Security Center:Menilai dan menangani event CWPP

Prosedur

1. Pada halaman Security Events, temukan event target, klik Actions, lalu klik Recommended Response.

   Catatan

   Anda juga dapat membuka halaman detail event dan mengklik tombol Recommended Handling di pojok kiri bawah.

2. Pada panel Recommended Handling Policy, pilih entitas berbahaya yang ingin Anda tangani.

3. (Opsional) Ubah kebijakan penanganan. Pada kolom Actions untuk entitas tersebut, klik Edit. Pada panel Edit Policy, ubah parameter seperti akun tujuan dan periode validitas aksi untuk aturan pemblokiran.

   • Periode validitas aksi: Durasi efektif kebijakan penanganan. Kebijakan secara otomatis menjadi tidak berlaku setelah periode ini berakhir.

   • Akun tujuan: Akun saat ini dan akun anggota yang Anda kelola. Untuk informasi lebih lanjut tentang cara mengelola akun anggota, lihat Multi-account security management.

4. Klik Resolve. Pada kotak dialog Update Incident Status, atur Event Status menjadi Handling atau Handled, lalu klik OK.

   Penting

   Setelah menyelesaikan langkah ini, Security Center secara otomatis membuat kebijakan penanganan dan menjalankan tugas penanganan. Jika tugas penanganan gagal, status event berubah menjadi Failed. Jika tidak, status event berubah menjadi status yang Anda tentukan.

   • Handling: Menunjukkan bahwa tindakan lain, seperti remediasi segera, pelacakan sumber, dan perbaikan kerentanan, diperlukan selain operasi penanganan saat ini.

   • Handled: Menunjukkan bahwa tidak diperlukan tindakan tambahan setelah operasi saat ini. Hal ini memiliki efek berikut:

     • Status peringatan terkait berubah menjadi Handled in the security incident.

     • Peringatan berikutnya akan menghasilkan event keamanan baru dan tidak lagi dikaitkan dengan event saat ini.

Dampak operasi

• Operasi ini menangani entitas berbahaya dengan berinteraksi dengan produk Alibaba Cloud lainnya untuk respons event, seperti memblokir alamat IP.

• Jika Anda menggunakan Recommended Handling Policy untuk mengubah status event menjadi Handled, sistem akan mengubah status semua peringatan terkait yang belum ditangani menjadi Handled in the security incident. Informasi penanganan event juga ditambahkan ke detail peringatan. Peringatan baru tidak lagi dikaitkan dengan event keamanan saat ini dan malah menghasilkan event keamanan baru.

  Penting

  Untuk peringatan "Precision Defense" Platform Perlindungan Beban Kerja Cloud (CWPP), status default-nya adalah "Handled" (hanya pertahanan, tanpa notifikasi). Memperbarui status event keamanan tidak memengaruhi status peringatan ini.

• Jika Anda menggunakan opsi Recommended Handling Policy untuk mengubah status event menjadi Handling, status peringatan terkait tidak terpengaruh. Anda masih dapat mengaitkan peringatan baru dengan event tersebut.

• Security Center menghasilkan Handling Policies dan Handling Tasks yang sesuai pada halaman Incident Response.

Prosedur

1. Buka halaman detail event. Pada tab Alerts, temukan peringatan yang ingin Anda masukkan ke daftar putih dan klik Add Alert to Whitelist pada kolom Actions.

2. (Opsional) Anda dapat menambahkan beberapa aturan daftar putih. Klik Create Rule untuk membuat aturan.

   Penting

   • Beberapa aturan memiliki hubungan OR. Artinya, aturan daftar putih dipicu jika salah satu kondisi terpenuhi.

   • Pastikan aturan yang Anda konfigurasi tepat sasaran untuk menghindari cakupan yang terlalu luas. Misalnya, mengatur "Path contains: /data/" mungkin secara tidak sengaja memasukkan subdirektori sensitif lainnya ke daftar putih, sehingga meningkatkan risiko keamanan.

   Setiap aturan memiliki empat bidang yang dapat Anda konfigurasi dari kiri ke kanan:

   1. Bidang informasi peringatan: Pada halaman detail, bagian More Information mencantumkan bidang informasi peringatan yang didukung untuk peringatan saat ini.

   2. Jenis kondisi: Mendukung operasi seperti Regex Match, lebih besar dari, sama dengan, kurang dari, dan contains. Berikut adalah deskripsi beberapa jenis kondisi:

      • Regular expression: Gunakan ekspresi reguler untuk mencocokkan konten dengan pola tertentu secara tepat. Misalnya, untuk memasukkan semua konten di bawah folder "/data/app/logs/" ke daftar putih, Anda dapat mengatur aturan "Path matches regex: ^/data/app/logs/.*". Aturan ini akan mencocokkan semua file atau proses di folder tersebut dan subdirektorinya.

      • Contains keyword: Jika Anda mengatur aturan "Path contains: D:\programs\test\", semua event yang jalurnya mengandung folder ini akan dimasukkan ke daftar putih.

   3. Nilai kondisi: Mendukung konstanta dan ekspresi reguler.

   4. Aset yang berlaku:

      • Semua aset: Berlaku untuk semua aset yang ada dan aset baru yang ditambahkan.

      • Hanya untuk aset saat ini: Hanya berlaku untuk aset yang terlibat dalam peringatan saat ini.

3. Klik OK.

Dampak operasi

• Untuk peringatan saat ini:

  • Status peringatan saat ini berubah menjadi Manually Add to Whitelist.

  • Jika peringatan yang sama terjadi lagi, peringatan baru tidak dibuat. Sebaliknya, waktu kejadian terbaru dari peringatan saat ini diperbarui.

    Apa yang dianggap sebagai peringatan yang sama?

    Peringatan dianggap sama jika melaporkan ancaman keamanan dengan fitur yang sangat konsisten. Contohnya:

    • Untuk peringatan terkait virus, aset, jalur file virus, dan MD5 file virus harus sama.

    • Untuk peringatan logon abnormal, aset dan alamat IP logon harus sama.

• Untuk peringatan berikutnya:

  • Jika Anda mengatur aturan daftar putih tertentu, Security Center tidak lagi mengaitkan peringatan yang cocok dengan aturan ini ke event keamanan.

  • Ketika peringatan yang cocok dengan aturan daftar putih kustom terjadi lagi, statusnya secara otomatis berubah menjadi Automatically Add to Whitelist, dan tidak ada notifikasi peringatan yang dikirim.

• Untuk peringatan lainnya: Aturan daftar putih hanya berlaku untuk peringatan yang memiliki nama peringatan tertentu dan memenuhi kondisi aturan. Aturan ini tidak memengaruhi peringatan lainnya.

Batalkan Daftar Putih

• Batalkan aturan daftar putih otomatis

  Penting

  • Tindakan ini hanya memengaruhi peringatan di masa depan. Peringatan yang cocok dengan aturan tidak lagi secara otomatis dimasukkan ke daftar putih.

  • Tindakan ini tidak memengaruhi peringatan yang telah ditangani; statusnya tetap tidak berubah.

  1. Masuk ke . Pada panel navigasi di sebelah kiri, pilih Detection and Response > Alert.

     Catatan

     Jika Anda telah berlangganan Agentic SOC, pilih Agentic SOC > Alert pada panel navigasi di sebelah kiri.

  2. Pada tab CWPP, klik Cloud Workload Alert Management di pojok kanan atas dan pilih Alert Settings.

  3. Pada halaman Alert Settings, pada bagian Alert Handling Rule, pilih Automatically Add to Whitelist sebagai metode penanganan.

  4. Temukan aturan target dan klik Delete pada kolom Actions untuk membatalkan aturan daftar putih otomatis.

• Hapus peringatan dari daftar putih

  Penting

  Setelah Anda menghapus peringatan dari daftar putih, peringatan tersebut muncul kembali di daftar peringatan Unhandled, sehingga Anda perlu mengevaluasi dan menanganinya kembali.

  1. Masuk ke . Pada panel navigasi di sebelah kiri, pilih Detection and Response > Alert.

     Catatan

     Jika Anda telah berlangganan Agentic SOC, pilih Agentic SOC > Alert pada panel navigasi di sebelah kiri.

  2. Pada tab CWPP, atur filter Handled or Not menjadi Handled.

  3. Temukan peringatan yang ingin Anda hapus dari daftar putih dan klik Remove from Whitelist pada kolom Actions.

     Catatan

     Anda juga dapat memilih beberapa peringatan dan mengklik Remove from Whitelist di bagian bawah daftar untuk melakukan penghapusan massal.

  

Prosedur

1. Buka halaman detail event. Pada tab Entity, temukan entitas yang ingin Anda tangani.

2. Pada kolom Actions, klik Handle. Pada halaman Handle, konfigurasikan parameter playbook seperti dijelaskan di bawah ini.

   • Playbook: Sistem secara otomatis memilih playbook bawaan yang sesuai berdasarkan jenis entitas.

     Penting

     Jika playbook bawaan tidak memenuhi kebutuhan Anda, Anda dapat membuat playbook kustom menggunakan fitur Response Orchestration dari Agentic SOC.

   • Periode validitas aksi: Durasi eksekusi playbook. Playbook tidak lagi dijalankan setelah periode ini berakhir.

   • Akun tujuan: Akun saat ini dan akun anggota yang Anda kelola. Untuk informasi lebih lanjut tentang cara mengelola akun anggota, lihat Multi-account security management.

3. Klik Resolve.

Dampak operasi

Event ditangani berdasarkan proses yang dikonfigurasi dalam playbook, seperti memblokir alamat IP, dan status event berubah menjadi Handled.

Prosedur

1. Pada halaman detail event, klik daftar drop-down Incident Response di pojok kanan atas dan pilih Update Incident Status. Atau, pada halaman Security Events, temukan event target, klik daftar drop-down Response pada kolom Actions, lalu pilih Update Incident Status.

2. Pada kotak dialog Update Incident Status, pilih Handled, Unhandled, atau Handling.

3. (Opsional) Anda dapat menambahkan catatan, seperti "Ditangani secara manual", "Abaikan", "Dimasukkan ke daftar putih secara manual", atau "Tangani ulang".

Dampak operasi

• Jika Anda memperbarui status menjadi Handled:

  • Status semua peringatan yang belum ditangani dan terkait dengan event berubah menjadi Handled in the security incident, dan informasi operasi event keamanan ditambahkan ke detail peringatan.

    Penting

    Untuk peringatan "Precision Defense" Platform Perlindungan Beban Kerja Cloud (CWPP), status default-nya adalah "Handled" (hanya pertahanan, tanpa notifikasi). Memperbarui status event keamanan tidak memengaruhi status peringatan ini.

  • Peringatan berikutnya tidak lagi dikaitkan dengan event keamanan saat ini dan malah menghasilkan event keamanan baru.

• Jika status event adalah Unhandled atau Handling, Anda dapat memilih metode penanganan yang berbeda.

Prosedur

1. Buka halaman detail event dan klik Update Owner di bawah Incident Response di pojok kanan atas. Atau, pada halaman Security Events, temukan event, klik Response pada kolom Actions, lalu pilih Update Owner.

2. Pada kotak dialog yang muncul, masukkan informasi berikut dan klik OK.

   • Owner: Pilih akun saat ini atau Pengguna Resource Access Management (RAM) dari akun tersebut.

     Penting

     Pastikan Owner (Pengguna RAM) memiliki izin yang diperlukan untuk menangani event keamanan.

   • Remarks: Masukkan instruksi serah terima, saran, atau catatan lainnya untuk membantu Pemilik baru memahami konteks dengan cepat dan segera menangani event.

Dampak operasi

Setelah operasi selesai, sistem membuat catatan perubahan. Anda dapat melihat detail perubahan ini di Response Activity pada tab Activity Log di halaman detail event.

Prosedur

1. Buka halaman detail event. Di pojok kanan atas, di bawah Incident Response, klik Update Incident Level. Atau, pada halaman Security Events, temukan event, klik Response pada kolom Actions, lalu pilih Update Incident Level.

2. Pada kotak dialog yang muncul, ubah Incident Severity dan Remarks.

Dampak operasi

Setelah Anda mengubah level, sistem mencatat operasi tersebut. Anda dapat melihat detail perubahan ini di Response Activity pada tab Activity Log di halaman detail event.