安全事件概述-CTDR（威胁分析与响应）

CTDR安全事件来源

云安全中心的威胁分析与响应CTDR（Cloud Threat Detection and Response）通过预定义或自定义规则，生成多个安全告警。CTDR通过分析多个安全告警的上下文形成完整事件。

CTDR安全事件生成机制

CTDR安全事件是由预定义规则或自定义规则将关联的多个安全告警聚合而成的，以便您能快速识别并响应安全威胁。安全事件根据告警产生设备分为以下两类：

• 网络侧：CTDR聚焦于黑客的探测行为（如扫描或踩点），将网络侧产生的告警通过预定义规则生成事件，以防止攻击者进一步探测用户信息。

• 主机侧：CTDR通过图计算技术，将主机侧具有关联性的告警（如相同MD5值或父进程ID）聚合生成事件，帮助用户快速定位攻击入口并响应。

并非所有告警都会生成安全事件，只有满足以下条件的告警才会触发事件生成：

• 主机侧的告警都会生成安全事件。如果主机侧的告警无关联性时，单条告警可生成一个事件；网络侧的告警只有命中预定义规则或自定义规则的事件聚合策略，对应的告警才会生成安全事件。

• 如果设置了事件加白规则，则命中加白规则的告警不会生成事件。

• 如果仅开启了预定义规则，只有命中预定义规则中的事件生成方式图计算和专家规则的告警才会生成事件。

事件保存时间说明

安全事件处置页面仅支持查看180天内的事件。

安全事件风险等级及处理说明

CTDR安全事件处理对象

安全事件可以针对事件聚合的告警和提炼出的告警实体进行处理。