ActionTrail prend en charge les événements Insights pour détecter les activités inhabituelles dans vos événements de gestion. Une fois cette fonctionnalité activée, ActionTrail analyse vos événements de gestion afin d'identifier les activités potentiellement risquées liées aux appels API, aux erreurs API, aux adresses IP, aux paires AccessKey, aux modifications d'autorisations, aux changements de mot de passe et à la dissimulation de trail. Il génère ensuite des événements Insights qui vous offrent une visibilité sur les risques de gestion et vous aident à agir rapidement.
Différences entre les événements Insights et les événements de gestion
|
Type d'événement |
Description |
Références |
|
événement de gestion |
Journal d'une opération de gestion effectuée sur une ressource cloud par une identité au sein de votre compte Alibaba Cloud. |
|
|
événement Insights |
À partir de vos événements de gestion enregistrés, ActionTrail utilise des modèles mathématiques pour analyser et identifier les activités potentiellement risquées. Cette analyse génère plusieurs types d'événements Insights, notamment l'événement Insights sur le taux d'appels API ( |
L'analyse des événements de gestion permet seule de générer des événements Insights. La fonctionnalité Insights n'analyse pas les événements de données, même si vous avez activé la journalisation des événements de données pour votre trail.
Fonctionnalités
La fonctionnalité Insights d'ActionTrail analyse tous les événements de gestion de votre compte Alibaba Cloud sur une période historique pour générer les types d'événements suivants : événement Insights sur le taux d'appels API (ApiCallRateInsight), événement Insights sur le taux d'erreurs API (ApiErrorRateInsight), événement Insights sur l'adresse IP (IpInsight), événement Insights sur le taux d'appels de paire AccessKey (AkInsight), événement Insights sur la modification d'autorisation (PolicyChangeInsight), événement Insights sur la modification de mot de passe (PasswordChangeInsight) et événement Insights sur la dissimulation de trail (TrailConcealmentInsight). Chaque événement Insights comprend un événement de début et un événement de fin, marquant respectivement le début et la fin de l'activité détectée.
**Événement Insights sur le taux d'appels API (
ApiCallRateInsight)** : Analyse les opérations d'écriture dans votre compte. Il utilise des modèles mathématiques pour comparer le taux d'appels API actuel d'une opération à sa référence historique. Si le taux s'écarte de manière significative, ActionTrail génère un événement Insights.**Événement Insights sur le taux d'erreurs API (
ApiErrorRateInsight)** : Analyse tous les événements de gestion liés aux erreurs d'appel API. Il utilise des modèles mathématiques pour comparer le taux d'erreurs API actuel à sa référence historique. Si le taux s'écarte de manière significative, ActionTrail génère un événement Insights.**Événement Insights sur l'adresse IP (
IpInsight)** : Établit un modèle d'activité normale des adresses IP pour votre compte. Il recherche et identifie en continu les nouvelles adresses IP sources ou les adresses anormales, et génère un événement Insights pour toute activité suspecte.**Événement Insights sur le taux d'appels de paire AccessKey (
AkInsight)** : Analyse l'utilisation de tous les ID AccessKey dans votre compte. Il utilise des modèles mathématiques pour comparer le taux d'appels d'une paire AccessKey spécifique à sa référence historique. Si le taux s'écarte de manière significative, ActionTrail génère un événement Insights.**Événement Insights sur la modification d'autorisation (
PolicyChangeInsight)** : Analyse les modifications d'autorisations sur les services cloud tels que RAM, OSS et Resource Management. Il utilise l'apprentissage automatique pour filtrer les modifications routinières effectuées par les opérateurs fréquents et génère un événement Insights pour les modifications effectuées par un opérateur peu fréquent ou inhabituel.**Événement Insights sur la modification de mot de passe (
PasswordChangeInsight)** : Analyse les modifications de mot de passe sur les services cloud tels que KMS, AasCustomer (service de connexion au compte Alibaba Cloud) et AasSub (service de connexion utilisateur RAM). Il utilise l'apprentissage automatique pour filtrer les modifications routinières effectuées par les opérateurs fréquents et génère un événement Insights pour les modifications effectuées par un opérateur peu fréquent ou inhabituel.**Événement Insights sur la dissimulation de trail (
TrailConcealmentInsight)** : Analyse les actions qui arrêtent ou suppriment un trail dans ActionTrail. Il utilise l'apprentissage automatique pour filtrer les modifications de configuration de trail routinières et génère un événement Insights lorsqu'un opérateur peu fréquent ou inhabituel effectue ces actions.
Fonctionnement
Conditions de génération : Après avoir activé la fonctionnalité Insights, il faut au moins 24 heures pour générer le premier événement Insights. ActionTrail crée des événements Insights uniquement lorsqu'il détecte une activité potentiellement risquée ou anormale dans votre compte Alibaba Cloud.
Portée : ActionTrail analyse les événements de gestion par région. Ainsi, un événement Insights est toujours généré dans la même région que les événements de gestion qui l'ont déclenché.
-
Règles de détection :
-
**Événement Insights sur le taux d'appels API (
ApiCallRateInsight)** : Analyse les taux d'appels API pour détecter des anomalies. Il utilise des modèles mathématiques pour détecter des différences significatives entre le comportement d'appel API actuel et le comportement historique. Si une différence significative est trouvée, ActionTrail génère un événement Insights pour cette API.RemarqueCe type d'événement est plus sensible aux événements d'écriture.
-
**Événement Insights sur le taux d'erreurs API (
ApiErrorRateInsight)** : Analyse les taux d'erreurs API pour détecter des anomalies. Il utilise des modèles mathématiques pour détecter des différences significatives entre les modèles d'erreurs API actuels et historiques. Si une différence significative est trouvée, ActionTrail génère un événement Insights pour cette erreur API.RemarqueCe type d'événement est également sensible aux événements de lecture et d'écriture.
**Événement Insights sur l'adresse IP (
IpInsight)** : Identifie les accès provenant d'adresses IP à risque. Il utilise des algorithmes de corrélation IP pour détecter les activités suspectes. Ce processus peut occasionnellement signaler une nouvelle adresse IP légitime comme étant à risque. ActionTrail génère un seul événement Insights par jour pour une adresse IP suspecte spécifique, correspondant à son premier accès détecté.-
**Événement Insights sur le taux d'appels de paire AccessKey (
AkInsight)** : Analyse les taux d'appels AccessKey pour détecter des anomalies. Il utilise des modèles mathématiques pour détecter des différences significatives entre le comportement d'appel actuel et historique d'une AccessKey. Si une différence significative est trouvée, ActionTrail génère un événement Insights pour cette AccessKey.RemarqueCe type d'événement est plus sensible aux événements d'écriture.
**Événement Insights sur la modification d'autorisation (
PolicyChangeInsight)** : Analyse les modifications d'autorisations effectuées par des opérateurs peu fréquents. Il utilise des algorithmes d'apprentissage automatique pour générer des ensembles d'éléments fréquents et des règles d'association, en filtrant les actions des opérateurs réguliers et en générant des événements pour les comportements anormaux.**Événement Insights sur la modification de mot de passe (
PasswordChangeInsight)** : Analyse les modifications de mot de passe effectuées par des opérateurs peu fréquents. Il utilise des algorithmes d'apprentissage automatique pour générer des ensembles d'éléments fréquents et des règles d'association, en filtrant les actions des opérateurs réguliers et en générant des événements pour les comportements anormaux.**Événement Insights sur la dissimulation de trail (
TrailConcealmentInsight)** : Analyse les actions effectuées par des opérateurs peu fréquents pour arrêter ou supprimer un trail. Il utilise des algorithmes d'apprentissage automatique pour générer des ensembles d'éléments fréquents et des règles d'association, en filtrant les actions de configuration de trail des opérateurs réguliers et en générant des événements pour les comportements anormaux.
-
Utilisation
-
Les événements Insights ne sont pas disponibles dans les régions suivantes :
Chine (Heyuan)
Chine (Nanjing - Région locale) Fermeture
Chine (Guangzhou)
Chine (Fuzhou - Région locale) Fermeture
Chine (Wuhan - Région locale)
Corée du Sud (Séoul)
Philippines (Manille)
Émirats arabes unis (Dubaï)
RemarquePour la liste complète des régions où ActionTrail est disponible, consultez Régions prises en charge. Les événements Insights sont pris en charge dans toutes ces régions, à l'exception de celles listées ci-dessus.
La fonctionnalité Insights est actuellement disponible en essai gratuit. Pour plus d'informations sur les frais futurs, consultez Facturation.
Après avoir activé la fonctionnalité Insights, ActionTrail analyse en continu tous les événements de gestion ultérieurs dans les régions prises en charge.
Il faut au moins 24 heures pour générer le premier événement Insights après l'activation de la fonctionnalité. ActionTrail génère un événement Insights uniquement lorsqu'il détecte une activité inhabituelle dans votre compte.
Interroger les événements Insights
Une fois la fonctionnalité Insights activée, vous pouvez interroger les événements Insights du mois dernier dans la région actuelle depuis la console ActionTrail. Pour des instructions détaillées, consultez Interroger les événements Insights depuis la console ActionTrail.