O Agentic SOC usa os recursos de gerenciamento de múltiplas contas do Resource Directory (RD) para gerenciar e analisar centralmente logs de segurança de todas as contas. Este tópico descreve como configurar essa solução para detecção unificada de ameaças, resposta a eventos e operações de segurança.
Visão geral
Tipos de conta
|
Tipo de conta |
Descrição |
Responsabilidades |
|
Conta de gerenciamento (MA) |
Conta Alibaba Cloud que concluiu a verificação de identidade empresarial. É a criadora e administradora de nível superior do diretório de recursos, com controle total sobre a organização. |
Cria a estrutura organizacional, convida ou cria membros e designa administradores delegados para services específicos. Um diretório de recursos possui exatamente uma conta de gerenciamento. |
|
Conta de membro |
Conta Alibaba Cloud que ingressa em um diretório de recursos para hospedar services ou projetos específicos. |
Executa services na própria conta e ativa services de log para os products Alibaba Cloud necessários, conforme as políticas de gerenciamento. |
|
Conta de administrador delegado |
Conta de membro designada pela conta de gerenciamento para executar funções de gerenciamento em um service específico da Alibaba Cloud (Security Center neste tópico). |
Adquire e configura o Agentic SOC, gerencia e analisa centralmente os logs de segurança de todas as contas de membro abrangidas e arca com os custos do Agentic SOC e do armazenamento de logs. |
Exemplo de configuração
O exemplo a seguir apresenta uma estrutura típica de múltiplas contas para o Agentic SOC:
-
Estrutura do diretório de recursos:
Conta de gerenciamento: Conta A
Contas de membro: Contas B, C, D e E
-
Plano de gerenciamento:
A Conta A designa a Conta B como administradora delegada.
A Conta B gerencia centralmente a integração de logs, a detecção de ameaças e o tratamento de eventos das contas C, D e E.
Funcionamento
Os pilares do gerenciamento de múltiplas contas do Agentic SOC são a delegação de permissões e a centralização de dados. Por meio do Resource Directory, a conta de gerenciamento (MA) delega responsabilidades de gerenciamento de segurança a uma conta de membro designada (a conta de administrador delegado) e centraliza os dados de log dos products Alibaba Cloud das contas de membro na instância do Agentic SOC do administrador delegado para análise. O fluxo de trabalho é o seguinte:
Geração de logs: Os logs dos products Alibaba Cloud em cada conta de membro — como Web Application Firewall (WAF) e Cloud Firewall — são gravados no Simple Log Service (SLS) dessa conta.
Coleta centralizada: O service Agentic SOC do administrador delegado usa funções vinculadas ao service para ler dados de log em tempo real do SLS de cada conta de membro.
Análise unificada: Todos os logs coletados fluem para a instância do Agentic SOC do administrador delegado, permitindo detecção e análise unificadas de ameaças.
Escopo
Antes de começar, certifique-se de que:
Todas as contas (conta de gerenciamento e contas de membro) pertencem à mesma empresa e concluíram a verificação de identidade empresarial.
A integração de logs atualmente suporta apenas logs de products Alibaba Cloud.
Integração de logs de múltiplas contas
Etapa 1: Adquirir e ativar o Agentic SOC
O administrador delegado adquire e ativa o service Agentic SOC. Para mais informações, consulte Purchase and enable Agentic SOC.
A ativação do Agentic SOC nas contas de membro não afeta a integração de logs.
A integração de logs em cenários de múltiplas contas suporta apenas o modo Real-time Consumption. O sistema não persiste automaticamente os logs brutos. Para rastrear, auditar ou analisar logs históricos, adquira Agentic SOC (Log Storage Capacity) (ative o service Log Management).
Etapa 2: Criar uma estrutura de diretório de múltiplas contas
-
Ativar um diretório de recursos Se esta for sua primeira vez usando o Resource Directory, faça login no console Resource Management com a conta de gerenciamento. No painel de navegação à esquerda, escolha Resource Directory > Overview.
Clique em Enable Resource Directory e siga as instruções na tela para ativar o Resource Directory. Para mais informações, consulte Enable a resource directory.
-
Adicionar contas de membro No diretório de recursos, adicione membros usando um dos métodos abaixo:
Criar um membro: No painel de navegação à esquerda, escolha para criar uma conta de recurso. Para mais informações, consulte Create a member.
Convidar um membro: Escolha para adicionar contas Alibaba Cloud existentes ao diretório de recursos. Para mais informações, consulte Invite an Alibaba Cloud account to join a resource directory.
-
Definir o administrador delegado No painel de navegação à esquerda, escolha . Na linha Security Center, clique em Manage na coluna Actions. Adicione a conta que adquiriu o Agentic SOC como administradora delegada para o service confiável. Para mais informações, consulte Add a delegated administrator account.
ImportanteApós adicionar um administrador do Security Center, essa conta também se torna administradora do Security Center - Threat Analysis.
Etapa 3: Adicionar contas de membro ao Agentic SOC
Faça login no console Security Center usando a conta de administrador delegado e acesse a página Configurações de Gerenciamento de Múltiplas Contas. No canto superior esquerdo, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.
Na aba Configure, na seção Total Monitored Accounts, clique em Account Management.
-
No painel Multi-account Management Settings, selecione as contas de membro na lista do diretório de recursos e clique em OK.
ImportanteO sistema cria automaticamente duas funções vinculadas ao service para cada conta de membro adicionada:
AliyunServiceRoleForSasRdeAliyunServiceRoleForSasCloudSiem. Essas funções concedem ao Agentic SOC as permissões mínimas necessárias para coletar dados de log das contas de membro. Para mais informações, consulte Service-linked roles for Security Center.
Etapa 4: Ativar o service de log para products cloud
Para cada conta de membro, ative o service de log dos products Alibaba Cloud relevantes (exceto o próprio Security Center). Para instruções de configuração, consulte Alibaba Cloud product log integration with SLS reference.
Logs de alerta de products de segurança no Logstore do centro de services da Alibaba Cloud — como logs de alerta do WAF e logs de alerta do Cloud Firewall — são entregues automaticamente ao Agentic SOC. Nenhuma configuração adicional é necessária para esses products.
Etapa 5: Configurar a integração entre contas
Use um dos métodos a seguir para integrar logs das contas de membro ao Agentic SOC.
Integração automática em lote
A integração automática em lote aplica políticas de acesso a várias contas e fontes de dados simultaneamente. Use este método ao integrar múltiplas contas ou quando desejar usar a política recomendada para iniciar rapidamente.
Faça login com a conta de administrador delegado. No painel de navegação à esquerda, escolha Agentic SOC > Integration Settings.
-
Clique em Batch Associate Settings e configure os parâmetros a seguir:
AvisoFull Access é uma ação de substituição. Ela desativa quaisquer políticas em execução que não estejam selecionadas na configuração atual, o que pode interromper a ingestão de dados. Proceda com cautela.
Clique em Use Recommended Policy para permitir que o sistema selecione automaticamente as fontes de dados mais valiosas com base nas melhores práticas. Esta é a maneira mais rápida de começar a analisar dados de segurança.
Parâmetro
Opções
Quando usar
Accessible Account
Increment Access: Mantém todas as políticas de acesso atualmente ativadas e adiciona as novas desta configuração.
Ideal ao adicionar novas contas ou fontes de dados sem interromper integrações existentes.
Full Access: Substitui todas as configurações de acesso existentes. Políticas não selecionadas nesta configuração serão desativadas.
Recomendado para reconfigurações completas.
Accessible Account
Selecione as contas de membro a serem integradas.
—
Alibaba Cloud Services
Selecione os services cloud e suas respectivas fontes de dados para ingestão.
—
Auto-Add New Data Sources
Ative para incluir automaticamente novos Logstores criados no escopo da source de dados atual.
Reduz a manutenção manual à medida que novos Logstores são adicionados.
-
Clique em OK. O sistema ingere automaticamente logs de todos os Logstores ativados para as contas selecionadas e ativa as políticas de acesso correspondentes.
ImportanteNovas políticas de acesso podem levar algum tempo para serem implantadas e inicializadas.
Para verificar o status da integração, retorne à lista de integrações, localize o product e clique em Multi-account Access Settings na coluna Actions. Na aba Access Policy, clique em Multi-account Access na coluna Actions da source de dados desejada.
Integração manual
Opte pela integração manual quando precisar configurar um product específico individualmente.
Faça login com a conta de administrador delegado. No painel de navegação à esquerda, escolha Agentic SOC > Integration Settings.
-
Localize o product cloud a ser integrado e clique em Multi-account Access Settings na coluna Actions.
ImportanteA integração de múltiplas contas suporta apenas products Alibaba Cloud.
-
Na coluna Actions do modelo de política desejado, clique em Multi-account Access. O painel de configuração de integração de contas será exibido.
O sistema fornece modelos de política de integração predefinidos para products Alibaba Cloud. Esses modelos não podem ser modificados.
-
Clique em Batch Add Account Settings, configure os parâmetros a seguir e clique em OK:
Accounts: O sistema lista todas as contas que o administrador delegado pode gerenciar, excluindo contas já integradas. Selecione uma ou mais contas.
Policy Status: Defina se a política deve ser ativada imediatamente.
-
Aguarde aproximadamente um minuto para que as contas recém-adicionadas apareçam na lista de integrações.
O sistema identifica as informações do Logstore usando a API de consulta de logs de cada product cloud ou as regras padrão de nomenclatura de Logstore. Em seguida, recupera todos os logs das contas de membro integradas que correspondem ao modelo de integração.
-
Após a conclusão da integração, uma source de dados é criada automaticamente para cada conta de membro com as seguintes propriedades:
Data Source Name: Nome do modelo de integração\_ID da Região\_UID da conta de membro
Data Source Type: Custom Log Service
Account UID/Username: UID e nome de usuário da conta de membro
Uma source de dados é criada para a conta de membro mesmo que a política não esteja ativada.
Análise de logs de múltiplas contas
Após configurar a integração, o administrador delegado pode executar as seguintes operações nos dados de todas as contas de membro no console Agentic SOC:
Detecção unificada de ameaças: Use Configure threat detection rules para executar detecção em tempo real nos dados de log de todas as contas.
Tratamento centralizado de eventos: Visualize e trate alertas de todas as contas de membro na página Security Events.
Resposta automatizada: Crie playbooks automatizados usando Response Orchestration para lidar com eventos de segurança entre contas automaticamente.
Rastreamento global de logs: Pesquise e rastreie logs brutos de todas as contas de membro usando Log Management.
Remover uma conta de membro
Caso não precise mais dos dados de log de uma conta de membro, cancele manualmente sua política de integração.
Cancelar a integração não exclui a source de dados. Gerencie as sources de dados na aba de gerenciamento de sources de dados, se necessário.
Na aba Multi-account Access Settings, clique em Multi-account Access na coluna Actions do modelo de integração.
No painel de configuração de integração de contas, desative a política e clique em Remove na coluna Actions da conta correspondente.
(Opcional) Excluir a source de dados: Na página de gerenciamento de sources de dados, pesquise a source de dados usando o formato de nomenclatura "Nome do modelo de integração\_ID da Região\_UID da conta de membro" e clique em Delete.
Perguntas frequentes
Não consigo encontrar a conta que desejo designar como administrador delegado
Verifique dois pontos: primeiro, confirme se a conta foi adicionada com sucesso como membro ao diretório de recursos. Segundo, certifique-se de estar conectado como a conta de gerenciamento — apenas a conta de gerenciamento pode designar um administrador delegado.
O status da integração mostra "Failed" ou "No Data" por muito tempo
Realize as verificações a seguir nesta ordem:
Service de log não ativado na conta de membro: Entre em contato com o proprietário da conta de membro para confirmar se o service de log do product Alibaba Cloud relevante está ativado e entregando logs ao SLS. Isso é pré-requisito para a coleta de dados.
Conta fora do escopo de gerenciamento do Agentic SOC: No console Security Center do administrador delegado, acesse System Configuration > Multi-account Management e confirme se a conta de membro está selecionada.
Funções vinculadas ao service não criadas: No console Resource Access Management (RAM) da conta de membro, acesse a página Roles e verifique se
AliyunServiceRoleForSasRdeAliyunServiceRoleForSasCloudSiemexistem. Caso contrário, remova a conta de membro do Agentic SOC e adicione-a novamente para acionar a criação das funções.Integração ainda em inicialização: A integração leva tempo para ser concluída. Aguarde alguns minutos e verifique novamente.