アラートコンポーネントを設定する - Security Center - Alibaba Cloud ドキュメントセンター

CloudSIEM コンポーネントは、主にアラート処理とメンバーアカウント管理機能を提供します。

機能説明

操作	説明	シナリオ
createAlert	アラートを作成します。	プレイブックベースの検出で使用されるユーザーアラートチャンネルにアラートデータを書き込みます。
describeAlertsByIncidentUuid	イベント ID に基づいてアラートをクエリします。	イベントのアラートリストを取得します。
describeSubUserInfo	メンバーアカウント情報をクエリします。	複数アカウント管理シナリオで管理アカウントまたは委任された管理者アカウントによって制御されるメンバーアカウントを取得します。

コンポーネント構成例

このトピックでは、CloudSIEM コンポーネントの各操作のパラメーター構成例を提供します。これらはテストプレイブックとしてインポートできます。可視化フローエディターを使用すると、各操作の構成パラメーターをより直感的に理解してテストし、コンポーネントの機能ロジックと使用方法を簡単に習得できます。手順については、「プレイブックのインポート」をご参照ください。

説明

サンプルデータを最初に JSON ファイルとして保存できます。

サンプルデータ

{
    "cells": [
        {
            "position": {
                "x": -570,
                "y": -170
            },
            "size": {
                "width": 36,
                "height": 36
            },
            "attrs": {
                "body": {
                    "fill": "white",
                    "strokeOpacity": 0.95,
                    "stroke": "#63ba4d",
                    "strokeWidth": 2
                },
                "label": {
                    "text": "start", // 開始
                    "fontSize": 12,
                    "refX": 0.5,
                    "refY": "100%",
                    "refY2": 4,
                    "textAnchor": "middle",
                    "textVerticalAnchor": "top"
                },
                "path": {
                    "stroke": "#63ba4d"
                }
            },
            "visible": true,
            "shape": "circle",
            "id": "58d87b7d-28d9-4f0e-b135-4adc4f1a70e4",
            "zIndex": 1,
            "data": {
                "nodeType": "startEvent",
                "appType": "basic",
                "nodeName": "start", // 開始
                "icon": "icon-circle",
                "description": "Playbook start node. A playbook must have one and only one start node, which requires input data configuration for the playbook." // プレイブックの開始ノード。プレイブックには開始ノードが 1 つだけ必要です。プレイブックの入力データ構成が必要です。
            },
            "markup": [
                {
                    "tagName": "circle",
                    "selector": "body"
                },
                {
                    "tagName": "text",
                    "selector": "label"
                }
            ],
            "isNode": true
        },
        {
            "shape": "custom-edge",
            "attrs": {
                "line": {
                    "stroke": "#63ba4d",
                    "targetMarker": {
                        "stroke": "#63ba4d"
                    }
                }
            },
            "zIndex": 1,
            "id": "5293c3f9-e1c9-4a49-b0eb-635067dc67e8",
            "data": {
                "nodeType": "sequenceFlow",
                "appType": "basic",
                "icon": "icon-upper-right-arrow",
                "isRequired": false
            },
            "isNode": false,
            "source": {
                "cell": "58d87b7d-28d9-4f0e-b135-4adc4f1a70e4"
            },
            "target": {
                "cell": "4bae035e-39fe-4f16-8a63-61d55e5fab41"
            },
            "vertices": []
        },
        {
            "position": {
                "x": 590,
                "y": -190
            },
            "size": {
                "width": 36,
                "height": 36
            },
            "attrs": {
                "body": {
                    "fill": "white",
                    "strokeOpacity": 0.95,
                    "stroke": "#63ba4d",
                    "strokeWidth": 2
                },
                "path": {
                    "r": 12,
                    "refX": "50%",
                    "refY": "50%",
                    "fill": "#63ba4d",
                    "strokeOpacity": 0.95,
                    "stroke": "#63ba4d",
                    "strokeWidth": 4
                },
                "label": {
                    "text": "end", // 終了
                    "fontSize": 12,
                    "refX": 0.5,
                    "refY": "100%",
                    "refY2": 4,
                    "textAnchor": "middle",
                    "textVerticalAnchor": "top"
                }
            },
            "visible": true,
            "shape": "circle",
            "id": "317dd1be-2d20-460e-977e-1fc936ffb583",
            "zIndex": 1,
            "data": {
                "nodeType": "endEvent",
                "appType": "basic",
                "nodeName": "end", // 終了
                "icon": "icon-radio-off-full",
                "description": "end" // 終了
            },
            "markup": [
                {
                    "tagName": "circle",
                    "selector": "body"
                },
                {
                    "tagName": "circle",
                    "selector": "path"
                },
                {
                    "tagName": "text",
                    "selector": "label"
                }
            ],
            "isNode": true
        },
        {
            "position": {
                "x": -440,
                "y": -185
            },
            "size": {
                "width": 137,
                "height": 66
            },
            "view": "react-shape-view",
            "shape": "activity",
            "id": "4bae035e-39fe-4f16-8a63-61d55e5fab41",
            "zIndex": 1,
            "data": {
                "nodeType": "action",
                "appType": "component",
                "nodeName": "createAlert", // アラートを作成
                "icon": "https://sophon-gen-v2.oss-cn-zhangjiakou.aliyuncs.com/componentUpload/1709541669751_CloudSIEM_logo.png?Expires=1745562674&OSSAccessKeyId=STS.NWc1************&Signature=Vs0tPkphQLQ%2BYZH0gzilupYu%2FFk%3D&security-token=CAIS2AJ1q6Ft5B2yfSjIr5TWeo7nhrxYgLXabFLnqGMePdpq25bnoTz2IHhMenFpAegcv%2Fw%2BlGFZ6%2F8elrp6SJtIXleCZtF94oxN9h2gb4fb404tSmiK0s%2FLI3OaLjKm9u2wCryLYbGwU%2FOpbE%2B%2B5U0X6LDmdDKkckW4OJmS8%2FBOZcgWWQ%2FKBlgvRq0hRG1YpdQdKGHaONu0LxfumRCwNkdzvRdmgm4NgsbWgO%2Fks0OP3AOrlrBN%2Bdiuf8T9NvMBZskvD42Hu8VtbbfE3SJq7BxHybx7lqQs%2B02c5onDWwAJu0%2FXa7uEo4wydVNjFbM9A65Dqufxn%2Fpgt%2Braj4X7xhhEIOVJSSPbSZBbSxJNvU1RXDxQVcEYWxylurjnXvF%2Bo769YMdAf0rM946UoJvc3YDI5hWbc8mJsTnhSSTAEIv%2By8ptqoFOtH7DkLTHWR7hCtv2304sPNLRMytAXxqAAaglhs%2B6DlU%2FIHanI3q9FkX0mo3yfOc0Ss1ZsGvN9%2BnXXtzWGt83MapH5JAn16uLSoj%2BI3t6Am%2FQ5Fn9m3861NqcE61p%2FApRaQsd%2B7W5e064KJpPVqEmSMYmHklczKH7YoajMahNccoLvXJluV8NgTweh8P3HRGYzZqJzn9mGyEfIAA%3D",
                "description": "Writes alert data to the user alert channel, used with playbook-based detection." // プレイブックベースの検出で使用されるユーザーアラートチャンネルにアラートデータを書き込みます。
                "advance": {
                    "inputParamMode": false,
                    "onError": "stop_cur_flow", // 現在のフローを停止
                    "rspStatusType": 3,
                    "rspStatusThreshold": 0
                },
                "componentName": "CloudSIEM",
                "actionName": "createAlert", // アラートを作成
                "cascaderValue": [],
                "valueData": {
                    "content": "[{\"fieldName\":\"start_time\",\"fieldValue\":\"1745477322\"},{\"fieldName\":\"end_time\",\"fieldValue\":\"\"},{\"fieldName\":\"user_id\",\"fieldValue\":\"1766185894104675\"},{\"fieldName\":\"cloud_code\",\"fieldValue\":\"alibaba_cloud\"},{\"fieldName\":\"product_code\",\"fieldValue\":\"waf\"},{\"fieldName\":\"cloud_user_id\",\"fieldValue\":\"\"},{\"fieldName\":\"extend_content\",\"fieldValue\":\"\"},{\"fieldName\":\"relate_alert_uuids\",\"fieldValue\":\"\"}]"
                },
                "isDebug": false,
                "status": "success" // 成功
            },
            "isNode": true
        },

        // ... (The rest of the translation will follow in subsequent responses due to character limits)

createAlert

ユーザーアラートチャンネルにアラートデータを書き込みます。

パラメータの説明

パラメータ	説明
start_time	開始タイムスタンプ。単位：秒。イベント発生時刻の指定にも使用されます。例：1715258000。
end_time	終了タイムスタンプ。単位：秒。例：1715258321。
user_id	ログが属する Alibaba Cloud アカウント ID。例：127XXXXXX。
cloud_code	クラウドコード。列挙値: alibaba_cloud、huawei_cloud、tencent_cloud。クラウドコード。列挙値：alibaba_cloud、huawei_cloud、tencent_cloud。例：alibaba_cloud。
product_code	プロダクトコード。例：waf。
cloud_user_id	他クラウドのクラウドアカウント ID。Alibaba Cloud アカウントの場合は、aliuid と同じです。別のクラウドアカウントの場合は、バインドされたアカウントの ID です。例：127XXXXXX。
extend_content	拡張フィールドの内容。例：{"a":"111","b":"222"}。
relate_alert_uuids	関連アラートの UUID。例：1001。

describeAlertsByIncidentUuid

イベント ID に基づいてイベントのアラートリストを取得します。

パラメータの説明

パラメータ	説明
incidentUuid	イベントの UUID です。説明 DescribeCloudSiemEvents API を使用してイベントの UUID を取得できます。
incidentAccount	イベントが属するアカウント ID です。デフォルト値：ログインしているアカウントの ID です。

出力例

{
    "AlertDescEn": "The IP address that is used to log on to the server is not within the IP addresses that you specify. We recommend that you check whether the logon is valid.", // サーバーへのログインに使用される IP アドレスが、指定した IP アドレスの範囲内にありません。ログインが有効かどうかを確認することをお勧めします。
    "AttCk": [],
    "EndTime": "2025-05-07T02:32:55.000+00:00",
    "AlertTypeEn": "Unusual Logon", // 異常なログイン
    "LogTime": "2025-05-07T02:32:55.000+00:00",
    "GmtModified": "2025-05-08T04:01:47.000+00:00",
    "AlertTypeCode": "security_event_config.event_name.unusuallogon", // security_event_config.event_name.unusuallogon
    "SubUserId": 123,
    "IsDefend": "0",
    "AlertType": "Unusual Logon", // 異常なログイン
    "AlertInfoList": [
        {
            "KeyName": "${aliyun.siem.alert.host}", // ${aliyun.siem.alert.host}
            "Values": "ed9aede1-9acd-****-****-16c54d441213",
            "Key": "${aliyun.siem.alert.host}" // ${aliyun.siem.alert.host}
        },
        {
            "KeyName": "${aliyun.siem.alert.status}", // ${aliyun.siem.alert.status}
            "Values": "0",
            "Key": "${aliyun.siem.alert.status}" // ${aliyun.siem.alert.status}
        }
    ],
    "AlertTitle": "Unusual Logon-Login with unusual IP", // 異常なログイン - 異常な IP でのログイン
    "AlertDetail": {
        "gmtModified": "2025-05-07 10:32:50",
        "intra_ip": "192.***.***.51",
        "proc_path": "N/A",
        "pid": "N/A",
        "type": "login_common_ip", // login_common_ip
        "product_code": "sas", // sas
        "uuid": "ed9aede1-9acd-****-****-16c54d441213",
        "host_uuid": "ed9aede1-9acd-****-****-16c54d441213",
        "loginUser": "administrator", // administrator
        "protocol": 1,
        "os_info": "windows", // windows
        "protocolName": "RDP", // RDP
        "inter_ip": "118.***.***.158",
        "cloud_code": "aliyun", // aliyun
        "cloud_user_id": "1766****4675",
        "sub_user_id": "1766****4675",
        "id": 123,
        "assetInfo": "{\"aliUid\":1766****4675,\"bid\":\"233\",\"clientStatus\":\"online\",\"eip\":\"\",\"flag\":0,\"groupId\":91,\"groupName\":\"default\",\"internetIp\":\"118.***.***.158\",\"intranetIp\":\"192.***.0.51\",\"machineInstanceId\":\"i-bp13h2hjh****1pyxngn\",\"machineIp\":\"118.***.***.158\",\"machineName\":\"win11-enterprise-lenovo-manage-x64-zh\",\"machineRegion\":\"cn-hangzhou-dg-a01\",\"machineType\":0,\"os\":\"windows\",\"regionId\":\"cn-hangzhou\",\"status\":\"Running\",\"tag\":\"InternetIp\",\"uuid\":\"ed9aede1-9acd-****-****-16c54d441213\",\"vpcInstanceId\":\"vpc-bp1ih********2hyq8m5\"}", // {"aliUid":1766****4675,"bid":"233","clientStatus":"online","eip":"","flag":0,"groupId":91,"groupName":"default","internetIp":"118.***.***.158","intranetIp":"192.***.0.51","machineInstanceId":"i-bp13h2hjh****1pyxngn","machineIp":"118.***.***.158","machineName":"win11-enterprise-lenovo-manage-x64-zh","machineRegion":"cn-hangzhou-dg-a01","machineType":0,"os":"windows","regionId":"cn-hangzhou","status":"Running","tag":"InternetIp","uuid":"ed9aede1-9acd-****-****-16c54d441213","vpcInstanceId":"vpc-bp1ih********2hyq8m5"}
        "cmdLine": "N/A",
        "loginSourceIp": "221.***.***.122",
        "os": "windows", // windows
        "loginTimes": 1,
        "gmtCreate": "2025-05-07 10:32:50",
        "loginDestinationPort": 3329,
        "clientIp": "192.***.***.51",
        "location": "Xi'an", // 西安
        "aliUid": 123,
        "host_name": "win11-enterprise-lenovo-manage-x64-zh", // win11-enterprise-lenovo-manage-x64-zh
        "status": 0,
        "siem_vpc_instance_id": "vpc-bp1ihs*****ihq2hyq8m5" // vpc-bp1ihs*****ihq2hyq8m5

    },
    "AlertTitleEn": "Unusual Logon-Login with unusual IP", // 異常なログイン - 異常な IP でのログイン
    "AlertLevel": "suspicious", // 不審
    "AssetList": [
        {
            "entity_user_id": "1766****4675",
            "asset_name": "win11-enterprise-lenovo-manage-x64-zh", // win11-enterprise-lenovo-manage-x64-zh
            "os_type": "windows", // windows
            "cloud_code": "alibaba_cloud", // alibaba_cloud
            "asset_type": "host", // ホスト
            "asset_id": "win11-enterprise-lenovo-manage-x64-zh", // win11-enterprise-lenovo-manage-x64-zh
            "product_code": "sas", // sas
            "host_uuid": "ed9aede1-9acd-****-****-16c54d441213",
            "host_name": "win11-enterprise-lenovo-manage-x64-zh" // win11-enterprise-lenovo-manage-x64-zh
        }
    ],
    "AlertNameCode": "security_event_config.event_name.ilp", // security_event_config.event_name.ilp
    "AlertUuid": "sas_7c316ebfa92e79b*****9d62d25c0",
    "MainUserId": 12,
    "CloudCode": "aliyun", // aliyun
    "AlertName": "Login with unusual IP", // 異常な IP でのログイン
    "AlertSrcProd": "Security Center", // セキュリティセンター
    "AlertSrcProdModule": "aegis_login_log", // aegis_login_log
    "AlertDescCode": "security_event_config.yd.lcid", // security_event_config.yd.lcid
    "StartTime": "2025-05-07T02:32:55.000+00:00",
    "LogUuid": "sas_3c042c0*****81a7144107",
    "EntityList": [
        {
            "entity_user_id": "1766****4675",
            "entity_uuid": "909315f7c595*******b436e65f2d4",
            "entity_type": "host", // ホスト
            "entity_name": "win11-enterprise-lenovo-manage-x64-zh", // win11-enterprise-lenovo-manage-x64-zh
            "os_type": "windows", // windows
            "cloud_code": "alibaba_cloud", // alibaba_cloud
            "is_asset": "1",
            "entity_id": "win11-enterprise-lenovo-manage-x64-zh", // win11-enterprise-lenovo-manage-x64-zh
            "product_code": "sas", // sas
            "host_uuid": "ed9aede1-9acd-****-****-16c54d441213",
            "host_name": "win11-enterprise-lenovo-manage-x64-zh" // win11-enterprise-lenovo-manage-x64-zh
        },
        {
            "entity_user_id": "1766****4675",
            "entity_uuid": "14447f89554d7bb****e389328",
            "entity_type": "host_account", // ホストアカウント
            "entity_name": "administrator", // administrator
            "cloud_code": "alibaba_cloud", // alibaba_cloud
            "is_asset": "0",
            "entity_id": "administrator", // administrator
            "product_code": "sas", // sas
            "host_uuid": {
                "entity_user_id": "17****4675",
                "entity_uuid": "90931****5fef0b436e65f2d4",
                "entity_type": "host", // ホスト
                "entity_name": "win11-enterprise-lenovo-manage-x64-zh", // win11-enterprise-lenovo-manage-x64-zh
                "os_type": "windows", // windows
                "cloud_code": "alibaba_cloud", // alibaba_cloud
                "is_asset": "1",
                "entity_id": "win11-enterprise-lenovo-manage-x64-zh", // win11-enterprise-lenovo-manage-x64-zh
                "product_code": "sas", // sas
                "host_uuid": "ed9aede1-9acd-****-****-16c54d441213",
                "host_name": "win11-enterprise-lenovo-manage-x64-zh" // win11-enterprise-lenovo-manage-x64-zh
            },
            "username": "administrator" // administrator
        },
        {
            "is_private": "0",
            "entity_name": "221.**.17.122",
            "ip": "221.**.17.122",
            "is_asset": "0",
            "entity_id": "221.**.17.122",
            "product_code": "sas", // sas
            "entity_user_id": "176****4104675",
            "op_code": "6",
            "entity_uuid": "d41d8cd98f00b****800998ecf8427e",
            "entity_type": "ip", // IP
            "ip_version": "v4", // v4
            "cloud_code": "alibaba_cloud", // alibaba_cloud
            "net_connectDir": "in", // in
            "aliuid": "1766****4675",
            "op_level": "1",
            "malware_type": "${aliyun.siem.sas.alert_tag.login_unusual_ip}" // ${aliyun.siem.sas.alert_tag.login_unusual_ip}
        }
    ],
    "SubUserName": "user1", // user1
    "OccurTime": "2025-05-07T02:32:55.000+00:00",
    "AlertDesc": "The IP address that is used to log on to the server is not within the IP addresses that you specify. We recommend that you check whether the logon is valid.", // サーバーへのログインに使用される IP アドレスが、指定した IP アドレスの範囲内にありません。ログインが有効かどうかを確認することをお勧めします。
    "GmtCreate": "2025-05-08T04:01:47.000+00:00",
    "AlertNameEn": "Login with unusual IP", // 異常な IP でのログイン
    "Id": 123,
    "IncidentUuid": "355955f705b34*****4232a"
}

describeSubUserInfo

複数アカウント管理シナリオにおいて、管理アカウントまたは委任された管理者アカウントによって制御されるメンバーアカウントを取得します。

パラメータの説明

パラメータ	説明
input	実際の意味はなく、空のままにすることができます。

出力例

[
    {
        "SubUserId": "12"
    },
    {
        "SubUserId": "23"
    }
]