セキュリティチームが複数のクラウド製品やアカウントにわたってインシデント対応を調整する必要がある場合、レスポンスアクティビティは、標準化された対処ポリシーと対処タスクを通じてすべてのセキュリティアクションを管理および監査するための一元的なビューを提供します。単一の場所から、手動および自動化されたセキュリティ運用の両方を表示および管理します。
基本概念
[Entity Object]：IP アドレス、ドメイン名、ファイルハッシュ、プロセス、ホスト、コンテナ、クラウドリソース ID (例：ECS インスタンス ID)、またはユーザーアカウントなど、アラートやインシデントに関与するコアオブジェクトです。
[Handling Component]：特定のセキュリティ運用を実行するアトミックなツールです。各コンポーネントは、IP アドレスのブロックやファイルの隔離など、1 つの独立したタスクを処理します。
[Script]：1 つ以上の [Handling Component] で構成される自動化されたセキュリティワークフローです。トリガー条件、条件ロジック、実行アクションといった完全な対応パスを定義します。
[処理ポリシー]：対応対象のエンティティ (What)、実行するプレイブック (How)、適用範囲 (Where) を指定するセキュリティ対応ルールです。
[処理タスク]：クラウド アカウントやリソースなどの特定のターゲットに対する対処ポリシーの実行記録です。各タスクには、関連する操作の実行結果 (成功または失敗) が詳述されています。
対処ポリシーと対処タスクは 1 対多の関係にあります。1 つのポリシーから複数のタスクが生成されることがあります。
例：不審な IP アラートが検出されると、Cloud Firewall コンポーネントを使用してその IP をブロックするための対処ポリシーが作成されます。ポリシーが 3 つのクラウド アカウントを対象としている場合、アカウントごとに 1 つずつ、合計 3 つの対処タスクが生成されます。
ユースケース
レスポンスアクティビティは、次のようなシナリオで最も効果的です。
マルチアカウント環境：複数のクラウド アカウントにわたるセキュリティ対応を単一のコンソールから管理し、個々の製品コンソール間を切り替える手間を省きます。
自動化された SOAR ワークフロー：Security Orchestration, Automation, and Response (SOAR) のプレイブックを使用して、IP ブロックやプロセス終了などの反復的な対応アクションを自動化し、平均応答時間を短縮します。
監査とコンプライアンス：手動および自動の両方のすべてのセキュリティ対応アクションを、一元化された対処ポリシーと対処タスクを通じて追跡し、監査証跡を取得します。
発生頻度が低く、単一アカウントで完結するインシデントの場合は、個々のクラウド製品コンソールからの手動対処で十分な場合があります。
仕組み
データソース
システムは、以下のシナリオで対処ポリシーと対処タスクを生成します。利用可能なデータソースは、セキュリティ情報およびイベント管理 (SIEM) サービスを有効化しているかどうかによって異なります。
[脅威の分析と応答] が有効化されていない場合
ソース | 説明 |
[Manual Handling Event] | 推奨される処理ポリシーの使用、スクリプトの実行、または Add to Whitelist (自動対応ルール) を通じてセキュリティイベントを対処します。詳細については、「CWPP イベントの評価と対処」をご参照ください。 |
[脅威の分析と応答] が有効化されている場合
ソース | 説明 |
[Manual Handling Event] | 推奨される処理ポリシーの使用、スクリプトの実行、または Add to Whitelist (自動対応ルール) を通じてセキュリティイベントを対処します。詳細については、「Agentic SOC セキュリティインシデントの評価と対処」をご参照ください。 |
[Incident Trigger Playbook] | 応答オーケストレーション で設定された自動対応ルール (Event Occurrence または Event Update によってトリガーされ、アクションとして スクリプトの実行 を使用) を通じて スクリプトの実行 をトリガーします。詳細については、「自動対応ルール」をご参照ください。 |
[Alert Trigger Playbook] |
|
[Manual Execution Playbook] | 応答オーケストレーション で Custom Playbook または Predefined Playbook を手動で Run します。詳細については、「プレイブックの設定」をご参照ください。 |
データ保持
対処ポリシーと対処タスクのデータは、以下の期間保持されます。
デフォルトの保持期間：90 日間。
SIEM の有効期限切れまたはサブスクリプション解除後：SIEM に依存する機能によって生成されたデータは 15 日間。
保持期間が終了する前に、データをバックアップまたは移行してください。
前提条件
レスポンスアクティビティ機能を使用する前に、以下を確認してください。
Security Center の有料版を有効化していること。サブスクリプションユーザーは、いずれかの有料版を有効化する必要があります。従量課金ユーザーは、いずれかの後払いモジュールを有効化する必要があります。
SIEM サービスを有効化していること (プレイブックの詳細を表示するために必要です)。
対処コンポーネントがやり取りするターゲットクラウド製品 (WAF や Cloud Firewall など) に必要な RAM ロールの権限が付与されていること。
(クロスアカウント操作の場合) 両方のアカウントが同じ企業法人に属し、リソースディレクトリを通じて管理されていること。
操作手順
対処ポリシーの表示
対処センターに移動します。
Security Center コンソールにログインします。
左側メニューで、 を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。
説明Agentic SOC を有効化している場合、ナビゲーションパスは に変わります。
処理ポリシー タブでは、次の情報を確認できます。
列
説明
[Entity Object]
エンティティオブジェクト名をクリックすると、そのコンテキスト、Alibaba Cloud の脅威インテリジェンス、関連アラートなどが表示されます。
[関連ソース]
関連ソース 列のデータをクリックすると、対処ポリシーに関連付けられているアラート、セキュリティイベント、またはプレイブックが表示されます。ソースの値は、ポリシーがどのようにトリガーされたかを示します。
- システム生成：自動対応ルールによってトリガーされます。
- ユーザー開始：手動対処によってトリガーされます。
- プレイブックトリガー：SOAR (Security Orchestration, Automation, and Response) の実行によってトリガーされます。[タスクの表示]
操作する 列の タスクの表示 をクリックすると [Handling Tasks] タブに移動し、対応する対処ポリシーに関連付けられたタスクが表示されます。
プレイブックの表示
プレイブック名をクリックすると、実行履歴や公開履歴、基本的な説明、プレイブック設定プロセスのコンポーネントなど、プレイブックの詳細が表示されます。
対処タスクの表示と対処
処理タスク タブでは、次の情報を確認できます。
列 | 説明 |
[Entity Object] | 対処ポリシータブと同様ですが、タスクレベルです。 |
ターゲットアカウント | 対処タスクが実行されるクラウド アカウント。マルチアカウント管理シナリオでは、この列にタスクが影響を与えるアカウント名が表示され、アカウント間のレコードを区別するのに役立ちます。 |
[Handling Component] | 対処タスクが修正アクションを実行するために使用するクラウド製品またはセキュリティサービス。 |
プレイブックの表示 | 対処ポリシータブと同様です。 |
[Task Status] | ステータスが [Failed] の場合は、失敗ステータスの横にあるアイコンにカーソルを合わせると理由が表示されます。 |
対処タスクでは、以下の操作が可能です。
[Retry]：タスクが失敗した場合、操作する 列の Retry をクリックして再実行します。Retry ボタンが利用できない場合、その操作が不可逆または特殊な性質を持つため、タスクは再試行をサポートしていません。
[ブロックの解除]：ブロックされたエンティティ IP が脅威でなくなったことを確認した後、操作する 列の ブロックの解除 をクリックして IP ブロックを解除します。ターゲット製品のブロックリストから IP が削除されたことを確認してください。
課金
レスポンスアクティビティ機能は別途課金されません。Security Center の有料版に含まれています。
サブスクリプションユーザー：いずれかの有料版を有効化すると、この機能を使用できます。
従量課金ユーザー：いずれかの後払いモジュールを有効化すると、この機能を使用できます。
一部の対処アクションには、他の有料クラウド製品 (WAF、CDN、Anti-DDoS Pro など) が関与したり、追加の API コール料金が発生したりする場合があります。課金の詳細については、対応するクラウド製品のドキュメントをご参照ください。
付録：一般的なセキュリティ対処コンポーネント
次の表は、レスポンスアクティビティで使用される一般的な対処コンポーネントを、ターゲット製品別にグループ化したものです。
以下に示すコンポーネント識別子は、API およびプレイブックレベルの識別子です。Security Center コンソールでは、API 識別子ではなく、対応する説明的な名前 (「プロセス終了」や「IP ブロック」など) を探してください。
Security Center
コンポーネント ID (API) | 説明 |
AegisKillProcess | プロセス終了コンポーネント |
AegisDeepCleanUp | ディープクリーンアップコンポーネント |
AegisQuaraFile | ファイル隔離コンポーネント |
AegisKillQuara | プロセス終了およびファイル隔離コンポーネント |
SasOfflineCheck | ホストオフラインのトラブルシューティングコンポーネント |
AegisStopContainer | コンテナ停止コンポーネント |
AliNetBlockIP | 悪意のある動作防御 IP ブロックリストコンポーネント |
AliNetBlockDNS | 悪意のある動作防御ドメインブロックリストコンポーネント |
AliNetWhiteIP | 悪意のある動作防御 IP 許可リストコンポーネント |
AliNetWhiteDNS | 悪意のある動作防御ドメイン許可リストコンポーネント |
Cloud Firewall
コンポーネント ID (API) | 説明 |
AliyunFirewallProcess | インバウンド IP ブロックコンポーネント |
CfwWhiteListBatch | インバウンド IP 許可リストコンポーネント |
AliyunCFWBlockDNS | アウトバウンドの悪意のあるドメインブロックコンポーネント |
AliyunFirewallMonitorIPin | 監視モードのインバウンド IP コンポーネント |
AliyunFirewallMonitorIPOut | 監視モードのアウトバウンド IP コンポーネント |
WAF
コンポーネント ID (API) | 説明 |
AliyunWafBlockIP | インバウンド IP ブロックコンポーネント |
WafWhiteListBatch | IP 許可リストコンポーネント |
AliYunWafMonitorIP | 監視モードの IP コンポーネント |
Anti-DDoS Pro
コンポーネント ID (API) | 説明 |
AliyunDDoSProxyBlockIP | IP ブロックコンポーネント |
AliyunDDoSProxyWhiteIP | IP 許可リストコンポーネント |
CDN および DCDN
コンポーネント ID (API) | 説明 |
CDNProcess | CDN ブロックコンポーネント |
DcdnWafBanIP | DCDN-WAF IP ブロックコンポーネント |
CLB および ALB
コンポーネント ID (API) | 説明 |
RegionCLBProcess | CLB ブロックコンポーネント |
RegionALBProcess | ALB ブロックコンポーネント |
サードパーティクラウド
コンポーネント ID (API) | 説明 |
TencentCFWBlockIP | Tencent Cloud CFW 高リスク IP ブロックコンポーネント |
HuaWeiRegionCfwBlockIP | Huawei Cloud CFW 高リスク IP ブロックコンポーネント |
TencentWafBlockIP | Tencent Cloud WAF 高リスク IP ブロックコンポーネント |
HuaWeiWafBlockIP | Huawei Cloud WAF 高リスク IP ブロックコンポーネント |
セキュリティグループ
コンポーネント ID (API) | 説明 |
SecurityPolicyBlockIP | セキュリティグループインバウンド IP ブロックコンポーネント |
よくある質問
対処タスクが失敗したのはなぜですか？
権限不足：操作を実行している RAM ロールに、ターゲットクラウド製品 (WAF や Cloud Firewall など) に対する権限がありません。必要な権限を付与して、タスクを再試行してください。
リソースが存在しない：対処対象のエンティティ (ホストやコンテナなど) が破棄されたか、ルールが手動で削除されています。ターゲットリソースがまだ存在することを確認して、再試行してください。
クォータ超過：ターゲットクラウド製品 (WAF IP ブロックリストなど) のルール数が上限に達しています。クォータを増やすか、ターゲット製品で未使用のルールをクリーンアップしてから、タスクを再試行してください。
クロスアカウント操作の制限：他のクラウド アカウントのリソースを操作するには、両方のアカウントが同じ企業法人に属し、リソースディレクトリを通じて管理されている必要があります。異なる法人に属するアカウントでは、この操作はサポートされていません。
[Retry] ボタンが利用できないのはなぜですか？
一部の対処タスクは、その操作が不可逆または特殊な性質を持つため、再試行をサポートしていません。再試行が利用できない場合は、タスクの結果を手動で確認するか、サポートにお問い合わせください。