alibabacloud-cfw-ips-event

IPS アラートイベント分析

スキルの対象範囲に関する注意事項：

• このスキルでは、主なデータソースとして Aliyun CLI の cloudfw コマンドを使用します。
• ローカルのログファイル、SIEM のエクスポートデータ、ホストへの直接アクセスには依存しません。
• SSH やサーバー IP への直接接続は必要ありません。
• IP に焦点を当てた調査では、--SrcIP または --DstIP を指定して DescribeRiskEventGroup を使用してください。

シナリオの説明

Alibaba Cloud Firewall が検出した IPS（侵入防止システム）のセキュリティイベントとアラートを照会・分析し、脅威の迅速な特定と修復方法の提示を支援します。

アーキテクチャ：Cloud Firewall Service → IPS Engine → Event Detection + Attack Analysis + Protection Configuration

機能レベル：照会（読み取り専用）

データソース：すべてのデータは、Aliyun CLI コマンド（aliyun cloudfw ...）のみを通じて取得します。ログファイル、データベース、サーバーアクセス、SIEM は使用せず、CLI コマンドのみを使用します。ワークスペース内のファイルを検索しないでください。ユーザーに何も尋ねないでください。コマンドを実行してください。

主な機能：

1. アラートの概要 — 攻撃件数、ブロック件数、重大度の分布など、IPS アラートの統計情報
2. アラートイベントの詳細 — 送信元／宛先、攻撃タイプ、処理状況を含む IPS アラートイベントの詳細一覧
3. 攻撃を受けたアセットの上位一覧 — 最も多く攻撃を受けたアセットのランキング
4. 攻撃タイプの分析 — 攻撃タイプとアプリケーションの分布
5. IPS 設定状況 — 現在の IPS 動作モード、ルールの有効／無効設定、ルールライブラリのバージョン
6. 修復の推奨事項 — アラートデータに基づく優先度付きのセキュリティ対策

---

前提条件

事前確認：Aliyun CLI 3.3.3 以降が必要です aliyun version を実行して、3.3.3 以降であることを確認してください。未インストールの場合、またはバージョンが古い場合は、 curl -fsSL https://aliyuncli.alicdn.com/setup.sh | bash を実行してインストール／更新するか、 インストール手順については references/cli-installation-guide.md を参照してください。

事前確認：Aliyun CLI プラグインの更新が必要です [必須] aliyun configure set --auto-plugin-install true を実行し、自動プラグインインストールを有効にしてください。 [必須] aliyun plugin update を実行し、既存のプラグインを常に最新の状態にしてください。

[必須] CLI User-Agent — aliyun CLI のすべてのコマンド実行に、次のオプションを含める必要があります： --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

コアワークフローの開始時（CLI コマンドを実行する前）： [必須] AI モードを有効化 — エージェントスキルの実行には AI モードが必要です。 CLI コマンドを実行する前に、次のコマンドを実行してください：

aliyun configure ai-mode enable
aliyun configure ai-mode set-user-agent --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event"

[必須] すべての終了時に AI モードを無効化 — どのような理由であっても最終回答を返す前に、必ず先に AI モードを無効化してください。これは、ワークフローの成功、ワークフローの失敗、エラー／例外、ユーザーによるキャンセル、セッション終了、または CLI コマンドをこれ以上実行しないその他のあらゆる状況を含む、すべての終了経路に適用されます。 AI モードはエージェントスキルの実行時にのみ使用し、スキルの実行停止後も有効なままにしてはいけません。

aliyun configure ai-mode disable

---

認証

事前確認：Alibaba Cloud の認証情報が必要です

セキュリティルール：

• いかなる場合も、AK／SK の値を読み取り、エコー、出力、cat、表示してはいけません
• 会話やコマンドラインで、AK／SK をユーザーに直接入力するよう求めてはいけません
• リテラルの認証情報を指定して aliyun configure set を使用してはいけません
• 認証情報の状態確認には aliyun configure list のみを使用してください

aliyun configure list

有効なプロファイル（AK、STS、または OAuth ID）があるか、出力を確認してください。

有効なプロファイルがない場合は、ここで停止してください。

1. Alibaba Cloud コンソールから認証情報を取得します
2. このセッション外で認証情報を設定します（ターミナルで aliyun configure を実行するか、シェルプロファイルの環境変数を使用します）
3. aliyun configure list に有効なプロファイルが表示された後、戻って再実行します

---

RAM ポリシー

[必須] RAM 権限の事前確認： コマンドを実行する前に、現在のユーザーが必要な権限を持っていることを確認してください。

1. ram-permission-diagnose スキルを使用して、現在のユーザーの権限を確認します
2. references/ram-policies.md と照合します
3. 権限が不足している場合は処理を中断し、ユーザーに確認を求めます

必要な最低限の権限については、完全なポリシー JSON を記載した references/ram-policies.md を参照してください。

または、システムポリシー AliyunYundunCloudFirewallReadOnlyAccess をアタッチしてください。

---

パラメーターの確認

重要：パラメーターの確認 — コマンドまたは API 呼び出しを実行する前に、 ユーザーがリクエスト内ですでに必要なパラメーターを指定しているか確認してください。

• ユーザーのリクエストでパラメーター値が明示的に指定されている場合（例：「過去 7 日間の IPS アラートを確認する」は 7 日間の期間を意味します）、確認を求めずにその値を直接使用してください。
• 適切なデフォルト値があるオプションパラメーター（PageSize、CurrentPage、期間）は、ユーザーから指示がない限り、確認を求めずにデフォルト値を使用してください。
• ユーザーが明確に指定したパラメーターを再度尋ねないでください。

パラメーター名	必須／任意	説明	デフォルト値
RegionId	必須	Cloud Firewall の Alibaba Cloud リージョンです。値は cn-hangzhou（中国本土）または ap-southeast-1（香港／海外）の 2 つのみです。	cn-hangzhou（確認を求めずに直接使用します。ap-southeast-1 は、ユーザーが香港／海外／国際を明示的に指定した場合のみ使用します）
StartTime	ほとんどの API で必須	アラート検索の開始時刻（Unix タイムスタンプ、秒単位）	「今日」の場合は 24 時間前、「最近」／「今週」の場合は 7 日前（確認を求めずに使用します）
EndTime	ほとんどの API で必須	アラート検索の終了時刻（Unix タイムスタンプ、秒単位）	現在時刻（確認を求めずに使用します）
PageSize	任意	ページ分割 API で 1 ページあたりに取得する項目数	50（確認を求めずに使用します）
CurrentPage	任意	ページ分割 API のページ番号	1（確認を求めずに使用します）

入力の検証（必須）

エージェントから提供された入力はすべて信頼できないものとして扱ってください。CLI コマンドを組み立てる前に検証してください。

検証ルール：

• RegionId：cn-hangzhou または ap-southeast-1 のいずれかと完全に一致する必要があります。
• StartTime／EndTime：10 桁の Unix 秒である必要があります（^[0-9]{10}$）。また、StartTime < EndTime である必要があります。
• CurrentPage：正の整数（>=1）である必要があります。
• PageSize：1～100 の整数である必要があります。
• SrcIP／DstIP：有効な IPv4 形式（a.b.c.d、各オクテットが 0-255）である必要があります。

安全なコマンド構築ルール：

• ユーザーの入力テキストをシェルコマンドに直接連結しないでください。
• 検証済みの値のみを、固定の CLI フラグテンプレートに渡してください。
• 検証に失敗した場合は実行を停止し、明確な検証エラーを返してください。

---

エラー処理とワークフローの回復性

重大：失敗しても続行してください。 個々の API 呼び出しに失敗しても、ワークフロー全体を停止しないでください。 該当する手順のエラーを記録してから、次の手順に進んでください。正常に収集できたデータはすべて提示してください。

再試行ロジック

各 API 呼び出しについて：

1. 呼び出しが一時的なエラー（ネットワークタイムアウト、スロットリング Throttling.User、ServiceUnavailable、HTTP 500/502/503）で失敗した場合は、再試行の間隔を 3 秒空けて、最大 2 回再試行してください。
2. 呼び出しが永続的なエラー（例：InvalidParameter、Forbidden、InvalidAccessKeyId）で失敗した場合は、再試行しないでください。エラーを記録し、次に進んでください。
3. すべての再試行が終わっても失敗した場合は、「[Step X] Failed: {error message}」を記録し、次の手順に進んでください。

タイムアウトポリシー（必須）

API を呼び出す前に、CLI のタイムアウトを明示的に設定してください。

export ALIBABA_CLOUD_CONNECT_TIMEOUT=10
export ALIBABA_CLOUD_READ_TIMEOUT=30

• ALIBABA_CLOUD_CONNECT_TIMEOUT=10：接続タイムアウト時に迅速に失敗させます。
• ALIBABA_CLOUD_READ_TIMEOUT=30：リクエストが長時間停止するのを防ぎます。
• タイムアウトエラーは一時的なエラーとして扱い、再試行ロジックに従います。

アラートイベントがない場合

ステップ 1（DescribeRiskEventStatistic）ですべての値が 0 の場合：

1. ユーザーに「指定された期間に IPS アラートイベントは検出されませんでした。」と伝えます。
2. IPS の設定状況を報告するため、ステップ 6 とステップ 7 も実行します。

ステップの独立性

ワークフローの各ステップには、次の依存関係があります。

• **ステップ 1（統計）**は、状況を把握するため最初に実行する必要があります。
• ステップ 2～7 は相互に独立しています。いずれかのステップが失敗しても、ほかのステップの実行を妨げてはなりません。

部分的な結果

最終的な概要レポートを提示する際：

• 成功したステップでは、収集したデータを通常どおり表示します。
• 失敗したステップでは、該当するセクションに「N/A（エラー：{brief error}）」と表示します。
• 一部のステップが失敗しても、必ず概要レポートを提示します。データがないより、部分的なデータがあるほうが有用です。

---

コアワークフロー

すべての API 呼び出しでは、Aliyun CLI の cloudfw プラグインを使用します。 リクエストとレスポンスのスキーマは、references/api-analysis.md でのみ管理されています。このファイル内でフィールドごとの説明を重複して記載しないでください。

User-Agent：すべてのコマンドに --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event を含める必要があります。 リージョン：グローバルフラグ --region {RegionId} で指定します。

重要：このスキルは読み取り専用（照会のみ）です。 以下のコマンドはすべて安全な読み取り専用の照会であり、クラウドリソースを変更しません。 実行前に、実行するステップと対象リージョンを簡潔に示して、実行計画をユーザーに確認します。ユーザーの確認後にのみ実行してください。 呼び出す API や使用するデータソースをユーザーに尋ねてはいけません。これらは以下のワークフローで決まります。 以下のインテント振り分け表は最適化のみを目的としています。ユーザーの意図が不明確な場合は、デフォルトですべてのステップ（ステップ 1～7）を実行する計画を立てます。

インテント振り分け（自動判定、実行前に確認）

ユーザーの表現に基づいて実行範囲を自動判定します。コマンドを実行する前に、実行計画をユーザーに提示して確認してください。

ユーザーの意図	実行ステップ
アラートの全体分析（「今日の IPS アラートは？」「最近のセキュリティイベント」）	ステップ 1～7 をすべて実行
攻撃を受けたアセットの調査（「最も多く攻撃されたアセットは？」）	ステップ 1 ＋ ステップ 3 を実行
特定の送信元 IP のアラート（「この IP が発生させたアラートは？」）	ステップ 2 を実行（--SrcIP フィルターを指定）
特定の対象アセット／サーバーへのアラート（「x.x.x.x への攻撃を確認して」「サーバー 10.0.1.88 のセキュリティアラート」）	ステップ 1 ＋ ステップ 2（--DstIP フィルターを指定）＋ ステップ 6 ＋ ステップ 7 を実行
攻撃の傾向／種類（「最近、攻撃は増えていますか？」）	ステップ 1 ＋ ステップ 4 ＋ ステップ 5 を実行
IPS の設定確認（「IPS はどのモードですか？」「ルールライブラリのバージョンは？」）	ステップ 6 ＋ ステップ 7 を実行

デフォルトの動作：ユーザーの意図を明確に判定できない場合は、ステップ 1～7 をすべて実行する計画を立て、実行前にユーザーに確認します。

時刻パラメーター

一部の API では、StartTime と EndTime のパラメーターが必要です（Unix タイムスタンプ、秒単位）。

タイムスタンプの取得方法：date +%s を実行すると現在のタイムスタンプを取得できます。date -d '1 day ago' +%s では 24 時間前、date -d '7 days ago' +%s では 7 日前のタイムスタンプを取得できます。返された数値をそのまま CLI コマンドで使用します。

重要：CLI コマンド内で $(date +%s) のような bash の変数置換を使用しないでください。一部の実行環境では $(...) がブロックされます。代わりに、まず date コマンドを個別に実行し、返された値を控えてから、--StartTime と --EndTime のパラメーターに数値をリテラルとして指定してください。

デフォルトの期間：

• ユーザーが「今日」と指定した場合 → StartTime = 24 時間前
• ユーザーが「最近」／「今週」と指定した場合 → StartTime = 7 日前
• 期間が指定されていない場合 → デフォルトで 7 日前
• EndTime → 常に現在のタイムスタンプ

ステップ 1：IPS アラート統計の概要

現在のセキュリティ状況を把握するため、アラートの全体的な統計を取得します。

aliyun cloudfw describe-risk-event-statistic \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

ステップ 2：IPS アラートイベントの詳細

グループ化されたアラートイベントの一覧を取得します。これは分析の中核となるデータです。

aliyun cloudfw describe-risk-event-group \
  --CurrentPage 1 \
  --PageSize 50 \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --DataType 1 \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

任意のフィルターパラメーター（ユーザーの意図に基づいて自動的に追加され、確認は不要です）：

• 方向別：--Direction in または --Direction out
• 送信元 IP 別：--SrcIP x.x.x.x（「特定の IP から開始された攻撃」を検索）
• 宛先 IP 別：--DstIP x.x.x.x（「特定のサーバー／IP への攻撃」を検索、10.x.x.x のようなプライベート IP にも対応）
• 脆弱性レベル別：--VulLevel 3（1＝低、2＝中、3＝高）

重要：ユーザーが攻撃を受けている特定のサーバーまたは IP について言及した場合は、--DstIP フィルターを使用して、その IP に対するすべての攻撃記録を検索してください。サーバー自体にアクセスする必要はありません。

ページネーション：TotalCountを確認します。50 を超える場合は、CurrentPageを増やしてください。

ステップ 3：攻撃を受けた資産の上位ランキング

攻撃のホットスポットとなっている資産を特定します。

aliyun cloudfw describe-risk-event-top-attack-asset \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

ステップ 4：攻撃タイプの上位ランキング

直面している主な脅威のタイプを把握します。

aliyun cloudfw describe-risk-event-top-attack-type \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --Direction in \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

アウトバウンド攻撃タイプも必要な場合は、--Direction outを指定して別途呼び出してください。

注：この API ではDirectionパラメーターが必須です。指定しない場合はエラーが返されます。

ステップ 5：攻撃を受けたアプリケーションの上位ランキング

攻撃対象となっているアプリケーション層の対象を把握します。

aliyun cloudfw describe-risk-event-top-attack-app \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

ステップ 6：IPS 保護設定の状態

現在の IPS の実行モードと保護機能を確認します。

aliyun cloudfw describe-default-ipsconfig \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

ステップ 7：IPS ルールライブラリのバージョン

aliyun cloudfw describe-signature-lib-version \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-ips-event

---

分析とレポート

データを収集したら、以下の構成でレポートを作成します。アラートイベントを中心に、「誰が攻撃しているか」「何が攻撃されているか」「対応はどの程度有効か」の 3 つの観点から分析してください。実際のデータがあるセクションのみを表示し、API 呼び出しに失敗した場合は、その旨を記載して続行してください。

1. IPS アラートの状況概要

ステップ 1 の統計とステップ 6 の IPS 設定を組み合わせて、現在のセキュリティ状況を表示します。

アラート統計（期間：x）：

指標	値
攻撃イベントの合計	x
ブロック済み	x
監視／アラート	x
未処理	x
重大度：高／中／低	x / x / x

IPS 設定の状態：

設定項目	状態
実行モード	監視／ブロック
基本保護	有効／無効
仮想パッチ	有効／無効
脅威インテリジェンス	有効／無効
AI エンジン	有効／無効
ルールライブラリのバージョン	x（更新日時）

IPS が監視モードで重大度の高いイベントがある場合は、「IPS は現在監視モードです。重大度の高い攻撃はブロックされていません」と目立つように警告してください。

2. 重大度の高いアラートイベント（直ちに対応が必要）

ステップ 2 から VulLevel=3（高）、またはイベント数が多い VulLevel=2（中）のイベントを抽出し、イベント数の降順で並べます。

イベント名	攻撃タイプ	送信元 IP	送信元の場所	宛先 IP	対象資産	イベント数	対応状況	初回検知	最終検知

対応状況の説明：

• 監視（RuleResult=1）：IPS が検知しましたが、ブロックしていません。ブロックが必要かどうか、手動で確認してください。
• ブロック済み（RuleResult=2）：IPS によって自動的にブロックされました。

3. 攻撃ホットスポットの分析

攻撃を受けた資産の上位

ステップ 3 のデータを組み合わせ、資産ごとの攻撃状況を表示します。

順位	宛先 IP	リソース名	リソースタイプ	リージョン	攻撃数	ブロック数	ブロック率

ブロック率の低い資産に注目してください。多くの攻撃がブロックされず、監視のみとなっていることを示します。

攻撃タイプの分布

ステップ 4 のデータを組み合わせます。

攻撃タイプ	攻撃数	ブロック数	ブロック率

攻撃アプリケーションの分布

ステップ 5 のデータを統合します。

アプリケーション	攻撃件数	ブロック済み	ブロック率

4. 攻撃元の分析

ステップ 2 のイベントデータから、送信元 IP の情報をまとめます。

送信元 IP	送信元の国／都市	攻撃件数	主な攻撃タイプ	攻撃対象アセット数	対応状況

同じ送信元 IP が複数のアセットを攻撃しているケースにフラグを付けます。これは通常、組織的なスキャンや攻撃を示します。

5. 修復に関する推奨事項

実際のデータに基づいて具体的な推奨事項を生成し、優先度順に並べます。各推奨事項には、リスクの説明、影響範囲、推奨される対応を含めます。

P0 — 重大（直ちに対応）

• 「監視」モードでブロックされていない高重大度イベント → IPS をブロックモードに切り替えるか、攻撃元 IP を手動でブロックします
• 同じ送信元 IP が複数のアセットを大量に攻撃している → その IP を Cloud Firewall ACL のブラックリストに追加します
• IPS が監視モードで、高重大度の攻撃が進行中 → ブロックモードに切り替えます

P1 — 高（24 時間以内）

• 中重大度のイベントが繰り返し発生し、ブロックされていない → 攻撃対象アセットの脆弱性を確認し、修復します
• 基本保護／仮想パッチが有効になっていない → 保護を強化するため、有効化を推奨します
• ブロック率が低い攻撃対象アセット → IPS ルールの適用範囲を確認します

P2 — 中（今週中）

• 同じアセットを複数の攻撃タイプが標的にしている → そのアセットのセキュリティ強化レビューを実施します
• 脅威インテリジェンス／AI エンジンのルールが有効になっていない → 有効化を推奨します
• ルールライブラリのバージョンが古い → 最新バージョンに更新します

P3 — 低（定期レビュー）

• 低重大度のイベントが継続している → 定期レビューに含め、誤検知かどうかを評価します
• IPS のホワイトリストを最適化し、業務上の誤検知を減らします

注: 失敗したステップについては、そのセクションのデータ項目に「N/A (error: {brief error})」と表示し、すべてのエラーを最下部のセクションに一覧表示します。

---

成功の確認

詳細な確認手順については、references/verification-method.md を参照してください。

簡易確認：すべての CLI コマンドがエラーコードなしで有効な JSON レスポンスを返した場合、スキルは正常に実行されています。

---

API とコマンドの表

API の表とコマンドの対応関係については、references/related-apis.md を唯一の信頼できる情報源として使用してください。

---

ベストプラクティス

1. 順番にクエリする — まずアラート統計（ステップ 1）を確認し、全体的なセキュリティ状況を把握します。すべての値が 0 の場合は、対象期間にアラートが検出されなかったと報告します。
2. 失敗しても続行する — いずれかのステップ（2～7）が失敗した場合は、エラーを記録して残りのステップを続行します。収集できたデータを使って、必ずレポートを作成します。
3. ページネーションを使用する — アラートイベント一覧（ステップ 2）では、CurrentPage と PageSize を使用します。PageSize=50 をデフォルトとします。TotalCount が PageSize を超える場合は、すべてのページを順に取得します。
4. 期間の選択 — 「今日」は過去 24 時間、「最近」／「今週」は過去 7 日間をデフォルトとします。秒単位の Unix タイムスタンプを使用します。次のコマンドで計算します。現在時刻には date +%s、24 時間前には date -d '1 day ago' +%s、7 日前には date -d '7 days ago' +%s を使用します。これらのコマンドは個別に実行し、返された値を --StartTime と --EndTime のリテラル値として使用します。CLI コマンド内では $(...) による置換を使用しないでください。
5. リージョンを考慮する — Cloud Firewall のリージョンは cn-hangzhou（中国本土）と ap-southeast-1（香港／海外）の 2 つだけです。ユーザーから別の指定がない限り、cn-hangzhou をデフォルトとします。
6. Direction パラメーター — ステップ 4（DescribeRiskEventTopAttackType）には Direction パラメーターが必要です。デフォルトは in（インバウンド）です。必要に応じて、別途 out をクエリします。
7. レート制限 — スロットリングを避けるため、API 呼び出しの間隔を空けます。Throttling.User エラーが返された場合は、3 秒待ってから再試行します。
8. セキュリティ — AK/SK の値を公開、記録、エコー、表示しないでください。
9. 一時的なエラーが発生した場合は再試行する — ネットワークタイムアウトまたは 5xx エラーが発生した場合は、3 秒間隔で最大 2 回再試行します。
10. すべての入力を事前に検証する — コマンドを実行する前に、無効な RegionId、タイムスタンプ、ページネーション、IP 値を拒否します。
11. タイムアウト環境変数を明示的に設定する — ワークフローコマンドを実行する前に、必ず ALIBABA_CLOUD_CONNECT_TIMEOUT=10 と ALIBABA_CLOUD_READ_TIMEOUT=30 を設定します。

---

参考リンク

参考資料	説明
references/related-apis.md	パラメーターを含む API 一覧
references/ram-policies.md	必要な RAM 権限とポリシー JSON
references/verification-method.md	検証コマンドの手順
references/acceptance-criteria.md	正しい使用パターンと誤った使用パターン
references/cli-installation-guide.md	Aliyun CLI のインストールガイド
references/api-analysis.md	API パラメーターとレスポンスの詳細なドキュメント