンポーネント	責務
  クラウドネイティブエンジンレイヤー	Simple Log Service (SLS)、Flink/時系列 SQL 検出エンジン、Igraph グラフコンピューティング、大規模言語モデル (LLM) Qwen、SOAR オーケストレーションエンジン	基本的なデータストレージ、コンピューティング、AI 機能を提供
  エージェント管理プラットフォーム	AgentRun 上に構築	エージェントのライフサイクル、タスクスケジューリング、メモリ、ツール呼び出しのオーケストレーションを管理
  エージェントインテリジェンスレイヤー	チームリーダーと複数の専門エージェントチーム	自律的な推論と意思決定を行い、セキュリティ運用タスクを実行

• 各エージェントは、ReAct 推論フレームワークを使用して動作します：環境を認識 → 推論と分析 → アクションの計画 → 実行 → 結果の観察。このサイクルはタスクが完了するまで繰り返されます。

• Agentic SOC は、チームリーダーと複数の専門エージェントチームで構成される、階層的なマルチエージェント協調アーキテクチャを採用しています。

  • チームリーダー：Qwen シリーズのモデルを基盤に構築されたチームリーダーは、エージェントアーキテクチャ全体の中心的なディスパッチノードであり、グローバルなスケジューリング、タスクの分解、複雑な意思決定を担当します。

  • 専門エージェントチーム：これらのチームは、それぞれのドメインで独立してタスクを実行し、互いに協力します。チームは以下の通りです：

    チーム	責務	コアエージェント
    脅威検知	大量のマルチソース、異種データに対して詳細な分析を行い、既知および未知のセキュリティ脅威を特定します。	プロセスチェーン分析エージェント、ネットワーク挙動分析エージェント、ファイル挙動分析エージェント、持続性検出エージェント。
    インシデント調査	ReAct フレームワークに基づいてインシデント調査を自律的に完了し、攻撃パスとタイムラインを再構築します。	攻撃パス再構築エージェント、侵害の痕跡 (IOC) 抽出エージェント、アクション検証エージェント、レスポンスエージェント。
    影響評価	セキュリティインシデントの範囲とリスクレベルを評価します。	ラテラルムーブメント調査エージェント、リスクタイムウィンドウ検査エージェント、リスク相関分析エージェント。
    ユーザーインタラクション	セキュリティ運用担当者と対話し、コンサルテーションと分析サポートを提供します。	調査深化トリガーエージェント、検査タスク設定エージェント、セキュリティコンサルテーション (検索拡張生成 (RAG)) エージェント。

メリット

Agentic SOC は、コア AI エージェントエンジンと深く統合されたセキュリティ運用プラットフォームです。セキュリティ運用の「スマート自動操縦」モードを可能にし、必要に応じて人間と機械の協調から完全自動化されたレスポンスへとシームレスに移行できます。

• 99.94% のアラート削減率を誇る高信頼性の検出

  Agentic SOC は、グローバルな脅威インテリジェンス、グラフコンピューティング、クラウドネイティブなログ分析機能を組み合わせ、膨大な数のアラートから新規、未知、および高度に回避的な脅威を正確に特定します。セキュリティインシデントの平均検出時間は数分に短縮されます。

• 95% の修復カバー率で数秒での自動レスポンス

  • ワンクリックのレスポンスポリシーと、すぐに使える自動化プレイブックを提供します。これらはカスタマイズ可能で、手動設定は不要です。さまざまなセキュリティプロダクトやインフラストラクチャと連携し、インシデントやアラートに対する完全自動化された分析とレスポンスを実行します。

  • Agentic AI エンジンを搭載したプレミアムインテリジェントサービスである Security Operations Agent を提供します。このサービスは、Alibaba Cloud のネイティブなセキュリティデータおよびインフラストラクチャと深く統合されており、エージェントの自律的な認識、推論、実行能力を使用して、セキュリティインシデントを独立して分析し、レスポンスを加速します。

• AI 支援による意思決定で攻撃の全体像を自動再構築

  Agentic SOC は、グラフコンピューティングとセキュリティ大規模言語モデルを使用して、完全な攻撃パスとタイムラインを自動的に追跡・再構築します。組み込みの AI アシスタントは、インシデントを要約し、正確なレスポンス推奨を提供することで、セキュリティインシデントのより深い理解を支援します。

• 90% のクロスアセットインシデント発見率で統一されたグローバルビュー

  Agentic SOC は、クラウド、アカウント、プロダクトをまたいだログデータの収集と処理を統一し、ハイブリッドクラウドのセキュリティ運用の複雑さを大幅に軽減します。その一元的な管理と監査は、グローバルなセキュリティインサイトを提供し、データ分析とコンプライアンスの取り組みを効果的に簡素化します。

Agentic SOC の効率性

サポートされているプロダクトとログ

Agentic SOC は、Alibaba Cloud、Huawei Cloud、Tencent Cloud、Fortinet、Chaitin、Sangfor などのベンダーのログをネイティブにサポートしています。また、カスタムプロダクトからのデータインジェストもサポートしています。

バージョンアップグレード

• 2025 年 4 月 3 日以降に Agentic SOC をアクティベートしたアカウントは、最新のアーキテクチャでプロビジョニングされます。

• Agentic SOC 2.0 アーキテクチャは、ログの正規化機能に基づいて構築されています。Simple Log Service (SLS) の機能を再利用して、サードパーティのクラウドやオンプレミスのセキュリティプロダクトからのデータインジェストを簡素化します。

• Agentic SOC 2.0 と Agentic SOC 1.0 の主な違いの詳細な比較については、「Agentic SOC 2.0 と 1.0 の違い」をご参照ください。

よくある質問

Agentic SOC は従来の SIEM とどう違いますか？

Agentic SOC は、クラウドネイティブ環境向けに設計された SIEM ソリューションです。従来の SIEM と比較した主な違いは以下の通りです：

• クラウドネイティブな統合：Alibaba Cloud や他の主要なクラウドプロバイダーのさまざまなプロダクトと統合します。クラウドアセット、構成、トポロジーを理解し、コンテキストを意識した分析を可能にします。

• 組み込みの SOAR 機能：統合されたセキュリティオーケストレーション、自動化、レスポンス (SOAR) エンジンを含みます。脅威を分析・検出するだけでなく、プレイブックを使用してクラウドプロダクトやインフラストラクチャをまたいだ自動修復をオーケストレーションし、分析からレスポンスまでのループを閉じます。

• 組み込みシナリオ：クリプトマイニング、ランサムウェア、Web 侵入などの一般的なクラウド攻撃シナリオですぐに使える、多数の検出ルールとレスポンスプレイブックを提供します。