O ActionTrail oferece suporte a eventos de Insights para ajudar você a detectar atividades incomuns em seus eventos de gerenciamento. Após ative esse recurso, o ActionTrail analisa seus eventos de gerenciamento para identificar atividades potencialmente arriscadas relacionadas a chamadas de API, erros de API, endereços IP, pares de AccessKey, alterações de permissão, alterações de senha e ocultação de trilhas. Em seguida, gera eventos de Insights que proporcionam visibilidade sobre riscos de gerenciamento e ajudam você a tomar medidas oportunas.
Diferenças entre eventos de Insights e eventos de gerenciamento
|
Tipo de evento |
Descrição |
Referências |
|
Evento de gerenciamento |
Log de uma operação de gerenciamento executada em um recurso cloud por uma identidade na sua conta Alibaba Cloud. |
|
|
Evento de Insights |
Com base nos eventos de gerenciamento registrados, o ActionTrail utiliza modelos matemáticos para analisar e identificar atividades potencialmente arriscadas. Essa análise gera vários tipos de eventos de Insights, incluindo evento de Insights sobre taxa de chamadas de API ( |
A análise de eventos de gerenciamento gera eventos de Insights exclusivamente. O recurso Insights não analisa eventos de dados, mesmo que você tenha ativado o registro de eventos de dados para sua trilha.
Recursos
O recurso Insights no ActionTrail analisa todos os eventos de gerenciamento na sua conta Alibaba Cloud durante um período histórico para gerar os seguintes tipos de eventos: evento de Insights sobre taxa de chamadas de API (ApiCallRateInsight), evento de Insights sobre taxa de erros de API (ApiErrorRateInsight), evento de Insights sobre endereço IP (IpInsight), evento de Insights sobre taxa de chamadas de par de AccessKey (AkInsight), evento de Insights sobre alteração de permissão (PolicyChangeInsight), evento de Insights sobre alteração de senha (PasswordChangeInsight) e evento de Insights sobre ocultação de trilha (TrailConcealmentInsight). Cada evento de Insights inclui um evento inicial e um evento final que marcam o início e o fim da atividade detectada.
**Evento de Insights sobre taxa de chamadas de API (
ApiCallRateInsight)**: Analisa operações de gravação na sua conta. Utiliza modelos matemáticos para comparar a taxa atual de chamadas de API de uma operação com sua linha de base histórica. Se a taxa apresentar desvio significativo, o ActionTrail gera um evento de Insights.**Evento de Insights sobre taxa de erros de API (
ApiErrorRateInsight)**: Examina todos os eventos de gerenciamento relacionados a erros de chamada de API. Emprega modelos matemáticos para comparar a taxa atual de erros de API com sua linha de base histórica. Caso haja desvio significativo, o ActionTrail gera um evento de Insights.**Evento de Insights sobre endereço IP (
IpInsight)**: Cria um modelo de atividade normal de endereços IP para sua conta. Verifica continuamente novos endereços IP de source ou endereços anômalos e gera um evento de Insights para qualquer atividade suspeita.**Evento de Insights sobre taxa de chamadas de par de AccessKey (
AkInsight)**: Avalia o uso de todos os IDs de AccessKey na sua conta. Aplica modelos matemáticos para comparar a taxa de chamadas de um par de AccessKey específico com sua linha de base histórica. Quando a taxa se desvia significativamente, o ActionTrail gera um evento de Insights.**Evento de Insights sobre alteração de permissão (
PolicyChangeInsight)**: Monitora alterações de permissão em service cloud como RAM, OSS e Resource Management. Usa aprendizado de máquina para filtrar alterações rotineiras de operadores frequentes e gera um evento de Insights para alterações de operadores incomuns ou pouco frequentes.**Evento de Insights sobre alteração de senha (
PasswordChangeInsight)**: Rastreia alterações de senha em service cloud como KMS, AasCustomer (service de logon da conta Alibaba Cloud) e AasSub (service de logon de usuário RAM). Utiliza aprendizado de máquina para filtrar alterações rotineiras de operadores frequentes e gera um evento de Insights para alterações de operadores incomuns ou pouco frequentes.**Evento de Insights sobre ocultação de trilha (
TrailConcealmentInsight)**: Identifica ações que param ou exclua uma trilha no ActionTrail. Emprega aprendizado de máquina para filtrar alterações rotineiras na configuração de trilhas e gera um evento de Insights quando um operador incomum ou pouco frequente executa essas ações.
Como funciona
Condições de geração: Após ative o recurso Insights, são necessárias pelo menos 24 horas para gerar o primeiro evento de Insights. O ActionTrail cria eventos de Insights apenas quando detecta atividades potencialmente arriscadas ou anômalas na sua conta Alibaba Cloud.
Escopo: O ActionTrail analisa eventos de gerenciamento por região. Portanto, um evento de Insights é sempre gerado na mesma região dos eventos de gerenciamento que o acionaram.
-
Regras de detecção:
-
**Evento de Insights sobre taxa de chamadas de API (
ApiCallRateInsight)**: Analisa taxas de chamadas de API em busca de anomalias. Utiliza modelos matemáticos para detectar diferenças significativas entre o comportamento atual e histórico de chamadas de API. Se encontrar diferença significativa, o ActionTrail gera um evento de Insights para essa API.NotaEste tipo de evento é mais sensível a eventos de gravação.
-
**Evento de Insights sobre taxa de erros de API (
ApiErrorRateInsight)**: Examina taxas de erros de API em busca de anomalias. Emprega modelos matemáticos para detectar diferenças significativas entre os padrões atuais e históricos de erros de API. Ao encontrar diferença significativa, o ActionTrail gera um evento de Insights para esse erro de API.NotaEste tipo de evento é igualmente sensível a eventos de leitura e gravação.
**Evento de Insights sobre endereço IP (
IpInsight)**: Identifica acessos provenientes de endereços IP arriscados. Usa algoritmos de correlação de IP para detectar atividades suspeitas. Esse processo pode ocasionalmente sinalizar um novo endereço IP legítimo como arriscado. O ActionTrail gera apenas um evento de Insights por dia para um endereço IP suspeito específico, correspondente ao primeiro acesso detectado.-
**Evento de Insights sobre taxa de chamadas de par de AccessKey (
AkInsight)**: Avalia taxas de chamadas de AccessKey em busca de anomalias. Aplica modelos matemáticos para detectar diferenças significativas entre o comportamento atual e histórico de chamadas de um AccessKey. Se identificar diferença significativa, o ActionTrail gera um evento de Insights para esse AccessKey.NotaEste tipo de evento é mais sensível a eventos de gravação.
**Evento de Insights sobre alteração de permissão (
PolicyChangeInsight)**: Analisa alterações de permissão de operadores pouco frequentes. Utiliza algoritmos de aprendizado de máquina para gerar conjuntos de itens frequentes e regras de associação, filtra ações de operadores regulares e gera eventos para comportamentos anômalos.**Evento de Insights sobre alteração de senha (
PasswordChangeInsight)**: Examina alterações de senha de operadores pouco frequentes. Emprega algoritmos de aprendizado de máquina para gerar conjuntos de itens frequentes e regras de associação, filtra ações de operadores regulares e gera eventos para comportamentos anômalos.**Evento de Insights sobre ocultação de trilha (
TrailConcealmentInsight)**: Identifica ações de operadores pouco frequentes para parar ou excluir uma trilha. Usa algoritmos de aprendizado de máquina para gerar conjuntos de itens frequentes e regras de associação, filtra ações de configuração de trilha de operadores regulares e gera eventos para comportamentos anômalos.
-
Uso
-
Os eventos de Insights não estão disponíveis nas seguintes regiões:
China (Heyuan)
China (Nanjing - Local Region) Closing Down
China (Guangzhou)
China (Fuzhou - Local Region) Closing Down
China (Wuhan - Local Region)
South Korea (Seoul)
Philippines (Manila)
UAE (Dubai)
NotaPara obter a lista completa de regiões onde o ActionTrail está disponível, consulte Supported regions. Os eventos de Insights têm suporte em todas essas regiões, exceto nas listadas acima.
O recurso Insights está atualmente disponível para avaliação gratuita. Para obter informações sobre cobranças futuras, consulte Billing.
Após ative o recurso Insights, o ActionTrail analisa continuamente todos os eventos de gerenciamento subsequentes nas regiões com suporte.
São necessárias pelo menos 24 horas para gerar o primeiro evento de Insights após a ativação do recurso. O ActionTrail gera um evento de Insights apenas quando detecta atividades incomuns na sua conta.
Consultar eventos de Insights
Após ative o recurso Insights, consulte eventos de Insights do último mês na região atual no console do ActionTrail. Para obter instruções detalhadas, consulte Query Insights events on the ActionTrail console.