Security Center：Menilai dan menangani event keamanan CWPP

Prosedur

1. Buka halaman detail event. Pada tab Entity, klik tombol Use Recommended Handling Policy.

   Catatan

   Pada halaman Security Incident, untuk event target, klik Response di kolom Actions, atau pilih Use Recommended Handling Policy.

2. Pada panel Use Recommended Handling Policy, pilih entitas berbahaya yang ingin Anda tangani.

3. (Opsional) Ubah kebijakan penanganan. Pada kolom Actions untuk entitas tersebut, klik Edit. Pada panel Edit Policy, ubah parameter seperti akun tujuan dan periode validitas tindakan untuk aturan pemblokiran.

   • Periode validitas tindakan: Periode efektif kebijakan penanganan. Kebijakan akan otomatis tidak berlaku setelah periode ini berakhir.

   • Akun tujuan: Akun saat ini dan akun anggota yang dapat dikelola. Untuk informasi lebih lanjut tentang pengelolaan akun anggota, lihat Multi-account security management.

4. Klik Confirm and update the incident status.. Pada kotak dialog Update Incident Status, atur Event Status menjadi Handling atau Handled, lalu klik OK.

   Penting

   Setelah langkah ini selesai, Pusat Keamanan secara otomatis membuat kebijakan penanganan dan menjalankan tugas penanganan. Jika tugas penanganan gagal, status event berubah menjadi Failed. Jika tidak, status event berubah menjadi status yang Anda tetapkan di sini.

   • Handling: Menunjukkan bahwa selain operasi penanganan saat ini, terdapat tindakan lain terkait penanganan event, seperti remediasi segera, pelacakan sumber, dan perbaikan kerentanan.

   • Handled: Menunjukkan bahwa tidak ada tindakan penanganan lanjutan selain yang saat ini dilakukan. Dampaknya sebagai berikut:

     • Memperbarui status peringatan terkait menjadi Handled in the security incident.

     • Peringatan selanjutnya akan menghasilkan event keamanan baru dan tidak lagi dikaitkan dengan event saat ini.

Dampak operasi

• Operasi ini berinteraksi dengan produk Alibaba Cloud lainnya untuk respons event guna menangani entitas berbahaya, misalnya dengan memblokir alamat IP.

• Jika Anda Use Recommended Handling Policy untuk mengubah status event menjadi Handled, sistem akan mengubah status semua peringatan yang belum ditangani dan terkait dengan event tersebut menjadi Handled in the security incident. Informasi penanganan event juga ditambahkan ke detail peringatan. Selanjutnya, peringatan baru tidak lagi dikaitkan dengan event keamanan saat ini. Sebaliknya, peringatan tersebut akan menghasilkan event keamanan baru.

  Penting

  Untuk peringatan "Precision Defense" Cloud Workload Protection Platform (CWPP), status default-nya adalah "Handled" (hanya pertahanan, tanpa notifikasi). Memperbarui status event keamanan tidak memengaruhi status peringatan ini.

• Jika Anda menggunakan opsi Use Recommended Handling Policy untuk mengubah status event menjadi Handling, status peringatan terkait tidak terpengaruh. Anda masih dapat mengaitkan peringatan baru dengan event tersebut.

Prosedur

1. Buka halaman detail event. Pada tab Alert, pilih peringatan yang akan dimasukkan ke daftar putih dan klik Add Alert to Whitelist di kolom Actions.

2. (Opsional) Tambahkan aturan daftar putih peringatan baru. Anda dapat mengklik Create Rule untuk mengonfigurasi beberapa aturan daftar putih.

   Penting

   • Beberapa aturan memiliki hubungan "OR", artinya aturan berlaku jika salah satu kondisi terpenuhi.

   • Pastikan presisi aturan yang Anda konfigurasi untuk menghindari cakupan yang terlalu luas. Misalnya, mengatur "Path contains: /data/" dapat secara keliru memasukkan subdirektori sensitif lainnya ke daftar putih, sehingga meningkatkan risiko keamanan. ​​

   Setiap aturan memiliki empat kotak konfigurasi dari kiri ke kanan, seperti dijelaskan di bawah ini:

   1. Bidang informasi peringatan: Pada halaman detail, di bawah More Information, Anda dapat melihat bidang informasi peringatan apa saja yang didukung untuk peringatan saat ini.

   2. Jenis kondisi: Mendukung operasi seperti Regex Match, greater than, equal to, less than, dan contains. Beberapa aturan dijelaskan sebagai berikut:

      • Regular expression: Gunakan ekspresi reguler untuk mencocokkan konten dengan pola tertentu secara presisi. Misalnya, untuk memasukkan semua konten di bawah folder "/data/app/logs/" ke daftar putih, Anda dapat mengatur aturan "Path matches regex: ^/data/app/logs/.*". Aturan ini akan mencocokkan semua file atau proses di folder tersebut dan subdirektorinya.

      • Contains keyword: Atur aturan "Path contains: D:\programs\test\". Semua event yang jalurnya mengandung folder ini akan dimasukkan ke daftar putih.

   3. Nilai kondisi: Mendukung konstanta dan ekspresi reguler.

   4. Aset yang berlaku:

      • Semua aset: Berlaku untuk aset yang baru ditambahkan dan semua aset yang ada.

      • Hanya untuk aset saat ini: Berlaku hanya untuk aset yang terlibat dalam peringatan saat ini.

3. Klik OK.

Dampak operasi

• Untuk peringatan saat ini:

  • Status peringatan saat ini berubah menjadi Manually Add to Whitelist.

  • Jika peringatan yang sama terjadi lagi, peringatan baru tidak akan dibuat. Sebaliknya, waktu kejadian terbaru dari peringatan saat ini akan diperbarui.

    Apa itu peringatan yang sama?

    Peringatan yang sama mengacu pada ancaman keamanan dengan fitur peringatan yang sangat konsisten. Contohnya:

    • Peringatan terkait virus: Aset yang sama, jalur file virus, dan MD5 file virus.

    • Login tidak biasa: Aset yang sama dan alamat IP login.

• Untuk peringatan selanjutnya:

  • Jika Anda menetapkan aturan daftar putih tertentu, Pusat Keamanan tidak lagi mengaitkan peringatan yang cocok dengan aturan ini ke event keamanan.

  • Ketika peringatan yang cocok dengan aturan daftar putih kustom terjadi lagi, peringatan tersebut akan secara otomatis dimasukkan ke daftar yang telah ditangani dengan status Automatically Add to Whitelist, dan tidak ada notifikasi peringatan yang dikirim.

• Untuk peringatan lainnya: Aturan daftar putih hanya berlaku untuk peringatan dengan nama peringatan tertentu yang memenuhi kondisi. Aturan ini tidak memengaruhi peringatan lain yang tidak memiliki aturan yang ditetapkan.

Membatalkan Daftar Putih

• Membatalkan aturan daftar putih otomatis

  Penting

  • Tindakan ini hanya memengaruhi peringatan yang dihasilkan setelahnya. Peringatan yang cocok dengan aturan daftar putih tidak lagi secara otomatis dimasukkan ke daftar putih.

  • Tindakan ini tidak berpengaruh pada peringatan yang telah ditangani. Status peringatan tetap tidak berubah.

  1. Masuk ke . Pada panel navigasi di sebelah kiri, pilih Detection and Response > Alert.

     Catatan

     Jika Anda telah membeli layanan Agentic SOC, pada panel navigasi di sebelah kiri, pilih Agentic SOC > Alert.

  2. Pada pojok kanan atas tab CWPP, klik Cloud Workload Alert Management dan pilih Alert Settings.

  3. Pada halaman Alert Settings, pada bagian Alert Handling Rule, atur Metode Penanganan menjadi Automatically Add to Whitelist.

  4. Temukan aturan target dan klik Delete di kolom Actions untuk membatalkan aturan daftar putih otomatis.

• Membatalkan daftar putih untuk suatu peringatan

  Penting

  Setelah Anda membatalkan daftar putih, peringatan tersebut akan muncul kembali di daftar peringatan Unhandled. Anda harus mengevaluasi ulang dan menangani peringatan tersebut.

  1. Masuk ke . Pada panel navigasi di sebelah kiri, pilih Detection and Response > Alert.

     Catatan

     Jika Anda telah membeli layanan Agentic SOC, pada panel navigasi di sebelah kiri, pilih Agentic SOC > Alert.

  2. Pada tab CWPP, atur filter Handled or Not menjadi Handled.

  3. Temukan data peringatan yang ingin Anda hapus dari daftar putih dan klik tombol Remove from Whitelist di kolom Actions untuk membatalkan daftar putih peringatan saat ini.

     Catatan

     Anda juga dapat memilih beberapa item data peringatan dan mengklik tombol Remove from Whitelist di bagian bawah daftar untuk melakukan pembatalan batch.

  

Prosedur

1. Pada halaman detail event, temukan entitas yang akan ditangani pada tab Entity.

2. Pada kolom Actions, klik Run Playbook. Pada halaman konfigurasi Run Playbook, konfigurasikan parameter playbook seperti dijelaskan di bawah ini.

   • Playbook: Sistem secara otomatis mengambil playbook bawaan yang sesuai berdasarkan jenis entitas saat ini.

     Penting

     Jika playbook bawaan tidak memenuhi kebutuhan Anda, Anda dapat menggunakan fitur Response Orchestration yang disediakan oleh Agentic SOC untuk membuat playbook kustom.

   • Periode validitas tindakan: Periode berjalannya playbook. Playbook tidak akan dijalankan lagi setelah periode ini berakhir.

   • Akun tujuan: Akun saat ini dan akun anggota yang dapat dikelola. Untuk informasi lebih lanjut tentang pengelolaan akun anggota, lihat Multi-account security management.

3. Klik OK.

Dampak operasi

Event ditangani sesuai proses yang dikonfigurasi dalam playbook (misalnya memblokir alamat IP), dan status event berubah menjadi Processed.

Prosedur

1. Pada halaman detail event, klik daftar drop-down Incident Response di pojok kanan atas dan pilih Update Incident Status. Atau, pada halaman Security Events, temukan event target, klik daftar drop-down Response di kolom Actions, lalu pilih Update Incident Status.

2. Pada kotak dialog Update Incident Status, pilih Handled, Unhandled, atau Handling.

3. (Opsional) Tambahkan catatan, seperti "Saya telah menanganinya secara manual", "Abaikan", "Dimasukkan ke daftar putih secara manual", atau "Tangani ulang".

Dampak operasi

• Jika Anda memperbarui status menjadi Handled:

  • Semua peringatan yang belum ditangani dan terkait dengan event diperbarui menjadi status Handled in the security incident, dan informasi operasi event keamanan ditambahkan ke detail peringatan.

    Penting

    Untuk peringatan "Precision Defense" Cloud Workload Protection Platform (CWPP), status default-nya adalah "Handled" (hanya pertahanan, tanpa notifikasi). Memperbarui status event keamanan tidak memengaruhi status peringatan ini.

  • Peringatan selanjutnya tidak lagi dikaitkan dengan event keamanan saat ini. Peringatan tersebut akan menghasilkan event keamanan baru.

• Jika status event adalah Unhandled atau Handling, Anda dapat memilih metode penanganan yang berbeda.

Prosedur

1. Buka halaman detail event. Di pojok kanan atas, di bawah Incident Response, klik Update Owner. Atau, pada halaman Security Events, temukan event tersebut, klik Response di kolom Actions, lalu pilih Update Owner.

2. Pada kotak dialog yang muncul, masukkan informasi berikut dan klik OK.

   • Owner: Pilih akun saat ini atau Pengguna Resource Access Management (RAM) di bawah akun tersebut.

     Penting

     Pastikan Owner (Pengguna RAM) memiliki izin yang diperlukan untuk menangani event keamanan.

   • Remarks: Masukkan instruksi serah terima, saran, atau catatan lainnya. Hal ini membantu pemilik baru memahami konteks dengan cepat dan mulai bekerja.

Dampak

Saat operasi selesai, sistem membuat catatan perubahan. Lihat detail perubahan ini di Activity Log pada tab Response Activity di halaman detail event.

Prosedur

1. Buka halaman detail event. Di pojok kanan atas, di bawah Incident Response, klik Update Incident Level. Atau, pada halaman Security Events, temukan event tersebut, klik Response di kolom Actions, lalu pilih Update Incident Level.

2. Pada kotak dialog yang muncul, ubah Incident Severity dan Remarks.

Dampak Operasional

Setelah Anda mengubah level, sistem mencatat operasi tersebut di log aktivitas event. Lihat detail perubahan ini di Activity Log pada tab Response Activity di halaman detail event.