Security Center:Customize Security Center alert notifications

Vue d'ensemble

Security Center transmet les alertes à CloudMonitor, qui les relaie ensuite vers Lark ou WeChat Work grâce aux abonnements aux événements. Procédez comme suit :

1. Activer la transmission vers CloudMonitor : Activez l'option de transmission dans les paramètres de notification de Security Center et sélectionnez les types d'alerte concernés.

2. Créer un chatbot : Créez un chatbot personnalisé dans Lark ou WeChat Work, puis copiez son URL de webhook.

3. Créer un groupe de contacts d'alerte dans CloudMonitor :

   1. Créez un contact d'alerte dans CloudMonitor et associez-y l'URL du webhook.

   2. Ajoutez ce contact d'alerte à un groupe de contacts d'alerte.

4. Créer une politique de notification CloudMonitor : Élaborez une politique de notification et liez-la au groupe de contacts d'alerte.

5. Configurer un abonnement aux événements CloudMonitor : Abonnez-vous aux événements système de Security Center et associez cet abonnement à la politique de notification.

Étape 1 : Activer la transmission vers CloudMonitor dans Security Center

Activez la transmission vers CloudMonitor afin qu'il puisse recevoir et relayer les alertes de Security Center.

1. Accédez à la . Dans le coin supérieur gauche de la page, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Dans l'onglet Cloud Monitor Push, sélectionnez les éléments de notification à transmettre. Le tableau ci-dessous décrit ces éléments.

   Élément de notification	Fréquence de transmission	Description
   Security Incident	Push Result Details : Illimitée	Notifications relatives aux attaques de sécurité détectées, telles que les attaques DDoS et les attaques par force brute.
   Alert	Push Result Details : Illimitée	Notifications concernant les menaces détectées sur les hôtes ou dans les conteneurs, comme les activités de connexion suspectes et les processus malveillants.
   Baseline Check	Push Result Overview : Envoyé une fois par semaine, chaque jeudi.	Notifications contenant les rapports récapitulatifs des vérifications des lignes de base de sécurité.
   CSPM	Push Result Overview : Envoyé une fois par semaine, chaque jeudi.	Notifications contenant les rapports récapitulatifs des vérifications des risques de configuration de la plateforme cloud.
   Agentless Detection	Push Result Details : Personnalisable	Notifications relatives aux résultats des analyses de sécurité ne nécessitant pas l'installation d'un agent.
   Malicious file	Push Result Details : Personnalisable	Notifications concernant les fichiers malveillants détectés par le SDK de détection des fichiers malveillants.
   Vulnerability	Push Result Overview : Envoyé une fois par semaine, chaque jeudi. Push Result Details : Personnalisable	Notifications concernant les résultats de détection et les récapitulatifs des vulnérabilités système et applicatives.
   RASP	Push Result Details : Personnalisable	Notifications d'alerte pour la protection automatique des applications au moment de l'exécution (RASP).

Étape 2 : Créer un chatbot

Créez un chatbot personnalisé dans Lark ou WeChat Work et copiez son URL de webhook pour l'utiliser à l'étape 3.

Étape 3 : Configurer les contacts d'alerte et les politiques

Créez un contact d'alerte dans CloudMonitor, associez l'URL du webhook obtenue à l'étape 2 et ajoutez le contact à un groupe de contacts.

1. Créer un contact d'alerte

   1. Connectez-vous à la console CloudMonitor. Dans le volet de navigation de gauche, choisissez Alerts > Alert Contacts.

   Console CloudMonitor

   2. Sous l'onglet Alert Contacts, cliquez sur Create Alert Contact.

   3. Dans le panneau Set Alert Contact, configurez les paramètres suivants :

      • Name : saisissez un nom, par exemple Lark chatbot ou WeChat Work chatbot.

      • DingTalk|Lark|WeCom|Slack Webhook(http|https) : collez l'URL du webhook obtenue à l'étape 2. Ce champ de webhook universel accepte les URL pour Lark et WeChat Work.

   4. (Facultatif) Tester la connectivité du webhook : cliquez sur Test à côté du champ webhook. Un code d'état 200 confirme que la connexion est établie avec succès.

   5. Une fois les informations vérifiées, cliquez sur Confirm.

2. Créer un groupe de contacts d'alerte

   1. Cliquez sur l'onglet Alert Contact Group, puis cliquez sur Create Alert Contact Group.

   2. Dans le panneau Create Alert Contact Group, configurez les paramètres suivants et cliquez sur Confirm.

      1. Group Name : saisissez un nom pour le groupe, par exemple Lark chatbot group ou WeChat Work chatbot group.

      2. Select contacts : sélectionnez le contact d'alerte créé à l'étape précédente.

3. Créer une politique de notification

   1. Dans le volet de navigation de gauche, choisissez Event Center > Notification Configuration.

   2. Cliquez sur Create policy. Configurez les paramètres suivants et cliquez sur OK.

      • Name : saisissez un nom pour la politique. Par exemple, Security Center Alert Notification.

      • Notification Settings : sélectionnez Set Notification Group Directly.

      • Contact Group : sélectionnez le groupe de contacts d'alerte créé à l'étape précédente.

Étape 4 : Configurer un abonnement aux événements

Abonnez-vous aux événements système de Security Center et associez cet abonnement à la politique de notification créée à l'étape 3.

1. Connectez-vous à la console CloudMonitor. Dans le volet de navigation de gauche, choisissez Event Center > Event Subscription.

Console CloudMonitor

2. Sous l'onglet Subscription Policy, cliquez sur Create Subscription Policy et configurez les paramètres suivants.

   • Name : saisissez un nom descriptif, par exemple Security Center Alerts to Lark.

   • Subscription Type : sélectionnez System Events.

   • Subscription Scope :

     • Products : sélectionnez Security Center.

     • Event Type : sélectionnez le type d'événement correspondant à l'Notification Item et au Push Content activés à l'étape 1. Correspondances :

       Security Center	CloudMonitor
       Security Incident	Incident
       Alert	Suspicious
       Baseline Check	System-Baseline-cnt
       CSPM	Cspm-cnt
       Agentless Detection	Agentless
       Malicious file SDK	mfd SDK
       Vulnerability	Push Result Overview : Vulnerability-cnt Push Result Details : Vulnerability
       RASP	Rasp

     • Event name et Event Level : sélectionnez les événements pour lesquels vous souhaitez recevoir des notifications.

       • Laissez ces champs vides pour recevoir des notifications pour tous les événements.

       • Si vous sélectionnez Set as blacklist, la règle s'inverse : vous recevez des notifications pour tous les événements, à l'exception de ceux correspondant au Event name ou au Event Level spécifié.

     • Application grouping, Event Content et Event Resources : conservez les valeurs par défaut.

   • Combined Noise Reduction : conservez les valeurs par défaut.

   • Notification Configuration : sélectionnez la politique de notification configurée à l'étape 3.

   • Custom Notification Method et Push and Integration : conservez les valeurs par défaut.

3. Cliquez sur Submit.

FAQ

• Pourquoi ne reçois-je pas d'alertes après avoir terminé la configuration ?

  Vérifiez les points suivants :

  1. Interrupteur de push Security Center : Vérifiez que l'interrupteur Cloud Monitor Push est activé pour les types d'alerte attendus à l'étape 1.

  2. Règle d'abonnement aux événements : À l'étape 4, confirmez que les conditions de filtre (Event Type, niveau d'événement) correspondent aux alertes attendues.

  3. Mots-clés Lark (problème le plus courant) : Assurez-vous que les mots-clés personnalisés correspondent au contenu du message d'alerte. Utilisez des mots-clés généraux tels que alert ou event.

  4. URL Webhook : Dans les Alert Contacts de CloudMonitor, utilisez Test pour vérifier que le webhook est accessible. Vérifiez l'absence d'erreurs dans l'URL ou de blocage par le pare-feu.

  5. Historique des événements CloudMonitor : Consultez Event Center > Event History pour voir les événements reçus. Les échecs de push indiquent la raison de l'échec.

• Comment éviter la saturation d'alertes ?

  • Activer la fusion et la réduction du bruit : Dans l'abonnement aux événements, configurez Merge and Reduce Noise pour regrouper les événements répétés sur une fenêtre de temps donnée (par exemple, 1 minute).

  • Filtrer avec précision : Définissez le niveau d'événement (par exemple, uniquement les risques élevés) ou spécifiez des valeurs particulières pour le nom d'événement afin de réduire le bruit.

• Que faire si le test du webhook renvoie un code d'état différent de 200 ?

  Un code d'état différent de 200 signifie que CloudMonitor ne peut pas atteindre votre chatbot. Causes courantes :

  • URL incorrecte : L'URL du webhook est incomplète ou erronée.

  • Restrictions de liste blanche IP : Certains outils comme Lark utilisent des listes blanches IP. Ajoutez les adresses IP des serveurs CloudMonitor à la liste blanche.

  • Non-concordance des mots-clés (Lark) : Le message ne contient aucun mot-clé correspondant, ce qui bloque la livraison par Lark.

  • Dépassement de la limite de fréquence : Le bot a atteint sa limite de débit. WeChat Work, par exemple, n'autorise que 15 messages par minute.