すべてのプロダクト
Search

このプロダクト

    Security Center:Agentic SOC の開始

    ドキュメントセンター

    Security Center:Agentic SOC の開始

    最終更新日:Sep 10, 2026

    Security Center の Agentic SOC は、マルチクラウド環境、複数アカウント、複数製品にまたがるアラートとログを一元管理します。応答ポリシーを適用してセキュリティ上の脅威に迅速に対処し、セキュリティ運用の効率向上と潜在的リスクの低減を支援します。

    Agentic SOC のワークフロー

    Agentic SOC のワークフローは次のとおりです。

    1. Agentic SOC サービスを有効化します。

    2. クラウド製品またはセキュリティベンダーからログを取り込みます。

    3. 定義済みまたはカスタムの脅威検出ルールを設定して有効化し、収集したログを詳細に分析して完全な攻撃チェーンを再構築します。

    4. セキュリティ上の脅威を特定し、セキュリティアラートを生成します。

    5. 複数のセキュリティアラートを集約してセキュリティイベントを生成します。

    6. 応答ポリシー (推奨またはカスタム) または自動応答オーケストレーションに基づいて、関連するクラウド製品と連携し、悪意のあるエンティティのブロックや隔離などのセキュリティ対策を実行します。

    重要

    現在、セキュリティイベントを生成して自動イベント処理を完了できるのは、Alibaba Cloud、Huawei Cloud、Tencent Cloud のログのみです。他のセキュリティベンダーのログはアラートのみを生成し、自動処理はサポートしていません。詳細については、「セキュリティベンダーからのログの追加」をご参照ください。

    image

    例

    この例では、Agentic SOC が自動応答オーケストレーションを使用して Web Application Firewall (WAF) を介して攻撃 IP を自動的にブロックし、正規ユーザーの誤ブロックや複雑な設定など、WAF を直接使用して攻撃 IP をブロックする際の一般的な問題を解決する方法を示します。

    前提条件

    • WAF 3.0 インスタンスを購入 済みであること。

    • WAF コンソールで保護が必要なドメイン名またはクラウド製品を追加済みであること。この例では Elastic Compute Service (ECS) インスタンスを使用します。詳細な手順については、「ECS インスタンスの WAF 保護の有効化」をご参照ください。

      アクセスワークフロー：左側メニューで、[Access Management] をクリックします。[Cloud Product Access] > [Access] タブを選択します。クラウド製品リストで [ECS] を選択します。表示される [Access Assets - ECS] ダイアログボックスで、対象インスタンスの [Add Port] をクリックし、インスタンスのチェックボックスを選択し、必要に応じて [Whether a Layer 7 proxy is deployed before WAF] と [Resource Group] を設定し、[OK] をクリックしてアクセス設定を完了します。

      image

    • WAF コンソールで [Enable Log Service for WAF] をクリックし、WAF で保護されたオブジェクトのログ配信を有効化済みであること。詳細な手順については、「WAF の Simple Log Service の有効化」をご参照ください。

      image

    操作手順

    ステップ 1：Agentic SOC の従量課金の有効化

    1. Security Center コンソール にログインします。脅威の分析と応答 ページで、従量課金の有効化 をクリックします。

    2. 有効化ページで、ログ取り込みポリシーの有効化 チェックボックスをオフにし、有効化と権限付与 をクリックします。

      警告

      アクセス ポリシー は、Security Center、Web Application Firewall、Cloud Firewall、ActionTrail から自動的にログを取り込み、取り込まれたログの実際の量に基づいて課金します。このチェックボックスを選択する際はご注意ください。この例では、Web Application Firewall のアクセスのみを使用し、推奨アクセス ポリシー は無効にしています。

    3. 有効化後、Security Center のサービスリンクロールが自動的に承認されます。詳細については、「Security Center のサービスリンクロール」をご参照ください。

    ステップ 2：Web Application Firewall ログの取り込み

    重要

    ステップ 1 で ログ取り込みポリシーの有効化 を選択した場合、Agentic SOC は自動的に Web Application Firewall ログを取り込みます。このステップはスキップできます。

    1. Agentic SOC コンソールの統合センターページ に移動します。ページの左上隅で、資産が配置されているリージョン ([中国本土]または[中国本土以外]) を選択します。

    2. [Web Application Firewall] 行の [Operations] 列で、アクセス設定 をクリックし、アクセス ポリシー を有効にします。

      説明

      システムは自動的に Web Application Firewall Logstore を検出し、対応する データソース に書き込みます。

    ステップ 3：定義済み検出ルールの有効化

    1. Security Center コンソール で、脅威の分析と応答 > 管理 > ルール管理 ページに移動します。

    2. 事前定義済み タブで、WAF 関連のルールを検索し、対応するルールの 状態 スイッチをオンにします。

      たとえば、[Rule Name] フィールドで waf を検索して、[WAF Alert Malicious Payload IP Associated with Host Outbound IP] と [WAF Alert Malicious Payload DNS Associated with Host Request DNS] の 2 つの定義済みルールをフィルタリングします。両方のルールの [Enable Status] スイッチをオンにします。

      image

      定義済みの検出ルールは、OWASP Top 10 の悪意のあるペイロード検出など、一般的な WAF 攻撃のみをカバーします。WAF API セキュリティイベントをトリガーとしてサポートしていません。WAF API セキュリティログに基づいて IP アドレスを自動的にブロックするには、これらのログを Simple Log Service Logstore にサブスクライブして配信します。次に、Agentic SOC でカスタム検出ルールを作成し、WAF OpenAPI を呼び出して IP アドレスをブロックする自動応答ルールを設定します。

    ステップ 4：自動応答ルールの設定

    1. Security Center コンソール で、脅威の分析と応答 > 管理 > 応答オーケストレーション ページに移動します。

    2. 自動応答ルール タブで、ルールを新しく追加する をクリックします。[Event Trigger] を選択し、次の設定を参照して 自動応答ルール の作成を完了します。

      設定例： [Rule Name] を waf_event_handle に設定します。[Rule Policy] セクションで、[Feature] を incident_type、[Condition] を in、[Condition Value] を net-attack に設定します。[Rule Action] セクションで、[Action] を [Run Playbook] に、[Specific Action] を [Use System Recommended Built-in Playbook] に設定し、[OK] をクリックします。

      image

    ステップ 5：IP ブロック結果の確認

    1. WAF に追加された ECS インスタンスで攻撃が発生した後、セキュリティイベントの処理 ページで対応するイベントを表示します。

    2. 処理センター タブで、自動応答ルールがトリガーされた後にプレイブックが攻撃 IP に対して発行した応答ポリシーと応答タスクを表示します。

      • 自動応答ルールによって作成された応答ポリシーの表示

        [Security Center] > 処理センター ページで、[Response Policies] タブをクリックして、自動応答ルールによって作成された応答ポリシーを表示します。ページ上部の統計バーには、応答ポリシーの数、有効なポリシー、無効なポリシー、応答タスク、ブロック中の IP、隔離中のファイル、および終了したプロセスが表示されます。ポリシーリストには、ポリシー ID、エンティティオブジェクト、エンティティタイプ、プレイブック名 (例： [Built-in Alibaba Cloud WAF Block Inbound High-risk IP])、プレイブックパラメータ、ターゲットアカウント、ポリシーステータスなどの列が含まれます。ポリシーステータスが [Valid] と表示されている場合、自動ブロックルールが有効になっています。

        image

      • 自動応答ルールによって作成された応答タスクの表示

        [Security Center] > 処理センター ページで、[Response Tasks] タブをクリックして、自動応答ルールによって作成された応答タスクのリストを表示します。リストには、[Task ID]、[Entity Object]、[Entity Type]、[Response Component]、[Task Status] などの列が含まれます。タスクステータスが [In Effect] と表示されている場合、高リスク IP は [AliYunWafBlockIP] コンポーネントを介して正常にブロックされています。IP のブロックを解除するには、[Actions] 列の [Unblock] をクリックします。

        image

    3. WAF コンソールで、Agentic SOC が自動的に追加した攻撃 IP ブロックルールを表示します。

      以下の手順では、WAF 3.0 コンソールを例として使用します。

      1. Web Application Firewall 3.0 コンソール にログインします。上部メニューで、WAF インスタンスのリソースグループとリージョン ([中国本土]または[中国本土以外]) を選択します。

      2. 左側メニューで、[Protection Config] > [Core Web Protection] を選択します。

      3. [Core Web Protection] ページの [Custom Rule] セクションで、Agentic SOC が自動的に発行した攻撃 IP ブロックルールを表示します。

        ルールテンプレート名は siem_block_ip_template-1 のようになります。ルール条件は [IP is in] 攻撃 IP アドレス、ルールアクションは [Block]、タイプは [Access Control]、ステータスは有効です。

        image

    関連トピック