Security Center:Configure observability monitoring and alerts for Agentic SOC

Etapa 1: Ativar o recurso de observabilidade em nuvem

Ative o recurso de observabilidade em nuvem no console do Agentic SOC para entregar logs de monitoramento ao Simple Log Service (SLS).

1. Acesse a página de configuração da Cloud Observability****

   1. Faça login no console do Security Center - System Settings - Feature Settings. Na parte superior da página, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.

   2. Na aba Settings, clique em Cloud Observability.

2. Ative o recurso

   Na seção Basic Settings da aba de configuração da Cloud Observability, ative a chave Enable Cloud Observability.

3. Configure as informações de armazenamento de logs

   Na seção Detailed Configuration da aba de configuração da Cloud Observability, especifique os seguintes parâmetros:

   • Monitoring Module: Ative as chaves correspondentes aos tipos de log que deseja entregar.

     • Module Health: Monitora o status de execução, conexão e desempenho de cada módulo.

     • Usage Metering: Monitora o tráfego de ingestão de logs e a capacidade de armazenamento.

   • Log Storage Location:

     • Region: Selecione a região onde deseja armazenar os logs de observabilidade em nuvem.

       Aviso

       Não é possível alterar a região de armazenamento de logs após a configuração inicial. O sistema cria automaticamente um Project e um Logstore dedicados no SLS dentro da região selecionada.

     • Project: Criado automaticamente com base na região selecionada. Formato: sas-observability-AccountUID-RegionID.

     • Logstore Mapping: Dois Logstores são criados automaticamente.

       • health-log: Armazena logs de Module Health.

       • metering-log: Armazena logs de Usage Metering.

   • Data Retention Days: Defina o período de retenção de dados. Padrão: 30 dias.

     Nota

     Um período de retenção maior resulta em custos de armazenamento mais elevados.

4. Save Configuration: Clique em Save Configuration. O Agentic SOC iniciará a entrega de logs para o Project do SLS especificado.

   Importante

   O armazenamento de logs de observabilidade em nuvem gera taxas adicionais cobradas pelo Simple Log Service (SLS).

Procedimento

1. Na aba Cloud Observability, clique em Alert Center no canto inferior direito para acessar a página de configuração da central de alertas.

2. Na aba Alert Rules, clique em Create Alert e configure os seguintes parâmetros:

   Nota

   Para mais informações, consulte Criar uma regra de alerta.

   Parâmetro	Descrição
   Rule Name	Nome da regra de alerta.
   Check Frequency	Frequência com que o SLS verifica os resultados de consulta e análise. Hourly: Verifica os resultados de consulta e análise a cada hora. Daily: Verifica os resultados diariamente em um horário específico. Weekly: Verifica os resultados semanalmente em um dia e horário específicos. Fixed Interval: Verifica os resultados em um intervalo fixo. Cron: Verifica os resultados com base em uma expressão Cron. Nota As expressões Cron utilizam formato de 24 horas com precisão de minutos. Exemplos: 0/5 : Verifica a cada 5 minutos, começando no minuto 0. 0 0/1 *: Verifica a cada hora, começando às 00:00. 0 18 *: Verifica às 18:00 todos os dias. 0 0 1 : Verifica à meia-noite no primeiro dia de cada mês. Sintaxe de expressão Cron: Tarefas Cron.
   Query statistics	Clique na caixa de entrada para abrir a caixa de diálogo Query statistics e configurar a instrução de consulta e análise. Aba Associated report: Selecione um painel para monitorar. Aba Advanced Settings: Na lista Type, selecione um tipo de fonte de dados: Logstore: Armazena logs. Guia de início rápido para consulta e análise. Metricstore: Armazena dados de métricas. Consultar e analisar dados de métricas. Resource Data: Dados externos vinculados a uma regra de alerta específica. Criar dados de recursos. Se você selecionar Logstore ou Metricstore como Type e definir uma instrução de consulta e análise, será possível ativar o Dedicated SQL. Consulta e análise de alto desempenho e alta precisão (Dedicated SQL). Auto: O Dedicated SQL fica desativado por padrão. Caso um limite de simultaneidade seja atingido ou os resultados sejam imprecisos, o SLS tentará novamente automaticamente usando o Dedicated SQL. Enable: Utiliza o Dedicated SQL para todas as consultas e análises. Close: Desativa o Dedicated SQL. Para múltiplas consultas, utilize Set operations para correlacionar resultados. Configurar instruções de consulta.
   Group evaluation	Agrupa os resultados de consulta e análise. Configurar avaliação de grupo. Custom label: O SLS agrupa os resultados pelos campos especificados. A condição de acionamento é avaliada por grupo, gerando um alerta para cada grupo correspondente em cada intervalo de verificação. É possível especificar vários campos. No grouping: Gera um único alerta por intervalo de verificação quando a condição de acionamento é atendida. Auto label: Disponível quando Metricstore estiver selecionado em Query statistics. O SLS agrupa automaticamente os resultados por rótulos. A condição de acionamento é avaliada por grupo, gerando um alerta para cada grupo correspondente em cada intervalo de verificação.
   Trigger Condition	Define a condição que aciona o alerta e sua gravidade. Condição de acionamento Data exists: Aciona um alerta se os resultados da consulta contiverem dados. A specific number of data rows exists: Aciona um alerta se o número de linhas de dados nos resultados for igual a N. Data matches expression: Aciona um alerta se os resultados contiverem dados correspondentes à expressão. A specific number of data rows match expression: Aciona um alerta se N linhas de dados nos resultados corresponderem à expressão. Gravidade Controla a redução de ruído de alertas e o roteamento de notificações. Adicione condições baseadas em gravidade às políticas de alerta e de ação. Configurar gravidade do alerta. Simples: Selecione uma gravidade. Todos os alertas desta regra compartilharão a mesma gravidade. Condicional: Clique em Add para definir gravidades diferentes com base em condições específicas. Sintaxe de expressão de condição de alerta: Sintaxe para expressões de condição de alerta.
   Add Tag	Atributos de identificação chave-valor para alertas. Os rótulos controlam a redução de ruído e o roteamento de notificações. Adicione condições baseadas em rótulos às políticas de alerta e de ação. Adicionar rótulos e anotações.
   Add Annotation	Metadados chave-valor para alertas. As anotações controlam a redução de ruído e o roteamento de notificações. Adicione condições baseadas em anotações às políticas de alerta e de ação. Adicionar rótulos e anotações. Ative Auto-add annotations para incluir campos como __count__ nos alertas. Anotações automáticas.
   Recovery Notification	Quando a chave Recovery Notification está ativada, uma notificação de recuperação é enviada assim que o alerta for resolvido. Por exemplo, se o uso da CPU exceder 95% e posteriormente cair para 95% ou menos, uma notificação de recuperação será enviada. Configurar uma notificação de recuperação.
   Advanced settings > Consecutive trigger threshold	Número de verificações consecutivas que devem atender à condição de acionamento antes que o alerta seja disparado. Verificações que não correspondem não são contabilizadas.
   Advanced settings > No-data alert	Quando No-data alert está ativado, um alerta é disparado se as verificações consecutivas sem dados excederem o Threshold of Continuous Triggers. Para múltiplas consultas, isso se aplica ao resultado pós-operação de conjunto. Alerta de ausência de dados.
   Destination	Selecione um ou mais destinos para eventos de alerta. Eventstores: Grava eventos de alerta em um Eventstore. CloudMonitor Event Center: Envia alertas para o CloudMonitor Event Center para gerenciamento e notificação. SLS notification: Roteia alertas através do serviço de notificação do SLS usando políticas de alerta e de ação.
   Destination - Eventstore	Enable: Ative para gravar alertas no Eventstore especificado. Region: Região do Eventstore de destino. Project: Projeto do Eventstore de destino. Eventstores: Eventstore alvo para eventos de alerta. Authorization Method: Default Role: Clique em Authorize Now para autorizar a função AliyunLogETLRole a gravar alertas no Eventstore de destino. Conceder permissões a uma função padrão. Custom Role: Usa uma função personalizada para gravar alertas no Eventstore. Insira o ARN da função. Conceder permissões a uma função personalizada.
   Destination - CloudMonitor Event Center	Enable: Ative para enviar alertas ao CloudMonitor Event Center. Visualizar eventos do sistema.
   Destination - SLS notification	Enable: Ative para rotear alertas através do serviço de notificação do SLS. Alert Policy Modo simples O SLS utiliza a política de alerta dinâmica integrada (sls.builtin.dynamic) por padrão. Configure um grupo de ações. Após configurar um grupo de ações, o SLS cria automaticamente uma política de ação chamada Rule Name-Action Policy. Todos os alertas desta regra utilizarão essa política. Canais de notificação. Importante Modifique esta política de ação na página Action policies. Adicionar uma condição altera automaticamente a configuração de Alert Policy para Standard Mode. Repeat interval: Durante este intervalo, alertas repetidos acionam a política de ação apenas uma vez. Modo padrão O SLS utiliza a política de alerta dinâmica integrada (sls.builtin.dynamic) por padrão. Selecione uma política de ação integrada ou personalizada. Políticas de ação. Repeat interval: Durante este intervalo, alertas repetidos acionam a política de ação apenas uma vez. Modo avançado Selecione uma política de alerta integrada ou personalizada. Criar uma política de alerta. Selecione uma política de ação integrada ou personalizada. Políticas de ação. Você também pode alternar para Custom action policy. Mecanismo de política de ação dinâmica. Repeat interval: Durante este intervalo, alertas repetidos acionam a política de ação apenas uma vez.

3. Após concluir a configuração, clique em OK.

Exemplos de configuração