Security Center:Get started with Agentic SOC

Faça login no console do Security Center. Na página Agentic SOC, clique em Activate Pay-as-you-go.

Na página de ativação, desmarque a caixa de seleção Enable Log Access Policy e clique em Activate and Authorize.

Após a ativação, a função vinculada ao service para o Security Center é autorizada automaticamente. Para mais informações, consulte Service-linked role for Security Center.

Acesse a página Integration Center no console do Agentic SOC. No canto superior esquerdo da página, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.

Na coluna Operations da linha Web Application Firewall, clique em Access Settings e ative a Access Policy.

No console do Security Center, acesse a página Agentic SOC > Management > Detection Rules.

Na aba Predefined, pesquise regras relacionadas ao WAF e ative o interruptor Enabling Status das regras correspondentes.

Por exemplo, pesquise por waf no campo Rule Name para filtrar as duas regras predefinidas: WAF Alert Malicious Payload IP Associated with Host Outbound IP e WAF Alert Malicious Payload DNS Associated with Host Request DNS. Ative o interruptor Enable Status para ambas as regras.

As regras de detecção predefinidas cobrem apenas ataques gerais ao WAF, como a detecção de payloads maliciosos do OWASP Top 10. Elas não suportam eventos de segurança de API do WAF como gatilhos. Para bloquear endereços IP automaticamente com base em logs de segurança de API do WAF, assine e entregue esses logs a um Logstore do Simple Log Service. Em seguida, crie uma regra de detecção personalizada no Agentic SOC e configure uma regra de resposta automatizada que chame a OpenAPI do WAF para bloquear os endereços IP.

No console do Security Center, acesse a página Agentic SOC > Management > Response Rules.

Na aba Automated Rules, clique em Create Rule. Selecione Event Trigger e conclua a criação das Automated Rules seguindo a configuração abaixo.

Exemplo de configuração: Defina o Rule Name como waf_event_handle. Na seção Rule Policy, defina Feature como incident_type, Condition como in e Condition Value como net-attack. Na seção Rule Action, defina Action como Run Playbook e Specific Action como Use System Recommended Built-in Playbook, depois clique em OK.

Após ocorrer um ataque em uma instância ECS adicionada ao WAF, visualize o evento correspondente na página Incidents.

Na aba Incident Response, visualize as políticas de resposta e as tarefas de resposta que o playbook emitiu para o IP de ataque após o acionamento da regra de resposta automatizada.

• Visualize as políticas de resposta criadas pela regra de resposta automatizada

  Na página Security Center > Incident Response, clique na aba Response Policies para ver as políticas de resposta criadas pela regra automatizada. A barra de estatísticas no topo da página exibe o número de políticas de resposta, políticas válidas, políticas inválidas, tarefas de resposta, IPs sendo bloqueados, arquivos sendo isolados e processos encerrados. A lista de políticas inclui colunas como Policy ID, Entity Object, Entity Type, Playbook Name (por exemplo, Built-in Alibaba Cloud WAF Block Inbound High-risk IP), Playbook Parameters, Target Account e Policy Status. Quando o status da política mostrar Valid, a regra de bloqueio automatizado entrou em vigor.

  

• Visualize as tarefas de resposta criadas pela regra de resposta automatizada

  Na página Security Center > Incident Response, clique na aba Response Tasks para ver a lista de tarefas de resposta criadas pela regra automatizada. A lista inclui colunas como Task ID, Entity Object, Entity Type, Response Component e Task Status. Quando o status da tarefa mostrar In Effect, o IP de alto risco foi bloqueado com sucesso pelo componente AliYunWafBlockIP. Para desbloquear o IP, clique em Unblock na coluna Actions.

  

No console do Web Application Firewall, visualize a regra de bloqueio de IP de ataque que o Agentic SOC adicionou automaticamente.

As etapas a seguir usam o console do WAF 3.0 como exemplo.

1. Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, escolha Protection Config > Core Web Protection.

3. Na página Core Web Protection, na seção Custom Rule, visualize a regra de bloqueio de IP de ataque emitida automaticamente pelo Agentic SOC.

   O nome do modelo de regra é semelhante a siem_block_ip_template-1. A condição da regra é IP is in nos endereços IP de ataque, a ação da regra é Block, o tipo é Access Control e o status é Enabled.