Security Center:CWPP イベントの評価と対処

手順

1. セキュリティイベントの処理 ページで、対象のイベントを見つけ、操作する をクリックし、次に Recommended Response をクリックします。

   説明

   イベント詳細ページに移動し、左下隅の Recommended Handling ボタンをクリックすることもできます。

2. [推奨対処ポリシー] パネルで、対処したい悪意のあるエンティティを選択します。

3. (オプション) 対処ポリシーを変更します。エンティティの [操作] 列で 編集 をクリックします。Edit Policy パネルで、宛先アカウントやブロックルールの有効期間などのパラメーターを変更します。

   • アクションの有効期間：対処ポリシーが有効である期間。この期間が過ぎると、ポリシーは自動的に無効になります。

   • 宛先アカウント：現在のアカウントと管理しているメンバーアカウント。メンバーアカウントの管理方法の詳細については、「マルチアカウントのセキュリティ管理」をご参照ください。

4. Resolve をクリックします。Update Incident Status ダイアログボックスで、Event Status を Handling または 処理済み に設定し、OK をクリックします。

   重要

   このステップを完了すると、Security Center は自動的に対処ポリシーを作成し、対処タスクを実行します。対処タスクが失敗した場合、イベントステータスは 処理に失敗しました に変わります。それ以外の場合、イベントステータスは指定したステータスに変わります。

   • Handling：現在の対処操作に加えて、即時修正、原因追跡、脆弱性修正などの他のアクションが必要であることを示します。

   • 処理済み：現在の操作後にさらなるアクションが不要であることを示します。これには次の効果があります：

     • 関連アラートのステータスが Handled in the security incident に変わります。

     • 後続のアラートは新しいセキュリティイベントを生成し、現在のイベントには関連付けられなくなります。

操作の影響

• この操作は、IP アドレスのブロックなど、イベントレスポンスのために他の Alibaba Cloud 製品と連携して悪意のあるエンティティに対処します。

• [推奨対処ポリシー] を使用してイベントのステータスを 処理済み に変更すると、システムは関連するすべての未対処アラートのステータスを Handled in the security incident に変更します。イベント対処情報もアラート詳細に追加されます。新しいアラートは現在のセキュリティイベントには関連付けられなくなり、代わりに新しいセキュリティイベントを生成します。

  重要

  クラウドワークロード保護プラットフォーム (CWPP) の「精密防御」アラートのデフォルトステータスは「対処済み」(防御のみ、通知なし) です。セキュリティイベントのステータスを更新しても、これらのアラートのステータスには影響しません。

• [推奨対処ポリシー] オプションを使用してイベントのステータスを Handling に変更した場合、関連アラートのステータスは影響を受けません。引き続き新しいアラートをイベントに関連付けることができます。

• Security Center は、処理センター ページに対応する 処理ポリシー と 処理タスク を生成します。

手順

1. イベント詳細ページに移動します。Alerts タブで、ホワイトリストに追加したいアラートを見つけ、[操作] 列の Add Alert to Whitelist をクリックします。

2. （オプション）複数のホワイトリストルールを追加できます。Create Rule をクリックして、ルールを作成します。

   重要

   • 複数のルールは OR 関係にあります。つまり、いずれかの条件が満たされるとホワイトリストルールがトリガーされます。

   • 設定するルールが過度に広範囲にならないように、正確であることを確認してください。たとえば、「パスに /data/ を含む」と設定すると、他の機密性の高いサブディレクトリが誤ってホワイトリストに登録され、セキュリティリスクが増大する可能性があります。

   各ルールには、左から右に設定できる 4 つのフィールドがあります：

   1. アラート情報フィールド：詳細ページの More Information セクションには、現在のアラートでサポートされているアラート情報フィールドがリストされています。

   2. 条件タイプ：正規表現に一致、より大きい、等しい、より小さい、含むなどの操作をサポートします。いくつかの条件タイプの説明は次のとおりです：

      • 正規表現：正規表現を使用して、特定のパターンを持つコンテンツを正確に照合します。たとえば、「/data/app/logs/」フォルダ以下のすべてのコンテンツをホワイトリストに登録するには、「パスが正規表現に一致：^/data/app/logs/.*」というルールを設定します。これにより、そのフォルダとそのサブディレクトリ内のすべてのファイルまたはプロセスが照合されます。

      • キーワードを含む：「パスに D:\programs\test\ を含む」というルールを設定すると、パスにこのフォルダを含むすべてのイベントがホワイトリストに登録されます。

   3. 条件値：定数と正規表現をサポートします。

   4. 適用対象資産：

      • すべての資産：既存のすべての資産および新しく追加された資産に適用されます。

      • 現在のアセットのみ：現在のアラートに関与しているアセットにのみ適用されます。

3. OK をクリックします。

操作の影響

• 現在のアラートについて：

  • 現在のアラートのステータスは Manually Add to Whitelist に変わります。

  • 同じアラートが再度発生した場合、新しいアラートは生成されず、代わりに現在のアラートの最新の発生時刻が更新されます。

    同じアラートとは何ですか？

    非常に一貫した特徴を持つセキュリティ脅威を報告するアラートは、同じと見なされます。例：

    • ウイルス関連のアラートの場合、資産、ウイルスファイルのパス、およびウイルスファイルの MD5 が同じである必要があります。

    • 異常ログインアラートの場合、資産とログイン IP アドレスが同じである必要があります。

• 後続のアラートについて：

  • 特定のホワイトリストルールを設定した場合、Security Center はこのルールに一致するアラートをセキュリティイベントに関連付けなくなります。

  • カスタムホワイトリストルールに一致するアラートが再度発生した場合、そのステータスは自動的に Automatically Add to Whitelist に変更され、アラート通知は送信されません。

• 他のアラートについて：ホワイトリストルールは、指定されたアラート名を持ち、ルール条件を満たすアラートにのみ適用されます。他のアラートには影響しません。

ホワイトリスト登録のキャンセル

• 自動ホワイトリストルールのキャンセル

  重要

  • この操作は将来のアラートにのみ影響します。ルールに一致するアラートは自動的にホワイトリストに登録されなくなります。

  • すでに対処済みのアラートには影響せず、そのステータスは変更されません。

  1. にログインします。左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラートを選択します。

     説明

     Agentic SOC をサブスクライブしている場合は、左側のナビゲーションウィンドウで 脅威の分析と応答 > セキュリティアラート を選択します。

  2. [CWPP] タブで、右上隅の [Cloud Workload Alert Management] をクリックし、[セキュリティアラートの設定] を選択します。

  3. セキュリティアラートの設定 ページの アラート処理ルール セクションで、対処方法として Automatically Add to Whitelist を選択します。

  4. 対象のルールを見つけ、[操作] 列の [削除] をクリックして自動ホワイトリストルールをキャンセルします。

• アラートをホワイトリストから削除する

  重要

  アラートをホワイトリストから削除すると、Unhandled アラートリストに再表示され、再度評価と対処が必要になります。

  1. にログインします。左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラートを選択します。

     説明

     Agentic SOC をサブスクライブしている場合は、左側のナビゲーションウィンドウで 脅威の分析と応答 > セキュリティアラート を選択します。

  2. [CWPP] タブで、[Handled or Not] フィルターを [処理済み] に設定します。

  3. ホワイトリストから削除したいアラートを見つけ、[操作] 列の Remove from Whitelist をクリックします。

     説明

     複数のアラートを選択し、リストの下部にある Remove from Whitelist をクリックして一括削除を実行することもできます。

  

手順

1. イベント詳細ページに移動します。Entity タブで、対処したいエンティティを見つけます。

2. [操作] 列で Handle をクリックします。[対処] ページで、以下のようにプレイブックのパラメーターを設定します。

   • プレイブック：システムはエンティティタイプに基づいて適切な組み込みプレイブックを自動的に選択します。

     重要

     組み込みのプレイブックがニーズを満たさない場合は、脅威の分析と応答 の レスポンスオーケストレーション 機能を使用してカスタムプレイブックを作成できます。

   • アクションの有効期間：プレイブックが実行される期間。この期間が過ぎると、プレイブックは実行されなくなります。

   • 宛先アカウント：現在のアカウントと管理しているメンバーアカウント。メンバーアカウントの管理方法の詳細については、「マルチアカウントのセキュリティ管理」をご参照ください。

3. Resolve をクリックします。

操作の影響

プレイブックで設定されたプロセス (IP アドレスのブロックなど) に基づいてイベントが対処され、イベントステータスが [対処済み] に変更されます。

手順

1. イベント詳細ページで、右上隅の Incident Response ドロップダウンリストをクリックし、Update Incident Status を選択します。または、[セキュリティイベント] ページで対象のイベントを見つけ、[操作] 列の Response ドロップダウンリストをクリックし、Update Incident Status を選択します。

2. Update Incident Status ダイアログボックスで、処理済み、Unhandled、または Handling を選択します。

3. (オプション) 「手動で対処済み」、「無視」、「手動でホワイトリストに追加」、「再対処」などの備考を追加できます。

操作の影響

• ステータスを 処理済み に更新した場合：

  • イベントに関連するすべての未対処アラートのステータスが Handled in the security incident に変更され、セキュリティイベントの操作に関する情報がアラート詳細に追加されます。

    重要

    クラウドワークロード保護プラットフォーム (CWPP) の「精密防御」アラートのデフォルトステータスは「対処済み」(防御のみ、通知なし) です。セキュリティイベントのステータスを更新しても、これらのアラートのステータスには影響しません。

  • 後続のアラートは現在のセキュリティイベントには関連付けられなくなり、代わりに新しいセキュリティイベントを生成します。

• イベントのステータスが Unhandled または Handling の場合、別の対処方法を選択できます。

手順

1. イベント詳細ページに移動し、右上隅の Incident Response の下にある Update Owner をクリックします。または、[セキュリティイベント] ページでイベントを見つけ、[操作] 列の Response をクリックし、Update Owner を選択します。

2. 表示されるダイアログボックスで、次の情報を入力し、OK をクリックします。

   • Owner：現在のアカウントまたはアカウントの Resource Access Management (RAM) ユーザーを選択します。

     重要

     対象の Owner (RAM ユーザー) がセキュリティイベントを処理するために必要な権限を持っていることを確認してください。

   • Remarks：引き継ぎの指示、提案、またはその他のメモを入力して、新しいオーナーがコンテキストを迅速に理解し、イベントの処理を開始できるようにします。

操作の影響

操作が完了すると、システムは変更記録を作成します。この変更の詳細は、イベント詳細ページの Activity Log タブの Response Activity で表示できます。

手順

1. イベント詳細ページに移動します。右上隅の Incident Response の下にある Update Incident Level をクリックします。または、[セキュリティイベント] ページでイベントを特定し、[操作] 列の Response をクリックし、Update Incident Level を選択します。

2. 表示されるダイアログボックスで、Incident Severity と Remarks を変更します。

操作の影響

レベルを変更すると、システムは操作を記録します。この変更の詳細は、イベント詳細ページの Activity Log タブの Response Activity で表示できます。