Security Center génère diverses alertes selon les règles de protection des ressources configurées pour la protection des hôtes et des conteneurs, et les affiche dans l'onglet Cloud Workload Protection Platform (CWPP) de la page des alertes de sécurité. Security Center utilise le calcul de graphes pour regrouper les alertes CWPP connexes (par exemple, celles qui partagent le même hachage MD5 ou le même ID de processus parent) en incidents de sécurité. Cette rubrique décrit les concepts de base des incidents de sécurité CWPP générés à partir des alertes.
Concepts des incidents de sécurité CWPP
Sources des incidents de sécurité CWPP
Les règles de protection des ressources configurées pour la protection des hôtes et des conteneurs dans Security Center génèrent des informations d'alerte. Security Center utilise le calcul de graphes pour regrouper les alertes CWPP connexes (par exemple, celles qui partagent le même hachage MD5 ou le même ID de processus parent) en incidents de sécurité. La source d'alerte affichée dans la zone de résumé de la page des détails de l'incident est « Security Center ».
Consultez les informations d'alerte CWPP dans l'onglet CWPP sous Detection and Response > Alert.
Règles de génération des incidents de sécurité CWPP
Par défaut, toutes les alertes CWPP génèrent des incidents de sécurité, sauf les alertes Precision Defense. Si une alerte côté hôte n'est liée à aucune autre alerte, elle génère un incident unique.
Si vous configurez des règles de liste d'autorisation pour les incidents, les alertes correspondantes ne génèrent pas d'incidents de sécurité.
Période de conservation des incidents
La page Incidents affiche uniquement les incidents des 180 derniers jours.
Niveaux de risque des incidents de sécurité et instructions de traitement
| Niveau de risque | Description | Instructions de traitement |
|---|---|---|
| Serious | Le comportement décrit dans cet incident provoque une interruption : les fonctionnalités clés sont inaccessibles ou le réseau est complètement hors service, ce qui affecte gravement la disponibilité du service sans solution de contournement. Des comportements ou entités malveillants clairs ont été détectés, confirmant une intrusion certaine qui affecte plusieurs serveurs. | Traitez cet incident immédiatement. |
| High Risk | Le comportement décrit dans cet incident indique que des comportements ou entités malveillants clairs ont été détectés. L'incident est très probablement une intrusion réussie qui a affecté vos ressources, comme un comportement de processus anormal tel qu'un shell inversé. Affecte généralement un seul serveur. | Traitez cet incident immédiatement. |
| Medium Risk | Le comportement décrit dans cet incident indique un comportement ou des entités potentiellement malveillants. L'incident peut être une intrusion réussie ayant affecté vos ressources, ou résulter d'opérations de maintenance inhabituelles, comme une connexion anormale. | Ce niveau de risque indique que vos ressources sont peut-être attaquées. Examinez les détails de l'incident pour déterminer s'il existe une menace et prenez les mesures appropriées. |
| Low Risk | Le comportement décrit dans cet incident indique une intrusion potentiellement réussie, ou que vos ressources font l'objet d'une sonde d'attaque continue provenant d'une source externe, telle qu'un accès depuis 106,11.XX.XX. | Surveillez cet incident si vos ressources ont des exigences de sécurité élevées. |
| Reminder | Un grand nombre d'alertes reçues provenant de logiciels d'automatisation des tâches. Ces alertes vous informent simplement que certaines tâches ont été exécutées ou ont atteint une étape spécifique. | Peut être ignoré. |
Objets de traitement des incidents de sécurité CWPP
Traitez un incident de sécurité en gérant les alertes regroupées et les entités d'alerte extraites.
Alertes de sécurité CWPP
Les incidents de sécurité CWPP sont générés en regroupant les alertes de sécurité CWPP via le calcul de graphes. Lors du traitement d'un incident de sécurité CWPP, s'il s'agit d'un faux positif, ajoutez l'incident à la liste d'autorisation ou ajoutez-y les alertes.
Les règles de regroupement des alertes sont les suivantes :
Un seul incident de sécurité CWPP peut regrouper un maximum de 2 000 alertes.
Pour les incidents à l'état Unhandled, les nouvelles alertes continuent d'être regroupées dans l'incident.
Pour les incidents aux états Handling, Handled ou Handling Failed, les nouvelles alertes ne sont pas regroupées dans l'incident existant. À la place, un nouvel incident à l'état Unhandled est créé.
Entités
Dans un incident de sécurité, une entité est un objet ou un acteur spécifique associé à l'incident. Security Center extrait et regroupe les entités à partir des alertes de sécurité. Selon qu'une entité porte des balises malveillantes, les entités sont classées comme malveillantes ou non malveillantes. Affichez les détails des entités, exécutez des playbooks et interrogez la threat intelligence d'Alibaba Cloud.
Security Center identifie les types d'entités suivants :
Security Center ne prend actuellement pas en charge le traçage des virus. Lorsqu'un fichier virus est détecté sur un serveur, le système identifie le chemin d'accès au fichier mais ne peut pas retracer la source du virus (par exemple, quel logiciel tiers l'a introduit). Nous vous recommandons d'analyser les associations d'entités dans l'incident de sécurité et le contexte de l'alerte pour une enquête complète.
| Entité | Est une entité de ressource | Peut être identifiée comme malveillante |
|---|---|---|
| Hôte | Oui | Non |
| Adresse IP | Oui | Oui |
| Compte Alibaba Cloud | Oui | Non |
| Paire AccessKey | Oui | Non |
| Nom de domaine | Oui | Oui |
| Fichier | Non | Oui |
| Processus hôte | Non | Oui |
| Compte hôte | Non | Non |
| URL | Non | Non |
| Registre | Non | Oui |
| Conteneur | Oui | Non |
| Cluster | Oui | Non |
| Object Storage Service (OSS) | Oui | Non |
Organigramme de traitement des incidents de sécurité
Autres services
Si vous activez le service Agentic SOC, vous pouvez accéder à davantage de services d'analyse et de traitement des incidents de sécurité. Le tableau suivant compare les services :
| Fonctionnalité | Avec le service à valeur ajoutée Agentic SOC | Sans le service à valeur ajoutée Agentic SOC |
|---|---|---|
| Types d'incidents pris en charge | Analyse le contexte de plusieurs alertes de sécurité Agentic SOC et les regroupe en incidents complets à l'aide de règles Agentic SOC prédéfinies ou personnalisées. Les incidents de sécurité générés à partir des alertes de sécurité CWPP sont migrés vers Agentic SOC pour traitement. | Alertes de sécurité CWPP, telles que les alertes de détection et de défense contre les intrusions pour les hôtes et les conteneurs Security Center, regroupées via le calcul de graphes. Pour plus d'informations, consultez . |
| Rapports d'enquête sur les incidents et analyse IA | Pris en charge. | Non pris en charge. |
| Méthodes de traitement | Politiques de traitement recommandées (Agent Recommended Policy ou System Recommended Policy) ; mettez à jour l'état de l'incident ; ajoutez à la liste d'autorisation. Important Pour les incidents générés par des règles Agentic SOC prédéfinies ou personnalisées, seule la Agent Recommended Policy est prise en charge. Pour les incidents CWPP, la Agent Recommended Policy et la System Recommended Policy sont prises en charge. | Politiques de traitement recommandées (System Recommended Policy) ; mettez à jour l'état de l'incident ; ajoutez à la liste d'autorisation. Important Pour les incidents CWPP, seule la System Recommended Policy est prise en charge. |