Security Center:Enable log analysis

Activer et configurer l'analyse des journaux

1. Connectez-vous à la console

   Accédez à la console Security Center - Risk Governance - Log Analysis. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Autorisation du service (première utilisation)

   S'il s'agit de votre première utilisation de cette fonctionnalité, suivez les instructions affichées à l'écran et cliquez sur Authorize Immediately.

   Remarque

   Après l'autorisation, le système crée automatiquement le rôle RAM AliyunServiceRoleForSas. Security Center utilise ce rôle pour accéder à vos ressources dans d'autres services Alibaba Cloud afin d'assurer une protection et une gestion de sécurité unifiées. Pour plus d'informations, consultez la rubrique Rôles liés au service pour Security Center.

3. Configurez et finalisez l'achat

   Après l'autorisation, cliquez sur Enable Now. Vous êtes redirigé vers la page d'achat de Security Center. Configurez les paramètres suivants :

   • Edition : Sélectionnez l'édition de Security Center dont vous avez besoin. Pour une description des éditions, consultez la rubrique Services par édition.

   • Agentic SOC (Log Storage Capacity) : Basculez l'option Purchase or Not sur Yes, et définissez la capacité de stockage mensuelle en fonction de vos besoins professionnels.

   • Subscription Duration : Sélectionnez la durée de l'abonnement.

4. Lisez et cochez la case I have read and agree to the Security Center Terms of Service, cliquez sur Order Now, puis effectuez le paiement.

5. Créez le référentiel de journaux

   Après l'achat, Security Center crée automatiquement un projet (sas-log-{Alibaba Cloud account ID}-{region ID}) et un Logstore (sas-log) dans Simple Log Service (SLS) en fonction des régions où se trouvent vos ressources.

   Important

   • Pour connaître la correspondance entre les régions des ressources et les régions de stockage des journaux, consultez la section Régions de stockage des journaux.

   • Ne supprimez pas le projet ni le Logstore. Une suppression entraîne une perte de données permanente irrécupérable.

Analyse de la capacité des journaux et gestion de la distribution

Si le volume de distribution des journaux est trop important et que les coûts de stockage sont élevés, analysez la répartition du volume de données par type de journal et désactivez sélectivement la distribution pour les types de journaux à fort volume afin de réduire les coûts.

1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez Risk Governance > Log Analysis.

2. Dans le coin supérieur droit de la page des journaux, cliquez sur Log Settings.

3. Sur la page des paramètres de gestion des journaux, consultez les types de journaux distribués, y compris les enregistrements de connexion, les connexions réseau, les démarrages de processus et autres journaux d'hôte.

4. Pour afficher la répartition du volume de données par type de journal, accédez à la console Simple Log Service. Recherchez le projet (format : sas-log-{Alibaba Cloud account ID}-{region ID}) et le Logstore (sas-log) correspondant à Security Center. Interrogez le champ __topic__ pour visualiser la répartition du volume de journaux par type.

5. Sur la page des paramètres de gestion des journaux, désactivez la distribution pour les types de journaux à fort volume. Une fois la distribution désactivée, les journaux de ce type ne sont plus collectés ni stockés, et la consommation de capacité de stockage diminue en conséquence.

Facturation

L'analyse des journaux est une fonctionnalité à valeur ajoutée facturée séparément de votre édition de Security Center.

• Méthode de facturation : Abonnement uniquement.

• Élément facturable : Capacité de stockage des journaux souscrite (facturation par abonnement).

  Remarque

  Si la capacité de stockage mensuelle des journaux n'est pas utilisée, elle est réinitialisée au début du mois suivant.

• Prix : 0,1 USD/Go/mois.

• Recommandation de capacité : Conformément à la loi chinoise sur la cybersécurité, les journaux doivent être conservés pendant au moins 180 jours. Allouez 50 Go de stockage de journaux par serveur, puis ajustez en fonction du volume réel de journaux.

• Exemple de coût : Pour 10 serveurs avec 50 Go chacun, le total est de 500 Go. Coût mensuel : 500 Go × 0,1 USD/Go/mois = 50 USD.

Limites

• Restrictions relatives à la région de stockage des journaux

  La région de stockage des journaux est déterminée par la région où se trouvent vos ressources. Elle ne peut pas être personnalisée.

  Région des ressources	Région du projet de journaux	ID de région	Description
  Chinese Mainland	China (Hangzhou)	cn-hangzhou	Tous les journaux des ressources situées dans la région Chinese Mainland sont consolidés et stockés dans la région Hangzhou.
  Outside Chinese Mainland	Singapour	ap-southeast-1	Tous les journaux des ressources situées en dehors de la région Chinese Mainland, y compris Hong Kong (Chine), sont consolidés et stockés dans la région Singapour.

• Restrictions relatives au Logstore

  Afin de préserver l'intégrité des données et la cohérence du format, le Logstore dédié (sas-log) présente les restrictions suivantes :

  • Vous ne pouvez pas écrire de données dans le Logstore via l'API ou le SDK.

  • Vous ne pouvez pas modifier les propriétés du Logstore, telles que la période de stockage.

  • Le Logstore dédié (sas-log) est créé automatiquement par Security Center et est exclusif à votre compte Alibaba Cloud. Il ne s'agit pas d'une instance partagée multi-locataire, ce qui garantit l'isolation et la sécurité des données.

FAQ

• Que se passe-t-il lorsque la capacité de stockage est épuisée ?

  • Impact : Les nouveaux journaux ne peuvent pas être écrits dans le stockage.

  • Solution : Accédez à la page Console Security Center - Overview, recherchez la section Subscription, puis cliquez sur Change Configuration > Upgrade Now. Pour plus de détails, consultez la rubrique Mise à niveau et rétrogradation de Security Center.

• J'utilise déjà Simple Log Service (SLS). Dois-je toujours activer l'analyse des journaux pour Security Center ?

  Oui. Voici la comparaison :

  • SLS autogéré : Collecte généralement les journaux du système d'exploitation ou des applications depuis les serveurs.

  • Log Analysis : En plus des journaux d'hôte de base, cette fonctionnalité stocke et analyse également de manière centralisée les journaux d'événements de sécurité générés par Security Center lui-même — y compris les alertes de sécurité, les vulnérabilités et les résultats des vérifications de référence — offrant ainsi une plateforme complète d'audit et d'investigation forensique de sécurité.

• J'ai accidentellement supprimé le Logstore dédié sas-log. Que dois-je faire ?

  Toutes les données stockées sont définitivement perdues et ne peuvent pas être récupérées, et l'analyse des journaux s'arrête immédiatement. Retournez à la page Log Analysis dans la console Security Center et réactivez la fonctionnalité comme indiqué. Le système crée un nouveau projet et un nouveau Logstore, mais les données historiques ne peuvent pas être récupérées.

• Pourquoi la console indique-t-elle toujours que l'analyse des journaux n'est pas activée après mon achat ?

  Procédez au dépannage comme suit :

  1. Vérifiez que vous avez acheté le module complémentaire de service Log Analysis et non Agentic SOC ou d'autres modules de sécurité. Différents modules possèdent des accès console distincts et des fonctionnalités indépendantes.

  2. Confirmez que vous accédez au bon chemin de menu : Risk Governance > Log Analysis.

  3. Essayez de vous connecter en utilisant une fenêtre de navigation privée pour exclure les problèmes de cache du navigateur.

  4. Vérifiez les autorisations RAM. Assurez-vous que le compte actuel dispose de la stratégie d'accès AliyunSASFullAccess.

  5. Confirmez que vous avez effectué l'autorisation de service initiale (le système doit créer le rôle RAM AliyunServiceRoleForSas). Si l'autorisation n'a pas encore été effectuée, accédez à la page Log Analysis et suivez les instructions affichées à l'écran.

• Pourquoi ne puis-je pas trouver les journaux historiques après avoir activé l'analyse des journaux ?

  L'analyse des journaux collecte et stocke uniquement les journaux après l'activation de la fonctionnalité. Si vous n'avez pas activé la fonctionnalité immédiatement après l'achat — par exemple, si vous n'avez pas activé l'interrupteur de fonctionnalité ou terminé l'autorisation SLS — aucun journal n'est collecté durant cette période. Par conséquent, vous ne pouvez pas interroger les journaux de cette période. Activez et configurez la fonctionnalité dès que possible après l'achat pour assurer une collecte continue des journaux.

• J'ai acheté de la capacité de stockage de journaux, mais l'utilisation des journaux ou le nombre de journaux affiche 0. Cela signifie-t-il que la fonctionnalité ne fonctionne pas ?

  Pas nécessairement. Suivez ces étapes pour résoudre le problème :

  1. Sur la page Overview, dans la section des services à la demande, vérifiez si l'interrupteur de la fonctionnalité d'analyse des journaux est activé et si l'état du service indique qu'il est activé.

  2. Accédez à la page Risk GovernanceLog Analysis et vérifiez la plage de temps de la requête. Par défaut, la plage de temps de la requête est définie sur Last 15 Minutes. Si aucun journal n'a été généré durant cette fenêtre, l'utilisation des journaux affiche 0 Go et le nombre de journaux affiche 0. Modifiez la plage de temps pour Last 7 Days ou Today, puis cliquez sur Search & Analyze pour effectuer une nouvelle requête.

  3. Effacez toute instruction de requête dans la zone de recherche, puis cliquez sur Search & Analyze pour vérifier si des données de journal sont renvoyées.

  4. Utilisez la liste déroulante des types de journaux pour basculer entre différents types de journaux et confirmez s'il existe des données pour le type sélectionné.

  Remarque

  Les journaux sont automatiquement téléchargés par le système sous-jacent de Security Center, y compris les enregistrements de connexion, les démarrages de processus et les connexions réseau. Si aucune donnée de journal n'apparaît pendant une période prolongée, vérifiez si l'agent Security Center est installé sur la ressource.

• Pourquoi la capacité des journaux est-elle affichée comme étant 0 ?

  Une capacité de journaux de 0 ne signifie généralement pas que les journaux ne sont pas collectés. Dans la plupart des cas, cela se produit parce que la plage de temps de la requête est trop étroite. La plage de temps de requête par défaut dans la console est de 15 minutes, et aucune capacité n'est affichée si aucun journal n'a été écrit durant cette fenêtre. Procédez au dépannage comme suit :

  1. Vérifiez la plage de temps de requête actuelle sur la page de requête des journaux. La plage de temps par défaut est de 15 minutes.

  2. Élargissez la plage de temps (par exemple, à 1 semaine) et effectuez à nouveau la requête pour voir si la capacité des journaux s'affiche correctement.

  3. Si la capacité reste à 0 après l'élargissement de la plage de temps, accédez à Risk Governance > Log Analysis et cliquez sur Log Settings dans le coin supérieur droit de la page, puis confirmez que la distribution du type de journal requis n'a pas été désactivée (une fois la distribution désactivée, les journaux de ce type ne sont plus collectés ni stockés).

  4. Si la distribution des journaux est activée mais qu'il n'y a toujours aucune donnée, confirmez que l'analyse des journaux a été activée et autorisée (consultez la section « Activer et configurer l'analyse des journaux » dans cette rubrique), car aucune donnée de journal n'est générée pour les périodes antérieures à l'activation de la fonctionnalité.