Security Center:セキュリティイベントの処理

前提条件

• 脅威の分析と応答機能が購入され、有効になります。 脅威の分析と対応機能の詳細については、「概要」をご参照ください。

• クラウドサービスのログが脅威分析および対応機能に追加されます。 詳細については、「クラウドサービスのログの追加」をご参照ください。

• アラートの検出とログの分析に使用される検出ルールが作成されます。 詳細については、「検出ルールの使用」をご参照ください。

セキュリティイベントの詳細の表示

1. Security Centerコンソールにログインします。 上部のナビゲーションバーで、保護するアセットのリージョンを選択します。 中国 または 全世界 (中国を除く) を選択できます。

2. 左側のナビゲーションウィンドウで、脅威の分析と応答 > セキュリティイベントの処理を選択します。

3. セキュリティイベントの処理 ページで、[Occurred Within] パラメーターの時間範囲を指定して、指定した時間範囲内のセキュリティイベントを表示します。

   セキュリティイベントは、セキュリティイベントのリスクレベル、ステータス、名前、ID、およびアセットIDに基づいてフィルタリングできます。 リスクレベルは、高リスク、中リスク、低リスクであり、状態は未処理、処理、失敗、処理済みです。

   

4. セキュリティイベントの処理 ページで、詳細を表示するセキュリティイベントを見つけ、操作する 列の 詳細 をクリックします。

   リスクレベルに基づいて、セキュリティイベントの処理の優先度を決定できます。 次の表に、セキュリティイベントのリスクレベルを示します。

   リスクレベルのセキュリティイベント

   リスクレベル	説明
   高リスク	リスクの高いイベントが生成されると、アセットで悪意のある動作またはオブジェクトが検出されます。 リスクの高いイベントは、おそらく成功した侵入イベントです。 できるだけ早い機会にイベントをチェックして処理することをお勧めします。 例: 疑わしいプロセス-逆シェル
   中リスク	中リスクのイベントが生成されると、疑わしい悪意のある動作またはオブジェクトがアセットで検出されます。 中リスクイベントは、成功した侵入イベントであり得る。 イベントは、異常なO&M動作によってもトリガーされる可能性があります。 例: 異常なログイン 中リスクのイベントは、資産が攻撃される可能性があることを示します。 イベントの詳細を表示し、リスクが存在するかどうかを確認することを推奨します。 リスクが存在する場合は、リスクを処理します。
   低リスク	リスクの低いイベントが生成された場合、侵入が成功したか、アセットが外部からのスキャンや攻撃を継続して受けている可能性があります。 例: Access from 106.11.XX.XX 資産のセキュリティ要件が高い場合は、リスクの低いイベントに注意してください。

5. イベントの詳細ページで、セキュリティイベントに関する情報をさまざまなタブで表示します。 下表に各タブを説明します。

   タブ	説明
   イベント情報	このタブには、セキュリティイベントが属するAlibaba Cloudアカウント、イベントのリスクレベル、説明、発生時間、イベントの影響を受ける資産などの情報が表示されます。 影響を受けるアセットに関する情報を表示するには、影響を受けたアセット セクションでアセットを見つけ、操作する 列の 詳細 にポインターを移動します。 表示されるツールチップで、アセット名、パブリックIPアドレスとプライベートIPアドレス、オペレーティングシステムなどのアセット情報を表示します。
   攻撃のタイムライン	このタブには、イベントに集約されたアラートのタイムラインが表示されます。 このタブでは、イベントの開発プロセスを表示できます。 これは、このようなイベントの処理と防止に役立ちます。 アラートアイコンをクリックすると、アラートに関する情報を表示できます。
   セキュリティアラート	このタブには、イベントに集約されたアラートが表示されます。 アラートとアラートに関連付けられている例外に関する情報を表示するには、アラートを見つけて [操作] 列の 詳細 をクリックします。
   イベントのトレーサビリティ	このタブには、イベントトレース図と元のデータのプレビューが表示されます。 イベントソーストレース機能は、ビッグデータ分析エンジンを使用して、さまざまなクラウドサービスからのログを処理、集約、および視覚化します。 そして、解析結果に基づいてイベントトレース図を生成する。 これにより、イベントの原因を特定し、できるだけ早い機会にイベント処理ポリシーを構成できます。 ノードに関する情報を表示するには、ダイアグラム内のノードをクリックします。 現在のページに表示されているイベントトレース図をダウンロードするには、トレースイメージのスタイルを指定してノードの凡例を表示し、イベントのトレーサビリティ タブの右上隅にある、、凡例のアイコンをクリックします。 説明 イベントソーストレース機能は、次の条件をすべて満たすセキュリティイベントをサポートします。 イベントに集約されたアラートは、Security Centerによって報告されます。 イベント追跡図は、イベントに集約されるアラートに関与するエンティティのコンテキストログから再現することができる。 エンティティには、IPアドレス、プロセス、ファイル、ファイルパス、ログオンイベント、攻撃ペイロードが含まれます。

セキュリティイベントの処理

システムのセキュリティを強化するために、脅威分析および対応機能によって検出されるセキュリティイベントをできるだけ早く処理することを推奨します。 また、高リスクのセキュリティイベントをできるだけ早く処理することを推奨します。 セキュリティイベントを手動で処理したり、自動イベント処理を開始したりできます。

• セキュリティイベントを手動で処理する: イベントのリスクレベルとビジネスシナリオに基づいて、セキュリティイベントを確認および処理できます。 この方法は、専門知識を使用して特定し、処理する必要がある複雑なセキュリティイベントや新しいタイプの未知の脅威に適しています。

• 自動イベント処理の開始: システムは、設定されたプレイブックとルールに基づいてセキュリティイベントを自動的に処理します。 たとえば、システムは感染したホストを隔離したり、疑わしいIPアドレスをブロックしたりします。 この方法は、既知で明確に定義されたセキュリティイベントや、迅速に処理する必要がある複雑さの低い脅威に適しています。 例えば、システムは、大量の同様の低リスク警告を自動的に処理することができる。

次に何をすべきか

処分センターを見る

脅威分析および対応機能でサポートされている廃棄センターで、イベント処理の詳細を一元的に表示できます。 処分センターには、処理エンティティディメンションのイベント処理ポリシーとタスクが表示され、ポリシーとタスクを管理できます。

処理ポリシーは、処理エンティティのシナリオ固有のイベント処理の詳細を記述します。 処理タスクは、スコープ固有のイベント処理の詳細を記述します。 シナリオはプレイブックであり、スコープは処理されたイベントが属するクラウドアカウントです。

対処ポリシー

処理ポリシーは、アラートが生成されるエンティティのイベント処理の詳細を記述します。 エンティティは、IPアドレス、ファイル、またはプロセスです。 処理ポリシーを表示して、セキュリティイベントのエンティティ、シナリオ、およびスコープを取得できます。

ポリシーを処理するためのデータソース:

• セキュリティイベントの処理 ページでイベントを手動で処理した場合の結果です。 詳細については、「セキュリティイベントの処理」をご参照ください。

• SOARプレイブックの自動実行の結果。 詳細については、「SOARの使用」をご参照ください。

処理ポリシーに関する情報を表示するには、左側のナビゲーションウィンドウで 脅威の分析と応答 > 処理センター を選択します。 次に、処理ポリシー タブをクリックします。

• エンティティオブジェクト / エンティティの特性 列で、エンティティをクリックして、エンティティのコンテキスト、Alibaba Cloud脅威インテリジェンス、および関連するアラートを表示できます。

• 関連ソース 列で、処理ポリシーのソースをクリックして、処理ポリシーに関連するアラート、イベント、またはプレイブックを表示できます。

• 操作する 列で、タスクの表示 をクリックします。 処理タスク ページで、処理ポリシーに関連するタスクに関する情報を表示できます。

タスクの処理

処理タスクを表示して、検出された悪意のあるエンティティと、関連するクラウドサービスのイベント処理ステータスを取得できます。 たとえば、Cloud Firewallによってブロックされている悪意のあるIPアドレスのステータスを表示できます。 IPアドレスがブロックされているか、ブロックされていないか、ブロックされていないか、ブロックされているかを確認できます。

タスクの処理に関する情報を表示するには、左側のナビゲーションウィンドウで 脅威の分析と応答 > 処理センター を選択します。 次に、処理タスク タブをクリックします。

• 処理タスクに関連付けられている処理ポリシーが更新された場合、または処理タスクの実行に失敗した場合は、操作する 列の 再試行 をクリックしてタスクを再実行できます。

• タスクの実行後、クラウドサービスがエンティティのIPアドレスをブロックし、ブロックアクションが不要であることを確認した場合、操作する 列の ブロックの解除 をクリックしてIPアドレスのブロックを解除できます。

アラートの表示

Security Center、Web Application Firewall (WAF) 、およびCloud Firewallのアラートログが脅威分析および対応機能に追加された後、アラートの生データをリアルタイムで表示できます。 これにより、クロスプラットフォームのアラートを一元管理できます。 これにより、セキュリティログの監視プロセスが簡素化され、セキュリティO&Mの効率が向上します。これにより、セキュリティが向上し、応答メカニズムが最適化されます。

1. 左側のナビゲーションウィンドウで、脅威の分析と応答 > セキュリティアラートを選択します。

   説明

   Security Centerの セキュリティアラートの処理 ページが表示されている場合は、右上隅にある グローバルセキュリティアラート をクリックして、脅威の分析と対応機能の セキュリティアラート ページに切り替えます。

2. オプションです。 セキュリティアラート ページで、フィルター条件を設定します。

   アラートのデータソースは、Aliyun Cloud Firewall、Aliyun Cloud Security Center、Aliyun Siem、Aliyun Web Application FirewallなどのCloud Serviceドロップダウンリストから選択できます。

   説明

   Aliyun Siemを選択した場合、事前定義およびカスタム検出ルールに基づいて生成されたアラートを表示できます。

3. 情報を表示するアラートを見つけて、操作する 列の 詳細 をクリックします。

   情報には、影響を受ける資産、発生時刻、データソース、アカウント受信アラート、および関連する例外が含まれます。

関連ドキュメント

• 定義されているセキュリティイベントや迅速な処理が必要な脅威の場合は、脅威分析および応答機能のSOARを使用して、複数のクラウドサービスと連携して、設定されたルールとプレイブックに基づいた自動セキュリティ応答を実装できます。 詳細については、「SOARの使用」をご参照ください。

• API操作を呼び出して、セキュリティイベント処理に関する情報を照会し、セキュリティイベントを処理できます。 サポートされているAPI操作の詳細については、「Event Response」をご参照ください。