Security Center:Sesuaikan notifikasi pemantauan Security Center

Ikhtisar

Security Center dapat mendorong security alert ke Cloud Monitor, yang kemudian meneruskan peringatan tersebut ke Lark atau WeCom melalui langganan event. Alur konfigurasi keseluruhan adalah sebagai berikut:

1. Aktifkan Cloud Monitor Push: Di pengaturan notifikasi Security Center, aktifkan Cloud Monitor Push dan pilih jenis peringatan yang akan diteruskan.

2. Buat bot messaging: Di Lark atau WeCom, buat chatbot kustom dan peroleh URL webhook-nya.

3. Buat kelompok kontak peringatan Cloud Monitor:

   1. Di Cloud Monitor, buat alert contact dan bind URL webhook ke kontak tersebut.

   2. Tambahkan alert contact yang telah di-bind ke URL webhook ke dalam kelompok kontak peringatan di Cloud Monitor.

4. Buat kebijakan notifikasi Cloud Monitor: Di Cloud Monitor, buat kebijakan notifikasi dan asosiasikan dengan kelompok kontak peringatan untuk menentukan penerima notifikasi.

5. Konfigurasikan langganan event Cloud Monitor: Buat kebijakan langganan event untuk berlangganan system events dari Security Center dan asosiasikan dengan kebijakan notifikasi.

Langkah 1: Aktifkan push Cloud Monitor

Aktifkan fitur Cloud Monitor Push di Security Center agar Cloud Monitor dapat menerima event peringatan.

1. Buka halaman Konsol Security Center > System Settings > Notification Settings. Di bagian atas panel navigasi kiri, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.

2. Pada tab Cloud Monitor Push, pilih item notifikasi sesuai kebutuhan. Tabel berikut menjelaskan item-item tersebut.

   Item notifikasi	Frekuensi push	Deskripsi
   Security Incident	Push Result Details: Tidak dibatasi	Serangan keamanan yang terdeteksi, seperti Serangan DDoS dan serangan brute-force.
   Alert	Push Result Details: Tidak dibatasi	Peringatan ancaman yang terdeteksi pada host atau dalam Kontainer, seperti login mencurigakan dan proses berbahaya.
   Baseline Check	Push Result Overview: Dikirim setiap hari Kamis.	Rangkuman hasil pemeriksaan baseline.
   CSPM	Push Result Overview: Dikirim sekali setiap hari Kamis.	Rangkuman hasil pemeriksaan risiko konfigurasi platform cloud.
   Agentless Detection	Push Result Details: Dapat dikustomisasi.	Hasil deteksi keamanan yang tidak memerlukan instalasi agen.
   Malicious file	Push Result Details: Dapat dikustomisasi.	File berbahaya yang terdeteksi oleh SDK deteksi malicious file.
   Vulnerability	Push Result Overview: Dikirim sekali setiap hari Kamis. Push Result Details: Dapat dikustomisasi.	Hasil deteksi dan ringkasan kerentanan sistem serta kerentanan aplikasi.
   Application Protection	Push Result Details: Dapat dikustomisasi.	Peringatan untuk Runtime Application Self-Protection (RASP).

Langkah 2: Buat messaging bot

Buat bot kustom di Lark atau WeCom dan peroleh URL webhook-nya. URL ini diperlukan untuk mengonfigurasi alert contact pada Langkah 3.

Langkah 3: Konfigurasikan notifikasi peringatan

Buat alert contact di Cloud Monitor, bind URL webhook dari Langkah 2 ke kontak tersebut, lalu tambahkan kontak tersebut ke kelompok kontak peringatan. Hal ini memungkinkan Cloud Monitor mengirim notifikasi peringatan ke Lark atau WeCom melalui URL webhook.

1. Buat kontak peringatan

   1. Login ke Konsol Cloud Monitor. Pada panel navigasi kiri, pilih Alerts > Alert Contacts.

   2. Pada tab Alert Contacts, klik Create Alert Contact.

   3. Pada panel Set Alert Contact, konfigurasikan parameter sebagai berikut.

      • Name: Masukkan nama, misalnya Lark Bot atau WeCom Bot.

      • DingTalk|LarkWeComSlack Webhook(http|https): Tempel URL webhook dari Langkah 2. Bidang ini menerima URL webhook untuk Lark maupun WeCom.

   4. (Opsional) Uji konektivitas webhook: Klik tombol Test di sebelah kanan bidang webhook. Kode status 200 menunjukkan koneksi berhasil.

   5. Setelah memverifikasi informasi, klik Confirm.

2. Buat kelompok kontak peringatan

   1. Beralih ke tab Alert Contact Group dan klik Create Alert Contact Group.

   2. Pada panel Create Alert Contact Group, konfigurasikan parameter sebagai berikut, lalu klik Confirm.

      1. Group Name: Masukkan nama kelompok, misalnya Lark Bot Group atau WeCom Bot Group.

      2. Select contacts: Pilih alert contact yang telah Anda buat pada langkah sebelumnya.

3. Buat kebijakan notifikasi

   1. Pada panel navigasi kiri, pilih Event Center > Notification Configuration.

   2. Klik Create policy, konfigurasikan parameter sebagai berikut, lalu klik OK.

      • Name: Masukkan nama untuk kebijakan notifikasi. Misalnya, Security Center Alert Notifications.

      • Notification Settings: Pilih Set Notification Group Directly.

      • Contact Group: Pilih kelompok kontak peringatan yang telah Anda buat.

Langkah 4: Konfigurasikan langganan event

Buat kebijakan langganan event untuk berlangganan system events dari Security Center. Asosiasikan kebijakan ini dengan kebijakan notifikasi yang Anda buat pada Langkah 3.

1. Login ke Konsol Cloud Monitor. Pada panel navigasi kiri, pilih Event Center > Event Subscription.

2. Pada tab Subscription Policy, klik Create Subscription Policy dan konfigurasikan parameter sebagai berikut.

   • Name: Gunakan nama deskriptif, seperti Security-Center-Alerts-to-Lark.

   • Subscription Type: Pilih System Events.

   • Subscription Scope:

     • Products: Pilih Cloud Security Center.

     • Event Type: Pilih jenis event yang sesuai dengan Notification Item dan Push Content untuk notifikasi push Cloud Monitor yang Anda aktifkan di Security Center pada Langkah 1. Pemetaannya adalah sebagai berikut:

       Security Center	Cloud Monitor
       Security Incident	Incident
       Alert	Suspicious
       Baseline Check	System-Baseline-cnt
       CSPM	Cspm-cnt
       Agentless Detection	Agentless
       Malicious file	mfd SDK
       Vulnerability	Push Result Overview: Vulnerability-cnt Push Result Details: Vulnerability
       Application Protection	Rasp

     • Event name dan Event Level: Pilih event yang ingin Anda terima notifikasinya.

       • Jika Anda tidak mengonfigurasi ini, Anda akan menerima notifikasi untuk semua event.

       • Jika Anda memilih Set as blacklist, ini berfungsi sebagai deny list, artinya Anda akan menerima notifikasi untuk semua event kecuali event dengan Event name dan Event Level tertentu.

     • Application grouping, Event Content, dan Event Resources: Gunakan pengaturan default.

   • Combined Noise Reduction: Gunakan pengaturan default.

   • Notification Configuration: Pilih kebijakan notifikasi yang Anda buat pada Langkah 3.

   • Custom Notification Method dan Push and Integration: Gunakan pengaturan default.

3. Setelah selesai mengonfigurasi parameter, klik Submit.

FAQ

• Mengapa saya tidak menerima peringatan setelah menyelesaikan konfigurasi?

  Periksa hal-hal berikut secara berurutan:

  1. Saklar push Security Center: Pada Langkah 1, verifikasi bahwa saklar Cloud Monitor Push diaktifkan untuk jenis peringatan yang ingin Anda terima.

  2. Kebijakan langganan event: Pada Langkah 4, periksa kebijakan langganan event untuk memastikan kondisi filternya, seperti event type dan event level, sesuai dengan peringatan yang Anda harapkan.

  3. Kata kunci Lark (alasan paling umum): Jika Anda menggunakan Lark, pastikan Custom Keywords bot Anda sesuai dengan isi pesan peringatan aktual. Gunakan istilah umum seperti alert dan event.

  4. URL webhook: Di Alert Contacts Cloud Monitor, gunakan fungsi Test untuk memeriksa apakah URL webhook dapat dijangkau. Pastikan URL benar dan tidak diblokir oleh firewall atau kebijakan jaringan lainnya.

  5. Riwayat Event Cloud Monitor: Buka Event Center > Event History untuk memeriksa apakah event berhasil diterima dan didorong. Jika event ada tetapi push gagal, biasanya disediakan alasan kegagalannya.

• Bagaimana cara mengurangi kebisingan peringatan?

  • Aktifkan deduplikasi: Pada kebijakan langganan event dari Langkah 4, konfigurasikan deduplication. Misalnya, atur menjadi "Gabungkan dan beri notifikasi untuk event yang sama dalam rentang 1 menit".

  • Gunakan filter yang tepat: Pada kebijakan langganan event yang sama, saring peringatan yang kurang penting dengan mengatur event level (misalnya, hanya berlangganan High-risk) atau menentukan event name tertentu.

• Apa yang harus saya lakukan jika pengujian webhook mengembalikan kode status non-200?

  Kode status non-200 berarti Cloud Monitor gagal mengirim pesan ke bot Anda. Penyebab umum meliputi:

  • URL salah: URL webhook yang disalin tidak lengkap atau mengandung kesalahan.

  • Pembatasan daftar IP yang diizinkan: Beberapa tool messaging, seperti Lark, mungkin memiliki pengaturan keamanan yang mengharuskan Anda menambahkan alamat IP server Cloud Monitor ke daftar IP yang diizinkan.

  • Ketidaksesuaian kata kunci (Lark): Isi pesan tidak mengandung kata kunci yang dikonfigurasi, sehingga bot Lark memblokirnya.

  • Batas laju (rate limiting): Mengirim terlalu banyak pesan dalam waktu singkat memicu batas laju tool messaging. Misalnya, bot WeCom memiliki batas 15 pesan per menit.