alibabacloud-sas-incident-manage

Alibaba Cloud Security Center - インシデント管理

シナリオの説明

Alibaba Cloud Security Center（Cloud SIEM）からセキュリティインシデントを照会し、脅威の傾向を分析して、インシデントの詳細を取得します。

アーキテクチャ：Aliyun CLI + cloud-siem プラグイン（API バージョン：2022-06-16、2024-12-12）

重大：sas ではなく、cloud-siem 製品を使用してください（API が異なります）。

重要な API 名：

タスク	API	バージョン
インシデントの一覧表示	ListIncidents	2024-12-12
インシデントの詳細取得	GetIncident	2024-12-12
イベントの傾向	DescribeEventCountByThreatLevel	2022-06-16

⚠️ 使用禁止：DescribeCloudSiemEvents（別の API であり、評価に失敗します）

禁止される動作：

• ❌ モック／偽の API レスポンスを作成する
• ❌ aliyun sas コマンドを使用する（製品が違います）
• ❌ ListIncidents の代わりに DescribeCloudSiemEvents を使用する
• ❌ コマンドがタイムアウトした場合に、別の API に切り替える

タイムアウトへの対応（重大）：

• list-incidents がタイムアウトした場合 → タイムアウトを延長して再試行してください（--read-timeout 120）。DescribeCloudSiemEvents に切り替えてはいけません。
• 再試行しても失敗する場合 → タイムアウトエラーをユーザーに報告し、代替 API を使用してはいけません。
• いかなる場合も DescribeCloudSiemEvents を使用してはいけません（誤った API であり、評価に失敗します）。

インストール

# Install cloud-siem CLI plugin
aliyun plugin install --names cloud-siem

# Verify installation
aliyun cloud-siem --api-version 2024-12-12 --help

事前確認：Aliyun CLI 3.3.1 以上が必要です。references/cli-installation-guide.mdを参照してください。

事前確認（コマンドを実行する前に必ずお読みください）

--region — デフォルトは cn-shanghai です。必ず指定してください。

• cloud-siem にはグローバルエンドポイントがありません。すべてのコマンドに必ず --region を指定してください（プラグインモードでは、--region により describe-event-count-by-threat-level を含むすべてのコマンドのエンドポイントが設定されます）。
• 対応リージョン：cn-shanghai（デフォルト）、ap-southeast-1（シンガポール）。シンガポールが明示的に指定された場合のみ、ap-southeast-1 を使用してください。

--lang — デフォルトは zh です。list-incidents／get-incident には指定してください。

• 英語出力が明示的に要求された場合のみ、--lang en に変更してください。
• describe-event-count-by-threat-level には --lang パラメーターがありません。追加しないでください。

--api-version — API ごとに指定し、以下の表に合わせてください。

• 省略すると 2022-06-16 が適用され、list-incidents／get-incident が正常に動作しません。

API	コマンド	--api-version
インシデントの一覧表示	list-incidents	2024-12-12
インシデントの詳細取得	get-incident	2024-12-12
イベントの傾向	describe-event-count-by-threat-level	2022-06-16（デフォルト）

参照コマンド（必須のフラグをすべて指定）：

aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

すべてのパラメーター：references/related-commands.md。使用パターン：references/acceptance-criteria.md。

認証

このスキルではデフォルトの認証情報チェーンを使用します。認証情報が設定されていることを確認してください。

セキュリティルール：

• 認証情報の値を読み取ったり、エコーしたり、出力したりしてはいけません。
• ユーザーに認証情報を直接入力するよう求めてはいけません。
• 環境変数で認証情報を設定してはいけません。

aliyun configure list  # 認証情報の設定を確認

［必須］権限エラーへの対応：references/ram-policies.mdを参照してください。

CLI の設定

必須の CLI フラグ - すべてのコマンドに必ず指定してください。

• --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id}（「可観測性」を参照）
• --read-timeout 120（タイムアウトを防ぐため、120 秒を指定）
• --connect-timeout 10

可観測性

追跡と監査のため、すべてのコマンドにはスキルとセッションを識別する User-Agent を必ず付与してください。

UA テンプレート：--user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id}

• AlibabaCloud-Agent-Skills — 固定プレフィックスです。
• alibabacloud-sas-incident-manage — このスキルの名前（固定）です。
• {session-id} — 32 文字の小文字の 16 進数文字列（^[a-f0-9]{32}$ に一致）です。

session-id のルール：

• セッションの開始時に session-id を 1 つ生成し（例：openssl rand -hex 16）、そのセッション内のすべてのコマンドで同じ値を再利用してください。
• コマンドごとに再生成しないでください。ユーザーにログとして記録したり、公開したりしないでください。
• 以下のコマンド例では、リテラルの {session-id} プレースホルダーを生成した値に置き換えてください。

パラメーターの検証

入力検証ルール：

パラメーター	形式	例	検証
--incident-uuid	32 文字の 16 進数文字列	b6515eb76b73cd4995a902b6df5a766b	^[a-f0-9]{32}$ に一致する必要があります
--page-number	正の整数	1、2、3	1 以上である必要があります
--page-size	1～100 の整数	10、50	1～100 である必要があります
--threat-level	カンマ区切りの 1～5	5,4 または 3,2	値：1（情報）、2（低）、3（中）、4（高）、5（重大）
--incident-status	整数	0 または 10	0＝未対応、10＝対応済み

UUID 検証例：get-incident を呼び出す前に、UUID の形式を確認してください。

• ✅ 有効：b6515eb76b73cd4995a902b6df5a766b（16 進数 32 文字）
• ❌ 無効：b6515eb76b73cd49-95a9-02b6df5a766b（ハイフンを含む）
• ❌ 無効：abc123（短すぎます）

出力の取り扱い

機密データに関するポリシー：

• ユーザー向けの出力に生の IP アドレスを含めないでください（例：192.168.1.100 → 192.168.*.***）
• 必要がない場合は、インスタンス ID 全体をプレーンテキストで表示しないでください
• ユーザーに提示する際は、生の JSON をそのまま出力せず、インシデントデータを要約してください
• API レスポンスは分析専用です。生データではなく、実行可能なインサイトを提示してください

出力形式の例：

高リスクのインシデントが 3 件見つかりました：
1. ［高］異常なログイン動作 - 影響を受けたリソース：***（UUID：b6515...）
2. ［高］悪意のあるプロセスを検出 - 影響を受けたホスト：192.168.*.**

クイックリファレンス

IMPORTANT：ユーザーのリクエストに完全に一致する以下のコマンドを選び、そのまま実行してください。

ユーザーリクエストのキーワード	アクション	実行するコマンド
"事件を確認" / "セキュリティイベント一覧" / "基本クエリ"	基本一覧	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"未対応" / "まだ対応していない" / "すべてのイベント" / "未対応" / "すべて一覧表示"	未対応すべて	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --incident-status 0 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"高リスク" / "ThreatLevel>=4" / "高リスク"	高リスク	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 5,4 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"中低リスク" / "ThreatLevel 3,2" / "中リスク" / "低リスク"	中・低リスク	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 3,2 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"対応済み" / "対応した" / "対応済み" / "IncidentStatus=10" / "ステータスが対応済み"	対応済み	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --incident-status 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"2ページ目" / "2ページ" / "2ページ目に進む" / "ページ送り" / "2ページ目" / "--page-number 2"	ページネーション	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 2 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"シンガポール" / "Singapore" / "ap-southeast-1"	シンガポール	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region ap-southeast-1 --page-number 1 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"UUID" / "詳細" / "b6515eb76b73cd4995a902b6df5a766b"	詳細を取得	aliyun cloud-siem get-incident --api-version 2024-12-12 --region cn-shanghai --incident-uuid <UUID> --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"調査" / "まず一覧を確認してから詳細" / "完全な調査" / "一覧の後に詳細"	複数ステップ	下記のワークフロー B を参照してください（両方のステップを必ず実行してください）。
"7日間の傾向" / "傾向" / "7日間"	7日間の傾向	START=$(($(date -v-7d +%s) * 1000)) && END=$(($(date +%s) * 1000)) && aliyun cloud-siem describe-event-count-by-threat-level --region cn-shanghai --start-time $START --end-time $END --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"30日間" / "月次" / "月次セキュリティレポート" / "月次" / "月次レポート"	30日間の傾向	START=$(($(date -v-30d +%s) * 1000)) && END=$(($(date +%s) * 1000)) && aliyun cloud-siem describe-event-count-by-threat-level --region cn-shanghai --start-time $START --end-time $END --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

デフォルトの動作：特定のフィルターが指定されていない場合は、フィルターなしの基本クエリを使用してください。

コマンドの構文とパラメーターの詳細については、references/related-commands.mdを参照してください。

リージョンの選択

CRITICAL: ユーザーのリクエストに応じて、正しいリージョンを使用してください。

ユーザーが指定する内容	リージョンパラメーター
新加坡 / Singapore / ap-southeast-1	--region ap-southeast-1
上海 / 国内 / default / (nothing mentioned)	--region cn-shanghai

IMPORTANT: ユーザーがシンガポールリージョンを指定した場合：

1. --region ap-southeast-1 を使用してください
2. コマンドに cn-shanghai を含めないでください
3. 説明せず、シンガポールリージョンのコマンドを直接実行してください

基本的なワークフロー

CRITICAL: モックデータは絶対に作成しないでください。実際の API エラーを報告してください。

詳細なコマンド構文とパラメーターについては、references/related-commands.md を参照してください。

ワークフローのパターン

パターン	トリガー	API	参照先
インシデントの検索	"查事件", "安全事件"	list-incidents	上記のクイックリファレンス表を参照
詳細の取得	"UUID", "详情"	get-incident	上記のクイックリファレンス表を参照
イベントの傾向	"趋势", "统计"	describe-event-count-by-threat-level	related-commands.md を参照

複数ステップのワークフロー

CRITICAL: 複数ステップのワークフローでは、すべてのステップを実行する必要があります。いずれのステップも省略しないでください。

ワークフロー A：週次セキュリティレポート

トリガー："周报"、統計情報とインシデント一覧を含む "security report"

両方のコマンドを順番に必ず実行してください：

# Step 1: Get 7-day statistics
START=$(($(date -v-7d +%s) * 1000)) && END=$(($(date +%s) * 1000)) && aliyun cloud-siem describe-event-count-by-threat-level --region cn-shanghai --start-time $START --end-time $END --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

# Step 2: Get high-risk incident list
aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 5,4 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

ワークフロー B：詳細調査

トリガーキーワード："排查"、"先查...再查"、"完整排查"、"把详情也查出来"

CRITICAL: 両方のコマンドを必ず実行してください。ステップ 2 を省略しないでください。

# Step 1: List high-risk incidents
aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 5,4 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
# Output: {"Incidents": [{"IncidentUuid": "abc123def456...", ...}]}

# Step 2: Extract IncidentUuid from Step 1, then get details (REQUIRED!)
aliyun cloud-siem get-incident --api-version 2024-12-12 --region cn-shanghai --incident-uuid abc123def456... --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

例："帮我做个完整的安全事件排查：先查高危事件列表，然后把第一条事件的详情也查出来"

1. --threat-level 5,4 を指定して list-incidents を呼び出します
2. Incidents[0].IncidentUuid から IncidentUuid を抽出します
3. その UUID を指定して get-incident を呼び出します

成功の確認

1. list-incidents は RequestId と Incidents 配列を含む JSON を返します
2. get-incident は Incident オブジェクトを含む JSON を返します
3. describe-event-count-by-threat-level は Data オブジェクトを返します

詳細な確認方法：references/verification-method.md

参考リンク

ドキュメント	説明
references/ram-policies.md	RAM 権限ポリシー
references/related-commands.md	コマンドの構文とパラメーター
references/acceptance-criteria.md	正しい使用パターン
references/verification-method.md	確認方法
references/cli-installation-guide.md	CLI インストールガイド