什么是威胁分析与响应

厂商

产品名称

日志类型

阿里云

云安全中心（Security Center）

• 安全告警日志、云平台配置检查日志、漏洞日志、基线日志

• 登录流水日志、网络连接日志、进程启动日志、文件读写日志、暴力破解日志

• 网络快照日志、账号快照日志、进程快照日志

• DNS请求日志

Web 应用防火墙 WAF（Web Application Firewall）

WAF告警日志、WAF CDN流日志（仅支持在中国区域接入）、WAF2.0全量/拦截/拦截和观察日志、WAF3.0全量/拦截/拦截和观察日志

云防火墙（Cloud Firewall）

云防火墙告警日志、云防火墙实时告警日志、云防火墙流量日志

DDoS 防护（Anti-DDoS）

DDoS高防全量日志、DDoS高防流日志（老高防）、DDoS原生防护日志

运维安全中心（堡垒机）（Bastionhost）

堡垒机日志

CDN

CDN流日志、CDN WAF流日志

边缘安全加速 ESA（Edge Security Acceleration）

DCDN 边缘函数日志、DCDN 用户访问日志、DCDN WAF拦截日志

API 网关（API Gateway）

API网关日志

容器服务 Kubernetes 版 ACK（Container Service for Kubernetes）

K8s审计日志

云原生数据库 PolarDB

PolarDB-X 1.0 SQL审计日志、PolarDB-X 2.0 SQL审计日志

云数据库 MongoDB 版

MongoDB运行日志、MongoDB审计日志

云数据库 RDS（Relational Database Service）

RDS SQL审计日志

专有网络 VPC（Virtual Private Cloud）

VPC流日志

弹性公网 IP EIP（Elastic IP Address）

弹性公网IP日志

负载均衡 SLB（Server Load Balancer）

ALB访问日志、CLB访问日志

对象存储 OSS（Object Storage Service）

OSS访问日志、OSS批量删除日志、OSS每小时计量日志

文件存储 NAS（File Storage NAS）

NAS NFS运行日志

函数计算 FC（Function Compute）

函数计算运行日志

操作审计（ActionTrail）

操作审计事件日志

配置审计（CloudConfig）

配置审计日志

腾讯云

Web应用防火墙

腾讯云Web应用防火墙告警日志

云防火墙

腾讯云云防火墙告警日志

华为云

Web应用防火墙

华为云Web应用防火墙告警日志

云防火墙

华为云云防火墙告警日志

概念

解释

处置策略

处置策略是以处置场景为最小单位的告警处置详情。每个处置实体在每个处置场景的处置结果均会生成一条处置策略。

处置任务

处置任务是以作用域为最小单元的告警处置详情。在事件处置过程中，每个处置实体的每个处置场景会根据作用域拆分成多个处置任务。

处置实体/实体

指关联告警的核心对象，包括IP地址、文件名、进程名称等。

响应编排

指在安全事件发生时，通过自动化工具和流程来组织和管理安全响应措施的一系列动作。这种方式能够帮助组织快速、有效地对安全事件做出反应，减少人工干预，提高处置效率。

剧本（PlayBook）

响应编排的剧本，是由一系列预设的响应策略组成，并可在特定事件触发时自动执行的自动化安全工作流程。

编写剧本类似于绘制流程图，包含流程的起始点、判定环节、具体动作和终结点。您可以通过可视化编辑界面自定义每个环节的特定动作，如定义终端管理组件的禁用网络动作。

组件（Component）

与外部系统或服务的接口，如Web应用防火墙、云防火墙、数据库、通知服务等。组件作为外部服务的连接器，本身不处理复杂的逻辑，而是依赖于所连接的系统或服务。在选择组件后，您需要指定对应的资源和动作。

组件分为流程编排组件、基础编排组件和安全应用组件。

资源实例（Resource Instance）

指定与组件相关联的具体外部服务详情。例如，对于MySQL组件，如果企业有多个MySQL服务实例，您需要明确要连接的具体数据库实例。

动作（Action）

组件的具体执行能力，一个组件可能包含多种动作。以终端管理软件为例，可能包括如禁用账户、隔离网络、发送通知等动作。