Security Center：什麼是威脅分析與響應

工作原理

威脅分析與響應是一款雲原生安全資訊和事件管理解決方案，主要提供日誌標準化、警示產生、彙總分析、事件響應編排等能力。

威脅分析與響應通過整合多雲、多帳號、多產品和不同安全廠商的日誌，利用預定義和自訂的威脅檢測規則，深入分析收集到的日誌，從而識別並還原出完整的攻擊鏈路，並形成詳細的安全事件。在檢測到安全威脅時，威脅分析與響應能夠啟動自動化響應編排，聯動相關雲產品對惡意實體執行封鎖、隔離等安全措施，以實現快速且有效安全事件處置。

功能特性

• 標準化資料接入

  接入跨雲平台、跨產品、跨帳號的安全警示日誌、部落格、系統日誌、應用日誌等，對資料進行標準化、上下文增強。

• 多維度威脅檢測

  基於多來源資料關聯分析、AI圖計算推理、以及即時更新的威脅情報等威脅發現手段，強化南向安全裝置的單點威脅檢測能力。預定義跨資料來源威脅檢測規則，提供四大類型事件分析模型：專家規則、圖計算、警示透傳、同類彙總。

• 高效的事件調查

  彙總相關警示產生安全事件，自動還原攻擊時間軸和路徑，安全事件對警示收斂率達萬分之一，豐富事件調查上下文，加速警示、事件處置研判效率。

• 自動化響應編排

  通過自動響應規則和編排劇本，聯動多產品自動化處置惡意實體，如IP、檔案、進程等，將應急響應經驗流程化、常態化、自動化。

支援接入的產品和日誌

威脅分析與響應支援接入30+產品、60+日誌類型。具體支援的雲產品和日誌資訊如下表所示：

訂用帳戶購買

1. 登入Security Center控制台。

2. 在左側導覽列，選擇檢測響應 > 威脅分析與響應。

3. 在威脅分析與響應頁面，單擊開通訂用帳戶。

4. 在快速購買頁簽，購買方式保持預設選項訂用帳戶，設定威脅分析與響應是否選購為是，並設定需要購買的日志接入流量和日誌儲存容量。

   您可以參考下文設定威脅分析與響應的購買項，關於Security Center版本選擇和其他服務選購說明，請參見購買Security Center。

   • 日誌接入流量：選擇每天需接入威脅分析與響應進行分析的日誌流量，單位為GB/天。起售量100 GB/天，購買步長為100 GB/天。購買該項後，您可以使用CTDR除日誌管理、規則管理（自訂規則）、儀表板功能外的其他功能。

     重要

     • 未開通威脅分析與響應隨用隨付時，日誌接入流量為必選項。

     • 開通威脅分析與響應隨用隨付時，日誌接入流量該項將不再顯示。

     您可以通過以下方式估算需購買的日誌接入流量：

     • 根據已開通的Log Service容量評估：

       日誌接入流量（GB/天）=日誌儲存容量/TTL

       • 日誌儲存容量為需接入威脅分析與響應的日誌源已使用的日誌儲存空間。

       • TTL為日誌儲存時間。

     • 根據日誌接入數量EPS評估：

       日誌接入流量（GB/天）=EPS*86400s*SIZE/(1024*1024)

       • EPS全稱為Event Per Second，一天內接入威脅分析的原始日誌的數量。

       • SIZE為每條日誌的大小，一般範圍為3~7 KB。

   • 日誌儲存容量（可選）：選擇需使用的日誌儲存容量，1,000 GB起售，購買步長為1,000 GB。推薦為每台伺服器配置120 GB日誌儲存容量，或按照Security Center日誌分析儲存容量的3倍進行配置。更多資訊，請參見日誌管理。

   

5. 仔細閱讀並選中Security Center服務合約，單擊立即購買並完成支付。

6. 登入Security Center控制台。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。

7. 在左側導覽列，選擇檢測響應 > 威脅分析與響應。

8. 在威脅分析與響應頁面，單擊去授權。

   預設選中確認開啟推薦日志接入策略，以識別雲上安全事件。選中該配置項並完成授權操作後，CTDR將自動接入當前阿里雲帳號的Security Center、Web Application Firewall、Cloud Firewall和Action Trail產品的日誌。更多資訊，請參見推薦日誌接入策略說明。如果未選中該配置項，您需要自行將日誌接入CTDR。

   執行完授權操作後，Security Center將自動建立服務關聯角色AliyunServiceRoleForSasCloudSiem，以便CTDR使用該服務關聯角色訪問您其他雲產品中的資源。更多資訊，請參見Security Center服務關聯角色。

開通隨用隨付

1. 登入Security Center控制台。

2. 在左側導覽列，選擇檢測響應 > 威脅分析與響應。

3. 在威脅分析與響應頁面，單擊开通按量付费。

4. 在正在開通Security Center隨用隨付對話方塊，仔細閱讀計費規則說明，選中或取消選中開啟日誌接入策略，單擊立即開通並授權。

   選中開啟日誌接入策略並完成授權操作後，CTDR才會自動接入當前阿里雲帳號的Security Center、Web Application Firewall、Cloud Firewall和Action Trail產品的日誌。請在確認推薦的日誌接入策略符合您所需的日誌類型後，再選中該選項。更多資訊，請參見推薦日誌接入策略說明。

   重要

   啟用推薦日誌接入策略後，系統將自動把指定的日誌類型接入CTDR。Security Center將根據實際的日誌接入量，在次日產生相應的賬單。

   執行完該操作後，Security Center將自動建立服務關聯角色AliyunServiceRoleForSasCloudSiem，以便CTDR使用該服務關聯角色訪問您其他雲產品中的資源。更多資訊，請參見Security Center服務關聯角色。