すべてのプロダクト
Search

このプロダクト

    Security Center:Agentic SOC の開始

    ドキュメントセンター

    Security Center:Agentic SOC の開始

    最終更新日:Jul 02, 2026

    Security Center の Agentic SOC は、マルチクラウド環境、複数アカウント、複数製品にわたるアラートとログを一元管理します。対応ポリシーを適用してセキュリティ上の脅威に迅速に対処し、セキュリティ運用の効率を向上させ、潜在的なリスクを低減するのに役立ちます。

    Agentic SOC のワークフロー

    Agentic SOC のワークフローは以下の通りです。

    1. Agentic SOC サービスを有効化します。

    2. クラウド製品またはセキュリティベンダーからログを取り込みます。

    3. 事前定義またはカスタムの脅威検出ルールを設定・有効化し、収集したログを詳細に分析して、完全な攻撃チェーンを再構築します。

    4. セキュリティ上の脅威を特定し、セキュリティアラートを生成します。

    5. 複数のセキュリティアラートを集約してセキュリティイベントを生成します。

    6. 対応ポリシー (推奨またはカスタム) または自動対応オーケストレーションに基づき、関連するクラウド製品と連携して、悪意のあるエンティティのブロックや分離などのセキュリティ対策を実行します。

    重要

    現在、Alibaba Cloud、Huawei Cloud、および Tencent Cloud のログのみがセキュリティイベントを生成し、自動イベント処理を実行できます。他のセキュリティベンダーのログはアラートのみを生成でき、自動処理はサポートしていません。詳細については、「セキュリティベンダーからのログの追加」をご参照ください。

    image

    例

    この例では、Agentic SOC が自動対応オーケストレーションを使用して Web アプリケーションファイアウォール (WAF) 経由で攻撃 IP を自動的にブロックする方法を説明します。これにより、WAF を直接使用して攻撃 IP をブロックする際に発生する、正規ユーザーの誤ブロックや複雑な設定などの一般的な問題を解決します。

    前提条件

    • WAF 3.0 インスタンスを購入済みであること。

    • WAF コンソールで保護が必要なドメイン名またはクラウド製品を追加済みであること。この例では、Elastic Compute Service (ECS) インスタンスを使用します。詳細な手順については、「ECS インスタンスの WAF 保護を有効にする」をご参照ください。

      アクセス手順：左側メニューで、[Access Management] をクリックします。[Cloud Product Access] > [Access] タブを選択します。クラウド製品リストで、[ECS] を選択します。表示される [Access Assets - ECS] ダイアログボックスで、対象インスタンスの [Add Port] をクリックし、インスタンスのチェックボックスを選択し、必要に応じて [Whether a Layer 7 proxy is deployed before WAF] と [Resource Group] を設定した後、[OK] をクリックしてアクセス設定を完了します。

      image

    • WAF コンソールで [Enable Log Service for WAF] をクリックし、WAF の保護対象オブジェクトに対してログ配信を有効にしていること。詳細な手順については、「WAF の Simple Log Service を有効にする」をご参照ください。

      image

    操作手順

    手順 1：Agentic SOC の従量課金を有効化

    1. Security Center コンソールにログインします。脅威の分析と応答 ページで、Activate Pay-as-you-go をクリックします。

    2. アクティベーションページで、Enable Log Access Policy チェックボックスをオフにし、Activate and Authorize をクリックします。

      警告

      Access Policy は、Security Center、Web アプリケーションファイアウォール、Cloud Firewall、および ActionTrail から自動的にログを取り込み、取り込まれたログの実際の量に基づいて課金します。このチェックボックスを選択する際はご注意ください。この例では、Web アプリケーションファイアウォールのアクセスのみを使用し、推奨アクセス ポリシーは無効にします。

    3. 有効化後、Security Center のサービスリンクロールが自動的に承認されます。詳細については、「Security Center のサービスリンクロール」をご参照ください。

    手順 2：Web アプリケーションファイアウォールのログの取り込み

    重要

    手順 1 で Enable Log Access Policy を選択した場合、Agentic SOC は自動的に Web アプリケーションファイアウォールのログを取り込みます。この手順はスキップできます。

    1. Agentic SOC コンソールの統合センターページに移動します。ページ左上で、アセットのリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。

    2. [Web Application Firewall] 行の [Operations] 列で、アクセス設定 をクリックし、Access Policy を有効にします。

      説明

      システムは自動的に Web アプリケーションファイアウォールの Logstore を検出し、対応する Data Source に書き込みます。

    手順 3：事前定義された検出ルールを有効化

    1. Security Center コンソールで、脅威の分析と応答 > ルール管理 ページに移動します。

    2. 事前定義済み タブで、WAF 関連のルールを検索し、対応するルールの Enabling Status のスイッチをオンにします。

      たとえば、[Rule Name] フィールドで waf を検索して、[WAF Alert Malicious Payload IP Associated with Host Outbound IP] と [WAF Alert Malicious Payload DNS Associated with Host Request DNS] の 2 つの事前定義ルールを絞り込みます。両方のルールの [Enable Status] のスイッチをオンにします。

      image

    手順 4：自動対応ルールを設定

    1. Security Center コンソールで、脅威の分析と応答 > 応答オーケストレーション ページに移動します。

    2. 自動応答ルール タブで、ルールを新しく追加する をクリックします。[Event Trigger] を選択し、以下の設定を参照して[自動応答ルール]を作成します。

      設定例： [Rule Name] を waf_event_handle に設定します。[Rule Policy] セクションで、[Feature] を incident_type に、[Condition] を in に、[Condition Value] を net-attack に設定します。[Rule Action] セクションで、[Action] を [Run Playbook] に、[Specific Action] を [Use System Recommended Built-in Playbook] に設定し、[OK] をクリックします。

      image

    手順 5：IP ブロック結果の確認

    1. WAF に追加された ECS インスタンスで攻撃が発生した後、セキュリティイベントの処理 ページで対応するイベントを表示します。

    2. 処理センター タブで、自動対応ルールがトリガーされた後にプレイブックが攻撃 IP に対して発行した対応ポリシーと対応タスクを表示します。

      • 自動対応ルールによって作成された対応ポリシーを表示します

        [Security Center] > [Response Center] ページで、[Response Policies] タブをクリックして、自動対応ルールによって作成された対応ポリシーを表示します。ページ上部の統計バーには、対応ポリシーの数、有効なポリシー、無効なポリシー、対応タスク、ブロック中の IP、隔離中のファイル、終了したプロセスが表示されます。ポリシーリストには、ポリシー ID、エンティティオブジェクト、エンティティタイプ、プレイブック名 (例： [Built-in Alibaba Cloud WAF Block Inbound High-risk IP])、プレイブックパラメーター、対象アカウント、ポリシーのステータスなどの列が含まれます。ポリシーのステータスが [Valid] と表示されると、自動ブロックルールが有効になったことを示します。

        image

      • 自動対応ルールによって作成された対応タスクを表示します

        [Security Center] > [Response Center] ページで、[Response Tasks] タブをクリックして、自動対応ルールによって作成された対応タスクのリストを表示します。リストには、[Task ID]、[Entity Object]、[Entity Type]、[Response Component]、[Task Status] などの列が含まれます。タスクのステータスが [In Effect] と表示されると、高リスク IP が [AliYunWafBlockIP] コンポーネントを通じて正常にブロックされたことを示します。IP のブロックを解除するには、[Actions] 列の [Unblock] をクリックします。

        image

    3. Web アプリケーションファイアウォールコンソールで、Agentic SOC が自動的に追加した攻撃 IP ブロックルールを表示します。

      次の手順では、WAF 3.0 コンソールを例に説明します。

      1. Web アプリケーションファイアウォール 3.0 コンソールにログインします。トップメニューバーで、WAF インスタンスのリソースグループとリージョン ([Chinese Mainland] または [Outside Chinese Mainland]) を選択します。

      2. 左側メニューで、[Protection Config] > [Core Web Protection] を選択します。

      3. [Core Web Protection] ページの [Custom Rule] セクションで、Agentic SOC が自動的に発行した攻撃 IP ブロックルールを表示します。

        ルールテンプレート名は siem_block_ip_template-1 のようになります。ルール条件は [IP is in] 攻撃 IP アドレス、ルールアクションは [Block]、タイプは [Access Control]、ステータスは有効です。

        image

    関連トピック