La función de gestión de inicios de sesión de Security Center es un componente clave para garantizar la seguridad del sistema y proteger los datos de los usuarios. Este tema describe cómo gestionar de manera eficaz la información habitual de inicio de sesión, así como consultar y atender las alertas de inicios de sesión inusuales.
Gestión de la información habitual de inicio de sesión
Es posible configurar ubicaciones, direcciones IP, horarios y cuentas de inicio de sesión habituales. Security Center genera alertas cuando se detectan inicios de sesión fuera de los rangos especificados. Siga estos pasos para configurar dicha información.
No existe un límite explícito en la cantidad de direcciones IP de inicio de sesión habituales. Configure varias direcciones IP una por una según lo requiera. Si necesita configurar una gran cantidad de direcciones IP (por ejemplo, cientos), se recomienda usar rangos IP en formato CIDR. De esta forma, configura los rangos por lotes, reduce el número de reglas y facilita la gestión posterior.
Inicie sesión en la consola de Security Center.
En el panel de navegación izquierdo, elija . En la esquina superior izquierda de la consola, seleccione la región donde se encuentra el recurso que desea proteger: Chinese Mainland o Outside Chinese Mainland.
En la página Host-specific Rule Management, haga clic en la pestaña Common Logon Management.
-
En la pestaña Common Logon Management, gestione los apartados Approved Logon Location, Approved Logon IP Address, Approved Logon Time y Approved Logon Account.
Los pasos de configuración son prácticamente iguales para Approved Logon Location, Approved Logon IP Address, Approved Logon Time y Approved Logon Account. A continuación se muestra un ejemplo sobre cómo gestionar Approved Logon Location. Para las demás reglas, siga los mismos pasos que aplicó a la ubicación de inicio de sesión habitual.
En la pestaña Approved Logon Location, haga clic en Create Policy.
En el panel Approved Logon Location, seleccione una o más regiones como ubicaciones de inicio de sesión habituales. Luego, elija los servidores a los que aplica la regla y haga clic en OK para completar la configuración.
-
Security Center permite editar y eliminar las ubicaciones de inicio de sesión habituales que ya se agregaron.
Haga clic en Edit junto a la ubicación de destino para modificar los servidores a los que aplica.
Haga clic en Delete junto a la ubicación de destino para eliminar su configuración.
También puede agregar notas a las direcciones IP de inicio de sesión habituales. En la pestaña Approved Logon IP Address, haga clic en el ícono
de la columna Note correspondiente a la dirección IP de destino para agregar una descripción.
Consulta y atención de alertas de inicios de sesión inusuales
Consulta de alertas
Consulte y atienda las alertas de inicios de sesión inusuales en la página Alert, dentro de la pestaña CWPP. Para ello, defina el tipo de alerta como Unusual Logon. Para obtener más información, consulte Evaluate and handle security alerts.
También puede hacer clic en Details en la columna Actions para consultar la información detallada del elemento de riesgo de la alerta.
Instrucciones de atención
-
Precisión de la ubicación de la IP
Precisión predeterminada: la ubicación de la dirección IP en una alerta de Unusual Logon solo tiene precisión a nivel de provincia o estado, como Guangdong.
Limitación: no se admite de forma directa la ubicación a nivel de ciudad.
-
Cómo consultar la ubicación detallada
Siga estos pasos para obtener la ubicación a nivel de ciudad y la información del proveedor:
Registre la dirección IP: en la página de detalles de la alerta, copie la dirección IP pública del origen del inicio de sesión.
Consulte mediante un servicio de terceros: utilice un servicio externo de búsqueda de IP, como ipip.net, para consultar la ubicación detallada y el proveedor de la dirección IP.
-
Recomendaciones para la atención posterior
Aplique las medidas de seguridad correspondientes según el resultado de la consulta:
-
Escenario A: se confirma que el origen del inicio de sesión es normal.
Acción: seleccione la alerta en la página Security Alerts y agréguela a la lista de permitidos.
Efecto: la dirección IP o el bloque CIDR se agrega a la lista de confianza para evitar alertas duplicadas.
-
Escenario B: la ubicación no coincide con lo esperado (posible acceso no autorizado).
Riesgo: posibles ataques de fuerza bruta o accesos no autorizados.
Acción: restrinja las reglas del security group del servidor.
Configuración: para los puertos de administración remota (Windows: 3389 / Linux: 22), limite el origen únicamente a direcciones IP o bloques CIDR de confianza y deniegue todas las demás direcciones IP.
-
Preguntas frecuentes
-
¿Por qué no recibo alertas de inicios de sesión inusuales después de configurar las reglas habituales?
Si configuró reglas de ubicación, dirección IP, horario o cuenta de inicio de sesión habituales, pero no recibe ninguna alerta ante un inicio de sesión fuera del rango especificado, solucione el problema de la siguiente manera:
Confirme que la regla esté activa: en la página Host-specific Rule Management, vaya a la pestaña Common Logon Management y compruebe si la regla correspondiente existe y se encuentra en estado normal.
Compruebe que los servidores cubiertos por la regla sean correctos: cada regla de inicio de sesión habitual debe indicar los servidores a los que aplica. Verifique si el servidor donde ocurrió el inicio de sesión inusual está incluido en el alcance de la regla.
Asegúrese de que las notificaciones de alerta estén habilitadas: compruebe si la notificación de alerta de inicio de sesión inusual está habilitada en la configuración de alertas de seguridad. También verifique que los métodos de notificación (SMS, correo electrónico, DingTalk, etc.) estén configurados correctamente. Para obtener más información, consulte la documentación correspondiente sobre la configuración de alertas de seguridad.
Consulte los registros de inicio de sesión: en la consola de Security Center, revise los registros de inicio de sesión en la página Logon Audit o en una página relacionada para confirmar si se registró el comportamiento inusual.
-
¿Cómo gestiono las configuraciones de inicio de sesión habitual después de cambiar la dirección IP pública de un servidor?
Cuando cambia la dirección IP pública de un servidor, es posible que las reglas de IP de inicio de sesión habituales dejen de aplicar. Además, los registros de inicio de sesión de la IP anterior al cambio podrían seguir generando alertas inusuales, ya que Security Center determina este tipo de inicios de sesión con base en el comportamiento histórico. Atienda el problema de la siguiente manera:
Actualice las direcciones IP de inicio de sesión habituales: en la pestaña Common Logon Management, vaya a la subpestaña Approved Logon IP Address, elimine la configuración de la IP antigua y agregue la nueva dirección IP pública.
Ignore las alertas de la IP antigua: si la alerta de inicio de sesión inusual ocurrió antes del cambio de dirección IP y se activó por un comportamiento histórico, puede ignorarla en la página Security Alerts.
Sincronice la información más reciente de los recursos: después de cambiar la dirección IP, se recomienda sincronizar la información de los recursos en Asset Center. Así se asegura de que las direcciones IP de los servidores registradas por Security Center estén actualizadas.