文档

监控和分析

更新时间:
一键部署

监控云上资源,系统的安全状况,找出业务系统可能存在的漏洞,对可疑活动的告警作出反应,或是针对企业日常活动中的安全事件进行追溯,是构建业务安全机密性、完整性、可用性重要的一环。

监测控制

通过运用云上的多种监测控制手段,以此来感知不同级别的威胁,进行分析判断,采取相应的措施,并可针对自身的业务量身定制监控和检测控制。针对监测控制,有以下最佳实践:

  • 网络管理:创建隔离分层的网络,有助于对相似的网络组件进行逻辑分组,还缩小了未经授权的网络访问的潜在影响范围。针对专有网络VPC,通过使用ECS安全组,网络ACL,流日志等,控制网络流量,保障云服务的安全性和可靠性,或是通过RAM访问控制策略,对专有网络VPC的访问权限进行控制。

  • 权限管理:权限管理对于业务来说是非常重要的,不同的角色有不同的权限,对每个用户分配最小够用权限,能极大的防止各种越权操作,从而有效减少由于操作不当带来的故障和安全问题。

  • 配置审计:当使用大规模资源时,需要监管资源配置的合规性,通过使用配置审计服务,可监控云账号下的资源变更,追踪配置变更历史,并实时地完成合规性审计。

  • 操作审计:日常通过操作审计,可记录云账号下用户登录及资源访问操作,以此实现安全分析、入侵检测、资源变更追踪以及合规性审计。也可将账号下的行为事件下载或保存到日志服务SLS或对象存储OSS,然后进行行为分析、安全分析、资源变更行为追踪和行为合规性审计等操作。

  • DDoS防护:分布式拒绝服务 (DDoS) 攻击通过消耗目标服务器性能或网络带宽,从而造成服务器无法正常地提供服务。可通过以下几个方面着手缓解DDoS攻击的威胁:

    • 缩小暴露面,隔离资源和不相关的业务;

    • 优化业务架构;

    • 利用公共云的特性设计弹性伸缩和灾备切换的系统;

    • 做好业务监控和应急响应;

    • 使用DDoS防护类产品;

  • 入侵检测:通过检测入侵主要是为了防止数据泄露或者业务系统被破坏,通过配置相应的检测和告警机制,可了解云服务器或者云产品中存在的威胁,例如某个恶意IP对资产攻击、资产已被入侵的异常情况等。

日志报警

日志提供了服务和应用程序的第一手信息,保留安全事件的日志,为审计,调查安全事件,系统安全的维护等提供了强有力的保障,确保了部署在云上资源的可用性、业务的正常运行和健康度。因此对日志的合理管理是保证业务安全的首要条件。

日志的管理包括日志的收集,安全存储,分析和告警的生成,针对日志管理,有以下准则:

  • 日志收集:需从云上的各种资源,服务,应用程序中收集日志,其次收集应尽可能是非侵入的;

  • 安全存储:保留期限应是灵活可配置的,需根据安全要求、合规要求、不同云产品特点,设置合理的日志保存时间,其次日志数据的存储应是安全防篡改的,严格控制各类身份对于该日志的权限,尤其是写、删类型的权限;

  • 日志查询:在满足运营,业务和安全要求的基础上,选择合理并可供实施的日志查询机制;

  • 日志分析:需对异构源的日志规范化并形成通用格式,是日志分析所必需的,其次应全面的分析以了解当前系统的安全事件;

  • 告警生成:告警应是实时,准确,可触达的(应该有尽可能多的通知机制),其次每种类型的告警都要有可运行的应急补救措施。