:セキュリティセンターのアラートをSimple Log Serviceに取り込む

Security Centerコンソールでのアラート通知方法の設定

1. にログインします。Security Centerコンソール.

2. 左側のナビゲーションウィンドウで、[設定] をクリックします。

3. [通知] タブの [DingTalkチャットボット通知設定] セクションで、[チャットボットの追加] をクリックします。

   

4. [DingTalkチャットボットの追加] パネルでパラメーターを設定し、[追加] をクリックします。

   Webhook URLパラメーターを、アラート取り込みアプリケーションの作成後に生成されるインターネットwebhook URLのフルパスに設定します。 詳細は、「Webhook URL の取得」を参照してください。 その他のパラメーターについては、「DingTalkチャットボットの追加」をご参照ください。

セキュリティセンターのアラート解析

Security Centerは、脆弱性、ベースラインリスク、セキュリティイベント、およびAccessKeyペアのリークが検出されるとアラートを生成します。 次の表では、さまざまな種類のアラートのフィールドについて説明します。

• 脆弱性の警告

  項目	説明	Simple Log Serviceとの関係のマッピング
  instanceName	Security Centerによって保護されているインスタンスの名前。たとえば、Elastic Compute Service (ECS) インスタンスの名前。	instanceNameフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  instanceId	Security Centerによって保護されているインスタンスのID (ECSインスタンスのIDなど) 。	instanceIdフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  alias_name	脆弱性のエイリアス。	alias_nameフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  internetIp	IP アドレスです。	internetIpフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  intranetIp	内部IPアドレス。	intranetIpフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  uuid	サーバーの汎用一意識別子 (UUID) 。	uuidフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  aliUid	Alibaba Cloud アカウントの ID。	aliUidフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  時間	アラートのトリガー時刻。	時間フィールドは、Simple Log Serviceでサポートされているアラートのalert_timeフィールドとfire_timeフィールドにマップされます。

• ベースラインリスクのアラート

  項目	説明	Simple Log Serviceとの関係のマッピング
  instanceName	Security Centerによって保護されているインスタンスの名前 (ECSインスタンスの名前など) 。	instanceNameフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  instanceId	Security Centerによって保護されているインスタンスのID (ECSインスタンスのIDなど) 。	instanceIdフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  type_alias	中国语のチェックタイプのエイリアス。	type_aliasフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  risk_name	リスクの名前。	risk_nameフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  internetIp	IP アドレスです。	internetIpフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  intranetIp	内部IPアドレス。	intranetIpフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  uuid	サーバーのUUID。	uuidフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  aliUid	Alibaba Cloud アカウントの ID。	aliUidフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  時間	アラートのトリガー時刻。	時間フィールドは、Simple Log Serviceでサポートされているアラートのalert_timeフィールドとfire_timeフィールドにマップされます。

• セキュリティイベントのアラート

  項目	説明	Simple Log Serviceとの関係のマッピング
  instanceName	Security Centerによって保護されているインスタンスの名前 (ECSインスタンスの名前など) 。	instanceNameフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  instanceId	Security Centerによって保護されているインスタンスのID (ECSインスタンスのIDなど) 。	instanceIdフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  instanceId
  machineIp	マシンのIPアドレス。	machineIpフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  internetIp	IP アドレスです。	internetIpフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  intranetIp	内部IPアドレス。	intranetIpフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  uuid	サーバーのUUID。	uuidフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  aliUid	Alibaba Cloud アカウントの ID。	aliUidフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  groupId	アセットグループのID。	groupIdフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  event_type	アラートのタイプ。	event_typeフィールドは、Simple Log Serviceでサポートされているアラートのalert_nameフィールドにマップされます。
  event_name	アラートの名前。	event_nameフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドとtitleフィールドにマップされます。
  op	セキュリティイベントに対して実行されるアクション。 有効な値： new: 新しいセキュリティイベントを検出します。 fix: セキュリティイベントを修正します。 verify: セキュリティイベントを検証します。	opフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマップされます。
  status	セキュリティイベントのステータス。 詳細については、「セキュリティイベントのステータス」をご参照ください。	ステータスフィールドは、Simple Log Serviceでサポートされているアラートのannotationsフィールドにマッピングされます。
  時間	アラートのトリガー時刻。	時間フィールドは、Simple Log Serviceでサポートされているアラートのalert_timeフィールドとfire_timeフィールドにマップされます。

  セキュリティイベントの状態を次の表に示します。

  有効値のstatus	説明	Simple Log Serviceのアラートステータス
  保留中	Pending	firing
  処理済み	確認済み	firing
  取引	処理中	firing
  自動取引	自動ブロッキング	firing
  無視する	無視	resolved
  障害	誤検知としてマーク	resolved
  完了	処理済み	resolved
  有効期限	期限切れ	resolved
  削除済み	削除済み	resolved
  自動取引完了	自動ブロッキング完了	resolved

• AccessKeyペアリークのアラート

  項目	説明	Simple Log Serviceとの関係のマッピング
  github_ユーザー	リークされたGitHubアカウント。	github_userフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  github_ファイル	リークされたGitHubファイル。	github_fileフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  ソース	漏れの原因。	ソースフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  github_repo	リークされたGitHubリポジトリ。	github_repoフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  accesskey_id	リークされたAccessKeyペア。	accesskey_idフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  aliUid	Alibaba Cloud アカウントの ID。	aliUidフィールドは、Simple Log Serviceでサポートされているアラートのlabelsフィールドにマップされます。
  時間	アラートのトリガー時刻。	時間フィールドは、Simple Log Serviceでサポートされているアラートのalert_timeフィールドとfire_timeフィールドにマップされます。

フィールドマッピング

次の表に、Simple Log Serviceのアラート属性とSecurity Centerのアラートフィールドの間のマッピングを示します。