本文介绍通过异常事件了解每一个异常行为的详细信息,并设置处理策略。IoT安全中心基于处理策略自动响应后续的异常事件。
背景信息
IoT安全中心基于设备的行为分析,筛选存在异常的行为。异常行为可能是攻击者发起的攻击,也可能是潜伏的恶意程序。IoT安全中心从系统对象、进程行为、网络进出三个维度识别出异常事件。
操作项
操作项 | 说明 |
---|---|
立即处理 | 该事件上报之后,管理员未做处理(没有配置相应的策略)。 |
修改策略 | 管理员已经做了处理,并配置了相应的策略,可以通过修改策略重新调整策略。 |
完整的处理策略包括匹配规则(事件)、对应的处理动作、策略应用范围。您可以根据实际业务场景设置处理策略。
只有在线设备能够接收处理策略。
离线设备需要等到下次在线时,才能接收处理策略。
触发条件
普通模式:仅针对特定的事件进行匹配。
高级模式:通过通配符设置匹配规则,事件筛选支持的通配符操作如下表所示。
匹配对象
支持的通配符
示例
文件路径或进程
单个字符用半角问号(?)表示。
同一个路径内的任一字符用星号(*)表示。
任意层路径用两个星号(**)表示。
/system/dps/etc/*
IP地址
支持子网掩码。
多个IP或IP段用半角逗号(,)分隔。
一组连续的IP用短划线(-)连接。
192.168.1.0/24,192.168.2.1-192.168.2.100
处理动作
处理动作是异常事件命中安全策略时的响应动作,包括告警、阻止、允许。
告警:本次不处理,后续再发生仍然会上报为异常事件。
阻止:后续同样的事件发生时,SOC会进行阻断操作。
允许:后续同样的事件发生时,SOC不做阻断处理,并且不再上报为异常事件。
异常事件默认处理策略为告警。
异常详情
通过详情查看该异常事件的详细信息。
信息 | 说明 |
---|---|
产品名称 | 产生该事件的设备所属产品。 |
ProductKey | 设备所属产品的ProductKey。 |
DeviceName | 产生该事件的设备名称,是设备在产品内的唯一标识符。 |
生产商 | 该设备的生产厂商。 |
产品版本 | 该产品的版本。 |
首次上报时间 | 该事件第一次发生的时间。 |
处理策略 | 针对该事件的处理方式。 说明 后续发生同样事件时,按照处理方式自动执行。 |
描述 | 事件描述信息。 |
最近10条异常上报 | 该事件最近10次发生的时间,以及每次发生时的处理结果。 |