其他分享
首页 > 其他分享> > 云上安全保护伞--SLS威胁情报集成实战

云上安全保护伞--SLS威胁情报集成实战

作者:互联网

什么是威胁情报

根据Gartner对威胁情报的定义,威胁情报是某种基于证据的知识,包括上下文、机制、标示、含义和能够执行的建议。威胁情报描述了现存的、或者是即将出现针对资产的威胁或危险,并可以用于通知主体针对相关威胁或危险采取某种响应。业内大多数所说的威胁情报可以认为是狭义的威胁情报,其主要内容为用于识别和检测威胁的失陷标识,如文件HASH,IP,域名,程序运行路径,注册表项等,以及相关的归属标签。

阿里云威胁情报

威胁情报服务是阿里云提供的情报安全服务,结合威胁情报数据,通过对威胁来源进行实时自动化采集、分析、分类与关联,评估企业资产中存在的威胁并为改善安全状况提供建议。

威胁情报展示了近30天全球所有网上用户和客户企业已遭受的威胁统计数据,目前支持针对IP、域名、文件提供威胁情报。

SLS与威胁情报集成

日志审计简介

威胁情报集成

SLS日志审计服务与威胁情报服务深度集成,利用威胁情报服务提供的全球威胁情报评估能力,支持对接入SLS的多种云产品日志(Actiontrial、SLB、OSS、SAS等)进行威胁情报检测,有效识别云产品使用过程中存在的潜在威胁。也支持以告警方式将检测到的异常及时通知给相关的安全人员,从而提升威胁检查效率和响应速度

 

最佳实践

开启日志采集及威胁情报功能

日志审计提供了多种云产品的一键采集功能,同时针对于一些涉及外网访问的产品日志提供了威胁情报扫描功能。用户只需要根据需求,在日志审计控制台首页一键开启即可。

开启威胁情报告警

 

威胁分析

可以发现,该ip存在暴力破解、WEB攻击的行为,且高危险等级。并结合自身业务做出该IP是否异常的判断。

威胁情报响应

若断定为威胁情报,需要针对具体的云产品设置访问控制,拒绝异常访问。例如,可以给SLB配置访问控制,将威胁IP置为黑名单过滤。

告警提供了白名单机制,可以屏蔽误报IP。

原文链接

本文为阿里云原创内容,未经允许不得转载。

标签:威胁,--,IP,SLS,情报,告警,云上,日志
来源: https://blog.csdn.net/weixin_43970890/article/details/117950828