Security Center:セキュリティインシデントの評価と対応

セキュリティ AI アシスタント

セキュリティ AI アシスタントは、エンティティ分析エージェントを活用して、悪意のあるエンティティのリスクレベルを包括的に評価し、対応に関する推奨事項を提供します。

例：

調査および AI 分析

セキュリティオペレーションエージェントへアップグレード後、システムは Agentic AI をコアエンジンとして採用します。このエージェントは、Alibaba Cloud のネイティブなセキュリティデータおよびインフラストラクチャと深く統合されており、知覚・推論・実行という自律的機能を駆使してセキュリティインシデントを調査し、調査レポートを生成します。

1. AI エージェントによるインシデント調査の実行：

   1. 初期調査：インシデントが生成されると、インシデント調査エージェントが自動的に起動し、調査を開始します。

   2. 追加調査：新しいアラートが現在のインシデントと相関付けられた場合、インシデント調査エージェントが再度起動し、追加調査を実行します。

2. 調査結果の確認：対象インシデントの詳細ページへ移動し、上部のFull Reportをクリックして、レポートの詳細を確認します。

   説明

   また、セキュリティインシデント一覧のAI 分析列から、分析結果を直接確認することもできます。

   • 分析結論：

     結論	信頼区間	説明
     Likely False Positive	≤10%	AI は、既知の運用 IP アドレスからの定期的なスキャンなど、良性の活動であると高い確信度で判断しています。
     判定不能	30% ～ 60%	主要な特徴量や完全なログが不足している、あるいは曖昧な動作が観測されるなど、情報が不十分なため、AI が信頼できる判定を行うことができません。
     Confirmed Attack	>85%	AI は、既知の Tactics, Techniques, and Procedures（TTPs）と一致する複数の情報源から得られた証拠チェーンを特定し、これが実際の攻撃であることを確認しています。

   • 攻撃の詳細：影響を受けた資産、攻撃チェーン、ペイロード分析、攻撃のタイムライン、および攻撃プロセス名に関する情報が含まれます。

3. インシデント調査記録の確認

   1. 対象インシデントの詳細ページへ移動し、右上隅のResponse Activityをクリックします。

   2. Activity Logタブで、Response ScenarioフィルターをEvent Investigationに設定します。

   3. ログ一覧で、Event Investigationの記録および、当該インシデントに対する調査結果の要約を確認できます。

イベントチェーン図

このタブでは、攻撃のタイムラインおよび由来グラフを確認できます。ビッグデータ分析エンジンがデータを処理・集約・可視化し、イベントチェーン図を生成します。この図により、イベントの原因を迅速に特定し、適切なイベント対応ポリシーを作成できます。イベント内のノードをクリックすると、その詳細を確認でき、タイムラインを活用して、セキュリティイベントの対応が必要かどうかを評価できます。評価の具体例は以下のとおりです：

• タイムラインに、初期の小規模な探査攻撃アラートが、短時間で異なる種類の複数の密接に関連した攻撃アラートへと急速に進展することが示されている場合、そのセキュリティイベントは高リスクであり、直ちに対応する必要があります。特に、攻撃のペースが加速し、影響を受ける資産の範囲が拡大している場合には、なおさらです。

• 長期間にわたりタイムライン上で新たな関連アラートが出現せず、攻撃行動がさらに拡散する兆候がない場合、対応の優先度は比較的低く設定できます。

アラート

このタブでは、当該イベントに集約されたすべてのセキュリティアラートの一覧を確認できます。アラート数、防御措置、発生時刻といった多角的なアラート統計情報を活用して、攻撃手法、攻撃段階、および適切な対応計画を判断できます。評価の具体例は以下のとおりです：

• 同一種類または関連する種類のアラートが多数発生している場合、大規模な攻撃またはより深刻な脅威が存在する可能性があります。

• 防御措置については、実施された措置が攻撃を効果的に阻止しているかどうかを判断します。防御措置が失敗している、または不十分な場合、イベント対応の緊急性が高まります。

• 最近のセキュリティアラートの発生時刻が特定の期間に集中している場合、攻撃が活発な段階にある可能性があります。

概要 エリア

このエリアでは、イベントおよび ATT&CK 攻撃段階に関する基本情報を提供します。影響を受けた資産数、関連アラート数、発生時刻、アラートソースなどのデータを活用して、当該セキュリティイベントが対応を要するかどうかを評価できます。

評価の具体例：

• 影響を受けた資産数：データベースサーバやアプリケーションサーバなど、コアビジネス資産を含む多数の資産が影響を受けている場合、当該イベントは重大な影響を及ぼす可能性があり、高優先度での対応が必要です。

• 関連アラート数：関連アラート数が多いほど、イベントの影響範囲が広く、潜在的なリスクが大きい可能性があります。

• 発生時刻：歴史的なイベントと比較して、最近発生したイベントは、まだ影響を及ぼしている可能性があるため、より迅速な対応が必要です。

• アラートソース：アラートの信頼性および深刻度はソースによって異なります。専用のウイルススキャンモジュールなど、権威ある検出モジュールから発行されたアラートは、対応するイベントに対してより高いリスクを示唆します。

エンティティ

このセクションでは、イベントから抽出されたエンティティを表示します。サポートされるエンティティタイプには、ホスト、ファイル、プロセス、IP アドレス、ホストアカウントが含まれます。以下のディメンションからエンティティを表示および管理できます：

• すべてのエンティティ：イベントから抽出されたすべてのエンティティを表示します。過去 30 日間における関連イベント数、関連アラート数、関連対応タスク数を確認でき、プレイブックの実行などの操作が可能です。

• 影響を受けた資産：イベントの影響を受けた資産を表示します。これにより、ご利用の資産に対する影響範囲を迅速に評価できます。

影響を受けたエンティティを活用して、当該セキュリティイベントが対応を要するかどうかを評価できます。以下に評価の具体例を示します：

• エンティティの詳細画面では、IP アドレスエンティティの基本情報、Alibaba Cloud の脅威インテリジェンス、および過去 30 日間における関連イベント数、関連アラート数、関連対応タスク数を確認できます。これらの数値が高ければ、攻撃者が当該 IP アドレスを継続的に攻撃に使用している可能性があります。このような IP アドレスについては、ブロックなどの対応が必要です。

• 影響を受けるアセットタブで、同一期間内に同一の IP アドレスから複数の資産が攻撃を受けている場合、当該 IP アドレスからの標的型攻撃が行われている可能性があります。このような IP アドレスについては、ブロックなどの対応が必要です。

Response Activity

• 主な機能： 応答アクティビティセクションでは、リスク分析および応答対応プロセスの完全な記録を提供します。また、重要な対応ポリシー、タスク、およびActivity Logへのアクセスも提供します。これにより、チームメンバー間で調査の進捗状況および対応情報を共有できます。イベント終了後には、イベントアクティビティをレビューおよび要約することで、今後の対応を改善できます。

• アクセス方法： イベント詳細ページへ移動し、右上隅のResponse Activityをクリックします。

推奨対応ポリシーの適用

推奨対応ポリシーには、以下の 2 種類があります：

アラートのホワイトリスト登録

セキュリティインシデント対応中に、セキュリティアラートをホワイトリストに登録できます。これには、Add to Whitelist（自動応答ルール）またはAdd Alert to Whitelistが含まれます。通常のプログラムに関するアラート（例：実際には正常なビジネス通信である疑わしいアウトバウンド TCP パケット、または正常なネットワーク検出である疑わしいスキャン動作など）については、ホワイトリスト登録により、Security Center が正常なプログラムや動作に対して繰り返しアラートを生成することを効果的に防止できます。

Update Incident Status

プレイブックの実行

セキュリティインシデントの自動対応

セキュリティインシデントを自動的に対応するには、脅威の分析と応答が提供する応答ルールオーケストレーション機能を利用できます。この機能により、プレイブックおよび自動応答ルールを構成して、セキュリティ脅威インシデントを自動的かつ一括で対応できます。詳細については、「応答ルール」をご参照ください。

Update Owner

Update Incident Level