Threat Detection and Response (CTDR) du Security Center d'Alibaba Cloud est une solution SIEM native du cloud qui répond aux défis opérationnels de sécurité des environnements informatiques complexes : fragmentation des données de sécurité, lenteur des temps de réponse, difficulté à détecter les attaques sophistiquées et exigences de conformité. CTDR agrège les alertes et les données de journalisation provenant d'environnements multicloud, de plusieurs comptes Alibaba Cloud et de multiples services, tout en offrant la normalisation des journaux, la génération et l'agrégation des alertes, ainsi que l'orchestration de la réponse aux incidents.
Présentation des fonctionnalités
Flux de traitement principal
CTDR ingère les journaux issus de plateformes multicloud, de plusieurs comptes Alibaba Cloud, de divers services Alibaba Cloud et de fournisseurs de sécurité tiers. À l'aide de règles de détection prédéfinies et personnalisées, il analyse les journaux collectés pour identifier les menaces, reconstituer les chaînes d'attaque et générer des incidents de sécurité. Lorsqu'une menace est détectée, CTDR déclenche l'orchestration de la réponse automatisée et s'intègre aux services cloud connexes pour exécuter des actions de sécurité, telles que le blocage d'adresses IP malveillantes ou la mise en quarantaine de fichiers malveillants.
Flux d'utilisation
1. Acheter et activer CTDR
Activez CTDR via un abonnement ou en mode paiement à l'utilisation. Cette rubrique utilise la méthode par abonnement à titre d'exemple. Pour l'activation en paiement à l'utilisation, consultez Étape 1 : Activer Agentic SOC en mode paiement à l'utilisation. Pour plus de détails sur la facturation de CTDR, reportez-vous à Détails de la facturation.
Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, sélectionnez .
Sur la page Agentic SOC, cliquez sur Enable Subscription.
-
Sur la page d'achat, configurez les paramètres comme décrit ci-dessous. Cliquez ensuite sur Order Now et effectuez le paiement.
Les éléments suivants sont obligatoires. Vous pouvez sélectionner ou configurer d'autres options selon vos besoins. Pour plus d'informations, consultez Achat et désabonnement à Security Center.
Méthode d'achat : Subscription
Version : Value-added Plan
-
Threat Detection and Response :
Achat : Sélectionnez Yes.
Trafic d'ingestion des journaux : Définissez sur 100 Go/jour.
Capacité de stockage des journaux : Définissez sur 1000 Go.
Rôle lié au service : Cliquez sur Create Service-linked Role.
Politique d'ingestion : Sélectionnez After you enable the recommended log collection policy, the Agentic SOC service automatically collects logs and bills you the next day based on actual log volume.
2. Ingérer les journaux des services cloud
Si vous activez la politique d'ingestion des journaux recommandée, CTDR ingère automatiquement les journaux de Security Center, Web Application Firewall (WAF), Cloud Firewall et ActionTrail de votre compte Alibaba Cloud actuel. Le tableau suivant répertorie les sources de données prises en charge et les capacités de sécurité associées.
Les journaux d'événements ActionTrail sont ingérés automatiquement uniquement si vous avez souscrit à l'édition Anti-virus, Premium, Enterprise ou Ultimate de Security Center. Si vous n'avez pas acheté de version payante de Security Center, les journaux d'événements ActionTrail ne sont pas ingérés automatiquement.
Si vous n'activez pas la politique d'ingestion des journaux recommandée, ou si vous souhaitez ingérer des journaux provenant de services cloud tiers, consultez Ingérer les journaux des services cloud.
Numéro d'ordre | Service Alibaba Cloud | Source de données | Catégorie de journal normalisée | Capacités de sécurité prises en charge |
1 | Security Center | Journaux d'alertes de sécurité | Journaux de sécurité – Journaux d'alertes |
|
2 | Journaux de vulnérabilités | Journaux de sécurité – Journaux de vulnérabilités | Investigation et traçabilité des incidents | |
3 | Journaux de référence (baseline) | Journaux de sécurité – Journaux de référence d'hôte | Investigation et traçabilité des incidents | |
4 | Journaux d'audit de connexion | Journaux de connexion – Journaux de connexion d'hôte | Investigation et traçabilité des incidents | |
6 | Journaux de lecture/écriture de fichiers | Journaux d'hôte – Journaux de lecture/écriture de fichiers par processus | Investigation et traçabilité des incidents | |
7 | Journaux de démarrage de processus | Journaux d'hôte – Journaux de démarrage de processus |
| |
8 | Journaux de requêtes DNS | Journaux d'hôte – Journaux de requêtes DNS par processus |
| |
9 | Journaux de connexions réseau | Journaux d'hôte – Journaux de connexions réseau sortantes par processus |
| |
10 | Web Application Firewall | Journaux d'alertes WAF | Journaux de sécurité – Journaux d'alertes Web Application Firewall |
|
11 | Journaux complets/d'interception/d'interception-et-surveillance WAF 2.0 | Journaux réseau – Journaux HTTP | Règles d'analyse prédéfinies | |
12 | Journaux complets/d'interception/d'interception-et-surveillance WAF 3.0 | Journaux réseau – Journaux HTTP | Règles d'analyse prédéfinies | |
13 | Cloud Firewall | Journaux d'alertes en temps réel Cloud Firewall | Journaux de sécurité – Journaux d'alertes de pare-feu |
|
14 | ActionTrail | Journaux d'événements ActionTrail | Journaux d'audit – Journaux d'audit des opérations de plateforme | Investigation et traçabilité des incidents |
3. Activer la livraison des journaux (facultatif)
Les journaux ingérés dans CTDR peuvent être stockés via la fonctionnalité Log Management. Pour utiliser l'analyse des journaux, la traçabilité ou assurer la conformité en matière de protection classifiée, activez la livraison des journaux pour les types requis. Vous devez activer la livraison des journaux avant de pouvoir utiliser les fonctionnalités CTDR Log Management, Rule Management (règles personnalisées) et Dashboard. Pour plus d'informations, consultez Gestion des journaux.
Dans le volet de navigation de gauche, sélectionnez . Dans le coin supérieur gauche de la console, sélectionnez la région où résident vos ressources protégées : Chinese Mainland ou Outside Chinese Mainland.
Sur la page Service Integration, cliquez sur Log Settings dans le coin supérieur droit.
-
Dans la section Log Delivery Management, activez l'interrupteur sous la colonne Deliver Log to Hot Data/Enabled and Disabled At pour chaque type de journal que vous souhaitez livrer.
Sélectionnez plusieurs types de journaux, puis cliquez sur Batch Deliver Log To.
Sur la page Log Management, activez l'interrupteur à côté du type de journal cible pour livrer ce type de journal directement vers un bucket.
4. Gérer les règles de détection des menaces
CTDR utilise des règles de détection prédéfinies intégrées et des règles de détection personnalisées pour analyser les journaux ingérés, identifier les chaînes d'attaque et les chronologies des menaces, et générer des rapports d'incidents de sécurité.
Règles prédéfinies
CTDR active toutes les règles prédéfinies par défaut. Les règles prédéfinies détectent les menaces uniquement dans le Log Scope spécifié. Vous pouvez afficher et ajuster l'état d'activation des règles prédéfinies sur la page .
Règles personnalisées
Si vous avez activé la livraison des journaux à l'étape 3, vous pouvez créer des règles de détection des menaces personnalisées en fonction de vos besoins métier. Pour obtenir des instructions, consultez Créer une règle personnalisée.
5. Générer des alertes de sécurité
Lorsqu'une menace ou une attaque correspond à une règle prédéfinie ou personnalisée activée, CTDR génère une alerte de sécurité. Consultez les alertes générées par les règles prédéfinies et personnalisées sur la page , sous les onglets Aggregate and Analyze Alerts et Custom Alert Analysis.
6. Générer et traiter les incidents de sécurité
Comment les incidents de sécurité sont générés
Un incident de sécurité est généré lorsque des règles prédéfinies ou personnalisées agrègent plusieurs alertes de sécurité liées, permettant une identification et une réponse rapides. Les incidents de sécurité se divisent en deux catégories selon le dispositif source :
Côté réseau : CTDR détecte les activités de reconnaissance des attaquants, telles que le balayage ou le sondage, et génère des incidents à partir des alertes réseau à l'aide de règles prédéfinies afin d'empêcher toute collecte supplémentaire d'informations.
Côté hôte : CTDR utilise le calcul graphique pour agréger les alertes côté hôte qui partagent des relations, telles que des hachages MD5 ou des ID de processus parents correspondants, afin de générer des incidents et vous aider à localiser le point d'entrée de l'attaque.
Toutes les alertes ne génèrent pas d'incidents de sécurité. Seules les alertes remplissant les conditions suivantes déclenchent la génération d'un incident :
Les alertes côté hôte génèrent toujours des incidents de sécurité. Les alertes côté réseau génèrent des incidents de sécurité uniquement si elles correspondent à la politique d'agrégation d'événements d'une règle prédéfinie ou personnalisée.
Si vous configurez une règle de liste d'autorisation, les alertes correspondant à cette règle ne génèrent pas d'incidents.
Si seules les règles prédéfinies sont activées, seules les alertes correspondant à Graph Compute ou Expert Rules dans les règles prédéfinies génèrent des incidents.
Afficher les incidents de sécurité
Sur la page , cliquez sur Details dans la colonne Actions pour un incident cible. Consultez les détails de l'incident, la chronologie, les alertes de sécurité, les entités associées et les explications de l'assistant IA pour déterminer si l'incident nécessite une intervention. Pour plus d'informations, consultez Incidents de sécurité.
|**Région**
|
**Description**
| | --- | --- | |
Section **Overview**
|
Affiche les informations de base sur l'incident et la phase MITRE ATT&CK. Vous pouvez consulter le nombre de ressources affectées, la manière dont l'incident a été généré, le nombre d'alertes associées, les règles de détection, les comptes liés, l'heure de survenue et les sources d'alerte.
| |
Onglet **Timeline**
|
Affichez la chronologie des alertes et le graphe de traçabilité pour cet incident de sécurité. Cliquez sur **Full Screen** pour afficher la chronologie et le graphe de traçabilité en plein écran. En mode plein écran, cliquez sur une icône d'alerte pour afficher ses détails. Dans certains cas, vous pouvez voir le **point d'entrée de l'attaque** spécifique dans le graphe de traçabilité.
| |
Onglet **Alert**
|
Affichez la liste des alertes de sécurité agrégées dans cet incident. Utilisez les statistiques d'alerte multidimensionnelles, notamment le nombre d'alertes, les mesures de défense et l'heure de survenue, pour comprendre la méthode d'attaque, l'étape et la réponse appropriée.
| |
Onglet **Entity**
|
Répertorie les entités impliquées dans l'incident. Les types d'entités pris en charge incluent les hôtes, les fichiers, les processus, les adresses IP et les comptes d'hôte. En examinant toutes les entités, vous pouvez afficher les informations de base sur une adresse IP, les renseignements sur les menaces d'Alibaba Cloud, les incidents connexes des 30 derniers jours, les alertes connexes des 30 derniers jours et les tâches de réponse associées. Cela vous aide à identifier les entités malveillantes et les ressources affectées.
| |
Onglet **Response Activity**
|
Affiche un enregistrement détaillé des réponses et des actions entreprises pour cet incident.
| |
Section **Alibaba Cloud Security Large Model**
|
Une interface de chat alimentée par l'IA, basée sur le grand modèle de langage (LLM) de Security Center. Elle résume les incidents de sécurité, fournit des renseignements sur les menaces pour les adresses IP connexes et détaille les ressources affectées.
|
Traiter les incidents de sécurité
Security Center prend en charge le traitement manuel via des politiques de réponse recommandées ou le traitement automatique via l'orchestration de réponse automatisée.
Traitement manuel des incidents de sécurité : Examinez les incidents et appliquez des mesures de sécurité en fonction de la gravité et du contexte. Utilisez cette approche pour les incidents de haute complexité nécessitant un jugement d'expert ou pour les menaces inconnues.
Traitement automatique des incidents de sécurité : Exécutez des playbooks et des règles préconfigurés pour mettre en œuvre des réponses, telles que la mise en quarantaine des hôtes infectés ou le blocage des adresses IP suspectes. Utilisez cette approche pour les incidents connus et bien définis ou les menaces de faible complexité nécessitant une réponse rapide.
Traitement manuel des incidents de sécurité
Pour les entités malveillantes identifiées, CTDR permet la création en un clic de politiques de réponse recommandées qui génèrent automatiquement des tâches de réponse et exécutent des playbooks. En s'intégrant à plusieurs services de sécurité Alibaba Cloud, CTDR peut bloquer les adresses IP entrantes à haut risque via WAF ou mettre en quarantaine les fichiers à haut risque via Security Center.
Le tableau suivant répertorie les entités prises en charge par les politiques de réponse recommandées et les modules de service cloud intégrés.
Type d'entité | Playbook de réponse recommandé | Produits intégrés | Module de service intégré |
Adresse IP | Bloquer les adresses IP entrantes à haut risque à l'aide d'Alibaba Cloud WAF intégré | Alibaba Cloud Web Application Firewall | |
Bloquer les adresses IP sortantes à haut risque à l'aide d'Alibaba Cloud Cloud Firewall intégré | Alibaba Cloud Cloud Firewall | Configurer les politiques de contrôle d'accès à la frontière Internet | |
Bloquer les adresses IP entrantes à haut risque à l'aide d'Alibaba Cloud Cloud Firewall intégré | |||
Fichier | Mettre en quarantaine les fichiers à haut risque à l'aide d'Alibaba Cloud Security Center intégré | Alibaba Cloud Security Center | |
Processus | Arrêter les processus à haut risque à l'aide d'Alibaba Cloud Security Center intégré | ||
Arrêter les processus à haut risque via CMD à l'aide d'Alibaba Cloud Security Center intégré | |||
Arrêter et mettre en quarantaine les processus à haut risque à l'aide d'Alibaba Cloud Security Center intégré | |||
Arrêter les processus à haut risque par hachage MD5 à l'aide d'Alibaba Cloud Security Center intégré | |||
Conteneur | Arrêter les conteneurs à haut risque à l'aide d'Alibaba Cloud Security Center intégré | ||
Hôte | Bloquer les adresses IP entrantes à haut risque à l'aide du groupe de sécurité ECS Alibaba Cloud intégré | Groupe de sécurité Alibaba Cloud Elastic Computing Service | |
Bloquer tout le trafic sortant de l'hôte à l'aide du groupe de sécurité ECS Alibaba Cloud intégré | |||
Nom de domaine | Bloquer les noms de domaine malveillants à l'aide de la défense contre les comportements malveillants d'Alibaba Cloud Security Center intégré | Alibaba Cloud Security Center |
Procédure
Dans le volet de navigation de gauche, sélectionnez . Dans le coin supérieur gauche de la console, sélectionnez la région où résident vos ressources protégées : Full Screen ou Alert.
Sur la page Entity, cliquez sur dans la colonne Agentic SOC pour un incident cible.
-
Dans le panneau , sélectionnez les entités malveillantes à traiter, puis cliquez sur Chinese Mainland.
Pour modifier des paramètres tels que le compte de destination et la durée de l'action, cliquez sur Outside Chinese Mainland dans la colonne Actions pour une entité cible dans le panneau Event Handling, puis mettez-les à jour dans le panneau Edit Policy.
-
Dans la boîte de dialogue Response, définissez Use Recommended Handling Policy sur Actions ou Use Recommended Handling Policy, puis cliquez sur Confirm and Update Event Status.
Edit : Sélectionnez cette option si des actions de réponse supplémentaires restent à effectuer, telles que la remédiation immédiate, la traçabilité ou le correctif de vulnérabilité.
Use Recommended Handling Policy : Sélectionnez cette option si aucune autre action de réponse aux incidents n'est nécessaire au-delà de l'action actuelle.
Après avoir terminé cette étape, CTDR crée et exécute automatiquement la politique de réponse. Si l'exécution échoue, le statut de l'incident passe à Update Event Status. Sinon, le statut passe à la valeur que vous avez sélectionnée.
Sur l'onglet de la page des détails de l'incident, affichez la politique de réponse recommandée générée automatiquement par CTDR.
Traitement automatique des incidents de sécurité
Les règles de réponse automatisée exécutent des actions prédéfinies lorsqu'elles sont déclenchées par des alertes ou des incidents, par exemple la mise en quarantaine de fichiers malveillants ou la terminaison de connexions réseau en réponse à une infection par un logiciel malveillant ou à des tentatives d'intrusion. Après avoir créé une règle, le système fait correspondre les nouveaux incidents de sécurité avec votre politique configurée. En cas de correspondance, CTDR exécute le playbook prédéfini pour accélérer la réponse aux menaces. Pour plus d'informations, consultez Règles de réponse.
Si vous avez besoin de conseils professionnels d'experts en sécurité lors de la configuration des règles de réponse automatisée, envisagez d'acheter Managed Security Service Enterprise Edition. Pour plus d'informations, consultez Managed Security Service.
L'exemple suivant utilise une règle de réponse automatisée pour traiter un incident généré par une alerte d'attaque réseau WAF et déployer une règle de blocage d'IP dans WAF.
Prérequis
Vous avez ingéré les journaux d'alertes Alibaba Cloud WAF dans CTDR. Pour obtenir des instructions, consultez Ingérer les journaux des services Alibaba Cloud.
Vous avez configuré une liste d'autorisation pour les requêtes liées à l'activité métier afin d'éviter qu'elles ne soient bloquées. Pour obtenir des instructions, consultez Incidents de sécurité.
Procédure
Dans le volet de navigation de gauche, sélectionnez . Dans le coin supérieur gauche de la console, sélectionnez la région où résident vos ressources protégées : Handled ou Failed.
Sur la page Response Activity, cliquez sur l'onglet Handling Policies. Cliquez ensuite sur Agentic SOC.
Dans le panneau Manage, configurez la règle de réponse comme illustré dans la figure ci-dessous. Cliquez ensuite sur Response Rules.
Sur la page Chinese Mainland, dans l'onglet Outside Chinese Mainland, activez l'interrupteur dans la colonne Enabled Status pour activer la règle créée.
Attendez qu'une attaque se produise sur un nom de domaine déjà ingéré dans WAF. Après l'attaque, affichez l'incident correspondant sur la page Response Rules.
-
Sur l'onglet Automated Rules, affichez la politique de réponse et la tâche déployées par le playbook après que l'incident a correspondu à la règle de réponse automatisée.
Politique de réponse créée par la règle de réponse automatisée
Tâche de réponse créée par la règle de réponse automatisée
-
Dans la console Web Application Firewall, affichez la règle de blocage d'IP ajoutée automatiquement par CTDR.
Les étapes suivantes utilisent la console WAF 3.0 à titre d'exemple.
Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région (Add Rule ou Create Auto Response Rule) pour l'instance WAF.
Dans le volet de navigation de gauche, sélectionnez .
Sur la page Automated Rules, accédez à la section Event Handling. Affichez la règle de blocage d'IP déployée automatiquement par CTDR.
Références
Pour gérer les données sur plusieurs comptes Alibaba Cloud à l'aide de CTDR, utilisez la fonctionnalité de gestion multi-comptes. Pour plus d'informations, consultez Gestion multi-comptes.
Outre les journaux d'Alibaba Cloud, Tencent Cloud et Huawei Cloud, CTDR prend également en charge les journaux des fournisseurs de sécurité tiers. Pour plus d'informations, consultez Ingérer les journaux des fournisseurs de sécurité.