使用威胁分析

前提条件

• 已开通并授权威胁分析服务。

  如何开通及授权威胁分析服务

  1. 访问云安全中心购买页。

  2. 设置威胁分析为是，并修改需要购买的威胁分析日志存储量。

     

  3. 登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。

  4. 在左侧导航栏，选择检测响应 > 威胁分析。

  5. 在威胁分析页面，单击立即授权。

     授权后，云安全中心将自动创建服务关联角色AliyunServiceRoleForSasCloudSiem，云安全中心威胁分析功能使用此角色访问您其他云产品中的资源。

• 需要接入威胁分析的云产品已开通日志服务。具体操作，请参见云产品对应的官网文档，或者在接入云产品的页面，单击查看日志开通文档。

  

• 如果您需要接入第三方云厂商账号（当前支持华为云和腾讯云），您需要先登录第三方云平台，创建子账号，并为子账号授予威胁分析所需的权限。

  华为云子账号配置

  1. 创建两个自定义策略。具体操作，请参见创建自定义策略。

     说明

     华为云创建自定义策略时，暂不支持同时选择全局级云服务和项目级云服务，因此需要拆分为两条策略，便于授权时设置最小授权范围。

     • siemBasePolicy：对应全局级云服务权限。策略配置内容如下：

       {
           "Version": "1.1",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "iam:roles:listRoles",
                       "iam:roles:getRole",
                       "iam:groups:listGroupsForUser",
                       "iam:groups:listGroups",
                       "iam:users:getUser",
                       "iam:groups:getGroup"
                   ]
               },
               {
                   "Effect": "Allow",
                   "Action": [
                       "rms:resources:list",
                       "rms:resources:summarize"
                   ]
               },
               {
                   "Effect": "Allow",
                   "Action": [
                       "obs:object:GetObject",
                       "obs:bucket:GetBucketLocation",
                       "obs:bucket:HeadBucket",
                       "obs:object:GetObjectVersionAcl",
                       "obs:bucket:ListAllMyBuckets",
                       "obs:bucket:ListBucket",
                       "obs:object:GetObjectVersion",
                       "obs:object:GetObjectAcl"
                   ]
               }
           ]
       }

     • siemNormalPolicy：对应项目级云服务权限。策略配置内容如下：

       {
           "Version": "1.1",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "cfw:ipGroup:list",
                       "cfw:acl:list",
                       "cfw:ipMember:put",
                       "cfw:ipMember:create",
                       "cfw:ipGroup:create",
                       "cfw:instance:get",
                       "cfw:ipGroup:put",
                       "cfw:ipMember:list",
                       "cfw:ipGroup:get",
                       "cfw:ipMember:delete"
                   ]
               },
               {
                   "Effect": "Allow",
                   "Action": [
                       "waf:whiteBlackIpRule:list",
                       "waf:whiteBlackIpRule:put",
                       "waf:ipgroup:get",
                       "waf:whiteBlackIpRule:get",
                       "waf:ipgroup:list",
                       "waf:whiteBlackIpRule:create",
                       "waf:whiteBlackIpRule:delete"
                   ]
               }
           ]
       }

  2. 创建用户组siemUser和readonlyuser，并为用户组授予需要的权限（如下表所示）。具体操作，请参见创建用户组并授权。

     用户组	需要授予的权限
     siemUser	自定义策略权限：siemBasePolicy、siemNormalPolicy
     readonlyuser	LTS ReadOnlyAccess：云日志服务只读权限。 OBS OperateAccess：具有对象存储服务（OBS）查看桶列表、获取桶元数据、列举桶内对象、查询桶位置、上传对象、获取对象、删除对象、获取对象ACL等对象基本操作权限。 OBS ReadOnlyAccess：只有对象存储服务（OBS）查看桶列表、获取桶元数据、列举桶内对象、查询桶位置权限，无其他权限。 CFW ReadOnlyAccess：云防火墙服务只读权限。 WAF ReadOnlyAccess：Web应用防火墙只读权限。

  3. 创建一个IAM用户，并将IAM用户关联到siemUser用户组。具体操作，请参见创建IAM用户。

  4. 为IAM用户创建访问密钥。具体操作，请参见管理IAM用户访问密钥。

  腾讯云子账号配置

  1. 通过策略语法创建一个自定义策略siemPolicy。具体操作，请参见通过策略语法创建自定义策略。

     siemPolicy策略配置内容如下：

     {
         "statement": [
             {
                 "action": [
                     "cfw:DescribeAclApiDispatch",
                     "cfw:DescribeBorderACLList",
                     "cfw:CreateAcRules"
                 ],
                 "effect": "allow",
                 "resource": [
                     "*"
                 ]
             },
             {
                 "action": [
                     "waf:DescribeDomains",
                     "waf:DescribeIpAccessControl",
                     "waf:DeleteIpAccessControl",
                     "waf:UpsertIpAccessControl",
                     "waf:PostAttackDownloadTask"
                 ],
                 "effect": "allow",
                 "resource": [
                     "*"
                 ]
             },
             {
                 "action": [
                     "ckafka:DescribeDatahubGroupOffsets",
                     "ckafka:DescribeGroup",
                     "ckafka:DescribeGroupInfo",
                     "ckafka:DescribeGroupOffsets",
                     "ckafka:CreateDatahubGroup",
                     "ckafka:ModifyDatahubGroupOffsets",
                     "ckafka:ListConsumerGroup"
                 ],
                 "effect": "allow",
                 "resource": [
                     "*"
                 ]
             },
             {
                 "action": [
                     "cam:GetUser",
                     "cam:CheckSubAccountName",
                     "cam:CheckUserPolicyAttachment",
                     "cam:GetAccountSummary",
                     "cam:GetPolicy",
                     "cam:GetPolicyVersion",
                     "cam:ListAllGroupsPolicies",
                     "cam:ListAttachedGroupPolicies",
                     "cam:ListAttachedRolePolicies",
                     "cam:ListAttachedUserAllPolicies",
                     "cam:ListAttachedUserPolicies",
                     "cam:ListGroupsPolicies",
                     "cam:ListPolicies",
                     "cam:ListUsers"
                 ],
                 "effect": "allow",
                 "resource": [
                     "*"
                 ]
             }
         ],
         "version": "2.0"
     }

  2. 创建一个子账号。具体操作，请参见新建子账号。

  3. 为创建的子账号关联siemPolicy策略。具体操作，请参见授权管理。

  4. 为子账号创建访问密钥。具体操作，请参见子账号访问密钥管理。

（可选）步骤一：接入云账号

如果您要对其他云账号（包括阿里云和第三方云厂商）下的云产品进行统一的告警汇聚和事件管理，您需要先接入先将其他云账号接入到威胁分析。如果您仅需要关联当前阿里云账号下的告警，可跳过此步骤。

步骤二：将云产品接入威胁分析

您可以自定义设置需要接入的云产品和日志。将云产品和日志接入威胁分析后，才可通过威胁分析统一管理对应云产品的告警、日志数据。

1. 在左侧导航栏，选择威胁分析 > 产品接入。

2. 在云产品列表中，找到需要接入的云产品，在操作列单击接入设置。

3. 在云产品接入面板，选择需要接入的日志类型和云账号。

   • 接入阿里云产品的日志类型

     1. 找到需要接入的日志类型，在接入账号列单击选择。

     2. 在选择账号面板，选择需要接入的账号，根据控制台提示确定是否选择LogStore。

        说明

        如果您使用的是个人实名认证账号，选择账号面板仅显示您当前的账号。

        • 如果云产品只支持使用产品定义的LogStore（例如云安全中心），您只需选中账号，无需选择LogStore，云安全中心会自动接入产品定义的LogStore。

        • 如果云产品同时支持使用产品定义和用户自定义的LogStore（例如专有网络VPC），您需要在选中账号后，在LogStore（格式：regionId.project.logStore）下拉列表中选择对应日志存储的LogStore或将自定义的LogStore名称复制到此处。LogStore的填写格式为regionId.project.logStore。

   • 接入第三方云产品的日志类型

     1. 找到需要接入的日志类型，在已接入账号单击数值。

     2. 在接入设置对话框，选择需要接入的账号，根据实际需要选择是否开启自动接入新增账号，然后单击确定。

        开启自动接入新增账号后，当有新增的第三方账号时，威胁分析自动接入新增账号对应的云产品的日志类型。

步骤三：管理规则

规则是用于检测和分析云产品日志数据的策略，您可以通过指定日志范围、匹配字段、聚合字段等，定义威胁分析自动检测和分析日志的逻辑，帮助您快速识别出业务系统的安全风险。威胁分析提供预定义规则和自定义规则方式，您可以根据业务需求，开启或关闭预定义规则，以及自定义告警和事件检测规则。

步骤四：处置事件

威胁分析根据采集到的安全信息数据和安全告警聚合规则，分析并展示聚合后的安全事件。您可以在事件处置页面及时查看并手动处理安全威胁事件，提高您资产的安全性。

查看事件详情

1. 在左侧导航栏，选择威胁分析 > 事件处置。

2. 在事件处置页面，在目标事件的操作列单击详情。

3. 在事件详情页面的不同页签下查看该事件的详细信息。

   页签	描述
   事件信息	该页签展示事件的风险等级、所有者（所属的阿里云账号）、事件描述、发生时间和受影响资产等基本信息。如需查看受影响资产的详细信息，您可以在受影响的资产列表找到目标主机资产，移动鼠标到主机资产操作列的详情处，查看该主机资产的资产名称、公网IP、私网IP、操作系统等信息。
   攻击时间线	该页签按照时间线方式展示该事件相关的告警。您可以单击对应告警图标，查看告警的详细信息。通过攻击时间线可以了解事件的发展过程，为您处理并规避此类事件提供更多详细信息。
   事件告警	该页签展示聚合成该事件的安全告警列表。在目标告警操作列单击详情，即可查看该告警的详细信息和关联异常。
   事件溯源	该页签是以事件为源头的自动化溯源可视图。威胁分析支持自动化事件溯源，可对事件进行自动化溯源并提供原始数据预览。事件溯源功能结合多种云产品日志，通过大数据分析引擎对数据进行加工、聚合、可视化，形成事件的发生链路图，帮助您在最短的时间内定位事件发生原因和制定事件处理策略。 单击事件中的节点，即可查看对应节点的详细信息。单击事件溯源页签右上角的、、图标，可下载当前页面展示的事件溯源图片、设置溯源图样式、查看节点图例。

步骤五：查看处置中心

威胁分析提供了处置中心模块，从处置实体维度展示事件处置策略和处置任务的管理视图，方便您统一查看告警处置的详情。

什么是处置策略和处置任务

什么是处置策略

处置策略是针对处置实体（即关联告警的主体，包括IP、文件、进程）的告警处置详情。每个处置实体每个处置场景的处置结果均会生成一条处置策略，并展示在处置策略页面。您可以查看处置策略的处置实体、处置场景、作用域等信息。

处置策略的数据来源包括：

• 在事件处置页面手动处置事件的执行结果。详细信息，请参见步骤四：处置事件。

• 响应编排剧本的自动化执行结果。详细信息，请参见响应编排。

• 安全管家服务的响应处置结果。详细信息，请参见什么是安全管家。

什么是处置任务

事件处置中，每个处置实体关联的每个处置场景会按照作用域拆分为多条处置任务，并展示在处置任务页面。您可以查看处置任务的处置实体、处置场景、联动产品、作用域和处置状态等信息，可以实时了解检测出的恶意实体，协同其它云产品的处置情况，例如，通过云防火墙封禁恶意攻击IP的现状是封禁中、失败、成功还是解封失败。

处置策略和处置任务的关系

处置策略是以告警场景为最小单位的告警处置详情；处置任务是以作用域为最小单元的告警处置详情。

例如，在某个事件处置中，您对1个处置实体下的2个场景进行处置，处置作用域分别选择3个账号，则该事件处置完成后，生成的处置策略数量=1*2=2条，生成的处置任务=1*2*3=6条。

步骤六：搜索日志

开通威胁分析并接入产品后，您可以在日志搜索页面查询不同告警来源的日志信息。

步骤七：查看安全告警

开通威胁分析功能后，安全告警页面将为您展示接入的多账号和多云产品检测到的安全告警，您可以查看安全告警的详细信息。

1. 在左侧导航栏，选择威胁分析 > 安全告警。

   说明

   如果当前显示的是云安全中心的安全告警处理页面，您可以在页面右上角单击全局安全告警，切换为威胁分析的安全告警页面。

2. 在安全告警页面，在目标告警的操作列单击详情。

3. 在告警详情页面，查看告警的详细信息。

   支持查看告警的受影响资产、首次发生时间、数据源、告警账号和关联异常。

相关文档

• 资源目录概述

• 云安全中心服务关联角色

• 云安全中心多账号安全管理