云上安全保护伞--SLS威胁情报集成实战

什么是威胁情报

根据Gartner对威胁情报的定义,威胁情报是某种基于证据的知识,包括上下文、机制、标示、含义和能够执行的建议。威胁情报描述了现存的、或者是即将出现针对资产的威胁或危险,并可以用于通知主体针对相关威胁或危险采取某种响应。业内大多数所说的威胁情报可以认为是狭义的威胁情报,其主要内容为用于识别和检测威胁的失陷标识,如文件HASHIP域名,程序运行路径,注册表项等,以及相关的归属标签。

阿里云威胁情报

威胁情报服务是阿里云提供的情报安全服务,结合威胁情报数据,通过对威胁来源进行实时自动化采集、分析、分类与关联,评估企业资产中存在的威胁并为改善安全状况提供建议。

威胁情报展示了近30天全球所有网上用户和客户企业已遭受的威胁统计数据,目前支持针对IP、域名、文件提供威胁情报。

云上安全保护伞--SLS威胁情报集成实战

SLS与威胁情报集成

日志审计简介

威胁情报集成

SLS日志审计服务威胁情报服务深度集成,利用威胁情报服务提供的全球威胁情报评估能力,支持对接入SLS的多种云产品日志(Actiontrial、SLB、OSS、SAS等)进行威胁情报检测,有效识别云产品使用过程中存在的潜在威胁。也支持以告警方式将检测到的异常及时通知给相关的安全人员,从而提升威胁检查效率和响应速度。

云上安全保护伞--SLS威胁情报集成实战

  • 对于RDS、Actiontrail、SAS等仅支持中心化的产品,开启威胁情报后,将在日志审计中心project下创建出中转logstore(transit_log)及威胁情报富化的数据加工任务,会产生产生额外的费用。
  • 对于SLB、OSS等支持区域化的产品,必须开启中心化存储,才能支持威胁情报。

最佳实践

开启日志采集及威胁情报功能

日志审计提供了多种云产品的一键采集功能,同时针对于一些涉及外网访问的产品日志提供了威胁情报扫描功能。用户只需要根据需求,在日志审计控制台首页一键开启即可。

云上安全保护伞--SLS威胁情报集成实战

开启威胁情报告警

  • 告警规则-> 渠道:日志审计服务 -> 类型:威胁情报,即可查看云产品日志告警规则。

云上安全保护伞--SLS威胁情报集成实战

  • 点击对应告警项的开启关闭按钮即可控制告警开关。

云上安全保护伞--SLS威胁情报集成实战

  • 参数设置
    • 触发告警的威胁级别:当检测出的威胁级别达到或超过该值时,触发告警
    • 日志条数阈值:20分钟内,同一个IP满足威胁级别条件的日志条数达到或超过该值时,触发告警

云上安全保护伞--SLS威胁情报集成实战

  • 配置通知渠道配置:通过内置“SLS审计内置行动策略”,配置通知渠道。

云上安全保护伞--SLS威胁情报集成实战

  • 触发告警及查看:当威胁发生时,SLS会将检测到当威胁情报通知给用户。

云上安全保护伞--SLS威胁情报集成实战

威胁分析

  • 查看告警详情。上述告警,发现了SLB出现了威胁IP访问。点击详情会跳转到对应云产品的查询分析控制台。

云上安全保护伞--SLS威胁情报集成实战

  • 威胁情报控制台进一步分析

云上安全保护伞--SLS威胁情报集成实战

可以发现,该ip存在暴力破解、WEB攻击的行为,且高危险等级。并结合自身业务做出该IP是否异常的判断。

威胁情报响应

  • 威胁:

若断定为威胁情报,需要针对具体的云产品设置访问控制,拒绝异常访问。例如,可以给SLB配置访问控制,将威胁IP置为黑名单过滤。

  • 误报:

告警提供了白名单机制,可以屏蔽误报IP。

云上安全保护伞--SLS威胁情报集成实战

上一篇:Splunk基础


下一篇:带你读《思科软件定义访问 : 实现基于业务意图的园区网络》第二章软件定义访问体系结构2.3(三)