Security Center:Customize Security Center alert notifications

Visão geral

O Security Center envia alertas para o CloudMonitor, que os encaminha ao Lark ou WeChat Work por meio de assinaturas de eventos. Siga estas etapas:

1. Ativar envio para o CloudMonitor: Ative a opção de envio para o CloudMonitor nas configurações de notificação do Security Center e selecione os tipos de alerta.

2. Criar um chatbot: Crie um chatbot personalizado no Lark ou WeChat Work e copie a URL de webhook correspondente.

3. Criar um grupo de contatos de alerta do CloudMonitor:

   1. Crie um contato de alerta no CloudMonitor e vincule a URL de webhook.

   2. Adicione o contato de alerta a um grupo de contatos de alerta.

4. Criar uma política de notificação do CloudMonitor: Crie uma política de notificação e associe-a ao grupo de contatos de alerta.

5. Configurar uma assinatura de eventos do CloudMonitor: Assine os eventos de sistema do Security Center e associe a assinatura à política de notificação.

Etapa 1: Ativar o envio para o CloudMonitor no Security Center

Ative o envio para o CloudMonitor para permitir o recebimento e o encaminhamento de alertas do Security Center.

1. Acesse a página Console do Security Center > System Settings > Notification Settings. No canto superior esquerdo da página, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.

2. Na aba Cloud Monitor Push, selecione os itens de notificação a serem enviados. A tabela a seguir descreve esses itens.

   Item de notificação	Frequência de envio	Descrição
   Security Incident	Push ResultDetails: Sem limite	Notificações sobre ataques de segurança detectados, como ataques DDoS e força bruta.
   Alert	Push ResultDetails: Sem limite	Notificações sobre ameaças detectadas em hosts ou containers, como atividades suspeitas de logon e processos maliciosos.
   Baseline Check	Push ResultOverview: Enviado semanalmente, às quintas-feiras.	Notificações com relatórios resumidos das verificações de linha de base de segurança.
   CSPM	Push ResultOverview: Enviado semanalmente, às quintas-feiras.	Notificações com relatórios resumidos das verificações de riscos de configuração da plataforma em nuvem.
   Agentless Detection	Push ResultDetails: Personalizável	Notificações sobre resultados de varredura de segurança sem necessidade de instalação de agente.
   Malicious file	Push ResultDetails: Personalizável	Notificações sobre arquivos maliciosos detectados pelo SDK de detecção de arquivos maliciosos.
   Vulnerability	Push ResultOverview: Enviado semanalmente, às quintas-feiras. Push ResultDetails: Personalizável	Notificações sobre resultados de detecção e resumos de vulnerabilidades de sistema e aplicativos.
   Application Protection	Push ResultDetails: Personalizável	Notificações de alerta para Runtime Application Self-Protection (RASP).

Etapa 2: Criar um chatbot

Crie um chatbot personalizado no Lark ou WeChat Work e copie a URL de webhook para usar na Etapa 3.

Etapa 3: Configurar contatos e políticas de alerta

Crie um contato de alerta no CloudMonitor, vincule a URL de webhook obtida na Etapa 2 e adicione o contato a um grupo de contatos.

1. Criar um contato de alerta

   1. Faça login no console do CloudMonitor. No painel de navegação à esquerda, escolha Alerts > Alert Contacts.

   2. Na aba Alert Contacts, clique em Create Alert Contact.

   3. No painel Set Alert Contact, configure os seguintes parâmetros:

      • Name: Insira um nome, como Lark chatbot ou WeChat Work chatbot.

      • DingTalk|Lark|WeCom|Slack Webhook(http|https): Cole a URL de webhook da Etapa 2. Este campo universal aceita URLs do Lark e do WeChat Work.

   4. (Opcional) Testar conectividade do webhook: Clique em Test ao lado do campo de webhook. O código de status 200 confirma a conexão bem-sucedida.

   5. Após verificar as informações, clique em Confirm.

2. Criar um grupo de contatos de alerta

   1. Clique na aba Alert Contact Group e clique em Create Alert Contact Group.

   2. No painel Create Alert Contact Group, configure os seguintes parâmetros e clique em Confirm.

      1. Group Name: Insira um nome para o grupo, como Lark chatbot group ou WeChat Work chatbot group.

      2. Select contacts: Selecione o contato de alerta criado na etapa anterior.

3. Criar uma política de notificação

   1. No painel de navegação à esquerda, escolha Event Center > Notification Configuration.

   2. Clique em Create policy. Configure os seguintes parâmetros e clique em OK.

      • Name: Insira um nome para a política, por exemplo, Security Center Alert Notification.

      • Notification Settings: Selecione Set Notification Group Directly.

      • Contact Group: Selecione o grupo de contatos de alerta criado na etapa anterior.

Etapa 4: Configurar uma assinatura de eventos

Assine os eventos de sistema do Security Center e associe a assinatura à política de notificação criada na Etapa 3.

1. Faça login no console do CloudMonitor. No painel de navegação à esquerda, escolha Event Center > Event Subscription.

2. Na aba Subscription Policy, clique em Create Subscription Policy e configure os seguintes parâmetros.

   • Name: Insira um nome descritivo, como Security Center Alerts to Lark.

   • Subscription Type: Selecione System Events.

   • Subscription Scope:

     • Products: Selecione Security Center.

     • Event Type: Selecione o tipo de evento correspondente ao Notification Item e ao Push Content ativados na Etapa 1. Mapeamentos:

       Security Center	CloudMonitor
       Security Incident	Incident
       Alert	Suspicious
       Baseline Check	System-Baseline-cnt
       CSPM	Cspm-cnt
       Agentless Detection	Agentless
       Malicious file	mfd SDK
       Vulnerability	Push Result Overview: Vulnerability-cnt Push Result Details: Vulnerability
       Application Protection	Rasp

     • Event name e Event Level: Selecione os eventos para receber notificações.

       • Deixe esses campos vazios para receber notificações de todos os eventos.

       • Ao selecionar Set as blacklist, a regra é invertida: você recebe notificações de todos os eventos, exceto daqueles correspondentes ao Event name ou Event Level especificados.

     • Application grouping, Event Content e Event Resources: Mantenha os padrões.

   • Combined Noise Reduction: Mantenha os padrões.

   • Notification Configuration: Selecione a política de notificação da Etapa 3.

   • Custom Notification Method e Push and Integration: Mantenha os padrões.

   • Clique em Submit.

   Perguntas frequentes

   • Por que não recebo alertas após concluir a configuração?

     Verifique os seguintes pontos:

     1. Opção de envio do Security Center: Confirme se a opção Cloud Monitor Push está ativada para os tipos de alerta esperados na Etapa 1.

     2. Regra de assinatura de eventos: Na Etapa 4, confirme se as condições de filtro (Event Type, event level) correspondem aos alertas esperados.

     3. Palavras-chave do Lark (problema mais comum): Garanta que as palavras-chave personalizadas correspondam ao conteúdo da mensagem de alerta. Use termos genéricos como alert ou event.

     4. URL de webhook: Nos Alert Contacts do CloudMonitor, use Test para verificar a acessibilidade do webhook. Verifique se há URLs incorretas ou bloqueios por firewall.

     5. Histórico de eventos do CloudMonitor: Consulte Event Center > Event History para visualizar os eventos recebidos. Envios com falha exibem o motivo da falha.

   • Como evitar fadiga de alertas?

     • Ativar Merge and Reduce Noise: Na assinatura de eventos, configure Merge and Reduce Noise para consolidar eventos repetidos dentro de uma janela de tempo (por exemplo, 1 minuto).

     • Filtrar com precisão: Defina o event level (por exemplo, apenas alto risco) ou especifique valores de event name para reduzir ruído.

   • O que fazer se o teste de webhook retornar um código de status diferente de 200?

     Um código de status diferente de 200 indica que o CloudMonitor não consegue alcançar seu chatbot. Causas comuns:

     • URL incorreta: A URL de webhook está incompleta ou errada.

     • Restrições de lista de permissões de IP: Algumas ferramentas, como o Lark, usam listas de permissões de IP. Adicione os IPs dos servidores do CloudMonitor à lista de permissões.

     • Incompatibilidade de palavra-chave (Lark): A mensagem não contém uma palavra-chave correspondente, então o Lark bloqueia a entrega.

     • Limite de frequência excedido: O bot atingiu o limite de taxa. O WeChat Work, por exemplo, permite apenas 15 mensagens por minuto.