Enregistrez, acheminez et analysez les opérations sur les ressources cloud grâce à ActionTrail pour l'analyse de la sécurité, le suivi des modifications de ressources et l'audit de conformité.
Risques de sécurité
Les normes de conformité en matière de sécurité, telles que MLPS 2.0, exigent de journaliser toutes les opérations et de conserver les journaux pendant un nombre défini de jours. ActionTrail enregistre les opérations cloud effectuées par les utilisateurs et les services Alibaba Cloud (via l'endossement de rôle ou les autorisations utilisateur) afin de satisfaire aux exigences de conformité. Les journaux capturent les détails des opérations anormales, notamment les échecs d'authentification et d'autorisation, les adresses IP source, les ID d'identifiants, les paramètres de requête et d'autres métadonnées. Cela vous aide à analyser les comportements anormaux et à détecter les activités malveillantes potentielles.
Bonnes pratiques
Activez le suivi des journaux ActionTrail
Par défaut, ActionTrail conserve les événements pendant 90 jours. Le système supprime quotidiennement les enregistrements plus anciens. Pour stocker les événements au-delà de 90 jours, créez une piste pour compte unique ou une piste multi-comptes afin d'acheminer les événements vers OSS ou Simple Log Service (SLS) pour la surveillance et l'analyse. Si vous souhaitez uniquement archiver les événements, stockez-les dans OSS.
Configurez des alertes d'événements
Les alertes d'événements surveillent vos ressources cloud en temps réel. Lorsqu'une règle détecte une menace potentielle pour la sécurité ou une opération non conforme, elle notifie les utilisateurs et les groupes d'utilisateurs. Consultez la rubrique Configuration des alertes d'événements.
Les modèles de règles d'alerte incluent des règles de sécurité prédéfinies, telles que des alertes pour les échecs de connexion consécutifs, les connexions au compte root, les connexions depuis des adresses IP non autorisées et les connexions en dehors des heures ouvrées.
Vous pouvez également créer une règle d'alerte personnalisée pour spécifier les champs et les conditions à surveiller.
Analysez les journaux avec Insights
Insights utilise des modèles mathématiques pour analyser les opérations clés et détecter les écarts par rapport aux modèles d'appels historiques, tels qu'une augmentation significative du taux d'appels API. Lorsqu'un écart majeur est détecté, Insights génère un événement Insights pour vous aider à identifier les risques liés à la gestion du cloud. Les types d'événements détectables incluent les appels API à risque, les erreurs API, les requêtes IP, les appels AccessKey, les modifications d'autorisations, les modifications de mot de passe et les événements de piste anormaux. Consultez la rubrique Présentation des événements Insights.