ActionTrail admite eventos de Insights para ayudarle a detectar actividad inusual en sus eventos de gestión. Tras habilitar esta función, ActionTrail analiza sus eventos de gestión para identificar actividades potencialmente riesgosas relacionadas con llamadas a la API, errores de API, direcciones IP, pares de AccessKey, cambios de permisos, cambios de contraseña y ocultamiento de trails. Posteriormente, genera eventos de Insights que le brindan visibilidad sobre los riesgos de gestión y le permiten tomar medidas oportunas.
Diferencias entre eventos de Insights y eventos de gestión
|
Tipo de evento |
Descripción |
Referencias |
|
Evento de gestión |
Registro de una operación de gestión realizada sobre un recurso en la nube por una identidad dentro de su cuenta de Alibaba Cloud. |
|
|
Evento de Insights |
A partir de los eventos de gestión registrados, ActionTrail utiliza modelos matemáticos para analizar e identificar actividades potencialmente riesgosas. Este análisis genera varios tipos de eventos de Insights, incluidos: evento de Insights sobre tasa de llamadas a API ( |
Los eventos de Insights se generan únicamente mediante el análisis de eventos de gestión. La función Insights no analiza eventos de datos, incluso si ha habilitado el registro de eventos de datos para su trail.
Funciones
La función Insights en ActionTrail analiza todos los eventos de gestión de su cuenta de Alibaba Cloud durante un periodo histórico para generar los siguientes tipos de eventos: evento de Insights sobre tasa de llamadas a API (ApiCallRateInsight), evento de Insights sobre tasa de errores de API (ApiErrorRateInsight), evento de Insights sobre dirección IP (IpInsight), evento de Insights sobre tasa de llamadas de par AccessKey (AkInsight), evento de Insights sobre cambio de permisos (PolicyChangeInsight), evento de Insights sobre cambio de contraseña (PasswordChangeInsight) y evento de Insights sobre ocultamiento de trail (TrailConcealmentInsight). Cada evento de Insights incluye un evento de inicio y un evento de fin, que marcan el comienzo y el final de la actividad detectada.
**Evento de Insights sobre tasa de llamadas a API (
ApiCallRateInsight)**: Analiza las operaciones de escritura en su cuenta. Utiliza modelos matemáticos para comparar la tasa actual de llamadas a la API de una operación con su línea base histórica. Si la tasa se desvía significativamente, ActionTrail genera un evento de Insights.**Evento de Insights sobre tasa de errores de API (
ApiErrorRateInsight)**: Analiza todos los eventos de gestión relacionados con errores en llamadas a la API. Utiliza modelos matemáticos para comparar la tasa actual de errores de API con su línea base histórica. Si la tasa se desvía significativamente, ActionTrail genera un evento de Insights.**Evento de Insights sobre dirección IP (
IpInsight)**: Crea un modelo de actividad normal de direcciones IP para su cuenta. Escanea continuamente para identificar direcciones IP de origen nuevas o anómalas, y genera un evento de Insights ante cualquier actividad sospechosa.**Evento de Insights sobre tasa de llamadas de par AccessKey (
AkInsight)**: Analiza el uso de todos los ID de AccessKey en su cuenta. Utiliza modelos matemáticos para comparar la tasa de llamadas de un par de AccessKey específico con su línea base histórica. Si la tasa se desvía significativamente, ActionTrail genera un evento de Insights.**Evento de Insights sobre cambio de permisos (
PolicyChangeInsight)**: Analiza los cambios de permisos en servicios en la nube como RAM, OSS y Resource Management. Utiliza aprendizaje automático para filtrar cambios rutinarios realizados por operadores frecuentes y genera un evento de Insights cuando los cambios provienen de un operador poco frecuente o inusual.**Evento de Insights sobre cambio de contraseña (
PasswordChangeInsight)**: Analiza los cambios de contraseña en servicios en la nube como KMS, AasCustomer (servicio de inicio de sesión de cuenta de Alibaba Cloud) y AasSub (servicio de inicio de sesión de usuario de RAM). Utiliza aprendizaje automático para filtrar cambios rutinarios realizados por operadores frecuentes y genera un evento de Insights cuando los cambios provienen de un operador poco frecuente o inusual.**Evento de Insights sobre ocultamiento de trail (
TrailConcealmentInsight)**: Analiza las acciones que detienen o eliminan un trail en ActionTrail. Utiliza aprendizaje automático para filtrar cambios rutinarios en la configuración de trails y genera un evento de Insights cuando un operador poco frecuente o inusual realiza estas acciones.
Funcionamiento
Condiciones de generación: Después de habilitar la función Insights, transcurren como mínimo 24 horas antes de que se genere el primer evento de Insights. ActionTrail crea eventos de Insights solo cuando detecta actividades potencialmente riesgosas o anómalas en su cuenta de Alibaba Cloud.
Alcance: ActionTrail analiza los eventos de gestión por región, por lo que un evento de Insights siempre se genera en la misma región que los eventos de gestión que lo desencadenaron.
-
Reglas de detección:
-
**Evento de Insights sobre tasa de llamadas a API (
ApiCallRateInsight)**: Analiza las tasas de llamadas a la API en busca de anomalías. Utiliza modelos matemáticos para detectar diferencias significativas entre el comportamiento actual e histórico de llamadas a la API. Si se encuentra una diferencia significativa, ActionTrail genera un evento de Insights para dicha API.NotaEste tipo de evento es más sensible a eventos de escritura.
-
**Evento de Insights sobre tasa de errores de API (
ApiErrorRateInsight)**: Analiza las tasas de errores de API en busca de anomalías. Utiliza modelos matemáticos para detectar diferencias significativas entre los patrones actuales e históricos de errores de API. Si se encuentra una diferencia significativa, ActionTrail genera un evento de Insights para dicho error de API.NotaEste tipo de evento es igualmente sensible a eventos de lectura y escritura.
**Evento de Insights sobre dirección IP (
IpInsight)**: Identifica accesos desde direcciones IP riesgosas. Utiliza algoritmos de correlación de IP para detectar actividades sospechosas. Este proceso puede marcar ocasionalmente una dirección IP nueva y legítima como riesgosa. ActionTrail genera solo un evento de Insights al día para una dirección IP sospechosa específica, correspondiente a su primer acceso detectado.-
**Evento de Insights sobre tasa de llamadas de par AccessKey (
AkInsight)**: Analiza las tasas de llamadas de AccessKey en busca de anomalías. Utiliza modelos matemáticos para detectar diferencias significativas entre el comportamiento actual e histórico de llamadas de un AccessKey. Si se encuentra una diferencia significativa, ActionTrail genera un evento de Insights para dicho AccessKey.NotaEste tipo de evento es más sensible a eventos de escritura.
**Evento de Insights sobre cambio de permisos (
PolicyChangeInsight)**: Analiza los cambios de permisos realizados por operadores poco frecuentes. Utiliza algoritmos de aprendizaje automático para generar conjuntos de elementos frecuentes y reglas de asociación, filtra las acciones de operadores regulares y genera eventos para comportamientos anómalos.**Evento de Insights sobre cambio de contraseña (
PasswordChangeInsight)**: Analiza los cambios de contraseña realizados por operadores poco frecuentes. Utiliza algoritmos de aprendizaje automático para generar conjuntos de elementos frecuentes y reglas de asociación, filtra las acciones de operadores regulares y genera eventos para comportamientos anómalos.**Evento de Insights sobre ocultamiento de trail (
TrailConcealmentInsight)**: Analiza las acciones de operadores poco frecuentes para detener o eliminar un trail. Utiliza algoritmos de aprendizaje automático para generar conjuntos de elementos frecuentes y reglas de asociación, filtra las acciones de configuración de trails de operadores regulares y genera eventos para comportamientos anómalos.
-
Uso
-
Los eventos de Insights no están disponibles en las siguientes regiones:
China (Heyuan)
China (Nanjing - Local Region) Closing Down
China (Guangzhou)
China (Fuzhou - Local Region) Closing Down
China (Wuhan - Local Region)
South Korea (Seoul)
Philippines (Manila)
UAE (Dubai)
NotaPara consultar la lista completa de regiones donde ActionTrail está disponible, consulte Supported regions. Los eventos de Insights son compatibles con todas esas regiones, excepto las enumeradas anteriormente.
La función Insights se encuentra actualmente disponible como prueba gratuita. Para obtener información sobre cargos futuros, consulte Billing.
Después de habilitar la función Insights, ActionTrail analiza continuamente todos los eventos de gestión subsiguientes en las regiones compatibles.
Transcurren como mínimo 24 horas para generar el primer evento de Insights después de habilitar la función. ActionTrail genera un evento de Insights solo cuando detecta actividad inusual en su cuenta.
Consulta de eventos de Insights
Una vez habilitada la función Insights, puede consultar los eventos de Insights del último mes en la región actual desde la consola de ActionTrail. Para obtener instrucciones detalladas, consulte Query Insights events on the ActionTrail console.