日志安全审计与合规性评估-阿里云帮助中心

手动部署

https://www.aliyun.com/solution/tech-solution/log-security-audit

方案概览

日志安全审计与合规性评估方案旨在通过集中化采集、存储、分析来自多个系统、应用和设备的日志数据，确保企业数据和系统安全性、合规性。很多企业自身有成熟的法规条例以及合规审计团队，对账号设备的操作、网络行为、日志进行审计。客户可以直接消费原生各类日志，也可以使用日志审计服务提供的审计功能，构建并输出合规的审计信息。企业安全运营团队可以基于日志进行分析、调查安全问题；也可对接安全运营中心SOC进行联动分析；基于完整的全量日志定制安全感知大屏。企业内部合规团队可以基于日志审计来输出合规信息。帮助企业优化安全态势，提高整体风险管理能力，确保业务连续性和数据安全。

方案架构

通过OSS采集日志数据到日志服务中，实现对访问日志、安全事件日志、性能日志、操作日志的记录，并通过日志服务所提供的应用分析、可视化、告警组件，构建安全态势监控看板与告警机制。帮助企业实时掌握IT系统运行安全状态，保障业务稳定性。

本方案包括如下基础设施和云服务：

地域和可用区：OSS服务和SLS服务建议在同地域，可用区无限制。
核心系统：
- 1个OSS服务，用于生产审计数据，模拟写入业务日志。
- 1个日志库：通过已收集日志进行查询和分析，产出监控看板，配置告警规则。

部署准备

开始部署前，请按以下指引完成账号申请、账号充值。

准备账号

如果您还没有阿里云账号，请访问阿里云账号注册页面，根据页面提示完成注册并进行个人实名认证。阿里云账号是您使用云资源的付费实体，因此是部署方案的必要前提。
为阿里云账号充值。本方案的云资源支持按量付费，且默认设置均采用按量付费引导操作。如果确定任何一个云资源采用按量付费方式部署，账户余额都必须大于等于100元。

部署资源

1.创建对象存储OSS

接下来您需要创建1个对象存储OSS Bucket，用于存储用户上传的图片。

打开OSS开通页面。
在OSS开通页面，按照界面指引完成开通操作。

重要

开通OSS服务后，默认的计费方式是按量付费。如果想降低OSS使用费用，建议您购买资源包。

登录OSS管理控制台。
在左侧导航栏，选择Bucket列表。
在Bucket列表页面，点击创建Bucket。
在创建Bucket面板，创建1个Bucket。

项目	说明	示例值
Bucket名称	Bucket 命名规范：命名长度为3~63个字符。只允许小写字母、数字、短横线（`-`），且不能以短横线开头或结尾。 Bucket名称在OSS范围内必须全局唯一。	sls-1
地域属性	本方案以华东1（杭州）为例。	华东1（杭州）
存储类型	用户上传的图片会被大模型进行下载以进行处理，因此需要确保高可靠、高可用、高性能。	标准存储
存储冗余类型	选择采用多可用区（AZ）冗余机制的同城冗余存储，将用户的数据分散存放在同一地域的3个可用区。当某个可用区不可用时，仍然能够保障数据的正常访问。	同城冗余存储
读写权限	图片处理可能涉及隐私数据，建议选择私有。	私有

2.开启日志采集功能

登录日志服务控制台，根据页面提示，开通日志服务。
在日志应用区域的审计与安全页签下，点击日志审计服务。

若是RAM账号登录需根据页面提示完成授权。完成授权后，日志审计服务将使用服务关联角色AliyunServiceRoleForSLSAudit进行云产品的日志采集。
在日志审计服务的左侧导航栏中，选择云产品接入 > 全局配置。
- 点击界面右上方修改，然后在中心项目Project所在区域下拉列表中，选择日志中心化存储的目标地域：华东1（杭州）。
- 在云产品列表中，可根据需求选择开启对应云产品的日志采集功能，并配置存储时间。
  说明
  本示例地域及开启对应云产品的日志采集功能都按照默认配置，不做过多修改，如需修改可按照以上步骤修改。
- 点击确定，保存修改过的配置。

重要

配置生效需要等待约1分钟，请稍等片刻后再进行后续操作。

部署服务端

1.构造OSS操作访问行为

进入对象存储OSS控制台，选择Bucket并上传文件。

点击扫描文件将任意一个本地文件进行上传。

扫描文件后，文件栏显示已扫描待上传后，点击上传文件。

出现如图所示即为上传成功。

2.使用审计报表

登录日志服务控制台，并重新打开日志审计服务界面。
在左侧导航栏中，点击审计报表，打开中心化选项栏，点击OSS > OSS审计中心。您可以在OSS审计中心查看数据报表。

3.使用审计查询

在左侧导航栏中，点击审计查询，打开中心化选项栏，点击菜单栏OSS查看数据报表。

具体的查询、分析操作请参见查询概述。

完成及清理

如果您不再需要采集云产品日志，但想要暂时保留已采集的日志（日志将在超出存储天数后被删除），可参见以下步骤。
1.1. 在日志审计服务的左侧导航栏中，选择云产品接入> 全局配置。
1.2. 在全局配置页面，点击右上角的修改。关闭目标日志选项，点击确定。
1.3. 删除审计资源。
如果您需要清理并删除日志审计服务相关的所有日志服务资源（如Project、Logstore、仪表盘、告警等），可参见以下操作。
2.1. 在日志审计服务的左侧导航栏中，选择云产品接入> 全局配置。
2.2. 在全局配置页面，点击右上角的删除审计资源。在删除日志审计服务所有资源对话框中，点击一键关闭所有云产品日志采集。在确认对话框中，点击确认。
2.3. 在删除日志审计服务所有资源对话框中，复制命令。
2.4. 如果您要删除所有资源，请复制所有命令；命令格式说明如下：
删除区域Project的命令示例：
```
aliyunlog log delete_project --project_name=slsaudit-region-12****34-cn-huhehaote --region-endpoint=cn-huhehaote.log.aliyuncs.com
```
删除中心Project的命令示例：
```
aliyunlog log delete_project --project_name=slsaudit-center-12****34-cn-huhehaote --region-endpoint=cn-huhehaote.log.aliyuncs.com
```
2.5. 在页面顶部导航栏中，点击图标。在cloudshell对话框中，执行您所复制的命令。系统会分条执行，逐步删除审计资源。
如果您需要清理创建的对象存储OSS服务，可参见以下步骤。
3.1. 进入对象存储OSS控制台，在左侧导航栏，选择Bucket列表。在Bucket列表页面点击创建的Bucket，进入Bucket管理页面。3.2. 在左侧导航栏，找到删除 Bucket，点击立即删除，删除创建的Bucket。

一键部署