Security Center:Agentic SOC におけるセキュリティインシデントの概要

Agentic SOC セキュリティインシデントのソース

Security Center の Agentic SOC は、事前定義ルールまたはカスタムルールに基づいてセキュリティアラートを生成します。その後、Agentic SOC はこれらのアラートのコンテキストを分析し、それらを完全なインシデントに集約します。

Agentic SOC セキュリティインシデントの生成メカニズム

Agentic SOC セキュリティインシデントは、事前定義ルールまたはカスタムルールに基づいて、複数の関連するセキュリティアラートを集約することで作成されます。これにより、セキュリティ脅威を迅速に特定し、対応することができます。セキュリティインシデントは、アラートのソースデバイスに基づいて、次の2つのタイプに分類されます。

• ネットワーク側: Agentic SOC は、スキャンやプロービングなどの悪意のある偵察活動に焦点を当て、事前定義ルールを使用してネットワーク側のアラートからインシデントを生成します。これにより、攻撃者がより多くのユーザー情報をプロービングするのを防ぐことができます。

• ホスト側: Agentic SOC は、グラフコンピューティング技術を使用して、同じ MD5 ハッシュや親プロセス ID を持つアラートなど、関連するホスト側のアラートをインシデントに集約します。これにより、攻撃の侵入ポイントを迅速に特定し、対応することができます。

すべてのアラートがセキュリティインシデントを生成するわけではありません。インシデント生成をトリガーするには、アラートが次の条件を満たす必要があります。

• すべてのホスト側アラートはセキュリティインシデントを生成します。ホスト側アラートに関連アラートがない場合、単一のアラートがインシデントを生成できます。ネットワーク側アラートは、事前定義ルールまたはカスタムルールでインシデント集約ポリシーにヒットした場合にのみセキュリティインシデントを生成します。

• インシデントのホワイトリスト化ルールが設定されている場合、そのルールにヒットしたアラートはインシデントを生成しません。

• 事前定義ルールのみが有効な場合、インシデントは、Graph Compute および Expert Rules の生成メソッドに一致するアラートからのみ生成されます。

インシデントの保持期間

セキュリティイベントの処理 ページには、過去 180 日間のインシデントのみが表示されます。

セキュリティインシデントのリスクレベルと処理

Agentic SOC セキュリティインシデントの処理対象

集約されたアラートと抽出されたアラートエンティティを処理することで、セキュリティインシデントを処理できます。