Security Center:Agentic SOC セキュリティインシデントの評価と対応

Security AI Assistant

Security AI Assistant は、エンティティ分析エージェントを使用して悪意のあるエンティティのリスクレベルを評価し、対応方法を提案します。

例：

調査レポートと AI 分析

Security Operations Agent にスペックアップすると、システムは Agentic AI をコアエンジンとして使用します。このエンジンは Alibaba Cloud のネイティブなセキュリティデータおよびインフラストラクチャと統合され、エージェントの自律的な認識・推論・実行機能を利用してセキュリティインシデントを調査し、調査レポート を生成します。

1. AI エージェントによるインシデント調査の実行：

   1. 初期調査：セキュリティインシデントが（分析ルールまたは iGraph によって）生成されると、イベント調査エージェント が自動的に調査を開始します。

   2. フォローアップ調査：現在のセキュリティインシデントに関連付けられた増分アラートが発生すると、イベント調査エージェント が自動的に再度調査をトリガーします。

2. 調査結果の確認：対象インシデントの詳細ページに移動し、上部の Full Report をクリックしてレポートの詳細を確認します。

   説明

   セキュリティインシデント一覧ページの AI 分析 列からも直接分析結果を確認できます。

   • 結論：

     結論	信頼区間	説明
     Likely False Positive	≤10%	既知の運用 IP アドレスからの定期スキャンなど、良性の動作であると AI が高確度で判断しています。
     判定不能	30%–60%	重要な特徴量の欠落、ログの不完全性、または曖昧な動作により、AI が信頼できる判定を下せません。
     Confirmed Attack	>85%	既知の TTP と一致する複数の証拠チェーンが見つかり、実際の攻撃であることが確認されました。

   • 攻撃の詳細： 影響を受けた資産、攻撃チェーン、ペイロード分析、攻撃タイムライン、攻撃プロセス名 を含みます。

3. 調査記録の確認

   1. 対象インシデントの詳細ページに移動し、右上隅の Response Activity をクリックします。

   2. Activity Log タブで、Response Scenario フィルターを Event Investigation に設定します。

   3. ログ一覧で、現在のインシデントに関する Event Investigation 記録および調査結果の概要を確認できます。

Agent Chain-of-Thought

このタブでは、Agent Chain-of-Thought を確認できます。背景コンテキスト、推論ステップ、結論の概要などの情報が表示され、エージェントの調査アプローチおよび意思決定の根拠を理解するのに役立ちます。

• Background Context： Clue Summary およびエージェントの Initial Hypothesis を提供します。

• Reasoning Steps： 調査の複雑さに応じて、調査ステップの数が変動します。各ステップでは、通常、エージェントの Thinking、Tool Call、およびそれらの呼び出し結果が表示されます。

• Analysis Summary： 調査の最終結論を提示します。また、分析中に使用された Excluded Noise および Data Source Status も表示されます。

イベントチェーン図

イベントチェーン図 タブには、攻撃タイムラインおよびプロベナンスグラフが表示されます。ビッグデータ分析エンジンがイベントデータを処理・集約・可視化し、攻撃の起点をトレースして対応計画を策定するのに役立ちます。

Agentic SOC で Security Operations Agent を購入している場合、インシデント調査エージェントが自動的に主要なエンティティポイントを抽出し、エンティティ間の主要な動作をイベントチェーン図として再構築し、タイムラインの説明を提供します。

タイムラインを使用して緊急性を評価します：

• 初期の軽微なプロービングアラートが急速に複数の密接に関連する異なるタイプの攻撃アラートへとエスカレートする場合（特に、そのペースが加速し、影響を受ける資産の範囲が拡大している場合は）、直ちに対応 してください。

• 長期間にわたり新しい関連アラートが発生せず、攻撃が拡大する兆候が見られない場合は、優先度を下げて 対応します。

概要

概要エリアには、イベントの ATT&CK 攻撃段階および主要メトリック（影響を受けた資産数、関連アラート数、発生時刻、アラートソース）が表示されます。これらの信号を使用して、対応の必要性および優先度を決定します。

エンティティ

エンティティ タブには、イベントから抽出されたすべてのエンティティが表示されます。サポートされているエンティティタイプは、ホスト、ファイル、プロセス、IP アドレス、ホストアカウントです。

次の 2 つの観点からエンティティを確認します：

• すべてのエンティティ： 過去 30 日間に発生した関連イベント、アラート、対応タスクの件数とともに、抽出されたすべてのエンティティを表示します。このビューから直接プレイブックを実行できます。

• 影響を受けた資産： イベントの影響を受けた資産のみを表示し、影響範囲を迅速に把握できます。

エンティティの詳細情報を使用して対応を決定します：

• IP アドレスエンティティに関連するイベント、アラート、対応タスクの件数が多い場合、攻撃者がその IP を継続的に使用している可能性があります。その IP をブロックしてください。

• 同一期間内に複数の資産が同じ IP から攻撃されている場合、標的型攻撃の可能性が高いです。その IP をブロックしてください。

推奨ポリシー

次の 2 種類の推奨対応ポリシーが利用可能です：

アラートのホワイトリスト登録

インシデント対応中に、Add to Whitelist（自動応答ルール）または Add Alert to Whitelist のいずれかのオプションを使用してアラートをホワイトリストに登録できます。TCP 上の通常業務通信やネットワーク検出スキャンなど、正常な動作に対してアラートが生成された場合、ホワイトリスト登録により Security Center が繰り返し良性の動作をフラグ付けすることを防ぎます。

プレイブックの実行

1. イベント詳細ページで、[エンティティ] タブをクリックします。処理対象のエンティティを見つけます。

2. [操作] 列で [ハンドル] をクリックします。以下のプレイブックパラメーターを設定します。

   • [プレイブック]：システムはエンティティタイプに基づき、適切なビルトインプレイブックを自動的に選択します。> 重要： ビルトインプレイブックが要件を満たさない場合は、Agentic SOC の Response Orchestration 機能を使用してカスタムプレイブックを作成してください。

   • アクション有効期間：プレイブックの実行期間です。この期間が終了すると、プレイブックは停止します。

   • 宛先アカウント：現在のアカウントまたは管理している任意のメンバーアカウントです。詳細については、「Multi-account security management」をご参照ください。

3. [解決] をクリックします。

イベントは、プレイブックに設定されたプロセス（例：IP アドレスのブロック）に基づいて処理され、イベントステータスは Handled に変更されます。

自動処理

セキュリティインシデントの処理を自動化するには、脅威の分析と応答 が提供する応答ルールオーケストレーション機能を使用します。プレイブックと自動応答ルールを設定することで、セキュリティ脅威インシデントをバッチで自動処理できます。詳細については、「応答ルール」をご参照ください。

イベント所有者の更新

1. イベント詳細ページで、右上隅の[インシデント対応] > [所有者の更新]をクリックします。または、[セキュリティイベント]ページの操作列で、[対応] > [所有者の更新]をクリックします。

2. ダイアログで以下の設定を行い、[OK] をクリックします。

   • 所有者：現在のアカウントまたは Resource Access Management (RAM) ユーザーを選択します。> 重要： 対象の所有者（RAM ユーザー）がセキュリティイベントを処理するための必要な権限を持っていることを確認してください。

   • 備考：引き継ぎ手順やメモを入力し、新しい所有者が状況を把握して迅速に対応を開始できるようにします。

この操作後、システムは変更記録を作成します。イベント詳細ページの [対応アクティビティ] > [アクティビティログ] で確認できます。

インシデントレベルの更新

1. イベント詳細ページの右上隅で、[インシデント対応] > [インシデントレベルの更新] をクリックします。または、[セキュリティイベント] ページの **[操作]** 列で、[対応] > [インシデントレベルの更新] をクリックします。

2. ダイアログで [インシデント重大度] および 備考 を変更します。

変更後、システムは操作を記録します。イベント詳細ページの [対応アクティビティ] > [アクティビティログ] で確認できます。