Security Center:Log management

ログ管理の有効化

ログ管理機能は、サブスクリプションまたは従量課金のいずれかの課金方法でのみ有効にできます。課金の詳細については、「課金の説明」をご参照ください。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > ログ管理 を選択します。コンソールの左上で、保護するアセットが所在するリージョン ( 中国本土 または 中国本土以外 ) を選択します。

   Agentic SOC ログ取り込みトラフィックをサブスクリプションベースで購入したか、Agentic SOC の従量課金を有効にしているユーザーの場合、左側のナビゲーションウィンドウのエントリは 脅威の分析と応答 > ログ に変更されます。

3. ログ管理 ページで、サブスクリプションの購入 または 従量課金の有効化 をクリックします。

   説明

   Agentic SOC ログ取り込みトラフィックをサブスクリプションベースで購入したか、Agentic SOC の従量課金を有効にしているユーザーは、現在のページの右上隅にある ログ管理の従量課金の有効化 をクリックするか、Agentic SOC ログストレージ容量を購入するためにスペックアップします。詳細については、「スペックアップまたはスペックダウン」をご参照ください。

   • サブスクリプションモードの有効化：購入ページで、Agentic SOC の 購入するかどうか を はい に設定し、必要なログストレージ容量を選択して、今すぐ注文 をクリックして支払いを完了します。

     必要に応じて、他の Security Center 機能を購入できます。詳細については、「購入ガイド」をご参照ください。

   • 従量課金モードの有効化：ダイアログボックスで、課金ルールを読み、ストレージリージョンを選択し、有効化と権限付与 をクリックします。

4. 機能が有効になったら、ログ管理 ページに戻り、サービスステータスが 有効 になっているか確認します。数分以内にログデータが SLS に配信され始めます。

ログ管理の無効化

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、脅威の分析と応答 > ログ を選択します。コンソールの左上で、保護するアセットが所在するリージョン ( 中国本土 または 中国本土以外 ) を選択します。

3. ログ管理 ページで、ログ使用量 が 0 GB であることを確認します。

   ログ使用量が 0 でない場合は、現在のページの右上隅にある 削除 をクリックし、ログ使用量がクリアされるのを待ってから、次のステップに進みます。

4. ログ管理機能は、次の方法で無効にできます。

   • サブスクリプションモード

     • 方法 1：スペックダウン

       1. 概要 ページで、設定の変更 > スペックダウン をクリックして スペックダウン ページに移動します。

       2. 注文のスペックダウン タブで、Agentic SOC セクションの Agentic SOC (ログストレージ容量) を 0 GB に設定します。

       3. Security Center サービス規約を読んで選択し、今すぐ注文 をクリックします。

     • 方法 2：購入した Security Center インスタンスのサブスクリプションを解約します。詳細については、「サブスクリプションの解約」をご参照ください。

   • 従量課金モード：Security Center コンソールの 概要 ページで、従量課金サービスの有効化 セクションで、ログ管理 スイッチをオフにします。

     重要

     ログ管理スイッチを無効にすると、ログ配信は自動的に無効になり、対応する Logstore は削除されます。削除されたログデータは復元できません。慎重に操作することを推奨します。

ログ取り込みトラフィックのみを購入するか、Agentic SOC の従量課金を有効にしているユーザー向けの説明

Agentic SOC ログ取り込みトラフィックをサブスクリプションベースで購入したか、Agentic SOC の従量課金を有効にしているが、ログストレージ容量を購入していない場合、ログ管理 ページで一部の標準化ログをクエリできます。サポートされるログは、標準化方式 が スキャンクエリ であるアクセスポリシーからのものです。

このシナリオでは、Security Center ログは配信または表示できず、標準化方式 が リアルタイム消費 であるアクセスポリシーからの標準化ログも配信または表示できません。さまざまな課金項目でサポートされる機能の詳細については、「ログ管理の課金概要」をご参照ください。

配信の有効化

ログストレージ容量を購入すると、Agentic SOC はデフォルトですべての Security Center ログタイプの配信を有効にします。アプリケーション保護や悪意のあるファイル検知などの対応する付加価値サービスを購入していない場合、対応するログタイプの配信スイッチは無効のままです。

ログ管理 ページの ログ管理設定 をクリックして、各ログタイプの配信ステータスを表示および設定できます。

ログ管理設定ページでは、基本設定 エリアにログ配信リージョンが 中国 (上海)、ログ配信言語が 中国語 と表示されます。ログストレージ管理 エリアの Security Center ログ タブでは、ホストログタイプには以下が含まれます。

• ブルートフォース攻撃 (aegis-log-crack)

• プロセススナップショット (aegis-snapshot-process)

• DNS リクエスト (aegis-log-dns-query)

• アカウントスナップショット (aegis-snapshot-host)

• クライアントイベント (aegis-log-client)

• ログインログ (aegis-log-login)

• ネットワーク接続 (aegis-log-network)

• ネットワークスナップショット (aegis-snapshot-port)

• プロセス起動 (aegis-log-process)

すべての配信スイッチがオンになっており、ログ保持期間は 180 日です。

クエリログ

1. 左側のナビゲーションウィンドウで、脅威の分析と応答 > ログ を選択します。コンソールの左上で、保護するアセットが所在するリージョン ( 中国本土 または 中国本土以外 ) を選択します。

2. ログ管理 ページの左上で、Security Center のログ をクリックし、表示したいログタイプを選択します。

3. クエリの時間範囲を設定し、クエリ文を使用してログを取得し、ログ分析データを表示します。

   Agentic SOC ログ管理のログクエリ方法は、Security Center ログ分析の方法と同じです。詳細については、「ログ分析」をご参照ください。

配信の説明

• 標準化ログは、Agentic SOC が取り込んだログを消費・分析し、共通スキーマに標準化した後に生成されるログです。標準化ログには、SPL (Search Processing Language) 構文によってマッピングされた標準フィールドが含まれています。標準化ログの配信を有効または無効にすることはできません。配信は次のシナリオで有効になります。

  • アクセスポリシーの 標準化方式 が リアルタイム消費 に設定されている場合、Agentic SOC はデフォルトで正規化されたログを標準化カテゴリ別に該当する Logstore に配信します。アクセスポリシーを作成する際に、ログ配信タスクが作成されます。

  • カスタムルールを作成した後、カスタムルールによって生成された標準化アラートログが配信されます。例：EDR アラートログ、ファイアウォールアラートログ。

• 標準化ルールの 拡張フィールドの取り込み が そのまま保持 に設定されている場合、マッピングされていない元のフィールドも標準化ログに含まれます (フラットな Key-Value 形式で保存されます)。詳細については、「ログ形式標準化 V2 の表示」をご参照ください。

ログ参照カウントの表示

1. ログ管理 ページで、ログ設定 をクリックします。

2. ログ設定 パネルの 標準化ログ タブで、標準化構造の参照カウントを表示できます。

   説明

   参照カウントは、対応する標準化カテゴリと構造を使用し、標準化方式 が リアルタイム消費 であるアクセスポリシーの数を示します。

クエリ ログ

Agentic SOC は、標準化されたログ構造によるログの検索と、データセット (StoreView) を使用した複数の Logstore にまたがるデータのクエリをサポートしています。Logstore のクエリと分析の詳細については、「ログのクエリと分析」をご参照ください。

ログ保持期間の変更

配信されたログのデフォルトの保持期間は 180 日です。必要に応じてログの保持期間を変更できます。

1. 左側のナビゲーションウィンドウで、脅威の分析と応答 > ログ を選択します。コンソールの左上で、保護するアセットが所在するリージョン ( 中国本土 または 中国本土以外 ) を選択します。

2. ログ管理 ページの右上隅で、ログ設定 をクリックします。

3. ログ設定 パネルの Security Center のログ タブまたは 標準化ログ タブで、[ログ保持期間 (TTL)] 列の アイコンをクリックして、ログの保持期間を変更します。

ストレージ容量のスケールアウトまたは削除

脅威の分析と応答 > ログ ページで、現在のログ使用量と総容量を表示できます。必要に応じて、ログストレージ容量をスケールアウトまたはクリアできます。

• スケールアウト をクリックして、より多くのログストレージ容量を購入します。

  ログストレージ容量が十分であることを確認してください。ログストレージ容量がいっぱいになると、新しいログは配信できません。

• 削除 をクリックして、すべてのストレージ容量をクリアします。ログのクリアには約 0～24 時間かかります。しばらくお待ちください。

  警告

  ストレージ容量がクリアされると、ログデータは復元できません。ストレージ容量をクリアする前に、ログをエクスポートしてバックアップしてください。

ログ配信量の削減

ログストレージコストが高い場合は、各ログタイプのストレージ割合を表示し、不要なログタイプを無効にして配信量とストレージコストを削減できます。

1. SLS コンソールにログインし、Security Center の専用プロジェクト (フォーマット aliyun-cloudsiem-data-{Alibaba Cloud アカウント ID}-{RegionID} で命名) を見つけます。Logstore のクエリボックスで、__topic__ フィールドでログをグループ化してカウントし、各ログタイプの分布を表示して、ストレージ使用率の高いログタイプ (ログインログ、ネットワーク接続ログ、プロセス起動ログなど) を特定します。

2. 左側のナビゲーションウィンドウで、脅威の分析と応答 > ログ を選択します。コンソールの左上で、保護するアセットが所在するリージョン ( 中国本土 または 中国本土以外 ) を選択します。

3. ログ管理 ページで、ログ設定 をクリックします。

4. ログ設定 パネルで、Security Center のログ タブに切り替え、配信を停止したいログタイプの配信スイッチをオフにします。

ログ配信が無効になると、対応するタイプのログは SLS に配信されなくなります。すでに保存されている履歴ログは影響を受けず、元の保持期間が終了した後に自動的に削除されます。ログタイプを無効にする前に、セキュリティコンプライアンス要件を評価することを推奨します。

ログ管理の従量課金を有効にできないのはなぜですか？

以下のいずれかの理由により、ログ管理の従量課金を有効にできない場合があります。

• 理由 1：Agentic SOC ログストレージ容量またはログ分析をサブスクリプションベースで購入している。

  ソリューション：

  1. サブスクリプションベースで購入した Agentic SOC ログストレージ容量のサブスクリプションを解約するか、ログ分析を解約します。

  2. ログ管理の従量課金を有効にする。

• 理由 2：Agentic SOC が 1.0 アーキテクチャを使用している。

  ソリューション：

  1. Agentic SOC 機能を 1.0 から 2.0 にスペックアップする。

  2. ログ管理の従量課金を有効にする。

  説明

  当面 Agentic SOC 2.0 アーキテクチャにスペックアップしないが、ログ管理を使用する必要がある場合は、サブスクリプションベースで Agentic SOC ログストレージ容量を購入できます。

• 理由 3：2024 年 4 月 26 日以前にサブスクリプションベースで Agentic SOC ログストレージ容量を購入し、Agentic SOC 機能を使用している。

  これらのユーザーが Agentic SOC 2.0 アーキテクチャにスペックアップすると、以前に購入したのと同じ量の Agentic SOC ログストレージ容量 (サブスクリプションモード) を保持し、通常どおりログ管理を使用できます。サブスクリプションから従量課金に切り替えるには、理由 1 のソリューションをご参照ください。Agentic SOC アーキテクチャのスペックアップの詳細については、「[お知らせ] Agentic SOC のスペックアップ」をご参照ください。

ログ分析とログ管理の違いは何ですか？

ログ分析とログ管理はどちらも、Security Center が提供するセキュリティログのクエリおよび分析機能です。ログ分析と比較して、ログ管理は Security Center モジュール (脆弱性、セキュリティアラート、クライアントイベント) からのログの配信および分析機能を提供するだけでなく、Agentic SOC によって正規化されたログの配信と保存もサポートします。等級保護コンプライアンスやその他のセキュリティログの保存および分析要件がある場合は、ログ管理を使用することを推奨します。

• ログ分析は、Security Center ログをすばやく表示する必要があるシナリオに適しています。

• ログ管理は、標準化ログとネットワークログの長期保存、コンプライアンス監査、クエリが必要なシナリオに適しています。

次の表に、2 つの機能の違いを示します。